הסכם עיבוד נתונים (DPA)

1. הגדרות

"מידע אישי" - כל מידע הנוגע לאדם מזוהה או ניתן לזיהוי, כהגדרתו בחוק הגנת הפרטיות, התשמ"א-1981.

"בעל המידע" (Controller) - הגורם הקובע את מטרות עיבוד המידע האישי ואת אמצעי העיבוד.

"מעבד המידע" (Processor) - גורם המעבד מידע אישי מטעם בעל המידע ולפי הנחיותיו המתועדות.

"מעבד-משנה" (Sub-processor) - צד שלישי שמעבד המידע נעזר בו לביצוע חלק מפעולות העיבוד מטעם בעל המידע.

"נתוני לקוח" (Client Data) - המידע האישי של לקוחות הסוכנות (שם ואימייל שהוזנו בטופס ההצטרפות, ומזהי הנכסים ששותפו דרך Meta או Google), הזורם דרך השירות ומעובד בו, כמפורט במדיניות הפרטיות (/privacy), סעיפים 2-3.

"הסוכנות" - הגורם המנוי על מוצר LoryLink; "החברה" - לוריאדס (LoryAds), הישות המפעילה את מוצר LoryLink, הניתנת ליצירת קשר בכתובת [email protected] ובטלפון 052-696-8510.

2. תפקידי הצדדים

ביחס לנתוני לקוח: הסוכנות היא בעלת המידע (Controller) - היא זו שיוצרת את הקשר עם הלקוח ומחליטה אילו נכסי פרסום לבקש ממנו - והחברה היא מעבדת המידע (Processor) הפועלת מטעם הסוכנות ולפי הנחיותיה, כמפורט בהסכם זה ובמדיניות הפרטיות (/privacy).

ביחס לנתוני חשבון הסוכנות עצמה (שם, אימייל, פרטי התחברות): החברה היא בעלת מידע עצמאית (Independent Controller) ואינה פועלת כמעבדת מטעם הסוכנות. עיבוד נתונים אלו כפוף למדיניות הפרטיות (/privacy) ולא להסכם עיבוד נתונים זה.

חובות המעבד המפורטות בהסכם זה חלות אך ורק על נתוני לקוח.

3. היקף העיבוד והנחיות מתועדות

החברה תעבד את נתוני הלקוח אך ורק לצורך מתן השירות לסוכנות ותמיכה בו - כלומר יצירת קישור ההתחברות, גילוי הנכסים שהלקוח בחר לשתף, וביצוע פעולת השיתוף מול Meta או Google. היא לא תעבד נתונים אלו לכל מטרה אחרת, ובוודאי שלא לפרסום, מכירה, או אימון מודלים.

ההנחיות המתועדות של הסוכנות לעיבוד הן תצורת השירות עצמה - אילו סוגי נכסים לבקש, אילו הרשאות, מיתוג הדף, וכתובת ה-Webhook (אם הוגדרה) - כפי שנקבעו בהגדרות הדשבורד, לצד תנאי השימוש.

ככל שהחברה תידרש על פי דין לעבד נתונים באופן החורג מהנחיות הסוכנות, תודיע על כך לסוכנות לפני העיבוד, אלא אם הדין אוסר על מסירת הודעה כאמור.

4. סודיות

החברה תבטיח כי כל מי מטעמה המורשה לגשת לנתוני לקוח מחויב לשמירת סודיות, וכי הגישה מוגבלת לפי עקרון ההרשאה המזערית - במקרה שלנו, נאכף טכנית באמצעות בקרת גישה לפי סוכנות (Row Level Security) במסד הנתונים, כך שסוכנות אחת אינה יכולה לגשת לנתוני סוכנות אחרת.

5. אמצעי אבטחה

החברה נוקטת באמצעי אבטחה סבירים להגנה על נתוני לקוח, ובכללם: הצפנת תעבורה (TLS/HTTPS) בכל התקשורת; מסד נתונים Postgres מנוהל ומוצפן במנוחה (Supabase); בקרת גישה לפי סוכנות (Row Level Security) בכל שאילתה למסד הנתונים; וטוקני גישה (OAuth) הנשמרים רק לפרק הזמן הנדרש להשלמת תהליך השיתוף. פירוט נוסף מצוי במדיניות הפרטיות (/privacy), סעיף 7.

