הסכם עיבוד נתונים (DPA)

נספח זה מסדיר את עיבוד המידע שליגלטק ("הספק", "המחזיק") מבצעת עבור משרד עורכי הדין ("המשרד", "בעל השליטה") אגב אספקת CaseFlow, והוא חלק בלתי נפרד מהסכם הרישיון. מונחיו כמשמעם בחוק הגנת הפרטיות, התשמ"א-1981, ובתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. העמוד הזה הוא נוסח הנספח, ועותק PDF לחתימה זמין להורדה.

1. תחולה ועיקרון היסוד

1.1 מידע התיקים של המשרד (לקוחות, צדדים, מסמכים, יומן, חיובים) נשמר מוצפן במחשבי המשרד ואינו מגיע לספק. ביחס למידע זה הספק אינו מחזיק, ונספח זה אינו חל עליו.

1.2 הנספח חל על פעילויות העיבוד שהספק מבצע בפועל בשרתיו, כמפורט בסעיף 2, ורק עליהן.

2. פעילויות העיבוד

פעילות	סוגי המידע	מקור	משך השמירה
רישוי והפעלה	שם בעל הרישיון, דוא"ל, מפתח רישיון, טביעת אצבע חד-כיוונית של מחשב, גרסה, כתובת IP באירועי רישוי	המשרד	לאורך יחסי הרישוי
חתימה מרחוק (אופציונלי)	קובץ ה-PDF לחתימה, שם החותם, דוא"ל, טלפון, מיקומי חתימה, IP ומועדי צפייה וחתימה	המשרד והחותם	לאורך יחסי הרישוי, או עד בקשת מחיקה
AI מנוהל (אופציונלי)	הטקסט שעורך הדין בוחר לשלוח; מוני שימוש ועלות	המשרד	התוכן אינו נשמר; המונים לאורך יחסי הרישוי
תמיכה מרחוק (אופציונלי, בתיאום מראש)	תצוגת המסך של עמדת המשרד במהלך מפגש תמיכה שהמשרד אישר, דרך שרת ממסר שהספק מפעיל	המשרד	לא נשמר
פניות תמיכה	שם, דוא"ל, טלפון, תוכן הפנייה	המשרד	עד סיום הטיפול, ולכל היותר שנה

3. הוראות בעל השליטה

3.1 הספק מעבד את המידע רק לפי הוראות המשרד המתועדות, כפי שהן משתקפות בהסכם הרישיון, בנספח זה ובהגדרות שהמשרד בוחר בתוכנה.

3.2 הספק אינו משתמש במידע למטרותיו, אינו מוכר אותו ואינו מאמן עליו מודלים.

3.3 ההתחייבות לגבי AI מפרטת את תנאי העיבוד ב-AI המנוהל, והיא חלק מנספח זה.

4. מחזיקי משנה

4.1 הספק רשאי להיעזר במחזיקי משנה לשלושה צרכים בלבד: אירוח השרתים (באיחוד האירופי), הפעלת מודלי ה-AI עבור AI מנוהל, ושליחת דוא"ל (אישורי משלוח והתכתבות רישוי). כל מחזיק משנה פועל לפי הוראות הספק ובחובות אבטחה שאינן פחותות מאלה שבנספח זה.

4.2 הספק יודיע למשרד על החלפה או הוספה של מחזיק משנה 30 יום מראש, והמשרד רשאי להתנגד מטעם סביר.

4.3 האחסון והעיבוד ב-AI המנוהל נעשים באיחוד האירופי. ספק משלוח הדואר עשוי לעבד את פרטי הקשר ואת תוכן ההתכתבות של רישוי ותמיכה מחוץ לאיחוד האירופי, בכפוף לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001.

5. אבטחת מידע

5.1 הספק מקיים את הוראות תקנות אבטחת המידע ברמת האבטחה החלה על מאגרו, ובכלל זה: הצפנת התעבורה, בידוד סביבת השירות, הרשאות גישה מצומצמות לצוות הפיתוח, תיעוד אירועי אבטחה, ועדכוני אבטחה שוטפים.

5.2 המשרד אחראי לאבטחת העמדות שלו, לגיבויים ולבקרת הגישה למחשבי המשרד, שכן מידע התיקים נמצא שם ולא אצל הספק.

6. אירוע אבטחה

הספק יודיע למשרד על אירוע אבטחה חמור הנוגע למידע שבסעיף 2 ללא דיחוי, ולא יאוחר מ-72 שעות מגילויו, עם תיאור האירוע, המידע שנפגע והצעדים שננקטו, ויסייע למשרד בדיווח לרשות להגנת הפרטיות ככל שנדרש.

7. סיוע במימוש זכויות

הספק יסייע למשרד לענות לפניות של נושאי מידע (עיון, תיקון, מחיקה) בתוך 10 ימי עסקים מקבלת בקשת המשרד.

8. ביקורת

המשרד רשאי, פעם בשנה ובתיאום מראש, לקבל מהספק דוח על אמצעי האבטחה ומחזיקי המשנה, ובמקרה של חשד ממשי להפרה, לערוך ביקורת באמצעות בודק מוסכם תחת הסכם סודיות.

9. סיום ומחיקה

בסיום הסכם הרישיון הספק ימחק את המידע שבסעיף 2 בתוך 30 יום, למעט מה שהדין מחייב לשמור, ויאשר זאת בכתב לבקשת המשרד. מידע התיקים נשאר במחשבי המשרד ואינו נדרש להחזרה, כי מעולם לא היה אצל הספק.

10. יצירת קשר

בענייני נספח זה: privacy@caseflow.co.il.