הסכם עיבוד נתונים

1. מטרה ומבנה

הסכם עיבוד נתונים זה (“ה-DPA”) מהווה חלק מתנאי השירות בין Workraft בע״מ (יחד עם חברות הקשורות, “Workraft”, “אנחנו”, “אנו” או “שלנו”) לבין הלקוח שקיבל תנאים אלה (“לקוח”). הוא מתאר את התנאים שתחתם Workraft מעבדת מידע אישי בשם הלקוח כאשר הלקוח משתמש בפלטפורמת Workraft (“השירות”).

DPA זה תוכנן לעמוד בסעיף 28 של רגולציית הגנת הנתונים הכללית של האיחוד האירופי (GDPR), ההוראות המקבילות של ה-UK GDPR, וההוראות המקבילות של חוק הגנת הפרטיות הישראלי כפי שתוקן בתיקון 13 (2024).

במקרה של סתירה בין DPA זה לתנאי השירות ביחס לעיבוד מידע אישי, DPA זה גובר.

2. הגדרות

מונחים המשמשים ב-DPA זה הם בעלי המשמעויות שניתנו ב-GDPR. בפרט:

• “מידע אישי” הוא כל מידע הנוגע לאדם טבעי מזוהה או בר-זיהוי שהלקוח מעלה או מייצר בתוך השירות
• “נושא נתונים” הוא האדם שאליו המידע האישי מתייחס, כולל משתמשי קצה (עובדי שטח, מפקחים ואנשים אחרים שהמידע שלהם מעובד על ידי הלקוח דרך השירות)
• “בעל שליטה” הוא הלקוח, שקובע את המטרות והאמצעים של עיבוד המידע האישי
• “מעבד” הוא Workraft, שמעבדת מידע אישי בשם הלקוח
• “מעבד משנה” הוא צד שלישי שמועסק על ידי Workraft לעבד מידע אישי בשם הלקוח, כפי שמפורט בנספח ב’ של DPA זה
• “סעיפים חוזיים סטנדרטיים” או “SCCs” הם הסעיפים החוזיים הסטנדרטיים להעברת מידע אישי למדינות שלישיות, כפי שאושרו על ידי הנציבות האירופית בהחלטה (EU) 2021/914 מיום 4 ביוני 2021
• “הפרת מידע אישי” יש לו את המשמעות שניתנה בסעיף 4(12) GDPR

3. תפקידים ואחריות

הלקוח מאשר שהוא בעל השליטה של המידע האישי שהוא מעלה לשירות, כולל כל המידע האישי של משתמשי הקצה. הלקוח אחראי על:

• הבטחה שהמידע האישי שמועלה לשירות נאסף כחוק ושלחלקוח יש את כל הזכויות, ההיתרים וההסכמות הדרושים לעיבודו דרך השירות
• מתן כל ההודעות הנדרשות על פי החוק החל לנושאי נתונים, כולל הודעה על עיבוד אוטומטי ומונע AI, מעקב GPS וכל תכונה אחרת שהלקוח מפעיל
• מענה לבקשות נושאי נתונים שהתקבלו על ידי הלקוח ישירות
• עמידה בכל חוקי העבודה, התעסוקה והגנת הנתונים החלים בתחומי השיפוט שבהם הלקוח פועל

Workraft פועלת כמעבד ומעבדת מידע אישי רק על פי הוראות מתועדות של הלקוח, כולל ההוראות המשולבות בתנאים אלה, תצורת השירות שנעשתה על ידי הלקוח וכל הוראות כתובות נוספות שיינתנו על ידי הלקוח באופן סביר מדי פעם. Workraft לא תעבד מידע אישי למטרותיה שלה אלא אם הכרחי לספק את השירות, לעמוד בחוק או לזהות הונאות ושימוש לרעה.

