Data Processing Agreement (DPA)
תאריך עדכון: נובמבר 2026 | גרסה 1.0
כתובת רשימת ספקי המשנה: https://cligal.com/subprocessors
1. הצדדים ואישור ההסכם
1.1 הסכם זה לעיבוד מידע אישי (להלן: "ה-DPA") נערך בין קליגל-טק בע"מ, ח.פ. 51-620798-2, מרחוב ראול ולנברג 24, תל אביב-יפו (להלן: "החברה"), לבין כל לקוח עסקי המקבל את שירותי החברה ומאשר את ה-DPA בהתאם לסעיף זה (להלן: "הלקוח").
1.2 "הלקוח" הוא התאגיד או העסק שפרטיו מופיעים בחשבון הלקוח, בהזמנה או בהסכם העיקרי עם החברה. מי שמבצע את ההזמנה או את ההרשמה לשירות בשם הלקוח מצהיר שהוא מוסמך לחייב את הלקוח בתנאי ה-DPA.
1.3 ה-DPA יחול כאשר החברה מעבדת מידע אישי עבור הלקוח במסגרת שירותי החברה, כמפורט בהסכם העיקרי ובנספח א'. ה-DPA מהווה חלק מההסכם העיקרי ויש לקרוא אותו יחד עמו.
1.4 ה-DPA מהווה חלק מתנאי השימוש בשירות, ונכנס לתוקף במועד שבו הלקוח אישר את תנאי השימוש במסגרת ההזמנה או ההרשמה לשירות. מועד האישור וגרסת ה-DPA שאושרה מתועדים ברשומת ההזמנה או החשבון של הלקוח. עצם הגלישה באתר או השימוש בשירות, ללא הודעה ואישור מתועדים, לא יהוו כשלעצמם אישור ל-DPA.
1.5 במקרה של סתירה בין ה-DPA לבין ההסכם העיקרי, יגבר ה-DPA ביחס לעיבוד מידע אישי שהחברה מבצעת עבור הלקוח. יתר תנאי ההסכם העיקרי ימשיכו לחול.
2. הגדרות
2.1 "הדין החל" – חוק הגנת הפרטיות, התשמ"א-1981, התקנות שהותקנו מכוחו וכל דין אחר החל על עיבוד המידע, כפי שיעודכנו מעת לעת.
2.2 "מידע אישי", "עיבוד", "מאגר מידע", "בעל שליטה" ו"מחזיק" יהיו כמשמעותם בדין החל.
2.3 "מידע הלקוח" – מידע אישי שהלקוח או משתמש מטעמו מעלים, מזינים, מסנכרנים או מעמידים לרשות השירות, וכן מידע אישי שאליו החברה מקבלת גישה במסגרת מתן השירות עבור הלקוח.
2.4 "ספק משנה" – ספק חיצוני שהחברה נעזרת בו לצורך עיבוד מידע הלקוח או לצורך אספקת רכיב בשירות הכרוך בגישה למידע הלקוח.
2.5 מונחים שלא הוגדרו ב-DPA יפורשו בהתאם לדין החל ולתנאי ההסכם העיקרי.
3. תפקידי הצדדים והוראות עיבוד
3.1 ככל שהלקוח קובע את מטרות עיבוד מידע הלקוח ואת אמצעיו, הלקוח יפעל כבעל השליטה והחברה תפעל כמחזיקה המעבדת מידע עבור הלקוח. הקביעה תיעשה לפי פעילות הצדדים בפועל ולפי הדין.
3.2 הלקוח אחראי לכך שיש לו סמכות חוקית למסור את מידע הלקוח לחברה ולהורות על עיבודו, וכי ניתנו לנושאי המידע הודעות מתאימות והתקבלו הסכמות, הרשאות או בסיס חוקי אחר, ככל שנדרש.
3.3 הלקוח יקבע את מטרות עיבוד מידע הלקוח ואת היקפו וייתן לחברה הוראות מתועדות התואמות את הדין. ההוראות הראשוניות יהיו ההסכם העיקרי, ה-DPA, הגדרות השירות, הגדרות החשבון והוראות נוספות שנמסרו לחברה באופן מתועד.
3.4 החברה תעבד את מידע הלקוח בהתאם להוראות הלקוח ול-DPA. אם החברה סבורה שהוראה מסוימת אינה מתיישבת עם הדין החל, היא תודיע על כך ללקוח, ככל שהדין מתיר זאת. החברה לא תהיה חייבת לבצע הוראה שאינה חוקית.
