נספח עיבוד מידע ואבטחת מידע

נספח זה הוא חלק מתנאי השימוש לעסקים של Ready Time. הוא מסדיר את עיבוד המידע על הלקוחות של העסק, שהחברה מבצעת עבור העסק.

הצדדים: העסק שנרשם לפלטפורמה (להלן: "העסק"), ורדי פתרונות טכנלוגיה בע"מ, ח.פ. 517313524, קפלן 5, אזור (להלן: "החברה"). מונחים שלא הוגדרו כאן יפורשו כמו בתנאי השימוש ובחוק הגנת הפרטיות, התשמ"א-1981 (להלן: "החוק"), כפי שתוקן בתיקון 13.

1. תחולה ותפקידים

1.1. לגבי המידע האישי על הלקוחות של העסק (להלן: "המידע"), העסק הוא בעל השליטה במאגר, והחברה היא מחזיק שמעבד את המידע עבורו.

1.2. נספח זה הוא ההסכם בין בעל השליטה למחזיק, לפי תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017.

1.3. הנספח אינו חל על המידע על העסק עצמו ועל אנשי הצוות, שלגביו החברה היא בעלת השליטה, ולא על המקרים המצומצמים שבהם החברה פועלת בעצמה, כמפורט בסעיף ב1 למדיניות הפרטיות: מערכת ההתחברות המשותפת, ניתוב שיחות במספר הווטסאפ המשותף, אבטחה ומניעת שימוש לרעה, ותיעוד הסכמות ובקשות הסרה.

1.4. במקרה של סתירה בין נספח זה לבין תנאי השימוש בעניין עיבוד המידע, יגבר הנספח.

2. מטרות העיבוד ואופיו

2.1. החברה מעבדת את המידע רק כדי לספק לעסק את השירותים, לפי מה שהעסק הפעיל: ניהול תורים, לקוחות ותיק טיפולים; דף ההזמנה ואימות טלפון; הודעות שירות, והודעות שיווקיות שהעסק הפעיל ללקוחות שהסכימו; רדי, העוזרת החכמה; טפסים והצהרות בריאות; המלצות על מוצרים; וחיבור למערכות החשבוניות והגבייה של העסק.

2.2. העיבוד כולל איסוף, אחסון, הצגה, שליחה, ייצוא ומחיקה של המידע, והוא נמשך כל תקופת ההתקשרות ועד המחיקה לפי סעיף 10.

3. סוגי המידע ונושאי המידע

3.1. נושאי המידע: לקוחות העסק, ובהם מי שקבע תור, נרשם לרשימת המתנה או שהעסק הוסיף ידנית.

3.2. סוגי המידע, לפי מה שהעסק הפעיל:

• פרטי זיהוי וקשר: שם ומספר טלפון;
• תורים, היסטוריה, ביטולים, אי הגעות, הערות והעדפות זמנים;
• הסכמות ותיעוד שלהן, ובקשות הסרה;
• הודעות ווטסאפ ושיחות עם רדי;
• הצהרות בריאות ותשובות לטפסים, שהן מידע בעל רגישות מיוחדת;
• תיק טיפולים ותמונות לפני ואחרי;
• המלצות על מוצרים, חוות דעת, וסטטוס של תשלומים (בלי פרטי אמצעי תשלום).

4. התחייבויות החברה

4.1. החברה תעבד את המידע רק לפי הוראות העסק, כפי שהן באות לידי ביטוי בתנאי השימוש, בנספח זה ובהגדרות שהעסק בחר באפליקציה. החברה לא תשתמש במידע למטרה אחרת, לא תמכור אותו, ולא תעביר אותו לצד שלישי, למעט ספקי המשנה שבסעיף 7 או כנדרש לפי דין. אם החברה תידרש לפי דין למסור מידע, היא תודיע על כך לעסק מראש, ככל שהדין מתיר.

4.2. החברה לא תשתמש במידע לשיווק של Ready Time או של אחרים. שיפור השירות ייעשה על בסיס נתונים מצרפיים או אנונימיים בלבד.

4.3. הגישה של עובדי החברה ושל מי מטעמה למידע מוגבלת לבעלי תפקיד שזקוקים לה לתפעול, לתמיכה או לתיקון תקלות, והם מחויבים בסודיות.

