למה ההסכם הזה קיים? כשאתם מעלים נתונים של לקוחות-הקצה שלכם
למערכת — שמות, טלפונים, תאריכי זימון/אירוע/סשן/תור — אתם הופכים ל"בעל מאגר" (data controller)
לפי החוק. אנחנו (shotaf.co.il) הופכים ל"מעבד מאגר" (data processor).
ההסכם הזה מגדיר מה אנחנו רשאים ולא רשאים לעשות עם הנתונים האלה.
תוכן עניינים
1. הצדדים
הסכם זה הוא חלק בלתי נפרד מתנאי השימוש, ונכרת בין:
- בעל המאגר (Data Controller): אתם — העוסק / העצמאי/ת / החברה שפתחה חשבון שותף (DJ, צלם/ת, מאפר/ת, מאמן/ת, מתכנן/ת, שף פרטי, מורה, מטפל/ת, אומן/ית, סוחר/ת וכו')
- מעבד המאגר (Data Processor): רן משה (ע.מ 021661715), מ-ורדיה 55, חיפה, להלן "shotaf.co.il" / "המעבד"
2. הגדרות
- "מידע אישי" — כל מידע על אדם בר-זיהוי בהתאם לחוק הגנת הפרטיות התשמ"א-1981 (כולל תיקון 13) ולתקנת GDPR.
- "נושא המידע" — אדם שהמידע נוגע לו (לדוגמה: זוג מתחתן, לקוחה בסשן צילום, מתאמן, מטופלת, תלמיד, רוכש — מי שמילא טופס בדף הציבורי שלכם או שאתם הזנתם ידנית למערכת).
- "עיבוד" — כל פעולה הנעשית במידע: איסוף, שמירה, צפייה, שינוי, גילוי, מחיקה.
- "מעבד משנה" — צד שלישי שאנחנו משתמשים בו כדי לתפעל חלק מהשירות (לדוגמה: Cloudflare).
3. היקף העיבוד
3.1 סוגי מידע שאנחנו מעבדים בעבורכם
- מידע על לקוחות-הקצה שלכם: שם, טלפון, אימייל, תאריך זימון/אירוע/סשן/תור, סוג שירות, הערות
- טפסים שמולאו בדף הציבורי שלכם
- חוזים בינכם לבין הלקוח-קצה — תוכן החוזה כפי שהופק, סטטוס החתימה ופרטי החותם
- חשבוניות שהוצאתם ללקוח-קצה — סכום, מע"מ, סכום כולל, שם הנמען וסטטוס התשלום
- תמונות וסרטונים מהשירות שלכם שהעליתם (גלריה, before/after, behind-the-scenes)
- המלצות שהזנתם ידנית למערכת
3.2 סוגי נושאי מידע
- הלקוחות-קצה שלכם — בהתאם לתחום שלכם: זוגות מתחתנים / חוגגי בר/בת מצווה / חברות / לקוחות בסשן צילום / מתאמני כושר / מטופלים / תלמידים פרטיים / רוכשי מוצרים / וכו'
- מבקרים אנונימיים בדף הציבורי שלכם
3.3 מטרת העיבוד
אך ורק לתפעל את השירות שאתם משלמים עליו: לשמור את הנתונים, להציגם בדשבורד שלכם, לטפל בטפסים שמגיעים, לשלוח תזכורות שאתם מבקשים. שום שימוש מעבר לזה.
4. חובות המעבד
אנחנו מתחייבים:
- לעבד את המידע אך ורק לפי הוראותיכם או לפי חובה חוקית
- לא להשתמש במידע לשיווק שלנו, מכירה לצדדים שלישיים, אימון מודלי AI, או כל מטרה שאינה הפעלת השירות עבורכם
- לא לחשוף את המידע לצדדים שלישיים מעבר למעבדי המשנה (סעיף 5)
- לוודא סודיות של מי שיש לו גישה למידע
- לסייע לכם במילוי חובותיכם תחת תיקון 13 ו-GDPR
- למחוק או להחזיר את כל המידע בסוף ההתקשרות (סעיף 10)
5. מעבדי משנה
להלן רשימת מעבדי המשנה המלאה. הרשימה נדרשת גם לפי תקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שמחייבת לתעד בכתב את זהות מקבלי המידע, את המדינה ואת אופן ההעברה.
