3. יחסי בקר - מעבד
3.1 תפקידי הצדדים . G-P מציעה גם מגוון מוצרי תוכנה כשירות דרך GPP, שבאמצעותם G-P מאפשרת ללקוח לנהל את הקשר עם אותם אנשי מקצוע. כאשר G-P מעניק ללקוח גישה ל-GPP, G-P הוא המעבד של הנתונים האישיים הקשורים לחשבון שהועלו ל-GPP על ידי המשתמשים המורשים שמונו על ידי הלקוח, והלקוח הוא המבקר של הנתונים הללו, והוראות סעיף זה 3 ("יחסי בקר-מעבד"), יחולו.
3.2 הוראות. G-P תעבד את נתוני הלקוח בהתאם להוראות המתועדות של הלקוח. הלקוח מסכים כי הסכם ה-DPA הזה, הסכם המאסטר והנספח I המצורף להלן, כוללים את כל ההוראות של הלקוח ל-G-P בנוגע לעיבוד נתוני הלקוח. כל הוראה נוספת או חלופית חייבת להיות מוסכמת בין הצדדים בכתב, לרבות העלויות (אם ישנן) הכרוכות במילוי הוראות כאמור. הלקוח יבטיח כי הוראותיו תואמות את חוקי הגנת המידע הרלוונטיים. הלקוח מודה כי G-P אינו אחראי לקבוע אילו חוקים חלים על עסקי הלקוח. הלקוח יוודא שעיבוד נתוני הלקוח על ידי G-P, כאשר יתבצע בהתאם להוראות הלקוח, לא יגרום ל-G-P להפר כל חוק חל, כולל חוקי הגנת המידע החלים. עם זאת, אם G-P סבור כי הוראה של לקוח מפרה את חוקי הגנת המידע החלים, G-P תודיע ללקוח בהקדם האפשרי ולא תידרש לציית להנחיה המפרה.
3.3 פרטי העיבוד פרטי נושא העיבוד, משכו, אופיו ומטרתו, וסוג נתוני הלקוח ונושאי הנתונים כמפורט בנספח I המצורף בזאת.
3.4 תאימות. הלקוח ו-G-P מסכימים לעמוד בהתחייבויותיהם לפי חוקי הגנת המידע החלים על נתוני הלקוח המעובדים כפי שמפורט בנספח I. ללקוח יש אחריות בלעדית לעמוד בחוקי הגנת המידע בנוגע לחוקיות עיבוד נתוני הלקוח לפני גילוי, העברה או הפיכת נתוני לקוח ל-G-P. למען הימנעות מהספק, בכל המקרים, הלקוח יקבל, במידת הצורך, כל הסכמה מנושאי הנתונים G-P לעיבוד נתוני הלקוחות לפי הוראות הלקוח.
3.5 מעבדי משנה . הלקוח מאשר ל-G-P למנות ולהשתמש במעבדים ("תת-מעבדים") לעיבוד נתוני הלקוח בהקשר לשירותים. תתי-מעבדים עשויים לכלול צדדים שלישיים או כל חבר בקבוצת החברות G-P. G-P רשאית להמשיך להשתמש באותם תת-מעבדים שכבר הועסקו על ידי G-P נכון למועד ה-DPA הזה, ורשימה של תתי-מעבדים כאלה זמינה בנספח III המצורף להלן. כאשר תת-מעבד לא עומד בהתחייבויות הגנת המידע שלו כפי שפורט לעיל, G-P תהיה אחראית כלפי הלקוח לביצוע התחייבויות תת-המעבד. G-P תודיע ללקוח על כל שינוי ברשימת תת-המעבדים שלה דרך GPP. אם, בתוך 10 (עשרה) ימים מקבלת ההודעה, הלקוח מתנגד באופן לגיטימי להוספה או הסרה של תת-מעבד מטעמי הגנת מידע ו-G-P אינו יכול להיענות באופן סביר להתנגדות הלקוח, הצדדים ידונו בדאגות הלקוח בתום לב במטרה לפתור את העניין.
3.6 אמצעי אבטחה טכניים וארגוניים . בהתחשב בסטנדרטים התעשייתיים, עלויות היישום, טבע, היקף, הקשר ומטרות העיבוד, וכל נסיבה רלוונטית אחרת הקשורה לעיבוד נתוני הלקוח, G-P יישם אמצעי אבטחה טכניים וארגוניים מתאימים להבטחת אבטחה, סודיות, שלמות, זמינות ועמידות של מערכות העיבוד והשירותים המעורבים בעיבוד נתוני הלקוח, בהתאם לסיכון הנוגע ל נתוני לקוחות כאלה, כפי שמפורט בנספח II המצורף לכאן. G-P תבדוק ותנטר מעת לעת (i) את יעילות אמצעי ההגנה, הבקרות, המערכות והנהלים שלה ו-(ii) תזהה סיכונים פנימיים וחיצוניים צפויים באופן סביר לביטחון, סודיות ושלמות נתוני הלקוח, ותוודא שסיכונים אלו מטופלים.
