נספח פרטיות ואבטחת מידע – מערכת Textme

נספח פרטיות ואבטחת מידע

נספח זה, (״הנספח״), מהווה חלק בלתי נפרד מהתקנון ו/או הסכם השירותים בין מתת טכנולוגיות בע״מ (להלן, “הספק“) לבין הלקוח (״המזמינה״ או ״בעלת השליטה במאגר״, ״ההסכם״). הנספח נועד להסדיר את התחייבויות הצדדים בכל הנוגע לאבטחת מידע אישי, בהתאם להוראות חוק הגנת הפרטיות, התשמ״א-1981 (״החוק״) והתקנות מכוחו, כולל תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017 (״דיני הגנת הפרטיות״). 

1. הגדרות:

1. ״מידע אישי״ או ״מידע” – נתון הנוגע לאדם מזוהה או לאדם שניתן לזהותו במאמץ סביר, במישרין או בעקיפין, ובכלל זה באמצעות פרט מזהה, כגון שם, מספר זהות, מזהה ביומטרי, נתוני מיקום, מזהה מקוון, או נתון אחד או יותר הנוגע למצבו הפיזי, הבריאותי, הכלכלי, החברתי או התרבות.
2. ״מידע אישי של המזמינה״ או ״מידע של המזמינה״– כל מידע אישי שהועבר ו/או יועבר לספק או שניתן לספק גישה אליו על ידי המזמינה, לרבות מידע אישי ממאגרי המידע של המזמינה ומידע אישי שהספק יעבד כחלק ממתן השירותים למזמינה, כפי שנקבע בהסכם (״השירות״ או ״השירותים״).
3. ״נושא מידע״ – כל אדם שהמידע האישי נאסף אודותיו או מתייחס אליו במישרין ובעקיפין. 
4. “עיבוד״ או ״שימוש״– כל פעולה שמבוצעת על מידע אישי, לרבות קבלתו, איסופו, אחסונו, העתקתו, עיון בו, גילויו, חשיפתו, העברתו, מסירתו או מתן גישה אליו.
5. כל המונחים שלא הוגדרו בנספח זה יפורשו בהתאם להוראות ההסכם או לחוקי הגנת הפרטיות, לפי העניין. 

1. 1. הצהרות הצדדים:
      1. ידוע לספק שבמסגרת הזמנת העבודה ייחשף למידע האישי של לקוחות המזמינה ו/או נמענים ו/או וכל מידע אחר שהמזמינה, בעלת השליטה במאגר, תבחר למסור לחברה, להעלות לתוכנה של החברה, שייכלל ברשימות שיועברו לחברה ו/או לעבד בכל דרך אחרת במסגרת השירותים או ההסכם.
      2. פרטים לגבי המידע המותר לעיבוד מפורטים בתוספת א׳ לנספח.
      3. הספק לא יבצע כל שימוש במידע המועבר אליו על ידי המזמינה ו/או למי מטעמו, אלא לשם ביצוע מטרת השירות, אכיפת או ביצוע ההסכם, התגוננות משפטית או כפי שמותר או נדרש לפי כל דין, וכן לשימוש סביר הדרוש לניהול, תחזוקה, שיפור ותפעול המוצר שלו (״המטרות המותרות״).
      4. הספק יפעל להבטיח שכל מידע שיועבר אליו יהיה זמין לבעלי התפקידים הנדרשים לצורך מטרת השירות בלבד. 
      5. הספק יודיע למזמינה על כל מקרה שייוודע לו על הפרת הנספח או במקרה של הפרת הוראות הדין על ידו או מי שפועל מטעמו, והמזמינה מצדה לא תשתמש בשירותי הספק או בתוכנה או תגרום לספק בכל דרך אחרת להפר את הוראות הדין, לרבות דיני הגנת הפרטיות.
      6. הספק מצהיר כי הינו בעל ניסיון בעיבוד מידע, ויש לו את היכולת, ידע ורקע בתחום ביצוע השירותים, כפי שהוגדרו בהסכם ולא קיים כל חשש לניגוד עניינים מובנה או סיכון אחר לשימוש פסול במידע על ידיו.
      7. כיום, המערכת מנוהלת ע״י ספק צד שלישי בעל הסמכת אבטחת מידע מוכרת (ISO27001) והוא מכל מקום הוא פועל לפי סטנדרטים מקובלים בתחום אבטחת המידע.  
   2. כוח אדם, הדרכות וסודיות:
      1. הספק מבצע הדרכות תקופתיות לכל בעלי התפקידים, בנושא מטרות עיבוד המידע המותרות, הוראות חוק הגנת הפרטיות ותקנותיו והכל בהתאם להיקף גישתם למידע ורמת רגישות המידע. 
      2. הספק לא יגלה מידע שהגיע אליו, אלא לצורך המטרות המותרות. 
      3. כל צד להסכם יפעל כדי שלספק ו/או לעובדיו תהא הרשאת גישה למידע של המזמינה, אך ורק לשם מטרת השירות ולא מעבר לכך, על פי הגדרת תפקידים והיקף המינימלי הנדרש לשם ביצוע תפקידם. 
      4. הספק יוודא כי כלל בעלי התפקידים הרלוונטיים לביצוע הסכם זה חתומים על הסכמי סודיות אשר יבטיחו את שמירת סודיות המידע האישי. 
   3. אבטחת מידע: הספק מתחייב ליישם, לגבי המידע האישי של המזמינה, במהלך תקופת ההסכם וכל עוד הוא מעבד מידע אישי של המזמינה, מנגנוני אבטחת מידע פיזיים, סביבתיים ולוגיים, ברמה המקובלת בשוק ושאינם נופלים מהוראות חוקי הגנת הפרטיות החלים. מובהר כי עמידה באמצעי אבטחת המידע המפורטים בנספח זה, לרבות אלו המנויים בתוספת ב׳, תיחשב כעמידה בדרישות סעיף זה. 