3.5 אם ביחס לסוג מידע או למטרת עיבוד מסוימים החברה קובעת מטרות עצמאיות או שהצדדים קובעים את המטרות יחד, הצדדים יתעדו את חלוקת התפקידים והאחריות בנספח א' או במסמך מתועד אחר.
3.6 מידע אישי שהחברה מעבדת למטרותיה העצמאיות, כגון פרטי חשבון, חיוב, ניהול הקשר עם הלקוח, מניעת הונאה, אבטחת השירות או עמידה בדרישות דין, לא ייחשב מידע הלקוח ביחס לאותן מטרות. החברה תעבד מידע זה בהתאם לדין ולמסמכי הפרטיות החלים עליו.
4. התחייבויות החברה
4.1 החברה תעבד את מידע הלקוח רק לצורך אספקת השירות, אבטחתו, תחזוקתו, תמיכה בהתאם להרשאה, קיום הוראות הלקוח או כפי שנדרש לפי דין.
4.2 החברה לא תשתמש במידע הלקוח לפרסום, שיווק, מכירה, יצירת פרופילים או אימון מודלים של בינה מלאכותית, אלא אם הלקוח אישר זאת מראש ובכתב והעיבוד מותר לפי דין.
4.3 החברה תוודא שאנשים מטעמה המורשים לגשת למידע הלקוח כפופים לחובת סודיות מתאימה, יקבלו גישה לפי הצורך לתפקידם בלבד ויקבלו הדרכה מתאימה בנוגע לחובותיהם.
4.4 החברה תיישם ותשמור אמצעי אבטחה בהתאם לדין החל, לאופי המידע, להיקף העיבוד ולסיכונים הרלוונטיים, כמפורט בנספח ג'. החברה תבחן ותעדכן את אמצעי האבטחה לפי הצורך.
4.5 החברה תסייע ללקוח, במידה סבירה ובהתחשב באופי העיבוד ובמידע הזמין לה, במילוי חובותיו לפי דין הנוגעות לעיבוד מידע הלקוח.
4.6 אם הסיוע המבוקש מחייב עבודה חריגה שאינה כלולה בשירות, החברה תעדכן את הלקוח מראש בדבר היקף הסיוע ועלותו, ותקבל את אישור הלקוח לפני ביצועה, למעט טיפול דחוף הנדרש למניעת נזק או לקיום חובה לפי דין.
4.7 אם החברה תקבל ישירות בקשה מנושא מידע הנוגעת למידע הלקוח, היא תעביר אותה ללקוח ללא עיכוב בלתי סביר, ככל שהדין מתיר זאת. החברה לא תשיב לבקשה לגופה אלא לפי הוראת הלקוח או ככל שהיא מחויבת לכך לפי דין.
4.8 החברה לא תהיה אחראית לבחירת הלקוח להעלות לשירות מידע מסוים, לבסיס החוקי של איסופו או להוראות הלקוח, אך אין בכך לגרוע מחובות החברה לפי דין או לפי ה-DPA.
5. ספקי משנה
5.1 הלקוח נותן לחברה הרשאה כללית להסתייע בספקי משנה לצורך אספקת השירות, בכפוף להוראות סעיף זה. רשימת ספקי המשנה, תיאור השירותים ומדינות העיבוד הידועות לחברה יפורסמו ויתעדכנו באתר החברה בהתאם.
5.2 לפני מתן גישה למידע הלקוח לספק משנה, החברה תבחן את סיכוני אבטחת המידע הרלוונטיים ותתקשר עם ספק המשנה בהסכם המחייב אותו בהגנה על המידע, בסודיות ובהגבלת מטרות השימוש, וכן בהתחייבויות מתאימות ל-DPA ככל שהן רלוונטיות לשירות שהוא מספק.
5.3 החברה תישאר אחראית כלפי הלקוח לקיום התחייבויותיה לפי ה-DPA ביחס לפעולות ספקי המשנה, בכפוף לדין ולהוראות ההסכם העיקרי.
5.4 לפי בקשה סבירה של הלקוח, החברה תמסור מידע עדכני על ספקי המשנה המעבדים מידע הלקוח, השירות שהם מספקים, סוגי המידע שאליהם הם עשויים לקבל גישה ומדינות העיבוד או האחסון הידועות לחברה. החברה רשאית שלא למסור פרטים מסחריים סודיים או פרטים המהווים סיכון אבטחתי, אלא ככל שנדרש לפי דין.
