אופן כריתתו של הסכם זה
הסכם עיבוד מידע זה (בגרמניה ובאוסטריה, Auftragsverarbeitungsvertrag או AVV) מהווה חלק מתנאי השירות של FastComments. הוא נכנס לתוקף באופן אוטומטי, ללא חתימה וללא כל פעולה נוספת מצד מי מהצדדים, לגבי כל לקוח המשתמש בשירות לעיבוד מידע אישי בתפקיד בקר הכפוף ל-GDPR, ל-UK GDPR או ל-FADP השווייצרי. סעיף 28(9) ל-GDPR מחייב כי חוזה זה ייערך בכתב, לרבות בצורה אלקטרונית; קבלת תנאי השירות מקיימת דרישה זו.
WinrickLabs LLC חתמה על הסכם זה מראש. חתימתה מופיעה בסעיף 24. לקוח הזקוק לעותק חתום בחתימת נגד לצורך רישומיו שלו רשאי להשלים את פרטיו בעמוד זה כדי להפיק עותק כאמור, או לבקשו בכתובת privacy@fastcomments.com.
מבוא
א. הבקר והמעבד התקשרו במערכת יחסים מסחרית שבמסגרתה מספק המעבד פלטפורמה מקוונת מתארחת לתגובות, לצ'אט חי ולדיונים ("השירות").
ב. מערכת יחסים זו כפופה לתנאי השירות המפורסמים בכתובת https://fastcomments.com/terms-of-service ("ההסכם הראשי").
ג. השימוש שעושה הבקר בשירות כרוך בעיבוד מידע אישי הכפוף לתקנה (EU) 2016/679 ("GDPR"), לתקנה הכללית להגנה על מידע של הממלכה המאוחדת כפי שהיא נקראת יחד עם חוק הגנת המידע 2018 (יחד, "UK GDPR") ו/או לחוק הפדרלי השווייצרי להגנת המידע ("FADP"). לפיכך מסכימים הצדדים על התנאים הנדרשים לפי סעיף 28 ל-GDPR, ובמקרים הרלוונטיים לפי פרק V ל-GDPR.
1. הגדרות
"מידע אישי של הלקוח" משמעו מידע אישי הכלול בתגובות, בהודעות צ'אט, בתשובות, בהצבעות, בתגובות רגשיות, בדיווחים, בהעלאות, בפרופילי משתמשי קצה, במאפייני כניסה יחידה וברשומות מודרציה שנמסרו לשירות או שנוצרו באמצעותו בשם הבקר, או הנגזר מהם.
"מידע החשבון" משמעו מידע הקשר, החיוב, האימות, התמיכה והשימוש במוצר של הבקר עצמו.
"דיני הגנת המידע" משמעם GDPR, UK GDPR, FADP וכל דין הגנת מידע אחר החל על עיבוד המבוצע על ידי צד להסכם זה.
"מעבד משנה" משמעו כל צד שלישי שהמעבד מעסיק לצורך עיבוד מידע אישי של הלקוח.
"התניות החוזיות הסטנדרטיות" משמען התניות החוזיות הסטנדרטיות הנספחות ל-Commission Implementing Decision (EU) 2021/914 of 4 June 2021.
"תוספת הממלכה המאוחדת" משמעה ה-International Data Transfer Addendum to the EU Commission Standard Contractual Clauses שהוצא על ידי ה-Information Commissioner לפי סעיף 119A ל-Data Protection Act 2018, גרסה B1.0, שנכנס לתוקף ביום 21 במרץ 2022.
"עמוד מעבדי המשנה" משמעו https://fastcomments.com/dpa/sub-processors.
"מועד התחילה" משמעו המועד שבו קיבל הבקר לראשונה את ההסכם הראשי, או המועד שבו נחתם הסכם זה בחתימת נגד, לפי המוקדם.
המונחים "בקר", "מעבד", "מידע אישי", "עיבוד", "הפרת אבטחת מידע אישי", "נושא המידע" ו"רשות פיקוח" יתפרשו כמשמעותם בסעיף 4 ל-GDPR.
2. תחולה, שילוב וסדר עדיפות
2.1 הסכם זה מהווה חלק בלתי נפרד מההסכם הראשי וחל על כל עיבוד של מידע אישי של הלקוח על ידי המעבד.
2.2 הסכם זה בא במקום כל תנאי עיבוד מידע קודמים שבין הצדדים.
2.3 בכל מקרה של סתירה בין הסכם זה לבין ההסכם הראשי, לרבות תנאי השירות ומדיניות הפרטיות, יגבר הסכם זה בכל הנוגע לעיבוד מידע אישי של הלקוח. בכל מקרה של סתירה בין הסכם זה לבין התניות החוזיות הסטנדרטיות, יגברו התניות החוזיות הסטנדרטיות.
2.4 הנספחים והתוספות מהווים חלק בלתי נפרד מהסכם זה.
3. תפקידי הצדדים
3.1 ביחס למידע אישי של הלקוח, הלקוח הוא הבקר ו-WinrickLabs LLC היא המעבד.
3.2 ביחס למידע החשבון, WinrickLabs LLC פועלת כבקר עצמאי. עיבוד זה כפוף למדיניות הפרטיות ולא להסכם זה.
3.3 מקום שבו הבקר הוא עצמו מעבד הפועל עבור בקר צד שלישי, הוא מצהיר ומתחייב כי הוא מוסמך למנות את המעבד כמעבד משנה, והסכם זה יחול mutatis mutandis כאשר מודול שלוש של התניות החוזיות הסטנדרטיות בא במקום מודול שתיים.
3.4 קבע המעבד את מטרות העיבוד ואת אמצעיו לגבי מידע אישי כלשהו של הלקוח, יהיה הוא בקר ביחס לאותו עיבוד לעניין סעיף 28(10) ל-GDPR.
4. עיבוד על פי הוראות מתועדות
4.1 המעבד מעבד מידע אישי של הלקוח אך ורק על פי הוראותיו המתועדות של הבקר, לרבות בכל הנוגע להעברות למדינה שלישית. הסכם זה, ההסכם הראשי, תיעוד השירות והשימוש שעושה הבקר באפשרויות התצורה שהשירות מעמיד לרשותו מהווים יחדיו את מלוא ההוראות המתועדות של הבקר.
4.2 המעבד אינו מוכר מידע אישי של הלקוח, אינו מגלה אותו אלא על פי הוראה או כנדרש בדין, ואינו עושה בו שימוש לכל מטרה זולת אספקת השירות. המעבד אינו משתמש במידע אישי של הלקוח לצורך פיתוח, אימון, כוונון עדין או הערכה של מודל למידת מכונה או בינה מלאכותית כלשהו, ודורש זאת מכל מעבד משנה המקבל מידע כאמור לצורך סיווג או מודרציה אוטומטיים.
4.3 מקום שבו דין האיחוד, דין מדינה חברה, דין הממלכה המאוחדת או דין אחר החל מחייבים את המעבד לעבד מידע אישי של הלקוח שלא על פי הוראות הבקר, יודיע המעבד לבקר על אותה חובה משפטית לפני העיבוד, אלא אם אותו דין אוסר על מסירת הודעה כאמור מטעמים חשובים של אינטרס ציבורי.
4.4 המעבד יודיע לבקר לאלתר אם לדעתו הוראה כלשהי מפרה את דיני הגנת המידע, ורשאי להשעות את ביצוע ההוראה הנוגעת בדבר עד להסדרת העניין בין הצדדים.
5. חובותיו והצהרותיו של הבקר
5.1 הבקר קובע את מטרות עיבוד המידע האישי של הלקוח ואת אמצעיו, והוא האחראי לחוקיות אותו עיבוד.
5.2 הבקר מצהיר ומתחייב כי ביסס בסיס חוקי תקף לעיבוד, כי מסר לנושאי המידע הרלוונטיים את כל המידע הנדרש לפי סעיפים 12 עד 14 ל-GDPR, וכי קיבל כל הסכמה הנדרשת לעיבוד ולהצבת עוגיות או טכנולוגיות דומות על ידי השירות.