6. מעבדי-משנה

הסוכנות מעניקה לחברה אישור כללי להיעזר במעבדי-משנה לצורך מתן השירות. רשימת מעבדי-המשנה הנוכחית - כיום Supabase (מסד נתונים, אימות ואחסון קבצים) ו-Vercel (אחסון האפליקציה) - מפורטת במדיניות הפרטיות (/privacy), סעיף 4, המהווה את נספח מעבדי-המשנה החי והמעודכן של הסכם זה.

יובהר: Meta ו-Google אינן מעבדות-משנה של החברה ביחס לנתוני הלקוח - הלקוח מעניק להן גישה במישרין באמצעות אישור OAuth משלו בעת ההתחברות, והחברה רק מתווכת את בקשת השיתוף. עיבוד המידע בצדן כפוף למדיניות הפרטיות שלהן, לא להסכם זה.

הוספת מעבד-משנה חדש שנוגע לנתוני לקוח תעודכן במדיניות הפרטיות ותפורסם עם תאריך עדכון חדש.

7. בקשות של נושאי מידע

לקוחות הסוכנות הם נושאי המידע ביחס לנתוני לקוח, והסוכנות היא בעלת המידע האחראית למענה על בקשותיהם (עיון, תיקון, מחיקה). ככל שלקוח יפנה לחברה במישרין, תפנה אותו החברה אל הסוכנות המנהלת את הקשר איתו.

החברה תסייע לסוכנות, במידה סבירה, לקיים בקשות כאמור - למשל באמצעות מחיקת לקוח מהדשבורד, הפעולה המוחקת את כל הנתונים המשויכים אליו לצמיתות.

8. הודעה על אירוע אבטחה

משנודע לחברה על אירוע אבטחה שפגע או עלול היה לפגוע בנתוני לקוח, תודיע על כך לסוכנות ללא דיחוי בלתי סביר, ותכלול בהודעה את הפרטים הידועים לה באותה עת. החברה תפעל ליידע את הסוכנות בתוך יעד של 72 שעות ממועד היוודע האירוע, ותמשיך למסור מידע משלים ככל שיתברר.

9. העברת נתונים בין-לאומית

החברה פועלת מישראל, שהוכרה על ידי האיחוד האירופי כמדינה בעלת רמת הגנה נאותה (adequacy) על מידע אישי. מעבדי-המשנה שהחברה נעזרת בהם (Supabase, Vercel) מפעילים תשתית מנוהלת החלה עליה מדיניות ההגנה שלהם, לרבות אמצעי הגנה חוזיים מתאימים ככל שנדרש.

10. מחיקה

מחיקת לקוח מהדשבורד מוחקת לצמיתות ובאופן מיידי את כל נתוני הלקוח המשויכים (חיבורים, נכסים, טוקנים) - אין תקופת המתנה. סגירת חשבון הסוכנות כולה כפופה לאותו עיקרון. רשומות שהחברה מחויבת לשמור מכוח חובה שבדין יישמרו לפרק הזמן הנדרש על פי דין ולאותה מטרה בלבד.

11. ביקורת

לבקשת הסוכנות בכתב, תמסור החברה מידע סביר הדרוש להוכחת עמידתה בחובות המעבד המפורטות בהסכם זה. זכות זו ניתנת למימוש אחת לשנה לכל היותר, אלא אם נדרשת ביקורת נוספת בעקבות אירוע אבטחה מהותי. כל מידע המתקבל במסגרת ביקורת כאמור הוא סודי.

12. אחריות ועדיפות

הגבלות האחריות הקבועות בתנאי השימוש (/terms), סעיף 7, חלות גם על הסכם עיבוד נתונים זה. בכל עניין הנוגע לעיבוד נתוני לקוח יגברו הוראות הסכם זה על הוראות מתנגשות בתנאי השימוש; בכל עניין אחר, יגברו תנאי השימוש.

13. יצירת קשר ושפה קובעת

בכל שאלה, הבהרה, או בקשה לעותק חתום של הסכם זה: [email protected] · 052-696-8510. הסכם זה כפוף לדיני מדינת ישראל. הנוסח העברי הוא הנוסח המחייב והקובע; בכל מקרה של סתירה בין הנוסח העברי לבין תרגום לשפה אחרת, יגבר הנוסח העברי.