הסכם עיבוד נתונים

למונחים המופיעים באות גדולה ואינם מוגדרים כאן תהיה המשמעות שניתנה להם בתנאים. בהסכם עיבוד נתונים זה:

דיני הגנת המידע

ה-GDPR והדינים של המדינות החברות באיחוד האירופי ובאזור הכלכלי האירופי המיישמים אותו או משלימים אותו, דירקטיבה 2002/58/EC (דירקטיבת ePrivacy) כפי שיושמה בדין הלאומי, וככל שהם חלים על העיבוד, ה-GDPR של בריטניה יחד עם חוק הגנת הנתונים של בריטניה משנת 2018 והחוק הפדרלי השווייצרי להגנת מידע (״FADP״).

מונחי ה-GDPR

למונחים ״בעל שליטה״, ״מעבד״, ״נושא מידע״, ״נתונים אישיים״, ״הפרת נתונים אישיים״, ״עיבוד״, ״קטגוריות מיוחדות של נתונים אישיים״ ו״רשות פיקוח״ תהיה המשמעות שניתנה להם ב-GDPR.

הנתונים האישיים של הלקוח

נתונים אישיים שאנו מעבדים מטעם הלקוח בעת אספקת השירות, כמתואר בנספח I. מונח זה אינו כולל נתונים אישיים שאנו מעבדים כבעל שליטה (ראו סעיף 1).

השירות

שירות האימייל המתארח של ExitoMail, ‏Exito Vault, ‏Exito Transfer, דומיינים מותאמים אישית ותכונות ניהול הארגון, כפי שהם ניתנים ללקוח בהתאם לתנאים.

משתמשים

האנשים שהלקוח מתיר להם להשתמש בשירות במסגרת החשבון שלו, לרבות הבעלים והחברים בארגון של הלקוח.

מעבד משנה

כל צד שלישי שאנו מתקשרים עמו ושמעבד את הנתונים האישיים של הלקוח. עובדינו וקבלנים יחידים הפועלים תחת סמכותנו הישירה אינם מעבדי משנה.

אירוע אבטחה

הפרת אבטחה המובילה להרס, לאובדן או לשינוי, בשוגג או שלא כדין, או לגילוי ללא הרשאה של הנתונים האישיים של הלקוח שהועברו, אוחסנו או עובדו בדרך אחרת על ידינו או על ידי מעבדי המשנה שלנו, או לגישה ללא הרשאה אליהם. במילים אחרות, הפרת נתונים אישיים (סעיף 4(12) ל-GDPR) המשפיעה על הנתונים האישיים של הלקוח.

הסעיפים החוזיים הסטנדרטיים

הסעיפים החוזיים הסטנדרטיים להעברת נתונים אישיים למדינות שלישיות, המצורפים להחלטת הביצוע (EU) 2021/914 של הנציבות מיום 4 ביוני 2021, כפי שמולאו כמפורט בסעיף 8.

Transfer מוגבלת

חשיפה של הנתונים האישיים של הלקוח, באמצעות העברתם או העמדתם לרשות אחר (לרבות באמצעות גישה מרחוק), לנמען במדינה מחוץ לאזור הכלכלי האירופי (EEA) שאינה מכוסה בהחלטת נאותות לפי סעיף 45 ל-GDPR (או, לגבי נתונים מבריטניה או משווייץ, לפי כללי הנאותות המקבילים בבריטניה או בשווייץ).

יום עסקים

ימים שני עד שישי, למעט חגים פדרליים רשמיים בארצות הברית.

סדר עדיפות

במקרה של סתירה בין מסמכים, הם יחולו לפי הסדר הבא:

1. הסעיפים החוזיים הסטנדרטיים, ככל שהם חלים;
2. הסכם עיבוד נתונים זה;
3. התנאים;
4. כל מדיניות או מסמך אחרים המהווים חלק מההסכם שלנו עם הלקוח.

אין בהסכם עיבוד נתונים זה כדי לגרוע מהזכויות המוקנות ללקוח או לנושאי מידע לפי דיני הגנת המידע. מילים כגון ״לרבות״ ו״לדוגמה״ מציגות דוגמאות ואינן מגבילות את האמור לפניהן.

נושא העיבוד

עיבוד הנתונים האישיים של הלקוח הנדרש כדי לספק לו את השירות: אחסון תיבות אימייל ב-exitomail.com ובדומיינים של הלקוח עצמו, שליחה וקבלה של אימיילים, אחסון ושיתוף קבצים ב-Exito Vault, שליחת קבצים באמצעות קישור עם Exito Transfer, ניהול הארגון של הלקוח ומתן תמיכה.

משך העיבוד

כל עוד אנו מספקים ללקוח את השירות בהתאם לתנאים, ולאחר מכן עד למחיקת הנתונים האישיים של הלקוח כמתואר בסעיף 12.

אופי העיבוד ומטרתו

העיבוד כולל אירוח, אחסון, העברה, קבלה ומסירה, סינון ספאם ותוכנות זדוניות, יצירת אינדקס לצורכי חיפוש, גיבוי, שחזור ומחיקה של הנתונים האישיים של הלקוח, וכן תמיכה וניהול נלווים. אנו מבצעים אותו אך ורק כדי לספק, לתחזק, לאבטח ולתמוך בשירות בהתאם להוראות הלקוח (סעיף 5).

נושאי מידע וסוגי נתונים אישיים

לסיכום (התיאור המלא מופיע בנספח I):

• נושאי מידע. המשתמשים של הלקוח; האנשים שהם מתכתבים עמם; אנשים שמקבלים קישורי Exito Transfer או מעלים קבצים דרך קישורי ״בקשת קבצים״; אנשים שהמשתמשים שומרים את פרטיהם כאנשי קשר; וכל מי שמוזכר באימיילים, בקבצים או בהעברות.
• נתונים אישיים. תוכן ומטא-נתונים של אימיילים, אנשי קשר, קבצים ב-Exito Vault, קובצי Exito Transfer וכתובות האימייל של הנמענים, נתוני חשבון ואימות, יומנים הכוללים כתובות IP, והגדרות של דומיינים מותאמים אישית ושל DNS.