6. העברה או גישה מחוץ לישראל
6.1 מיקומי האחסון, העיבוד והגישה למידע הלקוח, לרבות באמצעות ספקי משנה, יפורטו בנספח ב' או ברשימת ספקי המשנה העדכנית.
6.2 החברה לא תוסיף מדינת עיבוד או גישה מהותית למידע הלקוח בלי להודיע ללקוח ולעדכן את רשימת ספקי המשנה או את נספח ב', בכפוף לסעיף 5.
6.3 העברת מידע אישי מחוץ לישראל או מתן גישה אליו מחוץ לישראל ייעשו רק אם הדבר מותר לפי הדין החל ולאחר שננקטו ההתחייבויות וההגנות הנדרשות ביחס למקבל ולהעברות נוספות, ככל שהן נדרשות.
6.4 אישור הלקוח לספקים או למדינות המפורטים בנספח ב' אינו פוטר מי מהצדדים מחובותיו לפי דין.
7. אירועי אבטחה
7.1 "אירוע אבטחה" – אירוע שיש בו חשש לפגיעה בשלמות מידע הלקוח, לשימוש בו ללא הרשאה או לחריגה מהרשאה, או אירוע אחר הנוגע למידע הלקוח ומחייב פעולה לפי הדין או ה-DPA.
7.2 החברה תודיע ללקוח ללא עיכוב בלתי סביר ובכפוף לזמן הנדרש לחברה לבירור העובדות הראשוניות מהמועד שבו נודע לה בוודאות אודות אירוע אבטחה הנוגע למידע הלקוח או על חשש סביר לאירוע כאמור. ההודעה הראשונית תימסר גם אם מלוא פרטי האירוע טרם התבררו.
7.3 ההודעה תישלח לפרטי קשר מעודכנים שמסר הלקוח לחברה באופן מתועד.
7.4 ככל שהמידע זמין לחברה, ההודעה תכלול תיאור האירוע, סוגי המידע והיקפם המשוער, מועד האירוע או גילויו, השלכות ידועות או צפויות, פעולות בלימה ותיקון שבוצעו ופרטי איש קשר. החברה תמסור עדכונים נוספים ותשתף פעולה עם הלקוח בבירור האירוע, בצמצום נזקיו ובתיעודו.
7.5 החברה לא תמסור הודעה לנושאי מידע, לרשות או לצד שלישי אחר בשם הלקוח, אלא לפי הוראת הלקוח או ככל שהיא מחויבת לכך לפי דין. אין בכך כדי לגרוע מחובה ישירה החלה על החברה לפי דין.
8. ייצוא, שמירה ומחיקת מידע
8.1 תקופות השמירה, אפשרויות הייצוא ומחזורי הגיבוי של מידע הלקוח יפורטו בנספח א'.
8.2 במהלך תקופת ההתקשרות, הלקוח יהיה רשאי לייצא את מידע הלקוח באמצעות ממשקי התוכנה הזמינים לו, בהתאם ליכולות השירות. הלקוח אחראי לייצא מידע שהוא מבקש לשמור לפני תום תקופת הייצוא שנקבעה בסעיף 8.3, אלא אם הוסכם אחרת בכתב.
8.3 לאחר סיום השירות, הלקוח יהיה רשאי לבקש ייצוא של מידע הלקוח בתוך 30 ימים ממועד הסיום. החברה תאפשר את הייצוא באמצעות ממשקי התוכנה או בדרך סבירה אחרת הזמינה לה. לאחר תום התקופה, תחול מחיקה בהתאם לסעיף 8.4.
8.4 החברה תמחק או תשמיד מידע הלקוח המצוי במערכות הפעילות בתוך 30 ימים מתום תקופת הייצוא או ממועד קבלת הוראת מחיקה תקפה מהלקוח, לפי העניין, אלא אם הוסכם אחרת בכתב או שהדין מחייב שמירת מידע מסוים.
8.5 אם מידע מסוים נשמר מכוח חובה חוקית או לצורך הגנה מפני תביעה, החברה תגביל את הגישה אליו ואת השימוש בו למטרה הנדרשת בלבד. ככל שהדין מתיר זאת, החברה תמסור ללקוח את סוג המידע שנשמר, בסיס השמירה ותקופת השמירה.
8.6 מידע הלקוח המצוי בגיבויים יימחק או יידרס במחזור הגיבוי הרגיל, שלא יעלה על 90 ימים ממועד מחיקתו ממערכות פעילות. עד למחיקתו, המידע שבגיבויים יישמר באופן מוגן ולא ישמש למטרות שוטפות. אם מידע כאמור יוחזר למערכת פעילה בעקבות שחזור, החברה תפעל למחיקתו בהתאם לסעיף זה, ככל שהדבר אפשרי מבחינה טכנית.
