הסכם עיבוד נתונים

01תחולה

הסכם עיבוד הנתונים של OMC Cloud ("DPA") יחול על כל ההסכמים ("ההסכמים") שלך ("המשתמש") עם OMC Cloud Computers and Communications Ltd. והחברות הקשורות אליה ו/או חברות הבת שלה ("OMC Cloud"), ואתה ו/או הגוף שאתה מייצג ("הלקוח"), ומשלים את תנאי השימוש של OMC Cloud הזמינים בכתובת: omc.cloud/tos, כפי שיעודכנו מעת לעת ("TOU"), או כל הסכם בין הלקוח לבין OMC Cloud, המסדיר את השימוש של הלקוח בשירותים ("ההסכמים") ככל ש-OMC Cloud מעבדת נתונים.

02הגדרות

2.1. מונחים שנעשה בהם שימוש ב-DPA זה אך לא הוגדרו כאן (בין אם באות ראשית גדולה ובין אם לאו) תהיה להם המשמעות שהוקצתה למונחים אלה בהסכמים, או בדיני הגנת המידע החלים, לפי העניין.

2.2 "דיני הגנת המידע החלים" משמעם, ככל שחלים על עיבוד המידע האישי של OMC Cloud לפי הסכם זה (ביחס לכל נושא מידע): (i) התקנות הכלליות להגנת מידע (הפרלמנט האירופי ומועצת האיחוד האירופי (2016), תקנה (EU) 2016/679) (EU GDPR); (ii) ה-EU GDPR כפי שהוא מהווה חלק מדין אנגליה ווילס מכוח סעיף 3 לחוק האיחוד האירופי (פרישה) 2018 וחוק הגנת המידע של בריטניה 2018 (UK GDPR); (iii) חוק הגנת הצרכן של קליפורניה משנת 2018 (CCPA) וחוק זכויות הפרטיות של קליפורניה משנת 2020 (CPRA); (iv) חוק הגנת הפרטיות (ישראל); ו-(v) כל כללים או תקנות המתקנים ו/או מחליפים כל אחד מדיני הגנת המידע הנזכרים לעיל. במקרה של סתירה כלשהי בין דיני הגנת המידע החלים, יחול הדין המחמיר ביותר החל על הלקוח.

2.3 "נתוני לקוח" משמעם המידע האישי (כהגדרתו להלן) המועלה לשירותי OMC Cloud, אשר עשוי לכלול תוכנה, נתונים, טקסט, שמע, וידאו, או תמונות שהלקוח או מי מלקוחות הקצה שלו מעביר ל-OMC Cloud לצורך עיבוד, אחסון או אירוח על ידי השירותים. נתוני לקוח אינם כוללים מידע חשבון אודות הלקוח הנוגע ו/או בקשר לחשבון הלקוח (למשל שם ושם משפחה של הלקוח, מספרי טלפון, כתובות דוא"ל, פרטי תשלום או מידע אחר הנוגע לניהול משאבי OMC Cloud כגון הרשאות גישה, שימוש בשירות וכו'), אשר מוסדר על ידי הודעת הפרטיות ("PN").

2.4 "מידע אישי" מתייחס להגדרת מונח זה או כל מונח דומה אחר המוגדר לפי דיני הגנת המידע החלים.

2.5 "תניות חוזיות סטנדרטיות או SCCs" משמען: כאשר חל ה-EU GDPR, התניות החוזיות הסטנדרטיות לפי החלטת היישום של נציבות האיחוד האירופי 2021/914 מיום 4 ביוני 2021, הקבועות כיום בכתובת: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj ("EU SCCs"); (ii) כאשר חל ה-UK GDPR, ה-EU SCCs יחד עם הנספח של משרד נציב המידע של בריטניה (UK Information Commissioner's Office), לפי סעיף S119A(1) לחוק הגנת המידע 2018 ("UK Addendum"); או כל תניות חוזיות סטנדרטיות אחרות המתקנות ו/או מחליפות תניות חוזיות סטנדרטיות כאלה בהתאם לדיני הגנת המידע החלים.

2.6. "השירותים" משמעם השירותים והמוצרים המסופקים ללקוח על ידי OMC Cloud בהתאם להסכמים.

