נספח להסכם שירות – בעניין: פרטיות, סודיות ואבטחת מידע

שמיר מערכות ומפעלים בע"מ, ח.פ. 510673080, (להלן-החברה), מצהירה ומתחייבת כדלקמן במסגרת התקשרותה המסחרית עם הלקוח, שפרטיו מטה:

1. כללי
   1.1. מסמך זה מגבש את ההסכמות בין הצדדים לעניין המידע כהגדרתו במדיניות זו במסגרת הסכם השירות שבין החברה ללקוח.
   1.2. החברה רואה חשיבות עליונה בשמירה על המידע המוגן של הלקוח ועל פרטיות הלקוח ביחס למידע המזוהה עימו, ומשקיעה משאבים גדולים בהגנה ובאבטחת מידע זה.
   1.3. החברה מקיימת את הוראות תקן אבטחת מידע ISO27001, ומחזיקה אישור לעמידה בתקן זה.
   1.4. מסמך זה מתאר את האופן שבו החברה, מחזיקה את המידע, המוזן על ידי לקוחותיה באמצעות ממשק שסופק להם על ידי החברה (להלן – "הממשק") אל מערכות החברה במסגרת מתן שירותי החברה ללקוחותיה בתחום הפצת מסרים דיגיטליים במגוון ערוצים כגון SMS, הודעות דואר אלקטרוני, הודעות קוליות, הודעות WhatsApp, דפי נחיתה ועוד (להלן: "השירותים" ו"המערכת" בהתאמה) וכן מידע שמנוהל ומעובד במערכת לעניין לקוחות החברה והנמענים שהלקוח שולח להם מסרים דיגיטאליים באמצעות המערכת.
   1.5. השירותים והמערכת עומדים בהוראות כל דין, לרבות בהוראות חוק הגנת הפרטיות התשמ"א – 1981, והתקנות מכוחו.
   1.6. השימוש במידע הוא לשם מתן השירותים בלבד (להלן: "המטרה").
   1.7. המידע ישמר במערכת ועשוי להיות מגובה בדיסקים חיצוניים. השימוש במידע שהוזן על ידי הלקוח למערכת יהיה רק לצרכי התחייבויות החברה ואספקת השירותים ולפי הוראות מדיניות זו.
   1.8. החברה שומרת לצורך מתן שירותיה ללקוח את המידע הבא: רשימות כתובות מייל, רשימות מספרי טלפון, שמות נמענים, תכני הודעות, מידעמידע שנמסר לחברה על ידי הלקוח או שהלקוח נתן לחברה גישה אליו, (לרבות נתוני מכר, התנהגות גולשים באתר של הלקוח ועוד) אינדיקציות אודות שליחת וקבלת הודעות, וכל מידע אחר שהלקוח הזין באמצעות הממשק (לעיל ולהלן – "המידע").
   1.9. בכפיפות להוראות נספח זה זו החברה לא תעביר את המידע, או כל חלק ממנו, לצד שלישי כלשהו ללא אישור מפורש של הלקוח. היה ויתקבל אישור מהלקוח, החברה לא תעביר לצד השלישי מידע מעבר לנדרש לצורך המטרה. מובהר, כי החברה רשאית להעביר את המסרים הדיגיטלים אל הנמענים בהתאם לפקודות שהזין הלקוח במערכת.
   1.10. החברה לא תעתיק את המידע למעט לצרכי גיבוי ולא תרשה לאחרים להעתיקו ו/או לעבדו למעט לספקי החברה וצדדים שלישיים, אשר מסייעים בביצוע השירותים או בהשלמתם ולצרכי ביצוע השירותים בלבד.
   1.11. החברה רשאית לבצע כל פעולה במידע לשם מימוש המטרה ובכלל זאת לשם: שמירה, איחסון, אספקת השירותים, התחשבנות בין הצדדים, מתן שירות ללקוחות, חילול דוחות, גיבוי, הגנה על זכויותיה מפני תביעות ומחיקה.