8.7 לפי בקשה סבירה של הלקוח, החברה תמסור אישור בכתב על השלמת מחיקת מידע הלקוח ממערכות פעילות, בכפוף לחריגים ולתקופות השמירה שבסעיף זה ובנספח א'.
9. תיעוד ובקרה
9.1 לפי בקשה סבירה של הלקוח ולא יותר מפעם אחת בשנה, החברה תמסור מידע הדרוש להוכחת קיום התחייבויותיה לפי ה-DPA, כגון תיאור אמצעי אבטחה, מענה לשאלון אבטחת מידע או דוח ביקורת זמין, בכפוף לחובות סודיות, להגנת מידע של לקוחות אחרים ולהגנת סודות מסחריים.
9.2 אם המידע שנמסר לפי סעיף 9.1 אינו מספיק באופן סביר לבדיקת קיום התחייבויות החברה, הצדדים יפעלו תחילה לביצוע בדיקה באמצעות מסמכים, שאלונים, דוחות ביקורת או אמצעי ביקורת מרחוק.
9.3 אם אמצעים אלה אינם מספיקים באופן סביר, או בעקבות אירוע אבטחה מהותי או דרישה של רשות מוסמכת, רשאי הלקוח לבקש ביקורת נוספת שתוגבל לעיבוד מידע הלקוח. ביקורת באתר החברה או אצל ספק רלוונטי תיערך בתיאום מראש, בשעות עבודה סבירות, בכפוף לחובת סודיות, להגנה על מידע של לקוחות אחרים ולמניעת הפרעה בלתי סבירה לפעילות.
9.4 ביקורת לא תקנה ללקוח גישה ישירה למידע של לקוחות אחרים או לקוד המקור של החברה. ניתן להסתייע במבקר עצמאי הכפוף לחובת סודיות ואינו מתחרה של החברה.
9.5 הלקוח יישא בעלויות סבירות של ביקורת מיוחדת שביקש, אלא אם הביקורת העלתה הפרה מהותית של ה-DPA או של הדין על ידי החברה; במקרה כזה הצדדים ידונו בחלוקת העלויות באופן הוגן.
10. אחריות והגבלת עיבוד
10.1 הלקוח אחראי לחוקיות איסוף מידע הלקוח, למסירתו לחברה, להוראות שהוא נותן לחברה ולניהול המשתמשים המורשים מטעמו.
10.2 החברה אחראית לעיבוד שהיא מבצעת בפועל ולמילוי התחייבויותיה לפי ה-DPA ולפי הדין החל עליה.
10.3 ה-DPA אינו מרחיב או מצמצם את הוראות האחריות, השיפוי והגבלת האחריות שבהסכם העיקרי, למעט ככל שנקבע בו במפורש או ככל שהדין אינו מאפשר התניה כאמור.
11. תקופה, סיום ועדכונים
11.1 ה-DPA ייכנס לתוקף לאחר אישורו המתועד בידי הלקוח, ויחול כל עוד החברה מעבדת מידע הלקוח עבור הלקוח.
11.2 עם סיום העיבוד יחולו הוראות סעיף 8 לעניין ייצוא, שמירה ומחיקה וכן כל הוראה שמטבעה נועדה להוסיף ולחול לאחר הסיום.
11.3 החברה רשאית לעדכן את ה-DPA מטעמים של שינוי דין, שינוי בשירות או שינוי באמצעי האבטחה. החברה תמסור ללקוח הודעה מתועדת על עדכון מהותי לפחות 30 ימים לפני מועד כניסתו לתוקף, למעט עדכון שנדרש בדחיפות כדי לעמוד בדין או לטפל בסיכון אבטחתי.
11.4 עדכון מהותי לא ייכנס לתוקף ביחס ללקוח קיים על סמך פרסום באתר בלבד. החברה תמסור ללקוח הודעה ותאפשר לו, אם העדכון פוגע בו באופן מהותי, לסיים את השירות המושפע לפני מועד כניסת העדכון לתוקף, בהתאם להוראות ההסכם העיקרי. המשך תחולת העדכון ייקבע בהתאם להסכם העיקרי ולהסכמת הצדדים.
12. דין וסמכות שיפוט
12.1 על ה-DPA יחול דין מדינת ישראל.
