DPA – נספח עיבוד נתונים – JTOOLS

1. הגדרות

“מידע אישי” – כהגדרתו בחוק; לרבות “מידע רגיש” (מזהה ייחודי, בריאות וכו׳).
“בעל המאגר” – הלקוח; “המעבד” – JTOOLS.
“דין חל” – כל דין רלוונטי לישראל והנחיות רגולטוריות מחייבות.

2. נושא העיבוד ותכולתו

המעבד מספק תשתיות SaaS להפעלת מערכות הלקוח (גיוס, טפסים דיגיטליים, “תיק שומר”, סידורי עבודה וכיו״ב), ומעבד מידע אישי של עובדים/מועמדים/נותני שירותים של הלקוח לצורך מתן השירות, כפי שמפורט בנספח א׳.

3. תפקידי הצדדים

הלקוח הוא בעל המאגר וקובע את מטרות ואמצעי העיבוד. המעבד פועל אך ורק לפי הוראות הלקוח ובהתאם לנספח זה.

4. הוראות לקוח והיקף העיבוד

• המעבד יעבד מידע אישי אך ורק למטרות מוגדרות, לתקופות, לקטגוריות המידע ונושאי המידע כפי שמפורטו בנספח א׳.
• המעבד לא יעשה שימוש עצמאי במידע ולא יעבירו לצד שלישי ללא הוראה מפורשת מהלקוח או כשנדרש לפי דין.
• המעבד יידע את הלקוח אם הוראה שלו מפרה דין חל, ככל שהדבר ידוע למעבד.

5. אבטחת מידע ובקרות

המעבד מיישם אמצעים טכניים וארגוניים סבירים וראויים בהתאם לתקנות אבטחת מידע, לרבות: בקרות גישה, ניהול זהויות והרשאות, הצפנה במעבר (TLS) ובמודולים רגישים גם במנוחה, רישום גישה (Audit), גיבויים ושחזור, הפרדת סביבות, הקשחה ועדכונים תקופתיים, בדיקות חדירה והדרכות עובדים. פירוט מפורט מופיע בנספח ב׳ (TOMs).

6. ספקי משנה (Sub-Processors)

הלקוח מאשר כי המעבד רשאי להסתייע בספקי משנה המספקים תשתיות/אירוח/דיוור/גיבוי/אנליטיקה, לרבות Verpex כספק אירוח מחוץ לישראל, ובלבד שנחתם עימם הסכם עיבוד נתונים המחייב אמצעי אבטחת מידע והתחייבויות שוות ערך או מחמירות. רשימת קטגוריות ספקי המשנה זמינה לבקשת הלקוח.

7. העברות מידע מחוץ לישראל

העברות יתבצעו בהתאם לתיקון 13 והדין החל, לרבות מנגנונים חוזיים מתאימים, הערכת התאמה, ובדיקה כי מדינת היעד מספקת הגנה נאותה, או שבהסכמים מיושמים אמצעי הגנה מספקים.

8. סודיות והתחייבויות עובדים

המעבד יאפשר גישה למידע אישי רק לעובדים/קבלנים אשר נדרשים לכך לצורך מתן השירות, בכפוף להתחייבות סודיות ואבטחת מידע.

9. סיוע בבקשות נושאי מידע

המעבד יסייע ללקוח, במידה הסבירה, למלא אחר בקשות נושאי מידע (עיון/תיקון/מחיקה/הגבלה), ככל שהדבר ניתן ומבלי לפגוע בסודיות צדדים שלישיים.

10. ביקורת, הצהרות והתאמה

לפי בקשת הלקוח הסבירה ובתדירות שאינה בלתי סבירה (לרוב אחת לשנה), יספק המעבד הצהרת עמידה/דוח אבטחה. ביקורת באתרי המעבד, אם נתבקשה, תתואם מראש ותבוצע בשעות עבודה רגילות, ללא חשיפת מידע של לקוחות אחרים, ותוך שמירה על סודיות וביטחון המידע.

12. שמירת מידע, מחיקה והחזרה

המעבד ישמור את המידע האישי רק למשך תקופת ההתקשרות ולפי הנחיות הלקוח או חובות דין. עם סיום ההתקשרות, המידע יימחק או יוחזר ללקוח בתוך 30 יום, למעט עותקים הנדרשים לשמירה לפי דין/יישוב מחלוקות ועותק אחזור (Backups) עד למחיקתם המחזורית.

13. אחריות, שיפוי והגבלת אחריות

כל צד יישא באחריות להפרה הנובעת ממעשיו/מחדליו. במידה המרבית המותרת בדין, האחריות המצטברת של המעבד לפי נספח זה מוגבלת לסכום ששילם הלקוח למעבד בשלושה (3) חודשים שקדמו לאירוע, ואינה כוללת נזקים תוצאתיים/עקיפים, למעט ככל שאינם ניתנים להגבלה בדין.

14. תקופה וסיום

הנספח יישאר בתוקף לכל אורך תקופת ההתקשרות ולמשך הזמן הדרוש להשלמת הסופית של פעולות מחיקה/השבה לפי סעיף 12.

15. קדימות מסמכים

בסתירה בין ההסכם הראשי לבין נספח זה, יגבר הנספח בכל הנוגע להגנת פרטיות ואבטחת מידע.

16. דין וסמכות שיפוט

חל דין מדינת ישראל; סמכות שיפוט בלעדית בבתי המשפט המוסמכים בתל-אביב-יפו.

17. פרטי קשר

• דוא״ל: mdg1306@gmail.com
• טלפון: 053-7788121
• אתר: https://jtools.co.il

נספח א׳ – פרטי העיבוד לפי מערכות

נספח ב׳ – אמצעים טכניים וארגוניים (TOMs)

• ניהול זהויות והרשאות (RBAC), אימות דו-שלבי למנהלי מערכת, מדיניות סיסמאות.
• הצפנת TLS בכל התעבורה; הצפנה במנוחה למידע רגיש (תיק שומר/חתימות).
• בקרות גישה לנתונים, הפרדת חבילות/לקוחות לוגית, הפרדת סביבות (prod/dev/test).
• Audit Logs: רישום פעולות גישה/מחיקה/שינוי; שמירה לתקופה בהתאם לדין/צורך.
• גיבויים מוצפנים, בדיקות שחזור תקופתיות ותיעוד יומן השחזור.
• הקשחת שרתים, עדכוני אבטחה, בדיקות חדירה תקופתיות, ניטור חריגות.
• תהליכי IR: זיהוי, בלימה, תיעוד, הודעה ללקוח, הפקת לקחים.
• הדרכות סודיות לעובדים וגישה לפי עקרון Least-Privilege.