   1.12. החברה מצהירה כי היא מודעת לרגישות ולסודיות המידע וכי היא מתחייבת לשמור את המידע בסודיות ולא לגלות, לחשוף או להעביר את המידע לצדדים שלישיים כלשהם אלא בכפיפות להוראות מדיניות זו וההסכם שבין הצדדים לאספקת השירותים, (להלן – "ההסכם").
   1.13. החברה תאפשר גישה למידע ולמערכת למספר הנדרש לפי שיקול דעתה המקצועי של עובדיה הנדרש לצורך הענקת השירותים, וזאת רק לאחר ובכפוף לחתימת כל אחד מהם על התחייבות לשמירת סודיות המידע.
   1.14. החברה תפעיל את כל מנגנוני האבטחה הנדרשים על פי דין לרבות דיני הגנת הפרטיות לשם הגנה על המידע ועל המערכת, כפי שאלה יהיו מעת לעת, ותפעל שאף ספקי המשנה שלה הנוטלים חלק בהפקת השירותים (למעט בעלי הפלטפורמות שבאמצעותן ו/או אליהן ההודעות נשלחות כגון: בזק, החברות הסלולאריות, גוגל, מטא וכיוב') יקפידו על מנגנוני אבטחה נאותים.
   1.15. המידע נשמר ונצבר במערכת. במהלך תקופת ההסכם הלקוח יהא רשאי בכל עת להוציא את המידע מהמערכת ובכלל האמור את כל המידע שהוזן על ידי לקוח , נמעניו, מידע בקשר עם השירותים ועוד של הלקוח ו/או כל חלק ממנו, בהתאם ובכפוף לכלים המוקנים למשתמש מוטמעים במערכת.
   1.16. החברה התקשרה עם קבלני משנה קיימים בהסכם בכתב בהתאם להוראות הדין.
   1.17. המידע בעיקרו מאוחסן ומעובד בישראל בלבד. החברה שומרת את האפשרות לאחסן מידע, שאינו כולל את תוכן ההודעות ורשימות התפוצה, מחוץ לישראל בהתאם להוראות כל דין.
   1.18. החברה מבצעת הפרדה לוגית בין המידע הנוגע ללקוח לבין מידע אחר של החברה ומידע של צדדים שלישיים כלשהם לרבות לקוחות אחרים של החברה.
   1.19. החברה תעדכן את הלקוח בכתב ובהקדם האפשרי ממועד קרות אחד מהבאים: (1) זליגת מידע ו/או חדירה לא מורשית למערכת; (2) אירוע אבטחת מידע ו- (3) אירוע אבטחת מידע חמור. (משמעות המונחים "אירוע אבטחת מידע" ו- "אירוע אבטחת מידע חמור" כהגדרתם בתקנות אבטחת מידע) ועל כל מקרה בו קיים חשש לאירועים כאמור (להלן: "האירוע").
   1.20. אחת לשנה תמסור החברה לבקשת הלקוח דיווח אודות אופן ביצוע חובותיה של החברה בהתאם למדיניות זו.
   1.21. המידע המוזן למערכת על ידי הלקוח נמסר לחברה כמחזיקת המידע, ואין היא בגדר בעליו. הלקוח הוא הבעלים של המידע שהזין למערכת והמידע שהתקבל מאת החברה בחשבונו כתוצאה משימוש בשירותי החברה, (להלן – "מידע הלקוח"). הלקוח הוא מנהל מידע הלקוח, וכן מנהל ובעלי מאגר המידע, שנוצר מאוסף המידע שמהווה את מידע הלקוח, והוא אחראי לרישומו ככל שנדרש על פי הדין, ולקיום כל החובות הנובעות מהיותו בעל מאגר.
   1.22. הלקוח מצהיר שכל מידע שנמסר לחברה לרבות לשם אחסון ועיבוד הוא מידע שהגיע כדין ללקוח, וכי שמירתו ועיבודו על ידי החברה תואמים את כל הוראות הדין החל על הלקוח ומורשים על ידי מושאי המידע ככל שהדין מחייב הרשאתם.