5.3 הבקר אחראי לתוכן שמשתמשי הקצה שלו מוסרים באמצעות השירות ולהחלטות המודרציה שלו עצמו.
5.4 השירות אינו מיועד לעיבוד קטגוריות מיוחדות של מידע אישי כמשמעותן בסעיף 9 ל-GDPR או מידע אישי הנוגע להרשעות ולעבירות פליליות כמשמעותו בסעיף 10 ל-GDPR. הבקר ינחה את משתמשי הקצה שלו בהתאם ולא ימסור מידע כאמור לשירות ביודעין.
6. סודיות של כוח האדם
6.1 הגישה למידע אישי של הלקוח מוגבלת לאותם אנשים הזקוקים לה לשם ביצוע ההסכם הראשי. נכון ליום 5 באוגוסט 2026, לאף קבלן אין גישה למידע אישי של הלקוח.
6.2 כל אדם המורשה לעבד מידע אישי של הלקוח כפוף לחובת סודיות שתוסיף לחול גם לאחר תום התקשרותו. בטרם תוענק לקבלן כלשהו גישה למידע אישי של הלקוח, ידרוש המעבד התחייבות סודיות בכתב בתנאים שאינם פחותים בהגנתם מסעיף זה.
7. אבטחת העיבוד
7.1 המעבד מיישם ומקיים את האמצעים הטכניים והארגוניים המפורטים בנספח II, בהתחשב במצב הטכנולוגיה, בעלויות היישום, באופי העיבוד, בהיקפו, בנסיבותיו ובמטרותיו, וכן בסיכון לזכויותיהם ולחירויותיהם של יחידים.
7.2 המעבד רשאי לעדכן אמצעים אלה ובלבד שרמת האבטחה הכוללת לא תיפגע. שינויים מהותיים יפורסמו בעמוד זה.
7.3 הבקר אחראי להעריך אם אמצעים אלה עונים על פרופיל הסיכון שלו עצמו, וכן להגדיר את השירות באופן מאובטח, לרבות הגדרות השמירה שלו, הגדרות המודרציה שלו, הגדרת ביטול האנונימיזציה של כתובות IP שלו והטיפול במפתחות החתימה שלו לכניסה יחידה.
8. מעבדי משנה
8.1 הבקר נותן למעבד אישור כללי בכתב כמשמעותו בסעיף 28(2) ל-GDPR להעסיק את מעבדי המשנה המנויים בנספח III, וכן להעסיק מעבדי משנה נוספים בכפוף לסעיף זה. עמוד מעבדי המשנה הוא הרשימה העדכנית והמחייבת, ובכל מקרה של הבדל בינו לבין נספח III יגבר עמוד מעבדי המשנה.
8.2 המעבד ייתן לבקר הודעה של 30 ימים לפחות בטרם יחל מעבד משנה חדש לעבד מידע אישי של הלקוח, או בטרם ישונה באופן מהותי תפקידו של מעבד משנה קיים. ההודעה תימסר בדואר אלקטרוני למנהל החשבון ולכל איש קשר לענייני פרטיות שנקבע במסוף הניהול של FastComments, וכן בדרך של פרסום בעמוד מעבדי המשנה בציון מועד התחילה. לא נדרשים הרשמה לרשימת תפוצה או הצטרפות כלשהי לשם קבלת הודעה זו.
8.3 מקום שבו יש לבצע שינוי בדחיפות לשם שמירה על אבטחת השירות, על שלמותו או על רציפותו, לרבות מקום שבו מעבד משנה קיים חדל לספק את השירות הרלוונטי, נעשה חדל פירעון או שהתקשרותו מסתיימת, רשאי המעבד להעסיק מחליף ולמסור הודעה בהקדם הסביר האפשרי תחת זאת. זכות ההתנגדות שבסעיף 8.4 חלה ללא שינוי ממועד אותה הודעה.
8.4 הבקר רשאי להתנגד למעבד משנה חדש מטעמים סבירים הנוגעים להגנת מידע, בהודעה בכתב לכתובת privacy@fastcomments.com בתוך 30 ימים ממסירת ההודעה לפי סעיף 8.2 או 8.3.
8.5 עם קבלת התנגדות ידונו הצדדים בעניין בתום לב במשך 30 ימים, והמעבד יעשה מאמצים סבירים להעמיד לרשות הבקר שינוי המונע את העיבוד שכנגדו הועלתה ההתנגדות. בהתאם למעבד המשנה הנוגע בדבר, שינוי כאמור עשוי לכלול השבתה של התכונה האופציונלית המפעילה אותו, הגדרת השירות באופן שבו העיבוד שכנגדו הועלתה ההתנגדות אינו מתרחש, או העברת חשבון הבקר לאזור האיחוד האירופי. המעבד מבצע העברה זו לפי בקשה וללא תשלום. מקום שבו לא קיים שינוי כאמור, רשאי הבקר לסיים את החלק הנוגע בדבר של השירות, או את ההסכם הראשי, בהודעה בכתב, ללא כל דמי סיום מוקדם או תוצאה שלילית אחרת, ובכפוף להחזר יחסי של תשלומים ששולמו מראש בעד החלק הבלתי מנוצל של התקופה. סיום מטעם זה הוא הסעד הבלעדי של הבקר בכל הנוגע להתנגדות.
8.6 המעבד יטיל על כל מעבד משנה, בחוזה בכתב, חובות הגנת מידע השקולות מהותית לאלה שבהסכם זה, לרבות חובות האבטחה שבסעיף 32 ל-GDPR, ומקום שבו מעבד המשנה מאוגד מחוץ לאזור הכלכלי האירופי גם מנגנון העברה מתאים. מקום שבו מעבד משנה טרם התקשר בחוזה כאמור, יזוהה אותו מעבד משנה ככזה בנספח III לצד העיבוד שהוא מבצע, והמעבד יפעל להשלמת התקשרות בחוזה העונה על סעיף זה.
8.7 המעבד נותר אחראי במלואו כלפי הבקר לקיום חובותיו של כל מעבד משנה.
9. סיוע במימוש זכויות נושאי מידע
9.1 המעבד יודיע לבקר ללא דיחוי על כל בקשה שיקבל ישירות מנושא מידע בקשר למידע אישי של הלקוח, ולא ישיב לבקשה כאמור לגופה אלא כדי להפנות את נושא המידע אל הבקר, אלא אם הורה הבקר אחרת.
9.2 המעבד יודיע לבקר ללא דיחוי על כל פנייה, תלונה, הודעה או תקשורת אחרת שיקבל מרשות פיקוח או מרגולטור מוסמך אחר הנוגעת לעיבוד מידע אישי של הלקוח, וכן על כל תביעת פיצויים שתוגש בקשר לאותו עיבוד.
9.3 בהתחשב באופי העיבוד, המעבד יסייע לבקר באמצעים טכניים וארגוניים מתאימים, ככל שהדבר אפשרי, בקיום חובתו של הבקר להשיב לבקשות למימוש זכויות לפי פרק III ל-GDPR. השירות מעמיד לרשות הבקר כלים לאיתור משתמש קצה, לעריכה, למחיקה או לאנונימיזציה של תגובות והודעות צ'אט בודדות, למחיקת משתמש קצה ושל התוכן המשויך אליו, לייצוא נתוני התגובות והמשתמשים המוחזקים עבור חשבון הבקר, ולהגדרה אם כתובות IP יישמרו בצורה שאינה אנונימית. מקום שבו כלים אלה מאפשרים לבקר להשיב ללא מעורבות המעבד, זמינותם מהווה את הסיוע הנדרש לפי סעיף זה. המעבד יעניק סיוע נוסף בעלות סבירה.
10. הפרת אבטחת מידע אישי
10.1 המעבד יודיע לבקר ללא דיחוי בלתי סביר, ובכל מקרה בתוך 48 שעות, לאחר שנודע לו על הפרת אבטחת מידע אישי הנוגעת למידע אישי של הלקוח.