03עיבוד מידע אישי מטעם לקוח

הצדדים מאשרים ומסכימים כי ביחס לעיבוד מידע אישי המבוצע אך ורק מטעם הלקוח: (i) הלקוח הוא בעל השליטה (Controller) או העסק (Business) (ככל שה-CCPA חל) של המידע האישי; (ii) OMC Cloud פועלת כמעבד (Processor) או ספק שירות (Service Provider) (ככל שה-CCPA חל) עבור הלקוח, ובהתאם להוראות הלקוח, כמפורט כאן ובהסכמים, כפי שעשויים להיות מתוקנים מעת לעת על ידי OMC Cloud (יחד, "התנאים"), אשר על פיהם מידע אישי עשוי להיחשף ל-OMC Cloud ו-OMC Cloud עשויה לעבד מידע אישי כזה ("המטרה העסקית המוסכמת").

04מצגי הלקוח

הלקוח מפרט את הפרטים, לרבות המטרה, האמצעים והדרכים שבהם OMC Cloud תעבד את נתוני הלקוח, כנדרש לפי דיני הגנת המידע החלים בנספח A (פרטי עיבוד המידע האישי המעובד), המצורף לכאן, והלקוח מצהיר ומתחייב כי:

4.1. הוא עומד בחובות אבטחת מידע אישי ובחובות אחרות הקבועות בדיני הגנת המידע החלים עבור בעלי שליטה/עסקים, וכי מסירת נתוני הלקוח ל-OMC Cloud עומדת בדיני הגנת המידע החלים;

4.2. הוא מעבד אך ורק מידע אישי/מידע פרטי שנאסף בהתאם לדיני הגנת המידע החלים;

4.3. יש לו נהלים מוכנים למקרה שבו יחידים/צרכנים שמידעם האישי נאסף, מבקשים לממש את זכויותיהם בהתאם לדיני הגנת המידע החלים;

4.4. הוא מספק נתוני לקוח ל-OMC Cloud למטרה עסקית בהתאם למצגים שהלקוח מציג לצרכנים במדיניות הפרטיות של הלקוח, והלקוח אינו מוכר נתוני לקוח ל-OMC Cloud; 4.5. הוא יספק ל-OMC Cloud כמעבד/ספק שירות, או אחרת יאפשר ל-OMC Cloud (או למי מטעמה) לעבד נתוני לקוח כאלה אשר מותרים במפורש לפי ה-PN של OMC Cloud ("מידע אישי מותר"). הלקוח לבדו יישא באחריות לכל מידע המועמד לרשות OMC Cloud מעבר למידע האישי המותר ("מידע בלתי מותר"). חובות OMC Cloud לפי התנאים לא יחולו על כל מידע בלתי מותר כאמור;

4.6. הוא מוסמך כדין וביעילות, ויישאר מוסמך כך, לתת את ההוראה הקבועה כאן וכל הוראה נוספת כפי שתינתן לפי התנאים, בכל העתים הרלוונטיות ולכל הפחות כל עוד התנאים בתוקף ולכל תקופה נוספת שבמהלכה OMC Cloud מעבדת כדין מידע אישי/מידע פרטי;

4.7. על אף כל האמור בניגוד לכך, הלקוח מאשר כי OMC Cloud מסוגלת לגשת לנתוני הלקוח, ועשויה לעשות כן כאשר הדבר נדרש למטרות תפעול ותחזוקה ואם נדרש לאספקת השירותים.

05התחייבויות OMC Cloud

5.1. OMC Cloud מבצעת את עיבוד נתוני הלקוח מטעם הלקוח;

5.2. בהתאם להוראות סעיף 28 ל-GDPR, OMC Cloud מצהירה ומתחייבת כי היא:

5.2.1. תעבד נתוני לקוח אך ורק מטעם הלקוח ובהתאם להוראות המשתמש (לרבות בנוגע להעברות מידע בינלאומיות), לרבות הוראות ב-DPA זה ובכל התנאים, אלא אם נדרשת לעשות כן לפי דין האיחוד האירופי או דין מדינה חברה חל;

5.2.2. תיישם אמצעים טכניים וארגוניים מתאימים כדי לספק רמת אבטחה הולמת, לרבות, ככל שמתאים וחל, האמצעים הנזכרים בסעיף 32(1) ל-GDPR;

5.2.3. תנקוט בצעדים סבירים כדי להבטיח שהגישה לנתוני הלקוח המעובדים מוגבלת על בסיס צורך לדעת/לגשת, וכי כל עובדי OMC Cloud המקבלים גישה כזו כפופים להתחייבויות סודיות או לחובות סודיות מקצועיות או חוקיות בקשר עם גישתם/שימושם בנתוני הלקוח.