   1.23. החברה רשאית להעביר מידע לצרכי תפעול המערכת וביצוע השירותים: 1) לספקי שירותי התקשורת או שירותי המייל, המפיצים לנמענים את המידע ו/או לספקים ששירותיהם כרוכים בביצוע שירותי המערכת, 2) לספקי אחסון מידע (HOSTING) בישראל, 3) לספקי שירותי ניהול מערכות מידע ו/או הגנה עליהן. בנוסף, תהא רשאית החברה להעביר את המידע או לתת גישה אליו לאחרים על פי צו של רשות בת סמכא; במקרה זה, בכפוף להוראות הדין תמסור החברה הודעה על כך ללקוח.
   1.24. הלקוח אינו מורשה, ללא קבלת אישור בכתב ומפורש מאת החברה, לנהל במערכת מאגר מידע, הכולל מידע על כרטיסי אשראי, מספרי חשבון בנק , מידע שהוא מטיבו מידע רפואי, מידע גנטי, עבר פלילי, ביומטרי.
   1.25. באחריות הלקוח לנהל את מערך ההרשאות שלו למידע הלקוח.
2. ממונה אבטחת מידע מטעם החברה
   2.1. החברה מינתה אדם מטעמה, אשר יהא אחראי למילוי הוראות מדיניות זו (להלן: "הממונה").
   2.2. הממונה הינו בעל רקע והכשרה מקצועיים מתאימים.
   2.3. הממונה יעביר ללקוח דיווחים, כפי הנדרש לפי הדין לצורך שמירת המידע ואחזקתו.
   2.4. הממונה ינהל יומן מעקב, ויעדכן בו כל פעולה שנעשה ביחס למידע, אופן שמירתו, חשש לפרצות אבטחה ואופן טיפולן, ביקורות וכד' (להלן: "יומן מעקב").
   2.5. הממונה ידווח לנציג הלקוח בהקדם האפשרי במקרה שהתגלה אירוע אבטחה ו/או אירוע חריג, וכן אודות כל שינוי מהותי בקשר למערכות ניהול המידע, נהלי הגישה והשימוש במידע, וכל עניין נוסף שיש בו להשפיע על שמירת המידע שלדעתו על הלקוח להיות מודע לו.
   2.6. הממונה יעביר דיווחים אודות רמת האבטחה של המידע לנציג הלקוח, בכפוף לאינטרסים הלגיטימיים של החברה להגנת המידע המוחזק על ידה ולסודיות מסחרית מקובלת.
3. אבטחת המידע, המערכות ואמצעי התקשרות
   3.1. החברה תקיים הגנה פיסית הולמת ביחס למאגרי מידע מסוג זה, המוחזקים אצלה על פי כללי מדיניות זו, מפני חשיפה לסיכונים ונזקים הנוגעים למערכות המידע.
   3.2. החברה תנקוט אמצעי אבטחה הולמים ביחס למאגרי מידע מסוג זה, המוחזקים אצלה על פי כללי מדיניות זו, לעניין מניעת חדירה מכוונת או מקרית למערכות החברה, ובכלל זאת:
   3.2.1. שימוש ב- Firewall.
   3.2.2. הקשחת שרתים ועדכוני אבטחת מידע שוטפים.
   3.2.3. קביעת מדיניות סיסמאות.
   3.2.4. נעילת חשבונות לאחר 4 ניסיונות כושלים.
   3.2.5. שימוש ב Two Factor Authentication המאפשר אימות לוגין באמצעות קבלת סיסמא חד פעמית.
   3.2.6. יכולת להגבלת כתובות IP ברמת לקוח
   3.3. החברה תקיים מדי 18 חודשים לפחות מבדק חדירות למערכת החברה.
