הסכם עיבוד נתונים (DPA)

הסכם עיבוד נתונים זה ("ההסכם") מהווה חלק בלתי נפרד מתנאי השימוש של Huby, והוא חל בכל מקרה שבו בעל חנות מעבד מידע אישי של לקוחות קצה באמצעות הפלטפורמה. ההסכם מסדיר את חלוקת האחריות בין הצדדים בהתאם לחוק הגנת הפרטיות, התשמ"א-1981, לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ובמקרים הרלוונטיים גם בהתאם לסעיף 28 ל-GDPR האירופי.

"מידע אישי": כל מידע על אדם מזוהה או ניתן לזיהוי, ובכלל זה שם, פרטי קשר, כתובת ופרטי הזמנות. "בעל השליטה במידע" (Controller): בעל החנות, שקובע את מטרות העיבוד ואת אמצעיו. "מעבדת המידע" (Processor): החברה, שמעבדת את המידע עבור בעל החנות ולפי הוראותיו. "עיבוד": כל פעולה במידע אישי, לרבות איסוף, שמירה, ארגון, שימוש, העברה ומחיקה. "נושא מידע": לקוח הקצה שהמידע האישי מתייחס אליו.

ביחס למידע האישי של לקוחות הקצה, החברה פועלת כמעבדת מידע בלבד, מטעם בעל החנות ולפי הוראותיו. בעל החנות הוא בעל השליטה במידע והאחראי כלפי לקוחות הקצה, לרבות לחובת היידוע, לבסיס החוקי לעיבוד ולמענה לפניות נושאי מידע. מובהר: ביחס למידע על בעל החנות עצמו (פרטי חשבון, חיוב ונתוני שימוש בפלטפורמה), החברה פועלת כבעלת שליטה במידע, כמפורט במדיניות הפרטיות שלה.

נושא העיבוד: הפעלת חנות מקוונת עבור בעל החנות. משך העיבוד: כל עוד לבעל החנות חשבון פעיל בפלטפורמה, ובכפוף לסעיף 11 להלן. אופי העיבוד ומטרתו: אחסון והצגת תכנים, ניהול הזמנות ומלאי, משלוח הודעות דוא"ל ללקוחות ומתן כלי שיווק. סוגי המידע: שם, כתובת דוא"ל, טלפון, כתובת משלוח, פרטי הזמנות והיסטוריית רכישות, הרשמות לרשימת תפוצה ונתוני שימוש בחנות. פרטי כרטיסי אשראי אינם נשמרים בפלטפורמה ונמסרים ישירות לספק הסליקה של בעל החנות. נושאי המידע: לקוחות הקצה של החנות והנרשמים לרשימת התפוצה שלה.

החברה תעבד את המידע אך ורק לצורך מתן השירות ולפי הוראות מתועדות של בעל החנות, כפי שהן משתקפות בהגדרות הפלטפורמה ובשימוש בה. החברה לא תשתמש במידע של לקוחות הקצה למטרות עצמאיות שלה, לא תמכור אותו ולא תעביר אותו לצדדים שלישיים אלא כמפורט בהסכם זה.

החברה מוודאת שכל מי שמורשה לגשת למידע מטעמה מחויב לחובת סודיות, ומגבילה את הגישה לעובדים ולנותני שירות שנזקקים לה לצורך תפקידם בלבד.

החברה מיישמת אמצעים טכניים וארגוניים ההולמים את רגישות המידע, ובהם: הצפנת TLS בתעבורה, בידוד לוגי של נתוני כל חנות במסד הנתונים, בקרות גישה והרשאות לפי תפקיד, ניטור, עדכוני אבטחה שוטפים וגיבויים. החברה פועלת בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017.

בעל החנות מאשר לחברה להיעזר בספקי משנה לצורך מתן השירות, ובהם: AWS (תשתית ענן, אחסון ושירות הזדהות), Resend (משלוח דוא"ל) ו-Anthropic (כלי בינה מלאכותית, ככל שבעל החנות מפעיל אותם). ספקי הסליקה מתקשרים עם בעל החנות ישירות ואינם ספקי משנה של החברה. החברה תחייב כל ספק משנה בהתחייבויות הגנת מידע מקבילות לאלה שבהסכם זה, ותודיע לבעלי החנויות מראש על שינוי מהותי ברשימת ספקי המשנה.

החברה מעמידה בממשק הניהול כלים מובנים למימוש זכויות נושאי מידע: ייצוא מלא של נתוני לקוח בפורמט מובנה (זכות העיון וניידות המידע) ומחיקה או אנונימיזציה של נתוני לקוח (הזכות להישכח), תוך שמירת רשומות חשבונאיות כנדרש בדין. בנוסף, החברה תסייע לבעל החנות, במידה סבירה, במענה לפניות נושאי מידע ובעמידה בחובות האבטחה והדיווח שלו.

אם יתגלה אירוע אבטחת מידע המשפיע על מידע אישי של לקוחות קצה, החברה תודיע על כך לבעל החנות ללא דיחוי בלתי סביר, ולא יאוחר מ-72 שעות ממועד הגילוי, ותמסור לו את המידע הדרוש לצורך עמידה בחובות הדיווח החלות עליו.

עם סיום המנוי, בעל החנות רשאי לייצא את נתוני החנות במשך 30 יום. בתום התקופה החברה תמחק את המידע האישי של לקוחות הקצה או תהפוך אותו לאנונימי, למעט מידע שהחברה מחויבת לשמור על פי דין.

החברה תמסור לבעל החנות, לפי בקשה סבירה, מידע הדרוש להוכחת עמידתה בהסכם זה. ביקורת מעמיקה יותר תתואם מראש, בתדירות סבירה ועל חשבון בעל החנות, ובלבד שלא תפגע באבטחת המידע של חנויות אחרות בפלטפורמה.

עיבוד המידע מתבצע בשרתי AWS, בישראל או באיחוד האירופי. העברה למדינה אחרת תיעשה רק בכפוף למנגנוני הגנה המוכרים בדין הישראלי, ובמקרים הרלוונטיים גם בסעיפים החוזיים הסטנדרטיים של האיחוד האירופי (SCCs).

הגבלות האחריות והשיפוי הקבועות בתנאי השימוש חלות גם על הסכם זה. על ההסכם יחולו דיני מדינת ישראל, וסמכות השיפוט הייחודית נתונה לבתי המשפט המוסמכים במחוז תל אביב יפו.

לשאלות בנושא הסכם זה ובנושאי הגנת מידע: privacy@huby.co.il.