הסכם עיבוד נתונים

1. כללי

הסכם זה מסדיר את עיבוד הנתונים האישיים שמתבצע על-ידי PixyCRM ("מעבד הנתונים") עבור המשתמש ("בקר הנתונים"), במסגרת השימוש בשירות. ההסכם משלים את תנאי השימוש ומדיניות הפרטיות של PixyCRM. בעניין עיבוד מידע אישי בלבד, במקרה של סתירה, תנאי ההסכם הזה גוברים; בעניין זמינות - הסכם רמת השירות; בעניין ביטול, החזר וזיכוי - מדיניות ההחזרים והביטולים; בכל עניין אחר - תנאי השימוש.

הסכם זה נכנס לתוקף ברגע שהמשתמש נרשם לשירות, ונשאר בתוקף כל עוד החשבון פעיל.

2. הגדרות

• "נתונים אישיים" - כל מידע על אדם מזוהה או ניתן לזיהוי (לפי חוק הגנת הפרטיות הישראלי ותקנת GDPR האירופית)
• "לקוחות הקצה" - הלקוחות, הלידים והגורמים שמידעם מאוחסן במערכת על-ידי המשתמש
• "בקר הנתונים" (Data Controller) - המשתמש, שמחליט על מטרות ואמצעי העיבוד
• "מעבד הנתונים" (Data Processor) - PixyCRM, שמעבדת נתונים בשם בקר הנתונים
• "תת-מעבדים" (Sub-processors) - ספקי שירות שלישיים שמעבדים נתונים בשם PixyCRM

3. היקף ומטרת העיבוד

PixyCRM תעבד נתונים אישיים של לקוחות הקצה רק למטרות הבאות:

• אספקת השירות לבקר הנתונים (אחסון, גישה, ניהול)
• ביצוע פעולות לפי הוראות מפורשות של בקר הנתונים
• שמירה על אבטחת המידע
• מילוי חובות חוקיות

PixyCRM לא תשתמש בנתונים האישיים של לקוחות הקצה לשום מטרה אחרת, ובמיוחד לא לפרסום, מכירה, או הכשרת מודלים של בינה מלאכותית.

4. סוגי נתונים ונושאי מידע

סוגי נתונים שייתכן ויעובדו:

• שמות מלאים
• פרטי קשר (טלפון, אימייל, כתובת)
• תמונות
• תאריכי צילום והזמנות
• תשלומים והיסטוריית רכישות
• הערות והתכתבויות

נושאי המידע: לקוחות הקצה של בקר הנתונים, ספקים, ולעיתים גם בקר הנתונים עצמו.

5. משך העיבוד

PixyCRM תעבד את הנתונים כל עוד החשבון של בקר הנתונים פעיל. לאחר סיום הגישה:

• הנתונים יישמרו 60 יום ממועד סיום הגישה (תקופת חסד)
• לאחר 60 יום, הנתונים ימחקו לצמיתות מהמערכת
• בגיבויים, הנתונים יישמרו עוד 90 יום, וימחקו מהם עד יומיים לאחר מכן

חשבון שננעל בגלל אי-תשלום, והחוב לא שולם תוך 60 יום מיום הנעילה, נמחק יחד עם כל המידע שבו, לפי תנאי השימוש. בקר הנתונים רשאי לבקש מחיקה מיידית בכל עת, באמצעות פנייה ל-privacy@pixycrm.com.

6. חובות PixyCRM כמעבד נתונים

PixyCRM מתחייבת:

• לעבד נתונים אך ורק לפי הוראות מתועדות של בקר הנתונים
• לוודא שכל מי שפועל מטעמה ויש לו גישה לנתונים מחויב לסודיות
• ליישם אמצעי אבטחה מתאימים (ראו סעיף 7)
• לסייע לבקר הנתונים לעמוד בחובותיו (כגון מתן מענה לבקשות מצד נושאי מידע)
• לדווח על אירועי אבטחה בהקדם האפשרי ולא יאוחר מ-72 שעות מרגע הגילוי (ראו סעיף 11)
• למחוק את הנתונים בסיום ההתקשרות, לפי סעיף 12
• לתת מענה לשאלון אבטחה פעם בשנה, לפי בקשה. ביקורת נוספת תיעשה בתיאום מראש של 30 יום, בעלות המבקש, ולא יותר מפעם בשנה

