נספח עיבוד נתונים (DPA)

עודכן לאחרונה: 28 במאי 2026

נספח עיבוד נתונים זה ("ה-DPA") מהווה חלק מההסכם המסדיר את השימוש של הלקוח בשירותי ZeKol ("ההסכם") שבין Merhav Technologies (מרחב טכנולוגיות), עוסק מורשה ישראלי (Business ID / עוסק 323836130), מתל אביב, ישראל — מפעילת פלטפורמת ZeKol ("ZeKol", "מעבד המידע") — לבין הגוף המקבל את ההסכם ("הלקוח", "בעל השליטה במידע"). מונחים בעלי אות ראשית שאינם מוגדרים כאן יישאו את המשמעות שניתנה להם בהסכם.

בעצם השימוש בשירותים או קבלת ההסכם, הלקוח מסכים ל-DPA זה בשמו שלו, וככל שרלוונטי, גם בשם החברות הקשורות (Affiliates) שלו.

1. הגדרות

• "חברה קשורה" (Affiliate) משמעה גוף השולט בצד, נשלט על ידו, או נמצא עמו בשליטה משותפת, כאשר "שליטה" משמעה בעלות על למעלה מ-50% מזכויות ההצבעה.
• "דיני הגנת המידע" (Data Protection Laws) משמעם כל הדינים החלים על עיבוד מידע אישי לפי DPA זה, לרבות ה-GDPR של האיחוד האירופי וה-UK GDPR, חוק הגנת הפרטיות הישראלי (PPL) ותקנותיו בנושא אבטחת מידע, חוק הפרטיות של צרכני קליפורניה כפי שתוקן ב-CPRA (יחד, "CCPA/CPRA"), ודינים דומים אחרים, כל אחד כפי שתוקן.
• "מידע אישי" (Personal Data), "בעל השליטה במידע" (Controller), "מעבד מידע" (Processor), "עיבוד" (processing), "נושא המידע" (Data Subject) ו**"אירוע אבטחה במידע אישי" (Personal Data Breach)** יישאו את המשמעויות שניתנו להם ב-GDPR. במקום שבו העיבוד כפוף לדין הישראלי, תפקידים אלה ממופים למושגים המקבילים לפי חוק הגנת הפרטיות (PPL) — בעל השליטה במידע מקביל לבעל מאגר, ומעבד המידע למחזיק / גורם מעבד — ו-ZeKol פועלת בהתאם כמעבד המידע (מחזיק).
• "מידע אישי של הלקוח" (Customer Personal Data) משמעו המידע האישי ש-ZeKol מעבדת מטעם הלקוח במסגרת אספקת השירותים — בעיקר תמלילי הטקסט של שיחות בין משתמשי קצה לבין הסוכן הקולי של הלקוח, ומטא-נתונים טכניים אודותיהן.
• "משתמש קצה" (End User) משמעו מבקר באתר או בנכס של הלקוח המקיים אינטראקציה עם סוכן קולי של ZeKol שהלקוח פרס שם.
• "ספק משנה" (Sub-processor) משמעו צד שלישי שנשכר על ידי ZeKol לעבד מידע אישי של הלקוח בקשר לשירותים.

2. תפקידים, היקף והוראות

2.1 בעל השליטה במידע ומעבד המידע. לגבי אינטראקציות של משתמשי קצה עם סוכנים קוליים שהלקוח פורס בנכסיו, ולגבי רשומות השיחה והניתוחים (analytics) הנלווים המוצגים ללקוח, הלקוח הוא בעל השליטה במידע ו-ZeKol היא מעבד המידע.

2.2 נושא המידע ומטרתו. ZeKol מעבדת מידע אישי של הלקוח אך ורק כדי לספק ולתמוך בשירותים — דהיינו אירוח; תמלול דברי משתמשי קצה; אחזור ידע רלוונטי ויצירת תשובות; סינתוז דיבור; אחסון תמלילי שיחות והצגתם ללקוח; ניתוחים (analytics) עבור הלקוח; והפעלה, אבטחה, תחזוקה ושיפור של השירותים ומניעת ניצול לרעה — ולא לכל מטרה אחרת, למעט כנדרש בדין.