הלקוח אחראי לשימוש שלו בשירות, ובפרט לנושאים הבאים:

• בסיס חוקי ושקיפות. קיום בסיס חוקי לעיבוד (סעיף 6 ל-GDPR, ובמקרים הרלוונטיים סעיף 9), ומסירת המידע הנדרש לפי סעיפים 13 ו-14 ל-GDPR למשתמשים שלו ולנושאי מידע אחרים.
• הוראות חוקיות. וידוא שהוראותיו עומדות בדיני הגנת המידע ובמדיניות השימוש המקובל שלנו.
• משתמשים והגדרות. ניהול המשתמשים שלו (הבעלים והחברים שהוא מזמין), תיבות הדואר והכתובות שלהם, הגדרות השיתוף ומועדי התפוגה של קישורים, וכן החלטה אילו נתונים יוכנסו לשירות ולכמה זמן הם יישמרו. על הלקוח לוודא שהמשתמשים מגינים על פרטי הגישה שלהם ומפעילים אימות דו-שלבי.
• התאמה. הערכת התאמתו של השירות לנתונים שהלקוח בוחר לעבד באמצעותו, בהתחשב בין היתר באמצעים שבנספח II ובעובדה שהשירות אינו מוצפן מקצה לקצה, ובפרט כשמדובר בקטגוריות מיוחדות של נתונים אישיים (סעיף 9 ל-GDPR) ובנתונים בדבר הרשעות ועבירות פליליות (סעיף 10 ל-GDPR).
• המערכות של הלקוח. אבטחת המכשירים, הרשתות ולקוחות האימייל של הלקוח, וכן כל עותק של נתונים שהוא מייצא מהשירות.

עיבוד לפי הוראות מתועדות בלבד

אנו מעבדים את הנתונים האישיים של הלקוח רק לפי הוראותיו המתועדות, לרבות בנוגע להעברות למדינות שלישיות, אלא אם דין של האיחוד האירופי או של מדינה חברה שאנו כפופים לו מחייב אחרת. במקרה כזה נודיע ללקוח על דרישה משפטית זו לפני העיבוד, אלא אם אותו דין אוסר זאת מטעמים חשובים של אינטרס ציבורי (סעיף 28(3)(a) ל-GDPR). כחברה אמריקאית אנו כפופים גם לדין האמריקאי; בקשות של רשויות ציבוריות מכוחו מטופלות כמתואר בסעיף 14 ובסעיפים 14 ו-15 לסעיפים החוזיים הסטנדרטיים.

ההוראות המתועדות של הלקוח הן:

• הסכם עיבוד נתונים זה והתנאים;
• השימוש בשירות והגדרתו בידי הלקוח והמשתמשים שלו (לדוגמה, שליחת הודעה, שיתוף קובץ, הגדרת מועד תפוגה לקישור, הוספת דומיין או מחיקת משתמש או הנתונים שלו); וכן
• כל הוראה אחרת בכתב שהלקוח מוסר לנו, שתואמת את התנאים ושאנו מאשרים בכתב. הוראות החורגות מפעולות השירות מחייבות את הסכמתנו מראש ובכתב.

הוראות המפרות את הדין

נודיע ללקוח מיד אם לדעתנו הוראה מפרה את ה-GDPR או הוראות אחרות של האיחוד האירופי או של מדינה חברה בנושא הגנת מידע. אנו רשאים להשעות את ביצוע ההוראה עד שהלקוח יאשר או ישנה אותה. איננו מחויבים לערוך בחינה משפטית מלאה של הוראות הלקוח.

חובת הסודיות של אנשי הצוות

אנו מעניקים גישה לנתונים האישיים של הלקוח רק לאנשי צוות הזקוקים לה כדי לספק, לאבטח או לתמוך בשירות (על בסיס צורך לדעת), ורק במידה הנדרשת להם. כל מי שיש לו גישה כפוף לחובות סודיות בכתב, או לחובת סודיות מתאימה לפי דין, הממשיכות לחול לאחר סיום ההתקשרות עמו, ומקבל הדרכה בנושא אבטחה והגנת מידע.

אנשי הצוות שלנו אינם קוראים את תוכן האימיילים, הקבצים או ההעברות, אלא כשהדבר נחוץ: כדי לספק תמיכה שהלקוח או משתמש ביקשו, כדי לחקור בעיית אבטחה, שימוש לרעה או ערעור, או כדי לציית לדין. גישה כזו מוגבלת לנדרש לביצוע המשימה ומתועדת במקרה התמיכה או השימוש לרעה הרלוונטי. סינון ואכיפה אוטומטיים פועלים על סמך אותות ותוצאות סריקה, בלי שאנשי צוות יקראו את התוכן.

אבטחה

אנו מיישמים ומקיימים את האמצעים הטכניים והארגוניים המתוארים בסעיף 6 ובנספח II, כנדרש בסעיף 32 ל-GDPR.

ללא מכירה, פרסום או מטרות אחרות

איננו מוכרים, משכירים או משתפים את הנתונים האישיים של הלקוח עם גורם כלשהו לצורכי פרסום או שיווק, איננו מציגים פרסומות ואיננו מנתחים תוכן כדי ליצור פרופילים של משתמשים. איננו משתמשים בנתונים האישיים של הלקוח למטרותינו, למעט:

1. כדי להפיק מדדים תפעוליים מצרפיים וסטטיסטיים שאינם מזהים את הלקוח, את המשתמשים שלו או כל אדם אחר (לדוגמה, נפח האחסון הכולל שנוצל, כמויות הודעות ושיעורי שגיאות), שבהם אנו משתמשים להפעלת השירות, לתכנון קיבולת ולשיפור האמינות;
2. כדי לאבטח את השירות ואת המשתמשים בו ולמנוע שימוש לרעה, במידה הנדרשת (לדוגמה, סינון ספאם ותוכנות זדוניות, אכיפת מגבלות שליחה וחקירת דיווחים על שימוש לרעה); וכן
3. כדי לציית לדין.