3.7 סודיות G-P תוודא כי אנשים המורשים לגשת לנתוני הלקוח (i) התחייבו לסודיות או כי הם תחת חובת סודיות חוקית מתאימה ו-(ii) ייגשו לנתוני הלקוח רק על פי הוראות מתועדות מ- G-P, אלא אם כן הדבר נדרש על פי חוק רלוונטי.
3.8 פרצת מידע אישי. ה-G-P יידע את הלקוח ללא עיכוב מיותר, לאחר שיידע על פרצת נתונים הקשורה לעיבוד נתוני הלקוח, ויעשה מאמצים סבירים לסייע ללקוח בהפחתה, ככל האפשר, את ההשפעות השליליות של כל פרצת מידע .
3.9 מחיקת נתונים אישיים. עם סיום השימוש בשירותים (מכל סיבה שהיא), G-P תחזיר או תמחק, בהקדם האפשרי באופן סביר, את נתוני הלקוח המאוחסנים ב-GPP, אלא אם כן החוק החל דורש אחסון נתוני הלקוח לתקופה ארוכה יותר. עבור שמירה כאמור, הוראות הסכם עיבוד מידע זה ימשיכו לחול על נתוני הלקוח כאמור.
3.10 בקשות נושא נתונים . ה-G-P יעדכן את הלקוח במהירות על כל בקשת נבדק הנתונים בנוגע לנתוני הלקוח. הלקוח אחראי להגיב לבקשות כאלה. G-P תסייע באופן סביר ללקוח להגיב לבקשות נושא נתונים כאלה במידה שהלקוח אינו יכול לגשת לנתוני הלקוחות הרלוונטיים בשימושו ב-GPP.
3.11 בקשות צד שלישי אם G-P תקבל בקשות מצדדים שלישיים או צו של כל בית משפט, בית דין, רגולטור או סוכנות ממשלתית בעלת סמכות שיפוט מוסמכת אשר G-P כפופה לה בנוגע לעיבוד נתוני הלקוח במסגרת ההסכם, G-P תפנה את הבקשה באופן מיידי ללקוח. G-P לא תגיב לבקשות כאלה ללא אישור מראש של הלקוח, אלא אם כן היא מחויבת לעשות כן כדין. G-P , אלא אם כן נאסר עליה לעשות כן על פי חוק, תודיע ללקוח מראש על כל גילוי של נתוני הלקוח ותשתף פעולה באופן סביר עם הלקוח כדי להגביל את היקף הגילוי المستردم לנדרש על פי חוק.
3.12 הערכת השפעה על הגנת מידע וייעוץ מראש במידה הנדרשת על פי חוקי הגנת המידע, G-P תספק סיוע סביר ללקוח בביצוע הערכת השפעה על הגנת המידע בקשר לעיבוד נתוני הלקוח שמבצעת G-P ו/או כל התייעצות מוקדמת נדרשת עם רשויות פיקוח. G-P שומרת לעצמה את הזכות לגבות מהלקוח תשלום סביר עבור מתן סיוע כזה.
3.13 בְּדִיקָה. Customer may audit G-P compliance with this DPA and Data Protection Laws by requesting a certificate issued for security verification reflecting the outcome of an audit conducted by a third party auditor (e.g., ISO27001 certification, SOC2 certificate), within twelve (12) months as of the date of Customer’s request. Alternatively, in the event the documentation provided subject to this Section 3.13 is not sufficient for the purpose of demonstrating compliance, the Customer may conduct its own audit in addition to the provided third party certifications or reports, provided that such audit shall be conducted: i) no more than once per each 12 (twelve) months period; ii) during normal business hours and without disrupting G-P’s day-to-day business; iii) with thirty (30) days prior written notice; iv) at the Customer’s sole expense; v) based upon mutually agreed parameters and scope, limited to the specific scope of services, systems in use and/or Processing activities contemplated hereunder; vi) based upon mutually agreed in advance date, subject to reasonable postponement by Customer upon G-P’s reasonable request; and vii) in accordance with all confidentiality obligations and restrictions. Notwithstanding the forgoing, no audit right is granted after termination of the Master Agreement, except for legal obligations that will have to be demonstrated by the Customer. Any third-party representative selected to perform an audit on behalf of Customer must not have an ownership interest in or affiliation with an EOR services company, agency, a related organization or consultant. Nothing in this DPA will require G-P to either disclose to Customer or its third-party auditor, or to allow Customer or its third-party auditor to access: (i) any data of any other G-P’s customer; (ii) G-P’ internal accounting or financial information; (iii) any trade secret of G-P or its affiliates; (iv) any information that, in G-P’ reasonable opinion, could compromise the security of any G-P’s systems or cause any breach of its obligations under applicable law or its security or privacy obligations to any third party; or (v) any information that Customer or its third-party auditor seeks to access for any reason other than the good faith fulfillment of Customer’s obligations under the Data Protection Laws.
