נספח אבטחת מידע ועיבוד מידע

0. מעמד הנספח

נספח זה הוא חלק בלתי נפרד מתנאי השימוש של זינוק. אישור תנאי השימוש מהווה אישור של נספח זה.

הנספח נערך כדי לקיים את תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, המחייבת הסכם בכתב בין בעל מאגר לבין גורם חיצוני המחזיק או מעבד עבורו מידע.

1. הגדרות

2. חלוקת האחריות

2.1 הסוכן הוא בעל המאגר. המידע על לקוחותיו הוא שלו, נותר בבעלותו הבלעדית, והאחריות החוקית כלפי נושאי המידע היא שלו.

2.2 החברה היא המחזיק. היא מעבדת את המידע אך ורק לצורך אספקת השירות ולפי הוראות הסוכן.

2.3 סיווג המאגר: מידע על נכסיו, חובותיו ומצבו הכלכלי של אדם הוא מידע רגיש לפי התוספת הראשונה לתקנות, פרט 1(3)(ח). לפיכך תיק הלקוחות של הסוכן מסווג ברמת אבטחה בינונית לכל הפחות, וכל עוד אינו כולל מידע על 100,000 אנשים ומעלה ואינו מונה למעלה מ-100 בעלי הרשאה.

3. היקף העיבוד המותר

3.1 סוגי המידע: פרטי זיהוי והתקשרות של לקוחות ובני משפחותיהם; מספרי זהות; כתובות; מצב משפחתי ומספר ילדים; פוליסות, קופות, צבירות, פרמיות, דמי ניהול, מוטבים ומסלולי השקעה; עמלות; מסמכים שהסוכן העלה.

3.2 המטרות המותרות, וכל אחת מהן בלבד:

• אחסון, ארגון והצגה של המידע לסוכן ולמשתמשים המורשים מטעמו
• עיבוד קבצי מסלקה, ממשק אחיד, דוחות עמלות, פרודוקציה, פיגורים ודוחות יומיים
• זיהוי איתותים והזדמנויות בתיק והצגתם לסוכן
• הפקת דוחות, מכתבים ומסמכים לבקשת הסוכן
• גיבוי, שחזור, ניטור אבטחה ותמיכה טכנית

3.3 פעולות מותרות: צפייה, יצירה, שינוי, מחיקה, ייצוא, ועיבוד אוטומטי לצורכי המטרות שבסעיף 3.2.

3.4 מה שאסור במפורש: מכירת המידע; העברתו לצד שלישי שלא לפי נספח זה; שימוש בו לטובת סוכן אחר; שימוש בו לפרסום או לשיווק שאינו של הסוכן עצמו; אימון מודלי בינה מלאכותית על מידע מזוהה של לקוחות הסוכן.

3.5 מידע סטטיסטי אנונימי. החברה רשאית להפיק מהמערכת נתונים מצטברים ואנונימיים, שאינם מאפשרים זיהוי של לקוח או של סוכן, לצורך שיפור השירות.

4. מי מורשה לגשת

4.1 הגישה למידע ניתנת לפי הצורך בלבד (need to know), ובהיקף המצומצם הנדרש לתפקיד.

4.2 החברה מנהלת רישום מעודכן של בעלי ההרשאה מטעמה.

4.3 הרשאה נשללת מיידית עם סיום העסקה או שינוי תפקיד.

4.4 כל עובד החברה חותם על התחייבות לסודיות בכתב לפני מתן הגישה. ספקי התשתית (סעיף 7) מחויבים לסודיות במסגרת הסכמי עיבוד המידע שלהם.

4.5 הפרדה בין תיקים. ההפרדה בין תיקי סוכנים שונים נאכפת בשכבת מסד הנתונים (Row Level Security), ולא בקוד האפליקציה. כל שאילתה מסוננת לפי זהות המשתמש המחובר בטרם תוצאותיה מגיעות לאפליקציה.

5. אמצעי האבטחה

5.1 מיקום המידע והעברתו. המידע מאוחסן בשרתי Amazon Web Services בפרנקפורט, גרמניה, בתוך האיחוד האירופי, באמצעות ספק תשתית מסד הנתונים Supabase; פונקציות השרת של האפליקציה רצות אצל Vercel בארצות הברית, בהתאם לתקנה 2(4) לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ועל בסיס התחייבות חוזית להגנה על המידע ברמה הנדרשת בדין הישראלי.

5.2 הצפנה. בהעברה: TLS, עם אכיפת HSTS ברמת השרת. באחסון: AES-256. סיסמאות שהסוכן מזין לאתרי יצרנים נשמרות בכספת מוצפנת (Vault) ברמת מסד הנתונים, ניתנות להפעלה ואינן ניתנות לקריאה, לרבות על ידי עובדי החברה.