10.2 ההודעה תתאר, ככל הידוע במועד מסירתה: את אופי ההפרה, לרבות ככל האפשר את קטגוריות נושאי המידע הנוגעים בדבר ומספרם המשוער ואת קטגוריות הרשומות הנוגעות בדבר ומספרן המשוער; את התוצאות הצפויות של ההפרה; את האמצעים שננקטו או המוצעים לטיפול בה, לרבות אמצעים להפחתת השלכותיה השליליות האפשריות; וכן נקודת קשר שממנה ניתן לקבל מידע נוסף. מקום שבו המידע אינו זמין בבת אחת, הוא יימסר בשלבים ככל שיהפוך לזמין.
10.3 המעבד ישתף פעולה ויסייע לבקר במידה סבירה בכל הנוגע לחובותיו של הבקר עצמו לפי סעיפים 33 ו-34 ל-GDPR.
10.4 הודעה לפי סעיף זה אינה מהווה הודאה באשם או באחריות.
11. תסקירי השפעה על הגנת המידע
בהתחשב באופי העיבוד ובמידע הזמין לו, המעבד יעניק לבקר סיוע סביר בתסקירי השפעה על הגנת המידע לפי סעיף 35 ל-GDPR ובהתייעצות מוקדמת עם רשות פיקוח לפי סעיף 36 ל-GDPR, בעיקר בדרך של העמדת נספח II, עמוד מעבדי המשנה, המידע בדבר העברות שבסעיף 14 ותשובות בכתב לשאלות סבירות. סיוע מעבר לכך יינתן בעלות סבירה.
12. מחיקה והשבה של מידע אישי של הלקוח
12.1 לפי בחירת הבקר, ימחק המעבד את כל המידע האישי של הלקוח או ישיב אותו לאחר תום אספקת השירות, וימחק עותקים קיימים בכפוף לסעיף 12.3, אלא אם דין האיחוד, דין מדינה חברה או דין אחר החל מחייבים המשך אחסון.
12.2 הבקר יודיע על בחירתו בכתב לפני תום אספקת השירות או בתוך 30 ימים לאחריו. הבקר רשאי לייצא את נתוניו באמצעות כלי הייצוא של השירות במהלך אותה תקופה. בהיעדר בחירה בתוך אותה תקופה, ימחק המעבד את המידע.
12.3 המחיקה ממערכות חיות ומהעתקיהן תבוצע בתוך 30 ימים ממועד הבחירה או מתום התקופה שבסעיף 12.2. עותקים שיוריים הכלולים בגיבויים מתחלפים יימחקו עם דריסת הגיבוי שבו הם מופיעים במהלך הרגיל של מחזור ההתחלפות שלו, ובכל מקרה בתוך שנים עשר חודשים. עד אז יישארו אותם עותקים מוצפנים במנוחה, לא יעובדו באופן פעיל ולא ישמשו לכל מטרה זולת התאוששות מאסון.
12.4 רשומות בודדות יימחקו לפני תום השירות על פי הוראת הבקר או של נושא מידע, באמצעות הכלים המתוארים בסעיף 9.3.
13. ביקורות והוכחת עמידה בדרישות
13.1 המעבד יעמיד לרשות הבקר את כל המידע הדרוש להוכחת עמידה בדרישות סעיף 28 ל-GDPR, ויאפשר ביקורות, לרבות בדיקות, שיבוצעו על ידי הבקר או על ידי מבקר אחר שהבקר הסמיך, וכן יתרום להן. סעיפים 13.2 עד 13.5 מתארים כיצד מופעלת זכות זו הלכה למעשה.
13.2 מידע לפי דרישה. לפי בקשתו בכתב של הבקר, וללא תשלום, יעמיד המעבד בתוך 30 ימים: את נספח II כנוסחו אותה עת; את רשימת מעבדי המשנה העדכנית; עותק ממולא של שאלון האבטחה הסטנדרטי של המעבד; תמצית תוצאות בדיקת האבטחה האחרונה שלו; ותשובות בכתב לשאלות סבירות בכתב הנוגעות לעיבוד מידע אישי המבוצע מטעם אותו בקר. שירות זה זמין פעם אחת בכל תקופה של 12 חודשים, ובנוסף לכך לאחר הפרת אבטחת מידע אישי הנוגעת למידע אישי המעובד מטעם אותו בקר או מקום שבו רשות פיקוח דורשת זאת.
13.3 ראיון ביקורת. מקום שבו הבקר מראה באופן סביר כי המידע שנמסר לפי סעיף 13.2 אינו מספיק להוכחת עמידה בדרישות, או לאחר הפרת אבטחת מידע אישי הנוגעת למידע אישי המעובד מטעם אותו בקר, או מקום שבו רשות פיקוח דורשת זאת, יעמיד המעבד את האדם האחראי לעיבוד לראיון ביקורת מרחוק בשיחת וידאו של עד ארבע שעות, בהודעה בכתב של 30 ימים לפחות ובמועד שיוסכם בין הצדדים. הבקר או המבקר שהסמיך רשאים להציג שאלות ולבקש הדגמה של בקרות מסוימות בשיתוף מסך. שירות זה זמין ללא תשלום פעם אחת בכל תקופה של 12 חודשים.
13.4 בדיקה באתר. מקום שבו רשות פיקוח או דין קוגנטי דורשים זאת, או מקום שבו סעיפים 13.2 ו-13.3 לא הביאו לפתרונו של חשש ספציפי ומתועד בדבר עמידה בדרישות, רשאים הבקר או מבקר עצמאי שהסמיך לבדוק את מתחמי המעבד ואת מערכותיו בהודעה בכתב של 60 ימים, בשעות העבודה הרגילות, פעם אחת בכל תקופה של 12 חודשים, על חשבון הבקר לרבות זמנו הסביר של המעבד לפי תעריף שעתי שיימסר לבקר לפני הבדיקה. המבקר לא יהיה מתחרה של המעבד ויהיה כפוף להתחייבות סודיות בכתב. היקף הבדיקה מוגבל למערכות ולרשומות הנוגעות לעיבוד מידע אישי המבוצע מטעם אותו בקר. לא תינתן גישה למידע אישי של לקוח אחר, לתשתית משותפת באופן שיפגע באבטחת המידע של לקוח אחר, או לקוד המקור אלא בדרך של עיון בפיקוח.
13.5 WinrickLabs LLC אינה מחזיקה בדוח SOC 2 או בהסמכת ISO/IEC 27001 ואינה מתחייבת להשיג אף אחד מהם. אם תשיג במהלך תקופת ההסכם דוח ביקורת עצמאי של צד שלישי או תעודת הסמכה, מסירת אותו דוח תקיים את סעיפים 13.2 ו-13.3 בכל הנוגע לעניינים שהוא מכסה.
13.6 אין באמור בסעיף זה כדי להגביל או לגרוע מזכויות הבקר לפי סעיף 28(3)(h) ל-GDPR או לפי תניה 8.9 של התניות החוזיות הסטנדרטיות. מקום שבו רשות פיקוח דורשת ביקורת או בדיקה בתנאים שונים מאלה המפורטים לעיל, יקיים המעבד דרישה זו.
14. העברות בינלאומיות
14.1 היכן נשמר מידע אישי של הלקוח
אזור האיחוד האירופי. חשבונות שנוצרו בכתובת eu.fastcomments.com מוקצים לאזור האיחוד האירופי. מידע אישי של הלקוח בחשבונות אלה נשמר ומעובד בתשתית הממוקמת בתוך האזור הכלכלי האירופי, לרבות כל ההעתקים החיים וכל עותקי הגיבוי. מידע זה אינו משוכפל לאף אזור מחוץ לאזור הכלכלי האירופי.
האזור הגלובלי. בחשבונות שנוצרו בכתובת fastcomments.com, מידע אישי של הלקוח משוכפל בין אזורים, ספקי אירוח ומדינות מרובים, לרבות אזורים בארצות הברית, כדי לספק זמינות ולהגיש מידע בסמוך למשתמשי הקצה. כל אזור מקיים העתק חי באזור אחר ואצל ספק אירוח אחר.