7. אמצעי אבטחה

PixyCRM מיישמת את אמצעי האבטחה הבאים:

• הצפנה: תקשורת ב-HTTPS/TLS, הצפנת סיסמאות
• בקרת גישה: הרשאות מבוססות תפקיד, והפרדה בין משתמשים
• תיעוד: תיעוד של פעולות ניהול במערכת
• גיבויים: אוטומטיים יומיים, מאוחסנים בנפרד

8. תת-מעבדים מאושרים

PixyCRM משתמשת בתת-מעבדים הבאים, שאושרו על-ידה לעבוד עם נתונים אישיים של לקוחות הקצה:

סליקת התשלומים נעשית באמצעות Cardcom (ישראל). היא מעבדת רק את פרטי החיוב של המשתמשים עצמם, ולא מידע על לקוחות הקצה שלהם, ולכן אינה תת-מעבד לפי הסכם זה; היא מפורטת במדיניות הפרטיות.

PixyCRM תודיע לבקר הנתונים על כל הוספה או שינוי של תת-מעבד, לפחות 30 יום מראש. בקר הנתונים רשאי להתנגד לשינוי - במקרה כזה, ההתנגדות תיחשב כבקשה לבטל את החשבון.

9. העברת נתונים בינלאומית

חלק מהתת-מעבדים מאחסנים או מעבדים נתונים מחוץ לישראל, כמפורט בטבלה בסעיף 8. PixyCRM אינה מתחייבת שהדין במדינות אלה זהה לדין בישראל. היא בוחרת ספקים שהתנאים שלהם כוללים אבטחת מידע, שימוש במידע רק לצורך מתן השירות וסודיות, ותמסור לבקר הנתונים, לפי בקשה, איפה נשמר המידע.

10. זכויות נושאי המידע

כשנושא מידע (לקוח קצה) פונה ישירות ל-PixyCRM בבקשה למימוש זכויות (עיון, תיקון, מחיקה וכו'), PixyCRM:

• תעביר את הבקשה לבקר הנתונים תוך 7 ימי עסקים
• תסייע לבקר הנתונים לטפל בבקשה, על חשבון בקר הנתונים אם זה דורש מאמץ משמעותי
• לא תטפל בבקשה ישירות, אלא אם קיבלה הוראה ברורה לכך

11. דיווח על אירועי אבטחה (Data Breach)

אם יתגלה אירוע אבטחה שפוגע או עלול לפגוע בנתונים אישיים של בקר הנתונים:

• PixyCRM תודיע לבקר הנתונים בהקדם האפשרי, ולא יאוחר מ-72 שעות מרגע הגילוי, עם מה שידוע על האירוע
• ההודעה תכלול: תיאור האירוע, היקפו, סוגי הנתונים שנפגעו, פעולות שננקטו, וצעדים מומלצים
• PixyCRM תסייע לבקר הנתונים לעמוד בחובות הדיווח שלו (לרשות להגנת הפרטיות, ולנושאי מידע במקרים מתאימים)

12. סיום ומחיקת נתונים

בסיום ההתקשרות:

• ממועד סיום הגישה, הנתונים נשמרים 60 יום, ואז נמחקים מהמערכת
• בגיבויים, הנתונים נשמרים עוד 90 יום, ונמחקים מהם עד יומיים לאחר מכן
• מסמכי חיוב ייתכן וישמרו 7 שנים, לפי דרישות החוק (בנפרד מהמידע התפעולי)

13. אחריות והגבלת אחריות

• כל צד אחראי לנזקים שנגרמו עקב הפרת התחייבויותיו לפי הסכם זה
• מגבלת האחריות של PixyCRM זהה לזו המופיעה בתנאי השימוש
• בקר הנתונים מתחייב לשפות את PixyCRM על נזקים שייגרמו עקב הוראות בלתי חוקיות שניתנו על-ידו

14. שינויים בהסכם

PixyCRM רשאית לעדכן הסכם זה בהודעה מראש של 30 יום. שינויים מהותיים יחייבו הסכמה מחודשת של בקר הנתונים.

15. דין וסמכות שיפוט

הסכם זה כפוף לדיני מדינת ישראל. סמכות השיפוט היא כמפורט בסעיף 13 בתנאי השימוש.

16. יצירת קשר

לפניות בנושא DPA או עיבוד נתונים:
privacy@pixycrm.com