תוספת עיבוד נתונים

Realytics Corp Limited

עודכן לאחרונה: 5 באוגוסט 2026 | תחילת תוקף: 5 באוגוסט 2026

תוספת עיבוד נתונים זו ונספחיה (להלן: "DPA") משקפות את ההסכמה בין Realytics לבין הלקוח (כהגדרתו להלן), שיכונו יחד "הצדדים" ("Parties"), בנוגע לעיבוד נתונים אישיים של הלקוח לפי תנאי השירות, הסכם המנוי, טופס ההזמנה או כל הסכם אחר בכתב או באמצעים אלקטרוניים בין הצדדים המפנה ל-DPA זה (להלן: "ההסכם"; "Agreement").

DPA זה משולב בהסכם ומהווה חלק בלתי נפרד ממנו ללא צורך בחתימה נוספת כלשהי מצד מי מהצדדים. עותק הניתן לחתימה זמין לפי בקשה בכתובת עבור לקוחות שנהליהם הפנימיים מחייבים זאת.

בכל מקרה של סתירה בין DPA זה לבין ההסכם, יגברו הוראות DPA זה. בכל מקרה של סתירה בין DPA זה לבין התניות החוזיות הסטנדרטיות הנזכרות בסעיף 9, יגברו התניות החוזיות הסטנדרטיות.

1. הגדרות

למונחים מוגדרים שאינם מוגדרים כאן תהיה המשמעות שניתנה להם בהסכם.

"חברה קשורה" ("Affiliate") משמעה ישות המחזיקה בישות הנדונה או שולטת בה, המוחזקת על ידה או נשלטת על ידה, או המצויה בבעלות או בשליטה משותפת עמה, כאשר "שליטה" משמעה הכוח לכוון את ניהולה או את ענייניה של ישות, ו"בעלות" משמעה בעלות שביושר בחמישים אחוז (50%) או יותר מניירות הערך המקנים זכויות הצבעה או מזכויות הצבעה שוות ערך.

"דין הגנת הנתונים החל" ("Applicable Data Protection Law") משמעו כל חקיקה בעניין הגנת נתונים ופרטיות החלה על העיבוד לפי DPA זה, לרבות דיני הגנת הנתונים האירופיים, ה-CCPA, חוק הגנת נתוני הצרכן של וירג'יניה (Virginia Consumer Data Protection Act), חוק הפרטיות של קולורדו (Colorado Privacy Act), חוק פרטיות הנתונים של קונטיקט (Connecticut Data Privacy Act), חוק פרטיות הצרכן של יוטה (Utah Consumer Privacy Act), וכן חוקי פרטיות מדינתיים חלים אחרים בארצות הברית.

"CCPA" משמעו חוק פרטיות הצרכן של קליפורניה (California Consumer Privacy Act), כפי שתוקן בחוק זכויות הפרטיות של קליפורניה (California Privacy Rights Act), יחד עם התקנות שהותקנו מכוחו.

"בקר" ("Controller") משמעו הישות הקובעת את מטרות העיבוד של נתונים אישיים ואת האמצעים לביצועו, לרבות "עסק" כהגדרת מונח זה בדין הגנת הנתונים החל.

"הלקוח" ("Customer") משמעו הישות המתקשרת בהסכם עם Realytics לצורך גישה לשירותים או שימוש בהם.

"נתונים אישיים של הלקוח" ("Customer Personal Data") משמעם הנתונים האישיים המתוארים בנספח I שהלקוח או משתמשיו המורשים מוסרים לשירותים, מעלים אליהם או מנגישים באמצעותם, או ש-Realytics מעבדת בשם הלקוח לפי ההסכם, ואשר ביחס אליהם הלקוח הוא הבקר או מעבד הפועל בשם בקר שהוא צד שלישי.

"נושא הנתונים" ("Data Subject"), "לעבד" ("Process"), "עובד" ("Processed") ו-"עיבוד" ("Processing") — לכל אחד מהם המשמעות שניתנה לו בדין הגנת הנתונים החל.

"נתונים ברמת בית העסק" ("Establishment-Level Data") משמעם נתונים הנוגעים לעסק, למותג, לחנות, לסניף, לנקודת מכירה, למתחם או למקום מסחרי אחר או לאישיות משפטית, ואשר Realytics אינה עושה בהם שימוש כדי לזהות אדם טבעי כלשהו, לבודד אותו או לבנות פרופיל שלו.

"דיני הגנת הנתונים האירופיים" ("European Data Protection Laws") משמעם ה-GDPR, חוק הגנת הנתונים של הממלכה המאוחדת (Data Protection Act 2018) יחד עם ה-UK GDPR, והחוק הפדרלי השווייצרי להגנת נתונים, כל אחד מהם כפי שתוקן או הוחלף.