3.14 חוקי הפרטיות של ארה"ב. על פי סעיף זה 3, הצדדים מסכימים כי G-P הוא "ספק שירות" או "מעבד" כפי שמוגדרים בחוקי הפרטיות בארה"ב. בהתאם לכך, ככל שחוקי הפרטיות בארה"ב חלים על עיבוד נתוני לקוחות על ידי G-P, G-P לא (א) ישמור, ישתמש או יחשוף כל נתוני לקוח מחוץ למערכת היחסים העסקית הישירה בין G-P ללקוח, או לכל מטרה אחרת מלבד המטרה המפורטת בנספח I המצורף לכאן, ו-G-P תעבד נתוני לקוחות רק כל עוד הם מספקים שירותים ללקוח; (ב) למכור כל נתוני לקוח; (ג) לשתף כל נתוני לקוחות; או (ד) לשלב את נתוני הלקוח ש-G-P מקבל מלקוח או מטעמו עם "נתונים אישיים" (כפי שמוגדר מונח או שווה ערך לפי חוקי הגנת המידע החלים) שהוא מקבל מאדם אחר או מטעמו, או אוסף מהאינטראקציה שלו עם צרכן, בתנאי ש-G-P רשאי לשלב את נתוני הלקוח אם זה בתחום מתן השירותים ללקוח. במידת הצורך, כל צד יודיע לצד השני אם יקבע כי אינו יכול עוד לעמוד בהתחייבויותיו על פי חוקי הפרטיות של ארה"ב.
4. העברות נתונים בינלאומיות
4.1 הגנה מתאימה . G-P מורשית, במהלך העסק הרגיל, לבצע העברות עולמיות של נתוני לקוחות לשותפים ו/או לתת-מעבדים שלה. בעת ביצוע העברות כאלה לטריטוריה שלא הוכרה על ידי רשויות הגנת המידע הרלוונטיות כמספקת רמת הגנה מספקת לנתונים אישיים בהתאם לחוקי הגנת המידע, G-P תוודא שיש הגנה מתאימה להגנה על נתוני הלקוחות שהועברו במסגרת או בקשר להסכם האב.
4.2 מסגרת פרטיות נתונים. אנשי מקצוע ונתוני הלקוחות נשמרים ב-GPP המאוחסן בארה"ב. G-P מוסמכת תחת מסגרת פרטיות הנתונים של האיחוד האירופי-ארה"ב (EU-U.S. DPF) ולפי הצורך, ההרחבה הבריטית ל-DPF של האיחוד האירופי-ארה"ב, וה-Swiss-U.S. מסגרת פרטיות נתונים (שווייץ-ארה"ב) DPF). הסמכת G-P יכולה להיות מאושרת בפומבי באתר ה-DPF https://www.dataprivacyframework.gov/list . מסגרת פרטיות המידע של האיחוד האירופי-ארה"ב נחשבה מספקת על ידי הנציבות האירופית, שכן הייתה מנגנון להעברת נתונים חוקי בהתאם לסעיף 45 של האסדרה הכללית להגנה על מידע, בריטניה האסדרה הכללית להגנה על מידע, ו-FADP, בהתאמה. אם מסגרת/ות ה-DPF יבוטלו, יושעו או לא יוכרו עוד כמספקים הגנה נאותה להעברות נתונים בינלאומיות, המעבד מסכים להיכנס להסכם ה-SCCs שהונפקו או אושרו על ידי הנציבות האירופית, משרד נציב המידע של בריטניה (ICO) או נציב הגנת המידע והמידע הפדרלי של שוויץ (FDPIC), לפי העניין, ולציית לו. הצדדים ישתפו פעולה בתום לב כדי ליישם כל אמצעי משלים הנדרשים כדי להבטיח רמת הגנה שווה ערך במהותה עבור הנתונים המועברים.
