נספח עיבוד נתונים

נספח עיבוד נתונים זה («DPA») מהווה חלק מתנאי השירות שבינך («הלקוח», בעל השליטה) לבין Empire Luxury International Corporation (DBA Neuro Empire) («NeuroCRM», המעבד), ומסדיר את עיבוד הנתונים האישיים הכלולים בתוכן הלקוח. במקרה של סתירה בעניינים הנוגעים להגנת נתונים, ל-DPA זה תהיה עדיפות על פני התנאים.

1. תפקידים והיקף

לגבי תוכן הלקוח, הלקוח הוא בעל השליטה (או מעבד הפועל עבור לקוחותיו שלו) ו-NeuroCRM היא המעבד (או מעבד-המשנה). NeuroCRM מעבדת את תוכן הלקוח אך ורק לצורך אספקת השירות ובהתאם להנחיותיו המתועדות של הלקוח, הכוללות את התנאים, DPA זה והשימוש בתכונות השירות. NeuroCRM פועלת כבעלת שליטה עצמאית רק לגבי נתוני החשבון, החיוב והאבטחה המוגבלים המתוארים במדיניות הפרטיות.

2. פרטי העיבוד

נושא: אספקת שירות NeuroCRM. משך: תקופת המינוי של הלקוח בתוספת כל תקופת סיום הדרגתי. אופי ומטרה: פעולות אירוח, אחסון ועיבוד הדרושות לאספקת השירות כפי שהוגדר על ידי הלקוח. קטגוריות נושאי הנתונים: אנשי הקשר, הלידים, הלקוחות, העובדים ויחידים אחרים של הלקוח אשר הלקוח מזין את נתוניהם. קטגוריות הנתונים האישיים: כפי שנקבע על ידי הלקוח, בדרך כלל נתוני זיהוי וקשר, רשומות עסקיות ותקשורת; אסור ללקוח להזין נתונים מקטגוריות מיוחדות אלא אם הוסכם בכתב.

3. הנחיות הלקוח וציות

NeuroCRM תעבד את תוכן הלקוח אך ורק על פי הנחיות מתועדות, לרבות לצורך העברות, אלא אם הדבר נדרש לפי הדין החל (ובמקרה כזה NeuroCRM תיידע את הלקוח אלא אם הדבר אסור). NeuroCRM תודיע ללקוח אם, לדעתה, הנחיה מפרה את דין הגנת הנתונים החל. הלקוח אחראי לחוקיות תוכן הלקוח ולקיומם של כל ההודעות וההסכמות הנדרשות.

4. סודיות הצוות

NeuroCRM מבטיחה כי הצוות המורשה לעבד את תוכן הלקוח מחויב בחובות סודיות ומעבד את הנתונים אך ורק בהתאם להנחיות.

5. אמצעי אבטחה

NeuroCRM מיישמת אמצעים טכניים וארגוניים מתאימים להבטחת רמת אבטחה ההולמת את הסיכון, ובכלל זה הצפנה בעת העברה והצפנת אסימוני גישה במנוחה, בידוד לוגי של דיירים, בקרות גישה ורישום, עמידוּת וגיבוי, וסקירה תקופתית. תקציר זמין לפי בקשה ובמדיניות הפרטיות.

6. מעבדי-משנה

הלקוח מעניק הרשאה כללית ל-NeuroCRM להתקשר עם מעבדי-משנה. רשימה עדכנית מצויה בכתובת /legal/subprocessors. NeuroCRM מטילה על כל מעבד-משנה חובות הגנת נתונים שאינן מגֵנות פחות מ-DPA זה ונותרת אחראית לביצועם. NeuroCRM תיתן הודעה של 30 ימים לפחות לגבי כל מעבד-משנה חדש או מחליף; הלקוח רשאי להתנגד מטעמי הגנת נתונים סבירים, ואם הצדדים אינם מצליחים ליישב את ההתנגדות, הלקוח רשאי לסיים את השירות הנוגע בדבר ולקבל החזר של דמי תשלום מראש שלא נוצלו.

7. בקשות נושאי נתונים וסיוע

בהתחשב באופי העיבוד, NeuroCRM תסייע ללקוח, באמצעים מתאימים ובמידה סבירה מבחינה מסחרית, במענה לבקשות נושאי נתונים ובעמידה בחובותיו בכל הנוגע לאבטחה, להודעה על הפרות, להערכות השפעה על הגנת נתונים ולהתייעצות מוקדמת. אם NeuroCRM תקבל בקשה ישירות מנושא נתונים, היא תעביר אותה ללקוח ולא תשיב, אלא בהתאם להנחיה או כנדרש על פי דין.