"GDPR" משמעו תקנה (EU) 2016/679, וכן אותה תקנה כפי ששולבה בדין הממלכה המאוחדת.

"נתונים אישיים" ("Personal Data") משמעם נתונים אישיים או מידע אישי כהגדרתם בדין הגנת הנתונים החל.

"הפרת אבטחת נתונים אישיים" ("Personal Data Breach") משמעה הפרת אבטחה המובילה להשמדה, לאובדן או לשינוי, בשוגג או שלא כדין, של נתונים אישיים המועברים, המאוחסנים או המעובדים בדרך אחרת, או לגילוים או לגישה אליהם ללא הרשאה.

"מעבד" ("Processor") משמעו הישות המעבדת נתונים אישיים בשם בקר, לרבות "ספק שירות" כהגדרת מונח זה בדין הגנת הנתונים החל.

"Realytics" משמעה Realytics Corp Limited, חברה הרשומה בקפריסין תחת מספר HE424817, שמשרדה הרשום ממוקם בכתובת 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, או, מקום שבו ההסכם נכרת עם Reality Analytics, Inc., אותה ישות.

"רגולטור" ("Regulator") משמעו הרשות המפקחת או רשות האכיפה בעלת הסמכות ביחס לעיבוד.

"השירותים" ("Services") משמעם השירותים הניתנים על ידי Realytics ללקוח לפי ההסכם.

"תניות חוזיות סטנדרטיות" ("Standard Contractual Clauses") או "SCCs" משמעם התניות החוזיות הסטנדרטיות שאושרו בהחלטת היישום של הנציבות (EU) 2021/914 מיום 4 ביוני 2021.

"מעבד משנה" ("Sub-Processor") משמעו כל מעבד ש-Realytics מעסיקה, לרבות חברה קשורה של Realytics, לצורך עיבוד נתונים אישיים של הלקוח.

2. תפקידים והיקף

2.1 תפקיד המעבד. ביחס לנתונים אישיים של הלקוח, הלקוח הוא הבקר ו-Realytics היא המעבד. מקום שבו הלקוח פועל כמעבד בשם בקר שהוא צד שלישי, Realytics פועלת כמעבד המשנה של הלקוח, והלקוח אחראי להבטיח כי הוראותיו ל-Realytics מאושרות על ידי הבקר הרלוונטי. Realytics תעבד נתונים אישיים של הלקוח אך ורק כמפורט ב-DPA זה ובהתאם להוראות הלקוח.

2.2 תפקיד הבקר. Realytics פועלת כבקר, ולא כמעבד, ביחס לנתוני רישום חשבון, לפרטי משתמשים מורשים, למידע חיוב ותשלום, להתכתבויות תמיכה ולנתוני שימוש וטלמטריה של השירותים, אשר Realytics מעבדת לצורך אספקת השירותים, אבטחתם, תמיכה בהם, תחזוקתם ושיפורם, ניהול קשרי הלקוחות, מניעת הונאות, המשכיות עסקית וביצוע פעולות עסקיות ליבה כגון הנהלת חשבונות, חיוב וציות לדין. עיבוד נתונים אלה על ידי Realytics כבקר מתואר במדיניות הפרטיות של Realytics ואינו כפוף ל-DPA זה.

2.3 נתוניה של Realytics. מאגרי הנתונים ש-Realytics מרכיבה, מקבלת עליהם רישיון או גוזרת, באופן בלתי תלוי בלקוח — לרבות נתונים המתקבלים מסריקת דפי אינטרנט הנגישים לציבור, מאגרי נתונים של צדדים שלישיים ברישיון, ונתונים ברמת בית העסק — אינם נתונים אישיים של הלקוח ואינם כפופים ל-DPA זה, בין אם הם מוצגים ללקוח באמצעות השירותים ובין אם לאו.

2.4 חברות קשורות של הלקוח. מקום שבו חברות קשורות של הלקוח רכשו מנויים לשירותים במישרין לפי ההסכם, DPA זה חל על מנויים אלה וכל חברה קשורה כאמור נחשבת לבקר ביחס לנתונים האישיים של הלקוח שלה עצמה. הלקוח אחראי לתאם את כל התקשורת עם Realytics לפי DPA זה בשמו ובשם חברותיו הקשורות, והוא זכאי לבצע ולקבל תקשורת כאמור בשמן.

2.5 משך. Realytics תעבד נתונים אישיים של הלקוח למשך תקופת ההסכם, ולאחריה רק כמותר לפי סעיף 8.