4.3 סעיפים חוזיים סטנדרטיים. הצדדים מסכימים שכאשר העברת נתונים אישיים מלקוח (כ"מייצא נתונים") ל-G-P (כ"מייבוא נתונים") היא העברה מוגבלת, וחוקי הגנת המידע החלים מחייבים ייקמו אמצעי הגנה מתאימים, העברה זו תהיה כפופה לסעיפים החוזיים התקניים המתאימים, אשר ייחשבו כמשולבים ומהווים חלק מ-DPA זה, כדלקמן:
א. בנוגע להעברות של נתונים אישיים המוגנים על ידי האסדרה הכללית להגנה על מידע, ה-SCCs של האיחוד האירופי יחולו על כך, כפי שמתבצע כדלקמן:
i. מודולים ראשון ושני יחולו;
ii. בסעיף 7, סעיף העגינה האופציונלי יחול;
iii. בסעיף 9 של מודול שני, אפשרות 2 תחול, ותקופת הזמן להודעה מוקדמת על שינויים במעבד משנה תהיה כמפורט בסעיף 3.5 של הסכם עיבוד נתונים זה;
iv. בסעיף 11, הנוסח האופציונלי לא יחול;
ה. בסעיף 12, כל תביעה שתוגש במסגרת הסכמי הסטנדרט של האיחוד האירופי תהיה כפופה לתנאים ולהגבלות המפורטים בהסכם הראשי;
vi. בסעיף 17, אפשרות 1 תחול, וסכמי ה-SCC של האיחוד האירופי יהיו כפופים לחוק האירי;
vii. בסעיף 18(ב), סכסוכים ייפתרו בפני בתי המשפט של אירלנד;
שמונה נספח I של תקנות ה-SCC של האיחוד האירופי ייחשב כמושלם עם המידע המפורט בנספח 1 להסכם עיבוד נתונים זה; ו-
ט. נספח II של תקנות הסטנדרט של האיחוד האירופי ייחשב כמושלם עם המידע המפורט בנספח 2 להסכם עיבוד נתונים זה;
x. נספח III של מודול שני של תקנות ה-SCC של האיחוד האירופי ייחשב כמושלם עם המידע המפורט בנספח 3 להסכם עיבוד נתונים זה.
ב. ביחס להעברות של מידע אישי המוגן על ידי חוקי הגנת המידע של בריטניה או חוקי הגנת המידע של שוויץ, יחולו חוקי הגנת המידע השוויצריים של האיחוד האירופי כפי שהם מיושמים במסגרת סעיפי משנה (א) לעיל, בשינויים הבאים:
א. אזכורים ל"תקנה (EU) 2016/679" יתפרשו כהתייחסויות לחוקי הגנת המידע של בריטניה או לחוקי הגנת המידע של שוויץ (ככל שרלוונטי);
ii. הפניות לסעיפים ספציפיים של "תקנה (EU) 2016/679" יוחלפו בסעיף או בסעיף המקבילים בחוקי הגנת המידע של בריטניה או בחוקי הגנת המידע של שוויץ (ככל שרלוונטי);
iii. אזכורים ל"איחוד האירופי", "האיחוד", "מדינת חברה" ו"חוק מדינת חברה" יוחלפו באזכורים ל"בריטניה" או "שוויץ", או "חוק בריטניה" או "חוק שוויצרי" (ככל שרלוונטי);
iv. המונח "מדינה חברה" לא יתפרש באופן שישלול נושאי נתונים בבריטניה או בשוויץ מהאפשרות לתבוע את זכויותיהם במקום מגוריהם הרגיל (כלומר, בריטניה או שוויץ);
ה. סעיף 13(א) וחלק ג' של נספח I אינם בשימוש ו"רשות הפיקוח המוסמכת" היא נציב המידע של בריטניה או נציב המידע הפדרלי של שוויץ להגנת נתונים (ככל שרלוונטי);
vi. אזכורים ל"רשות הפיקוח המוסמכת" ול"בתי המשפט המוסמכים" יוחלפו באזכורים ל"נציב המידע" ול"בתי המשפט של אנגליה וויילס" או ל"נציב המידע הפדרלי השוויצרי להגנת נתונים" ול"בתי המשפט הרלוונטיים של שוויץ" (ככל שרלוונטי);
vii. בסעיף 17, סעיפי החוזה הסטנדרטיים יחולו על חוקי אנגליה וויילס או שוויץ (ככל שרלוונטי); ו-
viii. בנוגע להעברות עליהן חלים חוקי הגנת המידע של בריטניה, סעיף 18 יתוקן כך שיקבע "כל מחלוקת הנובעת מסעיפים אלה תיפתר על ידי בתי המשפט של אנגליה וויילס." נושא מידע רשאי להגיש הליכים משפטיים נגד יצואן הנתונים ו/או יבואן הנתונים בפני בתי המשפט של כל מדינה בבריטניה. "הצדדים מסכימים להיכנע לסמכות השיפוט של בתי משפט כאמור", וביחס להעברות עליהן חלים חוקי הגנת המידע השוויצריים, סעיף 18(ב) יקבע כי סכסוכים ייפתרו בפני בתי המשפט הרלוונטיים של שוויץ.
