הסכם עיבוד מידע (DPA) של WizBI

1. תפקידים

1.1. בעל מאגר ומחזיק. לעניין מידע אישי הכלול במידע הלקוח, הלקוח הוא בעל המאגר ובעל השליטה (controller), ו-WizBI היא המחזיק והמעבד (processor). WizBI מעבדת מידע אישי זה רק בהתאם לתנאים, לטופס ההזמנה, להגדרות החשבון של הלקוח ולנספח 1, המהווים יחד את ההוראות המתועדות המלאות של הלקוח.

1.2. WizBI כבעלת שליטה. לעניין נתוני שירות, נתוני חשבון ומשתמשים, מידע מצרפי, אבטחה, חיוב והקשר העסקי, WizBI היא בעלת שליטה עצמאית (controller) ומדיניות הפרטיות חלה. הלקוח מורה ל-WizBI ליצור נתוני שירות ומידע מצרפי ולשפר את חומרי WizBI לפי סעיף 9 לתנאים, ומאשר שאלה מטרות מותרות.

1.3. הוראות שאינן חוקיות. אם WizBI סבורה שהוראה מפרה את הדין, היא תודיע על כך ללקוח ורשאית לסרב לבצעה.

2. פרטי העיבוד

2.1. המידע ונושאי המידע. סוגי המידע האישי ונושאי המידע מפורטים בנספח 1, ובמקום שהם שונים, בטופס ההזמנה.

2.2. מטרות. WizBI מעבדת מידע אישי לצורך:

(א) מתן השירות, לרבות הפעלת מודלים וסוכנים;

(ב) תמיכה, הטמעה ופתרון תקלות;

(ג) אבטחה, ניטור ומניעת שימוש לרעה;

(ד) שיפור השירות עבור הלקוח;

(ה) יצירת נתוני שירות ומידע מצרפי לפי סעיף 9 לתנאים; וכן

(ו) חיוב, ראיות ועמידה בדין.

2.3. מידע רגיש. מידע בעל רגישות מיוחדת מעובד רק אם הוסכם על כך בטופס ההזמנה, בתנאים ובמחיר שהוסכמו בו.

2.4. מערכות ופעולות. WizBI ניגשת רק למקורות המידע שהלקוח חיבר לפי סעיף 6 לתנאים, בהרשאות שהלקוח הקצה. פעולות ברירת המחדל הן קריאה, העתקה לסביבת הלקוח בענן של WizBI, ניתוח והפקת תוצר. כתיבה למערכות הלקוח, שינוי או מחיקה בהן, ושליחת הודעות אל מחוץ לארגון, מבוצעות רק כאשר הוזמנו וסומנו ככאלה.

3. אבטחה

3.1. רמת אבטחה. WizBI מקיימת את חובות תקנות אבטחת מידע ברמת האבטחה הנקובה בטופס ההזמנה, ואחרת ברמה שהלקוח קבע למאגר שלו, ובכל מקרה את האמצעים שבנספח 2. רמה בינונית או גבוהה עשויה לחייב התאמות ותמחור נפרד.

3.2. הסמכה. WizBI מפעילה מערכת לניהול אבטחת מידע המוסמכת לתקן ISO/IEC 27001:2022 בהיקף התעודה שלה, ותודיע ללקוח אם ההסמכה תפקע ולא תחודש.

3.3. הצד של הלקוח. הלקוח אחראי לאבטחה בצד שלו: משתמשים, הרשאות, סיסמאות, קודי הצטרפות, רכיבים מקומיים ומערכות המקור.

4. כוח אדם וגישת WizBI

4.1. כוח אדם. עובדי WizBI וקבלניה שניגשים למידע אישי מחויבים בהתחייבויות סודיות בכתב, עוברים הדרכה, ומוגבלים לגישה הנדרשת לתפקידם.

4.2. גישה לחשבון. אנשי צוות מורשים של WizBI רשאים לגשת לחשבון הלקוח, לצפות בשיחות וביומנים, לשוחח עם הסוכן בהקשר של הארגון ולבצע פעולות בשירות לבקשת הלקוח, רק למטרות שבסעיף 4.4 לתנאים. גישה כזו מוגבלת לאנשי צוות המחויבים בסודיות, ניתנת לפי עקרון ההרשאה המינימלית, וכפופה לנהלי בקרת הגישה והרישום ביומנים של WizBI.