3. חובות הלקוח

3.1 הלקוח יעבד נתונים אישיים של הלקוח, וייתן הוראות ל-Realytics, בהתאם לדין הגנת הנתונים החל. הלקוח נושא באחריות בלעדית לדיוקם, לאיכותם ולחוקיותם של הנתונים האישיים של הלקוח ולאמצעים שבאמצעותם השיג נתונים אלה.

3.2 הלקוח מצהיר ומתחייב כי בידיו כל הזכויות הנדרשות, וכן בסיס חוקי תקף, למסור נתונים אישיים של הלקוח ל-Realytics לצורך העיבוד הצפוי לפי ההסכם. מקום שבו הדבר נדרש לפי דין הגנת הנתונים החל, הלקוח אחראי לקבל כל הסכמה נדרשת של נושאי נתונים ולשמור תיעוד שלה. אם הסכמה בוטלה, הלקוח אחראי להודיע על כך ל-Realytics, ו-Realytics תישאר אחראית ליישום כל הוראה הנובעת מכך, בהתאם ל-DPA זה.

3.3 נתונים אסורים. הלקוח לא ימסור לשירותים, ולא יתיר למשתמשיו המורשים למסור:

(a) קטגוריות מיוחדות של נתונים אישיים כמשמעותן בסעיף 9 ל-GDPR, קרי נתונים החושפים מוצא גזעי או אתני, דעות פוליטיות, אמונות דתיות או פילוסופיות, חברות באיגוד מקצועי, נתונים גנטיים, נתונים ביומטריים המעובדים לצורכי זיהוי, נתונים בדבר בריאות, או נתונים בדבר חיי המין או הנטייה המינית של אדם טבעי;

(b) נתונים אישיים הנוגעים להרשעות פליליות או לעבירות;

(c) נתונים אישיים של ילדים מתחת לגיל שש עשרה (16); או

(d) מספרי כרטיסי תשלום, מספרי חשבונות פיננסיים, מספרי זיהוי ממשלתיים, או נתוני מיקום גיאוגרפי מדויקים של אדם טבעי מזוהה.

השירותים אינם מיועדים לעבד את הנתונים המתוארים בסעיף 3.3 זה, ול-Realytics לא תהיה חובה או אחריות כלשהי ביחס לנתונים אלה אם נמסרו תוך הפרת סעיף זה.

3.4 שיפוי. הלקוח יגן על Realytics ועל חברותיה הקשורות, ישפה אותן ויפטור אותן מכל נזק בגין כל תביעה, דרישה, הליך, קנס, אובדן או הוצאה (לרבות שכר טרחת עורכי דין סביר) הנובעים מ-(a) נתונים אישיים של הלקוח שללקוח לא היה בסיס חוקי או הזכויות הנדרשות למסירתם ל-Realytics, (b) הפרת סעיף 3.3 על ידי הלקוח, או (c) כל הוראה מצד הלקוח הגורמת ל-Realytics להפר את דין הגנת הנתונים החל, או הקשורים לאלה, ובלבד ש-Realytics הודיעה ללקוח לפי סעיף 4.1(c) מקום שבו הייתה מסוגלת לעשות כן.

4. חובותיה של Realytics כמעבד

4.1 ככל ש-Realytics מעבדת נתונים אישיים של הלקוח בשם הלקוח, Realytics:

(a) תעבד נתונים אישיים של הלקוח אך ורק לפי הוראות מתועדות מאת הלקוח, הכוללות את ההסכם, DPA זה, תצורת השירותים והשימוש בהם על ידי הלקוח, וכל הוראה סבירה אחרת בכתב העולה בקנה אחד עם DPA זה, לרבות בנוגע להעברות למדינות שלישיות, למעט מקום שבו הדבר נדרש לצורך ציות לדין החל על Realytics;

(b) מקום שבו דין מחייב עיבוד שלא לפי הוראות הלקוח, תיידע את הלקוח בדבר אותה דרישה חוקית לפני העיבוד, אלא אם הדין אוסר גילוי כאמור;

(c) תיידע את הלקוח ללא דיחוי אם, לדעת Realytics, הוראה מאת הלקוח מפרה את דין הגנת הנתונים החל;

(d) תבטיח כי עובדים המורשים לעבד נתונים אישיים של הלקוח מחויבים בחובת סודיות, ותגביל את הגישה לאותם עובדים הזקוקים לה לצורך אספקת השירותים, תמיכה בהם או אבטחתם; וכן

(e) תקיים מדיניות אבטחת מידע כתובה החלה על עיבוד נתונים אישיים של הלקוח.