האזורים, ספקי האירוח והמדינות החלים על כל אחד מהם מנויים בנספח III.
14.2 ניהול מרחוק
WinrickLabs LLC מאוגדת בארצות הברית. כוח האדם שלה מנהל, מתחזק, מנטר, תומך ומספק מענה לאירועי אבטחת מידע בכל האזורים, לרבות אזור האיחוד האירופי, בגישה מרחוק מארצות הברית. הצדדים מאשרים כי גישה מרחוק כאמור מהווה העברת מידע אישי למדינה שלישית כמשמעותה בפרק V ל-GDPR, לרבות ביחס למידע הנשמר אך ורק בתוך האזור הכלכלי האירופי. לפיכך, התניות החוזיות הסטנדרטיות המשולבות לפי סעיף 14.3 חלות על כל המידע האישי של הלקוח המעובד לפי הסכם זה.
14.3 תניות חוזיות סטנדרטיות
התניות החוזיות הסטנדרטיות, מודול שתיים (העברה מבקר למעבד), משולבות בהסכם זה בדרך של הפניה ומהוות חלק בלתי נפרד ממנו. נוסחן מפורסם בכתובת https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. הבקר הוא מייצא המידע ו-WinrickLabs LLC היא מייבאת המידע. מקום שבו חל סעיף 3.3, יבוא מודול שלוש תחת זאת.
הצדדים עורכים את הבחירות הבאות במסגרת התניות החוזיות הסטנדרטיות:
| הוראה | בחירה |
|---|---|
| תניה 7 (תניית ההצטרפות) | משולבת. גוף שאינו צד להסכם רשאי להצטרף כמייצא מידע בדרך של השלמת נספח I וחתימה על נספח I.A. |
| תניה 9(a) (מעבדי משנה) | אפשרות 2, אישור כללי בכתב. תקופת ההודעה היא 30 ימים, כמפורט בסעיף 8.2. |
| תניה 11(a), פסקה אופציונלית (גוף עצמאי ליישוב סכסוכים) | לא אומצה. הפסקה האופציונלית אינה חלה. |
| תניה 13 ונספח I.C (רשות הפיקוח המוסמכת) | כפי שנקבע לפי נספח I.C. |
| תניה 17 (הדין החל) | אפשרות 1. התניות החוזיות הסטנדרטיות כפופות לדין אירלנד. |
| תניה 18(b) (בחירת פורום) | בתי המשפט של אירלנד. תניה 18(c) נשמרת: נושא מידע רשאי להגיש הליכים במדינה החברה שבה מקום מגוריו הרגיל. |
תניות 8.9, 12, 14, 15 ו-16 של התניות החוזיות הסטנדרטיות חלות ללא שינוי. סעיפים 13 ו-15 להסכם זה מתארים כיצד מופעלות תניות אלה הלכה למעשה ואינם מגבילים אותן.
14.4 הממלכה המאוחדת
לגבי העברות הכפופות ל-UK GDPR, תוספת הממלכה המאוחדת משולבת בדרך של הפניה וחלה על התניות החוזיות הסטנדרטיות כפי ששולבו לפי סעיף 14.3. טבלאותיה מולאו בתוספת 1.
14.5 שווייץ
לגבי העברות הכפופות ל-FADP, התניות החוזיות הסטנדרטיות חלות בשינויים שבתוספת 2.
14.6 השפעת ההעברה
לצדדים אין יסוד להאמין, בהתחשב בנסיבות ההעברה, בדיניה ובנוהגיה של ארצות הברית ובאמצעי ההגנה המיושמים, כי הדינים והנוהגים החלים על WinrickLabs LLC מונעים ממנה לקיים את חובותיה לפי התניות החוזיות הסטנדרטיות.
נסיבות ההעברה. מידע אישי של הלקוח מורכב בעיקרו מתוכן שהבקר מפרסם בפומבי בנכסיו שלו, לצד שמות תצוגה, כתובות דואר אלקטרוני אופציונליות, וכברירת מחדל ערכי גיבוב קריפטוגרפיים מומלחים של כתובות IP חלף כתובות ה-IP עצמן. אין מבוקשות ואין נדרשות קטגוריות מיוחדות של מידע אישי. היקף המידע האישי הנוגע לכל נושא מידע הוא מזערי מעצם התכנון.
דיני המעקב של ארצות הברית. WinrickLabs LLC היא חברה בעירבון מוגבל פרטית. מעולם לא קיבלה הנחיה, צו, בקשה או הליך אחר שהוצאו לפי Section 702 של ה-Foreign Intelligence Surveillance Act, לפי Executive Order 12333, בדמות National Security Letter, או לפי ה-Clarifying Lawful Overseas Use of Data Act. אין לה כל סוג של קשר עם סוכנות מודיעין כלשהי של ארצות הברית, ומעולם לא העניקה לממשלה כלשהי גישה ישירה או עקיפה למידע אישי של הלקוח. היא אינה נמנית עם ספקי התקשורת והענן הגדולים שאליהם הופנו היסטורית הנחיות לפי Section 702, ואינה מפעילה כל מתקן שעליו הוחל איסוף כאמור.
אמצעי הגנה. הצפנת דיסק מלאה במנוחה בכל השרתים לרבות יעדי הגיבוי; TLS בגרסה 1.2 או גבוהה יותר לכל המידע במעבר; שמירת מידע באזור האיחוד האירופי ללא שכפול של מידע זה מחוץ לאזור הכלכלי האירופי; שמירת כתובות IP כערכי גיבוב מומלחים אלא אם בחר הבקר אחרת; אימות רב-שלבי בכל חשבונות הייצור, הספקים, רשם הדומיינים ובקרת המקור; הגבלת הגישה למערכות הייצור לאנשים נקובים בשם לפי עקרון ההרשאה המזערית; וכן ההתחייבויות שבסעיף 15 לתקוף בקשות בלתי חוקיות, לגלות רק את המינימום הנדרש ולהודיע לבקר בכל מקום שבו הדבר מותר בדין.
הערכה מחדש. המעבד יבצע הערכה זו מחדש לפחות אחת לשנה, וכן עם היוודע לו על כל שינוי בדין או בנוהג החלים העשוי להשפיע עליה. מקום שבו לא יוכל עוד לקיים את התניות החוזיות הסטנדרטיות, יודיע על כך לבקר בהתאם לתניות 14(f) ו-16.
14.7 Data Privacy Framework
WinrickLabs LLC אינה מוסמכת לפי ה-EU-US Data Privacy Framework, לפי הרחבת הממלכה המאוחדת שלו או לפי ה-Swiss-US Data Privacy Framework, ואינה נסמכת על החלטת נאותות כמנגנון ההעברה שלה. היא נסמכת על התניות החוזיות הסטנדרטיות.
15. בקשות של רשויות שלטון ואכיפת חוק
עם קבלת בקשה מחייבת מבחינה משפטית מרשות ציבורית לגילוי מידע אישי של הלקוח, המעבד: מודיע לבקר ללא דיחוי אלא אם הדבר אסור עליו בדין, ומקום שבו הדבר אסור עושה מאמצים סבירים להשיג פטור מאותו איסור; תוקף את הבקשה מקום שבו היא בלתי חוקית, רחבה מן הנדרש או סותרת את דין האיחוד האירופי או של מדינה חברה; מגלה לא יותר מן המינימום הנדרש לאחר בחינה קפדנית של הבקשה; ומתעד את הבקשה ומעמיד תיעוד זה לרשות הבקר ולרשות הפיקוח המוסמכת לפי דרישה.
נכון ליום 5 באוגוסט 2026, WinrickLabs LLC לא קיבלה בקשה כאמור.
16. רישום פעולות העיבוד
המעבד מנהל רישום של כל קטגוריות פעולות העיבוד המבוצעות מטעם בקרים, הכולל את המידע הנדרש לפי סעיף 30(2) ל-GDPR, ומעמיד רישום זה לרשות רשות פיקוח לפי דרישה.
