נספח עיבוד מידע (DPA)

נספח זה מהווה חלק בלתי נפרד מהסכם ההתקשרות ותנאי השימוש ("ההסכם"), ומסדיר את עיבוד המידע האישי על ידי מפעילת השירות SmartOps AI ("החברה", "המעבד") מטעם הלקוח ("בעל השליטה").

1. מעמד הצדדים

1.1. ביחס למידע אישי של לקוחות, ספקים, עובדים ומשתמשי-קצה שהלקוח מזין, מעלה או יוצר במערכת ("מידע אישי"), הלקוח הוא בעל השליטה, והחברה פועלת כמעבדת מטעמו בלבד.

1.2. החברה תעבד מידע אישי אך ורק בהתאם להוראות המתועדות של הלקוח, כפי שהן מגולמות בהסכם ובשימוש במערכת, ולצורך אספקת השירות בלבד, אלא אם נדרש אחרת בדין.

2. חובות החברה כמעבדת

2.1. לעבד מידע אישי רק לצורך אספקת השירות ובמסגרת ההוראות.

2.2. להבטיח כי הגישה למידע מוגבלת למי שנדרש לכך, וכי כל הניגשים כפופים לחובת סודיות.

2.3. לנקוט אמצעים טכניים וארגוניים סבירים להגנת המידע, כמפורט בנספח א' להלן.

2.4. לסייע ללקוח, ככל הניתן וסביר, במענה לבקשות נושא מידע ובעמידה בחובותיו הרגולטוריות.

2.5. דיווח על אירוע אבטחה: להודיע ללקוח ללא דיחוי בלתי סביר, ולא יאוחר מ-72 שעות מגילוי אירוע אבטחה מהותי הנוגע למידע האישי, ככל הניתן, ולמסור מידע סביר הזמין לחברה לצורך עמידת הלקוח בחובות הדיווח שלו לפי דין, לרבות לפי חוק הגנת הפרטיות ותקנותיו.

2.6. למחוק או להשיב את המידע האישי בתום ההתקשרות, בכפוף לחובות שמירה בדין ולמדיניות הגיבויים, כמפורט במדיניות הביטול ומחיקת הנתונים.

3. חובות בעל השליטה (הלקוח)

3.1. הלקוח מצהיר ומתחייב כי קיים לו בסיס חוקי לאיסוף ולעיבוד המידע האישי שהוא מזין למערכת, וכי מסר את ההודעות וקיבל את ההסכמות הנדרשות מנושאי המידע.

3.2. הלקוח אחראי לחוקיות ההוראות שהוא מעביר לחברה ולתוכן המידע האישי.

4. ספקי משנה (Sub-processors)

4.1. הלקוח מאשר ומסכים כי החברה נעזרת בספקי משנה לצורך אספקת השירות, כמפורט בנספח ב' להלן.

4.2. החברה תבטיח כי ספקי המשנה כפופים להתחייבויות הגנת מידע וסודיות בהיקף מהותי דומה לאמור בנספח זה.

4.3. החברה רשאית לעדכן את רשימת ספקי המשנה מעת לעת ותפרסם את הרשימה המעודכנת. שינוי מהותי יובא לידיעת הלקוח, ותעמוד לו זכות התנגדות מנימוקים סבירים.

4.4. הבהרה מהותית: הלקוח מאשר כי המערכת נבנתה ומתארחת על תשתית פלטפורמת פיתוח צד-שלישי (Base44, המופעלת על ידי Wix.com Ltd.), וכי חלק מרכיבי השירות מתבססים על שירותי ענן, אחסון, עיבוד מסמכים ומודלים של בינה מלאכותית של צדדים שלישיים. אחריות החברה בגין כשל, זמינות או אבטחה של ספקי תשתית אלה כפופה למגבלות האחריות שבהסכם ולתנאי אותם ספקים.

5. העברת מידע אל מחוץ לישראל

חלק מהמידע האישי מאוחסן ומעובד מחוץ לישראל, לרבות בארצות הברית ובאיחוד האירופי, על ידי ספקי המשנה. העברה זו מבוססת על מנגנונים מקובלים בדין להעברת מידע לחו"ל.