4.2 מגבלות החלות על ספק שירות ועל מעבד. Realytics לא:

(a) תשמור, תשתמש או תגלה נתונים אישיים של הלקוח שלא כנדרש לצורך אספקת השירותים וקיום ההסכם, או כמותר אחרת לפי דין הגנת הנתונים החל;

(b) תשמור, תשתמש או תגלה נתונים אישיים של הלקוח מחוץ למערכת היחסים העסקית הישירה שבין Realytics לבין הלקוח;

(c) "תמכור" או "תשתף" נתונים אישיים של הלקוח, כהגדרת מונחים אלה בדין הגנת הנתונים החל; או

(d) תשלב נתונים אישיים של הלקוח עם נתונים אישיים שהתקבלו מכל אדם אחר או בשמו, או שנאספו מאינטראקציות של Realytics עצמה עם יחידים, למעט כמותר לפי סעיף 5 או כנדרש לצורך אספקת השירותים.

הצדדים מאשרים כי גילוי הנתונים האישיים של הלקוח על ידי הלקוח ל-Realytics אינו מהווה חלק מתמורה כספית או מתמורה אחרת בעלת ערך המוחלפת בין הצדדים. Realytics תעניק לנתונים האישיים של הלקוח את אותה רמת הגנת פרטיות הנדרשת מהלקוח לפי דין הגנת הנתונים החל, ותודיע ללקוח אם תקבע כי אין ביכולתה עוד לעמוד בחובותיה לפי דין הגנת הנתונים החל.

5. ניתוח ברמת בית העסק ושיפור השירות

5.1 מטרה. השירותים פועלים באמצעות ייחוס פעילות מסחרית לרמת העסק, המותג או המיקום הפיזי. Realytics אינה מבקשת לזהות אנשים טבעיים בודדים, לבודד אותם, לבנות להם פרופיל או לקבל לגביהם החלטות, ואינה מנסה לזהות מחדש אנשים טבעיים בתוך מאגר נתונים כלשהו שברשותה.

5.2 שימוש מותר. Realytics רשאית להשתמש בנתונים ברמת בית העסק ובנתונים מצרפיים או סטטיסטיים הנגזרים מהפעלת השירותים, לרבות נתונים הנגזרים מנתונים אישיים של הלקוח, לצורך אספקת השירותים, אבטחתם, תחזוקתם, ניתוחם ושיפורם, לרבות לצורך פיתוח, אימון, בדיקה והערכה של המודלים האנליטיים ומודלי למידת המכונה המהווים חלק מהשירותים.

5.3 מגבלות. Realytics תשתמש בנתונים לפי סעיף 5.2 רק מקום שבו הם קובצו לכדי נתונים מצרפיים או צומצמו לנתונים ברמת בית העסק, כך שאינם מזהים עוד אדם טבעי כלשהו ולא ניתן באורח סביר להשתמש בהם לזיהויו, ואינם מזהים עוד את הלקוח. Realytics לא תגלה לכל לקוח אחר את הנתונים האישיים של הלקוח עצמם, או כל תפוקה המזהה את הלקוח.

5.4 נתונים ברמת הפרט. Realytics אינה מחזיקה ואינה מבקשת רשומות ברמת הפרט של אנשים טבעיים במאגרי הנתונים העומדים בבסיס השירותים.

5.5 התנגדות. מקום שבו נושא נתונים מממש זכות להתנגד לפי סעיף 21 ל-GDPR ביחס לעיבוד המבוצע לפי סעיף זה, Realytics תיתן תוקף להתנגדות זו בהתאם לדין הגנת הנתונים החל.

6. אבטחה

6.1 בהתחשב במצב הטכנולוגיה, בעלויות היישום ובאופיו, בהיקפו, בהקשרו ובמטרותיו של העיבוד, וכן בסיכונים לנושאי הנתונים, Realytics תיישם ותקיים אמצעים טכניים וארגוניים מתאימים להגנה על נתונים אישיים של הלקוח מפני הפרת אבטחת נתונים אישיים. אמצעים אלה מתוארים בנספח II.

6.2 Realytics רשאית לעדכן מעת לעת את האמצעים המפורטים בנספח II, ובלבד שעדכונים כאמור לא יגרמו להרעה מהותית באבטחה הכוללת של השירותים.

6.3 לפי בקשה בכתב של הלקוח, ובכפוף להוראות הסודיות שבהסכם, Realytics תספק מידע הדרוש באורח סביר כדי להוכיח עמידה בסעיף 6 זה, שעשוי לכלול שאלוני אבטחה מלאים, וכן, ככל שקיימים, תמציות של דוחות ביקורת או תעודות הסמכה של צדדים שלישיים, שעשויות להיות מושחרות מטעמי אבטחה או סודיות.

