נספח עיבוד נתונים

למטרות תוספת עיבוד נתונים זו, למונחים באותיות רישיות שאינם מוגדרים כאן יש את המשמעויות הניתנות בתנאי השירות של AI92. למונחי הגנת נתונים באותיות רישיות יש את המשמעויות הניתנות בחוקי הגנת הנתונים הרלוונטיים כהגדרתם בסעיף זה.

חוקי הגנת נתונים רלוונטיים. "חוקי הגנת נתונים רלוונטיים" פירושם כל חוקי הגנת הנתונים, הפרטיות וחוקים דומים החלים על עיבוד נתונים אישיים במסגרת תוספת זו, כפי שהם עשויים להשתנות או להתבטל מעת לעת, לרבות ללא הגבלה:

אירופה. התקנה הכללית להגנה על נתונים של האיחוד האירופי (תקנה (EU) 2016/679, "GDPR"), התקנה הכללית להגנה על נתונים של בריטניה בשילוב עם חוק הגנת הנתונים משנת 2018, החוק הפדרלי של שוויץ בנושא הגנת נתונים ("FADP"), חוק הנתונים האישיים של נורווגיה, חוק 90/2018 של איסלנד, חוק הגנת הנתונים של ליכטנשטיין וחוקי הגנת הנתונים המיישמים של כל מדינה חברה באזור הכלכלי האירופי.

צפון אמריקה. בארצות הברית: חוק הפרטיות של הצרכן בקליפורניה כפי שתוקן על ידי חוק זכויות הפרטיות של קליפורניה ("CCPA/CPRA"), חוק הגנת הנתונים של הצרכן בווירג'יניה, חוק הפרטיות של קולורדו, חוק הפרטיות של קונטיקט, חוק הפרטיות של הצרכן ביוטה, חוק הפרטיות והאבטחה של נתונים בטקסס, חוק הפרטיות של הצרכן באורגון וחוקי פרטיות דומים ברמת המדינה כשהם נכנסים לתוקף. בקנדה: חוק הגנת מידע אישי ומסמכים אלקטרוניים ("PIPEDA"), חוק 25 של קוויבק, חוק הגנת מידע אישי של אלברטה, חוק הגנת מידע אישי של קולומביה הבריטית וחוק הפרטיות.

אמריקה הלטינית והאיים הקריביים. החוק הכללי להגנה על נתונים של ברזיל ("LGPD", חוק 13.709), החוק הפדרלי של מקסיקו להגנה על נתונים אישיים המוחזקים על ידי גורמים פרטיים ("LFPDPPP"), חוק הגנת הנתונים האישיים 25.326 של ארגנטינה, החוק הסטטוטורי 1581 של קולומביה משנת 2012, חוק 19.628 של צ'ילה, חוק 29733 של פרו, חוק 18.331 של אורוגוואי, החוק האורגני של אקוודור בנושא הגנת נתונים אישיים, חוק 8968 של קוסטה ריקה, חוק 172-13 של הרפובליקה הדומיניקנית, חוק 81 של פנמה משנת 2019, חוק 6534/2020 של פרגוואי והחוקים המקבילים של כל מדינה אחרת באזור.

אפריקה. החוק להגנה על מידע אישי של דרום אפריקה ("POPIA"), חוק הגנת הנתונים של ניגריה משנת 2023 ("NDPA") ותקנת הגנת הנתונים של ניגריה משנת 2019, חוק הגנת הנתונים של קניה משנת 2019, החוק להגנה על נתונים אישיים של מצרים (חוק 151 משנת 2020), חוק הגנת הנתונים של גאנה משנת 2012, חוק 09-08 של מרוקו, החוק האורגני 2004-63 של תוניסיה, חוק הגנת הנתונים של מאוריציוס משנת 2017, חוק 2008-12 של סנגל, חוק 2013-450 של חוף השנהב, חוק 058/2021 של רואנדה, חוק הגנת הנתונים והפרטיות של אוגנדה משנת 2019, חוק הגנת הנתונים האישיים של טנזניה משנת 2022, חוק הסייבר והגנת הנתונים 5 של זימבבואה משנת 2021, חוק 18-07 של אלג'יריה, חוק 2014-038 של מדגסקר, אמנת האיחוד האפריקאי בנושא אבטחת סייבר והגנת נתונים אישיים ("אמנת מלאבו"), החוק המשלים של ECOWAS בנושא הגנת נתונים אישיים והחוקים המקבילים של כל מדינה אפריקאית אחרת.

