כתב התחייבות להגנת הפרטיות במידע אישי ואבטחתו

כתב התחייבות זה להגנת הפרטיות במידע אישי ואבטחתו ("כתב ההתחייבות" או "הנספח") הוא חלק בלתי נפרד מתנאי ההתקשרות ("ההסכם") שנערכו בינך, הלקוח או המזמין (כהגדרתו בהסכם) ("המזמין") ובין ג'יטי גטאקסי סיסטמס בע"מ, ח.פ. 514593573, מרח' הברזל 19, תל אביב-יפו 6971025 ("גט") (כל אחד בנפרד – "צד" וביחד – "הצדדים"), והמסדירים את השימוש בשירותי גט. נספח זה משקף את הסכמות הצדדים בנוגע לעיבוד של מידע אישי (כהגדרת מונחים אלה להלן) על ידי גט עבור המזמין במסגרת ביצוע התחייבויותיה לפי ההסכם.

הואיל וגט תעניק למזמין שירותים מסוימים כמפורט בהסכם, לרבות שירותי תיווך, באמצעות פלטפורמה מקוונת לארגונים וכן באמצעות אפליקציית מובייל ("הפלטפורמה" ו"האפליקציה", בהתאמה), בין מבקשי שירותי הסעות לנותני שירותי הסעות במונית ("שירות המוניות") וכן בין מבקשי שירותי משלוחים לנותני שירותי משלוחים ("שירות המשלוחים"), ו/או בין מבקשי שירותי הסעות קבוצתיות לנותני שירותי הסעות ברכבי הסעה, במסלולים ובשעות שנקבעו מראש ("שירות הקווים הקבועים") או שייקבעו על ידי גט מעת לעת על בסיס ביקושי נסיעה קבוצתית שימסור לה המזמין ("שירות הקווים הדינמיים", וביחד עם שירות המוניות, שירות המשלוחים ושירות הקווים הקבועים – "השירותים");

והואיל ובמסגרת מתן השירותים תהיה לגט גישה לנתונים המהווים מידע אישי (כהגדרתו מטה) על אודות משתמשים מטעם המזמין שעבורם מבוקשת נסיעה או משלוח באמצעות השירותים, ובכלל זה עובדי המזמין ו/או צדדים שלישיים אחרים, שהם יחידים, הקשורים למזמין והמשתמשים בשירותים על פי הרשאתו ו/או שמידע אישי הנוגע להם משמש להזמנה, לרבות מי שהנסיעה מוזמנת עבורו או שהמשלוח מיועד להימסר לו (ביחד – "נושאי המידע");

והואיל ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 קובעות בין היתר כי בעל שליטה במאגר מידע המתקשר עם גורם חיצוני לצורך קבלת שירות הכרוך במתן גישה למידע אישי, יסדיר בהסכם עם הגורם החיצוני נושאים מסוימים כמפורט בתקנה 15(א)(2) לתקנות;

והואיל והצדדים מעוניינים להסדיר את הנושאים כאמור בכתב התחייבות זה, שיצורף להסכם כנספח המהווה חלק בלתי נפרד ממנו;

לפיכך הוצהר, הותנה והוסכם בין הצדדים כדלקמן:

1. הגדרות

בנוסף למונחים המוגדרים במפורש במקומות אחרים בנספח זה, יישאו המונחים הבאים את המשמעות המפורטת בצד כל אחד מהם:

1.1. "אירוע אבטחה", "בעל הרשאה", "התקן נייד","מנגנון הבקרה", "מערכות המאגר", "נוהל אבטחה", "סקר סיכונים" – כהגדרת מונחים אלה בתקנות;

1.2. "בעל שליטה במאגר", "מחזיק", "מידע אישי", "עיבוד" – כהגדרתם בחוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024 וכפי שיתוקן מעת לעת ("החוק");

1.3. "קבלן משנה" – מחזיק חיצוני לגט המעניק לה שירות שכרוך בעיבוד של מידע מורשה (כהגדרתו בסעיף 2 להלן).

