נספח עיבוד מידע

1.הגדרות

1. 1.1למונחים כגון "בקר", "מעבד", "מידע אישי", "עיבוד", "נושא מידע" ו"הפרת מידע אישי" יש את המשמעויות שניתנו להם ב-GDPR.
2. 1.2"חוק הגנת מידע חל" משמעו ה-GDPR וחוקי הגנת המידע הלאומיים החלים בקפריסין, בולגריה ובכל טריטוריה שבה מתרחש העיבוד המתועד.
3. 1.3"מעבד" פירושו Automaize רק במידה שהוא מעבד נתונים אישיים לפי הוראות מתועדות של בקר. "מעבד משנה" פירושו ספק תשתית המועסק על ידי Automaize בשרשרת העיבוד המתועדת.

2.תפקידים והיקף העיבוד

1. 2.1עבור זרימת עבודה הנשלטת על ידי הלקוח, הלקוח קובע את המטרות והאמצעים החיוניים וההזמנה הרלוונטית מזהה את Automaize כמעבד. Automaize מעבד את הנתונים הללו רק לפי ההוראות המתועדות החלות על תפקידו.
2. 2.2נספח עיבוד נתונים זה אינו חל כאשר Automaize פועלת כבקר עצמאי לצורכי ניהול השירות, חשבונות הפלטפורמה, אבטחה, ראיות הסכמה ואחריותיות AI, ניהול תוכן, מניעת הונאה, ציות טכנולוגי או כל שירות ש-Automaize מורשית לספק על חשבונה שלה.
3. 2.3נושא העיבוד, משכו, טיבו ומטרתו, וקטגוריות נושאי המידע והנתונים האישיים, מתוארים בנספח 1 (פרטי העיבוד). אלה כוללים נתוני פרופיל עובד, רשומות הדרכה והסמכה, תוצאות והגבלות כשירות רפואית, הנפקת ציוד, היתרים, רשומות נוכחות באתר, דיווחי אירועים וכמעט-תאונות, חקירות, פעולות מתקנות, תמלילי עוזר, רשומות הסכמה ויומני ביקורת המעובדים עבור תוכנית הבטיחות בעבודה של הלקוח.
4. 2.4העיבוד נמשך לתקופת השירות של הלקוח ולתקופת ההחזרה/המחיקה המתועדת, בכפוף להקפאות משפטיות ולשמירה מחייבת. נושאי המידע כוללים את העובדים, הקבלנים, מבקרי האתר והמשתמשים המורשים של הלקוח; הנתונים עשויים לכלול נתוני זהות ופרטי קשר, העסקה ושיוך לאתר, ראיות הדרכה והסמכה, תוצאות והגבלות כשירות רפואית, רשומות ציוד והיתרים, רשומות נוכחות, רשומות אירועים וחקירות, תקשורת, הסכמות ונתוני אבטחה טכניים. בשונה מיישום עסקי כללי, השירות מיועד להחזיק נתוני בריאות תעסוקתית, שהם נתונים אישיים מקטגוריה מיוחדת לפי סעיף 9 ל-GDPR: על הלקוח לתעד את התנאי שבסעיף 9 שעליו הוא נסמך, להנחות את Automaize בהתאם, להגביל נתונים אלה לתפקידים הזקוקים להם באמת, ולא למסור רשומות קליניות מעבר לתוצאת הכשירות ולהגבלות שתוכנית הבטיחות שלו מחייבת.

3.התחייבויות של כל מעבד

Automaize, בעודו פועל כמעבד, יבצע:

1. 3.1יעבד מידע אישי רק על פי הוראות מתועדות של הבקר, לרבות בנוגע להעברות בינלאומיות, אלא אם נדרש לעשות אחרת על פי חוק;
2. 3.2יוודא כי האנשים המורשים לעבד מידע אישי מחויבים בחובת סודיות הולמת;
3. 3.3יישם את האמצעים הטכניים והארגוניים המתוארים בסעיף 5 ובנספח 2;
4. 3.4יכבד את התנאים בסעיף 6 להתקשרות עם מעבדי משנה;
5. 3.5יסייע לבקר, תוך התחשבות במהות העיבוד, במילוי התחייבויותיו להשיב לבקשות של נושאי מידע ולהבטיח אבטחה, דיווח על הפרות והערכות השפעה על הגנת מידע; ו-
6. 3.6לפי בחירת הבקר, ימחק או יחזיר את כל המידע האישי בסיום מתן השירותים, למעט במידה ושמירת המידע נדרשת על פי חוק.

4.סודיות

1. 4.1כל מעבד יתייחס לכל הנתונים האישיים כסודיים ולא יחשוף אותם אלא אם הדבר מותר לפי נספח זה או נדרש על פי חוק.

5.אבטחה

1. 5.1Automaize תיישם אמצעים טכניים וארגוניים מתאימים בהתאם לתפקידה. אמצעי הפלטפורמה שלה מתוארים בנספח 2 ובהצהרת אבטחת המידע.