אסיה–פסיפיק. חוק הפרטיות של אוסטרליה משנת 1988, חוק הפרטיות של ניו זילנד משנת 2020, החוק של יפן בנושא הגנה על מידע אישי ("APPI"), החוק של דרום קוריאה בנושא הגנה על מידע אישי ("PIPA"), חוק הגנת הנתונים האישיים של סינגפור משנת 2012 ("PDPA"), חוק הגנת הנתונים האישיים של תאילנד B.E. 2562 (2019), צו הגנת הנתונים האישיים 13/2023 של וייטנאם, חוק הפרטיות של הפיליפינים משנת 2012, חוק הגנת הנתונים האישיים 27/2022 של אינדונזיה, חוק הגנת הנתונים האישיים של מלזיה משנת 2010, חוק הגנת הנתונים האישיים הדיגיטליים של הודו משנת 2023 ("DPDPA"), החוק של סין בנושא הגנה על מידע אישי ("PIPL"), החוק של טייוואן בנושא הגנה על נתונים אישיים, פקודת הנתונים האישיים (פרטיות) של הונג קונג, החוק של מקאו בנושא הגנה על נתונים אישיים והחוקים המקבילים של כל תחום שיפוט אחר באסיה–פסיפיק.

המזרח התיכון. צו החוק הפדרלי 45 של איחוד האמירויות הערביות משנת 2021 בנושא הגנה על נתונים אישיים וחוק הגנת הנתונים של מרכז הכספים הבינלאומי של דובאי, החוק להגנה על נתונים אישיים של ערב הסעודית, חוק הגנת הפרטיות של ישראל 5741-1981 והתקנות המיישמות שלו, החוק של קטאר בנושא הגנה על פרטיות נתונים אישיים (חוק 13/2016) ותקנות הגנת הנתונים של QFC, החוק של בחריין בנושא הגנה על נתונים אישיים (חוק 30/2018), החוק של עומאן בנושא הגנה על נתונים אישיים (צו מלכותי 6/2022), החוק של ירדן בנושא הגנה על נתונים אישיים משנת 2023, החוק של טורקיה בנושא הגנה על נתונים אישיים ("KVKK", חוק 6698) והחוקים המקבילים של כל תחום שיפוט אחר במזרח התיכון.

אירואסיה ואזורים אחרים. החוק הפדרלי של הפדרציה הרוסית בנושא נתונים אישיים (מס' 152-FZ), החוק של קזחסטן בנושא נתונים אישיים והגנתם, החוק של אוזבקיסטן בנושא נתונים אישיים והחוקים המקבילים של כל תחום שיפוט אחר שבו AI92 או הלקוח מעבדים נתונים אישיים.

כללי. כל חוק אחר להגנה על נתונים, פרטיות, סודיות תקשורת, מגזרי או דומה של כל תחום שיפוט החל על AI92 או על הלקוח בקשר לעיבוד נתונים אישיים של לקוחות במסגרת תוספת זו. AI92 עוקבת אחר התפתחויות רגולטוריות ברחבי העולם ומעדכנת רשימה זו (ואת הנוהגים המיישמים אותה) כאשר חוקים חדשים נכנסים לתוקף.

כאשר משטרים אלה משתמשים בטרמינולוגיה שונה למושגים אנלוגיים, תוספת זו משתמשת בטרמינולוגיה של GDPR ומתייחסת למקבילות במסגרת חוקי הגנת נתונים רלוונטיים אחרים כמונחים תואמים. כאשר משטר מטיל דרישות נוספות מחייבות (כגון רישום ברשות פיקוח, מינוי נציג מקומי או סעיפים חוזיים ספציפיים), AI92 והלקוח מסכימים לתת תוקף לדרישות כאלה באמצעות סעיפי החוזה הסטנדרטיים, תוספת בריטניה או נספח ספציפי למשטר כפי שמפורט בסעיף העברות נתונים בינלאומיות.

בקר פירושו הצד הקובע את מטרות ואמצעי עיבוד הנתונים האישיים.

