נספח עיבוד נתונים

נספח עיבוד נתונים זה („הנספח”) נערך בין BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India („LumaKol”, „אנחנו”) לבין הלקוח שקיבל את תנאי השירות של LumaKol („הלקוח”, „אתם”).

נספח זה מהווה חלק מתנאי השירות לכל לקוח וחל בכל פעם ש-LumaKol מעבדת מידע אישי בשם הלקוח — לפי Digital Personal Data Protection Act, 2023 של הודו, ה-GDPR, ה-UK GDPR או כל דין אחר להגנת מידע. הוא חל אוטומטית; אינכם צריכים לחתום עליו.

אם לקוח רוצה עותק חתום לרשומותיו, הוא יכול לבקש אותו בכתובת [email protected]. כאשר נספח זה ותנאי השירות סותרים זה את זה בנוגע להגנה על מידע אישי, נספח זה גובר.

• „דיני הגנת מידע” פירושם כל דין להגנת מידע שחל על העיבוד, לרבות Digital Personal Data Protection Act, 2023 של הודו והתקנות שהותקנו מכוחו („DPDP Act”), ה-General Data Protection Regulation 2016/679 של האיחוד האירופי (GDPR), ה-UK GDPR וה-UK Data Protection Act 2018, וה-California Consumer Privacy Act כפי שתוקן („CCPA”).
• „מידע אישי של הלקוח” פירושו מידע אישי ש-LumaKol מעבדת בשם הלקוח כדי לספק את השירות.
• ל„בקר”, „מעבד”, „נושא מידע”, „פרצת מידע אישי” ו„עיבוד” המשמעות שניתנה להם בדיני הגנת המידע. כאשר חל ה-DPDP Act, „בקר” פירושו Data Fiduciary, „מעבד” פירושו Data Processor ו„נושא מידע” פירושו Data Principal.
• „מעבד משנה” פירושו צד שלישי ש-LumaKol מתקשרת איתו לעיבוד מידע אישי של הלקוח.
• „SCCs” פירושם הסעיפים החוזיים התקניים שאושרו על ידי הנציבות האירופית בהחלטת היישום (EU) 2021/914, ו„הנספח הבריטי” פירושו International Data Transfer Addendum שהונפק על ידי ה-Information Commissioner הבריטי.

למונחים אחרים המשמעות שניתנה להם בתנאי השירות.

הלקוח הוא הבקר של המידע האישי של הלקוח ו-LumaKol היא המעבד שלו. כאשר הלקוח עצמו הוא מעבד שפועל עבור בקר אחר, LumaKol היא מעבדת המשנה שלו והלקוח אחראי להעביר את ההוראות הרלוונטיות.

LumaKol היא בקר נפרד לגבי המידע האישי שהיא צריכה כדי להפעיל את חשבון הלקוח, כמו שמות משתמשים, פרטי התחברות ורשומות חיוב. מדיניות הפרטיות חלה על מידע זה, לא נספח זה.

כאשר חל ה-CCPA, הלקוח הוא „business” ו-LumaKol היא ה-„service provider” שלו. LumaKol לא תמכור או תשתף מידע אישי של הלקוח, לא תשמור, תשתמש או תגלה אותו לכל מטרה מלבד אספקת השירות או מחוץ לקשר העסקי הישיר שלה עם הלקוח, ולא תשלב אותו עם מידע אישי ממקורות אחרים אלא כפי שה-CCPA מתיר. LumaKol תודיע ללקוח אם לא תוכל עוד לעמוד בחובות אלה.

הלקוח אחראי להחזיק בבסיס חוקי (לפי ה-DPDP Act, הסכמה או שימוש לגיטימי) לעיבוד, לדיוק המידע האישי של הלקוח, למסירת כל הודעה שהחוק מחייב לאנשים שאליהם הוא פונה, ולעמידה שלו עצמו בדינים בדבר שיחות שיווק והקלטת שיחות.

• נושא: אספקת LumaKol, CRM לשיחות שבו צוות הלקוח מנהל לידים, מבצע שיחות מהטלפונים הניידים שלו ומתעד את התוצאה של כל שיחה.
• משך: כל עוד הלקוח משתמש בשירות, ולאחר מכן עד שהנתונים נמחקים לפי „מחיקה והחזרה”.
• אופי: איסוף, אחסון, ארגון, אחזור, הצגה, העברה למשתמשים ולמכשירים של הלקוח, ומחיקה.
• מטרה: לספק, לאבטח ולתמוך בשירות עבור הלקוח, ולא לשום מטרה אחרת.

LumaKol מעבדת מידע אישי של הלקוח רק לפי ההוראות המתועדות של הלקוח. תנאי השירות, נספח זה והשימוש וההגדרה של השירות על ידי הלקוח הם ההוראות האלה. LumaKol תודיע ללקוח אם היא סבורה שהוראה מפרה את דיני הגנת המידע, אלא אם החוק אוסר עליה לעשות זאת.

