נספח עיבוד מידע

1. היקף

נספח זה הוא חלק מתנאי השימוש. הוא חל כאשר Joy מעבדת מידע אישי מטעם משרד המשתמש בה — על לקוחותיו, צדדים אחרים, צוותו ומועמדים — במקום שחלים חוק הגנת הפרטיות, התשמ״א-1981, ותקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, ה-GDPR (תקנה (EU) 2016/679) או ה-UK GDPR. המשרד הוא בעל השליטה במידע; Neos Tech Ltd היא המעבד.

2. נושא, מהות ומשך

Joy שומרת, מארגנת, משתפת ומחתימה את מסמכי המשרד ורשומותיו, מפעילה את פורטלי הלקוחות, העובדים והמועמדים שלו ולבקשת המשרד — את תכונות הבינה המלאכותית. העיבוד נמשך לאורך המנוי ומסתיים במחיקה המתוארת בסעיף 8.

3. סוגי המידע ונושאי המידע

נושאי המידע: לקוחות המשרד ואנשי הקשר שלהם, צדדים אחרים ועדים, צוות המשרד, עובדיו ומועמדים לעבודה, חותמים ונמענים של מסמכים משותפים. המידע: פרטי קשר וזיהוי (לרבות מספרי זהות בשאלוני הכרת לקוח ובטופס 101 של העובד), תוכן מסמכים והודעות, חתימות וראיותיהן (מועד, כתובת IP, מכשיר), פרטי שכר ומס, קורות חיים. מידע רגיש (למשל מידע רפואי בתיק נזקי גוף) — רק ככל שהמשרד בוחר להעלותו; על המשרד לוודא שיש לו בסיס חוקי לכך.

4. הוראות וסודיות

Joy מעבדת מידע אישי רק לפי הוראות המשרד המתועדות — השימוש שלו בשירות וההגדרות שבחר הם ההוראות — אלא אם הדין מחייב אחרת, ואז נודיע למשרד מראש ככל שהדין מתיר. כל מי שיש לו גישה למידע ב-Neos Tech מחויב בסודיות. איננו מוכרים את המידע, איננו משתמשים בו לפרסום ואיננו מאמנים עליו מודלים.

5. אבטחה

אמצעים המתאימים לסיכון, כמפורט בנספח שלהלן, ונבחנים מחדש ככל שהשירות משתנה.

6. מעבדי משנה

המשרד מאשר את מעבדי המשנה האלה: Netlify, Inc. (אחסון האתר, פונקציות השרת ואחסון המסמכים; ארצות הברית, עם רשת הפצה עולמית); Supabase, Inc. (חשבונות ומסד הנתונים בענן; האיחוד האירופי — אירלנד); ורק כשהמשרד משתמש בתכונות בינה מלאכותית — Anthropic PBC, ‏OpenAI, L.L.C. ו-Google LLC (מודלי הבינה המלאכותית). אנו מטילים על כל אחד מהם חובות שוות ערך לנספח זה ונשארים אחראים להם. על מעבד משנה חדש נודיע לפחות 30 יום מראש בדף זה ובאפליקציה; המשרד רשאי להתנגד מטעמים סבירים, ואם לא יימצא פתרון — לסיים את המנוי. שירותים שהמשרד מחבר בעצמו (Google Drive, ‏Microsoft, ‏Dropbox, או Claude ו-ChatGPT כצ׳אט) פועלים לפי ההסכמים של המשרד עצמו איתם.

7. העברה לחו״ל

הנציבות האירופית הכירה בישראל כמדינה שמעניקה הגנה נאותה. העברה למעבדי משנה בארצות הברית נעשית לפי מסגרת פרטיות המידע בין האיחוד האירופי לארצות הברית (EU–U.S. Data Privacy Framework) כשמעבד המשנה מאושר בה, ואחרת לפי הסעיפים החוזיים התקניים של הנציבות האירופית.

8. זכויות, אירועים ומחיקה

כלי האפליקציה מאפשרים למשרד להשיב לבקשות עיון (ייצוא) ומחיקה (מחיקת כל המידע). נסייע בבקשות אחרות ובהערכות השפעה ככל שנדרש באופן סביר. נודיע למשרד על אירוע אבטחת מידע שנוגע למידע האישי שלו ללא דיחוי ובתוך 48 שעות מרגע שנודע לנו, עם המידע שבידינו. בסיום המנוי המשרד יכול לייצא את המידע ואז למחוק אותו; מידע שנותר בשרתי Joy יימחק בתוך 30 יום מבקשה בכתב, אלא אם הדין מחייב לשמור אותו.

9. ביקורת

נעמיד את המידע הדרוש כדי להראות עמידה בנספח זה ונאפשר ביקורת בהודעה מוקדמת סבירה, על חשבון המשרד, פעם בשנה ובכפוף לסודיות.

10. עדיפות

אם יש סתירה בין נספח זה לתנאי השימוש בעניין מידע אישי — נספח זה גובר. שאלות: adir@joyworkos.com.

נספח — אמצעי אבטחה

HTTPS בלבד (HSTS) ומדיניות אבטחת תוכן (CSP) מחמירה; מסמכי כל משרד מופרדים לפי מפתח סביבת העבודה שלו, והשרת שומר רק גיבוב של המפתח; OAuth 2.1 עם PKCE ואסימונים מגובבים וקצרי חיים; קישורי שיתוף וחדרי נתונים מוגני סיסמה עם יומן גישה לכל פתיחה; חתימות אלקטרוניות עם שרשרת ביקורת מגובבת; הרשאות לפי תפקיד בתוך המשרד; הגבלת קצב בנקודות הגישה הציבוריות; אבטחה ברמת השורה במסד הנתונים בענן.