מעבד פירושו צד המעבד נתונים אישיים בשם הבקר.

נתונים אישיים של לקוחות פירושם כל נתונים אישיים הכלולים בקלט לקוח או שנוצרו בקשר לשימוש הלקוח בשירותי ה-API.

מעבד משנה פירושו כל מעבד שאיתו AI92 מתקשרת כדי לעבד נתונים אישיים של לקוחות בשם הלקוח, לרבות ספקי האירוח של AI92, מעבד התשלומים וספקי שירותים במורד הזרם.

ביחסים המסודרים על ידי התנאים ונספח עיבוד הנתונים (DPA) זה, הלקוח הוא הבקר של הנתונים האישיים של הלקוח ו-AI92 הוא מעבד. AI92 מופעל על ידי Masada Gateway Ltd. אינטגרציות עם פלטפורמות Meta (פייסבוק, אינסטגרם ו-Threads) מסופקות באמצעות Koloxo West Africa Ltd, המפתח הרשום של יישומי Meta שלנו, הפועל כמעבד עבור אינטגרציות אלו מטעם Masada Gateway Ltd.

AI92 עשויה גם לעבד נתונים אישיים מסוימים כבקר נפרד, לרבות נתונים הדרושים להפעלת העסק של AI92 (נתוני קשרי לקוחות, נתוני חיוב, אישורי אימות, נתוני ביקורת). התנאים המסדירים עיבוד בקר כזה מתוארים במדיניות הפרטיות של AI92 בכתובת ai92.ai/privacy-policy.

AI92 תעבד נתונים אישיים של לקוח רק על פי ההוראות המתועדות של הלקוח, כפי שמפורט בתנאים וב-DPA זה, או כנדרש על פי החוק החל.

אם AI92 נדרשת על פי החוק החל לעבד נתונים אישיים של לקוח באופן אחר מההוראות של הלקוח, AI92 תודיע ללקוח (במידת האפשר מבחינה חוקית) על דרישה זו לפני העיבוד.

AI92 תבטיח שהצוות המורשה לעבד נתונים אישיים של לקוח כפוף לחובות סודיות שאינן פחות מגנות מאלה המפורטות בתנאי השירות.

AI92 תיישם אמצעים טכניים וארגוניים מתאימים כדי להבטיח רמת אבטחה המתאימה לסיכון הנובע מעיבוד נתונים אישיים של לקוחות, כולל:

(א) פסאודונימיזציה והצפנה של נתונים אישיים במנוחה ובמעבר;

(ב) היכולת להבטיח את הסודיות, השלמות, הזמינות והחוסן המתמשכים של מערכות עיבוד;

(ג) היכולת לשחזר את הזמינות והגישה לנתונים אישיים באופן מיידי במקרה של תקרית פיזית או טכנית;

(ד) תהליך לבדיקה, הערכה והערכה קבועים של האפקטיביות של אמצעים אלה.

היישום הנוכחי של אמצעים אלה מתואר בתיעוד האבטחה של AI92. דוחות ביקורת SOC 2 של AI92 זמינים ללקוח לפי בקשה בתנאי אי-גילוי.

הלקוח מאשר ל-AI92 להעסיק מעבדי משנה לעיבוד נתונים אישיים של לקוחות, בכפוף לתנאים הבאים:

(א) AI92 שומרת על רשימה עדכנית של מעבדי משנה בכתובת ai92.ai/sub-processors;

(ב) AI92 תיתן ללקוח הודעה של לפחות שלושים (30) יום על כל הוספה או החלפה של מעבד משנה;

(ג) הלקוח רשאי להתנגד לכל קבלן משנה חדש מטעמים סבירים בתוך חמישה עשר (15) ימים ממועד ההודעה - אם התנגדות הלקוח אינה ניתנת לפתרון, הלקוח רשאי לסיים את שירותי ה-API המושפעים ולקבל החזר יחסי של כל עמלות ששולמו מראש;

(ד) AI92 מטילה חובות הגנת נתונים על כל מעבד משנה שאינן פחות מגנות מאלה ב-DPA זה.

