1. היקף ותפקידים
נספח זה חל כאשר אתם (“בעל השליטה”) משתמשים ב-Mosra, המסופק על ידי צוות Mosra (“המעבד”, “אנו”), לעיבוד מידע אישי של הלומדים או של העובדים שלכם. נספח זה מהווה חלק מתנאי השימוש.
אתם קובעים את מטרות העיבוד ואת אמצעיו. אנו מעבדים את המידע מטעמכם, ואיננו משתמשים בו למטרותינו שלנו.
לגבי נתוני החשבון של המנהל עצמו (דוא״ל, שם, פרטי חיוב) אנו נותרים בעלי השליטה, ומדיניות הפרטיות חלה עליהם.
2. הוראות עיבוד
אנו מעבדים מידע אישי אך ורק על פי: (א) ההוראות המתבטאות בשימוש שלכם בתכונות השירות, (ב) הוראות בכתב שאתם שולחים אלינו, וכן (ג) דרישות הדין.
אם נסבור שהוראה מסוימת מפרה את דיני הגנת המידע, נודיע לכם על כך, ואנו רשאים להשהות את אותו חלק של העיבוד.
אם הדין מחייב עיבוד החורג מהוראותיכם, נודיע לכם על כך מראש, אלא אם הדין אוסר זאת.
3. סודיות
גישה ניתנת רק לאנשים הזקוקים לה לצורך הפעלת השירות, והם כפופים לחובות סודיות.
איננו מגלים את הנתונים שלכם לצדדים שלישיים, מעבר למעבדי המשנה המפורטים בסעיף 5 ולמקרים שבהם הדין מחייב זאת.
4. אמצעי אבטחה
אנו מיישמים אמצעים טכניים וארגוניים מתאימים, ובכלל זה לכל הפחות:
- הצפנה במעבר (HTTPS/TLS) של כל התעבורה.
- סיסמאות מגובבות (hash), שלעולם אינן נשמרות בצורה קריאה.
- בקרת גישה מבוססת תפקידים, על בסיס עקרון ההרשאה המינימלית.
- תיעוד גישה למערכות הייצור.
- גיבויים סדירים, לרבות בדיקות שחזור.
- הגבלת קצב בקשות וניטור לאיתור שימוש לרעה.
- הפרדת נתונים בין ארגוני לקוחות.
נספח ב׳ מפרט אמצעים אלה ביתר פירוט, ואנו מספקים תיאור עדכני לפי בקשה.
5. מעבדי משנה
אתם מאשרים את השימוש שלנו במעבדי המשנה המפורטים בעמוד מעבדי המשנה. רשימה זו מהווה חלק מנספח זה.
אנו מתקשרים עם כל מעבד משנה בתנאי הגנת מידע שאינם מגינים פחות מנספח זה, ונותרים אחראים לביצועיהם כפי שאנו אחראים לביצועינו שלנו.
אנו נותנים הודעה מוקדמת של 30 יום לפחות לפני הוספת מעבד משנה חדש. אם תתנגדו לכך מטעמים סבירים, נחפש חלופה; אם אין חלופה ישימה, תוכלו לסיים את החלק המושפע של השירות ולקבל החזר של תשלומים ששולמו מראש ולא נוצלו.
6. סיוע בבקשות של נושאי מידע
השירות מעמיד לרשותכם כלים לעיון בנתוני הלומדים שלכם, לתיקונם, לייצואם ולמחיקתם בעצמכם.
כאשר כלים אלה אינם מספיקים, אנו מסייעים בתוך זמן סביר כדי שתוכלו לעמוד במועדים הקבועים בחוק (אישור קבלה בתוך 2 ימי עבודה; עיון ותיקון בתוך 10 ימים; חזרה מהסכמה בתוך 15 ימים; מחיקה בתוך 20 ימים).
אם לומד פונה אלינו ישירות, אנו מעבירים אליכם את הבקשה במקום לטפל בה בעצמנו, אלא אם תורו לנו אחרת.
7. אירועי אבטחת מידע
אנו מודיעים לכם ללא דיחוי בלתי סביר לאחר שנודע לנו על אירוע הנוגע למידע האישי שלכם, ובכל מקרה מוקדם דיו כדי שתוכלו לעמוד בחובת הדיווח שלכם בתוך 72 שעות.