אם החוק מחייב את LumaKol לעבד מידע אישי של הלקוח בדרך אחרת, היא תודיע על כך ללקוח לפני שתעשה זאת, אלא אם החוק אוסר זאת.

LumaKol מוודאת שכל מי שהיא מסמיכה לעבד מידע אישי של הלקוח כפוף לחובת סודיות. גישת הצוות למידע אישי של הלקוח מוגבלת למה שהוא צריך כדי להפעיל את השירות ולתמוך בו, והיא מתועדת.

LumaKol מקיימת אמצעים טכניים וארגוניים המתאימים לסיכון, לרבות:

• הצפנת נתונים בתעבורה (TLS), הצפנת מסד הנתונים במנוחה, ושכבה נוספת של הצפנת AES-256 לסודות כמו אסימונים וסיסמאות של תיבות דואר מחוברות;
• הפרדת הנתונים של כל לקוח לפי סביבת עבודה, כשכל שאילתה מסוננת לפי סביבת העבודה של הלקוח;
• סיסמאות מגובבות ב-Argon2id ואסימוני הפעלה שנשמרים רק כגיבובים;
• הגבלת קצב ונעילה בהתחברות;
• גישה מבוססת תפקידים במוצר, עם אפשרויות להסתיר מספרי טלפון, להגביל ייצואים ולהגביל מי יכול לשמוע הקלטות;
• יומני ביקורת שאפשר רק להוסיף אליהם עבור פעולות רגישות;
• אימות רב-שלבי לצוות של LumaKol, עם גישה מתועדת לנתוני ייצור;
• גיבויים לשחזור לאחר תקלה, שיוצאים מהמחזור בתוך כארבעה שבועות.

LumaKol רשאית לעדכן אמצעים אלה כל עוד רמת ההגנה הכוללת אינה פוחתת.

הלקוח מסמיך את LumaKol להתקשר עם מעבדי המשנה המתוארים בטבלה שלהלן. LumaKol מחייבת כל מעבד משנה בחוזה בכתב לחובות הגנת מידע שאינן פחותות מנספח זה, ונשארת אחראית כלפי הלקוח לביצועי כל מעבד משנה. שמות מעבדי המשנה הנוכחיים נמסרים לכל לקוח לפי בקשה בכתובת [email protected], ומהווים חלק מנספח זה.

לפני שמעבד משנה חדש מתחיל לעבד מידע אישי של הלקוח, LumaKol תודיע לבעלי סביבת העבודה באימייל לפחות 30 יום מראש, תוך ציון שמו. הלקוח רשאי להתנגד מטעמי הגנת מידע סבירים בתוך תקופה זו. אם הצדדים אינם יכולים ליישב את ההתנגדות, הלקוח רשאי להפסיק להשתמש בחלק המושפע של השירות או לסיים את המנוי.

כאשר אפליקציית ה-iPhone תשוחרר, השירות של פלטפורמת ה-iPhone עצמה יעביר את התראות הפוש שלה; נוסיף אותו לרשימה זו, עם ההודעה המתוארת לעיל, לפני שזה יקרה. עדיין לא ניתן לחבר את Google Drive,‏ Sheets ו-Calendar, את יומן Microsoft Outlook ואת מודעות הלידים של Facebook ו-Instagram.

הקלטות שיחה נשמרות בשרתים של LumaKol. הערות קוליות ותמונות מביקורי שטח יישמרו ב-Google Drive של חבר הצוות שמחבר אותו, לא בשרתים של LumaKol.

אימיילים שלקוח שולח ללידים שלו עוברים דרך תיבת הדואר של הלקוח עצמו (הגדרות ← אימייל), לא דרך ספק האימייל של LumaKol. מערכות שהלקוח מחבר בעצמו, כמו האתר שלו, מקורות לידים, לקוחות API ונקודות קצה של webhook, מקבלות נתונים לפי הוראות הלקוח ואינן מעבדי משנה של LumaKol.

השירות מאפשר ללקוח לאתר, לתקן, לייצא ולמחוק את נתוני הלידים שלו ולחסום שיחות נוספות לליד, כך שהוא יכול לענות על רוב הבקשות של נושאי מידע בעצמו. כאשר אינו יכול, LumaKol תסייע לפי בקשה, בהתחשב באופי העיבוד.

אם LumaKol מקבלת בקשה ישירות מנושא מידע בנוגע למידע אישי של הלקוח, היא תעביר אותה ללקוח ללא דיחוי מיותר ולא תשיב עליה אלא לפי הוראות הלקוח.

LumaKol תיתן גם עזרה סבירה בתסקירי ההשפעה על הגנת המידע של הלקוח ובהתייעצויות עם רשויות פיקוח, ככל שהם נוגעים לעיבוד של LumaKol.

