הסכם עיבוד נתונים של PhotoRobot (DPA)
מסמך זה מייצג את הסכם עיבוד הנתונים של PhotoRobot: גרסה 1.0 — PhotoRobot Edition, uni-Robot Ltd., צ'כיה.
1. צדדים
הסכם עיבוד נתונים זה ("DPA") נחתם בין:
בקר (לקוח)
האדם או הישות המשפטית שנכנסו לתנאי השימוש של PhotoRobot ומשתמשים בשירות.
ו
מעבד:
יוני-רובוט בע"מ.
וודיצ'קובה 710/31
110 00 פראג 1
הרפובליקה הצ\'כית
מזהה חברה: 01478061
מזהה מע"מ: CZ01478061
אימייל: legal@photorobot.com
להלן מכונים יחד "הצדדים".
ה-DPA הזה משלים את תנאי השימוש של PhotoRobot וחל כאשר PhotoRobot מעבד נתונים אישיים בשם הלקוח.
2. נושא ואופי העיבוד
PhotoRobot ("מעבד") מספק שירותים מבוססי ענן, הרחבות תוכנה מקומיות, ניהול קושחה ותשתית אירוח הנדרשות לעיבוד תמונות, מטא-דאטה ותוכן דיגיטלי קשור שמועלה על ידי הלקוח ("בקר").
העיבוד כולל:
- אוסף
- אחסון
- הפצה
- חילוץ מטא-דאטה
- סנכרון בין CL ↔ Cloud
- אירוח תוכן שהועלה על ידי לקוחות
- יצירת יומנים ואבחון
- פעולות גיבוי
העיבוד מתבצע אך ורק מטעם הבקר, בהתאם להוראות המתועדות שלו.
3. משך
ה-DPA הזה נשאר בתוקף למשך תקופת היחסים החוזיים בין הצדדים, ולאחר מכן כל עוד המעבד מאחסן או מעבד נתונים אישיים מטעם המבקר.
4. נתונים אישיים וקטגוריות של נבדקים
4.1. סוגי נתונים אישיים
בהתאם לאופן השימוש בשירות, הנתונים המעובדים עשויים לכלול:
- נתוני זיהוי (שם, שם משפחה, חברה)
- נתוני יצירת קשר (אימייל, טלפון)
- תוכן חזותי (תמונות, סרטונים)
- מטא-דאטה הקשורים לתוכן שהועלה
- נתוני יומן, כתובות IP, מזהים טכניים
- נתונים ברמת הפרויקט
- אישורים (מגובשים), אסימוני גישה
המעבד אינו דורש או מעבד במכוון קטגוריות מיוחדות של נתונים (סעיף 9 GDPR).
4.2. קטגוריות של נבדקי נתונים
- עובדי הלקוח
- לקוחות או שותפים של הלקוח
- משתמשים מורשים
- כל אדם שמוצג בתוכן חזותי שהועלה על ידי הלקוח
הלקוח אחראי בלעדית להבטחת איסוף חוקי של נתונים מנושאי הנתונים.
5. הוראות מהבקר
המעבד מעבד נתונים אישיים בלבד:
- לפי ההוראות המתועדות של הבקר,
- כפי שנדרש כדי לספק את השירות,
- כדי להבטיח אבטחה, שלמות וזמינות מערכות,
- כפי שנדרש על פי חוקי האיחוד האירופי או הצ'כי.
אם המעבד רואה פקודה כבלתי חוקית, המעבד חייב להודיע לבקר.
6. סודיות
המעבד מוודא שכל האנשים המורשים לעבד נתונים אישיים:
- כפופים לחובות סודיות,
- קיבלו הכשרה מתאימה,
- מעבד נתונים אך ורק לפי הוראות הבקר.
7. תתי-מעבדים
המעבד משתמש בצדדים שלישיים מסוימים ("תת-מעבדים") לתמיכה בשירות.
7.1. תת-מעבדים מאושרים
הבקר מעניק הרשאה כללית למעבד להפעיל את הקטגוריות הבאות של תת-מעבדים:
- ספקי תשתית ענן (למשל, Google Cloud Platform)
- ספקי משלוחי דואר אלקטרוני
- ספקי אנליטיקה
- מערכות כרטיסים
- שירותי ניטור אבטחה
- מערכות גיבוי והתאוששות מאסון
רשימה מלאה נשמרת ברשימת תת-המעבדים של PhotoRobot וייתכן שתתעדכן.