5.2.4. היא תספק ללקוח סיוע סביר בכל הערכות השפעה על הגנת המידע או התייעצויות מוקדמות עם רשויות פיקוח בנוגע לעיבוד נתוני הלקוח על ידי המעבד/ספק השירות, כנדרש לפי כל דיני הגנת המידע החלים, לפי בקשתו בכתב של הלקוח, ועל חשבונו הבלעדי של הלקוח.

5.3. בהתאם ל-CCPA, ככל שחל ביחס לכל נושא מידע, OMC Cloud מסכימה כי:

5.3.1. OMC Cloud פועלת אך ורק כספק שירות ביחס לנתוני הלקוח לצורכי המטרה העסקית המוסכמת;

5.3.2. OMC Cloud לא תשמור, תשתמש או תחשוף נתוני לקוח לכל מטרה מלבד המטרה העסקית המוסכמת;

5.3.3. OMC Cloud רשאית לבטל זיהוי (de-identify) או לצבור (aggregate) נתוני לקוח כחלק מביצוע השירותים המפורטים בתנאים.

5.3.4. OMC Cloud תגביל את איסוף, השימוש, השמירה והחשיפה של מידע אישי לפעילויות הנחוצות באופן סביר ופרופורציונליות להשגת המטרות העסקיות המוסכמות או מטרה תפעולית תואמת אחרת.

06עיבוד משנה

6.1. הלקוח מסמיך את OMC Cloud למנות מעבדי משנה בהתאם להוראות התנאים. כל קבלן משנה שייעשה בו שימוש חייב להיחשב כספק שירות לפי דיני הגנת המידע החלים. OMC Cloud אינה רשאית לבצע לקבלן המשנה כל חשיפה שה-CCPA היה רואה בה מכירה.

6.2. OMC Cloud רשאית להמשיך להשתמש במעבדי המשנה שכבר נשכרו על ידי OMC Cloud נכון למועד DPA זה. הלקוח מאשר ומסכים כי נכון למועד DPA זה OMC Cloud משתמשת במעבדי משנה מסוימים; רשימה של מעבדי משנה כאלה תסופק לפי בקשה.

6.3. OMC Cloud רשאית למנות מעבדי משנה חדשים ותיתן הודעה סבירה על מינוי כל מעבד משנה חדש. המשך השימוש של הלקוח בשירותים הרלוונטיים לאחר הודעה כאמור מהווה את הסכמת הלקוח למעבד המשנה החדש.

07זכויות נושאי המידע

7.1. הלקוח יהיה האחראי הבלעדי לציות לכל חובה חוקית בנוגע לבקשות לממש את זכויות נושאי המידע לפי דיני הגנת המידע החלים (למשל, לגישה, תיקון, מחיקה של נתוני לקוח מעובדים וכו'). OMC Cloud תשתדל באופן סביר לסייע ללקוח, ככל שמעשי, לקיים את חובותיו האמורות של הלקוח ביחס לבקשות נושאי מידע כאלה, לפי העניין, על חשבונו הסביר והבלעדי של הלקוח.

7.2. OMC Cloud (i) ללא דיחוי בלתי סביר תודיע ללקוח אם תקבל בקשה מנושא מידע לפי דיני הגנת המידע החלים ביחס למידע אישי מעובד; ו-(ii) לא תיענה לבקשה זו, אלא לפי הוראות בכתב של הלקוח או כנדרש לפי דיני הגנת המידע החלים, ובמקרה זה OMC Cloud, ככל שמותר לפי דיני הגנת המידע החלים, תיידע את בעל השליטה/העסק על דרישה חוקית זו בטרם תיענה לבקשה.