כאשר עיבוד לפי (b) או (c) הופך אותנו לבעל שליטה, מדיניות הפרטיות שלנו חלה על אותו עיבוד.

רישומי פעילויות עיבוד

אנו מנהלים רישום של כל קטגוריות פעילויות העיבוד שאנו מבצעים מטעם לקוחותינו, כנדרש בסעיף 30(2) ל-GDPR, ומעמידים אותו לרשות רשות פיקוח לפי דרישתה.

שיתוף פעולה עם רשויות פיקוח

אנו משתפים פעולה עם רשויות פיקוח במילוי תפקידיהן (סעיף 31 ל-GDPR). אלא אם הדין אוסר זאת, נודיע ללקוח ללא דיחוי בלתי סביר על כל בירור או בקשה של רשות פיקוח הנוגעים לנתונים האישיים של הלקוח.

איש קשר לענייני הגנת מידע

שאלות בנוגע להסכם עיבוד נתונים זה יש להפנות לצוות הפרטיות שלנו בכתובת privacy@exitomail.com. לא מינינו ממונה על הגנת המידע; צוות הפרטיות מטפל בכל ענייני הגנת המידע.

בהתחשב במצב הטכנולוגיה הקיים, בעלויות היישום ובאופי, בהיקף, בהקשר ובמטרות העיבוד, וכן בסיכונים לזכויות ולחירויות של נושאי המידע, אנו מיישמים אמצעים טכניים וארגוניים מתאימים כדי להבטיח רמת אבטחה ההולמת את הסיכון (סעיף 32 ל-GDPR). אמצעים אלה מתוארים בנספח II, ובשפה פשוטה בדף האבטחה שלנו.

תוכנית האבטחה שלנו מבוססת על ISO/IEC 27001:2022 ועל ISO/IEC 27701. אין לנו הסמכה לפי אף אחד מתקנים אלה, ואין לפרש דבר בהסכם עיבוד נתונים זה כטענה שיש לנו הסמכה כזו.

תחום האבטחה מתפתח, ולכן אנו רשאים לעדכן אמצעים אלה מעת לעת. לא נבצע שינויים שיפחיתו באופן מהותי את רמת ההגנה הכוללת על הנתונים האישיים של הלקוח.

אישור כללי

הלקוח מעניק לנו אישור כללי בכתב להתקשר עם מעבדי משנה (סעיף 28(2) ל-GDPR). מעבדי המשנה הנוכחיים שלנו מפורטים בנספח III ובדף מעבדי המשנה שלנו. הלקוח מאשר את כולם, לרבות אלה המסומנים כמתוכננים או מותנים, שיקבלו נתונים רק לאחר השקת התכונה הרלוונטית או הפעלתה.

הודעה על שינויים

אנו מודיעים ללקוח לפחות 30 ימים לפני שמעבד משנה חדש או חלופי מתחיל לעבד את הנתונים האישיים של הלקוח, באמצעות אימייל לבעלים של חשבון הלקוח ועדכון דף מעבדי המשנה. כל אדם יכול גם להירשם לקבלת עדכונים אלה באמצעות פנייה אל privacy@exitomail.com עם שורת הנושא ״Subprocessor updates״.

זכות להתנגד

הלקוח רשאי להתנגד למעבד משנה חדש או חלופי בתוך אותה תקופה של 30 ימים, בהודעה בכתב אל privacy@exitomail.com, מטעמים סבירים הנוגעים להגנת מידע. לאחר מכן נדון עם הלקוח בחשש בתום לב וננסה לפתור אותו, לדוגמה באמצעות הסבר על אמצעי ההגנה הקיימים או הצעת דרך להשתמש בשירות מבלי שאותו מעבד משנה יעבד את הנתונים האישיים של הלקוח.

אם לא נוכל לפתור את ההתנגדות בתוך זמן סביר, הלקוח רשאי לסיים את החלק המושפע של השירות (או את השירות כולו, אם לא ניתן להשתמש באופן סביר בחלק המושפע בפני עצמו) באמצעות הודעה בכתב, ואנו נשיב באופן יחסי כל תשלום ששילם הלקוח מראש עבור התקופה שלאחר הסיום. זהו הסעד העומד ללקוח בגין התנגדות שלא נפתרה, מבלי לגרוע מזכויותיו לפי דיני הגנת המידע והסעיפים החוזיים הסטנדרטיים.

החלפות דחופות

אם עלינו להחליף מעבד משנה בדחיפות מסיבות שאינן בשליטתנו (לדוגמה, כשל פתאומי של ספק או סיכון אבטחה), אנו רשאים לעשות זאת בהתראה קצרה יותר, ככל שהסעיפים החוזיים הסטנדרטיים ודיני הגנת המידע מתירים זאת. נודיע ללקוח בהקדם האפשרי, וזכות ההתנגדות שלעיל תחול ממועד הודעה זו.

אחריותנו למעבדי משנה

• חובות מקבילות. אנו מתקשרים עם כל מעבד משנה בחוזה בכתב המטיל עליו חובות להגנת מידע שרמת ההגנה שלהן אינה פחותה מזו של החובות בהסכם עיבוד נתונים זה, ובפרט דורש ערבויות מספקות ליישום אמצעים טכניים וארגוניים מתאימים (סעיף 28(4) ל-GDPR).
• בדיקת נאותות. אנו מעריכים את נוהלי האבטחה והגנת המידע של כל מעבד משנה לפני ההתקשרות עמו, ובוחנים אותם מעת לעת.
• אחריות. אנו נושאים באחריות מלאה כלפי הלקוח לביצוע חובותיו של כל מעבד משנה.
• עותקים. לפי בקשה, אנו מספקים ללקוח עותק של תנאי הגנת המידע שעליהם הסכמנו עם מעבד משנה. אנו רשאים להשחיר תחילה מידע מסחרי או פרטים סודיים.