קבלני המשנה הראשוניים כוללים את ספקי האירוח של AI92 (Amazon Web Services, Microsoft Azure, Google Cloud Platform - עבור האזורים והשירותים המתועדים ב-ai92.ai/sub-processors), מעבד התשלומים (Stripe, Inc.), ומארח התיעוד (Mintlify, Inc.). הרשימה ב-ai92.ai/sub-processors היא התיעוד העדכני והסמכותי.

עיבוד הנתונים האישיים של לקוחות על ידי AI92 עשוי לכלול העברת נתונים אלה מחוץ למדינה שבה מתגוררים הלקוח או בעלי הנתונים. במידה שהעברה כזו מוגבלת על ידי חוקי הגנת נתונים רלוונטיים, AI92 מיישמת את מנגנון העברת הגבולות הנדרש על פי חוק תחום השיפוט המקורי או המוכר בו. המנגנונים בסעיף זה חלים על בסיס תחום שיפוט ו-AI92 עשויה להסתמך על יותר ממנגנון אחד להעברה נתונה.

אירופה והממלכה המאוחדת. עבור העברות הכפופות ל-GDPR או ל-UK GDPR, הצדדים מאמצים את הסעיפים החוזיים הסטנדרטיים של הנציבות האירופית (החלטת יישום 2021/914/EU, Module 2 - Controller-to-Processor) המשולבים על דרך ההפניה ומושלמים כדלקמן: (i) תקופות הזמן בסעיפים 9 ו-14 של ה-SCCs מושלמות בהתאם לספים הרלוונטיים של ה-GDPR; (ii) סעיף העגינה אינו חל על צדדים נוספים ללא הסכמת הלקוח; (iii) נספח I (רשימת הצדדים) מושלם עם פרטי הזיהוי של הלקוח מהרישום ו-AI92 כיבואן נתונים; (iv) נספח II (אמצעים טכניים וארגוניים) מתייחס לתיעוד האבטחה של AI92; ו-(v) נספח III (קבלני משנה) מתייחס לרשימת קבלני המשנה המתוחזקת על ידי AI92. עבור העברות תחת ה-UK GDPR, הצדדים מאמצים בנוסף את נספח העברת הנתונים הבינלאומי של נציב המידע של בריטניה ל-SCCs. כאשר AI92 מחזיקה באישור תקף במסגרת מסגרת פרטיות הנתונים EU–US, מסגרת פרטיות הנתונים Swiss–US, או ההרחבה הבריטית למסגרת פרטיות הנתונים EU–US, הצדדים רשאים להסתמך גם על אישור זה עבור העברות לתשתית של AI92 בארצות הברית.

שוויץ. עבור העברות הכפופות ל-FADP השוויצרי, הצדדים מאמצים את ה-SCCs כפי שהוכרו על ידי הנציב הפדרלי השוויצרי להגנת נתונים ומידע ("FDPIC"), עם ההתאמות שפורסמו על ידי ה-FDPIC עבור ההקשר המשפטי השוויצרי.

אמריקה הלטינית. עבור העברות הכפופות ל-LGPD של ברזיל, הצדדים נותנים תוקף למשטר העברת הגבולות במסגרת סעיפים 33 עד 36 LGPD, לרבות הסתמכות (כאשר רלוונטי) על סעיפי חוזה סטנדרטיים שאומצו על ידי Autoridade Nacional de Proteção de Dados ("ANPD") הברזילאית במסגרת החלטה 19/2024, וכל אישור ספציפי שהונפק על ידי ANPD כאשר נדרש. עבור העברות הכפופות ל-LFPDPPP של מקסיקו, AI92 מספקת ללקוח את הגילויים הנדרשים על פי סעיף 36 LFPDPPP והתקנה המיישמת, והלקוח מקבל את ההסכמות הנדרשות מבעלי הנתונים. עבור העברות הכפופות לחוק 25.326 של ארגנטינה, חוק 1581 של קולומביה, חוק 19.628 של צ'ילה, חוק 29733 של פרו או משטרים אחרים של LATAM, AI92 מיישמת את סעיפי החוזה הסטנדרטיים או מנגנון אחר המוכר על ידי רשות הפיקוח של תחום השיפוט הרלוונטי.