2. המידע האישי שגט רשאית לעבד

לצורך מתן השירותים בהתאם להסכם ולנספח זה, גט תהיה רשאית לעבד על אודות נושאי המידע מידע אישי כמפורט להלן:

2.1. פרופיל משתמש: שם מלא (כפי שבחר נושא המידע להזינו), שיוך למזמין כמשתמש בשירותים מטעמו ותואר תפקיד בארגון המזמין (אם נמסר לגט);

2.2. פרטי התקשרות: כתובת דוא"ל מקצועית (אם בחר נושא המידע להזינה) ומספר טלפון נייד;

2.3. פרטי נסיעה:

• בשירות המוניות: ככל שהנסיעה מוזמנת באמצעות האפליקציה עבור נוסע שאינו מבצע ההזמנה, או מוזמנת באמצעות הפלטפורמה – זמן איסוף, כתובת איסוף ויעד נסיעה מבוקשים, וכן כל מידע אישי אחר שבחר מבצע ההזמנה להזין כ"הערה לנהג" (שדה טקסט חופשי) במסך ההזמנה של השירותים;
• בשירות המשלוחים: זמן איסוף, כתובת איסוף ויעד מסירה מבוקשים, הגדרות משלוח, וכן כל מידע אישי אחר שבחר מבצע ההזמנה להזין כ"הערה לשליח" (שדה טקסט חופשי) במסך ההזמנה של השירותים;
• בשירות הקווים הקבועים: מסלול ושעת נסיעה מבוקשים מבין הקווים שנקבעו בהסכם;
• בשירות הקווים הדינמיים: כתובות וזמני איסוף והורדה מבוקשים (לרבות כתובת מקום המגורים, היכן שרלוונטי), וכן סטטוס איסופו של נושא המידע בזמן אמת (בוצע / לא בוצע).

(2.1-2.3 ביחד, ככל שהמידע מעובד אך ורק עבור המזמין – "המידע המורשה").

3. היעדר גישה למערכות המאגר של המזמין

לגט אין ולא תהיה גישה למערכות המאגר של המזמין, והמידע המורשה יועבר לרשותה בדרכים הבאות:

3.1. ישירות מידי המזמין, לצורך רישום או הסרת רישום של נושא מידע כמשתמש בשירותים מטעם המזמין, על ידי קישור או ניתוק חשבונו הפרטי באפליקציה לחשבון העסקי של המזמין;

3.2. ישירות מידע נושא המידע או משתמש מורשה אחר מטעם המזמין, במסגרת ביצוע הזמנת נסיעה או משלוח באמצעות הפלטפורמה ו/או האפליקציה (לפי העניין);

3.3. במסגרת שירות הקווים הדינמיים – ישירות מידי הנהג המבצע את הנסיעה בפועל, לצורך עדכון סטטוס האיסוף של נושא המידע (בוצע / לא בוצע) בלבד.

4. התחייבויות המזמין

המזמין מצהיר ומתחייב שלא ימסור ולא יאפשר את מסירתו של כל מידע מורשה לידי גט, אלא לאחר שקיים את החובות החלות עליו בקשר לכך (ככל שחלות) לפי החוק, לרבות מתן הודעה לפי סעיף 11 לחוק וקבלת הסכמתו כדין (אם נדרשת) של כל נושא מידע למסירת המידע המורשה על אודותיו לידי גט למטרות המפורטות בנספח זה.

5. מטרות וסוגי העיבוד המורשים

5.1. גט תהיה רשאית לעבד את המידע המורשה אך ורק למטרות הבאות:

5.1.1. מתן השירותים למזמין בהתאם להוראות ההסכם;

5.1.2. ביצוע ואכיפת הוראות ההסכם ונספח זה;

5.1.3. מילוי אחר הוראות סבירות של המזמין שיינתנו לה בכתב בהתאם להסכם ולנספח זה;

5.1.4. ציות להוראות כל דין חל;

5.1.5. יצירת נתונים סטטיסטיים מצרפיים או נתונים שהותממו באופן שהפך אותם לאנונימיים ובלתי ניתנים לקישור עם אדם מזוהה באמצעים סבירים, ולו בעקיפין, כדי שישמשו למתן ושיפור שירותי גט ומוצריה;

5.1.6. פעולות סבירות הקשורות ישירות עם המטרות המנויות לעיל, לרבות על מנת להקים, לבסס ולהתגונן מפני תביעות משפטיות בקשר להסכם ו/או לשירותים.