4.3. רכיבים אוטומטיים. סוכנים ורכיבים אוטומטיים פועלים כמשתמשים מורשים בתחום שהוגדר להם.

5. ספקי משנה

5.1. אישור. הלקוח מאשר את קטגוריות ספקי המשנה שבנספח 3 ואת החלפתם לפי סעיף זה.

5.2. החלה על ספקי המשנה. WizBI מטילה על כל ספק משנה, בהסכם בכתב (לרבות התנאים הסטנדרטיים של ספק המשנה), חובות הגנה שאינן פחותות באופן מהותי מאלה שבהסכם זה, ונשארת אחראית כלפי הלקוח לספק המשנה כמו למעשיה שלה, בכפוף לסעיף 14 לתנאים.

5.3. שינויים. WizBI תודיע ללקוח, בדוא״ל או בשירות, לפחות 15 ימים לפני שקטגוריה חדשה של ספק משנה תתחיל לעבד מידע לקוח. הלקוח רשאי להתנגד בכתב בתוך תקופה זו מטעמים סבירים של הגנת מידע. אם לא נמצא פתרון בתוך 30 ימים, הלקוח רשאי לסיים את השירות המושפע ולקבל החזר יחסי של דמים ששולמו מראש; זהו הסעד היחיד. שינוי דחוף הנדרש לצורכי אבטחה או רציפות יודע בהקדם האפשרי.

5.4. מי שאינם ספקי משנה. המערכות והחשבונות של הלקוח עצמו והספקים שלהם (כגון Priority, monday.com, Dropbox, Google Drive או BigQuery של הלקוח), וסוכני בינה מלאכותית חיצוניים שהלקוח מחבר באמצעות MCP או API, אינם ספקי משנה של WizBI. הם כפופים להסכמי הלקוח עמם ולסעיפים 4.7 ו-6 לתנאים.

6. העברות בינלאומיות

6.1. מיקומים. מידע הלקוח עשוי להיות מאוחסן ומעובד בישראל, באיחוד האירופי, בארצות הברית ובמקומות אחרים שבהם פועלים הספקים של WizBI, עם אמצעי הגנה מתאימים, כמפורט בנספח 3 ובטופס ההזמנה. לקוח הדורש אחסון או עיבוד באזור מסוים בלבד יציין זאת בטופס ההזמנה; בהיעדר ציון כאמור, הלקוח מאשר את המיקומים שבנספח 3.

6.2. הבסיס להעברה. העברות לאיחוד האירופי ולמדינות הכפופות לדין האיחוד האירופי נעשות לפי תקנה 2(8) לתקנות ההעברה. העברות לארצות הברית ולמדינות אחרות נעשות לפי תקנה 2(4), על בסיס התחייבות בכתב של הנמען (לרבות בתנאי עיבוד המידע שלו) לקיים את תנאי הדין הישראלי, לרבות הגבלת מטרה, סודיות, אבטחה וסיוע במימוש זכויות נושאי מידע, יחד עם תקנה 3 בעניין העברה הלאה.

6.3. מידע שמקורו באזור הכלכלי האירופי. לעניין מידע אישי שמקורו באזור הכלכלי האירופי, WizBI פועלת לפי תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023. העברה הלאה לארצות הברית נעשית לפי מסגרת פרטיות המידע בין האיחוד האירופי לארצות הברית (EU-US Data Privacy Framework) כאשר הנמען מאושר במסגרתה, ואחרת לפי הסעיפים החוזיים התקניים של האיחוד האירופי (מודול 3), המשולבים בהסכם זה בדרך של הפניה במקום שהדבר נדרש.

6.4. ברזיל. לעניין מידע אישי הכפוף ל-LGPD, העברות נעשות לפי סעיף 33 על בסיס סעיפים חוזיים תקניים או הסכמה, לפי העניין.