אפריקה. עבור העברות הכפופות ל-POPIA של דרום אפריקה, AI92 מבטיחה עמידה בסעיף 72 POPIA ומקבלת את הסכמת בעל הנתונים או מסתמכת על בסיס חוקי רלוונטי. עבור העברות הכפופות ל-NDPA של ניגריה, חוק הגנת הנתונים של קניה או משטרים אפריקאים אחרים, AI92 מבטיחה עמידה בדרישות העברת הגבולות שהוטלו על ידי רשות הפיקוח הרלוונטית (לרבות הנציבות להגנת נתונים של ניגריה, משרד הנציב להגנת נתונים של קניה, הרגולטור למידע של דרום אפריקה ורגולטורים מקבילים אחרים), ומיישמת את סעיפי החוזה הסטנדרטיים, אישור או מנגנון אחר המוכר על ידי רשות זו. AI92 תרשום או תמנה נציג מקומי, במידת הצורך, ותגיב לפניות של רגולטורים מקומיים בתוך מגבלות הזמן החלות.

אסיה–פסיפיק. עבור העברות הכפופות ל-PIPL של סין, הצדדים מאמצים את החוזה הסטנדרטי להעברת מידע אישי חוצה גבולות היוצאת שהונפק על ידי מינהל הסייברספייס של סין, משלימים הערכת אבטחה עם ה-CAC כאשר חורגים מספי הכניסה להעברה או מסתמכים על אישור המוכר במסגרת ה-PIPL, לפי העניין. עבור העברות הכפופות ל-DPDPA של הודו, AI92 מגבילה העברות לתחומי שיפוט המותרים על ידי ההודעות שהונפקו במסגרת סעיף 16 DPDPA ועומדת בכל תנאי ספציפי שהוטל על ידי הכללים. עבור העברות הכפופות לחוק הפרטיות של אוסטרליה, AI92 נוקטת צעדים סבירים במסגרת עקרון הפרטיות האוסטרלי 8 כדי להבטיח שהנמען מעבר לים מטפל במידע האישי באופן עקבי עם ה-APPs. עבור העברות הכפופות ל-APPI של יפן, PIPA של דרום קוריאה, PDPA של סינגפור, PDPA של תאילנד, PDPD של וייטנאם, DPA של הפיליפינים, PDP Law של אינדונזיה, PDPA של מלזיה, PDPA של טייוואן, PDPO של הונג קונג או משטרים אחרים באסיה–פסיפיק, AI92 מיישמת את סעיפי החוזה הסטנדרטיים, אישור, מנגנון מספיקות בין ממשלות או מנגנון העברה אחר המוכר על ידי רשות הפיקוח של תחום השיפוט הרלוונטי.

המזרח התיכון. עבור העברות הכפופות ל-UAE PDPL, חוק הגנת הנתונים של מרכז הכספים הבינלאומי של דובאי, Saudi Arabia PDPL, חוק הגנת הפרטיות של ישראל, PDPPL של קטאר, PDPL של בחריין, PDPL של עומאן, PDPL של ירדן, KVKK של טורקיה או משטרים אחרים במזרח התיכון, AI92 מיישמת את סעיפי החוזה הסטנדרטיים, החלטת מספיקות או מנגנון אחר המוכר על ידי רשות הפיקוח של תחום השיפוט הרלוונטי, ורושמת או ממנה נציג מקומי במידת הצורך.

אירואסיה ואזורים אחרים. עבור העברות הכפופות לחוק הפדרלי 152-FZ של הפדרציה הרוסית, AI92 מצייתת לדרישות הלוקליזציה של סעיף 18(5) ומקבלת את הסכמת בעל הנתונים בכתב במידת הצורך. עבור העברות הכפופות לחוק של קזחסטן בנושא נתונים אישיים, החוק של אוזבקיסטן בנושא נתונים אישיים או כל חוק אחר להגנת נתונים רלוונטי, AI92 מיישמת את מנגנון העברת הגבולות הנדרש על פי חוק תחום השיפוט המקורי או המוכר בו.

כללי. כאשר חוקי הגנת הנתונים הרלוונטיים של תחום השיפוט של לקוח דורשים מנגנון העברה ספציפי, סעיפים חוזיים או הגשה רגולטורית שאינם מפורטים במפורש לעיל, AI92 תבצע או תיישם, על פי בקשה סבירה של הלקוח ועל חשבון הלקוח (אם יש), את התיעוד הנוסף הנדרש באופן סביר כדי לתת תוקף למנגנון זה. AI92 עוקבת אחר התפתחויות רגולטוריות ברחבי העולם ומעדכנת את מנגנוני ההעברה לעיל כאשר דרישות חדשות נכנסות לתוקף.