ההודעה כוללת את מהות האירוע, את קטגוריות הנתונים ואת המספר המשוער של נושאי המידע שנפגעו, את ההשלכות הצפויות, ואת האמצעים שננקטו או שמתוכננים.
אנו משתפים פעולה במידה סבירה כדי שתוכלו לדווח לרשות ולאנשים שנפגעו.
8. ביקורת והוכחת עמידה בדרישות
אנו מספקים את המידע הדרוש לכם באופן סביר כדי להוכיח עמידה בדרישות, לרבות תיאור של אמצעי האבטחה שלנו ומענה לשאלוני הערכת ספקים.
תוכלו לערוך ביקורת לא יותר מפעם אחת בשנה, בהודעה מוקדמת של 30 יום לפחות, בשעות העבודה, מבלי לשבש את השירות ומבלי לגשת לנתונים של לקוחות אחרים. העלות חלה עליכם, אלא אם נמצאה הפרה מהותית.
9. העברות בינלאומיות
חלק ממעבדי המשנה מעבדים נתונים מחוץ לווייטנאם. אנו מבצעים את הערכת ההשפעה של העברה חוצת גבולות הנדרשת לפי הדין הווייטנאמי, ומחילים סעיפים חוזיים תקניים כאשר חלים דיני האיחוד האירופי או הממלכה המאוחדת.
אם הארגון שלכם דורש שהנתונים יישארו בתחומי המדינה, פריסה באירוח עצמי היא האפשרות המתאימה, ונספח זה חל עליה בהיקף מצומצם בהתאם.
10. החזרה ומחיקה
עם סיום ההתקשרות עומדים לרשותכם 30 יום לייצוא הנתונים שלכם באמצעות הכלים המובנים, או לבקש מאיתנו למסור אותם לכם.
לאחר מכן אנו מוחקים אותם ממערכות הייצור. עותקים בגיבויים מוסרים במסגרת מחזור הגיבויים, לכל המאוחר 30 יום ממועד הגיבוי.
אנו שומרים רק את מה שהדין מחייב אותנו לשמור, כגון רשומות הנהלת חשבונות, ורק במידה זו.
נספח א׳ — תיאור העיבוד
| פריט | פירוט |
|---|---|
| נושא העיבוד | העמדת פלטפורמה ליצירת שיעורים, להפעלת הערכות ולדיווח על תוצאות |
| משך | לאורך תקופת החוזה, בתוספת תקופת המחיקה הקבועה בסעיף 10 |
| מהות ומטרה | אחסון, הצגה, מתן ציונים, ריכוז דוחות, שליחת התראות |
| סוגי נתונים | שם או כינוי, דוא״ל, תוצאות ותשובות, משך הזמן שנדרש, נתונים טכניים של ההפעלה |
| קטגוריות של נושאי מידע | לומדים, מורים, מנהלי ארגונים |
| מידע רגיש | מחוץ להיקף. בעל השליטה אינו מכניס מידע רגיש לשירות |
נספח ב׳ — אמצעים טכניים וארגוניים
- הצפנה במעבר: כל התעבורה עוברת על גבי TLS.
- אימות: סיסמאות מגובבות, תמיכה בהתחברות באמצעות Google, הפעלות התחברות מוגבלות בזמן.
- הרשאות: תפקידים התחומים לפי ארגון, כיתה ומשאב.
- רישום: גישה ניהולית ופעולות רגישות מתועדות.
- גיבויים: סדירים, עם בדיקות שחזור, ונשמרים לא יותר מ-30 יום.
- מניעת שימוש לרעה: הגבלת קצב לכל נתיב, מכסה נפרדת לתכונות הבינה המלאכותית.
- ניהול שינויים: בדיקות אוטומטיות לפני כל שחרור גרסה.
- תהליך טיפול באירועים: זיהוי, הערכה, והודעה בתוך 72 שעות.
זקוקים ל-DPA חתום או למילוי שאלון האבטחה של הארגון שלכם? כתבו אל privacy@mosra.app. מיקום: האנוי, וייטנאם.