6.4 ביקורת. מקום שבו דין הגנת הנתונים החל מחייב זאת, וכאשר המידע שסופק לפי סעיף 6.3 אינו מספיק, הלקוח רשאי לבקש ביקורת על עיבוד הנתונים האישיים של הלקוח על ידי Realytics. ביקורת כאמור תיערך לא יותר מפעם אחת בכל תקופה של שנים עשר (12) חודשים, מחייבת הודעה מוקדמת בכתב של שלושים (30) ימים לפחות, וכפופה להסכמת הצדדים מראש על היקפה, מועדה ומשכה. הלקוח יישא בעלויותיו שלו ויחזיר ל-Realytics את עלויותיה הסבירות בגין הזמן שהושקע בתמיכה בביקורת. תוצאות הביקורת הן מידע סודי של Realytics. הלקוח יודיע ל-Realytics ללא דיחוי על כל אי-עמידה שזוהתה, ו-Realytics תפעל במאמצים סבירים מבחינה מסחרית לתיקון כל אי-עמידה שאוששה. אין באמור בסעיף זה כדי להגביל ביקורת או בדיקה הנדרשת על ידי רגולטור.

7. מעבדי משנה

7.1 הרשאה. הלקוח מעניק ל-Realytics הרשאה כללית בכתב להעסיק חברות קשורות של Realytics ומעבדי משנה שהם צדדים שלישיים לצורך עיבוד נתונים אישיים של הלקוח בקשר לשירותים. הרשאה זו מהווה את הרשאתו המוקדמת בכתב של הלקוח לצורכי תניה 9 לתניות החוזיות הסטנדרטיות. הרשימה העדכנית של מעבדי המשנה זמינה בכתובת realytics.com/legal/subprocessors ומופיעה בנספח III.

7.2 הודעה והתנגדות. Realytics תיתן הודעה על כל מעבד משנה חדש באמצעות עדכון הרשימה חמישה עשר (15) ימים לפחות לפני שתינתן לאותו מעבד משנה גישה לנתונים אישיים של הלקוח, ותעמיד מנגנון שבאמצעותו יוכל הלקוח להירשם לקבלת הודעות על עדכונים. הלקוח רשאי להתנגד מטעמים סבירים הנוגעים להגנת נתונים בתוך ארבעה עשר (14) ימים מההודעה. אם הלקוח לא ישיב בתוך תקופה זו, ייחשב מעבד המשנה כמאושר.

7.3 יישוב. אם הלקוח יתנגד, הצדדים ידונו בהתנגדות בתום לב. אם לא יושג פתרון בתוך שלושים (30) ימים, הלקוח רשאי לסיים את החלק המושפע של השירותים בהודעה בכתב, ו-Realytics תחזיר כל תשלום ששולם מראש בגין התקופה שלאחר הסיום, על בסיס יחסי.

7.4 גלגול חובות ואחריות. Realytics תטיל על כל מעבד משנה חובות הגנת נתונים המספקות לנתונים האישיים של הלקוח רמת הגנה שאינה נופלת מזו שב-DPA זה. מקום שבו מעבד משנה אינו מקיים חובות אלה, Realytics תישאר אחראית כלפי הלקוח לקיום חובותיו של אותו מעבד משנה.

8. מחיקה והשבה

8.1 עם פקיעת ההסכם או סיומו, לפי בקשה בכתב של הלקוח, או כאשר מטרת העיבוד מומשה, Realytics תמחק נתונים אישיים של הלקוח בתוך שלושים (30) ימים, למעט ככל ששמירתם נדרשת לפי דין.

8.2 נתונים אישיים של הלקוח הכלולים בגיבויים שגרתיים יימחקו בהתאם למחזור הגיבוי הרגיל של Realytics ובכל מקרה בתוך תשעים (90) ימים מהסיום.

8.3 הלקוח רשאי לייצא נתונים אישיים של הלקוח באמצעות פונקציית הייצוא של השירותים בכל עת במהלך התקופה, ללא חיוב נוסף. מקום שבו הלקוח מבקש חילוץ נתונים ייעודי המחייב מאמץ הנדסי, Realytics רשאית לגבות את עלויותיה הסבירות.

8.4 Realytics תשמור על סודיותם של נתונים אישיים של הלקוח שנשמרו לפי סעיף 8.1 ותעבד אותם רק כנדרש לצורך ציות לדין החל עליה.

8.5 נתונים מצרפיים ונתונים ברמת בית העסק שנוצרו כדין לפי סעיף 5 לפני הסיום, ואשר אינם מזהים את הלקוח או אדם טבעי כלשהו, אינם כפופים למחיקה לפי סעיף זה.