12.2 סמכות השיפוט בכל מחלוקת בקשר ל-DPA תהיה לבית המשפט המוסמך במחוז תל אביב-יפו, בכפוף להוראות ההסכם העיקרי ולהוראות דין שאינן ניתנות להתניה.
נספח א' – פרטי העיבוד והוראות הלקוח
1. השירות והמוצר
תוכנת החברה במותג Cligal והשירותים הנלווים שנרכשו או הופעלו עבור הלקוח, כפי שמתועדים בחשבון הלקוח, בהזמנה או בהסכם העיקרי.
רכיבי הענן של השירות (Cligal Web App): ניהול תיקים, לקוחות ואנשי קשר, משימות ויומן, רישום שעות וחיוב, שאלונים דיגיטליים, שליחת מסמכים לחתימה דיגיטלית, סנכרון מסמכים מנט המשפט ויכולות בינה מלאכותית.
רכיבים מקומיים (אפליקציית Cligal לשולחן העבודה ותוספי Word ו-Outlook): עריכת מסמכים, הכנת נספחים, מחולל טפסים, חתימה דיגיטלית מקומית וסנכרון מנט המשפט באמצעות הכרטיס החכם של הלקוח. רכיבים אלה פועלים על מחשבי הלקוח. מידע המעובד ברכיבים המקומיים בלבד אינו מועבר לחברה והחברה אינה מחזיקה בו, למעט מידע שהלקוח בוחר לסנכרן לרכיבי הענן או לשלוח באמצעותם.
קבצי התיק: מסמכי התיקים נשמרים באחסון הענן של הלקוח (כגון Google Drive, Microsoft OneDrive או SharePoint, Dropbox או iManage), שהלקוח בוחר ומחבר לשירות. החברה ניגשת לקבצים אלה באמצעות הרשאה שהלקוח מעניק (OAuth) ובמידה הנדרשת לפעולת השירות. בתשתית החברה נשמרים מטא-דאטה של התיקים, וכן מסמכים שנשלחו לחתימה דיגיטלית, מסמכים שסונכרנו מנט המשפט, תשובות לשאלונים דיגיטליים, חשבוניות וקבלות הוצאות.
2. החברה המספקת את השירות
קליגל-טק בע"מ, ח.פ. 51-620798-2. אם השירות מסופק בפועל על ידי תאגיד אחר, זהותו תצוין בהזמנה או בהסכם העיקרי.
3. תפקידי הצדדים
ביחס למידע שהלקוח קובע את מטרות עיבודו ואמצעיו, הלקוח הוא בעל השליטה והחברה היא מחזיקה, בכפוף לפעילות בפועל ולדין החל.
מידע או מטרות שלגביהם החברה פועלת בתפקיד אחר: אין, לאחר בדיקה, למעט מידע שהחברה מעבדת למטרותיה העצמאיות כמפורט בסעיף 12 לנספח זה.
4. נושאי המידע
משתמשי הקצה של התוכנה, עובדי הלקוח, לקוחות הלקוח, צדדים לתיקים, אנשי קשר, ספקים וכל אדם אחר שפרטיו או מסמכיו מועלים לשירות על ידי הלקוח או משתמש מטעמו.
5. סוגי המידע
מידע אישי שעשוי להיכלל בקבצים, במסמכים או במידע שמעלה הלקוח, לרבות נתוני זיהוי ויצירת קשר, שמות, מספרי טלפון, כתובות דוא"ל, מסמכים משפטיים או עסקיים, פרטי תיקים ומידע אחר שהלקוח בוחר להזין או להעלות.
בהתאם לתוכן שהלקוח מעלה, המידע עשוי לכלול מידע בעל רגישות מיוחדת או מידע שחלה עליו חובת סודיות. הלקוח אחראי לבחון את חוקיות העלאת המידע ואת התאמת השימוש בשירות לדרישות החלות עליו.
6. מטרות ואופי העיבוד
אירוח, אחסון, ארגון, סנכרון, גיבוי, הצגה, אחזור, אבטחה, תחזוקה ותפעול שוטף של השירות. גישה לתוכן מידע הלקוח על ידי צוות החברה תיעשה רק במידה הנחוצה לתמיכה טכנית, תחזוקה או טיפול בקריאת שירות ובהתאם לסעיפים 3 ו-4 ל-DPA.
7. תקופת העיבוד
תקופת ההתקשרות לפי ההסכם העיקרי, בתוספת תקופות הייצוא, המחיקה והשמירה שנקבעו בסעיף 8 ל-DPA.
