נספח עיבוד נתונים אישיים (DPA) — iFurn.pro

נספח עיבוד נתונים אישיים זה (להלן — „DPA”) חל כאשר המבצע (פלטפורמת iFurn.pro, להלן — „השירות”) מעבד נתונים אישיים בשם המשתמש במסגרת מתן השירות וכאשר על עיבוד כזה חלה תקנת ההגנה הכללית על נתונים של האיחוד האירופי 2016/679 (להלן — „GDPR”) או חקיקת הגנת נתונים ישימה אחרת.

ה-DPA הוא חלק מהסכם ההצעה הפומבית ומשלים את מדיניות הפרטיות. במקרה של סתירה בנוגע לעיבוד נתונים אישיים שחל עליו GDPR, יחול DPA זה; שאלות של אחריות מוסדרות על ידי הסכם ההצעה הפומבית. למונחים שאינם מוגדרים כאן תהיה המשמעות שמעניק להם GDPR.

1. תפקידי הצדדים

ביחס לנתונים האישיים שהמשתמש מזין או מעלה לשירות (להלן — „נתוני המשתמש”), המשתמש הוא הבקר, והמבצע הוא המעבד הפועל בשם המשתמש. ביחס לנתוני החשבון של המשתמש עצמו ולנתונים הטכניים של השירות, המבצע משמש כבקר (ראו מדיניות הפרטיות).

2. נושא העיבוד ופרטיו

הנושא והמשך: מתן השירות במהלך תקופת הסכם ההצעה הפומבית. האופי והמטרה: עיבוד הנחוץ לתפעול פונקציות השירות בהתאם להוראות המשתמש.

קטגוריות הנתונים: נתוני זיהוי ויצירת קשר, וכן נתונים אחרים שהמשתמש מזין לשירות (לרבות לגבי לקוחות, עובדים או צדדים קשורים של המשתמש). קטגוריות נושאי הנתונים: אנשים שאת נתוניהם המשתמש מעבד באמצעות השירות. פעולות העיבוד: איסוף, אחסון, ארגון, שימוש, העברה בתוך השירות ומחיקה, הנחוצים למתן השירות. הזכויות והחובות של המשתמש כבקר נקבעות על ידי GDPR, DPA זה והסכם ההצעה הפומבית. על המשתמש להימנע מהזנת קטגוריות מיוחדות של נתונים, אלא אם כן הדבר נחוץ וחוקי.

3. הוראות המשתמש

המבצע מעבד את נתוני המשתמש אך ורק על פי הוראות מתועדות של המשתמש, לרבות הסכם ההצעה הפומבית, מדיניות הפרטיות והגדרות השירות, למעט מקרים שבהם העיבוד נדרש על פי חוק; במקרה כזה המבצע יודיע למשתמש לפני תחילת העיבוד על הדרישה המשפטית הרלוונטית, אלא אם כן החוק אוסר על הודעה כזו. אם לדעת המבצע הוראה מפרה את חקיקת הגנת הנתונים, המבצע יודיע על כך למשתמש ללא דיחוי.

4. סודיות

המבצע מבטיח כי אנשים המורשים לעבד את נתוני המשתמש מחויבים לשמור על סודיות.

5. אבטחה

המבצע נוקט אמצעים טכניים וארגוניים הולמים, בהתחשב במצב הטכנולוגיה, בעלויות, וכן באופי, בהיקף ובסיכוני העיבוד, כמתואר במדיניות האבטחה. שום אמצעי אינו מבטיח אבטחה מוחלטת; המבצע אינו מבטיח הגנה מלאה מפני כל האיומים האפשריים.

6. מעבדי משנה

המשתמש מעניק אישור כללי לצירוף מעבדי משנה (ובכלל זה ספקי אירוח, מרכזי נתונים, ספקי תשתית ענן, דואר אלקטרוני, שירותי אנליטיקה ותשלומים). רשימת מעבדי המשנה העדכנית זמינה למשתמש באופן קבוע (ובכלל זה מתפרסמת על ידי המבצע). על הוספה או החלפה מתוכננת של מעבד משנה מודיע המבצע למשתמש מראש (לרבות באמצעות עדכון הרשימה), תוך מתן אפשרות סבירה להביע התנגדות.

המשתמש רשאי להביע התנגדות מנומקת מטעמי הגנת נתונים כלפי מעבד משנה חדש בתוך פרק זמן סביר לפני תחילת העיבוד הרלוונטי. אם לא ניתן ליישב את ההתנגדות, זכאי המשתמש להפסיק את השימוש בחלק הרלוונטי של השירות. המבצע מטיל על מעבדי המשנה חובות מתאימות בנוגע להגנה על נתונים אישיים במקרים ובהיקף הקבועים בדין החל. אחריות המבצע למעשים או למחדלים של מעבדי המשנה נקבעת על פי הדין החל והסכם ההצעה הפומבית. אחריותו הרכושית (הכספית) של המבצע מוגבלת בהתאם להסכם ההצעה הפומבית באותו חלק שבו הגבלה כאמור מותרת על פי הוראות קוגנטיות של הדין החל.

