נספח עיבוד נתונים (מיקור חוץ)
נספח לתנאי המנוי · טיוטה 1.2 · 26 בספטמבר 2026
טיוטה לפי תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. הנוסח הסופי ייבדק על ידי עורך דין.
1. תפקידים
המעסיק הוא בעל השליטה במידע על עובדיו. הספק (לירן אלחייק) הוא מחזיק, המעבד את המידע עבור המעסיק ולפי הוראותיו בלבד. הספק לא ישתמש במידע למטרותיו, למעט הפעלה ואבטחה של השירות וסטטיסטיקה שאינה מזהה.
2. תיאור העיבוד
| נושאי המידע | עובדי המעסיק, מנהליו ובעל העסק |
|---|---|
| סוגי מידע | שם, נייד, כניסות ויציאות, תיקונים ואישורים, מיקום ברגע ההחתמה, אותות יציאה מאזור העסק בזמן משמרת, מזהה מכשיר, טוקן הודעות, וכתובת מייל של מנהל או בעל עסק (רשות) |
| מטרות | רישום שעות נוכחות, אימות נוכחות בעסק, תזכורות לעובד, דוח שעות לשכר, יומן תיקונים |
| פעולות | איסוף מהאפליקציה, אחסון, הצגה למורשים, ייצוא לאקסל, מחיקה לפי לוח שמירה |
| משך | כל עוד המנוי פעיל; רישומי נוכחות 7 שנים; קואורדינטות 90 יום |
3. התחייבויות הספק
- עיבוד לפי הוראות המעסיק ולפי מדיניות הפרטיות בלבד.
- גישה למידע רק לספק עצמו ולמי שחתם על סודיות; הרשאות מינימליות; תיעוד גישה.
- אבטחה: הצפנה במעבר ובמנוחה, בידוד בין עסקים ברמת מסד הנתונים (Row Level Security), גיבויים יומיים, מפתחות שרת מחוץ לאפליקציה, מסמך הגדרות מאגר ונוהל אבטחה.
- דיווח למעסיק על אירוע אבטחה חמור תוך 48 שעות, וסיוע בדיווח לרשות להגנת הפרטיות.
- סיוע במימוש זכויות נושאי המידע (עיון, תיקון, מחיקה) תוך 14 יום.
- בסיום: ייצוא מלא למעסיק ומחיקת המידע תוך 30 יום, למעט מה שחובה לשמור לפי דין.
4. תתי-מעבדים והעברה לחו"ל
| ספק | תפקיד | מיקום | בסיס |
|---|---|---|---|
| Supabase Inc. | אחסון ומסד נתונים, גיבויים, פונקציות שרת | פרנקפורט, גרמניה (EU) | מדינה עם הגנה נאותה; הסכם עיבוד נתונים של Supabase |
| Google LLC (Firebase Cloud Messaging) | שליחת התראות לאנדרואיד | גלובלי | הסכם עיבוד נתונים של Google Cloud; מועבר רק טוקן הודעות ותוכן כללי ללא מידע אישי |
| Apple Inc. (Apple Push Notification service) | שליחת התראות לאייפון | ארה"ב | תנאי המפתחים של Apple; מועבר רק טוקן הודעות של המכשיר ותוכן כללי ללא מידע אישי |
| Resend Inc. | שליחת מייל עם קוד כניסה חד-פעמי למנהלים, ושליחת הארכיון החודשי של דוח השעות לבעל העסק | אירלנד (EU) | הסכם עיבוד נתונים של Resend. בקוד הכניסה מועברים רק כתובת המייל של המנהל והקוד. בארכיון מועבר דוח השעות של העסק לכתובת בעל העסק בלבד. |
| Functional Software Inc. (Sentry) | דיווח תקלות באפליקציה ובשרת | גרמניה (EU) | הסכם עיבוד נתונים של Sentry. מועבר תיאור התקלה, הגרסה וסוג המכשיר, אחרי הסרת שמות, טלפונים, מיילים, מיקומים ומזהים. כתובת IP לא נשמרת. |
| Expo (EAS) | הפצת עדכוני אפליקציה | ארה"ב | לא מקבל מידע אישי |
הוספה או החלפה של תת-מעבד תימסר למעסיק 30 יום מראש.
5. ביקורת
המעסיק רשאי לקבל, פעם בשנה, תיאור עדכני של אמצעי האבטחה ורשימת תתי-המעבדים, ולשאול שאלות בכתב. הספק ישיב תוך 30 יום.
קשור: תנאי מנוי · מדיניות פרטיות