נספח עיבוד נתונים

למטרות תוספת עיבוד נתונים זו, למונחים באותיות רישיות שאינם מוגדרים כאן יש את המשמעויות הניתנות להם בתנאי השירות של AI92. למונחי הגנת נתונים באותיות רישיות יש את המשמעויות הניתנות להם בחוקי הגנת הנתונים הרלוונטיים כהגדרתם בסעיף זה.

חוקי הגנת נתונים רלוונטיים. "חוקי הגנת נתונים רלוונטיים" פירושם כל חוקי הגנת הנתונים, הפרטיות וחוקים דומים החלים על עיבוד נתונים אישיים במסגרת תוספת זו, כפי שהם עשויים להשתנות או להתבטל מעת לעת, לרבות ללא הגבלה:

אירופה. התקנה הכללית להגנה על נתונים של האיחוד האירופי (תקנה (EU) 2016/679, "GDPR"), התקנה הכללית להגנה על נתונים של בריטניה בשילוב עם חוק הגנת הנתונים משנת 2018, החוק הפדרלי של שוויץ להגנה על נתונים ("FADP"), חוק הנתונים האישיים של נורווגיה, חוק 90/2018 של איסלנד, חוק הגנת הנתונים של ליכטנשטיין וחוקי הגנת הנתונים המיישמים של כל מדינה חברה באזור הכלכלי האירופי.

צפון אמריקה. בארצות הברית: חוק הפרטיות של הצרכן בקליפורניה כפי שתוקן על ידי חוק זכויות הפרטיות של קליפורניה ("CCPA/CPRA"), חוק הגנת נתוני הצרכן של וירג'יניה, חוק הפרטיות של קולורדו, חוק פרטיות הנתונים של קונטיקט, חוק פרטיות הצרכן של יוטה, חוק הפרטיות והאבטחה של נתוני טקסס, חוק הפרטיות של הצרכן באורגון וחוקי פרטיות אנלוגיים ברמת המדינה כפי שהם נכנסים לתוקף. בקנדה: חוק הגנת מידע אישי ומסמכים אלקטרוניים ("PIPEDA"), חוק 25 של קוויבק, חוק הגנת מידע אישי של אלברטה, חוק הגנת מידע אישי של קולומביה הבריטית וחוק הפרטיות.

אמריקה הלטינית והאיים הקריביים. החוק הכללי להגנה על נתונים של ברזיל ("LGPD", חוק 13.709), החוק הפדרלי של מקסיקו להגנה על נתונים אישיים המוחזקים על ידי גורמים פרטיים ("LFPDPPP"), חוק הגנת הנתונים האישיים 25.326 של ארגנטינה, החוק הסטטוטורי 1581 של 2012 של קולומביה, חוק 19.628 של צ'ילה, חוק 29733 של פרו, חוק 18.331 של אורוגוואי, החוק האורגני של אקוודור להגנה על נתונים אישיים, חוק 8968 של קוסטה ריקה, חוק 172-13 של הרפובליקה הדומיניקנית, חוק 81 של 2019 של פנמה, חוק 6534/2020 של פרגוואי והחוקים האנלוגיים של כל מדינה אחרת באזור.

אפריקה. החוק להגנה על מידע אישי של דרום אפריקה ("POPIA"), חוק הגנת הנתונים של ניגריה משנת 2023 ("NDPA") ותקנת הגנת הנתונים של ניגריה משנת 2019, חוק הגנת הנתונים של קניה משנת 2019, החוק להגנה על נתונים אישיים של מצרים (חוק 151 משנת 2020), חוק הגנת הנתונים של גאנה משנת 2012, חוק 09-08 של מרוקו, החוק האורגני 2004-63 של תוניסיה, חוק הגנת הנתונים של מאוריציוס משנת 2017, חוק 2008-12 של סנגל, חוק 2013-450 של חוף השנהב, חוק 058/2021 של רואנדה, חוק הגנת הנתונים והפרטיות של אוגנדה משנת 2019, חוק הגנת הנתונים האישיים של טנזניה משנת 2022, חוק הסייבר והגנת הנתונים 5 משנת 2021 של זימבבואה, חוק 18-07 של אלג'יריה, חוק 2014-038 של מדגסקר, אמנת האיחוד האפריקאי בנושא אבטחת סייבר והגנה על נתונים אישיים ("אמנת מלאבו"), החוק המשלים של ECOWAS בנושא הגנה על נתונים אישיים והחוקים האנלוגיים של כל מדינה אפריקאית אחרת.

