נספח עיבוד מידע

1.הגדרות

1. 1.1למונחים כגון "בקר", "מעבד", "מידע אישי", "עיבוד", "נושא מידע" ו"הפרת מידע אישי" יש את המשמעויות שניתנו להם ב-GDPR.
2. 1.2"חוק הגנת מידע חל" משמעו ה-GDPR וחוקי הגנת המידע הלאומיים החלים בקפריסין, בולגריה ובכל טריטוריה שבה מתרחש העיבוד המתועד.
3. 1.3"מעבד" משמעו Xciterr או Automaize אך ורק במידה שהחברה הרלוונטית מעבדת נתונים אישיים על פי הוראות מתועדות של הבקר. "מעבד משנה" כולל את Automaize כאשר היא נשכרת על ידי Xciterr ואת כל ספקי התשתית הנשכרים בשרשרת העיבוד המתועדת.

2.תפקידים והיקף העיבוד

1. 2.1עבור תהליך עבודה בשליטת הלקוח, הלקוח קובע את המטרות והאמצעים המהותיים, וההזמנה הרלוונטית מגדירה את Xciterr כמעבד ואת Automaize כמעבד או כמעבד משנה. Xciterr ו-Automaize מעבדות נתונים אלה אך ורק על פי ההוראות המתועדות החלות על תפקידן.
2. 2.2נספח זה אינו חל כאשר Xciterr פועלת כבקר עצמאי עבור גיוס מונחה-סוכנות או כאשר Automaize פועלת כבקר עצמאי עבור חשבונות פלטפורמה, אבטחה, הסכמה ותיעוד אחריות בינה מלאכותית, מתינות, מניעת הונאות, תאימות טכנולוגית או ניהול שירות.
3. 2.3נושא העיבוד, משכו, מהותו ומטרתו, קטגוריות נושאי המידע והמידע האישי, מתוארים בנספח 1 (פרטי העיבוד). אלו כוללים נתוני פרופיל מועמד, קורות חיים, רשומות מועמדות, הקלטות ראיונות, תמלולים, כרטיסי ניקוד אוטומטיים, ראיות להתאמה, רשומות הסכמה ויומני ביקורת המעובדים עבור תהליכי עבודה של גיוס.
4. 2.4העיבוד נמשך למשך תקופת השירות של הלקוח ותקופת ההחזרה/מחיקה המתועדת, בכפוף להקפאות משפטיות ושמירה מחייבת. נושאי הנתונים כוללים מועמדים, מועמדים פוטנציאליים ומשתמשי לקוח מורשים; הנתונים עשויים לכלול פרטי זיהוי/קשר, פרופיל מקצועי, קורות חיים, מועמדות, אודיו/תמלול של ראיון, הערכה, תקשורת, הסכמה ונתוני אבטחה טכנית. נתונים מקטגוריה מיוחדת אינם מבוקשים ואינם מיועדים לעיבוד, ואסור להגישם אלא אם כן הצדדים מתעדים תנאי חוקי לפי סעיף 9 והוראות מתאימות.

3.התחייבויות של כל מעבד

כל חברה, בעת פעולתה כמעבד, תעשה את הפעולות הבאות:

1. 3.1יעבד מידע אישי רק על פי הוראות מתועדות של הבקר, לרבות בנוגע להעברות בינלאומיות, אלא אם נדרש לעשות אחרת על פי חוק;
2. 3.2יוודא כי האנשים המורשים לעבד מידע אישי מחויבים בחובת סודיות הולמת;
3. 3.3יישם את האמצעים הטכניים והארגוניים המתוארים בסעיף 5 ובנספח 2;
4. 3.4יכבד את התנאים בסעיף 6 להתקשרות עם מעבדי משנה;
5. 3.5יסייע לבקר, תוך התחשבות במהות העיבוד, במילוי התחייבויותיו להשיב לבקשות של נושאי מידע ולהבטיח אבטחה, דיווח על הפרות והערכות השפעה על הגנת מידע; ו-
6. 3.6לפי בחירת הבקר, ימחק או יחזיר את כל המידע האישי בסיום מתן השירותים, למעט במידה ושמירת המידע נדרשת על פי חוק.

4.סודיות

1. 4.1כל מעבד יתייחס לכל הנתונים האישיים כסודיים ולא יחשוף אותם אלא אם הדבר מותר לפי נספח זה או נדרש על פי חוק.

5.אבטחה

1. 5.1כל מעבד יטמיע אמצעים טכניים וארגוניים מתאימים בהתאם לתפקידו. האמצעים הטכנולוגיים של פלטפורמת Automaize מתוארים בנספח 2 ובהצהרת אבטחת המידע; Xciterr נותרת אחראית לבקרות גישה לגיוס, כוח אדם ובקרות תפעוליות.