הנתונים נשארים באיחוד האירופי

אנו מאחסנים את הנתונים האישיים של הלקוח באיחוד האירופי:

חלק ממעבדי המשנה שלנו מאוגדים בארצות הברית (ראו נספח III), ולכן לא ניתן לשלול גישה לנתונים מחוץ לאזור הכלכלי האירופי (לדוגמה, לצורכי תחזוקה או תמיכה). נוסף על כך:

• האתר ויישום האינטרנט שלנו ב-exitomail.com (לרבות מסכי דואר מבוסס-אינטרנט, Exito Vault ו-Exito Transfer המשמשים בדפדפן) נמסרים דרך הרשת הגלובלית של Cloudflare. ‏Cloudflare מסיימת את החיבור המוצפן בנקודת הקצה שלה, ולכן התעבורה, לרבות אימיילים וקבצים שנפתחים ביישום האינטרנט, עשויה לעבור בעת העברתה דרך מרכזי נתונים מחוץ לאזור הכלכלי האירופי.
• מסירת אימיילים ויישומי אימייל (SMTP,‏ IMAP ו-JMAP ב-mail.exitomail.com) מתחברים ישירות לשרת שלנו ולעולם אינם עוברים דרך Cloudflare.
• קובצי Exito Vault ו-Exito Transfer מועלים ומורדים באמצעות הדפדפן ישירות אל אחסון האובייקטים וממנו (Wasabi ו-Cloudflare R2), באמצעות קישורים חתומים קצרי תוקף. לכן ספקים אלה רואים גם את כתובות ה-IP של האנשים שמעלים ומורידים את הקבצים.

כאשר משתמשים שולחים אימיילים או העברות לנמענים מחוץ לאזור הכלכלי האירופי, חשיפות אלה נעשות לפי הוראות הלקוח, כחלק מהשירות שבו בחר הלקוח להשתמש.

הסעיפים החוזיים הסטנדרטיים בין הלקוח לבינינו

אנו מאוגדים בארצות הברית, שאינה מכוסה בהחלטת נאותות החלה עלינו (איננו מוסמכים לפי מסגרת הגנת הפרטיות של האיחוד האירופי–ארצות הברית). לכן, כאשר הלקוח כפוף ל-GDPR, העמדת הנתונים האישיים של הלקוח לרשותנו היא Transfer מוגבלת, אף שהנתונים מאוחסנים באיחוד האירופי (הנחיות EDPB‏ 05/2021, דוגמה 11). הסעיפים החוזיים הסטנדרטיים משולבים בהסכם עיבוד נתונים זה על דרך ההפניה וחלים עליו. הלקוח הוא ״יצואן הנתונים״ ואנו ״יבואן הנתונים״, והם מולאו כך:

העברות המשך למעבדי משנה

כאשר אחד ממעבדי המשנה שלנו מעבד את הנתונים האישיים של הלקוח באופן המהווה העברה מוגבלת (Restricted Transfer), אנו מוודאים שההעברה מכוסה במנגנון תקף לפי פרק V ל-GDPR וסעיף 8.8 לסעיפים החוזיים הסטנדרטיים: הסעיפים החוזיים הסטנדרטיים (מודול 3, ממעבד למעבד), או, כאשר הנמען מוסמך לפי מסגרת הגנת הפרטיות של מידע בין האיחוד האירופי לארצות הברית, החלטת הנאותות שאימצה הנציבות ביום 10 ביולי 2023 (החלטת ביצוע (EU) 2023/1795). ‏Cloudflare, Inc. מוסמכת; Wasabi Technologies LLC אינה מוסמכת, ולכן הסעיפים החוזיים הסטנדרטיים חלים עליה. המנגנון המשמש לכל מעבד משנה מפורט בנספח III.

הדין האמריקאי והערכת השפעת ההעברה

כספק אמריקאי של שירותי תקשורת אלקטרונית ומחשוב מרחוק, אנו עשויים להידרש לפי הדין האמריקאי לחשוף נתונים המצויים בהחזקתנו, במשמורתנו או בשליטתנו, בכל מקום שבו הם מאוחסנים (לדוגמה, לפי 18 U.S.C. § 2713). כנדרש בסעיף 14 לסעיפים החוזיים הסטנדרטיים, אנו מעריכים כיצד הדינים והנוהגים בארצות הברית עשויים להשפיע על יכולתנו לעמוד בחובותינו, תוך התחשבות באמצעי ההגנה שהנציבות העריכה בהחלטת הנאותות שלה מיום 10 ביולי 2023, ומיישמים את האמצעים המשלימים שבנספח II ובסעיף 14. סיכום זמין ללקוח לפי בקשה.

נתונים מבריטניה ומשווייץ

• בריטניה. על העברות מוגבלות הכפופות ל-GDPR של בריטניה חל הנספח International Data Transfer Addendum לסעיפים החוזיים הסטנדרטיים של נציבות האיחוד האירופי, שפרסם נציב המידע של בריטניה (גרסה B1.0, בתוקף מיום 21 במרץ 2022), כאשר טבלאות 1 עד 3 מולאו באמצעות המידע שבהסכם עיבוד נתונים זה ובנספחיו. לעניין טבלה 4, הן יבואן הנתונים והן יצואן הנתונים רשאים לסיים את הנספח כאמור בסעיף 19 שלו. על הנספח חל דין אנגליה וויילס, וסכסוכים יידונו בבתי המשפט של אנגליה וויילס.
• שווייץ. על העברות מוגבלות הכפופות ל-FADP חלים הסעיפים החוזיים הסטנדרטיים בשינויים הבאים: הפניות ל-GDPR ייקראו כהפניות ל-FADP; הנציב הפדרלי של שווייץ להגנת מידע ולשקיפות הוא רשות הפיקוח המוסמכת; והמונח ״מדינה חברה״ אינו מונע מנושאי מידע בשווייץ להגיש תביעות במקום מגוריהם הרגיל (סעיף 18(c)).

בהתחשב באופי העיבוד, אנו מסייעים ללקוח, ככל שהדבר אפשרי, באמצעות אמצעים טכניים וארגוניים מתאימים, להשיב לבקשות של נושאי מידע המממשים את זכויותיהם לפי פרק III ל-GDPR (גישה, תיקון, מחיקה, הגבלה, ניידות והתנגדות) (סעיף 28(3)(e) ל-GDPR).