   3.4. אבטחת מידע מוחלטת אינה בת השגה, והחברה אינה יכולה להבטיח לחלוטין, כי לא תתרחש פריצה או גישה בלתי מורשית למידע, יחד עם זאת, בכל מקרה של תקלה או ליקוי שיש להם נגיעה למידע של לקוח המוחזק אצלה, תפעל החברה בהקדם האפשרי מעת גילוי הליקוי או התקלה לתיקון, ותדווח ללקוח אודות התקלה/לקוי, על ההשלכות האפשריות ועל הפעולות שהיא נוקטת לתיקונה.
   3.5. החברה תנהל מנגנון תיעוד אוטומטי, המאפשר ביקורת על הגישה למערכת ולמידע בכל מערכת בה נשמר ו/או מועבר ו/או מעובד המידע. מנגנון הבקרה כאמור יתעד לכל הפחות את הנתונים הבאים: זהות המשתמש, התאריך והשעה של ניסיון הגישה, רכיב המערכת שאליו בוצע ניסיון הגישה, סוג הגישה, היקפה, ואם הגישה אושרה או נדחתה. הנתונים כאמור יישמרו למשך 24 חודשים לפחות ממועד יצירת כל נתון. לבקשת הלקוח, החברה תעביר ללקוח את הנתונים.
4. הרשאות גישה למידע
   4.1. החברה מנהלת הרשאות לגישה למידע ו/או למאגרי המידע ו/או למערכות המידע. ההרשאות כוללות אמצעי זיהוי של הגורם הניגש למידע ויחייבו סיסמה מורכבת וחזקה בת 8 תווים לפחות.
   4.2. בעל הרשאה למידע מטעם החברה יהא רק מי שגישתו למידע הכרחית לצורך מתן שירותי המערכת על פי נספח זה (להלן: "בעל הרשאה").
   4.3. החברה תערוך לפחות אחת לשנה, ובתחילת העסקה של כל עובד שקיבל הרשאת גישה למידע, הדרכה בדבר הכללים לשמירת המידע, הטיפול בו, והמטרות הבלעדיות לשימוש במידע. עם קבלת ההרשאה של בעל הרשאה, תחתים החברה את בעל ההרשאה על כתב התחייבות אשר יפרט את חובותיו של בעל ההרשאה לצורך עמידת החברה במדיניות זו.
5. תקופת שמירת המידע ומחיקת מידע
   5.1. המידע עשוי להשמר למשך 7 שנים במאגרי הגיבוי של החברה ממועד הזנת המידע וגם לאחר סיום או ביטול ההסכם עם הלקוח.
   5.2. מבלי לגרוע מגיבוי המידע כאמור על ידי החברה, הלקוח יכול, למחוק מידע וכל חלק ממנו בהתאם לשיקול דעתו מתוך מידע הלקוח, המצוי במערכות הזמינות של החברה באמצעות הממשק בכפוף ליכולות הממשק של החברה.
   5.3. מובהר, כי החברה שומרת על זכותה לגבות את המידע על גבי דיסקים, וכי ככל שבוצע גיבוי מסוג זה לא ניתן לבצע מחיקה של מידע המצוי במאגרי הגיבוי של החברה בטרם חלפו 7 שנים מיום הגיבוי. החברה תבצע ללא מתן כל הודעה ללקוח ביעור של המידע המצוי בדיסקים לאחר 7 שנים מיום ביצוע הגיבוי של אותו מידע, תשמור אותו ותקיים אבטחה לגביו בהתאם להוראות הדין ומדיניות זו, כל עוד נשמר הגיבוי.
   5.4. עם סיום ההסכם עם הלקוח החברה רשאית תוך 90 יום למחוק את המידע ממערכותיה.
    
6. אחריות וביטוח
   6.1. החברה תהיה אחראית רק לנזק ישיר שייגרם ללקוח בגין הפרת התחייבויותיה על פי מדיניות זו עד לגבול אחריות כוללת ומצטבר בסך התמורה ששולמה לחברה על ידי הלקוח במהלך 3 החודשים שקדמו לאירוע התביעה, ואם טרם חלפו 3 חודשים עד גובה התמורה שהיתה אמורה להיות משולמת לחברה במשך 3 חודשים. הגבלות האחריות כאמור תחולנה לגבי כל תביעה מסוג כלשהוא, תהא עילתה אשר תהא, בין אם חוזית, נזיקית או אחרת.