5.2. כל פעולת עיבוד החורגת מן האמור בסעיף 5.1 לעיל תותנה בקבלת אישור המזמין מראש ובכתב.

5.3. מבלי לגרוע מהאמור לעיל, השימוש של נושאי המידע באפליקציה יהיה כפוף לתנאי השימוש למשתמשים פרטיים באפליקציית Gett, הזמינים בקישור זה, ולמדיניות הפרטיות של גט, הזמינה בקישור זה ("מדיניות הפרטיות"). למען הסר ספק, בשונה ממידע מורשה שגט תעבד בהתאם להוראות נספח זה, כל מידע אישי אחר הנוגע לנושאי המידע שגט תעבד עקב השימוש שלהם המידע באפליקציה, יהיה כפוף לתנאי השימוש ולמדיניות הפרטיות האמורים – וגט תעבדו כבעלת השליטה במאגר, ולא כמחזיקה עבור המזמין.

6. משך ההתקשרות, השבת המידע המורשה, השמדת עותקיו וחובת דיווח

6.1. משך ההתקשרות בין הצדדים יהיה כמפורט בהסכם. נספח זה יעמוד בתוקפו למשך כל תקופת ההסכם בין הצדדים. הוראות סעיפים 6.2-6.3 להלן יעמדו בתוקפן גם לאחר סיום ההסכם.

6.2. בתוך שישים (60) יום מעת סיום ההסכם, מכל סיבה שהיא, גט תמסור למזמין, לפי בקשתו בכתב, העתק במבנה מוסכם של כל המידע המורשה שמעובד אך ורק עבורו לפי ההסכם ונספח זה, ושיימצא בידי גט ו/או בשליטתה באותה עת. בתכוף לאחר המועד האמור תמחק גט לצמיתות כל מידע כאמור המצוי ברשותה ו/או בשליטתה, לרבות כל עותקיו, ובכלל זה בידי קבלני משנה. למען הסר ספק, האמור בסעיף 6.2 זה לא יחול על מידע אישי הנוגע לנושאי מידע שמשתמשים באפליקציה במסגרת התקשרותם הישירה עם גט, שאינו מעובד עבור המזמין, ולגבי מידע כאמור יחולו הוראות מדיניות הפרטיות.

6.3. לבקשת המזמין, גט תמציא למזמין אישור בכתב על קיום חובותיה לפי סעיף 6.2 לעיל במלואן.

7. התחייבות בעלי הרשאה

גט מתחייבת ומצהירה שכלל מועסקיה שהינם בעלי הרשאה בקשר למידע המורשה, חתומים על התחייבות לשמירת סודיות החלה בין היתר על המידע המורשה. התחייבות זו כוללת הוראות שתואמות את האמור בנספח זה בדבר היקף העיבוד המותר של מידע מורשה ובדבר יישום נהלי אבטחת המידע של גט והוראות החוק והתקנות החלות על עיבוד המידע המורשה על ידיה.

8. קבלני משנה

8.1. גט תהיה רשאית לבצע פעילויות עיבוד הכרוכות במתן השירותים באמצעות קבלני משנה, ובלבד שהתקשרה מראש עם כל קבלן משנה בהסכם המסדיר את כלל הנושאים המפורטים בנספח זה ובתקנה 15 לתקנות, ותוודא כי קבלן המשנה מחויב לאבטחת המידע והגנת הפרטיות במידע המורשה ברמה שאינה נופלת מזו שבה גט מחויבת על פי נספח זה.

8.2. גט תהיה רשאית להעביר אל מחוץ לגבולות מדינת ישראל את המידע המורשה, כולו או חלקו, לצורך עיבודו בידי קבלני משנה, ובלבד שכל העברה כאמור תתבצע בהתאם להוראות תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001.

8.3. גט תעמיד לרשות המזמין, לפי בקשתו בכתב, את הרשימה העדכנית של קבלני המשנה המשמשים אותה בהתאם לסעיף זה.