כלים לשירות עצמי

ברוב הבקשות ניתן לטפל ישירות בשירות:

• גישה וניידות. משתמשים יכולים להוריד את האימיילים שלהם באמצעות כל לקוח אימייל תקני דרך IMAP, ולהוריד את הקבצים שלהם ב-Exito Vault. אפשר גם לייצא נתוני ארגון בעזרתנו לפי בקשה.
• תיקון. משתמשים יכולים לתקן את פרטי הפרופיל שלהם.
• מחיקה. משתמשים יכולים למחוק הודעות, קבצים והעברות, והבעלים יכולים למחוק את תיבת הדואר של חבר יחד עם הנתונים שלה, לאחר 30 ימים שבמהלכם אפשר לשחזר אותה. פריטים שנמחקו מוסרים כמתואר בסעיף 12 ובנספח I.

בקשות המתקבלות אצלנו ישירות

אם נושא מידע שולח לנו בקשה הנוגעת לנתונים האישיים של הלקוח, לא נשיב לה בעצמנו, למעט כדי להודיע לאותו אדם שהעברנו אותה או להפנות אותו ללקוח. נעביר את הבקשה ללקוח ללא דיחוי בלתי סביר, בתנאי שנוכל לזהות את הלקוח על סמך הבקשה.

סיוע נוסף

כאשר הכלים אינם מספיקים, אנו מספקים לפי בקשה סיוע נוסף וסביר. אם בקשה תחייב מאמץ ניכר מצדנו, אנו רשאים לגבות עלויות סבירות, שעליהן נסכים מראש עם הלקוח.

בהתחשב באופי העיבוד ובמידע העומד לרשותנו, אנו מסייעים ללקוח לעמוד בחובותיו לפי סעיפים 32 עד 36 ל-GDPR, לרבות הערכות השפעה על הגנת המידע (סעיף 35) והתייעצות מוקדמת עם רשויות פיקוח (סעיף 36).

אנו עושים זאת בעיקר באמצעות העמדת תיעוד לרשות הלקוח, ובכלל זה הסכם עיבוד נתונים זה ונספחיו, דף האבטחה שלנו, דף מעבדי המשנה שלנו ומידע על העברות בין-לאומיות, וכן באמצעות מענה לשאלות סבירות של הלקוח בנוגע לעיבוד.

הודעה

אנו מודיעים ללקוח על אירוע אבטחה ללא דיחוי בלתי סביר לאחר שנודע לנו עליו, ובכל מקרה בתוך 72 שעות מהמועד שבו נודע לנו עליו. אנו שולחים את ההודעה לכתובת האימייל של הבעלים של חשבון הלקוח ולכל איש קשר אחר שהלקוח מסר לנו בכתב למטרה זו.

תוכן ההודעה

ככל שהמידע זמין, ההודעה מתארת את הפרטים הבאים (סעיף 33(3) ל-GDPR):

• אופי אירוע האבטחה, לרבות, במידת האפשר, הקטגוריות והמספר המשוער של נושאי המידע והרשומות הנוגעים בדבר;
• השם ופרטי ההתקשרות של נקודת הקשר שבה הלקוח יכול לקבל מידע נוסף;
• ההשלכות הסבירות של אירוע האבטחה; וכן
• האמצעים שנקטנו או שאנו מציעים לנקוט כדי לטפל בו, לרבות אמצעים לצמצום ההשפעות השליליות האפשריות שלו.

כאשר אין באפשרותנו למסור את כל המידע בבת אחת, אנו מוסרים אותו בשלבים, ללא דיחוי נוסף בלתי סביר, ככל שהחקירה מתקדמת.

תגובתנו

אנו נוקטים ללא דיחוי צעדים סבירים כדי לבלום ולחקור את אירוע האבטחה, לצמצם את השפעותיו ולמנוע את הישנותו. אנו מתעדים את העובדות, ההשפעות ופעולות התיקון שננקטו, ומספקים ללקוח סיוע סביר במילוי חובותיו שלו.

תחומי האחריות של הלקוח

כבעל שליטה, הלקוח נותר אחראי להחלטה אם להודיע לרשויות הפיקוח ולנושאי המידע שהושפעו, ולמסירת ההודעות בפועל (סעיפים 33 ו-34 ל-GDPR). איננו מודיעים לצדדים שלישיים בשם הלקוח על אירוע אבטחה המשפיע על הנתונים האישיים של הלקוח, אלא אם הלקוח מבקש מאיתנו לעשות זאת או שהדין מחייב זאת.

ללא הודאה באשם

הודעה על אירוע אבטחה או תגובה לו אינן מהוות הודאה מצדנו באשם או באחריות כלשהם.

מה אינו אירוע אבטחה

ניסיונות או פעילויות שלא צלחו ושאינם פוגעים באבטחת הנתונים האישיים של הלקוח, כגון פינגים, סריקות יציאות, ניסיונות כניסה שנכשלו או מתקפות מניעת שירות שאינן מובילות לגישה ללא הרשאה או לאובדן נתונים, אינם מחייבים הודעה.

ייצוא בכל עת

הלקוח רשאי לייצא את הנתונים האישיים של הלקוח בכל עת במהלך השימוש בשירות:

• אימייל. באמצעות IMAP, בכל לקוח אימייל סטנדרטי;
• Exito Vault. באמצעות הורדת קבצים ותיקיות;
• נתוני הארגון. בסיוענו, לפי בקשה.

על הלקוח לייצא את הנתונים שברצונו לשמור לפני סיום השירות. אם הלקוח זקוק לסיוע בכך, נספק סיוע סביר לפי בקשה שתימסר לפני סיום השירות.

מחיקה לאחר סיום השירות

כאשר מתן השירות ללקוח מסתיים (או כאשר הלקוח מבקש מאיתנו למחוק את החשבון שלו), אנו מוחקים את הנתונים האישיים של הלקוח מהמערכות הפעילות שלנו וממערכות מעבדי המשנה שלנו, בתוך 30 ימים.