17. אחריות
17.1 אחריותו של כל צד לפי הסכם זה כפופה להחרגות ולהגבלות האחריות המפורטות בהסכם הראשי, ככל שאותן החרגות והגבלות חלות על אותו צד. אותן החרגות והגבלות עצמן חלות במידה שווה על תביעות לפי הסכם זה ועל תביעות לפי ההסכם הראשי. הסכם זה אינו יוצר הגבלת אחריות נפרדת או נוספת כלשהי.
17.2 סעיף 17.1 אינו מגביל ואינו מחריג: אחריות שלא ניתן להגבילה או להחריגה לפי הדין החל; אחריותו של צד כלפי נושא מידע לפי תניה 12 של התניות החוזיות הסטנדרטיות או לפי סעיף 82 ל-GDPR; או חובותיו של צד כלפי רשות פיקוח.
17.3 הוראות הבוררות והוויתור על תובענות ייצוגיות שבתנאי השירות אינן חלות על תביעה כלשהי הנובעת מהסכם זה או מהתניות החוזיות הסטנדרטיות.
18. תקופת ההסכם, סיומו והוראות שיוסיפו לחול
הסכם זה נכנס לתוקף במועד התחילה ויוסיף לחול כל עוד המעבד מעבד מידע אישי של הלקוח, על אף סיומו של ההסכם הראשי. סעיפים 6, 7, 10, 12, 13, 14, 15 ו-17 יוסיפו לחול גם לאחר הסיום.
19. הדין החל וסמכות השיפוט
19.1 הסכם זה, וכל סכסוך או תביעה הנובעים ממנו או הקשורים אליו, לרבות סכסוך או תביעה שאינם חוזיים, כפופים לדיני רפובליקת אירלנד, ולבתי המשפט של אירלנד תהיה סמכות השיפוט. סעיף זה גובר על הוראות תנאי השירות בדבר הדין החל, מקום השיפוט, בוררות וויתור על תובענות ייצוגיות, בכל הנוגע לסכסוכים הנובעים מהסכם זה.
19.2 סעיף 19.1 אינו גורע מתניה 18(c) של התניות החוזיות הסטנדרטיות, שלפיה נושא מידע רשאי להגיש הליכים במדינה החברה שבה מקום מגוריו הרגיל.
19.3 לגבי העברות הכפופות ל-UK GDPR, יחולו הוראות הדין החל ומקום השיפוט של תוספת הממלכה המאוחדת חלף סעיף 19.1.
20. שינויים בהסכם זה
20.1 המעבד רשאי לעדכן הסכם זה מקום שבו שינוי בדיני הגנת המידע, החלטה של רשות פיקוח או של בית משפט, שינוי בתניות החוזיות הסטנדרטיות או בתוספת הממלכה המאוחדת, או שינוי בשירות, מחייבים זאת.
20.2 המעבד יודיע למנהל החשבון של הבקר בדואר אלקטרוני 30 ימים לפחות לפני כניסתו לתוקף של שינוי מהותי, ויפרסם את ההסכם המעודכן בעמוד זה. שינויים שאינם מהותיים ייכנסו לתוקף עם פרסומם.
20.3 מקום שבו הבקר מתנגד לשינוי מהותי מטעמי הגנת מידע סבירים בתוך 30 ימים ממסירת ההודעה, ידונו הצדדים בעניין בתום לב. בהיעדר הסכמה, רשאי הבקר לסיים את השירות הנוגע בדבר ללא כל דמי סיום מוקדם או תוצאה שלילית אחרת, ובכפוף להחזר יחסי של תשלומים ששולמו מראש בעד החלק הבלתי מנוצל של התקופה.
21. כללי
21.1 הודעות. הודעות למעבד לפי הסכם זה יישלחו לכתובת privacy@fastcomments.com. הודעות לבקר יישלחו לכתובת הדואר האלקטרוני של מנהל החשבון ולכל איש קשר לענייני פרטיות שנקבע במסוף הניהול. הודעה שנשלחה בדואר אלקטרוני תיחשב כאילו התקבלה ביום העסקים שלאחר שליחתה.
21.2 צורה אלקטרונית. הצדדים מסכימים כי הסכם זה בצורה אלקטרונית מקיים את סעיף 28(9) ל-GDPR וכל דרישה שהחוזה ייערך בכתב.
21.3 הפרדה. אם נקבע כי הוראה מהוראות הסכם זה בטלה או אינה ניתנת לאכיפה, יוסיפו יתר ההוראות לעמוד בתוקפן.
21.4 היעדר ויתור. הימנעות ממימוש זכות לפי הסכם זה אינה מהווה ויתור עליה.
21.5 המחאה. המעבד רשאי להמחות הסכם זה לחליף בקשר עם מיזוג, רכישה או מכירה של כל נכסיו או של רובם ככולם, בהודעה לבקר.
21.6 מלוא ההסכמות. הסכם זה מהווה את מלוא ההסכמות בין הצדדים בכל הנוגע לעיבוד מידע אישי של הלקוח.
22. שפה
הסכם זה נערך ונחתם בשפה האנגלית. תרגומים מועמדים לנוחות בלבד. בכל מקרה של אי-התאמה, עמימות, סתירה או הבדל בפרשנות בין הנוסח האנגלי לבין תרגום, יגבר הנוסח האנגלי והוא הנוסח המוסמך והמחייב היחיד לכל מטרה, לרבות פרשנות, ביצוע ויישוב כל סכסוך. שמות של ישויות משפטיות, כתובות, אזכורים חקיקתיים ונוסח התניות החוזיות הסטנדרטיות אינם מתורגמים. כל צד מאשר כי הוא פועל במהלך עסקיו וכי ניתנה לו הזדמנות לקבל תרגום עצמאי וייעוץ משפטי עצמאי. אין בסעיף זה כדי לגרוע מחובותיו של הבקר עצמו לפי סעיפים 12 עד 14 ל-GDPR למסור מידע לנושאי מידע בשפה ברורה ופשוטה.
23. נקודת קשר ומעמד רגולטורי
23.1 נקודת הקשר לכל ענייני הגנת המידע, לרבות פניות לפי סעיפים 8.4, 13.2 ו-13.3, היא Devon Winrick, privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States.
23.2 WinrickLabs LLC לא מינתה ממונה על הגנת המידע, לאחר שהעריכה כי אין מתקיימים התנאים שבסעיף 37(1) ל-GDPR.
23.3 WinrickLabs LLC אינה מחזיקה, ואינה טוענת כי היא מחזיקה, בהסמכת SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS או CSA STAR. כל הסמכה הנזכרת בהסכם זה ביחס למעבד משנה מוחזקת על ידי אותו מעבד משנה ביחס למתקניו ולשירותיו שלו ואינה הסמכה של WinrickLabs LLC.
24. חתימה
המעבד
WinrickLabs LLC, doing business as FastComments
50 Iron Point Circle, Suite 140, PMB 1019
Folsom, CA 95630, United States
Devon Winrick
Chief Executive Officer
נחתם ביום 5 באוגוסט 2026
הבקר
להשלמה על ידי הבקר
להשלמה על ידי הבקר
מתקבל על ידי הבקר עם קבלת תנאי השירות, או בחתימת נגד על הסכם זה.