8. ייצוא מידע
הלקוח רשאי לייצא את מידע הלקוח באמצעות ממשקי התוכנה במהלך תקופת ההתקשרות ובתוך 30 ימים לאחר סיומה. פורמט הייצוא, הממשקים הזמינים ומגבלות טכניות מהותיות: ייצוא רשימות ונתונים מהמערכת לקובצי Excel (לרבות דוחות שעות וחיוב ותשובות לשאלונים), והורדת חשבוניות ומסמכים מנט המשפט כקובצי ZIP. מסמכי התיקים נשמרים באחסון הענן של הלקוח ונגישים לו ישירות.
9. מחיקה ממערכות פעילות
בתוך 30 ימים מתום תקופת הייצוא או ממועד קבלת הוראת מחיקה תקפה מהלקוח, לפי העניין, בכפוף ל-DPA ולחובות שמירה לפי דין.
10. מחיקה מגיבויים
בתוך 90 ימים ממועד מחיקת המידע ממערכות פעילות, בכפוף למחזור הגיבויים הרגיל ולסעיף 8 ל-DPA.
11. אנשי קשר
איש קשר מטעם החברה לעניין פרטיות ואבטחת מידע:
כתובת דוא"ל: Top-privacy@Top-Group.co.il
טלפון: 03-7667777
הפרטים המעודכנים בחשבון הלקוח או פרטים אחרים שהלקוח מסר לחברה באופן מתועד.
כתובת החברה לדיווח על אירוע אבטחה:
Top-privacy@Top-Group.co.il
12. מידע שהחברה מעבדת למטרותיה העצמאיות
סוגי המידע, מטרות העיבוד, תקופות השמירה והספקים החלים על מידע כאמור יפורטו במדיניות הפרטיות החלה על השירות, בכפוף לדין. פרטים מיוחדים הנוגעים למוצר: נתוני שימוש באפליקציה לצורך אנליטיקה ושיפור השירות; פרטי אנשי הקשר של הלקוח לניהול הקשר עמו ולשיווק; ונתוני חיוב וסליקה.
נספח ב' – ספקי משנה, מיקומי עיבוד והעברות
החברה תנהל ותפרסם רשימה עדכנית של ספקי משנה המעבדים מידע הלקוח בכתובת:
https://cligal.com/subprocessors
הרשימה תכלול, ככל שהמידע זמין ורלוונטי, את שם הספק, השירות שהוא מספק, סוגי המידע שאליהם עשויה להיות לו גישה, מדינות אחסון ועיבוד ומדינות שמהן עשויה להינתן גישה מרחוק.
ספק תשתית ענן
שם מסחרי: Amazon Web Services (AWS)
שירות: אירוח שרתי התוכנה ובסיסי הנתונים (Amazon EKS ו-EC2), אחסון קבצים וגיבויים (Amazon S3) ושליחת דוא"ל מערכתי (Amazon SES).
סוגי מידע שאליהם עשויה להיות גישה: מידע הלקוח המאוחסן או מעובד בתשתית בהתאם לשירות ולהרשאות.
תפקיד הספק ביחס למידע: ספק תשתית ומעבד משנה, ככל שהוא מעבד מידע אישי עבור החברה.
אזור AWS ומדינת אחסון של סביבת הייצור: il-central-1 (תל אביב), ישראל.
אזור ומדינת אחסון של גיבויים והתאוששות: il-central-1 (תל אביב), ישראל.
מדינות עיבוד או גישה מרחוק: ישראל. הגישה לסביבת הייצור ניתנת לצוות החברה בישראל בלבד.
תתי-ספקים או העברות המשך רלוונטיים: בהתאם לרשימת ספקי המשנה של AWS, המתפרסמת באתר AWS.
הסכם והתחייבויות בכתב: AWS Customer Agreement ו-AWS Data Processing Addendum, המשולבים בתנאי השירות של AWS. החשבון מנוהל במסגרת ארגון Top-Group.
הסדר העברה מחוץ לישראל והתחייבות המקבל, ככל שנדרשים לפי דין: לא נדרש. המידע מאוחסן ומעובד בישראל.
ספקים נוספים
ספקים נוספים המעבדים מידע הלקוח או עשויים לקבל אליו גישה:
OpenAI, L.L.C. (ארה"ב). שירות: עיבוד טקסט ומסמכים באמצעות מודלי שפה, עבור יכולות הבינה המלאכותית בשירות (עוזר AI, סיווג וסידור מסמכים). סוגי מידע: תוכן הטקסט והמסמכים שהמשתמש מעביר ליכולת. העיבוד נעשה באמצעות ממשק API, ולפי תנאי OpenAI מידע זה אינו משמש לאימון מודלים. מדינת עיבוד: ארה"ב.