4. נושא, משך, אופי ומטרת העיבוד

• נושא: אספקת פלטפורמת ניהול כוח האדם Workraft, כולל תזמון, נוכחות, ציות, ניהול מסמכים ותכונות מונעות AI
• משך: כל עוד הלקוח משתמש בשירות, בתוספת תקופת החסד של 90 יום המתוארת בסעיף 10
• אופי: אחסון, אחזור, עיבוד, ניתוח, העברה והצגה של מידע אישי שהועלה על ידי הלקוח
• מטרה: לאפשר ללקוח לנהל את פעולות כוח האדם בשטח שלו
• סוגי מידע אישי: נתוני זיהוי (שם, אימייל, טלפון), נתוני תעסוקה (תפקיד, אתר, אישורים, היסטוריית משמרות), נתוני מיקום (אירועי GPS היכן שמופעל), נתוני מסמכים (קבצים ותמונות שהועלו), מטא-נתונים של תקשורת
• קטגוריות של נושאי נתונים: מנהלי הלקוח, מפקחים ועובדי שטח, וכן אנשים אחרים שנתוניהם מועלים לשירות על ידי הלקוח

5. חובות Workraft

Workraft תבצע:

5.1 תעקוב אחר הוראות

תעבד מידע אישי רק על פי הוראות מתועדות של הלקוח, אלא אם נדרש אחרת על פי החוק החל. Workraft תודיע ללקוח לפני עיבוד על בסיס משפטי אחר, אלא אם החוק אוסר על הודעה כזו מטעמי אינטרס ציבורי חשובים.

5.2 להבטיח סודיות

להבטיח שאנשים מורשים לעבד מידע אישי מחויבים בחובות סודיות כתובות או תחת חובת סודיות סטטוטורית מתאימה.

5.3 ליישם אמצעי אבטחה

ליישם את האמצעים הטכניים והארגוניים המתוארים בנספח א׳ של DPA זה, כולל הצפנת נתונים במעבר ובמנוחה, בקרות גישה ובדיקות אבטחה קבועות.

5.4 לסייע ללקוח

לסייע ללקוח, בהתחשב באופי העיבוד והמידע הזמין ל-Workraft, ב:

• מענה לבקשות מנושאי נתונים הממשים את זכויותיהם על פי החוק החל
• הבטחת עמידה בחובות אבטחה, הודעת הפרה, הערכות השפעה על הגנת נתונים והתייעצות מראש עם רשויות פיקוח

5.5 הודעה ללקוח על הפרות

להודיע ללקוח ללא עיכוב בלתי מוצדק, ובכל מקרה תוך 72 שעות, לאחר שנודע לנו על הפרת מידע אישי המשפיעה על המידע האישי של הלקוח. ההודעה תתאר את אופי ההפרה, הקטגוריות והמספר המשוער של נושאי הנתונים והרשומות המעורבים, ההשלכות הסבירות, והאמצעים שננקטו או מוצעים לטיפול בהפרה.

5.6 שיתוף פעולה עם רשויות פיקוח

להעמיד לרשות הלקוח את כל המידע הדרוש כדי להדגים עמידה בסעיף 28 GDPR ולשתף פעולה עם רשויות פיקוח בביצוע משימותיהן, בהודעה סבירה מראש ובשעות עבודה רגילות.

5.7 למחוק או להחזיר נתונים

עם סיום השירות, למחוק או להחזיר את כל המידע האישי ללקוח בהתאם לסעיף 10.

6. מעבדי משנה

6.1 אישור כללי

הלקוח מאשר ל-Workraft להעסיק מעבדי משנה כדי לתמוך באספקת השירות. הרשימה הנוכחית של מעבדי המשנה מפורסמת ומתוחזקת בנספח ב’ למטה.

6.2 חובות חוזיות

Workraft תחתום על הסכם כתוב עם כל מעבד משנה המטיל חובות הגנת נתונים דומות באופן מהותי לאלה המפורטות ב-DPA זה, בפרט חובות ביחס לאמצעים טכניים וארגוניים מתאימים.

6.3 אחריות

Workraft נשארת אחראית במלואה כלפי הלקוח לביצוע חובות כל מעבד משנה באותה מידה ש-Workraft הייתה אחראית תחת DPA זה.

6.4 זכות להתנגד

Workraft תספק ללקוח הודעה סבירה מראש (לא פחות מ-30 יום, היכן שזה מעשי) לפני הוספה או החלפה של מעבד משנה. הלקוח רשאי להתנגד בכתב תוך 15 יום מההודעה אם יש לו דאגה סבירה בנוגע להגנת נתונים. אם Workraft לא יכולה להיענות להתנגדות, הלקוח רשאי לסיים את החלק המושפע של השירות בהודעה בכתב ל-Workraft.

7. העברות בינלאומיות

7.1 מנגנוני העברה

היכן שאספקת השירות כוללת העברת מידע אישי מחוץ לאזור הכלכלי האירופי, הממלכה המאוחדת, שווייץ או ישראל לתחום שיפוט שאינו מוכר כמספק רמה מתאימה של הגנת נתונים, ההעברה נשלטת על ידי הסעיפים החוזיים הסטנדרטיים (2021/914, מודול 2 או מודול 3 לפי העניין), המשולבים בהתייחסות ב-DPA זה ומבוצעים על ידי הצדדים.