7. אירועי אבטחה

7.1. הודעה. WizBI תודיע ללקוח ללא דיחוי מיותר, ולא יאוחר מ-72 שעות לאחר שנודע לה, על אירוע אבטחה חמור או על כל שימוש במידע הלקוח ללא הרשאה או בחריגה מהרשאה, גם אם הבירור טרם הושלם. ההודעה תכלול את הידוע: מה אירע, סוגי המידע, ההיקף המשוער, האמצעים שננקטו והמלצות, עם עדכונים ככל שיתבררו פרטים.

7.2. שיתוף פעולה. WizBI תשתף פעולה עם הלקוח, תשמר ראיות ותסייע באופן סביר בהודעות לרשויות ולנושאי המידע. הלקוח, כבעל המאגר, אחראי לדיווח שלו. במקום שהדין מטיל על WizBI חובת דיווח ישירה, WizBI תדווח ותודיע ללקוח.

7.3. אין הודאה. הודעה או שיתוף פעולה לפי סעיף זה אינם הודאה באחריות.

8. בקשות נושאי מידע וסיוע

8.1. בקשות. בקשה לעיון, לתיקון, למחיקה או התנגדות שמגיעה ל-WizBI ונוגעת למידע הלקוח תועבר ללקוח בתוך זמן סביר. WizBI לא תשיב למבקש מעבר לאישור קבלת הבקשה והפנייתו ללקוח, אלא אם הדין מחייב אחרת.

8.2. סיוע. WizBI תסייע ללקוח באופן סביר בטיפול בבקשות, באמצעות הכלים של השירות או לפי בקשה בכתב. סיוע בהיקף חריג יחויב בתעריף סביר.

9. שמירה, החזרה ומחיקה

9.1. במהלך התקופה. מידע הלקוח נשמר במשך תקופת המנוי ותקופת הייצוא שבסעיף 16.9 לתנאים. היסטוריית השיחות ותורות הסוכן נשמרות במהלך תקופת המנוי לתקופה המתגלגלת שבסעיף 9.8 לתנאים, או כפי שנקבע בהגדרות החשבון של הלקוח או בטופס ההזמנה.

9.2. מחיקה. לאחר תקופת הייצוא, WizBI מוחקת את מידע הלקוח ממערכותיה הפעילות בתוך 60 ימים. עותקים בגיבויים נדרסים במחזור הגיבוי הרגיל, בתוך 90 ימים, ואינם משוחזרים לשימוש. WizBI מאשרת את המחיקה בכתב לפי בקשה.

9.3. חריגים. WizBI רשאית לשמור לאחר סיום ההתקשרות: נתוני שירות ומידע מצרפי, שאינם מידע לקוח; רשומות חיוב, חשבוניות וחוזים כנדרש בדין ולמשך עד שבע שנים; וקלט, תוצר ויומנים הקשורים לחשד לשימוש לרעה, לאירוע אבטחה, לתביעה או להקפאה משפטית, למשך הזמן הנדרש לבירור, להתגוננות או לעמידה בדין. הקפאה משפטית (בירור, הליך, אירוע או דרישת רשות) משעה את המחיקה עד להסרתה.

9.4. קישורים. קישור לקובץ שהשירות מפיק תקף לזמן מוגבל; הלקוח אחראי לאנשים שעמם הוא משתף קישור כזה.

10. ביקורת ומידע

10.1. מידע. לפי בקשה, פעם בשנה, WizBI תמסור מידע סביר המעיד על עמידה בהסכם זה: תעודות ודוחות (לרבות תעודת ISO/IEC 27001 והצהרת התחולה, במקום שהם זמינים), תקציר מדיניות ותשובות לשאלון אבטחה סטנדרטי. אלה הם מידע סודי של WizBI.

10.2. ביקורת. ביקורת תתאפשר רק במקום שהמידע האמור אינו מספיק באופן סביר, לאחר אירוע אבטחה מהותי, או לפי דרישת רשות; פעם אחת בכל 12 חודשים; בהודעה מוקדמת של 30 ימים; בשעות העבודה; ללא גישה למידע של לקוחות אחרים, לקוד מקור או לחומרי WizBI; על ידי מבקר שאינו מתחרה של WizBI ומחויב בסודיות; ועל חשבון הלקוח, לרבות זמן עובדי WizBI מעבר ליום עבודה אחד.