5.3 בקרת גישה ואימות. שם משתמש וסיסמה אישיים לכל משתמש; חסימת סיסמאות המופיעות במאגרי דליפות ידועים; ניתוק אוטומטי לאחר 60 דקות ללא פעילות, עם התראה שתי דקות מראש.

5.4 תיעוד ובקרה (תקנה 10(ד)). אירועי התחברות, ניתוק, שינויי הרשאות, ייצוא, מחיקה המונית ושימוש בסיסמאות פורטלים מתועדים ביומן ייעודי. היומן נשמר 24 חודשים לפחות. הסוכן רשאי לעיין ביומן הנוגע לתיקו ולקבל אותו לידיו לפי בקשה.

5.5 גיבוי. גיבוי אוטומטי יומי, הנשמר שבעה ימים. הגיבויים מוצפנים ונמחקים באופן בלתי הפיך עם תום תקופת השמירה.

5.6 ניהול פגיעויות ועדכונים. ניטור אוטומטי של פגיעויות ידועות בספריות צד שלישי, ועדכון שוטף. סקירה תקופתית של נוהלי האבטחה.

5.7 ביקורת תקופתית. החברה תקיים ביקורת פנימית על עמידתה בנספח זה אחת ל-24 חודשים לפחות, בהתאם לתקנה 16.

6. אירוע אבטחת מידע

6.1 החברה תדווח לסוכן על אירוע אבטחת מידע הנוגע לתיקו באותו יום עסקים שבו נודע לה עליו.

6.2 הדיווח יכלול את מה שידוע באותה עת: מה אירע, מתי, איזה מידע עלול היה להיחשף, ואילו צעדים ננקטו.

6.3 החברה תסייע לסוכן במילוי חובת הדיווח שלו לרשות להגנת הפרטיות, ככל שחלה.

6.4 החברה לא תפרסם הודעה פומבית המזהה את הסוכן בלי הסכמתו מראש ובכתב, למעט כשחובה חוקית מחייבת.

7. קבלני משנה

7.1 החברה רשאית להיעזר בקבלני משנה, ובלבד שהם כפופים להתחייבויות מקבילות לנספח זה.

7.2 קבלני המשנה נכון למועד גרסה זו:

7.3 רשימת קבלני המשנה מתעדכנת בגרסאות הנספח.

8. זכויות נושאי המידע

8.1 פנייה של לקוח לחברה בעניין המידע שלו תועבר לסוכן, שהוא בעל המאגר.

8.2 החברה תסייע לסוכן לממש בקשות עיון, תיקון ומחיקה, באופן שיאפשר לו לעמוד במועדים הקבועים בדין.

9. שמירה ומחיקה

9.1 תקופות שמירה במהלך ההתקשרות:

9.2 בסיום ההתקשרות: הסוכן זכאי לייצוא מלא של המידע שלו. העותק שבידי החברה יימחק, לרבות מגיבויים, בתוך 30 יום ממועד הסיום או ממועד קבלת הייצוא, לפי המאוחר.

9.3 החברה תמסור לסוכן אישור בכתב על ביצוע המחיקה.

9.4 שמירה מעבר לכך תיעשה רק כשהדין מחייב, ובהיקף שהוא מחייב בלבד. חובות נספח זה ממשיכות לחול על מידע שנשמר כך.

10. דיווח וביקורת

10.1 החברה תמסור לסוכן, לפי בקשתו, דוח שנתי על עמידתה בנספח זה.

10.2 הסוכן רשאי לקיים ביקורת סבירה, בתיאום מראש, על חשבונו, ובכפוף להתחייבות לסודיות.

11. אחריות

11.1 אחריות החברה לפי נספח זה מוגבלת לסכום דמי המנוי ששילם הסוכן בפועל בשנים-עשר החודשים שקדמו לאירוע.

11.2 החברה אינה אחראית לנזק עקיף, תוצאתי, או לאובדן רווח.

11.3 הגבלות אלה לא יחולו על נזק שנגרם בזדון.

11.4 הסוכן אחראי לשימוש שנעשה בחשבונו בפרטי הגישה שלו, ולעמידתו שלו בחובות החלות עליו כבעל מאגר.

12. שינויים

12.1 החברה רשאית לעדכן נספח זה לצורך עמידה בדין או שינוי מהותי בשירות.

12.2 גרסה חדשה מוצגת לאישור בכניסה למערכת. המערכת מתעדת מי אישר, איזו גרסה, ומתי.

12.3 גרסה זו: 1.0.

13. סמכות שיפוט

הדין החל הוא הדין הישראלי. סמכות השיפוט הבלעדית נתונה לבתי המשפט המוסמכים בתל אביב יפו.

14. יצירת קשר

בענייני אבטחת מידע ופרטיות: contact@support.zinuk.ai