ניסוח מדויק — לא כל מעבד "חתום מולנו": אצל רוב הספקים ברשימה הסכם עיבוד הנתונים (DPA) מוטמע אוטומטית בתנאי השירות שאנחנו מקבלים, ולא נחתם בנפרד. אצל שלושה מהם — Google Fonts, Unsplash ו-data.gov.il — אין ולא ייתכן הסכם מולנו, כי מדובר בשירותים ציבוריים שנטענים ישירות לדפדפן של המבקר. עמודת "הגנה" אומרת בכל שורה מה המצב בפועל.
| מעבד | שירות ומה בדיוק הוא מקבל | מיקום | הגנה |
|---|---|---|---|
| Cloudflare, Inc. | שרתים, מסד הנתונים, אחסון הקבצים, CDN, Turnstile ויצירת תמונת רקע לדף נחיתה (Workers AI — מקבל את תיאור התמונה בלבד) | ארה"ב; מסד הנתונים נמצא כרגע במערב אירופה — לא קיבענו אזור בהגדרות, זו עובדה נוכחית | EU-U.S. DPF + SCC + DPA · מעבדי המשנה שלה |
| Google LLC — Firebase Authentication | אימות והתחברות. מקבל כתובת מייל ומזהה משתמש | ארה"ב | EU-U.S. DPF · Google Cloud DPA (מוטמע בתנאים) |
| Google LLC — Google Fonts | גופני האתר. מקבל כתובת IP של כל מבקר ותו לא | ארה"ב | EU-U.S. DPF. אין DPA מולנו ולא ייתכן — הטעינה מתבצעת מהדפדפן של המבקר |
| Google LLC — Google Calendar API | סנכרון יומן, רק אם חיברתם יומן בעצמכם. מקבל כותרת, תיאור, תאריך ושעה של אירועים | ארה"ב | EU-U.S. DPF · Google API Services User Data Policy |
| Google LLC — Google Places | השלמת שם וכתובת של אולם. מקבל את מחרוזת החיפוש שהוקלדה בלבד; הפנייה יוצאת מהשרת שלנו ולכן כתובת ה-IP של המשתמש אינה נשלחת | ארה"ב | EU-U.S. DPF |
| Apple Inc. | חיוב המנוי דרך App Store וכניסה עם Apple. אמצעי התשלום נשאר אצל Apple | ארה"ב | SCC בנוסח ש-Apple מפרסמת — הסמכת DPF מטעם Apple לא אומתה על ידינו |
| Google LLC (Google Play Billing) | חיוב המנוי דרך Google Play. אמצעי התשלום נשאר אצל Google | ארה"ב | EU-U.S. DPF |
| RevenueCat, Inc. | ניהול מנויים — מזהה משתמש, שם מוצר וסטטוס מנוי בלבד. לא מקבל רשימות לקוחות, אירועים או חוזים | ארה"ב (AWS + Snowflake) | SCC בלבד — RevenueCat אינה מצהירה על DPF · DPA |
| Anthropic, PBC (Claude API) | בוט "השותף שלך" — מקבל את תוכן השיחה | ארה"ב | SCC (Module 2+3) מוטמעים בתנאים המסחריים · אין אימון מודלים על התוכן · מחיקת קלט ופלט תוך 30 יום · אין לנו הסכם zero-retention · מעבדי המשנה שלה |
| Plus Five Five, Inc. (המותג Resend) | שליחת מיילים. מקבל כתובת נמען ותוכן המייל | ארה"ב | EU-U.S. DPF + SCC · DPA · מעבדי המשנה שלה |
| 650 Industries, Inc. (המותג Expo) | התראות Push ועדכוני אפליקציה. מקבל מזהה התראה של המכשיר, סוג מערכת הפעלה וטוקן עדכון אקראי | ארה"ב | DPF (self-certified) + SCC · מעבדי המשנה שלה |
| Clerk, Inc. | שירות האימות הקודם. נשאר רק לזיהוי משתמשים ותיקים ולמחיקתם אצלו לפי בקשת מחיקת חשבון | ארה"ב | EU-U.S. DPF + SCC · DPA |