• מיקור-חוץ: הספק לא יעביר ו/או יאפשר גישה למידע האישי של המזמינה אלא בהתאם להוראות נספח זה ובהתאם לתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. מובהר כי העברת מידע לקבלן משנה תותר רק ככל שנדרש לצורך המטרות המותרות ורק לאחר שהספק בחן באופן סביר את הסיכונים הכרוכים בהעברה זו, ופעל לחתום עמו על הסכם כתוב הכולל התחייבויות הדומות באופן מהותי לאלו הקבועות בנספח זה, בשינויים המחויבים. 

1. 1. אירוע אבטחת מידע: למעט אם הדין דורש אחרת, הספק ידווח למזמינה לכל המאוחר בתוך 72 שעות מרגע גילוי אירוע המעלה חשש לפגיעה בשלמות המידע האישי של המזמינה, לשימוש בו ללא הרשאה או לחריגה מההרשאות שניתנו (״אירוע אבטחה״). הדיווח יכלול את כל המידע הדרוש באופן סביר לניהול האירוע ולעמידה בדרישות החוק. הספק יפעל בשיתוף פעולה עם בעלת השליטה במאגר ויתעד באופן סביר את נסיבות האירוע, השלכותיו, והצעדים שננקטו. למעט אם נדרש אחרת לפי דין (לרבות, רגולציה שחלה על ההספק כגוף תקשורת, צווי בית משפט, דרישות גופי ביטחון וכיו״ב) הספק לא ישתף מידע על האירוע או יענה לפניות צד ג’ ללא אישור המזמינה, שתהיה אחראית לניהול וטיפול בכל אירוע הנוגע למידע האישי שלה. 
   2. מחיקה או השבת המידע: בהתאם לבקשתה הכתובה של המזמינה, הספק ימחק את המידע האישי שנמסר לו בחלוף 12 חודשים ממועד סיום ההסכם. על אף האמור, מידע הנדרש לשם המטרות המותרות יישמר באופן מאובטח בהתאם לנספח זה, כל עוד נדרש. לפי בקשתה הסבירה של המזמינה, יעביר הספק אישור בכתב על השלמת פעולת המחיקה כאמור.

• דיווחים ובקרות: 

1. 1. 1. בהתאם לבקשתה הסבירה בכתב, ובתדירות שלא תעלה על אחת לשנה, הספק ימסור למזמינה דיווח שנתי על אופן ביצוע חובותיו בהתאם לעמידה בדרישות אבטחת מידע לפי נספח זה.
      2. בכפוף לכל דין, הספק יודיע למזמינה בהקדם ולא יאוחר מ7 ימים לאחר שתתקבל אצלו פנייה, דרישה או תלונה בקשר למידע האישי של המזמינה, כל עוד יכול לעשות זאת בין אם מרשות להגנת הפרטיות, מרשות מוסמכת אחרת, או מצד שלישי כלשהו, לרבות על כל הליך בחינה או פיקוח שייערך על ידי רשות מוסמכת.

•  כללי:

1. 1. לכל עניין הנוגע להסכם זה ניתן לפנות למחלקה העסקית בטלפון: 055-991-91-91 או בדוא״ל: Hi@textme.co.il.
   2. אין במסמך זה כדי לגרוע מחובותיהם וזכויותיהם של הצדדים לנספח זה על פי חוקי הגנת הפרטיות, ההסכם ודינים אחרים החלים על השירותים הניתנים מכוח ההסכם בין הצדדים. מובהר כי המזמינה הינה האחראית הבלעדית לדרישות החלות עליה מכוח דיני הפרטיות כבעלת השליטה במאגר המידע, לרבות קבלת ההסכמות הנדרשות, מתן יידוע וכיו״ב.
   3. נספח זה יהיה בתוקף החל ממועד חתימתו, מועד חתימת ההסכם, או מועד הגישה למידע האישי בפועל, לפי המוקדם, ועד לסיום ההתקשרות למתן השירותים וכל עוד הספק מעבד מידע אישי של המזמינה.
   4. מבלי לגרוע מאחריות הצדדים לפי ההסכם, הנספח ממצה את יחסי הצדדים בכל הנוגע לנושאו התחייבות, הבטחה או מצג שנעשו בין הצדדים לפני חתימתו, בכתב או בעל פה, בטלים בזאת. כל שינוי או תיקון של נספח זה יהיה תקף אך ורק אם נערך בכתב ונחתם על ידי הצדדים.