   6.2. החברה תחזיק במשך כל תקופת ההסכם ביטוח אחריות מקצועית בחברת ביטוח מורשית.
7. סודיות
   7.1. כל אינפורמציה, שאינה כלולה במידע כהגדרתו לעיל שעליו יחולו יתר הוראות מדיניות זו, שהועברה לחברה על ידי הלקוח שעל פי מהותה הינה סודית או שהוגדרה על ידי הלקוח כסודית, תשמר בסודיות על ידי החברה ולא תועבר לצד ג' ולא תפורסם בלא קבלת אישור בכתב מאת הלקוח.
   7.2. האמור בסעיף קטן 7.1 לעיל חל הן על החברה והפועלים מטעמה לרבות עובדיה וספקיה, ללא הגבלת זמן, אלא אם יוכח, כי אותו מידע הפך לנחלת הציבור הרחב, וזאת שלא כתוצאה מהפרת כל התחייבות לשמירת סודיות, או פותח עצמאית על ידי החברה או היה בידיעת החברה בטרם חשיפתו על ידי הלקוח או ניתנה הוראה, מאת רשות שלטונית בת סמכא, לבצע גילוי של המידע, וזאת לאחר שניתנה ללקוח הזדמנות להתגונן כנגד הוראה זו ככל שהדבר מתאפשר מבחינה חוקית ומבחינת לוחות הזמנים.
   7.3. אין בהתחייבויות אלו כדי לגרוע מהעברת מידע לספקי שירותים טכנולוגיים, על ידי החברה לשם ביצוע השירותים עבור הלקוח. העברת מידע כאמור תהא בהתאם להוראות מדיניות זו.
8. שונות
   8.1. הוראות מדיניות זו יהיו בתוקף החל ממועד ההתקשרות בין החברה לבין הלקוח בהסכם לשם אספקת השירותים ועד המאוחר מבין: (1) מועד סיום התחייבויות החברה להענקת השירותים ללקוח; ו- (2) מועד הפסקת החזקת מידע כהגדרתו במדיניות זו על ידי החברה, לרבות במאגרי גיבוי. על אף האמור לעיל, התחייבויות החברה לשמירת סודיות תחול ללא הגבלת זמן גם לאחר סיום ההסכם.
   8.2. מדיניות זו ממצה את התחייבויות החברה כלפי הלקוח ביחס לתחום הגנת הפרטיות של המידע, סודיות ואבטחת מידע. כל זכות שקמה ללקוח מכוח מדיניות זו אינה ניתנת להסבה ללא הסכמה בכתב ומפורשת של החברה.
   8.3. כל תביעה בין הצדדים בקשר לנושאי מדיניות זו תוגש תוך שנה מיום קרות עילת התביעה או גילויה.
   8.4. החברה רשאית לשנות מדיניות פרטיות זו בהודעה מראש ללקוח.
   8.5. על מדיניות זו יחולו הוראות הדין הישראלי ללא כללי ברירת הדין שלו.
   8.6. לבית המשפט המוסמך במחוז המרכז מוקנית סמכות שיפוט ייחודית ובלעדית לדון במדיניות זו ובכל עניין הקשור והנוגע למדיניות זו והנובע ממנה.
   8.7. קביעה כי תנאי מתנאי מדיניות זו אינו תקף לא תפגע בתקפותם של יתר תנאי המדיניות ותניה זו תפורש ותיאכף במידה המרבית האפשרית.
   8.8. כל הודעה שתישלח לפרטי הקשר שמסר הלקוח לחברה תיחשב כאילו הגיעה ליעדה בתוך 24 שעות ממועד שיגורה , אם נשלחה באופן אלקטרוני.

ולראיה באו הצדדים על החתום ביום:_________:

החברה _ _____________

שם הלקוח:____________