AI92 תודיע ללקוח באופן מיידי, במידה שמותר על פי חוק, אם AI92 תקבל בקשה מנושא נתונים לגישה, תיקון, מחיקה, הגבלת עיבוד, ניידות או התנגדות (בקשת נושא נתונים). AI92 לא תגיב לבקשת נושא נתונים כזו אלא בהוראות הלקוח, אלא אם כן נדרש על פי החוק החל.

AI92 תספק ללקוח מידע וסיוע סביר כפי שהלקוח עשוי לדרוש כדי לאפשר ללקוח להגיב לבקשת נושא נתונים, לרבות על ידי מתן או הקלה על מתן ייצוא נתונים.

AI92 תודיע ללקוח ללא דיחוי מיותר, ובכל מקרה תוך שבעים ושתיים (72) שעות מרגע שנודע לה על כל הפרת נתונים אישיים המשפיעה על נתונים אישיים של לקוחות.

ההודעה תכלול, ככל שידוע אז: (א) תיאור של אופי ההפרה, לרבות קטגוריות הנתונים האישיים ומספר משוער של נושאי נתונים שנפגעו; (ב) ההשלכות הסבירות; (ג) האמצעים שננקטו או מוצעים לטיפול בהפרה; ו-(ד) השם ופרטי הקשר של קצין הגנת הנתונים או נקודת קשר אחרת לקבלת מידע נוסף.

לפי בקשה, AI92 תספק סיוע סביר ללקוח בכל הערכת השפעה על הגנת נתונים או התייעצות מוקדמת עם רשויות פיקוח שהלקוח נדרש לבצע על פי סעיף 35 של GDPR או הוראות אנלוגיות של חוק הגנת נתונים של LATAM.

עם סיום התנאים, AI92 תחזיר או תמחק נתונים אישיים של לקוחות, לפי בחירת הלקוח, בכפוף לשמירה כנדרש על פי החוק החל וכפי שמותר על פי DPA זה.

AI92 רשאית לשמור נתונים אישיים של לקוחות רק כנדרש על פי החוק החל (כולל חובות תיעוד מס), או כפי שמותר על פי DPA זה, לתקופת השמירה של יומן הביקורת המפורטת במדיניות הפרטיות, או לתקופת השמירה של ספר האשראי המפורטת במדיניות הפרטיות.

הלקוח (או מבקר צד שלישי עצמאי המקובל באופן סביר על AI92, המחויב לחובות סודיות) רשאי לבדוק את עמידתה של AI92 ב-DPA זה לא יותר מפעם אחת לתקופה של שנים עשר חודשים, בהודעה מוקדמת בכתב של לפחות שלושים (30) יום, במהלך שעות העבודה הרגילות של AI92, ועל חשבון הלקוח.

במקום ביקורת באתר, AI92 רשאית לספק ללקוח את דוחות ביקורת SOC 2 העדכניים שלה, דוחות בדיקות חדירה ואישורים רלוונטיים אחרים של צד שלישי. הלקוח יקבל זאת כמספק את זכויות הביקורת שלו אלא אם כן הם אינם מתייחסים לחששות הסבירים של הלקוח.

DPA זה כפוף לאותו דין כמו תנאי השירות, אלא כאשר חוק הגנת נתונים מחייב דין חל שונה.

במקרה של סתירה בין התנאים לבין תוספת זו, תוספת זו שולטת ביחס לעיבוד נתונים אישיים.

אם אתה לקוח ארגוני עם הסכם שירותים ראשי (MSA), ייתכן שתנאי ה-DPA ישונו על ידי ה-MSA שלך. במקרה של סתירה, ה-MSA שולט.

אם יש לך שאלות כלשהן לגבי נספח עיבוד נתונים זה, אנא צור איתנו קשר:

• לבירורים כלליים: [email protected]
• לבירורים בנושא הגנת מידע ופרטיות: [email protected]
• לנושאים משפטיים: [email protected]