אסיה-פסיפיק. חוק הפרטיות של אוסטרליה משנת 1988, חוק הפרטיות של ניו זילנד משנת 2020, החוק של יפן להגנה על מידע אישי ("APPI"), החוק של דרום קוריאה להגנה על מידע אישי ("PIPA"), החוק של סינגפור להגנה על נתונים אישיים משנת 2012 ("PDPA"), החוק של תאילנד להגנה על נתונים אישיים B.E. 2562 (2019), צו הגנת הנתונים האישיים 13/2023 של וייטנאם, חוק פרטיות הנתונים של הפיליפינים משנת 2012, החוק של אינדונזיה להגנה על נתונים אישיים 27/2022, החוק של מלזיה להגנה על נתונים אישיים משנת 2010, החוק של הודו להגנה על נתונים אישיים דיגיטליים משנת 2023 ("DPDPA"), החוק של סין להגנה על מידע אישי ("PIPL"), החוק של טייוואן להגנה על נתונים אישיים, פקודת הנתונים האישיים (פרטיות) של הונג קונג, החוק של מקאו להגנה על נתונים אישיים והחוקים האנלוגיים של כל תחום שיפוט אחר באסיה-פסיפיק.

המזרח התיכון. צו החוק הפדרלי 45 של איחוד האמירויות הערביות משנת 2021 בנושא הגנה על נתונים אישיים וחוק הגנת הנתונים של מרכז הכספים הבינלאומי של דובאי, החוק של ערב הסעודית להגנה על נתונים אישיים, חוק הגנת הפרטיות של ישראל 5741-1981 והתקנות המיישמות שלו, החוק של קטאר להגנה על פרטיות נתונים אישיים (חוק 13/2016) ותקנות הגנת הנתונים של QFC, החוק של בחריין להגנה על נתונים אישיים (חוק 30/2018), החוק של עומאן להגנה על נתונים אישיים (צו מלכותי 6/2022), החוק של ירדן להגנה על נתונים אישיים משנת 2023, החוק של טורקיה להגנה על נתונים אישיים ("KVKK", חוק 6698) והחוקים האנלוגיים של כל תחום שיפוט אחר במזרח התיכון.

אירואסיה ואזורים אחרים. החוק הפדרלי של הפדרציה הרוסית בנושא נתונים אישיים (מס' 152-FZ), החוק של קזחסטן בנושא נתונים אישיים והגנתם, החוק של אוזבקיסטן בנושא נתונים אישיים והחוקים האנלוגיים של כל תחום שיפוט אחר שבו AI92 או הלקוח מעבדים נתונים אישיים.

כללי. כל חוק אחר להגנת נתונים, פרטיות, סודיות תקשורת, מגזרי או דומה של כל תחום שיפוט החל על AI92 או על הלקוח בקשר לעיבוד נתונים אישיים של לקוחות במסגרת תוספת זו. AI92 עוקבת אחר התפתחויות רגולטוריות ברחבי העולם ומעדכנת רשימה זו (ואת הנוהגים המיישמים אותה) כאשר חוקים חדשים נכנסים לתוקף.

כאשר משטרים אלה משתמשים בטרמינולוגיה שונה עבור מושגים אנלוגיים, תוספת זו משתמשת בטרמינולוגיה של GDPR ומתייחסת למקבילות במסגרת חוקי הגנת נתונים רלוונטיים אחרים כמונחים תואמים. כאשר משטר מטיל דרישות נוספות מחייבות (כגון רישום ברשות פיקוח, מינוי נציג מקומי או סעיפים חוזיים ספציפיים), AI92 והלקוח מסכימים לתת תוקף לדרישות אלה באמצעות סעיפי החוזה הסטנדרטיים, תוספת בריטניה או רוכב ספציפי למשטר כפי שמפורט בסעיף העברות נתונים בינלאומיות.

בקר פירושו הצד הקובע את מטרות ואמצעי עיבוד הנתונים האישיים.

מעבד פירושו צד המעבד נתונים אישיים בשם הבקר.