08אירוע אבטחת מידע אישי

8.1. OMC Cloud תודיע ללקוח ללא דיחוי בלתי סביר עם היוודע ל-OMC Cloud על כל אירוע אבטחת מידע אישי כמשמעותו בדיני הגנת המידע החלים הנוגע לנתוני לקוח, אשר עשוי לחייב מתן הודעה לרשות פיקוח או לנושא מידע לפי דיני הגנת המידע החלים ("אירוע אבטחת מידע אישי").

8.2. לפי בקשתו בכתב של הלקוח ועל חשבונו הבלעדי של הלקוח, OMC Cloud תספק שיתוף פעולה וסיוע סבירים ללקוח ביחס לחובות הלקוח בנוגע לחקירת כל אירוע אבטחת מידע אישי ולמתן הודעה לרשות הפיקוח ולנושאי המידע ביחס לאירוע אבטחת מידע אישי כאמור; ובלבד, עם זאת, ש-OMC Cloud, על חשבונה, תעשה מאמצים סבירים להכיל ולתקן כל אירוע אבטחת מידע אישי שנגרם על ידי OMC Cloud (או סוכניה, נציגיה או קבלני המשנה שלה) ללא דיחוי בלתי סביר ולמנוע כל אירוע אבטחת מידע אישי נוסף, לרבות, אך לא רק, נקיטת כל פעולה סבירה נחוצה לציות לדיני הגנת המידע החלים.

09מחיקה או החזרה של מידע אישי שעובד

9.1. בכפוף לתנאים שכאן, OMC Cloud, בתוך עד שישים (60) ימים, אלא אם נדרשת תקופה קצרה יותר לפי דיני הגנת המידע החלים, תחזיר ולאחר מכן תשמיד את נתוני הלקוח, למעט עותקים כפי שמותר לרבות לפי DPA זה או הנדרשים להישמר בהתאם לדיני הגנת המידע החלים.

9.2. OMC Cloud רשאית לשמור נתוני לקוח רק ככל שמותר או נדרש לפי דיני הגנת המידע החלים, ובלבד ש-OMC Cloud תבטיח את סודיותם של נתוני לקוח כאלה ותבטיח כי הם מעובדים אך ורק למטרה/ות חוקית/ות כאמור. הוראות DPA זה יסדירו כל נתוני לקוח שנשמרו כאמור.

9.3. לפי בקשתו המוקדמת בכתב של הלקוח, OMC Cloud תספק ללקוח אישור בכתב כי עמדה בהוראות סעיף 9 זה.

10זכויות ביקורת

10.1. בכפוף לתנאים שכאן, ולא יותר מפעם אחת בכל שנה קלנדרית, OMC Cloud תעמיד לרשות מבקר בעל מוניטין שמונה על ידי הלקוח בתיאום עם OMC Cloud, בעלות סבירה של הלקוח לפי בקשה מוקדמת בכתב, במהלך שעות העבודה הרגילות בחצרי OMC Cloud, מידע נחוץ ורלוונטי כדי להוכיח באופן סביר ציות ל-DPA זה, ותאפשר ביקורות על ידי מבקר בעל מוניטין כאמור שמונה על ידי הלקוח ביחס לעיבוד נתוני הלקוח על ידי OMC Cloud, ובלבד שמבקר צד שלישי כזה יהיה כפוף לחובות סודיות.

10.2. הלקוח יעשה (ויבטיח שכל אחד מהמבקרים מטעמו יעשה) את מירב המאמצים להימנע מגרימת (או, אם אינו יכול להימנע, למזער) כל נזק, פגיעה או שיבוש לחצרי OMC Cloud, לציוד, לעובדים ולעסק שלה בעת שעובדיו נמצאים בחצרים אלה במהלך ביקורת או בדיקה כאמור.

11העברות מידע בינלאומיות

11.1. הלקוח רשאי לבחור את מיקומי מרכזי הנתונים כפי שמוצעים על ידי OMC Cloud שבהם יעובדו נתוני הלקוח. לאחר שהלקוח עשה את בחירתו, KAMTERA לא תעביר נתוני לקוח ממיקומי הלקוח שנבחרו, אלא ככל שנחוץ לאספקת השירותים שיזם הלקוח, או כפי שנדרש במפורש על ידי הלקוח, או ככל שנחוץ לציות לדין החל.