נספח I
A. רשימת הצדדים
מייצא המידע
| שם | להשלמה על ידי הבקר |
|---|---|
| כתובת | להשלמה על ידי הבקר |
| איש קשר | להשלמה על ידי הבקר |
| פעילויות הרלוונטיות למידע המועבר | הפעלת אתר, יישום או שירות אחד או יותר שבהם מוטמע שירות התגובות, הצ'אט החי והדיונים של FastComments, וניהול התוכן שנוצר על ידי משתמשים ונמסר באמצעותו. |
| חתימה ותאריך | נעשית בדרך של קבלת תנאי השירות, או בחתימת נגד על הסכם זה, במועד התחילה. |
| תפקיד | בקר. מעבד מקום שבו חל סעיף 3.3. |
מייבא המידע
| שם | WinrickLabs LLC, doing business as FastComments, חברה בעירבון מוגבל שהתאגדה לפי דיני מדינת קליפורניה, ארצות הברית. |
|---|---|
| כתובת | 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States. |
| איש קשר | Devon Winrick, Chief Executive Officer, privacy@fastcomments.com |
| פעילויות הרלוונטיות למידע המועבר | אספקה, אירוח, ניהול, תחזוקה, תמיכה ואבטחה של פלטפורמה מקוונת רב-דיירית לתגובות, לצ'אט חי ולדיונים, לרבות ניהול מרחוק של תשתית אזור האיחוד האירופי ושל אזורים שמחוץ לאיחוד האירופי מארצות הברית. |
| חתימה ותאריך | נחתם ביום 5 באוגוסט 2026. |
| תפקיד | מעבד. |
B. תיאור ההעברה
קטגוריות נושאי המידע
- משתמשי קצה ומבקרים באתרים וביישומים של הבקר המפרסמים תגובות או הודעות צ'אט, עורכים אותן, מגיבים להן, מצביעים עליהן, נרשמים אליהן או נזכרים בהן בשמם.
- משתמשי קצה הקוראים תוכן המוגש על ידי השירות ואשר מטא-נתוני החיבור שלהם מעובדים לצורכי אבטחה ומניעת שימוש לרעה.
- כוח האדם של הבקר עצמו העושה שימוש בתכונות המודרציה, הניהול או ה-API של השירות.
- משתמשי קצה שהבקר הקצה באמצעות כניסה יחידה.
קטגוריות המידע האישי
- שם תצוגה או שם משתמש.
- כתובת דואר אלקטרוני, מקום שבו נושא המידע או הבקר מוסרים אותה. מתן תגובות באופן אנונימי נתמך.
- אווטאר או תמונת פרופיל, או קישור אליהם.
- תוכן התגובות, הודעות הצ'אט והתשובות, וכל מדיה או קובץ שנושא המידע מעלה.
- ערך גיבוב קריפטוגרפי מומלח של כתובת ה-IP. מקום שבו הבקר מפעיל את הגדרת ביטול האנונימיזציה המתוארת בסעיף 7.3, נשמרת כתובת ה-IP בצורתה המקורית תחת זאת.
- הצבעות, תגובות רגשיות, דיווחים, חסימות וסטטוס מודרציה.
- חותמות זמן, מזהי עמוד ומזהי שרשור, ומחרוזת סוכן המשתמש.
- העדפות התראות ומינויים.
- מזהי כניסה יחידה וכל מאפיין נוסף שהבקר בוחר להעביר.
- לגבי המשתמשים המנהלתיים של הבקר: שם, כתובת דואר אלקטרוני, פרטי אימות בצורת ערכי גיבוב, נתוני הפעלה, וכתובות IP הקשורות לפעולות ניהוליות מקום שבו הבקר הפעיל את יומן הביקורת.
מידע רגיש
השירות אינו מיועד לקטגוריות מיוחדות של מידע אישי, ולפי סעיף 5.4 הבקר אינו מוסר אותן ביודעין ומנחה את משתמשי הקצה שלו בהתאם. מקום שבו משתמש קצה כולל מידע כאמור בתוכן חופשי מיוזמתו שלו, יחולו ההגבלות הבאות: הצפנה במנוחה; הגבלת הגישה למספר המזערי של אנשים מורשים; היעדר שימוש משני; היעדר פרופיילינג; היעדר גילוי אלא על פי הוראת הבקר או כנדרש בדין; והיעדר שימוש לפיתוחו או לאימונו של מודל כלשהו.
תדירות ההעברה
רציפה, על בסיס שוטף, למשך תקופת ההסכם הראשי.
אופי העיבוד
איסוף, רישום, ארגון, מבנה, אחסון, אחזור, עיון, שידור והצגה פומבית בנכסי הבקר, מודרציה וסינון תוכן, ניקוד אוטומטי של דואר זבל ושל מודרציית תמונות מקום שבו הבקר מפעיל זאת, מסירת התראות, גיבוי ושכפול, הגבלה, מחיקה והשמדה.
מטרת ההעברה והעיבוד הנוסף
אספקת השירות לבקר, מסירת התראות, מודרציה ומניעת שימוש לרעה, אבטחה, זמינות והתאוששות מאסון, ותמיכה טכנית, בכל מקרה אך ורק על פי הוראותיו המתועדות של הבקר.
תקופת השמירה
למשך תקופת ההסכם הראשי ולאחריה כמפורט בסעיף 12. רשומות בודדות יימחקו מוקדם יותר על פי הוראת הבקר או של נושא מידע.
העברות למעבדי משנה
כמפורט בנספח III, המציין לגבי כל מעבד משנה את נושא העיבוד שהוא מבצע, את אופיו ואת משכו, שהוא תקופת ההסכם הראשי או, לגבי מעבד משנה המועסק רק על ידי תכונה אופציונלית, התקופה שבה הבקר מפעיל אותה תכונה.
C. רשות הפיקוח המוסמכת
- מקום שבו מייצא המידע מאוגד במדינה חברה של האיחוד האירופי: רשות הפיקוח של אותה מדינה חברה.
- מקום שבו מייצא המידע אינו מאוגד במדינה חברה של האיחוד האירופי אך נכלל בתחולה הטריטוריאלית של ה-GDPR לפי סעיף 3(2) ומינה נציג לפי סעיף 27: רשות הפיקוח של המדינה החברה שבה מאוגד אותו נציג.
- מקום שבו מייצא המידע אינו מאוגד במדינה חברה של האיחוד האירופי ולא מינה נציג לפי סעיף 27: ה-Data Protection Commission of Ireland.
- לגבי העברות הכפופות ל-UK GDPR: ה-Information Commissioner's Office.
- לגבי העברות הכפופות ל-FADP: ה-Federal Data Protection and Information Commissioner.
נספח II - אמצעים טכניים וארגוניים
האמצעים המפורטים להלן הם אלה המיושמים על ידי WinrickLabs LLC. אמצעים המתוארים כחלים על מרכז נתונים או על פלטפורמה של מעבד משנה מיושמים על ידי אותו מעבד משנה ביחס למתקניו שלו.
1. פסאודונימיזציה והצפנה של מידע אישי
- הצפנת דיסק מלאה מיושמת במנוחה בכל השרתים, לרבות אלה המחזיקים עותקי גיבוי.
- כל המידע במעבר מוגן באמצעות TLS בגרסה 1.2 או גבוהה יותר.
- כתובות IP נשמרות כערכי גיבוב קריפטוגרפיים מומלחים. כתובת ה-IP המקורית נשמרת רק מקום שבו הבקר מפעיל את הגדרת ביטול האנונימיזציה בחשבונו שלו. ערך גיבוב מומלח של כתובת IP נותר מידע אישי ומטופל ככזה לפי הסכם זה.
- פרטי האימות של חשבונות ניהוליים נשמרים כערכי גיבוב מומלחים ולעולם לא בצורה הניתנת לשחזור.
2. סודיות, שלמות, זמינות וחוסן של מערכות העיבוד
- השירות פרוס על פני אזורים מרובים וספקי אירוח מרובים.
- כל אזור מקיים העתק חי באזור אחר ואצל ספק אירוח אחר.
- מידע של דיירים מבודד לוגית לפי מזהה הדייר בכל שכבה של היישום ושל מודל הנתונים.
- מארחי הייצור מוגנים בחומת אש ורשתות הייצור מופרדות מכל שאר הסביבות.
3. שחזור הזמינות והגישה לאחר אירוע
- עותקי גיבוי נלקחים במחזורים יומיים, חודשיים ושנתיים. הם נכתבים לאמצעי אחסון מוצפנים, מועברים על גבי TLS, ונשמרים הן אצל ספק אירוח שאינו זה המחזיק במידע החי והן אצל ספק אחסון אובייקטים עצמאי.
- עותקי גיבוי של מידע אזור האיחוד האירופי נשמרים אך ורק בתוך האזור הכלכלי האירופי.
- הליך השחזור מתועד, ושחזור מבוצע ומאומת לפחות אחת לשנה.