2.3 הוראות. ZeKol מעבדת מידע אישי של הלקוח אך ורק לפי ההוראות המתועדות של הלקוח, הכוללות DPA זה, ההסכם, ובחירות התצורה של הלקוח במוצר. ZeKol תיידע את הלקוח אם, לדעתה הסבירה, הוראה מסוימת מפרה את דיני הגנת המידע (ללא חובה לספק ייעוץ משפטי).

2.4 משך. העיבוד נמשך לאורך תקופת ההסכם וכל תקופה לאחר מכן הנדרשת באופן סביר להחזרת או מחיקת המידע האישי של הלקוח, או כנדרש בדין.

3. אחריות הלקוח

3.1 בסיס חוקי; הודעות והסכמות. הלקוח אחראי לביסוס בסיס חוקי לעיבוד, ולמסירת ההודעות למשתמשי הקצה ולקבלת כל הסכמה הנדרשת לפי דיני הגנת המידע — לרבות יידוע משתמשי הקצה שהסוכן הקולי מקליט ומתמלל את השיחה, ובקשת גישה למיקרופון. הלקוח אחראי לבחירות התצורה שלו.

3.2 דיוק וחוקיות. הלקוח אחראי לדיוקו ולחוקיותו של התוכן שהוא מספק לבניית מאגר הידע של הסוכן, ומצהיר כי הוא מחזיק בזכות לאפשר ל-ZeKol לסרוק ולעבד תוכן זה.

3.3 מידע אסור. הלקוח לא יגדיר את הסוכן שלו לבקש, וינקוט אמצעים סבירים כדי להימנע מהגשת, סוגים מיוחדים של מידע אישי (סעיף 9 ל-GDPR), מידע על ילדים, מספרי כרטיסי אשראי, מזהים ממשלתיים, או מידע בריאותי, גנטי או ביומטרי — וכל קטגוריה המטופלת כ"מידע רגיש במיוחד" לפי חוק הגנת הפרטיות הישראלי (PPL) (החל, בין היתר, גם על מידע אודות מיקומו ותנועותיו של אדם, מצבו הכלכלי, דעותיו ואמונותיו הפוליטיות או הדתיות, ועניינים אינטימיים במשפחתו) — אלא אם ZeKol הסכימה לעיבוד כזה בכתב ומראש. ZeKol אינה שומרת אודיו גולמי ואינה מייצרת טביעות קול (voiceprints), ולכן אינה משתמשת בקול כמזהה ביומטרי.

4. התחייבויות ZeKol

4.1 סודיות. ZeKol מבטיחה כי אנשי הצוות המורשים לעבד מידע אישי של הלקוח כפופים לחובות סודיות מתאימות.

4.2 אבטחה. בהתחשב במצב הטכנולוגי (state of the art), אופי העיבוד וסיכוניו, ZeKol מיישמת ומקיימת אמצעים טכניים וארגוניים מתאימים להגנה על המידע האישי של הלקוח, כמתואר בנספח C.

4.3 ספקי משנה. הלקוח מעניק ל-ZeKol הרשאה כללית לשכור ספקי משנה. ZeKol מטילה על כל ספק משנה חובות הגנת מידע השוות במהותן לאלו שב-DPA זה, ונותרת אחראית לביצועי ספקי המשנה שלה. ספקי המשנה הנוכחיים מפורטים בנספח B. ככל שהדין מחייב זאת, ZeKol תיתן ללקוח הודעה על כל כוונה להוסיף או להחליף ספק משנה ותאפשר הזדמנות סבירה להתנגד מטעמי הגנת מידע סבירים; אם הצדדים אינם מצליחים ליישב את ההתנגדות ואין חלופה סבירה זמינה, הלקוח רשאי להפסיק את השירות המושפע.

4.4 סיוע. בהתחשב באופי העיבוד ובמידע הזמין לה, ZeKol תספק ללקוח סיוע סביר (תוך שימוש בתכונות המוצר הסטנדרטיות ללא תשלום נוסף; עלויות מתועדות סבירות עשויות לחול על מאמץ שמחוץ להיקף) ב: (א) מענה לבקשות נושאי מידע; (ב) שמירה על אבטחת העיבוד; (ג) הודעה וטיפול באירועי אבטחה במידע אישי; וכן (ד) הערכות השפעה על הגנת מידע (DPIA) והתייעצויות מוקדמות עם רשויות פיקוח.

