הסכם ספק שירותים – הגנת הפרטיות ואבטחת מידע

1. כללי:
   1. הסכם זה מהווה חלק בלתי נפרד מהזמנת שירותי Therapy Notebook ("השירותים") שהוזמן על ידך ("המזמין") מחברת טדסנה פתרונות בע"מ ("הספק").

   לעניין הסכם זה, "הדין החל" משמעות הוראות כל דין, לרבות הוראות חוק הגנת הפרטיות, תשמ"א-1981, התקנות שהותקנו על פיו, ובפרט תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 ("תקנות אבטחת מידע") וכל הוראה או הנחייה שניתנה בעניין זה בידי רשות רגולטורית מוסמכת, לרבות הרשות להגנת הפרטיות.

2. המידע המעובד, מטרות השימוש בו
   1. הספק יהא רשאי לעבד את המידע האישי המפורט בנספח 1 להסכם, בהתאם למטרות המופיעות שם, במאגרי המידע של הספק או מטעמו ("מאגרי המידע" ו-"המידע האישי" בהתאמה);
   2. הספק מתחייב כי לא יעשה כל שימוש במידע האישי באופן החורג מהוראות הסכם זה וכי עיבוד מידע אישי כאמור ייעשה בידי הספק אך ורק לשם מתן השירותים, ובכפוף להוראות הדין החל.
   3. מידע ממאגרי המידע של המזמין לא יופץ או יועבר לצד שלישי כלשהו, למעט (א) לצורך מתן השירותים (לרבות באמצעות נותני שירות מטעם הספק, בכפוף להוראות הדין החל) ועל פי הוראות הסכם זה, ו- (ב) גילוי כאמור נדרש לפי דין או הוראת רשות מוסמכת, והודעה על מסירת המידע האישי תועבר למזמין מראש (אלא אם הוראות הדין אוסרות על מסירת הודעה כאמור).
3. אחריות המזמין
   1. העלאת מידע אישי אודות צד שלישי והעברתו לשירותים, במישרין או בעקיפין, הינם באחריותו המלאה של המזמין. המזמין מתחייב כי סיפק את כל ההודעות הנדרשות וקיבל את כל ההרשאות וההסכמות הנדרשות מצד שלישי, לצורך שימוש המזמין במידע האישי במסגרת מתן השירותים.
   2. המזמין יהיה האחראי הבלעדי לתוכן המידע האישי המועלה על ידו לשירותים, לחוקיות ולנאותות התוכן, ולספק לא תהא כל אחריות בעניין זה ולא תחול על הספק כל חובה לתקן או לשנות את המידע שהועלה בידי המזמין לשירותים.
   3. המזמין יהיה אחראי לשמירת הסיסמאות והרשאות הכניסה שלו לשירותים, והוא יודיע לספק מיד על כל שימוש לא מורשה בחשבון שלו או כל חשד להפרת אבטחה אחרת וכל שימוש לא מורשה, העתקה או הפצה של מידע מתוך החשבון.
4. עמידה בהוראות הדין
   1. במהלך כל תקופת ההסכם, וכל עוד הוא מחזיק במידע האישי מטעם המזמין, ימלא הספק, לרבות כל נותן שירותים מטעמו, אחר הוראות הדין החל.
   2. הספק מצהיר ומתחייב כי במהלך תקופת מתן השירותים וכל עוד הוא מחזיק במידע אישי מטעם המזמין, הספק יישם ביחס למידע האישי אמצעי אבטחה פיזית ואבטחת מידע בהתאם להוראות כל דין.
   3. הספק ישמור את המידע האישי בסודיות, ויישם במהלך תקופת ההסכם וכל עוד הוא מחזיק במידע האישי של המזמין, את כל ההוראות החלות על בעל מאגר שחלה עליו רמת האבטחה הבינונית על פי תקנות אבטחת מידע, ויעמוד בהוראות אבטחת המידע המפורטות בנספח 3 להסכם.
   4. הספק מתחייב לשמור ולאחסן את המידע האישי בישראל ו/או באחת מהמדינות הכלולות בשטחי האיחוד האירופאי הכלכלי (EEA), כאשר כל העברה של מידע לחו"ל תבוצע בהתאם להוראות תקנות הגנת הפרטיות (העברת מידע למאגרי מידע מחוץ לגבולות המדינה), תשס"א-2001.
5. משך התקשרות, השבת המידע והשמדתו
   1. משך ההתקשרות בין הספק לבין המזמין הינו כמפורט בהסכם השירותים.
   2. בתוך 30 יום ממועד ביטול או סיום הסכם השירותים, או בתוך פרק זמן סביר אחר לפי דרישת המזמין, הספק ישיב למזמין או ישמיד את המידע האישי המצוי בידו, לרבות מחיקתו מכל אמצעי גיבוי. בהתאם לדרישת המזמין מראש ובכתב, הספק יעביר למזמין אישור בכתב בדבר ביצוע חובתו לפי סעיף זה.
6. התחייבות בעלי הרשאה
   1. בטרם יעניק גישה לעובדיו או למי מטעמו למידע אישי, ינקוט הספק באמצעים סבירים כדי לוודא את התאמתם של אלה לקבלת גישה למידע המצוי במאגרי המידע, בשים לב לרגישות המידע שבמאגר.
   2. הספק יאפשר גישה למידע האישי רק למי מטעמו שגישה למידע האישי נחוצה לו לשם מתן השירותים למזמין ("בעלי ההרשאות").
   3. הספק יחתים את בעלי ההרשאות מטעמו על התחייבות לשמירת סודיות המידע האישי, לשימוש במידע האישי רק לפי עקרונות הסכם זה, וליישום אמצעי אבטחת המידע כמפורט בהסכם זה.
7. מתן שירותים באמצעות גורם חיצוני
   1. הספק יסתייע בספקי משנה מטעמו ("ספקי המשנה") המקבלים גישה למידע האישי של המזמין, ויוודא כי הוראות הסכם זה, במהותם, יחולו על ספקי המשנה ויתקשר עימם בהסכם המסדיר את הנושאים המפורטים בהסכם זה.
   2. התיר הספק לספקי המשנה לספק שירותיהם באמצעות גורם נוסף – יחייב את ספקי המשנה לכלול בהסכם עם הגורם הנוסף את כל הנושאים המפורטים בהסכם זה.
   3. הספק יעדכן את המזמין לפחות 30 יום מראש אודות כל נותן שירותים נוסף שיתווסף לרשימה, ויאפשר למזמין להשמיע טיעוניו בנושא. בנוסף, במקרה זה תהא למזמין הזכות לבטל או לשנות את התקשרותו עם הספק באופן מיידי.
   4. הספק ייוותר האחראי הבלעדי כלפי המזמין לכל פעולותיהם של בעלי ההרשאה וספקי המשנה ולעמידתם בהוראות הסכם זה.
8. דיווחים וביקורות
   1. הספק ידווח לפי בקשת מזמין על אודות אופן ביצוע חובותיו לפי תקנות אבטחת מידע והסכם זה.
   2. הספק ישתף פעולה עם המזמין בכל עניין שיידרש בנוגע להליכי פיקוח וביקורת ככל שיתבצעו מצד רשות רגולטורית כלשהי בקשר עם הסכם זה.
9. ניהול, דיווח ותחקור אירועי אבטחת מידע
   1. הספק יודיע למזמין באופן מיידי, אך לא יאוחר מ-24 שעות, מן המועד בו נודע לספק על אירוע אבטחה חמור, כהגדרתו בתקנות אבטחת מידע ("ארוע אבטחה").
   2. הספק יתעד ככל האפשר את ארוע האבטחה ואת הפעולות שבוצעו במסגרתו.
   3. ספק ינקוט באמצעים הנדרשים לתיקון או לצמצום הפגיעה העלולה להיגרם לפרטיותם של אנשים כתוצאה מארוע האבטחה ויבצע כל פעולה סבירה אחרת הנדרשת על פי חובותיו לפי הדין החל ובהתאם לדרישות הרשויות המוסמכות ככל שיהיו.
10. שונות
    1. הסכם זה אינו מהווה הסכם לטובת צד שלישי ואין בו כדי להקנות זכויות כלשהן לצד שלישי.
    2. על הסכם זה יחול הדין הישראלי בלבד. סמכות השיפוט הבלעדית בקשר עם הסכם זה וכל הנובע ממנו תהא נתונה לבית המשפט המוסמך בתל אביב-יפו.
    3. כל תיקון, שינוי או תוספת להסכם זה יהיו תקפים אך ורק אם ייעשו בכתב וייחתמו על ידי מורשי החתימה מטעם הצדדים.