תוספת א׳ לנספח – פרטי עיבוד מותרים לספק 

סוגי המידע שהספק רשאי לעבד:

פרטי נמעני הודעות ומסרונים, מספרי טלפון סלולריים של הנמענים וכן כל מידע אישי אחר הכלול בתוכן הודעות או שיעובר על ידי הלקוח בכל אמצעי, היסטוריית ההודעות ורשימות תפוצה, ככל שרלוונטי.

מטרות השימוש המותרות במידע זה:

שליחת הודעות SMS לנמענים מטעם המזמינה במסגרת השירות וכאמור בנספח שלעיל. 

מערכות המאגר שהגורם החיצוני רשאי לגשת אליהן ומורשה הגישה מטעם הספק:

אין לספק גישה ישירה למערכות המידע של המזמינה; המידע הדרוש (לדוגמה, רשימת נמעני SMS) מתקבל מהמזמינה לצורך מתן השירות. 

סוג העיבוד או הפעולה שהגורם החיצוני רשאי לעשות: קבלה, שמירה ועיבוד של המידע האישי במערכות הספק; שליחת הודעות SMS לנמענים בהתאם להוראות המזמינה וכל פעולה הנדרשת לשם השגת המטרות המותרות. 

תוספת ב׳ לנספח – אמצעי אבטחת מידע

1. אבטחה פיזית. הספק מתחייב להגן על המערכות שבהן מאוחסן המידע האישי של בעלת המאגר, לרבות אמצעים שימנעו פגיעות סביבתיות, גישה לא מורשית או חדירה למערכות אלה. המערכות ימוקמו במקום מאובטח, והגישה אליהן תתאפשר אך ורק לעובדים שהוסמכו לכך וקיבלו הרשאות מתאימות. בנוסף, הספק ינקוט אמצעים פיזיים מקובלים, שיבטיחו שרק בעלי הרשאות מתאימות יוכלו לגשת למידע האישי. 
2. אמצעי אבטחה טכנולוגיים. הספק מתחייב ליישם אמצעי אבטחה מתאימים למניעת חדירה מכוונת או מקרית למערכותיו או למידע האישי של בעלת המאגר, בהתאם לרמת הרגישות של המידע. אמצעים אלו יכללו, בין היתר:
3. התקנת חומות אש (Firewalls) להגנה על רשתות פנימיות מפני גישה לא מורשית.
4. התקנת תוכנות אנטי-וירוס מעודכנות להגנה מפני תוכנות זדוניות.
5. הספק יוודא כי כל מערכות החומרה והתוכנה מעודכנות בהתאם להנחיות היצרן ולא ישתמש במערכות שהיצרן הפסיק את התמיכה בהיבטי האבטחה שלהן. 
6. בקרה ותיעוד. הספק יפעיל מנגנון בקרה אוטומטי לניהול ואימות גישה למערכותיו, שיכלול תיעוד זהות המשתמשים, תאריכי ושעות ניסיון הגישה, סוג המערכת, אופי הגישה והאם הבקשה אושרה או נדחתה. המידע מהבקרות ייבדק באופן תקופתי על מנת לזהות חריגות ולתקן ליקויים. 
7. נהלים. הספק יפעל בהתאם למדיניות אבטחת מידע ולנהלים, לרבות לעניין גיבוי ושחזור המידע. הספק יבדוק את מדיניות האבטחה ואת הנהלים לפחות אחת לשנה, או בכל שינוי מהותי במערכותיו, ויעדכן אותם בהתאם לצורך. 
8. ניהול הרשאות גישה. הספק יקבע מנגנון מסודר למתן הרשאות גישה למידע האישי של בעלת המאגר, תוך הגדרת רמות ההרשאה בהתאם לצורך. הספק ינהל רשימה מעודכנת של מורשי הגישה, כולל פירוט רמות ההרשאה שהוקצו לכל אחד מהם. בנוסף, הספק יבטיח הפרדה מספקת, פיזית או לוגית, בין מערכות המשמשות לגישה למידע האישי של בעלת השליטה במאגר לבין מערכות אחרות המשמשות את הספק לצורך פעילותו העסקית או לטובת לקוחות אחרים.
9. העברות מידע. הספק לא יעביר מידע אישי דרך רשתות ציבוריות או רשת האינטרנט, אלא תוך שימוש בשיטות הצפנה מאובטחות ומקובלות, כגוןTLS  אוIPsec  כדי להגן על סודיות ושלמות המידע. כמו כן, הספק לא יאפשר העתקת מידע אישי להתקנים ניידים, למעט במקרים שניתנה לכך הרשאה מפורשת מראש מאת בעלת המאגר.
10. הסמכות רשמיות. הספק מחזיק בהסמכת ISO27001 בתוקף ופועל לפי דרישותיה.