נתונים אישיים של לקוחות פירושם כל נתונים אישיים הכלולים בקלט לקוחות או שנוצרו בקשר לשימוש הלקוח בשירותי ה-API.

מעבד משנה פירושו כל מעבד שאיתו AI92 התקשרה לעבד נתונים אישיים של לקוחות בשם הלקוח, לרבות ספקי האירוח של AI92, מעבד התשלומים וספקי שירותים במורד הזרם.

במערכת היחסים הנשלטת על ידי התנאים ונספח עיבוד הנתונים (DPA) זה, הלקוח הוא הבקר של נתוני הלקוח האישיים ו-AI92 הוא מעבד. AI92 מופעל על ידי Masada Gateway Ltd. אינטגרציות עם פלטפורמות Meta (פייסבוק, אינסטגרם ו-Threads) מסופקות באמצעות Koloxo West Africa Ltd, המפתחת הרשומה של יישומי Meta שלנו, הפועלת כמעבד עבור אינטגרציות אלו מטעם Masada Gateway Ltd.

AI92 עשויה גם לעבד נתונים אישיים מסוימים כבקר נפרד, כולל נתונים הדרושים להפעלת העסק של AI92 (נתוני קשרי לקוחות, נתוני חיוב, אישורי אימות, נתוני ביקורת). התנאים המסדירים עיבוד בקר כזה מתוארים במדיניות הפרטיות של AI92 בכתובת ai92.ai/privacy-policy.

AI92 תעבד נתוני לקוח אישיים רק על פי ההוראות המתועדות של הלקוח, כפי שמפורט בתנאים ובתוספת DPA זו, או כנדרש על פי החוק החל.

אם AI92 נדרשת על פי החוק החל לעבד נתוני לקוח אישיים באופן אחר מזה שהורה הלקוח, AI92 תודיע ללקוח (כאשר הדבר מותר על פי חוק) על דרישה זו לפני העיבוד.

AI92 תבטיח שעובדים המורשים לעבד נתוני לקוח אישיים כפופים לחובות סודיות שאינן פחות מגנות מאלה המפורטות בתנאי השירות.

AI92 תיישם אמצעים טכניים וארגוניים מתאימים כדי להבטיח רמת אבטחה המתאימה לסיכון המוצג על ידי עיבוד נתוני הלקוח האישיים, כולל:

(א) פסאודונימיזציה והצפנה של נתונים אישיים במנוחה ובמעבר;

(ב) היכולת להבטיח את הסודיות, השלמות, הזמינות והחוסן המתמשכים של מערכות עיבוד;

(ג) היכולת לשחזר את הזמינות והגישה לנתונים אישיים באופן מיידי במקרה של תקרית פיזית או טכנית;

(ד) תהליך לבדיקה, הערכה והערכה קבועה של האפקטיביות של אמצעים אלה.

היישום הנוכחי של אמצעים אלה מתואר בתיעוד האבטחה של AI92. דוחות ביקורת SOC 2 של AI92 זמינים ללקוח לפי בקשה בתנאי אי-גילוי.

הלקוח מאשר ל-AI92 להעסיק מעבדי משנה כדי לעבד נתונים אישיים של לקוחות, בכפוף לתנאים הבאים:

(א) AI92 שומרת על רשימה עדכנית של מעבדי משנה בכתובת ai92.ai/sub-processors;

(ב) AI92 תיתן ללקוח הודעה של לפחות שלושים (30) יום על כל הוספה או החלפה של מעבד משנה;

(ג) הלקוח רשאי להתנגד לכל מעבד משנה חדש מסיבות סבירות בתוך חמישה עשר (15) ימים מיום ההודעה - אם לא ניתן לפתור את התנגדות הלקוח, הלקוח רשאי לסיים את שירותי ה-API המושפעים ולקבל החזר יחסי של כל עמלות ששולמו מראש;

(ד) AI92 מטילה חובות הגנת נתונים על כל מעבד משנה שאינן פחות מגנות מאלה שבהסכם DPA זה.

מעבדי משנה ראשוניים כוללים את ספקי האירוח של AI92 (Amazon Web Services, Microsoft Azure, Google Cloud Platform - עבור האזורים והשירותים המתועדים בכתובת ai92.ai/sub-processors), מעבד התשלומים (Stripe, Inc.) ומארח התיעוד (Mintlify, Inc.). הרשימה בכתובת ai92.ai/sub-processors היא הרישום העדכני והסמכותי.