6.מעבדי משנה

1. 6.1הבקר מעניק ל-Xciterr הרשאה כללית לשכור את Automaize עבור עיבוד טכנולוגי המתואר בהזמנה הרלוונטית, ומעניק למעבד הרלוונטי הרשאה כללית לשכור את ספקי התשתית המפורטים בהודעת מעבדי המשנה.
2. 6.2המעבד הממנה יטיל על כל מעבד משנה התחייבויות להגנת מידע שאינן פחותות מאלו הקיימות בנספח זה, ונותר אחראי למעבד משנה זה כנדרש לפי סעיף 28 ל-GDPR.
3. 6.3Xciterr ו-Automaize יתחזקו שרשרת עיבוד מעודכנת ויספקו לבקר הודעה מראש על שינוי מהותי מתוכנן, דבר שיאפשר לבקר להתנגד על בסיס נימוקים סבירים של הגנת מידע.

7.בקשות נושאי מידע

1. 7.1המעבד יסייע לבקר, תוך התחשבות באופי העיבוד, באמצעות אמצעים טכניים וארגוניים מתאימים, ככל הניתן, במענה לבקשות של נושאי מידע למימוש זכויותיהם, ויעביר ללא דיחוי לבקר כל בקשה כזו שהוא מקבל ישירות.

8.הפרת מידע אישי

1. 8.1המעבד יודיע לבקר ללא דיחוי בלתי סביר לאחר שנודע לו על הפרת מידע אישי המשפיעה על המידע האישי של הבקר, ויספק את המידע הדרוש באופן סביר כדי לאפשר לבקר לעמוד בחובות הדיווח שלו.
2. 8.2המעבד מנהל נוהל פנימי להודעה על הפרות בהתאם לסעיפים 33 ו-34 ל-GDPR, הכולל תעדוף חומרה, שמירת ראיות, הודעה לבקר, הערכת רשות מפקחת, הערכת תקשורת עם נושאי מידע והשלמת מרשם הפרות.

9.העברות בינלאומיות

1. 9.1המעבד לא יעביר מידע אישי מחוץ לאזור הכלכלי האירופי (EEA) אלא על פי הוראות הבקר ובכפוף לאמצעי הגנה מתאימים לפי פרק V ל-GDPR, כולל סעיפים חוזיים סטנדרטיים (SCCs) במקרה הצורך.

10.ביקורת

1. 10.1המעבד יעמיד לרשותנו את המידע הדרוש כדי להוכיח ציות לסעיף 28 ויאפשר ביקורות סבירות. ביקורות מתחילות בדרך כלל עם דוחות עצמאיים עדכניים וראיות כתובות; ביקורת באתר עשויה להתרחש במידה והראיות הללו אינן מספיקות או שתקרית מהותית מחייבת זאת באופן סביר, בכפוף לסודיות, אבטחה, הודעה סבירה והקצאת עלויות חריגות.

11.חבות ודין חל

1. 11.1החבות של כל צד לפי נספח עיבוד נתונים (DPA) זה כפופה למגבלות האחריות המוסכמות בתנאי השירות של המעסיק.
2. 11.2נספח זה פועל לפי הקצאת הדין החל בתנאי המעסיק או בהזמנה החתומה הרלוונטית, מבלי להחליף זכויות מחייבות מכוח ה-GDPR או סמכויות רשויות פיקוח.

12.נספחים

1. 12.1נספח 1 - פרטי העיבוד: אירוח תהליכי גיוס, ניתוח קורות חיים, סינון, ראיון קולי מובנה, הערכה, התאמה, שיתוף מועמדים, ניהול צנרת מועמדים של מעסיק, תמיכה וניהול חיובים עבור מועמדים, משתמשי מעסיק ונציגים מוזמנים.
2. 12.2נספח 2 - אמצעי אבטחה: הצפנה במעבר ובמנוחה, אבטחה ברמת השורה, גישת הרשאה מינימלית ומבוקרת, בקרות תוקף לכתובות URL חתומות, מנגנוני ניתוק ספק, אבטחת רשת ויישומים, ניטור, בקרות גיבוי/חוסן, תגובה לאירועים ובדיקה שוטפת של האמצעים.
3. 12.3נספח 3 - שרשרת עיבוד: Xciterr עשויה להעסיק את Automaize כמעבד טכנולוגי; Automaize עשויה להעסיק את Google Cloud / Gemini, Supabase, WorkOS, Vercel, Railway, Stripe, Cal.com, Resend, Meta, Cloudflare ו-Sentry כפי שפורסם ומתוחזק בהודעת תתי-המעבדים. WorkOS נותר מושבת עד להשלמת אישורי המעבר הנדרשים.
4. 12.4נספח 4 - סיוע בעמידה בדרישות: סיוע בבקשות נושאי מידע, הערכות השפעה על הגנת פרטיות (DPIA), הערכת התייעצות מוקדמת, דיווח על הפרות, ראיות ביקורת ומחיקה/החזרה של מידע אישי בסיום השירות.