| Unsplash Inc. | תמונות ברירת-מחדל בתבניות דפי נחיתה. מקבל כתובת IP של מבקר בדף; אם העליתם תמונה משלכם — לא נשלח כלום | קנדה | החלטת נאותות (adequacy) של האיחוד האירופי לקנדה. אין DPA מולנו — הטעינה מתבצעת מהדפדפן של המבקר |
| ספק החשבוניות שבחרתם (Morning / iCount / ריווחית / SmartBee) | הנפקת מסמכים מטעמכם — רק אם חיברתם חשבון | ישראל | לפי הדין הישראלי — ההתקשרות היא ביניכם לבין הספק, לא בינו לבינינו |
| data.gov.il (משרד התחבורה) | בדיקת פרטי רכב לפי מספר רישוי, בפיצ'ר ניהול הצי בלבד. מקבל מספר רישוי בלבד | ישראל | מאגר ציבורי פתוח — אין הסכם ואין צורך בהסכם |
גורמים שאינם מעבדי משנה: HebCal (לוח שנה עברי) — מקבל תאריך בלבד. hq.manodiary.com — מערכת ניהול פנימית של אותו עוסק (רן משה, ע.מ 021661715), מקבלת מספרים מצרפיים בלבד ולעולם לא מידע מזהה. אין כאן העברה לצד שלישי.
חשוב — שימוש ב-AI על מידע של לקוחות-הקצה: אם תפעילו פיצ'ר שמערב את הבוט בעיבוד מידע של לקוחות-הקצה שלכם (לדוגמה: "תכין רשימת לקוחות שלא חזרו 3 חודשים"), המידע יישלח ל-Anthropic לצורך עיבוד התשובה בלבד. Anthropic מתחייבת בתנאי השימוש המסחריים שלה שלא לאמן מודלים על התוכן שלכם, ומוחקת קלט ופלט תוך 30 יום. אין לנו איתה הסכם zero-retention — כלומר בחלון של עד 30 יום התוכן קיים אצלה. נכון להיום אין בהגדרות החשבון מתג לכיבוי הפיצ'ר; עד שיתווסף, הדרך היחידה להימנע היא לא להזין לבוט מידע של לקוחות-הקצה.
הוספת מעבד משנה חדש: נודיע לכם 30 יום מראש בדואר אלקטרוני. אם אתם מתנגדים להוספת מעבד מסוים — תוכלו לבטל את ההתקשרות ללא קנס.
6. אבטחה טכנית וארגונית
אנחנו מיישמים את הצעדים הבאים, התואמים תקנות הגנת הפרטיות (אבטחת מידע) התשע"ז-2017 ברמת אבטחה בינונית:
- הצפנת תעבורה (TLS 1.3) על כל החיבורים
- הצפנה במנוחה (encryption at rest) לכל המידע במאגר
- בידוד בין לקוחות — שאילתות חייבות מזהה לקוח
- יומן פעולות — רישום כל שינוי במידע רגיש
- התחברות דרך ספק זהות חיצוני (Google / Apple) — סיסמאות לא נשמרות אצלנו
- שחזור לנקודת זמן — Cloudflare D1 מאפשר החזרת מסד הנתונים למצב קודם; חלון השחזור הוא 30 יום, לפי תוכנית ה-Workers בתשלום שאנחנו מנויים עליה. איננו מתחייבים לשחזור
- בדיקות אבטחה תקופתיות + עדכוני תוכנה
- הגבלת גישה לפי עיקרון "צריך לדעת"
7. הפרת אבטחה (Data Breach)
אם נגלה הפרת אבטחה הנוגעת למידע של הלקוחות שלכם:
- נודיע לכם ללא דיחוי, ובכל מקרה תוך 72 שעות מהתגלית; באירועים חמורים — מהר ככל הניתן
- נספק את כל המידע הדרוש לכם לצורך דיווח לרשות הגנת הפרטיות (אם נדרש לפי תיקון 13)
- נשתף פעולה עם החקירה
- נתעד את האירוע ואת הצעדים שננקטו
- נסייע בהערכת השפעה על פרטיות (DPIA) כשנדרש (GDPR Art 28(3)(f))
הערה: חובת הדיווח לרשות הגנת הפרטיות מוטלת עליכם כבעלי המאגר, אך אנחנו ניתן את כל הסיוע הנדרש.