העיבוד של AI92 של נתונים אישיים של לקוחות עשוי לכלול העברה של נתונים אלה מחוץ למדינה שבה הלקוח או נושאי הנתונים מתגוררים. במידה שהעברה כזו מוגבלת על ידי חוקי הגנת מידע רלוונטיים, AI92 מיישמת את מנגנון ההעברה חוצה הגבולות הנדרש על פי חוק השיפוט המקורי או מוכר בו. המנגנונים בסעיף זה חלים על בסיס כל שיפוט ו-AI92 עשויה להסתמך על יותר ממנגנון אחד עבור העברה נתונה.

אירופה ובריטניה. עבור העברות הכפופות ל-GDPR או ל-UK GDPR, הצדדים מאמצים את סעיפי החוזה הסטנדרטיים של הנציבות האירופית (החלטת יישום 2021/914/EU, Module 2 — בקר-למעבד) המשולבים באמצעות הפניה ומושלמים כדלקמן: (i) תקופות הזמן בסעיפים 9 ו-14 של ה-SCC מושלמות בהתאם לספי ההחלה של ה-GDPR; (ii) סעיף העגינה אינו חל על צדדים נוספים ללא הסכמת הלקוח; (iii) נספח I (רשימת הצדדים) מושלם עם פרטי הזיהוי של הלקוח מהרישום ו-AI92 כיבואן נתונים; (iv) נספח II (אמצעים טכניים וארגוניים) מתייחס לתיעוד האבטחה של AI92; ו-(v) נספח III (מעבדי משנה) מתייחס לרשימת מעבדי המשנה המתוחזקת על ידי AI92. עבור העברות במסגרת ה-UK GDPR, הצדדים מאמצים בנוסף את התוספת להעברת נתונים בינלאומית של נציב המידע בבריטניה ל-SCC. כאשר AI92 מחזיקה בהסמכה עדכנית במסגרת מסגרת פרטיות הנתונים בין האיחוד האירופי לארה"ב, מסגרת פרטיות הנתונים בין שוויץ לארה"ב או ההרחבה של בריטניה למסגרת פרטיות הנתונים בין האיחוד האירופי לארה"ב, הצדדים עשויים להסתמך גם על הסמכה זו להעברות לתשתית של AI92 בארצות הברית.

שוויץ. עבור העברות הכפופות ל-FADP השוויצרי, הצדדים מאמצים את ה-SCC כפי שהוכרו על ידי הנציב הפדרלי השוויצרי להגנת מידע ומידע ("FDPIC"), עם ההתאמות שפורסמו על ידי ה-FDPIC עבור ההקשר המשפטי השוויצרי.

אמריקה הלטינית. עבור העברות הכפופות ל-LGPD של ברזיל, הצדדים נותנים תוקף למשטר ההעברה חוצה הגבולות במסגרת סעיפים 33 עד 36 LGPD, כולל הסתמכות (ככל שניתן) על סעיפי חוזה סטנדרטיים שאומצו על ידי Autoridade Nacional de Proteção de Dados ("ANPD") הברזילאית במסגרת החלטה 19/2024, וכל אישור ספציפי שהונפק על ידי ANPD במידת הצורך. עבור העברות הכפופות ל-LFPDPPP של מקסיקו, AI92 מספקת ללקוח את הגילויים הנדרשים על פי סעיף 36 LFPDPPP והתקנה המיישמת, והלקוח מקבל את ההסכמות הנדרשות מנושאי הנתונים. עבור העברות הכפופות לחוק 25.326 של ארגנטינה, לחוק 1581 של קולומביה, לחוק 19.628 של צ'ילה, לחוק 29733 של פרו או למשטרים אחרים של LATAM, AI92 מיישמת את סעיפי החוזה הסטנדרטיים או מנגנון אחר המוכר על ידי רשות הפיקוח של השיפוט הרלוונטי.

