הסכם עיבוד מידע

1. הצדדים והתפקידים

הסכם זה נערך בין המשרד המאשר אותו, כבעל השליטה במידע על לקוחותיו ובמסמכים שבניהולו, לבין מיטב לוי, מפעיל מסמכנט, כמחזיק המעבד מידע מטעמו.

ההסכם חל על איסוף מסמכים, שאלונים, הודעות, חתימות, אחסון ותיעוד הנעשים במסגרת השירות. הוא יחול כל עוד מסמכנט מחזיקה מידע מטעם המשרד, לרבות לאחר סיום המנוי.

2. מטרות והוראות עיבוד

מסמכנט תעבד מידע רק לצורך השירות ובהתאם להוראות מתועדות של המשרד, לרבות ההגדרות שקבע במערכת.

הפעולות המותרות הן קליטה, ארגון, שמירה, הצגה, העברה, הפקת מסמכים, תיעוד, ייצוא ומחיקה, וכן פעולות תמיכה ואבטחה הדרושות לשירות.

אין להשתמש במידע לצרכים עצמאיים, למכור אותו, לפלח באמצעותו לקוחות או להשתמש בתוכנו לאימון מודלים.

כאשר קיים חשש סביר שהוראת משרד מנוגדת לדין, מסמכנט תודיע למשרד ללא דיחוי ותעכב את הפעולה הרלוונטית עד לבירור. מסמכנט לא תבצע הוראה שנמצא כי היא מנוגדת לדין. העיכוב יוגבל לפעולה הנוגעת לחשש ולא יפטור מטיפול במידע או מקיום חובה החלה לפי דין.

3. נושאי המידע וסוגיו

המידע עשוי להתייחס ללקוחות, עובדים, חותמים, נציגים, נמענים נוספים ואנשים שפרטיהם נכללים במסמכים ובשאלונים.

הוא כולל פרטי זיהוי וקשר, מידע עסקי ופיננסי, תשובות לשאלונים, תוכן מסמכים, חתימות גרפיות, צירופים, תבניות, סטטוסים, מועדי פעולות, נתוני אימות, תיעוד הסכמות, כתובות IP ונתוני דפדפן.

מידע בעל רגישות מיוחדת יעובד רק ככל שנחוץ לשירות המוסכם. המשרד לא יעביר מידע שאינו נדרש למטרותיו או שאינו רשאי למסור.

4. מערכות, הרשאות וסודיות

הגישה תוגבל למערכות מסמכנט ולשירותי הספקים הנחוצים לביצוע ההסכם. גישה לענן המשרד תיעשה רק במסגרת ההרשאות שניתנו ולפעולות הדרושות לשירות.

מסמכנט תגביל הרשאות מטעמה לפי צורך ותפקיד, תבטל הרשאות שאינן נדרשות ותחייב בעלי גישה בחתימה על התחייבות לסודיות ולשימוש מותר במידע. יינתנו הדרכות כנדרש בדין ולא פחות מאחת לשנתיים.

המשרד אחראי לניהול משתמשיו, לתקינות פרטי הנמענים ולהרשאה למסור עותקים למקבליהם.

5. אבטחה ושלמות התיעוד

מסמכנט תקיים אמצעים טכניים וארגוניים בהתאם לדין ולסיכוני העיבוד, לרבות הגנה על קבצים ועל בסיסי נתונים, בקרת גישה, הפרדה בין משרדים, הצפנת תקשורת, תיעוד אירועים, גיבוי ושחזור ונוהלי טיפול בתקלות.

מסמכנט תקשר את תיעוד ההחתמות למסמך ולנמענים המתאימים ותבחין בין פעולות שתועדו בעת ביצוען לבין מידע ששוחזר לאחר תקלה. היא תציין מגבלות ידועות ולא תציג אימות שלא בוצע או מידע משוחזר כאילו תועדו בזמן הפעולה.

מסמכנט תמסור למשרד, לפי בקשה סבירה, מידע על אמצעי האבטחה הרלוונטיים לעיבוד המידע שלו, בכפוף להגנה על אבטחת השירות ועל מידע של אחרים. מסמכנט אינה מצהירה על הסמכה לתקן או על אישור רגולטורי שלא ניתנו לה.

6. אירועי אבטחה

מסמכנט תודיע למשרד ללא דיחוי, ולא יאוחר מ-24 שעות מגילוי אירוע אבטחה הנוגע למידע שלו. ההודעה הראשונית תכלול את הפרטים הידועים ותעודכן בהמשך לפי הצורך.