9. אופן יישום החובות בתחום אבטחת המידע

מבלי לגרוע מכל האמור לעיל ולהלן, גט תציית לכלל הוראות החוק והתקנות החלות עליה בקשר לעיבוד המידע המורשה, ובפרט היא מתחייבת ומצהירה:

9.1. כי קיבלה הסמכה לתקן ISO/IEC 27001:2013(E) ו/או ISO/IEC 27001:2022(E) ("התקן"), החלה על עיבוד המידע המורשה על ידיה ואשר תעמוד בתוקפה משך כל תקופת ההסכם, וכי היא מקיימת את הוראות התקן לרבות כל הבקרות הרלוונטיות המפורטות בנספח A לו, באופן שבו הן מפורשות ומפורטות בתקן ISO/IEC 27002:2013(E) וכן בהנחית רשם מאגרי המידע מס' 03/2018 בדבר "תחולת תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 על ארגונים המוסמכים לתקן ISO/IEC 27001";

9.2. כי קבעה נוהל אבטחה במסמך, תבחן את הצורך בעדכונו בהתאם לנדרש בתקנות, ותוודא שפרטים ממנו יימסרו לבעלי הרשאה מטעמה בקשר לעיבוד המידע המורשה אך ורק בהיקף הנדרש לביצוע תפקידיהם;

9.3. כי תוודא שהמסמכים המעודכנים של מבנה המאגר ורשימת המצאי (כמשמעות מונחים אלה בתקנות) של מערכות המאגר שלה שמעורבות בעיבוד המידע המורשה, יישמרו כך שפרטים מהם יימסרו לבעלי הרשאה מטעמה בקשר לעיבוד המידע המורשה אך ורק בהיקף הנדרש לביצוע תפקידיהם;

9.4. כי תערוך, בתדירות הנדרשת בתקנות, ביקורת תקופתית, מבדקי חדירות (כמשמעות מונחים אלה בתקנות) ו/או סקר סיכונים למערכות המאגר שלה שמעורבות בעיבוד המידע המורשה, תדון בממצאיהם ובמידת הצורך תפעל לתיקון ליקויים שהתגלו ולעדכון נהליה, הכול בהתאם להוראות התקנות החלות עליה;

9.5. כי תוודא שהאמצעים הננקטים לבקרת הגישה למערכות המאגר שלה שמעורבות בעיבוד המידע המורשה יכללו, במידת האפשר, זיהוי על בסיס אמצעי פיזי הנתון לשליטתו הבלעדית של כל בעל הרשאה מטעמה, וכי נתוני התיעוד של מנגנון הבקרה יישמרו למשך התקופה הנדרשת על פי דין;

9.6. כי תקיים דיונים תקופתיים באירועי אבטחה (ככל שאירעו) בקשר עם המידע המורשה ותבחן את הצורך בעדכון נוהל האבטחה שלה בעקבותיהם, הכול בהתאם להוראות התקנות החלות עליה;

9.7. כי תגביל אפשרות לחיבור התקנים ניידים למערכות המאגר שלה שמעורבות בעיבוד המידע המורשה בהתאם להוראות התקנות, ותבטיח נקיטת אמצעים סבירים להגנה על מידע מורשה שהועתק להתקן נייד;

9.8. כי תוודא נקיטת אמצעים סבירים הן לזיהוי בעלי הרשאה מטעמה הניגשים למידע המורשה מרחוק, באמצעות האינטרנט או רשת ציבורית אחרת, והן לאימות הרשאתם לביצוע הפעילות מרחוק והיקפה, כולל שימוש באמצעי פיזי הנתון לשליטתו הבלעדית של כל בעל הרשאה כאמור, הכול בהתאם להוראות התקנות החלות עליה;

9.9. כי תקבע נהלים להבטחת שחזורם בכל עת למצבם המקורי של עותקי הגיבוי של הנתונים הנצברים על ידיה במסגרת יישום ההוראות המנויות בתקנה 17 לתקנות, ככל שהן חלות עליה בקשר לעיבוד המידע המורשה.