LizzyAI בע"מ (ישראל). שירות: ניתוח החלטות ומסמכים משפטיים שסונכרנו מנט המשפט. סוגי מידע: תוכן ההחלטות והמסמכים. מדינת עיבוד: ישראל. הסכם: הסכם אינטגרציה מיום 20.7.2026.
Twilio Inc. (ארה"ב). שירות: שליחת הודעות WhatsApp לפי בקשת המשתמש (קישורים לחתימה דיגיטלית ולשאלונים). סוגי מידע: מספר טלפון, שם ותוכן ההודעה. מדינת עיבוד: ארה"ב.
Soprano (ישראל). שירות: שליחת הודעות SMS לפי בקשת המשתמש. סוגי מידע: מספר טלפון ותוכן ההודעה. מדינת עיבוד: ישראל.
Functional Software, Inc. – Sentry (ארה"ב). שירות: ניטור שגיאות טכניות. השירות מוגדר כך שאינו מקבל את תוכן הבקשות ופרטי משתמשים, אך עשוי לקבל מזהים טכניים. מדינת עיבוד: ארה"ב.
Paperform Pty Ltd. שירות: הצגת טפסי השאלונים הדיגיטליים ללקוחות הלקוח ואיסוף התשובות. התשובות מועברות מיד לחברה ואינן נשמרות ב-Paperform. קבצים שמועלים במסגרת השאלון נשמרים בתשתית החברה ב-Amazon S3 (תל אביב). סוגי מידע: תשובות לשאלונים ופרטי מילוי. שמירת התשובות ב-Paperform כבויה, והן מוחזקות באופן זמני בלבד (בדרך כלל פחות מדקה) לצורך העברתן לחברה. מדינת עיבוד: ארה"ב (שרתי AWS).
שירותים שהלקוח בוחר לחבר
השירותים הבאים מופעלים לפי בחירת הלקוח ובהרשאתו. הם ספקים של הלקוח ואינם ספקי משנה של החברה, והעברת מידע אליהם נעשית לפי הוראת הלקוח:
אחסון קבצים, דוא"ל ויומן: Google (Drive, Gmail, Calendar), Microsoft (OneDrive, SharePoint, Outlook, Teams), Dropbox ו-iManage.
הפקת חשבוניות: מורנינג (חשבונית ירוקה), iCount, יש חשבונית, EZcount וריווחית, וכן ממשק רשות המסים.
פגישות וידאו: Zoom.
כלי בינה מלאכותית שהלקוח מחבר לחשבונו באמצעות הרשאה (OAuth או MCP), כגון LizzyAI, Claude ו-ChatGPT.
נספח ג' – אמצעי אבטחה
החברה תיישם את אמצעי האבטחה המפורטים להלן, בהתאם לדין ולמאפייני השירות.
1. הצפנה בתעבורה
תקשורת בין דפדפן הלקוח לבין שרתי השירות תוגן באמצעות HTTPS/TLS או פרוטוקול מאובטח מקביל. מידע המועבר ברשת ציבורית או באינטרנט יועבר באמצעי הצפנה מקובלים.
ממשקים וחריגים: כל ממשקי השירות, לרבות הממשק בין אפליקציית שולחן העבודה לשרתי החברה, מוגנים ב-HTTPS/TLS. התקשורת בין רכיבי השרת מתבצעת ברשת הפרטית של סביבת הייצור.
2. הצפנה במנוחה
הצפנת קבצים וגיבויים: קבצים המאוחסנים ב-Amazon S3, לרבות גיבויי בסיס הנתונים, מוצפנים במנוחה.
אלגוריתם הצפנה: AES-256.
ניהול מפתחות והרשאות גישה למפתחות: המפתחות מנוהלים על ידי AWS (Amazon S3 managed keys), והגישה לנתונים מוגבלת באמצעות הרשאות IAM.
3. ניהול הרשאות
הגישה למערכות הניהול תוגבל לאנשי צוות מורשים ולפי הצורך לתפקידם בלבד.
הרשאות יינתנו, ייבדקו ויבוטלו בהתאם לתהליכי החברה. אימות רב-שלבי מופעל בחשבון AWS (באמצעות כניסה מרוכזת – SSO), בממשקי הניהול של סביבת הייצור, במאגר הקוד ובחשבונות הדוא"ל הארגוניים. הגישה לסביבת הייצור מוגבלת לצוות הפיתוח, לממונה על הגנת הפרטיות ולמנכ"ל, ומבוטלת עם סיום תפקיד באמצעות מערכת ניהול המשתמשים המרכזית.
