Data Processing Agreement (DPA)

הבקר הוא בעל האתר שמטמיע את הווידג'ט: הוא קובע את מטרות ואמצעי העיבוד של נתוני המבקרים שלו ושל התוכן שלו. המעבד הוא מפעיל השירות, המעבד נתונים אלה אך ורק על פי ההוראות המתועדות של הבקר. Google Cloud מעורבת כקבלן משנה (עיבוד בתוך Vertex AI Search / Gemini / Cloud Storage).

לגבי נתוני חשבון הבקר עצמו (אימייל, הגדרות) ולגבי טקסט שאילתות המשמש במידה מוגבלת למדדי איכות ולהגנה מפני ניצול לרעה, המעבד פועל כבקר עצמאי — הנשלט על ידי מדיניות הפרטיות, ולא על ידי DPA זה. התשלומים מטופלים על ידי Paddle כ-Merchant of Record ובקר עצמאי של נתוני התשלום, ולא כקבלן משנה.

• נושא. עיבוד נתונים אישיים הכלולים בתוכן האתר של הבקר ובשאילתות המבקרים שלו, לצורך מתן חיפוש AI עם תשובות וקישורים למקורות.
• משך. למשך תקופת תנאי השימוש וכל עוד הפרויקט פעיל; עם הסיום חל סעיף "החזרה ומחיקה".
• אופי העיבוד. איסוף (סריקת עמודים ציבוריים), אינדוקס, אחסון, חיפוש, הפקת תשובות, רישום לוגים ומחיקה.
• מטרה. אך ורק לצורך מתן ותמיכה בשירות על פי הוראות הבקר; עיבוד למטרות אחרות אינו מותר.

קטגוריות נושאי נתונים: מבקרים באתר של הבקר; יחידים המוזכרים בתוכן הציבורי של האתר.

קטגוריות נתונים:

• תוכן העמודים הציבוריים של האתר (עשוי לכלול נתונים אישיים שפרסם הבקר);
• טקסט שאילתות המבקרים;
• נתונים טכניים של מבקרים — כתובת IP (מעובדת באופן חולף ואינה נשמרת) ומטא-נתונים של בקשות (להגנה מפני ניצול לרעה ולאבטחה);
• מזהי סשן של הווידג'ט ומדדי שימוש.

אין כוונה לעבד נתונים מקטגוריה מיוחדת (סעיף 9 ל-GDPR); הבקר מתחייב לא להגישם לשירות ולא להנחות מבקרים להזין נתונים רגישים לחיפוש.

המעבד מעבד נתונים אישיים אך ורק על פי ההוראות המתועדות של הבקר, לרבות לגבי העברות, אלא אם נדרש אחרת בדין EU/מדינה חברה או ישראלי חל (ובמקרה כזה המעבד מיידע את הבקר לפני העיבוד, אלא אם החוק אוסר זאת). DPA זה, התנאים, וההגדרות שהבקר מכוונן בלוח הבקרה מהווים את מכלול ההוראות. המעבד מיידע את הבקר ללא דיחוי אם, לדעתו, הוראה מפרה את ה-GDPR, דין EU/מדינה חברה אחר, או ה-PPL הישראלי.

המעבד מוודא שאנשים המורשים לעבד נתונים אישיים התחייבו לסודיות או כפופים לחובת סודיות סטטוטורית מתאימה, ושהגישה ניתנת על בסיס הצורך-לדעת ועקרון ההרשאה המזערית.

המעבד מיישם אמצעים טכניים וארגוניים מתאימים ביחס לסיכון, לרבות: העברה על גבי TLS; בידוד פרויקטים (לכל פרויקט אינדקס ומפתח משלו); סניטציה של שאילתות והגבלת קצב לפני קריאה לכל שירות בתשלום; גישה בהרשאה מזערית; ורישום לוגים. האמצעים מיושמים בהתאם לתקנות הגנת הפרטיות (אבטחת מידע) התשע"ז-2017 (ראו סעיף "דין ישראלי"). רשימת האמצעים עשויה להתעדכן, אך רמתם לא תיפחת.

הבקר מעניק הרשאה כללית להיעזר בקבלני משנה. הרשימה הנוכחית מתפרסמת בעמוד קבלני משנה וכוללת את Google Cloud (Vertex AI Search / Discovery Engine, Gemini, Cloud Storage). המעבד מטיל על כל קבלן משנה חובות הגנת נתונים שאינן פחותות מאלה שב-DPA זה (ובפרט, מקבל את ה-Cloud Data Processing Addendum של Google) ונשאר אחראי למעשי קבלני המשנה שלו.

המעבד מספק הודעה מוקדמת על כל הוספה או החלפה מתוכננת של קבלן משנה (הליך בעמוד "קבלני משנה"); הבקר רשאי להתנגד מטעמי הגנת נתונים סבירים. אם התנגדות אינה ניתנת לפתרון, הבקר רשאי להפסיק להשתמש בשירות לגבי העיבוד הרלוונטי.