11. התחייבויות הלקוח

11.1. חובות בעל המאגר. הלקוח מצהיר ומתחייב כי:

(א) יש לו בסיס חוקי לאסוף את מידע הלקוח ולמסור אותו ל-WizBI למטרות הסכם זה;

(ב) הוא מסר את ההודעה הנדרשת לפי סעיף 11 לחוק הגנת הפרטיות, לרבות בדבר עיבוד על ידי נותן שירות, באמצעות בינה מלאכותית ומחוץ לישראל;

(ג) הוא סיווג את רמת האבטחה של המאגר שלו והודיע עליה ל-WizBI;

(ד) הוא לא ימסור מידע רגיש שלא הוסכם עליו;

(ה) הוראותיו חוקיות; וכן

(ו) הוא קיים את חובותיו לפי תקנה 15 כגורם המתקשר עם נותן שירות במיקור חוץ, לרבות הערכת הסיכונים לפני ההתקשרות.

12. אחריות, עדיפות ותקופה

12.1. אחריות. אחריותו של כל צד לפי הסכם זה כפופה לסעיף 14 לתנאים. עיצום, קנס או פיצוי סטטוטורי המוטלים על צד בשל מעשה או מחדל שלו עצמו יחולו על אותו צד.

12.2. עדיפות. לעניין מידע אישי הסכם זה גובר על שאר חלקי התנאים, למעט סעיף 14 לתנאים.

12.3. שינויי חקיקה. במקום ששינוי בדין מחייב זאת, WizBI תעדכן הסכם זה והנוסח המעודכן יחול לפי סעיף 17 לתנאים.

12.4. תקופה. הסכם זה חל כל עוד WizBI מעבדת מידע אישי עבור הלקוח, לרבות תקופות השמירה שבסעיף 9.

נספח 1 – פרטי העיבוד

נספח 2 – אמצעי אבטחה

WizBI מפעילה מערכת לניהול אבטחת מידע המוסמכת לתקן ISO/IEC 27001:2022 ומיישמת במסגרתה אמצעים מנהליים, פיזיים וטכנולוגיים סבירים, לרבות:

• הצפנת מידע בתעבורה ובמנוחה;
• הפרדה לוגית של מידע הלקוחות ושל ההרשאות בין ארגוני לקוחות, בשכבת האפליקציה;
• בקרת גישה מבוססת תפקידים והרשאות מינימליות, עם אימות חזק לאנשי הצוות של WizBI, לרבות אימות רב-שלבי לגישה ניהולית;
• גישה לקריאה בלבד למערכות הלקוח כברירת מחדל, באמצעות פרטי גישה ייעודיים;
• תיעוד וניטור של גישה למידע הלקוח, לרבות כל שאלה וכל גישה למידע;
• אחסון מאובטח של פרטי החיבור, שאינם מוצגים בממשק;
• ספקי מודלים המופעלים לפי תנאים מסחריים שאינם מתירים אימון על מידע הלקוח;
• ניהול ספקים וספקי משנה;
• נהלי גיבוי ושחזור;
• נוהל תגובה לאירועי אבטחה; וכן
• התחייבויות סודיות והדרכה לאנשי הצוות.

פירוט נוסף הנמסר לפי בקשה, לרבות תשובות לשאלוני אבטחה, הוא מידע בלבד ואינו חלק מהסכם זה.

נספח 3 – ספקי משנה ומיקומי עיבוד

WizBI משתמשת בספקי משנה בקטגוריות הבאות, במיקומי העיבוד המצוינים. פירוט נוסף יימסר ללקוח לפי בקשה.

מי שאינם ספקי משנה: המערכות והחשבונות של הלקוח עצמו שהוא מחבר, הספקים שלהם, וסוכני בינה מלאכותית חיצוניים שהלקוח מחבר (סעיף 5.4).

חתימה

(רשות – הסכם זה חל אוטומטית מכוח התנאים; עותק חתום בידי שני הצדדים נמסר לפי בקשה.)