8. בקשות מאת נושאי המידע
אם נושא מידע (לקוח שלכם, מבקר בדף שלכם) פונה אלינו ישירות עם בקשה — נעביר אותה אליכם ולא נטפל בעצמנו, מכיוון שאתם בעל המאגר.
אם תפנו אלינו עם בקשה כזו, אנחנו נסייע לכם:
- לייצא את כל המידע על נושא מסוים (תוך 14 יום)
- למחוק נתונים ספציפיים (תוך 14 יום)
- לעדכן נתונים שגויים (מיידי דרך הדשבורד)
9. העברות בינלאומיות
ישראל מוכרת על ידי האיחוד האירופי כמדינה עם רמת הגנה נאותה (adequacy decision). העברות לארה"ב מוגנות ב-EU-US Data Privacy Framework (DPF) או SCC לפי הצורך.
10. סיום ומחיקת נתונים
בסוף ההתקשרות (ביטול חשבון או סיום השירות):
- תקופת חסד 30 יום — הנתונים נשמרים, אפשר לחזור
- במהלך 30 יום — אפשר לייצא הכל בלחיצה אחת (JSON + Excel)
- אחרי 30 יום — כל רשומות המידע נמחקות ממסד הנתונים.
- מה שעדיין לא אוטומטי, בגילוי מלא: קבצים ששמרתם באחסון (תמונות, אלבומים, מסמכים בכספת) נמחקים כשאתם מוחקים אותם בעצמכם מתוך המערכת, אבל מחיקת החשבון אינה מוחקת אותם אוטומטית. אם אתם רוצים שיימחקו — תמחקו אותם לפני מחיקת החשבון, או תבקשו מאיתנו במייל ונמחק ידנית.
- שחזור לנקודת זמן: מסד הנתונים רץ על Cloudflare D1, שמאפשר להחזיר אותו למצב קודם בחלון זמן מוגבל. בחלון הזה מידע שנמחק עדיין קיים אצל Cloudflare, ואין לנו דרך למחוק אותו משם מוקדם יותר. אחרי שהחלון עובר — הוא נעלם.
מידע שמוחזק לפי חוק: חשבוניות מס ומסמכי הנהלת חשבונות נשמרים 7 שנים
לפי החוק הישראלי, גם אחרי ביטול. שאר המידע נמחק לחלוטין.
11. זכות בדיקה (Audit Rights)
אתם רשאים פעם בשנה (ובהתראה של 30 יום) לבקש:
- תיעוד טכני של מערכות האבטחה שלנו
- לוגי גישה לחשבון שלכם
- פירוט מעבדי משנה ומיקומיהם
בדיקה מקיפה יותר תידרש מיד אחרי הפרת אבטחה משמעותית, ללא תשלום.
12. אחריות
אחריות המעבד תחת הסכם זה כפופה לסעיף הגבלת אחריות בתנאי השימוש.
המעבד אחראי בלעדית לנזק הנובע מהפרת חובותיו תחת הסכם זה. בעל המאגר אחראי על עצמו ועל בחירותיו (לדוגמה: איזה מידע לאסוף מלקוחות, האם לדרוש הסכמה מראש לעיבוד).
הסכם זה תקף מרגע שאתם פותחים חשבון ב-שותף. שאלות? support@shotaf.co.il