7. סיוע למשתמש

בהתחשב באופי העיבוד ובמידה שהדבר אפשרי מבחינה טכנית, המבצע מעניק למשתמש סיוע סביר: באמצעים הזמינים בשירות — בנוגע לבקשות של נושאי הנתונים; וכן בנוגע להבטחת האבטחה, דיווח על אירועים והערכת השפעה (DPIA) והתייעצות עם רשות הפיקוח. סיוע החורג מהפונקציונליות הסטנדרטית של השירות יינתן תמורת ההוצאות הסבירות של המשתמש. הטיפול בבקשות של נושאי הנתונים בנוגע לנתוני המשתמש מובטח על ידי המשתמש עצמו כבקר.

8. אירועים הקשורים לנתונים אישיים

המבצע יודיע למשתמש על אירוע הקשור לנתונים אישיים הנוגע לנתוני המשתמש, ללא דיחוי בלתי מוצדק לאחר שנודע לו עליו, ויספק את המידע הזמין באותה עת. הודעה לרשות הפיקוח ולנושאי הנתונים (בעת הצורך) מבוצעת על ידי המשתמש כבקר.

9. מחיקה או החזרה של נתונים

עם סיום מתן השירות, המבצע, לפי בחירת המשתמש, מוחק או מחזיר את נתוני המשתמש באמצעים הזמינים, למעט מקרים שבהם המשך אחסונם נדרש על פי חוק. המשתמש מייצא בעצמו ומראש את הנתונים הדרושים לו; גיבויים טכניים נמחקים בהתאם למחזורים הרגילים.

10. ביקורת

לבקשה בכתב מנומקת של המשתמש, המבצע מספק את המידע הדרוש להוכחת עמידה ב-DPA זה — בעיקר בצורת התיעוד הקיים, תעודות, דוחות בדיקה או תשובות בכתב; ככלל, די בכך כדי לאשר את העמידה בדרישות. אם המידע שנמסר אינו מספק באופן אובייקטיבי או קיימים ספקות מבוססים בנוגע לעמידה ב-DPA זה או ב-GDPR, המבצע מתיר ביקורת או פיקוח ותורם להם. הפרטים הארגוניים של ביקורת כזו (היקף, מועד וסדר) מתואמים מראש בכתב; תיאום כזה לא יעוכב ללא הצדקה ולא ישמש לסירוב לביקורת. ביקורות מתוכננות מתבצעות, ככלל, לא יותר מפעם בשנה, בשעות העבודה, בהודעה מוקדמת סבירה, תוך שמירה על סודיות, ללא התערבות מופרזת בפעילות השירות ובכפוף להוצאות המשתמש הסבירות והמתועדות; הגבלה זו בדבר התדירות אינה חלה במקרה של אירוע הקשור לנתונים אישיים, יסוד סביר להניח שאירעה הפרה, שינוי מהותי בעיבוד או דרישה של רשות הפיקוח. הוצאות הביקורת לא יוטלו על המשתמש באותו חלק שבו הביקורת חשפה הפרה מהותית מצד המבצע. ביחס למעבדי משנה (ובכלל זה מרכזי נתונים וספקי ענן), גישה פיזית ישירה עשויה להיות מוגבלת בתנאים של הספקים הרלוונטיים; במקרה כזה המבצע מבטיח זכויות ביקורת שוות ערך בהסכמים עם מעבדי המשנה ומספק את הדוחות, התעודות והסיוע הסביר האחר הזמינים. ההגבלות בדבר התדירות והסדר אינן חלות באותו חלק שבו רשות הפיקוח מורה במפורש אחרת על בסיס החוק.

11. העברות בינלאומיות

אם העיבוד כרוך בהעברת נתונים אישיים אל מחוץ לאזור הכלכלי האירופי (EEA), העברה כזו מתבצעת בהתקיים בסיס משפטי בהתאם ל-GDPR (לרבות החלטת נאותות, סעיפים חוזיים סטנדרטיים או אמצעי הגנה מתאימים אחרים).

12. אחריות

DPA זה אינו מרחיב ואינו מגדיל את אחריות המבצע בהשוואה להסכם ההצעה הפומבית. האחריות הכוללת של המבצע הקשורה לעיבוד נתונים אישיים מוגבלת בהתאם להסכם ההצעה הפומבית. המבצע אינו אחראי להוראות המשתמש, לחוקיות נתוני המשתמש או לאי-קיום חובותיו של המשתמש כבקר. הגבלות האחריות אינן חלות במידה שהן אסורות על פי הוראות חוק קוגנטיות.

13. היחס בין המסמכים

ביחס לעיבוד נתונים אישיים שחל עליו GDPR, ל-DPA זה יש עדיפות על פני מדיניות הפרטיות. ביחס לאחריות, העדיפות היא להסכם ההצעה הפומבית. בכל שאר העניינים חלים הסכם ההצעה הפומבית ומדיניות הפרטיות. כל ההוראות חלות בכפוף להוראות חוק קוגנטיות.