מסמכנט תפעל לצמצום הפגיעה, לשמירת תיעוד רלוונטי ולסיוע בבירור. דיווח לרשות מוסמכת ייעשה לפי החובה והמועד החלים בדין; פרק הזמן להודעה למשרד אינו דוחה חובה זו.

כל צד יקיים את חובות הדיווח החלות עליו. הצדדים יתאמו את הטיפול בלי לעכב הודעה נדרשת.

7. ספקים נוספים והעברות לחו"ל

לפני מתן גישה למידע לספק המעבד אותו מטעם מסמכנט, מסמכנט תבחן את סיכוני ההתקשרות ותסדיר בכתב את מטרות העיבוד, סוגי המידע והפעולות המותרות, הרשאות הגישה, סודיות, אבטחה, דיווח על אירועים, סיוע במימוש זכויות, שימוש בספקי משנה, השבת המידע ומחיקתו בסיום ההתקשרות. ההסדר יכלול הגבלות על שימוש עצמאי ועל העברה נוספת, בהתאם לדין ולתפקיד הספק. מסמכנט תפקח על קיום ההסדרים, והתקשרות עם ספק לא תגרע מהתחייבויותיה כלפי המשרד.

רשימת הספקים הפעילים, מטרות העיבוד וסוגי המידע מפורטת להלן ומהווה חלק מההסכם. אישור ההסכם מהווה אישור לספקים המפורטים ברשימה בלבד.

הודעה על הוספת ספק או החלפתו תימסר לפחות 14 יום מראש ותפרט את השירות, המידע שיועבר ומקומות העיבוד הידועים. שינוי המהווה גם שינוי מהותי בהסכם כפוף למועד ההודעה של 30 יום ולמנגנון האישור שבתנאי השימוש. אם המשרד מתנגד מטעם סביר הנוגע להגנת המידע ולא הושגה הסכמה, הוא רשאי לסיים את ההתקשרות ללא קנס ולקבל החזר יחסי על התקופה שלא נוצלה.

העברה אל מחוץ לישראל תיעשה בהתאם לתנאים הקבועים בדין ולהתחייבויות הנדרשות ממקבל המידע. עצם ההתקשרות עם המשרד או עם ספק אינה מחליפה תנאים אלה.

מסמכנט אחראית כלפי המשרד לקיום התחייבויות העיבוד גם כאשר נעשה שימוש בספק מטעמה. חשבון ענן שהמשרד התקשר בו ישירות נשאר בשליטתו; אחריות מסמכנט לפעולות שהיא מבצעת בו אינה נגרעת.

רשימת הגורמים הנוספים במסגרת השירות:

Google Drive מופעל רק בהוראת המשרד ובחשבון שבשליטתו; הוא אינו מחליף את האחסון בשירות ההחתמות. תפקידם של ספקי התקשורת ושל חשבון הענן לפי דין תלוי בסוג המידע ובתנאי השירות החלים; הרשימה אינה קובעת שכל עיבוד שהם מבצעים הוא בהכרח עיבוד מטעם מסמכנט בלבד.

מקום ההתאגדות של ספק אינו בהכרח מקום אחסון המידע; תמיכה ועיבוד נוסף עשויים להתבצע במדינות אחרות, כמפורט ברשימה ובתנאי הספק. מסירת מידע מחוץ לישראל כפופה להסדר העברה תקף לפי הדין; הרשימה כשלעצמה אינה יוצרת הסדר כזה.

ביחס ל-Switchy, אין בידינו אימות מלא של הסכם העיבוד החל על מידע לקוחות, מיקומי העיבוד, ספקי המשנה ומחיקת הקישורים ונתוני הקליקים. רשימת הספקים אינה אישור שהסדרים אלה הושלמו, ואינה פוטרת את מסמכנט מהסדרתם כנדרש בדין.

8. זכויות נושאי מידע וביקורת

מסמכנט תעביר למשרד ללא דיחוי פניות הנוגעות למידע שבשליטתו ותסייע במענה במועד המאפשר עמידה בדין. הסיוע בבקשת עיון או תיקון יינתן בהקדם ובמועד שישאיר למשרד זמן סביר להשלמת המענה בתוך המועד הקבוע בדין, הנמנה מקבלת הבקשה אצל הגורם המחויב במענה. העברת הפנייה בין הצדדים אינה מתחילה מחדש את מניין הימים. בקשת מחיקה תטופל בתוך 14 ימי עסקים מאישור המשרד, או מוקדם יותר אם הדבר נדרש כדי לעמוד בדין. אין בכך לפטור אותה מחובה החלה עליה ישירות. אם אדם פנה למסמכנט תחילה בבקשת עיון, מסמכנט תודיע לו, לאחר אימות מתאים, אם היא מחזיקה מידע אישי עליו. כאשר המידע מוחזק מטעם המשרד, מסמכנט תמסור את שם המשרד שהוא בעל השליטה ואת מענו, בהתאם לדין. העברת הפנייה למשרד לא תבוא במקום קיום חובה ישירה של מסמכנט.