11.2. בכפוף לסעיף 11.1, מידע אישי עשוי להיות מועבר מהאזור הכלכלי האירופי ומהממלכה המאוחדת ("UK") למדינות המציעות רמה הולמת של הגנת מידע לפי או בהתאם להחלטות ההלימה (Adequacy Decisions), כפי שנקבעו על ידי הנציבות האירופית לפי סעיף 45 ל-GDPR, ועל ידי שר החוץ (Secretary of State), לפי סעיף 17A לחוק הגנת המידע של בריטניה 2018, בהתאמה, או רשות הולמת אחרת, כפי שנקבע על ידי האיחוד האירופי ובריטניה ("החלטות הלימה"), לפי העניין, ללא צורך באמצעי הגנה נוסף.

11.3. ככל ש-OMC Cloud מעבירה (בין במישרין ובין בהעברה נוספת) מידע אישי למדינות מחוץ לאזור הכלכלי האירופי ו/או מחוץ לבריטניה, אשר לא היו נושא להחלטת הלימה רלוונטית, או שהעברות כאלה אינן מבוצעות באמצעות מנגנון ציות מוכר חלופי כפי שעשוי להיות מאומץ על ידי OMC Cloud להעברה חוקית של מידע אישי (כקבוע ב-GDPR), וככל שחל ביחס לכל נושא מידע, העברה כאמור של המידע האישי של הלקוח למדינות אחרות תהיה כפופה, כאשר יישום ה-SCCs בין הצדדים נדרש לפי דיני הגנת המידע החלים, לתניות החוזיות הסטנדרטיות, כפי שהן משולבות ב-DPA זה בהפניה, ותיושם כדלקמן:

11.3.1. במקרה של העברת מידע אישי בין הלקוח ל-OMC Cloud, הצדדים ייישמו את מודול II – "בעל שליטה למעבד" (Controller to Processor), של התניות החוזיות הסטנדרטיות, עם השינויים המפורטים בסעיף 11.3.2 זה. עם זאת, כאשר הלקוח פועל כמעבד, יחול מודול III ("מעבד למעבד"), ובלבד שבהתחשב באופי העיבוד, הלקוח מסכים כי אין זה סביר ש-OMC Cloud תדע את זהות בעלי השליטה של הלקוח, מאחר של-OMC Cloud אין קשר ישיר עם בעלי השליטה של הלקוח, ולכן הלקוח יקיים את חובות OMC Cloud כלפי בעלי השליטה של הלקוח לפי ה-SCCs של מעבד-למעבד.

11.3.2. הצדדים ייחשבו כמי שקיבלו וחתמו על ה-SCCs, לרבות הנספחים הנלווים. תוכן נספח I ל-SCCs כלול בנספח A ל-DPA זה. תוכן נספח II ל-SCCs כלול בנספח B ל-DPA זה. הצדדים מסכימים בנוסף לבחירות היישום הבאות לפי ה-SCCs:

11.3.2.1. סעיף 7: לא יחול.

11.3.2.2. סעיף 9(a): הצדדים בוחרים באפשרות 2, "הרשאה כללית בכתב" (General Written Authorization) ומציינים תקופה של שלושים (30) ימים.

11.3.2.3. סעיף 11: הצדדים בוחרים שלא לכלול את הלשון האופציונלית הנוגעת לשימוש בגוף עצמאי ליישוב סכסוכים. 11.3.2.4. סעיף 17: הצדדים בוחרים באפשרות 1 ומציינים את דין אירלנד.

11.3.2.5. סעיף 18(b): הצדדים מציינים את בתי המשפט של אירלנד.

11.3.3. במקרה של העברת מידע אישי בין OMC Cloud לבין מעבדי המשנה שלה לצורך ביצוע פעילויות עיבוד ספציפיות (מטעם הלקוח), הצדדים יתקשרו במודול III ("מעבד למעבד") של התניות החוזיות הסטנדרטיות.