7.2 העברות ישראליות

להעברות הכוללות את ישראל, הצדדים מסתמכים על תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), תשס״א-2001, כפי שתוקנו. היכן ש-Workraft מעבירה מידע אישי בשם לקוח ישראלי, ההעברה מתבצעת בכפוף להגנות חוזיות שוות.

7.3 אמצעים משלימים

בנוסף ל-SCCs, Workraft מיישמת את האמצעים המשלימים המתוארים בנספח א׳, כולל הצפנה, בקרות גישה והתחייבות לערער על כל בקשה בלתי חוקית לגישה לנתונים מרשויות ציבוריות.

8. זכויות ביקורת

Workraft תעמיד לרשות הלקוח את כל המידע הדרוש להדגמת עמידה בחובות המפורטות בסעיף 28 GDPR ותאפשר ותסייע לביקורות, כולל בדיקות, המבוצעות על ידי הלקוח או על ידי מבקר צד שלישי מוסכם, לא יותר מפעם בשנה, בהודעה סבירה מראש ובשעות עבודה רגילות, בכפוף לחובות סודיות סבירות.

הלקוח מאשר ש-Workraft רשאית למלא את חובותיה תחת סעיף 8 זה על ידי הספקה, היכן שזמין, של דוחות ביקורת צד שלישי (כגון דוחות ISO 27001 או SOC 2) בתגובה לבקשות ביקורת, למעט במקרים שבהם הלקוח יכול להוכיח שדוחות אלה אינם מספיקים לצרכי הציות שלו.

9. בקשות נושאי נתונים

בהתחשב באופי העיבוד, Workraft תסייע ללקוח באמצעים טכניים וארגוניים מתאימים, במידת האפשר, לקיים את חובת הלקוח לענות לבקשות מנושאי נתונים הממשים את זכויותיהם על פי ה-GDPR, ה-UK GDPR, חוק הגנת הפרטיות הישראלי או חוקים מקבילים.

אם Workraft מקבלת בקשה ישירה של נושא נתונים, Workraft תפנה את נושא הנתונים ללקוח ותודיע ללקוח על הבקשה ללא עיכוב בלתי מוצדק, אלא אם נאסר לה משפטית.

10. החזרה ומחיקה של מידע אישי

עם סיום השירות, Workraft תבצע:

• תספק ללקוח תקופת חסד של 90 יום שבמהלכה הלקוח יכול לייצא את המידע האישי שלו באמצעות כלי הייצוא של השירות
• עם תום תקופת החסד, תמחק לצמיתות את כל המידע האישי ממערכות הייצור תוך 30 יום
• תמחק מידע אישי ממערכות גיבוי בהתאם למחזור שמירת הגיבוי הסטנדרטי, בדרך כלל תוך 35 יום ממחיקת הייצור
• היכן שהשמירה נדרשת על פי החוק החל, לשמור רק את הנתונים המינימליים הדרושים לתקופה הקצרה ביותר הנדרשת, בכפוף לחובות סודיות ואבטחה מתמשכות

Workraft תאשר בכתב, על פי בקשה כתובה של הלקוח, שהיא עמדה בסעיף 10 זה.

11. אחריות

הוראות האחריות של תנאי השירות חלות על אחריות כל אחד מהצדדים תחת DPA זה.

12. תקופה וסיום

DPA זה נכנס לתוקף בתאריך שבו הלקוח מקבל את תנאי השירות ונשאר בתוקף כל עוד Workraft מעבדת מידע אישי בשם הלקוח. סיום DPA זה אינו משחרר צד מחובות שמטבען שורדות את הסיום, כולל סודיות ואחריות.

13. חוק חל

DPA זה נשלט על ידי חוקי מדינת ישראל, ללא התייחסות לעקרונות ברירת דין. על אף האמור לעיל, היכן שהוראות מחייבות של חוק הגנת הנתונים המקומי של הלקוח חלות על העיבוד תחת DPA זה, הוראות אלה גוברות במידה הנדרשת להבטחת ציות.