10. בקשות נושאי מידע

במקרה שגט תקבל פנייה ישירה מנושא מידע בבקשה למימוש זכויותיו לפי החוק בנוגע למידע המורשה, כגון בקשה לעיון במידע, לתיקונו ו/או למחיקתו, גט: (א) תדווח על כך למזמין, ללא שיהוי בלתי סביר ולא יאוחר מחמישה (5) ימי עסקים מיום קבלת הבקשה, ובלבד שהמבקש הזדהה בה כמשתמש בשירותים מטעם המזמין; (ב) לא תשיב למבקש ישירות אלא על פי הוראת המזמין בכתב או ככל שהדבר נדרש על פי דין. מבלי לגרוע מהאמור, גט תסייע למזמין באופן סביר במילוי חובותיו לפי החוק להשיב לבקשות כאמור, לרבות כאלה שלא הוגשו לה במישרין, בתוך לוחות הזמנים הקבועים לכך בדין.

11. דיווח, ניהול ותגובה לאירועי אבטחה חמורים

11.1. גט תודיע למזמין ללא שיהוי בלתי סביר מעת היוודע לה על כל אירוע שבו נעשה שימוש במידע המורשה בלא הרשאה או בחריגה מהרשאה, או שנעשתה פגיעה בשלמותו ("אירוע אבטחה חמור"). הודעה כאמור תכלול פירוט מלא ככל האפשר בדבר טיב האירוע, הגורמים להתרחשותו, סוגי המידע המורשה ונושאי המידע שהושפעו ממנו, הפעולות שננקטו או יינקטו במסגרת ההתמודדות עמו, וכל פרט אחר הנמצא ברשותה ודרוש למזמין באופן סביר לצורך טיפול באירוע.

11.2. גט תשתף פעולה עם המזמין באופן סביר ביחס לחקירת כל אירוע אבטחה חמור, וכן תנקוט בכל אמצעי התיקון הדרושים באופן סביר והנמצאים בשליטתה על מנת להביא לסיומו של האירוע, לרבות טיפול בו ותחקורו.

11.3. הצדדים מתחייבים, כל אחד, שלא לחשוף את עובדת קרותו של אירוע אבטחה חמור ושלא למסור לכל צד שלישי מידע לגבי האירוע שמזהה, במישרין או בעקיפין, את הצד השני, לרבות במסגרת הליך משפטי או הודעה לרשות מוסמכת או לנושאי המידע, אלא באישור מפורש של הצד השני, למעט: (א) אם וככל שהצד החושף נדרש לכך על פי דין, בכפוף למתן התראה מוקדמת סבירה לצד השני שתאפשר לו להתנגד לגילוי – ובלבד שהתנגדותו תימסר תוך זמן סביר; (ב) גילוי לצדדים שלישיים המספקים לצד החושף שירותי ייעוץ, ובלבד שהם חתומים על התחייבות לשמירת סודיות.

12. בקרה ופיקוח

12.1. לבקשת המזמין, שתימסר בכתב לפחות ארבעה עשר (14) יום מראש, במרווחי זמן סבירים (לא יותר מאחת לשנה), תעמיד גט לרשות המזמין, בכפוף להתחייבותו לשמירת סודיות (או לרשות צד שלישי בלתי תלוי שימונה על ידו, בכפוף להתחייבותו לשמירת סודיות), מידע הדרוש באופן סביר להוכחת עמידתה בחובותיה לפי נספח זה, וכן תאפשר ותתמוך בביקורות אבטחה סבירות שיערוך למטרה זו.

12.2. מבלי לגרוע מהאמור לעיל, גט תדווח למזמין לשנה לפחות, לפי בקשתו בכתב, על אופן ביצוע חובותיה לפי הוראות נספח זה והתקנות.

13. שונות

13.1. במקרה של סתירה בין הוראות ההסכם להוראותיו של נספח זה, יגברו האחרונות אך ורק בכל הנוגע לעיבוד מידע אישי.

נספח זה אינו מהווה הסכם לטובת צד שלישי ואין בו כדי להקנות זכויות כלשהן לצד שלישי, למעט היכן שנקבע בו אחרת במפורש או ככל שהדבר נדרש על פי דין.