6.מעבדי משנה

1. 6.1הבקר מעניק ל-Automaize הרשאה כללית להעסיק את ספקי התשתית המפורטים בהודעת מעבד המשנה עבור העיבוד המתואר בצו הרלוונטי.
2. 6.2המעבד הממנה יטיל על כל מעבד משנה התחייבויות להגנת מידע שאינן פחותות מאלו הקיימות בנספח זה, ונותר אחראי למעבד משנה זה כנדרש לפי סעיף 28 ל-GDPR.
3. 6.3Automaize תשמור על שרשרת עיבוד מעודכנת ותמסור לבוקר הודעה מוקדמת על שינוי מהותי מתוכנן, המאפשרת לבוקר להתנגד מסיבות סבירות להגנה על נתונים.

7.בקשות נושאי מידע

1. 7.1המעבד יסייע לבקר, תוך התחשבות באופי העיבוד, באמצעות אמצעים טכניים וארגוניים מתאימים, ככל הניתן, במענה לבקשות של נושאי מידע למימוש זכויותיהם, ויעביר ללא דיחוי לבקר כל בקשה כזו שהוא מקבל ישירות.

8.הפרת מידע אישי

1. 8.1המעבד יודיע לבקר ללא דיחוי בלתי סביר לאחר שנודע לו על הפרת מידע אישי המשפיעה על המידע האישי של הבקר, ויספק את המידע הדרוש באופן סביר כדי לאפשר לבקר לעמוד בחובות הדיווח שלו.
2. 8.2המעבד מנהל נוהל פנימי להודעה על הפרות בהתאם לסעיפים 33 ו-34 ל-GDPR, הכולל תעדוף חומרה, שמירת ראיות, הודעה לבקר, הערכת רשות מפקחת, הערכת תקשורת עם נושאי מידע והשלמת מרשם הפרות.

9.העברות בינלאומיות

1. 9.1המעבד לא יעביר מידע אישי מחוץ לאזור הכלכלי האירופי (EEA) אלא על פי הוראות הבקר ובכפוף לאמצעי הגנה מתאימים לפי פרק V ל-GDPR, כולל סעיפים חוזיים סטנדרטיים (SCCs) במקרה הצורך.

10.ביקורת

1. 10.1המעבד יעמיד לרשותנו את המידע הדרוש כדי להוכיח ציות לסעיף 28 ויאפשר ביקורות סבירות. ביקורות מתחילות בדרך כלל עם דוחות עצמאיים עדכניים וראיות כתובות; ביקורת באתר עשויה להתרחש במידה והראיות הללו אינן מספיקות או שתקרית מהותית מחייבת זאת באופן סביר, בכפוף לסודיות, אבטחה, הודעה סבירה והקצאת עלויות חריגות.

11.חבות ודין חל

1. 11.1החבות של כל צד לפי נספח עיבוד נתונים (DPA) זה כפופה למגבלות האחריות המוסכמות בתנאי השירות של המעסיק.
2. 11.2נספח זה פועל לפי הקצאת הדין החל בתנאי המעסיק או בהזמנה החתומה הרלוונטית, מבלי להחליף זכויות מחייבות מכוח ה-GDPR או סמכויות רשויות פיקוח.

12.נספחים

1. 12.1נספח 1 - פרטי העיבוד: אירוח תוכנית בטיחות בעבודה; רשומות עובדים, אתרים ונכסים; מעקב הדרכות והסמכות ומועדי פקיעתן; מצב כשירות רפואית והגבלות; הנפקת ציוד ובדיקתו; היתרי עבודה; נוכחות באתר ומפקד; דיווח אירועים וכמעט-תאונות, חקירה ומעקב אחר פעולות מתקנות; עוזר הבטיחות מעל ספריית המסמכים של הלקוח עצמו; וניהול תמיכה וחיוב עבור עובדים, משתמשי הלקוח ונציגים מוזמנים.
2. 12.2נספח 2 - אמצעי אבטחה: הצפנה במעבר ובמנוחה, אבטחה ברמת השורה, גישת הרשאה מינימלית ומבוקרת, בקרות תוקף לכתובות URL חתומות, מנגנוני ניתוק ספק, אבטחת רשת ויישומים, ניטור, בקרות גיבוי/חוסן, תגובה לאירועים ובדיקה שוטפת של האמצעים.
3. 12.3נספח 3 - שרשרת עיבוד: Automaize עשויה לערב את Google Cloud / Gemini, Supabase, WorkOS, Vercel, Railway, Stripe, Cal.com, Resend, Meta, Cloudflare ו- Sentry כפי שפורסם ומתוחזק בהודעת מעבד המשנה. WorkOS נשאר מושבת עד להשלמת שערי האישור המוצהרים שלו.
4. 12.4נספח 4 - סיוע בעמידה בדרישות: סיוע בבקשות נושאי מידע, הערכות השפעה על הגנת פרטיות (DPIA), הערכת התייעצות מוקדמת, דיווח על הפרות, ראיות ביקורת ומחיקה/החזרה של מידע אישי בסיום השירות.