7.2. הודעה על שינויים
המעבד יידע את הבקר על כל שינוי מתוכנן לתת-מעבדים לפחות 15 יום מראש, מה שיאפשר לבקר להתנגד מטעמים סבירים.
8. העברת נתונים בינלאומית
כאשר תת-מעבדים או תשתית ממוקמים מחוץ לאזור ה-EEA, המעבד מבטיח:
- יישום סעיפי חוזה סטנדרטיים (SCC 2021),
- אמצעי הגנה טכניים וארגוניים משלימים
- גישה והצפנה ממזערת,
- ביקורות ציות על ידי הספק הבסיסי.
פלטפורמת Google Cloud מספקת:
- ISO 27001, ISO 27017, ISO 27018
- דוחות SOC 1/2/3
- תיעוד עמידה ב-GDPR
פרטים זמינים באתר https://cloud.google.com/security.
9. אמצעי אבטחה
המעבד יישם מדדים טכניים וארגוניים (TOMs) ברמת התעשייה, כולל:
9.1. צעדים טכניים
- הצפנת TLS של נתונים במעבר
- אחסון מאובטח עם אסימוני גישה מוצפנים
- סביבות עיבוד מבודדות
- גיבוב סיסמה
- מגבלות קצב ומערכות גילוי חדירות
- חומת אש רב-שכבתית
- אבטחת מרכזי נתונים פיזיים (באמצעות Google Cloud)
9.2. צעדים ארגוניים
- בקרת גישה מבוססת תפקידים
- רישום גישה ומעקב
- מדיניות פנימית לטיפול בנתונים
- חובות סודיות עובדים
- הכשרה תקופתית לאבטחה
- ניהול סיכוני ספקים
רשימה מלאה של TOMs זמינה לפי בקשה.
10. זכויות נבדק הנתונים
המעבד מסייע לבקר בתגובה ל:
- בקשות גישה
- תיקון
- מחיקה
- הגבלה
- ניידות נתונים
- התנגדויות
המעבד יעביר כל בקשה ישירה מנתון נתונים למבקר ללא עיכוב מיותר.
11. הודעה על פרצת נתונים
במקרה של דליפת נתונים אישיים, המעבד יודיע למבקר:
- ללא עיכוב מיותר,
- כולל את כל המידע הנדרש לפי סעיף 33 ל-GDPR,
- ולספק עדכונים שוטפים עד להשלמת התיקון.
הבקר נשאר אחראי להודיע לרשויות ולאנשים שנפגעו.
12. מחיקה או החזרת נתונים
עם סיום החוזה:
- המעבד מוחק נתוני לקוחות לאחר 30 יום,
- אלא אם כן הונחה אחרת על ידי המבקר,
- למעט כאשר החזקה נדרשת על פי חוק.
הגיבויים מוחלפים במהלך מחזור החיים הרגיל שלהם.
13. ביקורות
לבקר יש זכות ל:
- קבל מסמכים המוכיחים עמידה ב-GDPR
- בקש דוח על TOMs
- לבצע ביקורות סבירות, מוגבלות לפעם בשנה
- להסתמך על הסמכות צד שלישי (דוחות ISO/SOC של Google Cloud)
ביקורות לא צריכות לסכן את האבטחה או להפריע לתפעול.
14. אחריות
אחריות הצדדים מתייחסת לתנאי השירות.
המעבד אחראי רק להפרות שנגרמו מהפרת התחייבויות ה-GDPR.
15. חוק שלטון וסמכות שיפוט
ה-DPA הזה מנוהל על ידי חוקי הרפובליקה הצ'כית.
מחלוקות ייפתרו על ידי בתי המשפט בפראג, צ'כיה.
16. סעיפים חוזיים סטנדרטיים (SCC)
כאשר נדרש, SCC 2021 (מודול 2: בקר → מעבד) חל כנספח ל-DPA זה.
PhotoRobot:
- משלב את SCC בהפניה,
- כולל את כל הסעיפים החובה,
- מיישם צעדים טכניים משלימים
- מבטיח עמידה בהעברות לתתי-מעבדים מחוץ לאזור ה-EEA.
ניתן לספק את ה-SCC במלואו לפי בקשה.
17. מגע
יוני-רובוט בע"מ.
וודיצ'קובה 710/31
110 00 פראג 1
הרפובליקה הצ\'כית
אימייל: legal@photorobot.com