נספח א׳ — אמצעים טכניים וארגוניים

Workraft מיישמת את האמצעים הטכניים והארגוניים הבאים (TOMs) להגנה על מידע אישי:

סודיות

• הגישה למערכות הייצור מוגבלת לצוות מורשה שצריך גישה כדי לבצע את תפקידיו
• אימות רב-שלבי נדרש לגישה למערכות הייצור
• זכויות הגישה נסקרות על בסיס קבוע ומבוטלות מיד עם שינוי תפקיד או עזיבה
• כל הצוות מחויב בהסכמי סודיות כתובים ומוכשר בהגנת נתונים בקבלה לעבודה ובאופן שנתי

שלמות

• כל הנתונים במעבר בין הלקוח לשירות מוצפנים באמצעות TLS 1.2 ומעלה
• כל הנתונים במנוחה במסד הנתונים הראשי של הייצור של Workraft מוצפנים באמצעות אלגוריתמים סטנדרטיים בתעשייה
• שינויי קוד נסקרים על ידי לפחות מהנדס אחד נוסף לפני פריסה לייצור
• סריקות פגיעות ובדיקות תלויות רצות באופן רציף נגד קוד הבסיס

זמינות

• מסדי הנתונים של הייצור מגובים על לוח זמנים קבוע, עם גיבויים מוצפנים ונשמרים בהתאם למדיניות השמירה שלנו
• Workraft מתחזקת תוכנית תגובה לאירועים ובוחנת באופן קבוע נהלי התאוששות
• השירות מאוחסן על תשתית המספקת יתירות וכישלון אזורי

ניטור ותגובה

• אירועי אבטחה מתועדים ומנוטרים
• נהלי תגובה לאירועים מגדירים תפקידים, נתיבי הסלמה וציר זמן להודעה חיצונית
• Workraft תודיע ללקוח תוך 72 שעות מרגע שנודע לה על הפרת מידע אישי המשפיעה על נתוני הלקוח, כנדרש בסעיף 33 GDPR

ארגוני

• אחריות פרטיות ואבטחה מתועדת ומוקצית
• קצין הגנת פרטיות (DPO) מונה וניתן ליצור איתו קשר ב-legal@workraft.ai
• Workraft מתחזקת רישום של פעילויות עיבוד כנדרש בסעיף 30 GDPR
• תכונות חדשות עוברות סקירת פרטיות לפי תכנון לפני השחרור

נספח ב׳ — מעבדי משנה

Workraft משתמשת במעבדי המשנה המפורטים להלן כדי לתמוך באספקת השירות. לכל מעבד משנה יש הסכם כתוב עם Workraft הכולל חובות הגנת נתונים דומות באופן מהותי לאלה שאנחנו חבים ללקוח תחת DPA זה. Workraft תודיע ללקוח על שינויים מהותיים ברשימה זו לפחות 30 יום מראש היכן שזה מעשי, בהתאם לסעיף 6.4.

תשתית ואירוח

תקשורת

ספקי מודלי AI

אנליטיקה

מיקום אחסון הנתונים

אזור האחסון הראשי לנתוני לקוח הוא סביבת הייצור של Railway (ארצות הברית או אזורים נבחרים, אזור מדויק ניתן להגדרה ללקוח בתוכניות ארגוניות).

ללקוחות EU שדרישות הגנת הנתונים שלהם כוללות מגורי נתונים ב-EEA, Workraft מציעה תצורה של אירוח ב-EEA על פי בקשה, בכפוף לתוספת מגורי נתונים נפרדת.

מנגנון העברה בינלאומי

העברות של מידע אישי מהאזור הכלכלי האירופי, הממלכה המאוחדת, שווייץ או ישראל למעבדי משנה במדינות ללא החלטת התאמה של האיחוד האירופי נעשות תחת הסעיפים החוזיים הסטנדרטיים (החלטת ביצוע של הנציבות (EU) 2021/914, מודול 2 או מודול 3 לפי העניין), המשולבים בכל הסכם מעבד משנה.

העברות של מידע אישי מישראל נעשות תחת תקנות הגנת הפרטיות הישראליות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), תשס״א-2001, כפי שתוקנו בתיקון 13 (2024).

כל מעבדי המשנה מחויבים באופן חוזי ליישם אמצעים טכניים וארגוניים מתאימים ולעבד מידע אישי רק על פי הוראות מתועדות של Workraft.

יצירת קשר

לכל שאלה ביחס ל-DPA זה, פנו:

Workraft בע״מ תל אביב, ישראל אימייל: legal@workraft.ai