הסכם עיבוד מידע

1. הצדדים ותחולה

הסכם עיבוד מידע זה (להלן: "ההסכם") נחתם בין TorKal (להלן: "מעבד המידע") לבין הלקוח המשתמש בשירות (להלן: "מבקר המידע"), ולפיו מעבד המידע מעבד מידע אישי בשמו ובשם מבקר המידע במסגרת מתן השירות.

ההסכם מהווה חלק בלתי נפרד מתנאי השירות של TorKal והוא נכנס לתוקף במועד תחילת השימוש בשירות. במידה ויימצא סתירה בין הוראות ההסכם לבין הוראות תנאי השירות, תגברנה הוראות ההסכם בכל הנוגע לעיבוד מידע אישי.

עיבוד המידע נעשה בכפוף לחוק הגנת הפרטיות, התשמ"א-1981, לתקנות שהותקנו מכוחו ולכל דין ישים אחר בנושא הגנה על פרטיות ועל מידע אישי.

2. היקף ומטרת העיבוד

מעבד המידע יעבד מידע אישי בשם מבקר המידע אך ורק לצורך מתן השירות, ובכלל זאת: ניטור מתמשך של מערכות התורים של ספקי שירותי הבריאות לצורך איתור מועדים פנויים מוקדמים יותר, שליחת התראות למבקר המידע או לנושאי המידע מטעמו, ותיאום והזמנת תורים באמצעות פרטי ההתחברות שסופקו.

העיבוד יוגבל למידע האישי ההכרחי והמינימלי הנדרש למימוש מטרת השירות, ולא ייעשה בו כל שימוש נוסף, לרבות שימוש לצרכי פרסום, שיווק, סטטיסטיקה או מחקר, ללא הסכמה מפורשת ומוקדמת של מבקר המידע.

3. פרטי העיבוד

• קטגוריות נושאי מידע: מטופלים, נציגיהם המורשים (לרבות הורים, אפוטרופוסים ומי שקיבל ייפוי כוח) וספקי שירותי בריאות.
• קטגוריות מידע אישי: שם מלא, פרטי התקשרות (דוא"ל, טלפון), פרטי התור, מזהאי ספקים, ופרטי התחברות למערכות התורים.
• מידע מיוחד (רגיש): מידע הנוגע לבריאות הנושא, ובכלל זה פרטי התמחויות ומרפאות, במידה והם נדרשים לשם ניטור ותיאום תורים.
• מטרת העיבוד: ניטור זמינות תורים, שליחת התראות על מועדים פנויים ותיאום והזמנת תורים.
• תקופת שמירה: משך תקופת ההסכם בתוספת 30 יום מיום סיומו, אלא אם כן קיימת חובה חוקית לשמירה לתקופה ארוכה יותר.

4. חובות מעבד המידע

מעבד המידע מתחייב כדלקמן:

• לעבד מידע אישי אך ורק בהתאם להוראות המתועדות של מבקר המידע ובהתאם לדין החל, ולא לעבד את המידע לכל מטרה אחרת.
• לוודא שכל מי שמועסק אצלו או מטעמו וגישה למידע האישי, יחויב בסודיות מלאה ויחולו עליו חובות שמירת סודיות, ללא תלות בתום העסקתו.
• ליישם ולשמר אמצעי אבטחה טכניים וארגוניים מתאימים להגנה על המידע, כמפורט בסעיף 5 להלן.
• לסייע למבקר המידע במילוי חובותיו על פי הדין, לרבות בענייני אבטחת מידע, הערכת סיכונים והודעה לרשויות ולנושאי המידע.
• ליידע את מבקר המידע, ללא דיחוי בלתי סביר, על כל פרצת מידע שנודעה לו, כמפורט בסעיף 8 להלן.
• להשיב למבקר המידע או למחוק את כל המידע האישי בסיום מתן השירות, כמפורט בסעיף 9 להלן.
• לאפשר למבקר המידע, באמצעות בדיקה תקופתית או בקשה מנומקת, לוודא את עמידתו של מעבד המידע בהוראות ההסכם.

5. אבטחת מידע

מעבד המידע מטמיע ומקיים אמצעי אבטחה טכניים, ארגוניים ופיזיים מתאימים לרמת הסיכון ולמהות המידע המעובד. בין היתר, נוקט מעבד המידע באמצעים הבאים:

• הצפנה: הצפנת AES-256-GCM לנתונים במצב אחסון, והצפנת TLS 1.3 לכל התעבורה במצב מעבר.
• ניהול מפתחות: הצפנת מעטפת (Envelope Encryption) עם סיבוב מפתחות אוטומטי ותקופתי.
• בקרת גישה: בקרת גישה מבוססת תפקידים (RBAC) על פי עיקרון זכויות המינימום הדרושות (Least Privilege), ואימות רב-שלבי (MFA) לגישה למערכות פנימיות.
• תיעוד ובקרה: תיעוד אירועים (Audit Logs) בלתי ניתן לשינוי של גישות ופעולות, תוך זיהוי וניטור חריגות.
• בדיקות אבטחה: בדיקות חדירות, סקירות קוד ובדיקות אבטחה תקופתיות, וכן ניהול פעיל של עדכוני תוכנה ותיקוני אבטחה.
• ניהול עובדים: הדרכות אבטחת מידע והגנת פרטיות לעובדים, הסכמי סודיות, והגבלת גישה למידע לפי צורכי התפקיד בלבד.

