הסכם עיבוד מידע (DPA)

הסכם עיבוד מידע זה ("DPA", קיצור של Data Processing Agreement) נכרת בין Syniaps ("המעבד"), מפעילת שירות Syniaps ("השירות"), לבין הלקוח בעל החשבון ("הלקוח", הפועל בתפקיד "בעל השליטה במידע"). ההסכם מסדיר, בהתאם לסעיף 28 של התקנה הכללית להגנה על מידע (GDPR), את עיבוד המידע האישי שהלקוח מפקיד בידי השירות. הוא מהווה חלק בלתי נפרד מתנאי השימוש וגובר עליהם בכל הנוגע להגנה על מידע אישי.

גרסת PDF של הסכם זה, המיועדת ללקוחות המעוניינים בחתימה נגדית, זמינה כאן: הורדת ה-DPA (PDF). הטקסט המקוון וקובץ ה-PDF באותה גרסה זהים.

הלקוח קובע את המטרות ואת האמצעים של עיבוד המידע האישי שהוא מייבא, מסנכרן או מזין בשירות: הוא בעל השליטה במידע. Syniaps מעבדת נתונים אלה אך ורק לצורך אספקת השירות ועל פי הוראה מתועדת של הלקוח; השימוש בפונקציות השירות (ייבוא, סנכרון, בקשות לעוזר, אוטומציות) מהווה הוראה זו. Syniaps מודיעה ללקוח אם הוראה נראית לה מנוגדת ל-GDPR.

ביחס לנתוני פעילותה שלה (חשבונות, חיוב, יומנים טכניים, אבטחה), Syniaps פועלת בתפקיד בעלת שליטה במידע, בתנאים המתוארים במדיניות הפרטיות.

• מהות ומטרה: אחסון, שמירה, אינדוקס, ניתוח והצגה של תכני הלקוח על ידי עוזר בינה מלאכותית, לצורכי הלקוח בלבד; סנכרון עם שירותי הענן שהלקוח מחבר; הרצת האוטומציות שהלקוח מגדיר.
• קטגוריות נתונים: נתוני זיהוי וקשר (משתמשים, אנשי קשר עסקיים), תכני מסמכים והודעות שהלקוח מייבא או מסנכרן, היסטוריית השיחות עם העוזר, וכל מידע אישי שהלקוח בוחר להפקיד בידי השירות.
• נושאי המידע: משתמשי הלקוח, עובדיו, לקוחותיו, לקוחות פוטנציאליים, ספקים, ובאופן כללי כל אדם שנתוניו מופיעים בתכנים שהופקדו.
• משך: למשך כל תקופת החוזה. הנתונים נשמרים כל עוד חשבון הלקוח פעיל, ולאחר מכן מטופלים כמתואר בסעיף 10.

השירות אינו מיועד לאחסון נתוני בריאות כמשמעותם ברגולציה הצרפתית בדבר אחסון נתוני בריאות (HDS): הלקוח מתחייב שלא להפקיד בו נתונים כאלה.

Syniaps מתחייבת כי האנשים המורשים לעבד את נתוני הלקוח כפופים לחובת סודיות. גישת עובדי Syniaps לנתוני הלקוח מוגבלת למה שנחוץ בהחלט לתפעול, לאבטחה ולתמיכה, ולגבי התוכן, מתבצעת אך ורק בהסכמת הלקוח במסגרת פניית תמיכה שהוא יוזם, למעט חובה חוקית או חקירת אבטחה.

Syniaps מיישמת, בין היתר, את האמצעים הטכניים והארגוניים הבאים:

• הצפנת התעבורה במעבר (TLS);
• שרת ייעודי לכל חברה לקוחה, המאוחסן בצרפת: הנתונים של לקוח אחד אינם חולקים מכונה עם אלה של לקוח אחר; בתוך החברה, כל משתמש עובד בסביבה מבודדת ברמת המערכת;
• אימות חזק חובה לכל המשתמשים;
• הצפנה במנוחה של פרטי ההתחברות והסודות שהופקדו על ידי הלקוח (סיסמאות לאתרים, אסימוני גישה, מפתחות API, עוגיות התחברות), הנשמרים בקבצים עם גישה מוגבלת בשרתים שאינם חשופים לציבור, לעולם לא במסד נתונים, כאשר מפתח הפענוח נשמר בנפרד מקבצים אלה;
• תיעוד פעולות רגישות;
• גיבויים מוצפנים יומיים הנשמרים מחוץ לשרת, בצרפת (אצל OVHcloud): הנתונים מוצפנים לפני שליחתם ומפתח הפענוח לעולם אינו נשמר יחד עם הגיבויים;
• עקרון ההרשאה המינימלית לרכיבים הפנימיים של השירות.

כלל נתוני הלקוח וגיבוייהם מאוחסנים בצרפת.

הלקוח מאשר באופן כללי ל-Syniaps להיעזר במעבדי משנה לפונקציות מוגדרות של השירות. הרשימה המעודכנת מופיעה בסעיף "מעבדי משנה והעברות" של מדיניות הפרטיות; נכון לגרסה זו, מדובר ב-Anthropic (מודלים של בינה מלאכותית, ספק ברירת המחדל), OpenAI (שיחה קולית בזמן אמת; מודלי ChatGPT רק אם הלקוח מחבר חשבון ChatGPT), Google (מודלי Gemini רק אם הלקוח מחבר חשבון Google), Moonshot AI (מודלי Kimi רק אם הלקוח מחבר חשבון Kimi), Mistral AI (OCR אופציונלי), Stripe (תשלום), Resend (הודעות דואר תפעוליות), Cloudflare (הפצה ובקרת גישה לרשת), OVHcloud (אחסון הגיבויים המוצפנים, בצרפת) וספק האחסון של שרתי השירות (בצרפת). ספק מודלי בינה מלאכותית חלופי (OpenAI, Google, Moonshot AI) פועל רק על פי החלטה מפורשת של הלקוח, המחבר אותו בעצמו לאחר יידוע והסכמה בממשק: הוא אז מעבד משנה שנבחר על ידי הלקוח, שתנאי העיבוד שלו חלים, והלקוח מתחייב, עבור חשבון Google אישי, לכבות את השימוש בחילופי הדברים שלו לשיפור המוצרים והמודלים של Google. Syniaps מטילה על כל מעבד משנה שהיא בוחרת חובות שוות ערך לאלה שבהסכם זה ונותרת אחראית במלואה כלפי הלקוח לביצוען.