11.3.4. אם חל, בעת העברת מידע אישי המוסדר על ידי ה-UK GDPR, הצדדים מסכימים ליישם את ה-SCCs החלים, כפי ששונו על ידי ה-UK Addendum. המידע הנדרש לפי טבלה 1 של ה-UK Transfer Addendum מופיע בנספח A ל-DPA זה. בנוסף, הצדדים מאמצים את ה-SCCs, כפי ששונו על ידי ה-UK Transfer Addendum, ביחס להעברות בינלאומיות חלות של מידע אישי בריטי בדיוק באותו אופן הקבוע בסעיף 11.1 לעיל, בכפוף לאמור להלן:

11.3.4.1. סעיף 13: משרד נציב המידע של בריטניה ("ICO") יהיה רשות הפיקוח המוסמכת.

11.3.4.2. סעיף 17: ה-SCCs, כפי ששונו על ידי ה-UK Transfer Addendum, יהיו כפופים לדיני אנגליה ווילס.

11.3.4.3. סעיף 18: הצדדים מסכימים כי כל מחלוקת הנובעת מה-SCCs, כפי ששונו על ידי ה-UK Transfer Addendum, תיושב על ידי בתי המשפט של אנגליה ווילס. נושא מידע בריטי רשאי אף הוא לנקוט בהליכים משפטיים נגד מייצא המידע ו/או מייבא המידע בפני בתי המשפט של כל מדינה בבריטניה. הצדדים מסכימים לכפוף עצמם לסמכות השיפוט של בתי משפט אלה.

11.4. נספחים A ו-B, המצורפים ל-DPA זה, יחולו אף הם בקשר עם עיבוד מידע אישי, בכפוף לדין הגנת המידע החל.

11.5. OMC Cloud שומרת לעצמה את הזכות לאמץ סטנדרט ציות חלופי ל-SCCs להעברה חוקית של מידע אישי, ובלבד שהוא מוכר לפי דין הגנת המידע. OMC Cloud תיתן הודעה מוקדמת של 30 ימים על אימוץ סטנדרט ציות חלופי.

12תנאים כלליים

12.1. דין חל וסמכות שיפוט. כל המחלוקות ביחס ל-DPA זה ייקבעו בהתאם לחוקי מדינת ישראל ויטופלו בבית משפט מוסמך בתל אביב-יפו. 12.2. סתירה. במקרה של סתירה או אי-התאמה כלשהי בין DPA זה לבין כל הסכם אחר בין הצדדים, לרבות הסכמים שנכרתו לאחר מועד DPA זה, יגברו הוראות DPA זה.

12.3. שינויים בדיני הגנת המידע החלים. OMC Cloud רשאית, בהודעה מוקדמת בכתב של ארבעים וחמישה (45) ימים קלנדריים לפחות ללקוח, לבקש בכתב כל שינוי ב-DPA זה, אם הם נדרשים, כתוצאה מכל שינוי בכל דין הגנת מידע חל, בנוגע לחוקיות עיבוד נתוני הלקוח. אם הלקוח מספק את בקשת השינוי שלו, OMC Cloud תעשה מאמצים מסחריים סבירים להיענות לבקשת שינוי כזו, והלקוח לא ימנע או יעכב באופן בלתי סביר את הסכמתו לכל שינוי נובע ב-DPA זה כדי להגן על OMC Cloud מפני סיכונים נוספים, ו/או לשפות ולפצות את OMC Cloud בגין כל עלות נוספת הכרוכה בשינויים שנעשו לפי הסכם זה.

12.4. הפרדה (Severance). אם הוראה כלשהי של DPA זה תהיה בלתי תקפה או בלתי ניתנת לאכיפה, אזי יתר DPA זה יישאר תקף ובתוקף. ההוראה הבלתי תקפה או הבלתי ניתנת לאכיפה (i) תתוקן כנדרש כדי להבטיח את תוקפה ואכיפותה, תוך שמירה על כוונות הצדדים ככל האפשר, או, אם הדבר אינו אפשרי, (ii) תפורש באופן כאילו החלק הבלתי תקף או הבלתי ניתן לאכיפה מעולם לא נכלל בה.

ולראיה באו הצדדים על החתום ב-DPA זה:

החברה: הלקוח:

__________________________ __________________________

OMC Cloud __________. ___________________

שם: ____________________ שם: ______________

תפקיד: ______________________ תפקיד: ______________