4. בדיקה, הערכה ואמידה סדירות של האפקטיביות
- בדיקות חדירה עצמאיות על ידי צד שלישי מבוצעות לפחות אחת לשנה.
- סריקה אוטומטית של תלויות ושל פגיעויות פועלת ברציפות מול בסיס קוד הייצור.
- כל שינוי בקוד הייצור עובר סקירה ממוקדת אבטחה לפני הפריסה.
5. זיהוי משתמשים והרשאות
- הגישה למערכות ייצור המכילות מידע אישי של הלקוח מוגבלת לאנשים נקובים בשם בעלי צורך תפעולי מתועד.
- נעשה שימוש בחשבונות אישיים נקובים בשם לכל אורך הדרך. לא נעשה שימוש בפרטי גישה משותפים.
- אימות רב-שלבי נאכף בכל מערכות הייצור, בכל חשבונות ספקי האירוח והשירות, בחשבון רשם הדומיינים ובחשבון בקרת המקור.
- הרשאות גישה ניתנות לפי עקרון ההרשאה המזערית, נסקרות עם כל שינוי בכוח האדם, ומבוטלות ללא דיחוי עם תום התקשרותו של אדם.
6. הגנה על המידע במהלך השידור
- TLS בגרסה 1.2 או גבוהה יותר נאכף עבור וידג'ט התגובות והצ'אט, ה-API הציבורי, מסוף הניהול, מסירת אירועי webhook ושכפול בין אזורים.
- HTTP Strict Transport Security מופעל. לא מוצעת נקודת קצה לא מוצפנת.
7. הגנה על המידע במהלך האחסון
- הצפנה במנוחה כמתואר בסעיף 1 לנספח זה, המיושמת על מערכות חיות, על העתקים ועל אמצעי גיבוי כאחד.
- מפתחות הצפנת הדיסקים מוחזקים בידי WinrickLabs LLC ואינם נגישים לאף ספק אירוח.
8. אבטחה פיזית
- WinrickLabs LLC אינה מפעילה מרכז נתונים משלה. כל מערכות הייצור מתארחות במתקנים המופעלים על ידי מעבדי משנה האירוח המנויים בנספח III, המספקים בקרת גישה פיזית, אספקת חשמל מגובה, קירור וקישוריות רשת לאותם מתקנים.
- תחנות העבודה של המנהלים מוגנות בהצפנת דיסק מלאה, בנעילת מסך אוטומטית ובאימות רב-שלבי.
9. תיעוד אירועים
- פעולות ניהוליות ואירועי אימות מתועדים.
- התיעוד, דיווח השגיאות וניהול פניות התמיכה מופעלים על ידי WinrickLabs LLC על תשתיתה שלה. אף שירות צד שלישי לתיעוד, למעקב שגיאות, לאנליטיקה או לתמיכה אינו מקבל מידע אישי של הלקוח.
- יומן ביקורת של פעולות ניהוליות זמין לבקר במסוף הניהול.
10. תצורת המערכת וממשל
- עדכוני אבטחה מוחלים לפי סדר עדיפויות מבוסס סיכון, כאשר עדכונים קריטיים מוחלים ללא דיחוי.
- השירותים המותקנים מוגבלים למינימום הנדרש. לא נעשה שימוש בפרטי גישה שהם ברירת מחדל.
- סודות מוחזקים מחוץ לבקרת המקור.
- WinrickLabs LLC מקיימת תוכנית כתובה לתגובה לאירועי אבטחה, המכסה גילוי, בלימה, הערכה, הודעה וסקירה שלאחר האירוע.
- נקודת קשר לדיווחי אבטחה ופגיעויות מפורסמת בכתובת privacy@fastcomments.com.
11. הסמכה והבטחת עמידה בדרישות
WinrickLabs LLC אינה מחזיקה, ואינה טוענת כי היא מחזיקה, בהסמכת SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS או CSA STAR, ואינה מציגה כל מצג כי תשיג הסמכה כאמור. כל הסמכה הנזכרת בהסכם זה ביחס למעבד משנה מוחזקת על ידי אותו מעבד משנה ביחס למתקניו ולשירותיו שלו. מידע כרטיסי תשלום אינו נשמר ואינו מעובד על ידי WinrickLabs LLC; פרטי הכרטיס נאספים ומעובדים ישירות על ידי מעבד משנה התשלומים שלה.
12. צמצום המידע, איכותו ושמירתו
- השירות דורש שם תצוגה בלבד. כתובת דואר אלקטרוני היא אופציונלית ומתן תגובות באופן אנונימי נתמך.
- כתובות IP עוברות פסאודונימיזציה כברירת מחדל כמתואר בסעיף 1 לנספח זה.
- נושאי מידע והבקר רשאים לתקן נתוני פרופיל ולערוך או למחוק תוכן באמצעות השירות.
- תקופת השמירה ניתנת להגדרה על ידי הבקר. המחיקה עם סיום ההתקשרות כפופה לסעיף 12 להסכם זה.
13. ניידות ומחיקה
- מסוף הניהול מאפשר ייצוא של נתוני התגובות והמשתמשים המוחזקים עבור חשבון הבקר.
- מסוף הניהול וה-API מאפשרים מחיקה של תגובות בודדות, של משתמשי קצה בודדים ושל חשבון הבקר במלואו.
14. אמצעים להעברות למעבדי משנה
- כל מעבד משנה מועסק על פי חוזה בכתב המטיל חובות הגנת מידע השקולות מהותית לאלה שבהסכם זה, למעט מקום שבו נספח III מציין אחרת.
- כל מעבד משנה נבחן לפני העסקתו ותפקידו נרשם בנספח III ובעמוד מעבדי המשנה.
- מעבדי משנה המשמשים לחשבונות אזור האיחוד האירופי מעבדים מידע זה בתוך האזור הכלכלי האירופי.
נספח III - רשימת מעבדי המשנה
הבקר נותן אישור כללי בכתב להעסקת מעבדי המשנה המנויים להלן. עמוד מעבדי המשנה הוא הרשימה העדכנית והמחייבת והוא משולב בהסכם זה בדרך של הפניה. העמודה "אזור" מציינת אם מעבד המשנה מעבד מידע עבור חשבונות אזור האיחוד האירופי, עבור חשבונות האזור הגלובלי, או עבור שניהם.
| מעבד משנה | פעילות העיבוד | מקום העיבוד | אזור |
|---|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Germany |
אירוח שרתי יישום ושרתי מסדי נתונים. Hetzner Finland Oy, Huurrekuja 10, 04360 Tuusula, Finland, מועסקת על ידי Hetzner Online GmbH לשכירת מבנים ולתמיכה טכנית באתר בפינלנד. | Falkenstein, Germany. Tuusula, Finland. | שניהם |
| OVH SAS 2 rue Kellermann, 59100 Roubaix, France |
אירוח שרתי יישום ושרתי מסדי נתונים. | Gravelines, France | האיחוד האירופי |
| OVH GmbH Oskar-Jäger-Str. 173/K6, 50825 Köln, Germany |
אירוח שרתי יישום ושרתי מסדי נתונים. | Limburg an der Lahn, Germany | האיחוד האירופי |
| OVH US LLC 11950 Democracy Drive, Suite 300, Reston, VA 20190, United States |
אירוח שרתי יישום ושרתי מסדי נתונים. | Hillsboro, Oregon and Vint Hill, Virginia, United States | גלובלי |
| BrainStorm Network, Inc., trading as OneProvider 3275 Av Francis-Hughes, Laval, QC H7L 5A5, Canada |
אירוח שרתי יישום ושרתי מסדי נתונים. OneProvider משווקת מחדש במיקום זה קיבולת המופעלת על ידי צדדים שלישיים. | São Paulo, Brazil | גלובלי |
| Wasabi Technologies LLC 75 Arlington Street, Suite 810, Boston, MA 02116, United States |
אחסון אובייקטים של עותקי גיבוי תקופתיים מוצפנים. | Frankfurt, Germany עבור גיבויי אזור האיחוד האירופי. Oregon, United States עבור גיבויי האזור הגלובלי. | שניהם |
| Akamai Technologies, Inc. 145 Broadway, Cambridge, MA 02142, United States |
מסירת אירועי webhook יוצאים לנקודות קצה שהבקר ייעד. | United States | שניהם |
| Deep Infra, Inc. 2625 Middlefield Road #460, Palo Alto, CA 94306, United States |
סיווג אוטומטי של דואר זבל, מודרציה של תוכן תמונות, ותכונות סוכן המודרציה והעוזר. מועסקת רק מקום שבו הבקר מפעיל אחת או יותר מתכונות אלה. | United States | שניהם, מקום שהופעלו |
| Mailgun Technologies, Inc. 112 E Pecan Street #1135, San Antonio, TX 78205, United States |
מסירת דואר אלקטרוני של התראות ודואר טרנזקציוני למשתמשי קצה ולמנהלים. | United States או האיחוד האירופי, בהתאם לאזור שנבחר למסירה | שניהם |
| SIB INC. US, trading as Brevo 2140 South Dupont Highway, Camden, DE 19934, United States, part of the group headed by Sendinblue SAS, 17 rue Salneuve, 75017 Paris, France |
מסירת דואר אלקטרוני של התראות ודואר טרנזקציוני למשתמשי קצה ולמנהלים. | France and Belgium | שניהם |
מעמדם החוזי של מעבדי המשנה. כל מעבד משנה המנוי לעיל מועסק על פי חוזה בכתב המשלב את תנאי עיבוד המידע של אותו ספק, למעט שני החריגים הבאים, המצוינים כאן כדי שהבקר יוכל להעריכם.