נספח 1 – פירוט סוגי המידע האישי

1) המידע האישי שאותו רשאי הספק לעבד: כל מידע שהמזמין העלה או שיתף עם הספק במסגרת מתן השירותים, לרבות מידע אישי על אישיותו של אדם, צנעת אישיותו, מצבו הרפואי והנפשי, אודות מטופליו ולקוחותיו של המזמין. 2) סוג העיבוד או פעולות העיבוד המותרות לספק: הספק רשאי לשמור את המידע האישי של המזמין, לנהל ולעבד אותו לצורך מתן השירותים שהוזמנו בידי המזמין, לרבות שירותי תמיכה (על בסיס נקודתי אד הוק).

לדוגמה: הספק רשאי לבצע כל פעולת עיבוד ביחס למידע האישי של המזמין אשר דרושה לשם מתן השירותים, לרבות פעולות אחסון, גיבוי, שחזור, העתקה, ניתוח, עיבוד, תחזוקה, שדרוג מערכות, טעינת נתונים ושליפתם, פעולות עיבוד וניטור אשר נחוצות לשם אבטחת המידע והמערכות וכיו"ב וכן כל פעולת עיבוד נוספת אשר תסוכם מראש ובכתב בין הצדדים.

נספח 2 – פירוט נותני שירותים חיצוניים מטעם הספק

חברת onezero – שירותי תוכנה

חברת Heroku – שירותי אחסון ענן

חברת AppSec – אבטחת מידע