הסכם עיבוד נתונים (DPA)

1. הצדדים להסכם

• "בעל הנתונים" (Data Controller) — הלקוח / הגורם שמעביר את הנתונים.
• "המעבד" (Data Processor) — Levy | Finance & Consulting, מפעיל המערכת.

2. מטרת ההסכם

הסכם זה מסדיר את עיבוד הנתונים האישיים על ידי המעבד בשם בעל הנתונים, במהלך אספקת שירותי ה-CRM הפיננסיים, בהתאם לתקנות הגנת הפרטיות (אבטחת מידע) התשע"ז–2017 ול-GDPR (Regulation (EU) 2016/679).

3. סוגי נתונים שעוברים עיבוד

• פרטים מזהים: שם, מייל, טלפון, ת.ז. / ח.פ.
• נתונים פיננסיים: מספר חשבון בנק, חיובים, חשבוניות
• נתונים מקצועיים: מסמכים, חוזים, התכתבות עסקית
• מטא-דאטה טכנית: IP, זמני התחברות, audit log

4. אופן העיבוד

המעבד יבצע את העיבוד אך ורק:

• בהתאם להוראות מתועדות מבעל הנתונים
• למטרות שהוסכמו בכתב
• תוך עמידה בכל הסטנדרטים הטכניים והארגוניים המתוארים בסעיף 5

5. אמצעי אבטחה (Technical & Organizational Measures)

5.1 אמצעים טכניים

• הצפנה ב-Transit (TLS 1.3) ו-at-Rest (PostgreSQL native encryption)
• אימות חזק — Google OAuth 2.0 בלבד, ללא סיסמאות
• גיבוי יומי מוצפן (Fernet symmetric encryption)
• הפרדת סביבות — production / staging / development
• Rate limiting + CSRF + CSP headers
• ניטור פעיל: Sentry (errors), Better Stack (uptime)
• Audit log אוטומטי לכל פעולה רגישה (12 חודשים)

5.2 אמצעים ארגוניים

• רשימת מורשים מוגבלת (allowlist explicit)
• מדיניות סיסמאות וגישה (Google account 2FA חובה)
• Change management מתועד (Git commits, code review)
• Incident response procedure (Sentry alerts → team notification)

6. תת-מעבדים (Sub-processors)

המעבד משתמש בתת-מעבדים הבאים, בכפוף ל-DPAs נפרדים מולם:

• Google LLC — OAuth, Gmail API, Google Drive (גיבויים), Google Calendar
• Functional Software, Inc. (Sentry) — error tracking
• BetterStack Ltd. — uptime monitoring
• Google Cloud Platform — hosting infrastructure

הוספת או החלפת תת-מעבדים תיעשה בהודעה מראש של 30 יום לפחות לבעל הנתונים.

7. העברות בינלאומיות

חלק מתת-המעבדים שלנו מאחסנים מידע מחוץ לאיחוד האירופי / ישראל. העברות אלו מבוצעות אך ורק במסגרת:

• החלטות הלימה של הנציבות האירופית (Adequacy Decisions)
• סעיפים חוזיים סטנדרטיים (SCCs)
• אישורי Privacy Shield / DPF (במקרים רלוונטיים)

8. זכויות בעלי הנתונים

המעבד יסייע לבעל הנתונים לממש בקשות מצד נושאי המידע (Data Subjects), לרבות בקשות עיון, תיקון, מחיקה, הגבלת עיבוד, והעברה. זמן תגובה מקסימלי: 30 יום מקבלת הבקשה בכתב.

9. הודעה על אירוע אבטחה (Data Breach Notification)

במקרה של אירוע אבטחת מידע (Data Breach) — המעבד יודיע לבעל הנתונים ללא דיחוי בלתי סביר, ולכל המאוחר תוך 72 שעות מהמודעות לאירוע. ההודעה תכלול:

• תיאור אופי האירוע ומידת חומרתו
• קטגוריות וכמות הנתונים והנושאים שהושפעו
• הצעדים שננקטו או יינקטו לטיפול ולמיתון הנזק
• פרטי קשר של איש קשר טכני לבירורים

10. ביקורת (Audit)

בעל הנתונים רשאי לבצע ביקורת אצל המעבד פעם בשנה לכל היותר, בהודעה מוקדמת של 14 יום לפחות, ובלבד שהדבר לא יפגע באופן בלתי סביר בפעילות השוטפת של המעבד. המעבד יספק את כל המסמכים הסבירים הדרושים להוכחת עמידה בהסכם.

11. החזרה ומחיקה של נתונים

בסיום ההתקשרות — המעבד יחזיר לבעל הנתונים את כל הנתונים בפורמט מובנה (JSON / CSV / SQL dump) או ימחק אותם, על פי בחירת בעל הנתונים, תוך 60 יום. גיבויים ימחקו אוטומטית בתוך 30 יום נוספים.

12. דין שיפוט

על הסכם זה יחולו דיני מדינת ישראל. סמכות השיפוט הבלעדית נתונה לבית המשפט המוסמך בתל אביב-יפו.

13. יצירת קשר — Data Protection Officer

לכל פנייה בנושא הגנת מידע:

• מייל DPO: office@levy-finance.com
• שם ה-DPO: מנהל הגנת המידע