LumaKol תודיע ללקוח ללא דיחוי מיותר, ובכל מקרה בתוך 48 שעות, לאחר שנודע לה על פרצת מידע אישי שמשפיעה על מידע אישי של הלקוח, כדי שהלקוח יוכל לעמוד בחובות שלו לדווח לרגולטורים ולאנשים המושפעים — למשל בתוך 72 שעות לפי ה-GDPR וכללי ה-DPDP Act. ההודעה תתאר, ככל שידוע באותה עת, את אופי הפרצה, את הקטגוריות ואת המספר המשוער של האנשים והרשומות המושפעים, את ההשלכות האפשריות ואת האמצעים שננקטו או שמוצעים, ותציין איש קשר למידע נוסף.

LumaKol תעדכן את הלקוח ככל שיתברר מידע נוסף ותנקוט צעדים סבירים כדי לבלום את הפרצה ולהגביל את השפעותיה. הודעה על פרצה אינה הודאה באשמה.

במהלך המנוי הלקוח יכול לייצא את הלידים שלו ל-CSV ולקרוא את הנתונים שלו דרך ה-API הציבורי. כאשר הלקוח סוגר את סביבת העבודה שלו, או שהנתונים שלו מגיעים לסוף תקופת השמירה שבתנאי התשלום לאחר ביטול או הקפאה בשל אי-תשלום, LumaKol מוחקת את המידע האישי של הלקוח מהשירות.

עותקים בגיבויים פגים לפי לוח זמנים מתגלגל ונמחקים כשהם פגים. LumaKol רשאית לשמור נתונים רק כאשר החוק מחייב זאת, ואז רק את אותם נתונים, מוגנים לפי נספח זה, כל עוד החוק מחייב.

לפי בקשה סבירה, LumaKol תעמיד לרשות הלקוח את המידע הדרוש כדי להראות שהיא עומדת בחובותיה לפי נספח זה ולפי סעיף 28 ל-GDPR, כמו תשובות בכתב לשאלוני אבטחה.

כאשר מידע זה אינו מספיק, הלקוח רשאי לבקר את עמידתה של LumaKol, בעצמו או באמצעות מבקר עצמאי הכפוף לסודיות, בהודעה מוקדמת בכתב של 30 יום לפחות, בשעות העבודה, לא יותר מפעם בשנה אלא אם רשות פיקוח דורשת זאת או לאחר פרצת מידע אישי, ועל חשבון הלקוח. הצדדים יסכימו מראש על ההיקף כדי שהביקורת לא תשבש את השירות או תחשוף נתונים של לקוחות אחרים.

LumaKol מעבדת מידע אישי של הלקוח בהודו, בסינגפור וביפן שבהן השירות מתארח, ובמדינות שבהן פועלים מעבדי המשנה שלה. כאשר הדבר כרוך בהעברת מידע אישי אל מחוץ לאזור הכלכלי האירופי, או אל מחוץ לבריטניה, למדינה ללא החלטת הלימות או תקנות מתאימות, הצדדים מסכימים כי:

• לגבי נתונים מהאזור הכלכלי האירופי, ה-SCCs חלים ומשולבים בנספח זה בדרך של הפניה: מודול שתיים (מבקר למעבד) כאשר הלקוח הוא בקר, ומודול שלוש (ממעבד למעבד) כאשר הלקוח הוא מעבד, עם סעיף ההצטרפות האופציונלי, אפשרות 2 (הסמכה כללית) בסעיף 9, והדין ובתי המשפט של אירלנד בסעיפים 17 ו-18;
• לגבי נתונים מבריטניה, הנספח הבריטי חל ומשולב בדרך של הפניה, כשהטבלאות שלו מושלמות במידע שבנספח זה;
• המידע שה-SCCs דורשים בנספחים שלהם הוא המידע שבסעיפים „הצדדים”, „נושא, משך, אופי ומטרה”, „נושאי מידע ומידע אישי”, „אמצעי אבטחה” ו„רשימת מעבדי המשנה” לעיל.

כאשר חל ה-DPDP Act, LumaKol לא תעביר מידע אישי של הלקוח למדינה או לטריטוריה שממשלת הודו הגבילה.

אם ה-SCCs או הנספח הבריטי סותרים נספח זה, הם גוברים. LumaKol דורשת ממעבדי המשנה שלה להגן על העברות המשך באמצעי הגנה מתאימים.

האחריות של כל צד לפי נספח זה כפופה למגבלות שבתנאי השירות, למעט כאשר דיני הגנת המידע או ה-SCCs אינם מתירים להגביל את האחריות.

נספח זה נמשך כל עוד LumaKol מעבדת מידע אישי של הלקוח. חובות שמטבען צריכות לשרוד, כמו סודיות ומחיקה, שורדות את סיומו. LumaKol רשאית לעדכן נספח זה כדי לשקף שינויים בחוק או בשירות; היא לא תפחית את ההגנה הניתנת למידע אישי של הלקוח, והתאריך „עודכן לאחרונה” שלמעלה מציין את הגרסה הנוכחית.

שאלות על נספח זה, הודעות לפיו ובקשות לעותק חתום נשלחות אל [email protected].

בקשת עותק חתום: כתבו אל [email protected] עם השם המשפטי והכתובת של הארגון שלכם, ואנו נשלח לכם את הנספח בחזרה חתום.