מסמכנט לא תשנה תוכן של מסמך שכבר נחתם ללא תיעוד מתאים. תיקון מידע ייעשה בדרך השומרת על ההבחנה בין המסמך שנחתם לבין התיקון, למשל באמצעות מסמך מתוקן או תיעוד נפרד.

אחת לשנה לפחות תמסור מסמכנט למשרד דיווח על קיום חובותיה לפי ההסכם ותקנות אבטחת המידע.

המשרד רשאי לבקש מידע הדרוש לבקרה ולתאם ביקורת סבירה, תוך שמירת סודיות והגנה על מידע של משרדים אחרים. מסמכנט תסייע בבירור של רשות מוסמכת הנוגע לשירות. בקשת מידע לבקרה תימסר בהודעה מוקדמת של 14 ימי עסקים ותיענה בתוך 30 יום. ביקורת מטעם המשרד תתואם מראש והבודק יתחייב לסודיות. עלות ביקורת מעבר לאחת לשנה תחול על המשרד, למעט ביקורת הנדרשת באופן סביר בעקבות אירוע אבטחה שנגע למידע שלו, שעלותה תחול על מסמכנט. ביקורות חוזרות הנוגעות לאותו אירוע יוגבלו להיקף הנחוץ לבירורו ולבדיקת תיקונו. תיאום מוקדם וחלוקת עלויות לא יעכבו בדיקה או מסירת מידע הנדרשות לפי דין או בידי רשות מוסמכת. מסמכנט תקיים ביקורת אבטחה בידי גורם בעל הכשרה מתאימה ותעמיד ממצאים רלוונטיים לרשות המשרד לפי בקשה.

9. שמירה, השבה ומחיקה

במשך המנוי יישמר המידע הדרוש לשירות, בכפוף להוראות מחיקה תקפות של המשרד. המשרד יבחן מעת לעת את הצורך בהמשך השמירה.

בסיום המנוי נחסמות שליחות חדשות והאפשרות לחתום. ממועד סיום המנוי, ולא ממועד חתימת מסמך, יועמד לרשות המשרד במשך 30 יום תיעוד החתימות בלבד, בפורמט המאפשר שימוש מחוץ למערכת. תיעוד זה לא יכלול את מסמכי המקור, המסמכים החתומים או הצירופים. מומלץ למשרד להוריד מסמכים אלה במהלך המנוי ולשמרם לפי חובותיו. לאחר סיום המנוי ניתן לקבלם גם בפנייה למסמכנט, כמפורט להלן. אין בהגבלת ההורדה לגרוע מחובת סיוע ומענה לבקשות מידע לפי דין. יתר המידע נשמר עד מועד המחיקה גם כאשר אינו זמין להורדה.

הייצוא בתקופה זו אינו כולל גם ערכי שדות ותמונות חתימה; הוא כולל את רשומות התיעוד המותרות, בכפוף למגבלות המוצגות בו. מחיקה קבועה שביצע המשרד קודם לכן עשויה להסיר גם את התיעוד. העברה ל"נמחקו לאחרונה" כשלעצמה אינה מחיקה קבועה, וחלון שחזור המסמך הוא עד 90 יום בהתאם למצב המנוי.

לקבלת מסמכי המקור, המסמכים החתומים והצירופים לאחר סיום המנוי, על מורשה מטעם המשרד לפנות ל-mismachnet@gmail.com ולציין את שם המשרד ואת המסמכים המבוקשים. לאחר אימות זהות הפונה והרשאתו, מסמכנט תמסור למשרד עותק של המסמכים שנותרו שמורים במערכות השירות הפעילות, בדרך מאובטחת ובתוך זמן סביר, ללא תשלום נוסף וללא צורך בחידוש המנוי. בקשה לקבלת עותקים במסלול זה יש להגיש לפחות שלושה ימי עסקים לפני מועד המחיקה. עליה לכלול פרטים המאפשרים לזהות את המשרד ואת המסמכים המבוקשים. מסמכנט תמסור למשרד מראש את מועד המחיקה ואת המועד האחרון להגשת הבקשה, ותודיע ללא דיחוי אם חסרים פרטים או נדרש אימות נוסף. בקשה שהוגשה במועד ותאפשר אימות מתאים תטופל כך שהעותקים יימסרו לפני המחיקה. אם הפונה לא השלים פרטים או אימות שנדרשו באופן סביר, מסמכנט תודיע על כך לפני המחיקה; פנייה חסרה אינה כשלעצמה מאריכה את תקופת השמירה. לעניין מסלול זה, ימי עסקים הם ימים א עד ה שאינם חג או יום שבתון על פי דין בישראל. המועד האחרון מתייחס למסירת עותקים חוזית למשרד בלבד ואינו מגביל בקשת עיון או זכות אחרת לפי דין. אין התחייבות לשחזור מסמכים שכבר נמחקו. מסירת העותק אינה מחדשת את המנוי או את הגישה השוטפת לשירות, ואינה גורעת מזכויות לפי דין.