עותקים בגיבויי מסדי הנתונים שלנו נמחקים עם יציאת הגיבויים ממחזור השמירה, בתוך 30 ימים. עד אז הגיבויים נותרים מוצפנים ומוגנים באמצעות האמצעים שבנספח II, ומשמשים רק להתאוששות מאסון. אם ניאלץ לשחזר גיבוי, נמחק שוב כל נתון שכבר נמחק.

אישור

לפי בקשה, אנו מאשרים ללקוח את המחיקה בכתב (אישור מחיקה).

שמירה הנדרשת לפי דין

אנו שומרים את הנתונים האישיים של הלקוח לאחר סיום השירות רק כאשר דין של האיחוד האירופי או של מדינה חברה מחייב אותנו לשמור אותם (סעיף 28(3)(g) ל-GDPR), או כאשר חלה עליהם חובת שימור משפטית המתוארת במדיניות השימוש המקובל שלנו, כגון חומר שעלינו לשמר לאחר שדיווחנו עליו ל-NCMEC. במקרה כזה אנו שומרים על סודיותם, מעבדים אותם רק למטרה הרלוונטית ומוחקים אותם כאשר חובה זו מסתיימת.

מידע שאנו מעמידים לרשות הלקוח

אנו מעמידים לרשות הלקוח את כל המידע הדרוש כדי להוכיח עמידה בסעיף 28 ל-GDPR ובהסכם עיבוד נתונים זה (סעיף 28(3)(h) ל-GDPR), לרבות:

• הסכם עיבוד נתונים זה והאמצעים הטכניים והארגוניים שבנספח II;
• סקירת האבטחה שלנו, ולפי בקשה ובכפוף לסודיות, מדיניות האבטחה והגנת המידע הרלוונטית;
• רשימת מעבדי המשנה שלנו ועותק של תנאי הגנת המידע שלהם (ראו סעיף 7);
• תקציר של הסמכות מטעם צדדים שלישיים או דוחות ביקורת שמעבדי המשנה שלנו מפרסמים או מעמידים לרשותנו, ככל שהם זמינים; וכן
• תשובות בכתב לשאלות סבירות של הלקוח, לרבות שאלון אבטחה אחד בשנה.

ביקורות ובדיקות

אם מידע זה אינו מספיק כדי להוכיח עמידה בדרישות, אנו מאפשרים ביקורות, לרבות בדיקות, ותורמים להן, בין שהן נערכות בידי הלקוח ובין שהן נערכות בידי מבקר בלתי תלוי שמינה הלקוח, בכפוף לתנאים הבאים:

• המבקר. המבקר כפוף לחובות סודיות בכתב ואינו מתחרה שלנו.
• הודעה מראש ותדירות. הלקוח מוסר לנו הודעה בכתב לפחות 30 ימים מראש, בצירוף היקף מוצע, וביקורות נערכות לא יותר מפעם אחת בכל תקופה של 12 חודשים.
• אופן הביצוע. הביקורות נערכות מרחוק או באתר, בימי העסקים שלנו ובשעות העבודה הרגילות, באופן שאינו משבש את השירות ואינו מאפשר גישה לנתונים של לקוחות אחרים. ביקורת על מתקנים המופעלים בידי מעבדי המשנה שלנו נערכת באמצעות הדוחות והמידע שאותם מעבדי משנה מעמידים לרשותנו.
• עלות. הלקוח נושא בעלויותיו שלו ובעלויות המבקר. אם ביקורת תחייב מאיתנו השקעת זמן משמעותית, אנו רשאים לבקש מהלקוח לשאת בעלויות הסבירות שלנו, כפי שיוסכם מראש.
• תוצאות. הלקוח משתף עמנו את דוח הביקורת, שומר עליו כסודי ומשתמש בו רק כדי לוודא עמידה בהסכם עיבוד נתונים זה. אנו מטפלים בכל ממצא מהותי בתוך זמן סביר.

מגבלות ההודעה והתדירות אינן חלות כאשר רשות פיקוח דורשת את הביקורת, או לאחר אירוע אבטחה המשפיע על הנתונים האישיים של הלקוח. ביקורות לפי הסעיפים החוזיים הסטנדרטיים נערכות באותו אופן, ככל שהדבר עולה בקנה אחד עם הסעיפים החוזיים הסטנדרטיים.

אם נקבל מרשות ציבורית (לרבות רשות אכיפת חוק או רשות לביטחון לאומי) בקשה מחייבת מבחינה משפטית לחשיפה של הנתונים האישיים של הלקוח או לגישה אליהם, אנו:

1. מנסים להפנות את הרשות לבקש את הנתונים ישירות מהלקוח;
2. מודיעים ללקוח בהקדם, ובמידת האפשר מספקים עותק של הבקשה, אלא אם הדין אוסר זאת; אם הדין אוסר זאת, אנו נוקטים מאמצים סבירים להשגת ויתור על האיסור, כדי שנוכל ליידע את הלקוח בהקדם האפשרי;
3. בוחנים את חוקיות הבקשה ומתנגדים לה אם לאחר הערכה קפדנית אנו מגיעים למסקנה שיש יסוד סביר להניח שהיא בלתי חוקית, רחבה מדי או אינה עולה בקנה אחד עם דין מדינת היעד או עם דין האיחוד האירופי, וממצים את הליכי הערעור הזמינים;
4. חושפים בתגובה רק את כמות הנתונים המזערית המותרת, על סמך פרשנות סבירה של הבקשה; וכן
5. מתעדים את הבקשה, את הערכתנו ואת תגובתנו.

לא בנינו ולא נבנה מרצוננו דלתות אחוריות בשירות, ואיננו מעניקים לשום רשות ציבורית גישה ישירה או גורפת לנתונים האישיים של הלקוח. מאחר שאנו חברה אמריקאית, התחייבויות אלה חלות בפרט על בקשות לפי הדין האמריקאי. כאשר הסעיפים החוזיים הסטנדרטיים חלים, גם סעיף 15 מסדיר בקשות אלה. צווים לפי סעיפים 9 ו-10 לחוק השירותים הדיגיטליים מטופלים כמתואר במדיניות ההודעה והפעולה שלנו.