4.5 הודעה על אירוע אבטחה. ZeKol תודיע ללקוח ללא דיחוי בלתי הולם לאחר שייוודע לה על אירוע אבטחה במידע אישי המשפיע על המידע האישי של הלקוח, ותספק את המידע הזמין לה באופן סביר כדי לסייע ללקוח לעמוד בחובות ההודעה שלו עצמו. במקום שבו חל הדין הישראלי, ZeKol תמסור הודעה זו במהירות מספקת כדי לאפשר ללקוח, כבעל השליטה במידע, לעמוד בכל חובת דיווח על אירוע אבטחה חמור לרשות להגנת הפרטיות הישראלית (PPA) (הרשות להגנת הפרטיות).

4.6 מחיקה והחזרה. עם סיום או פקיעת השירותים, או לפי בקשה בכתב של הלקוח, ZeKol תמחק או תחזיר את המידע האישי של הלקוח, אלא אם השמירה נדרשת בדין (ראה סעיף 8).

5. בקשות נושאי מידע

אם ZeKol מקבלת בקשה ישירות מנושא מידע (למשל, משתמש קצה המבקש לעיין במידע השיחה או למחוק אותו), ZeKol, ככל שהדבר חוקי, תפנה את המבקש ללקוח ולא תשיב לגופה אלא כנדרש בדין. ZeKol תסייע ללקוח במענה כמתואר בסעיף 4.4.

6. העברות בין-לאומיות

6.1 מיקומים. המידע האישי של הלקוח עשוי להיות מעובד בישראל (אזור בסיס הנתונים העיקרי), באיחוד האירופי, בארצות הברית, ובמיקומים אחרים שבהם ZeKol או ספקי המשנה שלה פועלים. תשתית הקול בזמן אמת פועלת באיחוד האירופי, וחלק מעיבוד הבינה המלאכותית עשוי להתבצע בארצות הברית.

6.2 מנגנוני העברה. ככל שדיני הגנת המידע מחייבים אמצעי הגנה להעברה, הצדדים משלבים בהפניה:

• EU Standard Contractual Clauses (התניות חוזיות תקניות של האיחוד האירופי; החלטת היישום של הנציבות (EU) 2021/914), עם מודול שני (בעל השליטה במידע-למעבד / Controller-to-Processor) להעברות מהלקוח ל-ZeKol ומודול שלישי (מעבד-לספק משנה / Processor-to-Sub-processor) להעברות מ-ZeKol לספקי המשנה שלה, כשהם מולאו כמפורט בנספח D; וכן
• ה-UK International Data Transfer Addendum (נספח העברת נתונים בין-לאומית של בריטניה) להעברות הכפופות ל-UK GDPR, כשהוא מולא כמפורט בנספח D.

ישראל נהנית מהחלטת התאמה (adequacy decision) של הנציבות האירופית לגבי העברות רבות מה-EEA. לגבי העברות של מידע אישי אל מחוץ לישראל אל ספקי המשנה שלה, ZeKol מסתמכת על תנאי ההעברה המותרים לפי הדין הישראלי (למשל, היות הנמען כפוף לרמות הגנת מידע נאותות או מחויב באמצעי הגנה חוזיים מתאימים).

6.3 אמצעים משלימים וגישת רשויות. ZeKol מקיימת אמצעים טכניים, ארגוניים וחוזיים משלימים מתאימים. ZeKol לא תחשוף מרצונה מידע אישי של הלקוח לרשות ממשלתית. אם תיכפה עליה חשיפה בדין, ZeKol, ככל שהדבר חוקי, תודיע ללקוח ותשאף להפנות את הבקשה ללקוח.

7. ביקורות ורישומים

7.1 רישומים. ZeKol מנהלת רישומים של פעילויות העיבוד ואמצעי האבטחה שלה בהיקף מספיק כדי להוכיח עמידה ב-DPA זה.

7.2 ביקורות. לא יותר מפעם אחת בכל שנים-עשר (12) חודשים, ובהודעה בכתב סבירה, ZeKol תעמיד לרשות הלקוח את המידע הדרוש להוכחת עמידה ב-DPA זה, בדמות תיעוד אבטחה או תקצירים של הערכות צד שלישי כלשהן. במקום שבו חומרים אלה אינם מספיקים באופן סביר לפי דיני הגנת המידע, הלקוח (או מבקר עצמאי שימנה, אשר לא יהיה מתחרה של ZeKol) רשאי לערוך ביקורת ממוקדת של המערכות הרלוונטיות, בכפוף להודעה סבירה, סודיות, שעות עבודה רגילות, ושיבוש מינימלי. הלקוח נושא בעלויותיו שלו ובעלויות הסבירות של ZeKol בתמיכה בביקורת. ביקורות תכופות יותר עשויות להתקיים במקום שבו רשות פיקוח מחייבת זאת.