9. העברות בינלאומיות

9.1 תניות חוזיות סטנדרטיות. מקום שבו נתונים אישיים של הלקוח שמקורם באזור הכלכלי האירופי, בממלכה המאוחדת או בשווייץ מועברים למדינה שלא ניתנה לגביה החלטת נאותות, מסכימים הצדדים להיות כפופים למודול שתיים (מבקר למעבד) של התניות החוזיות הסטנדרטיות, המשולבות ב-DPA זה בדרך של הפניה. מקום שבו הלקוח פועל כמעבד בשם בקר שהוא צד שלישי, יחול במקומו מודול שלוש (ממעבד למעבד). הלקוח מקיים את חובות מייצא הנתונים ו-Realytics מקיימת את חובות מייבא הנתונים.

9.2 בחירות. לצורכי התניות החוזיות הסטנדרטיות:

(a) תניית ההצטרפות האופציונלית שבתניה 7 תחול מקום שבו אחד הצדדים יודיע למשנהו בכתב כי היא נדרשת;

(b) בתניה 9, תחול אפשרות 2 (הרשאה כללית בכתב), עם תקופת ההודעה הקבועה בסעיף 7.2;

(c) בתניה 11, הנוסח האופציונלי בדבר יישוב סכסוכים עצמאי אינו חל;

(d) בתניה 17, תחול אפשרות 1 והתניות יהיו כפופות לדין הרפובליקה של קפריסין;

(e) בתניה 18(b), סכסוכים יידונו בפני בתי המשפט של הרפובליקה של קפריסין;

(f) נספח I לתניות החוזיות הסטנדרטיות ימולא במידע שבנספח I ל-DPA זה, ונספח II — במידע שבנספח II ל-DPA זה; וכן

(g) ההתקשרות ב-DPA זה מהווה את חתימתו של כל צד על התניות החוזיות הסטנדרטיות ועל נספחיהן.

9.3 הממלכה המאוחדת. ביחס להעברות הכפופות ל-UK GDPR, מסכימים הצדדים לתוספת הבינלאומית להעברת נתונים של הממלכה המאוחדת (גרסה B1.0) שהוציא נציב המידע, המשולבת בדרך של הפניה. טבלה 1 תמולא בפרטי הצדדים שבנספח I; טבלה 2 מזהה את המייצא כבקר ואת המייבא כמעבד; טבלאות 3 ו-4 ימולאו במידע שבנספחים I ו-II בהתאמה.

9.4 שווייץ. ביחס להעברות הכפופות לחוק הפדרלי השווייצרי להגנת נתונים, הנציב הפדרלי להגנת נתונים ומידע הוא הרשות המפקחת המוסמכת, הפניות ל-GDPR ייקראו כהפניות לחוק השווייצרי, ונושאי נתונים בשווייץ רשאים לאכוף את זכויותיהם בשווייץ.

9.5 העברות המשך. Realytics רשאית להעביר נתונים אישיים של הלקוח ל-Reality Analytics, Inc. ולמעבדי המשנה המנויים בנספח III, בכל מקרה בכפוף לאמצעי הגנה מתאימים לפי דין הגנת הנתונים החל.

9.6 שינוי מנגנון. אם התניות החוזיות הסטנדרטיות או התוספת של הממלכה המאוחדת יתוקנו, יוחלפו, או ייקבעו כבטלות או כבלתי מספקות על ידי בית משפט או רגולטור בעל סמכות, מסכימים הצדדים כי התניות המחליפות או המעודכנות החלות, או כל מנגנון העברה חלופי התקף לפי דין הגנת הנתונים החל, יחולו באופן אוטומטי ממועד תחילת תחולתם, וכי Realytics רשאית ליישם אמצעי הגנה נוספים ככל שיידרש, מבלי לתקן DPA זה.

10. זכויות נושאי נתונים וסיוע

10.1 מקום שבו Realytics מקבלת בקשה מנושא נתונים לממש זכויות עיון, תיקון, מחיקה, הגבלה, ניידות או התנגדות ביחס לנתונים אישיים של הלקוח, Realytics תיידע ללא דיחוי את נושא הנתונים, ככל שהדבר מותר על פי דין, כי יש להפנות את הבקשה ללקוח, ותודיע ללקוח על הבקשה.

10.2 בהתחשב באופיו של העיבוד, Realytics תסייע ללקוח באמצעים טכניים וארגוניים מתאימים, ככל שהדבר אפשרי באורח סביר, בקיום חובתו של הלקוח להשיב לבקשות כאמור. מקום שבו הלקוח אינו יכול לטפל בבקשה באמצעות פונקציונליות השירותים, Realytics תפעל במאמצים סבירים מבחינה מסחרית כדי לסייע.

10.3 לפי בקשת הלקוח, ובהתחשב באופיו של העיבוד ובמידע הזמין ל-Realytics, Realytics תעניק ללקוח סיוע סביר בביצוע הערכת השפעה על הגנת נתונים הנוגעת לשימוש הלקוח בשירותים, וכן בכל התייעצות מוקדמת עם רגולטור לפי סעיף 36 ל-GDPR, בכל מקרה ככל שללקוח אין גישה אחרת למידע הרלוונטי.