אחריותו של כל צד הנובעת מהסכם עיבוד נתונים זה או הקשורה אליו כפופה להגבלות ולהחרגות האחריות שבתוך התנאים, כאילו הסכם עיבוד נתונים זה היה חלק מהם.

אין בהסכם עיבוד נתונים זה או בתנאים כדי להגביל או להחריג:

• אחריות כלשהי כלפי נושאי מידע לפי סעיף 82 ל-GDPR, או את זכויותיהם כמוטבי צד שלישי לפי הסעיפים החוזיים הסטנדרטיים;
• את אחריותו של מי מהצדדים לפי הסעיפים החוזיים הסטנדרטיים, ככל שסעיפים אלה אינם מתירים להגביל אותה; או
• אחריות כלשהי שלא ניתן להגביל או להחריג לפי הדין החל.

הסכם עיבוד נתונים זה נכנס לתוקף כאשר הלקוח מקבל את התנאים (או, לגבי לקוח קיים, כאשר הוא מעבד לראשונה את הנתונים האישיים של הלקוח באמצעות השירות), ונשאר בתוקף כל עוד אנו מעבדים את הנתונים האישיים של הלקוח. הוא ממשיך לחול לאחר סיום התנאים, עד שכל הנתונים האישיים של הלקוח יימחקו כמתואר בסעיף 12.

אם לא נוכל עוד לעמוד בהסכם עיבוד נתונים זה, נודיע ללקוח בהקדם. הלקוח יהיה רשאי להשעות את העיבוד המושפע, ואם לא נשוב לעמוד בהסכם בתוך זמן סביר, לסיים את החלק המושפע של השירות ולקבל החזר יחסי של כל תשלום ששולם מראש עבור התקופה שלאחר הסיום.

הדין החל וסמכות השיפוט

כאשר הלקוח כפוף ל-GDPR, על הסכם עיבוד נתונים זה חל אותו דין החל על הסעיפים החוזיים הסטנדרטיים לפי סעיף 17 (ראו סעיף 8), כך שהוא מהווה חוזה לפי דין של מדינה חברה, כנדרש בסעיף 28(3) ל-GDPR, וסכסוכים הנובעים ממנו יידונו בבתי המשפט שנבחרו לפי סעיף 18. כאשר חל רק ה-GDPR של בריטניה, יחולו עליו דיני אנגליה וויילס. בכל מקרה אחר, יחול עליו דיני מדינת פלורידה, ארצות הברית, ול-בתי המשפט המדינתיים והפדרליים שבמחוז מיאמי-דייד, פלורידה תהיה סמכות שיפוט, כמפורט בתנאים.

שינויים בהסכם עיבוד נתונים זה

אנו רשאים לעדכן את הסכם עיבוד הנתונים הזה כדי:

• לשקף שינויים בדיני הגנת המידע, הנחיות של רשויות או בתי משפט, או סעיפים חוזיים סטנדרטיים חדשים;
• לשקף שינויים בשירות שאינם מפחיתים את ההגנה על הנתונים האישיים של הלקוח; או
• להבהיר את נוסחו.

אנו מודיעים על שינויים מהותיים לפחות 30 ימים לפני כניסתם לתוקף, באמצעות אימייל לבעלים של חשבון הלקוח ובדף זה. שינויים לעולם אינם מפחיתים את רמת ההגנה הכוללת על הנתונים האישיים של הלקוח. גרסאות קודמות זמינות לפי בקשה.

הודעות

הלקוח שולח הודעות לפי הסכם עיבוד נתונים זה אל privacy@exitomail.com. אנו שולחים הודעות לכתובת האימייל של הבעלים של חשבון הלקוח.

הפרדת הוראות

אם הוראה כלשהי בהסכם עיבוד נתונים זה תימצא בלתי תקפה או בלתי ניתנת לאכיפה, יתר הוראותיו יישארו בתוקף, וההוראה תוחלף בהוראה תקפה הקרובה ככל האפשר לכוונתה המקורית.

A. רשימת הצדדים

יצואן הנתונים (בעל שליטה, או מעבד מטעם בעל השליטה שלו)

שם וכתובת

הלקוח, כפי שהוא מזוהה לפי שם הארגון ופרטי הקשר והחיוב שנמסרו בעת ההרשמה או בהגדרות.

איש קשר

הבעלים של חשבון הלקוח, או איש קשר אחר שהלקוח מוסר לנו בכתב.

פעילויות

שימוש בשירות (ExitoMail, ‏Exito Vault, ‏Exito Transfer ודומיינים מותאמים אישית) למטרותיו העסקיות.

תפקיד

בעל שליטה (מודול 2 של הסעיפים החוזיים הסטנדרטיים) או מעבד (מודול 3 של הסעיפים החוזיים הסטנדרטיים).

חתימה ותאריך

קבלת התנאים, לרבות הסכם עיבוד נתונים זה, במועד קבלתם.

יבואן הנתונים (מעבד)

שם וכתובת

EXITO Media LLC, חברה בערבון מוגבל שהתאגדה בוויומינג (מזכיר המדינה של ויומינג, מזהה הגשה 2022-001141268), שכתובתה העסקית היא ⁦111 NE 1st St, 8th Floor, #88287, Miami, FL 33132, United States⁩

איש קשר

privacy@exitomail.com

הממונה על הגנת המידע

לא מונה ממונה. צוות הפרטיות מטפל בענייני הגנת המידע.

נציג באיחוד האירופי (סעיף 27 ל-GDPR)

Data Protection Representative Limited (trading as DataRep), 77 Camden Street Lower, Dublin, D02 XE80, Ireland. אימייל: datarequest@datarep.com (יש לציין „EXITO Media LLC” בשורת הנושא). טופס מקוון: datarep.com/data-request (נפתח בכרטיסייה חדשה). יש לו כתובת גם בכל אחת משאר מדינות האיחוד האירופי וה-EEA: לכל הכתובות.

פעילויות

אספקת השירות ללקוח בהתאם לתנאים.