אפריקה. עבור העברות הכפופות ל-POPIA של דרום אפריקה, AI92 מבטיחה ציות לסעיף 72 POPIA ומקבלת את הסכמת נושא הנתונים או מסתמכת על בסיס חוקי ישים. עבור העברות הכפופות ל-NDPA של ניגריה, לחוק הגנת הנתונים של קניה או למשטרים אפריקאים אחרים, AI92 מבטיחה ציות לדרישות ההעברה חוצה הגבולות המוטלות על ידי רשות הפיקוח הרלוונטית (כולל ועדת הגנת הנתונים של ניגריה, משרד הנציב להגנת נתונים של קניה, הרגולטור למידע בדרום אפריקה ורגולטורים מקבילים אחרים), ומיישמת את סעיפי החוזה הסטנדרטיים, הסמכה או מנגנון אחר המוכר על ידי רשות זו. AI92 תרשום או תייעד נציג מקומי במידת הצורך ותגיב לפניות של רגולטורים מקומיים בתוך מגבלות הזמן החלות.

אסיה–פסיפיק. עבור העברות הכפופות ל-PIPL של סין, הצדדים מאמצים את החוזה הסטנדרטי להעברה חוצה גבולות יוצאת של מידע אישי שהונפק על ידי מינהל הסייברספייס של סין, משלימים הערכת אבטחה עם ה-CAC כאשר חורגים מספי ההעברה, או מסתמכים על הסמכה המוכרת במסגרת ה-PIPL, לפי העניין. עבור העברות הכפופות ל-DPDPA של הודו, AI92 מגבילה את ההעברות לתחומי שיפוט המותרים על פי ההודעות שהונפקו במסגרת סעיף 16 DPDPA ועומדת בכל תנאי ספציפי המוטל על ידי הכללים. עבור העברות הכפופות לחוק הפרטיות של אוסטרליה, AI92 נוקטת צעדים סבירים במסגרת עקרון הפרטיות האוסטרלי 8 כדי להבטיח שהנמען מעבר לים מטפל במידע האישי באופן עקבי עם ה-APPs. עבור העברות הכפופות ל-APPI של יפן, ל-PIPA של דרום קוריאה, ל-PDPA של סינגפור, ל-PDPA של תאילנד, ל-PDPD של וייטנאם, ל-DPA של הפיליפינים, לחוק ה-PDP של אינדונזיה, ל-PDPA של מלזיה, ל-PDPA של טייוואן, ל-PDPO של הונג קונג או למשטרים אחרים באסיה–פסיפיק, AI92 מיישמת את סעיפי החוזה הסטנדרטיים, הסמכה, מנגנון מספיקות בין ממשלות או מנגנון העברה אחר המוכר על ידי רשות הפיקוח של השיפוט הרלוונטי.

המזרח התיכון. עבור העברות הכפופות ל-UAE PDPL, לחוק הגנת הנתונים של מרכז הכספים הבינלאומי של דובאי, ל-PDPL של ערב הסעודית, לחוק הגנת הפרטיות של ישראל, ל-PDPPL של קטאר, ל-PDPL של בחריין, ל-PDPL של עומאן, ל-PDPL של ירדן, ל-KVKK של טורקיה או למשטרים אחרים במזרח התיכון, AI92 מיישמת את סעיפי החוזה הסטנדרטיים, החלטת מספיקות או מנגנון אחר המוכר על ידי רשות הפיקוח של השיפוט הרלוונטי, ורושמת או מייעדת נציג מקומי במידת הצורך.

אירואסיה ואזורים אחרים. עבור העברות הכפופות לחוק הפדרלי 152-FZ של הפדרציה הרוסית, AI92 מצייתת לדרישות הלוקליזציה של סעיף 18(5) ומקבלת את הסכמת נושא הנתונים בכתב במידת הצורך. עבור העברות הכפופות לחוק קזחסטן על נתונים אישיים, לחוק אוזבקיסטן על נתונים אישיים או לכל חוק הגנת מידע רלוונטי אחר, AI92 מיישמת את מנגנון ההעברה חוצה הגבולות הנדרש על פי חוק השיפוט המקורי או מוכר בו.

כללי. כאשר חוקי הגנת המידע הרלוונטיים של תחום השיפוט של לקוח דורשים מנגנון העברה ספציפי, סעיפי חוזה או הגשה רגולטורית שאינם מפורטים במפורש לעיל, AI92 תבצע או תיישם, על פי בקשה סבירה של הלקוח ועל חשבון הלקוח (אם בכלל), את התיעוד הנוסף הנדרש באופן סביר כדי לתת תוקף למנגנון זה. AI92 עוקבת אחר התפתחויות רגולטוריות ברחבי העולם ומעדכנת את מנגנוני ההעברה לעיל כאשר דרישות חדשות נכנסות לתוקף.

