נספח עיבוד נתונים (DPA)

נספח זה הוא חלק מתנאי השימוש של Lidamo, וחל על עיבוד מידע אישי ש-Lidamo מבצע עבור הלקוח במסגרת השירות. הוא גם ההסכם שתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, דורשת בין בעל מאגר לגורם חיצוני שמעבד עבורו מידע.

"הלקוח" — בעל העסק שמשתמש בשירות, בעל השליטה במאגר פרטי הפונים.

"Lidamo" — מפעיל השירות כמפורט בסעיף 1 לתנאי השימוש, הפועל בשם Lidamo; המחזיק (המעבד) מטעם הלקוח.

"מידע אישי" — כהגדרתו בחוק הגנת הפרטיות, התשמ"א-1981 (נתון הנוגע לאדם מזוהה או ניתן לזיהוי), ובכלל זה שם, טלפון, מייל, תשובות הטופס ומזהים טכניים.

הלקוח הוא בעל השליטה במאגר פרטי הפונים. הוא קובע את מטרות העיבוד ואחראי לבסיס החוקי ולידוע לפי סעיף 11 לחוק. כדי לסייע בכך, טופס הפניות ש-Lidamo יוצר מקשר להודעת פרטיות בשם הלקוח (lidamo.com/lead-privacy).

Lidamo מעבד את פרטי הפונים רק מטעם הלקוח, לפי הוראותיו ולמטרת מתן השירות בלבד, ואינו עושה בשם, בטלפון, במייל או בתשובות הטופס כל שימוש עצמאי.

חריג — למידה בלי פרטי פונים: כפי שהלקוח הסכים בסעיף 11 לתנאי השימוש, Lidamo שומר (א) נתונים מצטברים על כמה עסקים יחד בלי מזהה של אף עסק, ו-(ב) יומן החלטות מקודד (פסאודונימי) לעסק, שבו אין פרטי פונים, ושנמחק לבקשת הלקוח, במחיקת החשבון או בהסרת ההרשאה. פרטי הפונים אינם חלק מאף אחד מהם.

תחולה: נספח זה חל על פניות שהתקבלו בטופס פרטים. בקמפיין שפותח שיחת וואטסאפ ישירה עם העסק, Lidamo אינו מקבל ואינו מעבד פרטי פונים, ונספח זה אינו חל על אותן שיחות.

נושאי המידע: אנשים שמילאו טופס פרטים בקמפיין של הלקוח.

סוגי המידע: שם, מספר טלפון, כתובת מייל, תשובות לשאלות הטופס, ומידע טכני נלווה.

מטרת העיבוד: קליטת הפניות, הצגתן ללקוח, וסימון פניות לא תקינות (למשל מספר שגוי או פנייה כפולה) בכללים קבועים. Lidamo אינו שולח הודעות לפונים.

המערכות: שרת היישום ובסיס הנתונים באיחוד האירופי (גרמניה); גיבוי מוצפן אצל ספק אחסון נפרד; שרת הודעות וואטסאפ על שרתי Lidamo (אליו לא מגיעים פרטי פונים); והספקים שבעמוד ספקי המשנה.

משך העיבוד: למשך ההתקשרות, ובכפוף לתקופות השמירה שבמדיניות הפרטיות — פרטי הקשר של פונה נשמרים עד 90 יום ואז נמחקים, ונשאר רק מידע לא מזהה.

(א) לעבד מידע אישי רק לפי הוראות הלקוח ולמטרות שבנספח זה;

(ב) להבטיח שכל מי שמורשה לגשת למידע מחויב בסודיות;

(ג) לנקוט אמצעי אבטחה הולמים — הצפנת AES-256-GCM לפרטי הקשר, הצפנת TLS במעבר, בקרת גישה לפי עקרון ההרשאה המזערית, ויומן גישה לפרטי הפונים שנשמר 24 חודשים לפחות;

(ד) לסייע ללקוח במימוש זכויות הפונים (עיון, תיקון, מחיקה);

(ה) להודיע ללקוח על אירוע אבטחה חמור שנוגע לפרטי הפונים שלו בתוך 72 שעות מהרגע שנודע ל-Lidamo, עם תיאור האירוע, הנתונים שנפגעו והצעדים שננקטו; ולדווח לרשות להגנת הפרטיות ככל שהדין מחייב;

(ו) למחוק או להחזיר את המידע בתום ההתקשרות, בכפוף לחובות שמירה שבדין;

(ז) למסור ללקוח, לבקשתו ולפחות אחת לשנה, אישור על קיום חובותיו לפי נספח זה ולפי תקנות אבטחת מידע, ועל אירועי אבטחה שהיו (באזור האישי או במייל);

(ח) לקיים את תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ברמת האבטחה שחלה על המאגר, ובכלל זה מסמך הגדרות מאגר, נוהל אבטחה ותיעוד גישה;

(ט) למחוק פרטי פונים כשאין בהם עוד צורך למטרת השירות, ולכל המאוחר 90 יום מקליטתם, למעט מה שהדין מחייב לשמור.

