נספח עיבוד מידע

נספח זה נערך לפי תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ולפי סעיף 28 לתקנת האיחוד האירופי 2016/679 (GDPR) ול-UK GDPR, לתורמים שנמצאים שם. בסתירה בין הנספח להסכם הפלטפורמה, הנספח גובר בכל הנוגע למידע אישי.

1. הצדדים ותפקידיהם

1.1. העמותה היא בעלת השליטה במאגר המידע של תורמיה ("בעל השליטה", וב-GDPR: controller).

1.2. המפעילה, [להשלמה: שם החברה] בע"מ, ח.פ. [להשלמה], היא "מחזיק" כהגדרתו בסעיף 3 לחוק הגנת הפרטיות, התשמ"א-1981: גורם חיצוני לבעל השליטה המעבד בעבורו מידע (וב-GDPR: processor).

1.3. המפעילה מעבדת את המידע רק לפי הוראות העמותה המתועדות בהסכם ובנספח זה, ולא לשום מטרה משלה. הוראה שלדעת המפעילה מפרה את הדין: המפעילה מודיעה לעמותה לפני ביצועה.

2. המידע, המטרות והעיבוד (תקנה 15(א)(1) ו-(2); סעיף 28(3) רישה)

3. אבטחת מידע (תקנה 15(א)(3))

3.1. המפעילה מקיימת את תקנות אבטחת המידע ברמה החלה על המאגר [להשלמה: בינונית או גבוהה, לפי מסמך הגדרות המאגר], ולפחות: מסמך הגדרות מאגר, נוהל אבטחה, מיפוי מערכות, בקרת גישה אישית והרשאות לפי תפקיד, תיעוד גישה (יומנים ל-24 חודשים), הצפנה בתעבורה ובגיבוי, סיסמאות מוצפנות חד כיוונית, הפרדה בין סביבת הפיתוח לייצור, עדכוני אבטחה, בדיקת חדירות תקופתית [להשלמה: תדירות], וגיבוי יומי עם בדיקת שחזור.

3.2. פרטי כרטיס האשראי המלאים אינם עוברים דרך הפלטפורמה ואינם נשמרים בה; הם נמסרים לספק הסליקה בלבד, שעומד בתקן PCI DSS.

3.3. הגישה למידע ניתנת רק לעובדי המפעילה ולקבלני המשנה שהדבר נדרש לתפקידם, והם חתומים על התחייבות לסודיות (סעיף 5).

4. אירוע אבטחה (תקנה 15(א)(5); סעיף 33(2))

4.1. המפעילה מודיעה לעמותה על אירוע אבטחה חמור, כהגדרתו בתקנות, בלי דיחוי ולא יאוחר מ-24 שעות מגילויו, עם הפרטים הידועים: מה קרה, איזה מידע ואילו נושאי מידע נפגעו, מה נעשה ומה מומלץ לעמותה לעשות.

4.2. המפעילה מסייעת לעמותה בדיווח לרשות להגנת הפרטיות, ולתורמים באיחוד ובבריטניה לרשות הפיקוח ולנושאי המידע לפי סעיפים 33 ו-34 ל-GDPR.

5. סודיות (תקנה 15(א)(4); סעיף 28(3)(ב))

כל מי שניגש למידע מטעם המפעילה חתום על התחייבות לסודיות שתוקפה נמשך גם אחרי סיום העסקתו או ההתקשרות. המפעילה מדריכה את עובדיה באבטחת מידע ובפרטיות לפחות אחת לשנה.

6. קבלני משנה (תקנה 15(א)(6); סעיף 28(2) ו-(4))

6.1. העמותה מאשרת באופן כללי את קבלני המשנה האלה:

6.2. החלפה או הוספה של קבלן משנה: הודעה לעמותה 14 ימים מראש; העמותה רשאית להתנגד מטעם סביר, ואם לא נמצא פתרון, לסיים את ההסכם בלי חיוב. המפעילה מחייבת כל קבלן משנה באותן חובות שבנספח זה ונושאת באחריות למעשיו.

7. סיוע לעמותה (סעיף 28(3)(ה) ו-(ו))

7.1. בקשת עיון, תיקון, מחיקה, ניידות או התנגדות שהגיעה למפעילה מועברת לעמותה בתוך 3 ימי עסקים, והמפעילה מספקת את הנתונים והכלים לענות עליה בתוך המועד שבדין.

7.2. המפעילה מסייעת לעמותה, לפי בקשה ובעלות סבירה, בתסקיר השפעה על פרטיות ובהתייעצות עם רשות פיקוח.

8. השבה ומחיקה (תקנה 15(א)(2); סעיף 28(3)(ז))

8.1. בסיום ההסכם, ובכל עת לבקשת העמותה, המפעילה מוסרת לעמותה ייצוא של המידע בפורמט פתוח (CSV) בתוך 14 ימים.

8.2. בתוך 30 ימים מהמסירה המפעילה מוחקת את המידע ממערכותיה, למעט מה שדין מחייב לשמור: קבלות ורישומי תשלום, 7 שנים מתום שנת המס; יומני אבטחה, 24 חודשים. העותק בגיבוי נמחק עם מחזור הגיבוי, ולא יאוחר מ-90 יום.

8.3. המפעילה מאשרת את המחיקה בכתב לבקשת העמותה.

9. דיווח, ביקורת ופיקוח (תקנה 15(ב); סעיף 28(3)(ח))

9.1. המפעילה מוסרת לעמותה אחת לשנה דיווח על עמידתה בחובות נספח זה ובתקנות אבטחת המידע.

9.2. העמותה, או מבקר מטעמה החתום על סודיות, רשאית לבדוק את עמידת המפעילה בנספח אחת לשנה ובכל אירוע אבטחה, בתיאום מראש של 14 ימים, בשעות העבודה ובלי לפגוע בסודיות של עמותות אחרות. המפעילה רשאית להסתפק במסירת דוח ביקורת עדכני של גורם חיצוני במקום ביקורת בשטח.

10. העברות מחוץ לישראל ולאיחוד

10.1. העיבוד נעשה בישראל. הגיבוי המוצפן נשמר במדינה שבה רמת הגנה נאותה לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001.

10.2. לגבי תורמים שנמצאים באיחוד או בבריטניה: ישראל מוכרת בהחלטת נאותות של הנציבות האירופית [להשלמה: אימות תוקף ההחלטה ומעמדה בבריטניה]. העברה למדינה אחרת תיעשה רק לפי מנגנון מוכר (סעיף 46 ל-GDPR).

11. ממונה ואיש קשר

המפעילה: [להשלמה: שם ממונה הגנת הפרטיות או איש הקשר, מייל]. העמותה: איש הקשר שרשום באזור הניהול. כל הודעה לפי נספח זה נשלחת לשני המיילים האלה.

12. אחריות

הפרת נספח זה היא הפרה יסודית של הסכם הפלטפורמה. אחריות המפעילה כפופה למגבלה שבסעיף 12 להסכם, למעט נזק הנובע מהפרה בזדון של חובת הסודיות או מאי קיום הודעה על אירוע אבטחה.