11. הפרת אבטחת נתונים אישיים

11.1 Realytics תודיע ללקוח על הפרת אבטחת נתונים אישיים הנוגעת לנתונים אישיים של הלקוח ללא דיחוי מיותר ובכל מקרה בתוך שבעים ושתיים (72) שעות ממועד שנודע לה עליה, באמצעות פרטי הקשר שהלקוח מסר למטרה זו. הלקוח אחראי לשמור על עדכניותם של פרטים אלה.

11.2 ההודעה תכלול, ככל שיהיה ידוע באותה עת, את אופי ההפרה, את קטגוריות הנתונים האישיים של הלקוח שנפגעו ואת היקפם המשוער, את ההשלכות הצפויות ואת האמצעים שננקטו או המוצעים. מקום שבו המידע אינו זמין במועד ההודעה, Realytics תמסור אותו בשלבים, ככל שיהפוך לזמין.

11.3 Realytics תנקוט צעדים סבירים מבחינה מסחרית לבלימת ההפרה ולתיקונה, ככל שהתיקון מצוי בשליטתה, ותעניק ללקוח סיוע סביר כדי לאפשר ללקוח להודיע לרגולטורים ולנושאי נתונים שנפגעו, מקום שבו הלקוח נדרש לעשות כן.

11.4 הלקוח אחראי באופן בלעדי לציות לחובות ההודעה על הפרה החלות עליו ולכל חובת הודעה כלפי צדדים שלישיים.

11.5 סעיף זה אינו חל על הפרת אבטחת נתונים אישיים שנגרמה על ידי הלקוח, על ידי משתמשיו המורשים, או על ידי מוצרים או שירותים שאינם מסופקים על ידי Realytics.

11.6 הודעת Realytics על הפרת אבטחת נתונים אישיים אינה מהווה הודאה באשם או באחריות.

12. כללי

12.1 אחריות. אחריותו של כל צד, ואחריות חברותיו הקשורות, הנובעת מ-DPA זה או הקשורה אליו, בין בדיני חוזים, בין בנזיקין ובין לפי כל עילת אחריות אחרת, כפופה להגבלות ולהחרגות האחריות הקבועות בהסכם. כל הפניה בהסכם לאחריותו של צד משמעה האחריות המצטברת של אותו צד ושל כל חברותיו הקשורות לפי ההסכם ולפי כל תוספות עיבוד הנתונים יחד. אין באמור ב-DPA זה כדי להגביל אחריות שאינה ניתנת להגבלה לפי דין הגנת הנתונים החל, לרבות זכויותיו של נושא נתונים לפי סעיפים 79 ו-82 ל-GDPR.

12.2 הדין החל. DPA זה כפוף לדין החל על ההסכם. מקום שבו ההסכם אינו קובע דין חל, DPA זה כפוף לדין הרפובליקה של קפריסין, ולבתי המשפט בקפריסין סמכות שיפוט ייחודית, בכפוף לסעיפים 9.2(e) ו-9.3.

12.3 סדר עדיפויות. DPA זה גובר על כל הוראה סותרת בהסכם ביחס לעיבוד נתונים אישיים של הלקוח. למעט כפי שתוקן ב-DPA זה, ההסכם נותר בתוקפו המלא.

12.4 שינויים ב-DPA זה. Realytics רשאית לעדכן DPA זה כדי לשקף שינויים בדין הגנת הנתונים החל, בשירותים או במעבדי המשנה שלה, ובלבד שאף עדכון לא יצמצם באופן מהותי את ההגנות המוקנות לנתונים האישיים של הלקוח. Realytics תיתן הודעה על שינויים מהותיים שלושים (30) ימים מראש לפחות, באמצעות פרסום ה-DPA המעודכן, ומקום שבו הלקוח נרשם לקבלת הודעות — גם בדואר אלקטרוני.

12.5 הפרדה. אם הוראה כלשהי ב-DPA זה תיקבע כבטלה או כבלתי אכיפה, יתר ההוראות יעמדו בתוקפן.

12.6 היעדר שותפות. אין באמור ב-DPA זה כדי ליצור שותפות, מיזם משותף או יחסי שליחות בין הצדדים.

12.7 תקופה. DPA זה נכנס לתוקף במועד תחילת ההסכם ומסתיים אוטומטית עם פקיעת ההסכם או סיומו, למעט הוראות שממשיכות לחול מטבען, לרבות סעיפים 8, 9 ו-12.1.