4.4. רדי לא מקבלת הצהרות בריאות, טפסים ותשובות לטפסים, תיק טיפולים ותמונות, והערות פנימיות של העסק. הצהרות בריאות ותיק טיפולים לא נשלחים בשום הודעה.

4.5. אם החברה תסבור שהוראה של העסק מפרה את החוק, היא תודיע על כך לעסק.

5. אבטחת מידע

5.1. החברה תנקוט אמצעי אבטחה שמתאימים לרמת הרגישות של המידע, לפי תקנות הגנת הפרטיות (אבטחת מידע), ובהם:

• הצפנה של המידע בתעבורה ובאחסון;
• הפרדה בין עסקים: כל עסק רואה רק את הלקוחות שלו, וכל לקוח רואה רק את המידע שלו;
• הרשאות לפי תפקיד בתוך העסק, כפי שהעסק הגדיר לכל איש צוות;
• שמירת סודות ומפתחות גישה בשרת בלבד, ולא בקוד או במכשירים;
• אחסון אצל ספק ענן מוכר, באיחוד האירופי;
• אימות של כל משתמש בקוד חד-פעמי או בסיסמה.

5.2. הרשאות גישה: הגישה של עובדי החברה ושל מי מטעמה למידע מוגבלת לבעלי תפקיד שזקוקים לה לצורך תפעול, תמיכה או תיקון תקלות, והם מחויבים בסודיות. החברה תנהל תיעוד גישה ככל שהתקנות החלות עליה מחייבות זאת.

5.3. החברה תמסור לעסק, לבקשתו, מידע סביר על אופן ההחזקה והאבטחה של המידע, ותדווח לו לפחות פעם בשנה, לבקשתו, על עמידתה בהתחייבויות לפי נספח זה.

6. אירוע אבטחה

6.1. החברה תודיע לעסק על כל אירוע אבטחה שנוגע למידע שלו, ולא רק על אירוע אבטחה חמור, בתוך 24 שעות מרגע שנודע לה על האירוע.

6.2. ההודעה תכלול, ככל שהדבר ידוע באותה עת: מה קרה, איזה מידע נפגע, כמה לקוחות עשויים להיות מושפעים, ומה נעשה כדי לצמצם את הנזק. פרטים נוספים יימסרו כשיתבררו.

6.3. החברה תסייע לעסק בכל מה שנדרש ממנו לפי הדין, ובכלל זה בדיווח לרשות להגנת הפרטיות ובהודעה ללקוחות, אם יידרשו.

7. ספקי משנה

7.1. העסק מאשר לחברה להיעזר בספקי המשנה הבאים, כל אחד רק במידע הדרוש לתפקידו:

7.2. מערכות החשבוניות, הסליקה ואמצעי התשלום (כגון INVOICE4U, Morning, iCount, פייפרלס, Bit ו-PayBox) הן מערכות שהעסק בחר וחיבר בעצמו, לפי הסכם בינו לבין הספק. החברה מעבירה אליהן רק את הפרטים הדרושים להפקת מסמך או לתשלום, ורק כשהעסק הפעיל את החיבור.

7.3. החברה תחייב כל ספק משנה, בהסכם, בחובות הגנה על המידע שאינן פחותות מהותית מהחובות שבנספח זה, ותהיה אחראית כלפי העסק לעמידתו בהן.

7.4. שינוי ספק משנה: החברה תודיע לעסק, באפליקציה ובדואר האלקטרוני, 14 ימים לפחות לפני הוספה או החלפה של ספק משנה שמעבד את המידע. עסק שמתנגד לשינוי מסיבה סבירה של הגנת מידע רשאי לבטל את המנוי לפני כניסת השינוי לתוקף, ולקבל החזר יחסי על תקופה ששולמה מראש ולא נוצלה. במקרה דחוף, כמו תקלה או סיכון אבטחה אצל ספק קיים, ההודעה תימסר בהקדם האפשרי.

8. העברת מידע אל מחוץ לישראל

8.1. המידע מאוחסן באיחוד האירופי. חלק מספקי המשנה מעבדים מידע מחוץ לישראל ומחוץ לאיחוד האירופי, ובעיקר בארצות הברית (Anthropic ו-Meta).