6. ביקורת

אחת לשנה, ובכפוף להודעה מוקדמת סבירה ולחתימה על הסכם סודיות, הלקוח (או מבקר מטעמו) רשאי לבקש מידע סביר לצורך אימות עמידת החברה בנספח זה. החברה רשאית להיענות באמצעות המצאת תעודות, דוחות ביקורת או שאלונים, חלף ביקורת פרונטלית.

7. אחריות

אחריות הצדדים בקשר לנספח זה כפופה למגבלות ולתקרת האחריות הקבועות בהסכם ההתקשרות.

נספח א' — אמצעים טכניים וארגוניים

החברה מיישמת אמצעים סבירים ומקובלים, לרבות: הפרדה לוגית בין לקוחות (multi-tenant scoping); ניהול הרשאות ובקרת גישה מבוססת-תפקיד; אימות משתמשים; הצפנת מידע בתעבורה ובמנוחה; תיעוד פעילות (logging) ובקרה; ניטור אבטחה והתמודדות עם מתקפות נפוצות; שימוש בתשתיות ענן מאובטחות; ונהלים לגיבוי ולשחזור. האמצעים נסקרים ומעודכנים מעת לעת.

נספח ב' — רשימת ספקי משנה

הרשימה שלהלן משקפת את ספקי המשנה המהותיים נכון למועד העדכון. חלק מהספקים משמשים את פלטפורמת התשתית (Base44/Wix) שעליה נבנתה המערכת, וחלקם משמשים את החברה ישירות.

• Wix.com Ltd. / Base44 — פלטפורמת פיתוח, אירוח ותפעול המערכת · מיקום: ישראל / ארה"ב · משך שמירה: למשך ההתקשרות; נמחק/מוחזר בסיומה
• Google Cloud Platform (GCP) — תשתית ענן, הרצת אינטגרציות ומנוע חתימה קריפטוגרפית · מיקום: ארה"ב / גלובלי · משך שמירה: למשך ההתקשרות; נמחק/מוחזר בסיומה
• MongoDB — אחסון ובסיס נתונים (דרך פלטפורמת התשתית) · מיקום: ארה"ב · משך שמירה: למשך ההתקשרות; נמחק/מוחזר בסיומה
• Cloudflare — אחסון ותשתית בסיסי נתונים ורשת (דרך פלטפורמת התשתית) · מיקום: ארה"ב / גלובלי · משך שמירה: למשך ההתקשרות; נמחק/מוחזר בסיומה
• Render — שירותי שרתים (דרך פלטפורמת התשתית) · מיקום: ארה"ב · משך שמירה: למשך ההתקשרות
• Supabase — אחסון מדיה (דרך פלטפורמת התשתית) · מיקום: ארה"ב · משך שמירה: למשך ההתקשרות; נמחק/מוחזר בסיומה
• SendGrid — שליחת דוא"ל ותקשורת · מיקום: ארה"ב · משך שמירה: מטא-דאטה תפעולית לתקופה מוגבלת
• OpenAI — קריאות למודלי שפה (יכולות AI) · מיקום: ארה"ב · משך שמירה: עיבוד רגעי לצורך הבקשה; אינו משמש לאימון
• Anthropic — קריאות למודלי שפה (יכולות AI) · מיקום: ארה"ב · משך שמירה: עיבוד רגעי לצורך הבקשה; אינו משמש לאימון
• Datadog / Logfire / Langfuse — ניטור, תיעוד טכני ומעקב ביצועים (logging & tracing) · מיקום: ארה"ב / אירופה · משך שמירה: לוגים לתקופה מוגבלת (בדרך כלל עד 30–90 יום)
• רשות המסים בישראל — דיווח ואינטגרציה רגולטורית · מיקום: ישראל · משך שמירה: לפי דרישות הדין

משך השמירה הוא אינדיקטיבי, כפוף למדיניות הספק ולחובות שמירה בדין. הרשימה המחייבת והמעודכנת מתפרסמת בדף זה.