תפקיד

מעבד (מודול 2 של הסעיפים החוזיים הסטנדרטיים) או מעבד משנה (מודול 3 של הסעיפים החוזיים הסטנדרטיים).

חתימה ותאריך

כמו יצואן הנתונים.

B. תיאור העיבוד

קטגוריות של נושאי מידע

• משתמשים. הבעלים והחברים בארגון של הלקוח, וכל אדם אחר שהלקוח מקצה לו חשבון.
• צדדים להתכתבות. אנשים ששולחים אימיילים למשתמשים או מקבלים מהם אימיילים.
• אנשי קשר. אנשים שהמשתמשים שומרים את פרטיהם באנשי הקשר, בהודעות או בקבצים שלהם.
• נמעני Transfer וקבצים משותפים. אנשים שמקבלים מהמשתמשים קישורי Exito Transfer או קישורים לשיתוף ב-Exito Vault, ואנשים שמעלים קבצים למשתמשים דרך קישורי ״בקשת קבצים״.
• אנשים המוזכרים בתוכן. כל מי ששמו מצוין או שמתואר באימיילים, בקבצים או בהעברות.

קטגוריות של נתונים אישיים

• אימיילים. תוכן ההודעות והקבצים המצורפים, שורות נושא, כתובות השולחים והנמענים, כותרות עליונות (לרבות כתובות ה-IP של השרתים השולחים), תאריכים, תיקיות, סימונים ואינדקסים לחיפוש.
• אנשי קשר. שמות, כתובות אימייל ופרטים אחרים שהמשתמשים שומרים.
• Exito Vault. קבצים ותיקיות, שמותיהם, גודלם וסוגיהם, וקישורי שיתוף וההגדרות שלהם.
• Exito Transfer. קבצים, שמות הקבצים וגודלם, כתובות האימייל של הנמענים, הודעות לנמענים, הגדרות קישורים ואירועי הורדה (אישורי הורדה).
• נתוני חשבון. שמות, כתובות וכינויים, כתובת אימייל לשחזור, תפקידים וחברות בארגון, הגדרות ונתוני אימות (גיבובי סיסמאות וסודות אימות דו-שלבי).
• יומנים. כתובות IP, פרטי דפדפן ולקוח, חותמות זמן, אירועי כניסה, יומני בקשות ומסירת אימיילים ויומן ביקורת של פעולות ניהוליות.
• נתוני דומיין. שמות של דומיינים מותאמים אישית, רשומות DNS ומצב אימות, מפתחות DKIM וכל פרטי גישה לספק DNS שהלקוח בוחר למסור לצורך הגדרה אוטומטית.

נתונים רגישים

איננו מבקשים לעבד קטגוריות מיוחדות של נתונים אישיים ואין בכוונתנו לעשות זאת. עם זאת, הלקוח והמשתמשים שלו עשויים לכלול נתונים כאלה באימיילים, בקבצים או בהעברות. אותם אמצעים (נספח II) מגינים על כל התוכן: גישה מוגבלת של אנשי צוות, TLS בעת העברה, הצפנה במנוחה באחסון אובייקטים ואי-ניתוח של התוכן, למעט סינון אוטומטי של ספאם ותוכנות זדוניות ויצירת אינדקס לצורכי חיפוש.

תדירות ההעברה

רציפה, כל עוד הלקוח משתמש בשירות.

אופי העיבוד

אירוח, אחסון, העברה, קבלה ומסירה של אימיילים, סינון ספאם ותוכנות זדוניות, יצירת אינדקס לצורכי חיפוש, גיבוי, שחזור, מחיקה ותמיכה וניהול נלווים.

מטרת העיבוד

אספקת השירות ללקוח, תחזוקתו, אבטחתו והתמיכה בו, בהתאם להוראות הלקוח.

תקופת שמירה

כמפורט בטבלה שלהלן.

העברות למעבדי משנה

למעבדי המשנה המפורטים בנספח III, בהתאם לנושא, לאופי ולמשך המתוארים שם ובנספח זה.

C. רשות הפיקוח המוסמכת

רשות הפיקוח שנקבעה לפי סעיף 13 לסעיפים החוזיים הסטנדרטיים, כמפורט בסעיף 8. מאחר שאין לנו מוסד באיחוד האירופי, אין לנו רשות פיקוח מובילה משלנו.

אלה האמצעים הטכניים והארגוניים שאנו מיישמים לפי סעיף 32 ל-GDPR וסעיף 8.6 לסעיפים החוזיים הסטנדרטיים. תוכנית האבטחה שלנו מבוססת על ISO/IEC 27001:2022 ועל ISO/IEC 27701; היא אינה מוסמכת לפי תקנים אלה. ההפניות מציינות באילו בקרות שבנספח A ל-ISO/IEC 27001:2022 תומך כל אמצעי. אנו בוחנים אמצעים אלה לפחות פעם בשנה ולאחר שינויים או אירועים משמעותיים.

A.5 בקרות ארגוניות

A.6 בקרות בתחום כוח האדם

A.7 בקרות פיזיות

A.8 בקרות טכנולוגיות

אמצעים לסיוע ללקוח

• כלים לשירות עצמי לצורך גישה לנתונים, ייצואם, תיקונם ומחיקתם (סעיף 9).
• הודעה על הפרה ללא דיחוי בלתי סביר ובתוך 72 שעות מהמועד שבו נודע לנו עליה (סעיף 11).
• תיעוד לצורך הערכות השפעה וביקורות (סעיף 10 וסעיף 13).

אמצעים של מעבדי משנה

כל מעבד משנה נדרש ליישם, ביחס לעיבוד שהוא מבצע, אמצעים המספקים לפחות את רמת ההגנה המתוארת בנספח זה, כפי שנקבע בהסכם שלנו עמו בכתב (סעיף 7).

הלקוח מאשר את מעבדי המשנה הבאים. אותה רשימה, לרבות כל שינוי שעליו הוכרז, מתפרסמת בדף מעבדי המשנה שלנו. שינויים מבוצעים לפי התהליך שבסעיף 7.