8. שמירה ומחיקה

8.1 שמירה. ZeKol שומרת מידע אישי של הלקוח כל עוד חשבון הלקוח והאתר הרלוונטי פעילים, וכל עוד נדרש לצרכים המתוארים בסעיף 2 וב-DPA זה. ZeKol אינה שומרת אודיו גולמי לאחר שהשיחה עובדה לתמליל ולתשובה.

8.2 העדר ברירת מחדל של טיימר קבוע; מחיקה לפי בקשה. ZeKol אינה מחילה לוח זמנים אוטומטי מבוסס-זמן למחיקה כברירת מחדל. לפי בקשה בכתב של הלקוח, עם סגירת החשבון, או עם סיום השירותים, ZeKol תמחק או תבצע אי-זיהוי של המידע האישי הרלוונטי של הלקוח, אלא אם השמירה נדרשת בדין. ZeKol עשויה להציג בעתיד בקרות שמירה ומחיקה בשירות עצמי ותתעד אותן כשיהיו זמינות.

8.3 גיבויים. מחיקות מוחלות על מערכות פעילות במהירות ומתפשטות מהגיבויים בתוך פרק זמן סביר.

8.4 מידע שעבר אי-זיהוי. מידע ש-ZeKol ביצעה בו אי-זיהוי ו/או איגוד כך שלא ניתן עוד לקשרו באופן סביר לאדם מזוהה או הניתן לזיהוי, אינו עוד מידע אישי של הלקוח, ו-ZeKol רשאית לשמרו ולהשתמש בו ללא הגבלת זמן (ראה סעיף 9.2).

9. הגבלות שימוש ומידע השירות

9.1 שימוש כמעבד בלבד. ZeKol לא תמכור מידע אישי של הלקוח, לא תשתמש בו לאימון מודלי יסוד (foundation models) או מודלי בינה מלאכותית למטרות כלליות, ולא תשתף אותו לצורכי פרסום התנהגותי חוצה-הקשרים. המידע האישי של הלקוח מעובד אך ורק כדי לספק את השירותים וכפי שמותר אחרת ב-DPA זה או נדרש בדין.

9.2 מדדים מאוגדים ושעברו אי-זיהוי. ZeKol רשאית לייצר ולהשתמש במדדים שעברו אי-זיהוי ואיגוד — שלא ניתן לקשרם באופן סביר לאדם מזוהה או הניתן לזיהוי — כדי להפעיל, לאבטח, לתחזק ולשפר את הפלטפורמה, למדוד ולהוכיח את ביצועי השירות, ובתקשורת עסקית חסויה (לרבות עם משקיעים פוטנציאליים). ZeKol לא תחשוף את תמלילי השיחה הגולמיים של הלקוח לצרכים אלה.

9.3 ZeKol כבעל שליטה עצמאי לגבי מידע חשבון. ZeKol פועלת כבעל השליטה במידע עצמאי — מחוץ להיקף DPA זה — לגבי המידע שלה עצמה בנוגע לחשבון, חיוב, יומני אבטחה וטלמטריית פלטפורמה, כמתואר במדיניות הפרטיות של ZeKol.

10. CCPA/CPRA (נותן שירות)

לגבי מידע אישי הכפוף ל-CCPA/CPRA, ZeKol פועלת כ"נותן שירות" (service provider). ZeKol לא "תמכור" ולא "תשתף" מידע אישי כאמור; לא תשמור, תשתמש או תחשוף אותו אלא כדי לספק את השירותים או כפי שמותר אחרת לפי ה-CCPA/CPRA; ולא תשלב אותו עם מידע אישי ממקורות אחרים אלא כפי שמותר. ZeKol תעמוד בחובות נותן השירות החלות ומאשרת כי היא מבינה ותקיים הגבלות אלה.