Deep Infra, Inc. אינה מפרסמת הסכם עיבוד מידע או תניות חוזיות סטנדרטיות, ולא קיים חוזה כאמור נכון ליום 5 באוגוסט 2026. WinrickLabs LLC פועלת להשגתו. מעבד משנה זה מועסק רק מקום שבו הבקר מפעיל את תכונות הסיווג האוטומטי של דואר זבל, מודרציית תוכן התמונות, סוכן המודרציה או העוזר. תכונות אלה כבויות כברירת מחדל. מקום שבו הבקר אינו מפעיל אותן, לא מגולה למעבד משנה זה מידע אישי כלשהו של הלקוח בשום שלב. בקר שאינו מעוניין שמידע שלו יעובד על ידי מעבד משנה זה רשאי להותיר תכונות אלה כבויות, או לכבותן, בכל עת וללא תשלום. תנאיו המפורסמים של הספק קובעים כי מידע הנמסר לממשקיו אינו נשמר, אינו נמכר ואינו משמש לאימון מודלים. המודלים שבהם משתמש השירות מתארחים אצל אותו ספק על תשתיתו שלו; לא מועבר מידע לספק מודלים נוסף כלשהו.
BrainStorm Network, Inc. אינה מפרסמת הסכם עיבוד מידע, ולא קיים חוזה כאמור נכון ליום 5 באוגוסט 2026. WinrickLabs LLC פועלת להשגתו. מעבד משנה זה מארח שרתים באזור הגלובלי בלבד. מידע אישי של לקוח השייך לחשבון של אזור האיחוד האירופי אינו מעובד על ידי מעבד משנה זה בשום שלב.
ספקים שאינם מעבדים מידע אישי של הלקוח. Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, מעבדת את נתוני החיוב והתשלום של הבקר עצמו. אלה מהווים מידע חשבון כמשמעותו בסעיף 3.2, שביחס אליו פועלת WinrickLabs LLC כבקר עצמאי, ולפיכך אין היא מעבד משנה לפי הסכם זה. פרטי כרטיסי תשלום נאספים ומעובדים ישירות על ידי Stripe ואינם נשמרים על ידי WinrickLabs LLC.
שירותים המופעלים ללא צד שלישי. מסירת התוכן, תיעוד היישום, דיווח השגיאות וניהול פניות התמיכה מופעלים על ידי WinrickLabs LLC על התשתית המנויה לעיל. אף רשת מסירת תוכן, שירות תיעוד, שירות מעקב שגיאות, שירות אנליטיקה או מוקד תמיכה של צד שלישי אינם מקבלים מידע אישי של הלקוח.
תוספת 1 - UK International Data Transfer Addendum
לגבי העברות הכפופות ל-UK GDPR, תוספת הממלכה המאוחדת משולבת בדרך של הפניה וטבלאותיה ממולאות כדלקמן. מקום שבו התניות הקוגנטיות של תוספת הממלכה המאוחדת סותרות את התניות החוזיות הסטנדרטיות כפי ששולבו לפי סעיף 14.3, תגבר תוספת הממלכה המאוחדת לגבי אותן העברות.
| טבלה 1: הצדדים | מועד תחילה: מועד התחילה. מייצא: הבקר, כמפורט בנספח I.A. מייבא: WinrickLabs LLC, כמפורט בנספח I.A. אנשי הקשר העיקריים: כמפורט בנספח I.A. |
|---|---|
| טבלה 2: התניות החוזיות הסטנדרטיות שנבחרו, המודולים והתניות שנבחרו | ה-Approved EU SCCs כפי ששולבו לפי סעיף 14.3, מודול שתיים, עם הבחירות המצוינות באותו סעיף: תניה 7 משולבת; תניה 9 אפשרות 2 עם תקופת הודעה של 30 ימים; הפסקה האופציונלית של תניה 11 לא אומצה; תניה 17 אפשרות 1, אירלנד; תניה 18(b) אירלנד. |
| טבלה 3: פרטי הנספחים | Annex 1A רשימת הצדדים: נספח I.A להסכם זה. Annex 1B תיאור ההעברה: נספח I.B. Annex II אמצעים טכניים וארגוניים: נספח II. Annex III רשימת מעבדי המשנה: נספח III. |
| טבלה 4: סיום תוספת זו עם שינוי ה-Approved Addendum | אף צד. |
בתניות החוזיות הסטנדרטיות, כפי שהן חלות על העברות הכפופות ל-UK GDPR: אזכורים ל-GDPR ייקראו כאזכורים ל-UK GDPR; אזכורים לתקנה (EU) 2016/679 ייקראו כאזכורים לאותה תקנה כפי שנקלטה בדין הממלכה המאוחדת ול-Data Protection Act 2018; אזכורים לרשות פיקוח ייקראו כאזכורים ל-Information Commissioner; אזכורים למדינה חברה ייקראו כאזכורים לממלכה המאוחדת; ואזכורים לאזור הכלכלי האירופי ייקראו כאזכורים לממלכה המאוחדת.
תוספת 2 - שינויים שווייצריים
מקום שבו העברה כפופה ל-FADP, יחולו התניות החוזיות הסטנדרטיות בשינויים הבאים.
- רשות הפיקוח המוסמכת לפי תניה 13 ולפי נספח I.C היא ה-Federal Data Protection and Information Commissioner ביחס להעברות הכפופות ל-FADP בלבד. מקום שבו העברה כפופה הן ל-FADP והן ל-GDPR, ה-Federal Data Protection and Information Commissioner מוסמך לגבי ההיבטים השווייצריים והרשות שנקבעה לפי נספח I.C מוסמכת לגבי ההיבטים של האיחוד האירופי.
- אזכורים ל-GDPR ייקראו כאזכורים ל-FADP מקום שבו ההעברה כפופה לו, ואזכורים לדין האיחוד האירופי או לדין מדינה חברה ייקראו כאזכורים לדין השווייצרי מקום שהדבר רלוונטי.
- המונח "מדינה חברה" לא יתפרש באופן השולל מנושאי מידע בשווייץ את האפשרות להגיש הליכים במקום מגוריהם הרגיל בהתאם לתניה 18(c).
- התניות החוזיות הסטנדרטיות מגנות גם על מידע אישי של ישויות משפטיות, ככל שהדין השווייצרי החל מחייב זאת.
- תניה 17 ותניה 18(b) חלות כפי שנבחר בסעיף 14.3, מבלי לגרוע מפסקה 3 לתוספת זו.