המידע מאוחסן ומעובד בתשתית ענן העומדת בתקן SOC 2, בשרתים הממוקמים בישראל בלבד. לא תתבצע כל העברת מידע אישי אל מחוץ למדינת ישראל ללא אישור מפורש של מבקר המידע.

6. מעבדי משנה

מבקר המידע מאשר בזה למעבד המידע להתקשר עם מעבדי משנה, בכפוף לכך שמעבדי המשנה התחייבו לרמת הגנה שאינה פחותה מזו הקבועה בהסכם, ולכל הוראות הדין החל.

קטגוריות מעבדי המשנה הנוכחיים כוללות: ספקי תשתית ענן לאחסון ועיבוד המידע, וספקי שירותי התראות(דוא"ל, WhatsApp ו-SMS) לצורך שליחת התראות לנושאי המידע.

רשימה מעודכנת של מעבדי המשנה ותפקידם תימסר למבקר המידע לפי בקשה. מבקר המידע יהיה רשאי להתנגד לשינוי משמעותי במעבדי המשנה בכתב בתוך 14 ימים מיום קבלת ההודעה על השינוי, ומעבד המידע יפעל בהתאם ככל שהדבר סביר בנסיבות העניין.

7. זכויות נושאי המידע

מעבד המידע יסייע למבקר המידע, במידה הנדרשת ובהתאם ליכולותיו הטכניות, במילוי חובותיו כלפי נושאי המידע, לרבות בקשות הנוגעות ל:

• עיון וגישה במידע האישי המעובד.
• תיקון של מידע שגוי או לא מעודכן.
• מחיקה של מידע אישי, בכפוף לחובות שימור לפי דין.
• הגבלת עיבוד במקרים הקבועים בדין.
• ניידות של המידע בפורמט מובן וקריא.
• התנגדות לעיבוד בנסיבות הקבועות בדין.

בכל בקשה של נושא מידע שהתקבלה ישירות אצל מעבד המידע, יעביר אותה מעבד המידע למבקר המידע ויפעל בהתאם להוראותיו, לרבות מתן תשובה לנושא המידע כי הבקשה הועברה לעיונו של מבקר המידע.

8. פרצות מידע

מעבד המידע ינקוט אמצעים סבירים לאיתור פרצות מידע, ובכלל זה ניטור שוטף של מערכותיו ותיעוד אירועי אבטחה. עם נודע לו על פרצת מידע הנוגעת למידע האישי המעובד במסגרת ההסכם, ובכלל זה חשיפה, גישה או מסירה של מידע שלא כדין, ידווח מעבד המידע על כך למבקר המידע ללא דיחוי בלתי סביר ולכל המאוחר בתוך 72 שעות ממועד אישור הפרצה.

הדיווח ימסור מידע זמין לגבי טיב הפרצה, קטגוריות נושאי המידע וסוגי המידע המושפעים, ומעבד המידע ישתף פעולה באופן מלא עם מבקר המידע בחקירת הפרצה, בצמצום הנזק ובעמידה בחובות הדיווח לרשויות ולנושאי המידע, לרבות במסירת מידע ובגישה לבדיקות פורנזיות.

9. שמירת מידע והחזרה

מעבד המידע ישמור את המידע האישי למשך תקופת ההסכם ובמשך 30 ימים נוספים מתום תקופת השירות, או לתקופה ארוכה יותר ככל שנדרש על פי דין או על פי הוראה רגולטורית מחייבת. בתום תקופה זו, יחדל מעבד המידע מלעבד את המידע.

עם סיום ההסכם או עם מתן הוראה מפורשת של מבקר המידע, ישיב מעבד המידע למבקר המידע את כל המידע האישי, בפורמט מובן וקריא, או ימחק אותו בצורה מאובטחת, לפי בחירתו של מבקר המידע, זאת בכפוף לחובות שימור על פי דין. עם סיום העיבוד יודיע מעבד המידע למבקר המידע על השלמת ההחזרה או המחיקה.

10. דין וסמכות שיפוט

ההסכם וכל הנושאים הנובעים ממנו או בקשר אליו מוסדרים על פי דיני מדינת ישראל, לרבות חוק הגנת הפרטיות, התשמ"א-1981. סמכות השיפוט הבלעדית בכל עניין הנוגע להסכם נתונה לבתי המשפט המוסמכים בתל אביב-יפו.

כל הודעה, דיווח או פנייה במסגרת ההסכם תישלח למבקר המידע באמצעי ההתקשרות שהוזן בעת ההרשמה לשירות. לשאלות או פניות בנושא עיבוד המידע, ניתן לפנות אל מעבד המידע בכתובת support@tor-kal.web.app או בכל אמצעי התקשרות אחר שיימסר מעת לעת.