8.2. העברה כזו תיעשה רק לצורך מתן השירות, ובכפוף להתחייבות חוזית של מקבל המידע, לפי תקנה 2(4) לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001: לנקוט אמצעים מספיקים להבטחת פרטיות נושאי המידע, ולא להעביר את המידע לאדם נוסף, בין באותה מדינה ובין שלא.

8.3. העסק מסכים להעברות האלה, במידה הנדרשת למתן השירות.

9. זכויות הלקוחות

9.1. החברה תסייע לעסק להיענות לבקשות של לקוחות לעיון, לתיקון ולמחיקה של מידע, ולהסרה מדיוור, בתוך הזמן שהדין קובע.

9.2. לקוח יכול לראות, להזיז ולבטל את התורים שלו בעמוד האישי, ולהסיר הסכמה להודעות שיווקיות בתשובה "הסר". את שאר הבקשות הלקוח מפנה לעסק.

9.3. אם לקוח יפנה ישירות לחברה, החברה תעביר את הפנייה לעסק בלי דיחוי. אם העסק לא השיב ללקוח תוך 30 ימים, החברה רשאית לסייע ללקוח ישירות, במידה הנדרשת למימוש זכויותיו לפי הדין, ותעדכן על כך את העסק.

10. שמירה ומחיקה

10.1. במהלך ההתקשרות, המידע נשמר כל עוד העסק משתמש בפלטפורמה. העסק קובע כמה זמן לשמור מידע על לקוחות שלא ביקרו אצלו זמן רב, ויכול למחוק לקוח בכל עת.

10.2. בסיום ההתקשרות, מכל סיבה, העסק יכול לייצא את המידע במשך 30 ימים. לאחר מכן החברה תמחק את המידע, כולל מגיבויים בתוך מחזור הגיבוי הרגיל.

10.3. המחיקה מתחשבת בחובות השמירה של העסק ושל החברה לפי דין:

• תיעוד ההסכמות להודעות ובקשות ההסרה נשמר 7 שנים, להוכחת ההסכמה לפי סעיף 30א לחוק התקשורת ולתקופת ההתיישנות;
• רישומים שהעסק חייב לשמור לצורכי מס וחשבונאות נשמרים במערכת החשבוניות של העסק, וייצוא שלהם נמצא באחריות העסק;
• מידע שנדרש לבירור תלונה, מחלוקת או אירוע אבטחה פתוח נשמר עד לסיומו.

10.4. מידע שנשמר לפי סעיף 10.3 יוגבל לשמירה בלבד, ולא ישמש לשום מטרה אחרת.

10.5. פרטי כניסה לאפליקציה קודמת שנמסרו בשירות "הקמה על ידינו" נמחקים מיד בסיום העברת הנתונים.

11. אחריות העסק

11.1. העסק אחראי לכך שיש לו בסיס חוקי לאיסוף המידע ולעיבודו, וליידע את הלקוחות לפי סעיף 11 לחוק.

11.2. העסק אחראי לחובות של בעל שליטה במאגר, ובכלל זה רישום המאגר או הודעה עליו אם הדין מחייב, מינוי ממונה על הגנת הפרטיות אם הדין מחייב, וקביעת רמת האבטחה החלה על המאגר.

11.3. העסק אחראי לאיסוף מידע בעל רגישות מיוחדת, כגון הצהרות בריאות ותמונות, רק במידה הנדרשת לטיפול ובהסכמה, ולאבטחת המכשירים שבהם הוא ואנשי הצוות שלו נכנסים לאפליקציה.

11.4. העסק אחראי לקבל הסכמה כדין להודעות שיווקיות, ולא להזין לרדי מידע רפואי או רגיש שאינו נדרש.

12. כללי

12.1. הנספח בתוקף כל עוד החברה מעבדת מידע עבור העסק, וההתחייבויות לסודיות ולמחיקה נשארות בתוקף גם אחרי סיום ההתקשרות.

12.2. הגבלות האחריות בתנאי השימוש לא יחולו על הפרה של חובות אבטחת המידע של החברה לפי נספח זה, כאמור בסעיף 21.6 לתנאי השימוש.

12.3. פניות בעניין נספח זה ודיווחים על אירועי אבטחה: customer-support@ready-tax.co.il, קפלן 5, אזור.

עודכן לאחרונה: 21 באוקטובר 2026.