4. גישת תמיכה ותחזוקה
גישה לתוכן מידע הלקוח לצורכי תמיכה או תחזוקה תוגבל לצורך ולמשך הזמן הדרושים, ותינתן בהתאם להרשאה מתאימה של הלקוח או משתמש מטעמו, ככל שהדבר אפשרי מבחינה טכנית. החברה תנקוט אמצעים סבירים לתיעוד גישה כאמור.
אופן ההרשאה, התיעוד והחריגים: גישה מרחוק לעמדות הלקוח לצורכי תמיכה נעשית באמצעות TeamViewer, ורק לאחר אישור הלקוח לכל חיבור. לחברה אין גישה לכרטיס החכם של הלקוח. קבצים או מידע של הלקוח נמסרים לחברה לצורך בדיקה רק ביוזמת הלקוח.
5. גיבויים והתאוששות
החברה תפעיל גיבויים תקופתיים לצורך התאוששות בהתאם לתצורת השירות.
תדירות הגיבוי: גיבוי מלא יומי של בסיס הנתונים, וגיבוי רציף של יומן הפעולות המאפשר שחזור לנקודת זמן (Point-in-Time Recovery).
מיקום גיבויים: Amazon S3, אזור il-central-1 (תל אביב), בדלי ייעודי לגיבויים.
תקופת שמירת גיבויים: 14 הגיבויים היומיים האחרונים נשמרים, וגיבויים ישנים יותר נמחקים אוטומטית. בכל מקרה, מידע שנמחק ממערכות פעילות יימחק מהגיבויים לא יאוחר מ-90 ימים ממועד מחיקתו.
אמצעי הצפנה והגבלת גישה: הגיבויים מוצפנים (AES-256), והגישה אליהם מוגבלת למשתמש שירות ייעודי ולמנהלי המערכת.
בדיקות שחזור: בדיקת שחזור מתועדת של גיבוי בסיס הנתונים לסביבה נפרדת, אחת לחצי שנה.
6. תיעוד ובקרה
החברה תפעיל תהליכי תיעוד ובקרה בהתאם לדרישות הדין ולמאפייני השירות.
סוגי גישה ואירועים המתועדים: פעולות יצירה, עדכון ומחיקה של רשומות במערכת, שגיאות מערכת, ופעולות ניהוליות בחשבון AWS (AWS CloudTrail).
תהליך בדיקת לוגים וטיפול בהתראות: התראות אוטומטיות על עומס ותקלות בשרתים ועל שגיאות יישום, הנבדקות על ידי צוות הפיתוח.
תקופת שמירת נתוני אבטחה: יומני היישום נשמרים 30 ימים. יומני הפעולות הניהוליות בחשבון AWS נשמרים לפי הגדרות AWS CloudTrail.
7. הגנה על מערכות
החברה תפעיל אמצעים סבירים להגנה על מערכות השירות, לרבות ניהול עדכוני אבטחה, טיפול בחולשות והגבלת גישה למערכות.
הפרדת סביבות ולקוחות: סביבות הייצור, הבדיקות והפיתוח נפרדות, ונתוני לקוחות מסביבת הייצור אינם מועתקים לסביבות שאינן ייצור. ההפרדה בין לקוחות נעשית ברמת בסיס הנתונים, באמצעות מזהה חשבון בכל רשומה ובכל שאילתה. עדכוני אבטחה מותקנים באופן שוטף.
8. סודיות והדרכת עובדים
אנשי צוות המורשים לגשת למידע הלקוח יהיו כפופים לחובת סודיות מתאימה ויקבלו הדרכה לפי תפקידם ולפי הדין החל.
9. טיפול באירועי אבטחה
החברה תפעיל תהליך לזיהוי, תיעוד, הסלמה, בלימה וטיפול באירועי אבטחה הנוגעים למידע הלקוח, ותפעל בהתאם לסעיף 7 ל-DPA ולדין החל.
10. ביקורות, בדיקות והסמכות
ביקורות, בדיקות והסמכות: מבדקי חדירות מבוצעים באופן תקופתי.
הצהרה בדבר תקן או הסמכה תפורסם רק אם היא בתוקף ומכסה את החברה או השירות הרלוונטיים. אין בהסמכה כדי להחליף את התחייבויות הצדדים לפי הדין או לפי ה-DPA.