ט'. ביחס לנתונים המוגנים על ידי האסדרה הכללית להגנה על מידע, ה-SCC של האיחוד האירופי יחולו כדלקמן: (i) יגישו כפי שהושלם בהתאם לפסקאות (i) עד (viii) לעיל; ו-(ii) ייחשב מתוקן כפי שמוגדר בחלק 2 של נספח בריטניה, אשר ייחשב כמשולב ומהווה חלק אינטגרלי מ-DPA זה. בנוסף, טבלאות 1 עד 3 בחלק 1 של הנספח לבריטניה ימולאו בהתאמה עם המידע המפורט בנספח I ובנספח II של הסכם עיבוד נתונים זה, וטבלה 4 בחלק 1 של הנספח לבריטניה תיחשב כלא הושלמה על ידי בחירה ב"אף אחד מהצדדים".
ג. ביחס להעברות של מידע אישי המוגן על ידי חוק ה-LGPD של ברזיל, בין ישירות ובין באמצעות העברה נוספת, למדינה מחוץ לברזיל שאינה כפופה להחלטת נאותות שהונפקה על ידי חוק ה-ANPD, הסכמי ה-SCC של ברזיל ייחשבו ככאלה שנכנסו ושולבו ב-DPA זה באמצעות הפניה זו, והושלמו כדלקמן:
סעיף 2 של תנאי ה-SCC של ברזיל מתקיים על ידי המידע המפורט בנספח I, המתאר את העברת הנתונים;
ב. בסעיף 3 של תנאי ה-SCC של ברזיל, אפשרות ב' תחול, כאשר העברות הלאה מותרות בהתאם לסעיף 3.5 ("מעבדי משנה") של הסכם עיבוד נתונים זה. נושא העיבוד, אופיו ומשכו מפורטים בנספח I להסכם זה למידע אישי;
ג. סעיף 4 של תנאי ה-SCC של ברזיל מתקיים על ידי המידע המפורט בנספח I של הסכם עיבוד נתונים זה. כאשר G-P הוא מבקר, הוא יהיה "הצד המיועד", כפי שמוגדר ב-SCCs של ברזיל, ולצורך סעיף 14 (שקיפות), סעיף 15 (זכויות נושא נתונים) וסעיף 16 (דיווח אירועים) של ה-SCC בברזיל. הלקוח נשאר אחראי לתאימות באמצעות סעיף 14 (שקיפות), סעיף 15 (זכויות נושא נתונים) וסעיף 16 דיווח על אירועים) של רשויות ה-SCC בברזיל, עבור כל מידע אישי שעליו עשוי להיות בקר;
ד. בסעיף 9 של תנאי ה-SCC של ברזיל, סעיף העגינה האופציונלי לא יחול; ו-
סעיף III (אמצעי אבטחה) של הסכם השוויון והשתלטות של ברזיל ייחשב כהושלם עם המידע המפורט בנספח II להסכם עיבוד נתונים זה.
4.4 העברות נתונים בלתי צפויות אם, במהלך מתן השירותים, מי מהצדדים יזהה כי מתרחשת או צפויה להתרחש העברה של נתונים אישיים שלא טופלה כבר על ידי המנגנונים המפורטים בסעיפים 4.1 עד 4.3 של הסכם הגנת מידע זה, הצדדים יודיעו זה לזה באופן מיידי וישתפו פעולה בתום לב כדי ליישם, ללא עיכוב בלתי סביר, מנגנוני העברה נוספים או אמצעים משלימים כפי שיידרשו על פי חוקי הגנת המידע הרלוונטיים כדי להבטיח את חוקיות ההעברה האמורה. אף צד לא יידרש להמשיך בהעברה בלתי צפויה כאמור עד שיוסכם ויושם המנגנון המתאים.