12.8 יצירת קשר. שאלות בנוגע ל-DPA זה ניתן לשלוח לכתובת . עניינים הנוגעים לאבטחה ניתן לשלוח לכתובת .

נספח I — תיאור העיבוד

A. רשימת הצדדים

מייצא הנתונים (בקר): הלקוח, כמזוהה בהסכם. פעילויות רלוונטיות להעברה: קבלת השירותים לפי ההסכם. חתימה ותאריך: ההתקשרות ב-DPA זה מהווה את חתימת הלקוח על נספח זה.

מייבא הנתונים (מעבד): ישות Realytics המזוהה בהסכם, שהיא Realytics Corp Limited, מספר רישום HE424817, 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, או Reality Analytics, Inc., 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States. איש קשר: . פעילויות רלוונטיות להעברה: אספקת השירותים ללקוח לפי ההסכם. חתימה ותאריך: ההתקשרות ב-DPA זה מהווה את חתימת Realytics על נספח זה.

B. תיאור ההעברה

C. הרשות המפקחת המוסמכת

משרד הנציב להגנת נתונים אישיים של הרפובליקה של קפריסין.

נספח II — אמצעים טכניים וארגוניים

Realytics מקיימת אמצעים טכניים וארגוניים שנועדו להגן על נתונים אישיים של הלקוח מפני הפרת אבטחת נתונים אישיים, בהתחשב באופיו, בהיקפו, בהקשרו ובמטרותיו של העיבוד ובסיכון לנושאי הנתונים. Realytics אינה מפרסמת פרטי ארכיטקטורת מערכת או פרטי יישום אבטחה מפורטים מקום שבו פרסום כאמור עלול ליצור סיכון אבטחה.

A. בקרת גישה

Realytics מגבילה את הגישה לנתונים אישיים של הלקוח לעובדים הזקוקים לגישה כדי לספק את השירותים, לתמוך בהם, לתחזק אותם או לאבטחם. הגישה ניתנת על בסיס תפקיד, מחייבת אימות, ומבוטלת כאשר אין בה עוד צורך. עובדים בעלי גישה לנתונים אישיים של הלקוח מחויבים בחובות סודיות.

B. אבטחת העברה

Realytics מגינה על נתונים אישיים של הלקוח המועברים ברשתות ציבוריות באמצעות הצפנה במעבר, מקום שבו הדבר מתאים מבחינה טכנית.

C. הפרדה וצמצום

Realytics עושה שימוש בבקרות לוגיות שנועדו להפריד בין סביבות הלקוחות ובין הנתונים בתוך השירותים. Realytics מגבילה את עיבוד הנתונים האישיים של הלקוח לנדרש לצורך המטרות המתוארות בהסכם וב-DPA זה, ועושה שימוש באיגום, בהסרת זיהוי או בנתונים ברמת בית העסק מקום שבו המטרה מאפשרת זאת.

D. גיבויים ועמידות

Realytics מקיימת אמצעי גיבוי ושחזור שנועדו לתמוך בזמינותם של השירותים ושל הנתונים האישיים של הלקוח ובשחזורם לאחר אירוע, בכפוף לרמת השירות ולהסכם.

E. ניהול אירועים

Realytics מקיימת נהלים לזיהוי, לחקירה, לבלימה ולתיקון של אירועי אבטחה המשפיעים על השירותים.

F. ניהול מעבדי משנה

Realytics מתקשרת עם מעבדי משנה בתנאים המטילים חובות הגנת נתונים המספקות רמת הגנה שאינה נופלת מזו שב-DPA זה, ומקיימת את רשימת מעבדי המשנה המפורסמת המתוארת בסעיף 7.

נספח III — מעבדי משנה

הערות. Hetzner Online GmbH מספקת שרתים ייעודיים פיזיים ומתקני מרכזי נתונים. Realytics אינה מעניקה ל-Hetzner גישה לנתונים אישיים של הלקוח ו-Hetzner אינה מעבדת נתונים אישיים של הלקוח בשם Realytics; היא נכללת ברשימה לשם שקיפות, כספקית תשתית אירוח.

Meta Platforms, TikTok, LinkedIn ו-Google Ads משמשות את Realytics לצורך פעילויות השיווק והפרסום שלה עצמה, שבהן Realytics פועלת כבקר. הן אינן מעבדות נתונים אישיים של הלקוח ולפיכך אינן מעבדות משנה לפי DPA זה. תפקידן מתואר במדיניות הפרטיות של Realytics.

Realytics אינה מתירה למעבדי המשנה המנויים לעיל המספקים הסקה במודלי בינה מלאכותית להשתמש בנתונים אישיים של הלקוח לצורך אימון המודלים שלהם, ומתקשרת עמם בתנאים השוללים שימוש כאמור.