הלקוח מתחייב שקיים בסיס חוקי לאיסוף פרטי הפונים ולעיבודם, ושהוא מסר להם את היידוע הנדרש בדין.

הלקוח אחראי לתוכן ההודעות שהוא שולח לפונים, לרבות עמידה בחוק התקשורת (בזק ושידורים) ובזכות הסירוב.

הלקוח מתחייב שלא למכור, להשכיר או להעביר לצד שלישי פרטי פונים שהתקבלו דרך Meta, ולהשתמש בהם רק למטרת הפנייה ולפי הדין ותנאי Meta.

הלקוח מתחייב להעביר ל-Lidamo הוראות עיבוד חוקיות בלבד.

הלקוח מאשר ש-Lidamo נעזר בקבלני משנה לצורך השירות. רשימת סוגי קבלני המשנה — ומה כל אחד מקבל — מפורטת בעמוד lidamo.com/subprocessors; זהות הספקים הספציפיים נמסרת ללקוח לפי בקשה.

עיבוד AI על פרטי פונים: כשפונה כותב את שמו באותיות לועזיות, Lidamo שולח לספק בינה מלאכותית את השם בלבד, לתעתיק לעברית. הטלפון, המייל ותשובות הטופס אינם נשלחים, ושם שכתוב בעברית אינו נשלח כלל. הבינה המלאכותית אינה ממיינת או מדרגת פניות. הנתונים נשלחים לעיבוד לכל בקשה, ולפי תנאי השירות של הספק אינם משמשים לאימון המודלים שלו. ייתכן שהספק ישמור את הבקשה עד 30 יום לצורך ניטור שימוש לרעה, ולא לאימון.

מסירת פנייה ללקוח: פרטי הפנייה מוצגים ללקוח באזור האישי המאובטח. הודעת הוואטסאפ ללקוח רק מודיעה שיש פנייה חדשה, בלי פרטי הפונה. הדוח החודשי במייל כולל מספרים בלבד.

סליקת דמי המנוי: דמי המנוי נגבים אצל ספק סליקה וקבלות בישראל, באמצעות חברת סליקה שעובדת איתו (תקן PCI-DSS). פרטי הכרטיס ומספר תעודת הזהות של בעל הכרטיס נשלחים אליו ישירות מהדפדפן ולא עוברים בשרתי Lidamo; Lidamo שומר רק ארבע ספרות אחרונות ואסמכתה. אלה נתוני הלקוח עצמו, לא פרטי פונים.

Lidamo מתקשר עם כל קבלן משנה שמקבל מידע אישי בהסכם בכתב שכולל את מטרות העיבוד, סוגי המידע, חובת סודיות ואבטחה, החזרה או השמדה בסיום, והודעה על אירוע אבטחה.

Lidamo יודיע ללקוח על שינוי מהותי במצבת קבלני המשנה, והלקוח רשאי להתנגד מטעמים סבירים.

מפרטי הפונים מועבר אל מחוץ לישראל רק שם שנכתב באותיות לועזיות, לתעתיק לעברית, לספק בארצות הברית — על בסיס הסכם שבו הספק התחייב לקיים את התנאים לאחזקת מידע ולשימוש בו שחלים על מאגר בישראל (תקנה 2(4) לתקנות העברת מידע), ועם התחייבותו בכתב לאבטחת המידע ולאי-העברתו הלאה (תקנה 3). ייתכן שהספק ישמור את הבקשה עד 30 יום לצורך ניטור שימוש לרעה, ולא לאימון. שאר פרטי הפונים נשארים בשרתי Lidamo באיחוד האירופי (תקנה 2(8)) ובגיבוי המוצפן.

Lidamo מיישם אמצעי אבטחה טכניים וארגוניים להגנה על המידע מפני אובדן, גישה לא מורשית, שינוי או חשיפה. במקרה של אירוע אבטחה חמור שפוגע במידע אישי, Lidamo יפעל כאמור בסעיף 4(ה), ידווח לרשות להגנת הפרטיות ככל שהדין מחייב, ויסייע ללקוח ביידוע הפונים אם יידרש.

הלקוח רשאי בכל עת לייצא את נתוניו או למחוק את חשבונו בעצמו באזור האישי, או לבקש לייצא, לתקן או למחוק נתונים בפנייה ל-support@lidamo.com.

קיבל הלקוח פנייה ישירה מפונה למימוש זכות — Lidamo יסייע לו להיענות לה לפי הדין. פנייה שתגיע ישירות ל-Lidamo תועבר ללקוח ותטופל בתיאום איתו.

בסתירה בין נספח זה לתנאי השימוש בנוגע לעיבוד מידע אישי — נספח זה גובר.

על נספח זה יחולו דיני מדינת ישראל, וסמכות השיפוט נתונה לבתי המשפט המוסמכים בישראל.

פניות בענייני פרטיות: support@lidamo.com.