8. הודעה על הפרת נתונים אישיים

NeuroCRM תודיע ללקוח ללא דיחוי בלתי מוצדק, ובכל מקרה בתוך 24 שעות ממועד היוודע לה על הפרת נתונים אישיים מאומתת או חשודה באופן סביר הנוגעת לתוכן הלקוח, ותספק מידע זמין כדי לסייע ללקוח לעמוד בחובות ההודעה שלו, בצירוף עדכונים ככל שהחקירה מתקדמת. הודעה כאמור אינה מהווה הודאה באשמה או באחריות. ההכרעה אם להודיע לרגולטורים או לנושאי הנתונים, ומסירת הודעות אלה, הן באחריות הלקוח כבעל השליטה; NeuroCRM מעניקה שיתוף פעולה סביר.

9. העברות בין-לאומיות

במקום שבו העיבוד כרוך בהעברת נתונים אישיים אל מחוץ ל-EEA, לבריטניה או לשווייץ אל מדינה ללא החלטת נאותוּת, הצדדים משלבים את Standard Contractual Clauses (2021/914), Module Two (controller to processor) של הנציבות האירופית, מושלמים במידע שב-DPA זה, יחד עם UK International Data Transfer Addendum וההתאמות השווייצריות לפי העניין; לחלופין, NeuroCRM רשאית להסתמך על EU-US Data Privacy Framework במקום שבו היא מוסמכת. NeuroCRM מיישמת אמצעים משלימים לפי הצורך. במקרה של סתירה, ל-SCC תהיה עדיפות אך ורק במידה הדרושה.

10. מתחם הנתונים הרוסי (152-FZ)

לגבי נתונים אישיים של יחידים בפדרציה הרוסית, NeuroCRM מקיימת מתחם רוסי נפרד עם רישום ואחסון ראשוניים על שרתים הממוקמים ברוסיה, בהתאם לחוק הפדרלי מס' 152-FZ, ומעבדת נתונים אלה לפי הנחיית הלקוח לפי Article 6(3) 152-FZ. מתחם זה ותהליך ההודעה על הפרות שבו (ראשונית בתוך 24 שעות ותוצאות בתוך 72 שעות אל Roskomnadzor) פועלים באופן עצמאי משרשרת ה-GDPR. ראו את מדיניות עיבוד הנתונים האישיים (רוסיה).

11. ביקורת

NeuroCRM תעמיד לרשות הלקוח את המידע הדרוש להוכחת ציות ל-DPA זה ותאפשר עריכת ביקורות. כדי לצמצם שיבושים, NeuroCRM רשאית להיענות לבקשות ביקורת באמצעות מסירת הסמכות או דוחות עדכניים של צד שלישי (כגון ISO 27001 או SOC 2 Type II) במקום שאלה זמינים. ביקורות באתר או ביקורות מפורטות מוגבלות לפעם אחת בשנה (למעט בעקבות הפרה), מחייבות הודעה של 30 ימים לפחות, היקף שהוסכם הדדית, סודיות, ומתבצעות בשעות העבודה ללא הפרעה בלתי סבירה.

12. החזרה ומחיקה

עם הסיום, על פי בחירת הלקוח שתיעשה בתוך 30 ימים, NeuroCRM תחזיר את תוכן הלקוח בפורמט נפוץ או תמחק אותו, ולפי בקשה תאשר את המחיקה בתוך פרק זמן סביר, למעט במידה שהשמירה נדרשת על פי דין. גיבויים שגרתיים נדרסים במחזור הסבב הסטנדרטי.

13. אחריות ועדיפות

אחריותו של כל צד לפי DPA זה כפופה להגבלות ולהחרגות שבתנאי השירות, לרבות התקרה המוגברת להפרות הגנת נתונים. ל-DPA זה, לרבות ה-SCC המשולבים בו, תהיה עדיפות על פני הוראות סותרות של התנאים בעניינים הנוגעים להגנת נתונים. ה-DPA כפוף להוראות הדין החל ויישוב הסכסוכים שבתנאים החלים על הלקוח.