בהתחשב באופי העיבוד, המעבד מסייע לבקר, ככל האפשר ובאמצעים טכניים וארגוניים מתאימים, בקיום חובתו להשיב לבקשות נושאי נתונים (עיון, תיקון, מחיקה, הגבלה, ניידות, התנגדות תחת סעיפים 15–22 ל-GDPR). אם בקשת נושא נתונים מגיעה ישירות למעבד, הוא מעביר אותה לבקר ללא דיחוי בלתי סביר ואינו משיב בעצמו אלא על פי הוראות הבקר. כלי לוח הבקרה (ניקוי לוגים, מחיקת פרויקט) תומכים בקיום בקשות אלה.

המעבד מודיע לבקר על הפרת נתונים אישיים ללא דיחוי בלתי סביר לאחר שנודע לו עליה, ומספק את המידע הדרוש באופן סביר כדי שהבקר יעמוד בחובות ההודעה שלו (סעיפים 33–34 ל-GDPR — בדרך כלל הודעה לרשות הפיקוח מצד הבקר בתוך 72 שעות).

בנוסף, מאחר שהמעבד מבוסס בישראל, לגבי אירוע אבטחה חמור הוא מודיע לרשות להגנת הפרטיות הישראלית (PPA) באופן מיידי, כנדרש ב-PPL כפי שתוקן בתיקון 13, ומסייע ביידוע נושאי הנתונים כפי שתורה ה-PPA. הודעה אינה מהווה הודאה באחריות.

בתום מתן השירותים, המעבד, לפי בחירת הבקר, מוחק או מחזיר את הנתונים האישיים ומוחק עותקים קיימים, אלא אם האחסון נדרש בדין החל. בפועל, בסגירת פרויקט, אינדקס האתר ומשאבי Vertex הקשורים, ארטיפקטים של אינדוקס ביניים ולוגים נמחקים (בכפוף לתקופות השמירה במדיניות הפרטיות: טקסט שאילתות — 90 יום, ארטיפקטים של אינדוקס — בדרך כלל 7 ימים; כתובות IP אינן נשמרות).

המעבד מעמיד לרשות הבקר את המידע הדרוש באופן סביר כדי להוכיח עמידה בחובותיו לפי סעיף 28 ל-GDPR, ומאפשר ותורם לביקורות, לרבות בדיקות, המבוצעות על ידי הבקר או מבקר מטעמו, במידה סבירה, בהודעה מוקדמת, בשעות העבודה ותחת סודיות, באופן שאינו פוגע באבטחת לקוחות אחרים. אישורים של קבלני משנה (למשל, דוחות עמידה ותעודות של Google, לרבות ISO 27001) עשויים לשמש להוכחת עמידה.

העברות של נתונים אישיים מה-EEA למעבד בישראל מסתמכות על החלטת הנאותות של הנציבות האירופית לגבי ישראל; Standard Contractual Clauses נפרדות אינן נדרשות לרגל זו, אך אם הנאותות תבוטל הצדדים ייסוגו ל-SCCs.

העברות לשירותי Google נשלטות על ידי ה-Cloud Data Processing Addendum של Google וכן, במקום הצורך, SCCs ו/או EU-US Data Privacy Framework. לפי בחירת הבקר, נעשה שימוש באזור Google של ה-EU לנתוני לקוחות EU כדי לצמצם העברה חוצת-גבולות.

העברות מישראל ל-Google מסתמכות על תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה) התשס"א-2001, תקנה 2(4) (חובת המקבל להבטיח תנאי אחסון ושימוש שווי ערך לדין הישראלי). לגבי נתוני EEA, תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי) התשפ"ג-2023 (תקנות 3–7) חלות בנוסף על עיבוד נתונים של נושאי נתונים מה-EEA.

ככל שה-CCPA/CPRA חל, המעבד פועל כספק שירות ומעבד מידע אישי אך ורק למטרה העסקית המוגדרת של מתן השירות. המעבד אינו מוכר ואינו "משתף" מידע אישי, אינו שומר, משתמש או חושף אותו מחוץ ליחסים העסקיים הישירים עם הבקר או לכל מטרה אחרת, ואינו משלב אותו עם נתונים ממקורות אחרים אלא כמותר ב-CCPA. המעבד מבטיח חובות שוות ערך לקבלני המשנה שלו.

מאחר שהמעבד מבוסס בישראל, חוק הגנת הפרטיות (PPL) כפי שתוקן בתיקון 13 (בתוקף מ-14 באוגוסט 2025) חל על העיבוד; הוא יישר את הדין הישראלי עם ה-GDPR (מונחי בקר/מעבד, שקיפות עיבוד AI, אכיפה מוגברת של ה-PPA, הודעה על הפרות). המעבד עומד בתקנות הגנת הפרטיות (אבטחת מידע) התשע"ז-2017 לגבי הנתונים שהוא מעבד. לגבי אירוע חמור, חל משטר ההודעה ל-PPA שבסעיף "הודעה על הפרות". הצדדים מאשרים כי מונה איש קשר לפרטיות (Privacy Officer / איש קשר — ראו את מדיניות הפרטיות).

בחירת הדין הישראלי וסמכות בתי המשפט בתל אביב-יפו (ראו את התנאים) אינה גוברת על חובות מנדטוריות תחת ה-GDPR, ה-CCPA וה-PPL — חלוקת האחריות נקבעת בחוק. במקרה של סתירה, DPA זה גובר לגבי עיבוד נתונים אישיים. פרטי הקשר של המעבד (בקר השירות) ואיש הקשר לפרטיות מפורטים במדיניות הפרטיות.