AI92 תודיע ללקוח באופן מיידי, במידה שהדבר מותר מבחינה חוקית, אם AI92 תקבל בקשה מנושא נתונים לקבלת גישה, תיקון, מחיקה, הגבלת עיבוד, ניידות או התנגדות (בקשת נושא נתונים). AI92 לא תגיב לבקשת נושא נתונים כזו אלא בהתאם להוראות הלקוח, אלא אם כן נדרש על פי החוק החל.

AI92 תספק ללקוח מידע וסיוע סבירים כפי שהלקוח עשוי לדרוש כדי לאפשר ללקוח להגיב לבקשת נושא נתונים, לרבות על ידי מתן או הקלה על מתן ייצוא נתונים.

AI92 תודיע ללקוח ללא דיחוי בלתי סביר, ובכל מקרה תוך שבעים ושתיים (72) שעות מרגע שנודע לה על הפרת נתונים אישיים כלשהי המשפיעה על נתונים אישיים של לקוחות.

ההודעה תכלול, ככל שידוע אז: (א) תיאור של אופי ההפרה, לרבות קטגוריות הנתונים האישיים ומספר משוער של נושאי הנתונים שנפגעו; (ב) ההשלכות הסבירות; (ג) האמצעים שננקטו או שהוצעו כדי לטפל בהפרה; ו-(ד) השם ופרטי הקשר של קצין הגנת הנתונים או נקודת קשר אחרת לקבלת מידע נוסף.

לפי בקשה, AI92 תספק סיוע סביר ללקוח בכל הערכת השפעה על הגנת נתונים או התייעצות מוקדמת עם רשויות פיקוח שהלקוח נדרש לבצע במסגרת סעיף 35 ל-GDPR או הוראות אנלוגיות של חוק הגנת הנתונים של LATAM.

עם סיום התנאים, AI92 תחזיר או תמחק את הנתונים האישיים של הלקוח, לפי בחירת הלקוח, בכפוף לשמירה כנדרש על פי החוק החל וכמותר על פי תוספת זו.

AI92 רשאית לשמור נתונים אישיים של לקוחות רק כנדרש על פי החוק החל (לרבות חובות תיעוד מס), או כפי שמותר על פי תוספת זו, לתקופת השמירה של יומן הביקורת המפורטת במדיניות הפרטיות, או לתקופת השמירה של ספר אשראי המפורטת במדיניות הפרטיות.

הלקוח (או מבקר צד שלישי עצמאי המקובל באופן סביר על AI92, המחויב בהתחייבויות סודיות) רשאי לבדוק את עמידתה של AI92 בתוספת זו לא יותר מפעם אחת בכל תקופה של שנים-עשר חודשים, בהודעה מוקדמת בכתב של שלושים (30) יום לפחות, במהלך שעות העבודה הרגילות של AI92 ועל חשבון הלקוח.

במקום ביקורת באתר, AI92 עשויה לספק ללקוח את דוחות ביקורת SOC 2 העדכניים שלה, דוחות בדיקות חדירה ואישורים רלוונטיים אחרים של צד שלישי. הלקוח יקבל אותם כמספקים את זכויות הביקורת שלו, אלא אם כן הם אינם מתייחסים לחששות הסבירים של הלקוח.

DPA זה כפוף לאותו חוק כמו תנאי השירות, אלא אם כן חוק חובה להגנת נתונים מחייב חוק חל אחר.

במקרה של סתירה בין התנאים לבין DPA זה, DPA זה שולט ביחס לעיבוד נתונים אישיים.

אם אתה לקוח Enterprise עם הסכם שירותים ראשי (MSA), תנאי ה-DPA עשויים להשתנות על ידי ה-MSA שלך. במקרה של סתירה, ה-MSA שולט.

אם יש לך שאלות בנוגע לנספח עיבוד נתונים זה, אנא צור איתנו קשר:

• לבירורים כלליים: [email protected]
• לבירורים בנושא הגנת מידע ופרטיות: [email protected]
• לנושאים משפטיים: [email protected]