Syniaps מודיעה ללקוח על כל הוספה או החלפה של מעבד משנה (עדכון הרשימה, ולשינויים מהותיים, דואר אלקטרוני למנהלים). הלקוח רשאי להתנגד מטעמים לגיטימיים בתוך 30 יום מקבלת ההודעה; בהיעדר הסכמה על פתרון חלופי, הוא רשאי לבטל את השירות בתנאים הקבועים בתנאי השימוש.

נתוני הלקוח וגיבוייהם מאוחסנים בצרפת. חלק ממעבדי המשנה עשויים לעבד נתונים מחוץ לאיחוד האירופי (בפרט בארצות הברית, לצורך עיבוד על ידי מודל הבינה המלאכותית, תשלום או שליחת דואר אלקטרוני; ואם הלקוח מחבר את Kimi, אצל Moonshot AI, מחוץ לאיחוד האירופי); העברות אלה מוסדרות במנגנונים הקבועים בפרק V של התקנה הכללית להגנה על מידע (GDPR): החלטת נאותות (לרבות "Data Privacy Framework") או הסעיפים החוזיים הסטנדרטיים של הנציבות האירופית. עבור ספק מודלי בינה מלאכותית חלופי שהוא מחבר בעצמו, הלקוח מוודא, כבעל השליטה במידע, שיש לו מנגנון העברה הולם (סעיף 6 לעיל).

בהתחשב באופי העיבוד, Syniaps מסייעת ללקוח, באמצעים טכניים וארגוניים מתאימים, להשיב לבקשות למימוש זכויות נושאי המידע (עיון, תיקון, מחיקה, ניידות, התנגדות, הגבלה). Syniaps מעבירה ללקוח ללא דיחוי כל בקשה שנושא מידע יפנה אליה ישירות בעניין נתוני הלקוח. Syniaps מסייעת ללקוח גם, במידה הסבירה, בחובותיו לפי סעיפים 32 עד 36 ל-GDPR (אבטחה, הודעה על הפרות, הערכות השפעה).

Syniaps מודיעה ללקוח על כל הפרת אבטחת מידע אישי הפוגעת בנתוניו, ללא דיחוי בלתי סביר לאחר שנודע לה עליה, לכתובת הדואר האלקטרוני של מנהלי סביבת העבודה. ההודעה מתארת, במידת המידע הזמין, את אופי ההפרה, את הקטגוריות ואת ההיקף המשוער של הנתונים ושל נושאי המידע הנוגעים בדבר, את ההשלכות הצפויות ואת האמצעים שננקטו או המוצעים.

בסיום החוזה (ביטול או אי-המרה של תקופת הניסיון), הגישה לשירות נחסמת בתום התקופה השוטפת, ולאחר מכן כלל נתוני הלקוח נמחקים בתוך 30 יום. במהלך תקופה זו הלקוח רשאי לבקש את השבת תכניו (המסמכים המסונכרנים נותרים ממילא בשירותי הענן של הלקוח, שכן השירות לעולם אינו מוחק בהם דבר). הלקוח רשאי לבקש מחיקה מוקדמת בכל עת. Syniaps רשאית לשמור מעבר לכך אך ורק את הנתונים שהחוק מחייב לשמור (חיוב בפרט), למשך התקופה הקבועה בדין.

Syniaps מעמידה לרשות הלקוח את המידע הדרוש להוכחת העמידה בהסכם זה, ובראש ובראשונה את התיעוד הזה ואת מדיניות הפרטיות. הלקוח רשאי, לכל היותר פעם אחת בכל תקופה של 12 חודשים ובהודעה מוקדמת בכתב של 30 יום, לערוך או להורות על עריכת ביקורת המוגבלת להיקף הסכם זה, בשעות העבודה, ללא גישה לנתוני לקוחות אחרים וללא שיבוש השירות; כל צד יישא בעלויותיו.

הסכם זה מתקבל באופן מקוון בעת בקשת ההרשמה לשירות (תיבת סימון לקבלת תנאי השימוש וה-DPA); התאריך והגרסה שהתקבלו נרשמים ומהווים ראיה בין הצדדים. לקוחות המעוניינים בכך רשאים לבקש חתימה נגדית על גרסת ה-PDF בכתובת [email protected].

מספר הגרסה והתאריך מופיעים בראש העמוד. במקרה של שינוי מהותי, מנהלי סביבות העבודה מקבלים הודעה בדואר אלקטרוני והגרסאות הקודמות נותרות זמינות לפי בקשה. גרסה 1.1 מ-9 באוגוסט 2026 חוזרת על גרסה 1.0 מ-8 ביולי 2026 ללא שינוי, עם שמו הנוכחי של השירות (Syniaps). גרסה 1.2 מ-27 באוגוסט 2026 מוסיפה את ספקי הבינה המלאכותית החלופיים שהלקוח רשאי לבחור לחבר (סעיף 6) ומבהירה את משטר ההעברות הנובע מכך (סעיף 7).