נתוני ההחתמות ומסמכי ההחתמות יימחקו ממערכות השירות הפעילות בתום 30 יום ממועד סיום המנוי. מסמכנט תשלח למשרד התראה לפחות שלושה ימים לפני מועד המחיקה; ההתראה תפרט את מועד המחיקה, את המועד האחרון להגשת בקשה לקבלת עותקים ואת הדרך לפנות לשירות. מידע על המועד האחרון יימסר מראש, לפני חלוף המועד להגשת הבקשה, ולא רק בהתראה הסופית לפני המחיקה. שליחת ההתראה אינה מוסיפה תקופת שמירה מעבר ל-30 הימים. אם תקלה במשלוח ההתראה או בביצוע המחיקה מונעת את השלמת ההליך במועד, מסמכנט תפעל ללא דיחוי לתיקונה ולהשלמת המחיקה, תגביל את השמירה להיקף ולזמן הנחוצים לכך ולא תשתמש במידע לפעילות שוטפת. חידוש המנוי לפני המחיקה או חובת שמירה לפי דין או צו יטופלו כמפורט להלן. מחיקה לא תסכל טיפול בבקשת עיון כדין שהתקבלה בעוד המידע שמור. אם נדרשת שמירה לצורך הטיפול לפי דין, היא תוגבל למידע ולתקופה הנחוצים לכך.

תקופת 30 הימים מתייחסת למידע של שירות ההחתמות. תקופות השמירה והטיפול בנתוני חשבון, שאלונים ושירותי איסוף המסמכים מפורטות במדיניות הפרטיות. חובות צמצום המידע, הטיפול בבקשות ומחיקה לפי דין חלות גם על סוגי מידע אלה.

מידע הנשמר מכוח חובה חוקית יוגבל להיקף ולתקופה הנדרשים, הגישה אליו תוגבל והוא יימחק עם סיום החובה. תימסר למשרד הודעה ככל שהדבר מותר בדין.

עותקי גיבוי לא ישמשו להמשך פעילות רגילה לאחר מחיקת המידע. במקרה של שחזור, ייושמו מחדש הוראות המחיקה לפני החזרת המידע לשימוש שוטף.

עותקי גיבוי עשויים להיוותר לאחר המחיקה מהמערכות הפעילות. בשלב זה לא נקבעה בהסכם תקופה מרבית לסילוקם, ולכן אין התחייבות למחיקת כל העותקים באותו מועד. מסמכנט תמסור למשרד לפי בקשה מידע על מצב מחיקת העותקים שלו. שמירת גיבוי תוגבל לצורך מוצדק ובהתאם לדין; הגיבוי לא ישמש להמשך פעילות שוטפת.

מסמכנט תמסור אישור מחיקה בכתב בתוך 14 יום ממועד המחיקה, גם אם לא התבקש. אישור המחיקה יפרט את היקפה, מידע שנשמר מכוח חובה ואת מצב סילוק הגיבויים. האישור יבחין בין מחיקה מהמערכות הפעילות לבין סילוק עותקי גיבוי.

מחיקה לפי הסכם זה אינה חלה על עותקים שכבר נמסרו למשרד או לנמענים ונמצאים בשליטתם.

10. אחריות ותחולה

כל צד אחראי לחובותיו לפי הדין והסכם זה. חובות המשרד אינן פוטרות את מסמכנט מחובותיה כמחזיק.

הגבלות האחריות שבתנאי השימוש יחולו בכפוף לחריגים שנקבעו בהם, לרבות הפרת הסכם זה שגרמה לפגיעה בפרטיות.

שינוי מהותי בהסכם יימסר ויובא לאישור בהתאם לתנאי השימוש. חובות סודיות, אבטחה ומחיקה ימשיכו לחול כל עוד המידע מוחזק.

ההסכם כפוף לדין הישראלי. לפניות: mismachnet@gmail.com.