11. אחריות וסדר עדיפויות

DPA זה כפוף להגבלות ולהחרגות האחריות הקבועות בהסכם. במקרה של סתירה, סדר העדיפויות הבא יחול: (1) ה-SCCs וה-UK Addendum; (2) DPA זה; (3) ההסכם; (4) מדיניות הפרטיות של ZeKol.

12. קבלה ועדכונים

12.1 קבלה. DPA זה משולב בהסכם ונכנס לתוקף עם קבלת ההסכם על ידי הלקוח או עם השימוש בשירותים. אין צורך בחתימה נפרדת, אם כי ZeKol תחתום על עותק נגדי לפי בקשה סבירה.

12.2 הדין החל. למעט במקום שבו ה-SCCs או ה-UK Addendum מחייבים אחרת (ראה נספח D), DPA זה וההסכם כפופים לדיני מדינת ישראל, ולבתי המשפט המוסמכים בתל אביב-יפו תהיה סמכות שיפוט ייחודית.

12.3 עדכונים. ZeKol רשאית לעדכן DPA זה כדי לשקף שינויים בדיני הגנת המידע, בספקי משנה, או במנגנוני העברה, תוך מתן הודעה במקום שבו הדבר נדרש בדין.

נספח A — פרטי העיבוד (SCCs Annex I.A / I.B)

• נושא העיבוד. עיבוד תמלילי שיחות קוליות של משתמשי קצה ומטא-נתונים נלווים באמצעות השירותים.
• אופי העיבוד. תמלול דיבור לטקסט, אחזור ויצירה של תשובות, סינתוז טקסט לדיבור, שידור בזמן אמת, אחסון, ארגון, הצגה ללקוח, ניתוח מוגבל עבור הניתוחים (analytics) של הלקוח, אבטחה ומניעת ניצול לרעה, ומחיקה או החזרה.
• מטרה. לספק ולתמוך בשירותים עבור הלקוח — לרבות תשובות הסוכן הקולי, היסטוריית שיחות, ניתוחים (analytics), והפעלת השירות ואבטחתו.
• קטגוריות של נושאי מידע. משתמשי קצה המקיימים אינטראקציה עם הסוכן הקולי של הלקוח; אנשי הצוות של הלקוח המנהלים את השירות.
• קטגוריות של מידע אישי. תוכן תמליל השיחה; מטא-נתונים טכניים הדרושים להפעלת השירות (למשל, כתובת IP ממוסכת, מיקום משוער הנגזר ממנה, מידע על דפדפן/התקן ומערכת הפעלה, חותמות זמן, מזהי הפעלה ובקשה); ומידע על מנהלי המערכת של הלקוח (למשל, שם, דואר אלקטרוני).
• סוגים מיוחדים. אינם מיועדים ואינם מותרים ללא הסכמה מוקדמת בכתב של ZeKol (ראה סעיף 3.3).
• תדירות. רציפה, לאורך משך השימוש של הלקוח בשירותים.
• משך. לאורך תקופת ההסכם, או עד מחיקה או החזרה כפי שהורה הלקוח או כנדרש בדין.
• תפקידים. הלקוח = מייצא המידע / בעל השליטה במידע; ZeKol = מייבא המידע / מעבד המידע; ספקי משנה לפי נספח B.
• רשות הפיקוח המוסמכת. לגבי ה-EU SCCs, הרשות שנקבעה לפי סעיף 13 (בדרך כלל זו של מקום ההתאגדות של הלקוח באיחוד האירופי, או של נציגו באיחוד האירופי). לגבי ה-UK Addendum, משרד נציב המידע של בריטניה (ICO).

נספח B — ספקי משנה (SCCs Annex I.B / III)

ZeKol שוכרת את ספקי המשנה הבאים לעיבוד מידע אישי של הלקוח:

ככל ש-ZeKol מפעילה ספק דיבור חלופי לצורכי איכות או זמינות — כיום Microsoft Azure (המרת דיבור לטקסט) או Deepdub (המרת טקסט לדיבור) — ספק זה פועל כספק משנה לפי תנאי סעיף 4.3. ZeKol מנהלת רשימה מעודכנת ותודיע ללקוחות על שינויים מהותיים במקום שבו הדבר נדרש בדין.

נספח C — אמצעי אבטחה (SCCs Annex II)

• הצפנה. TLS למידע במעבר; הצפנה במנוחה למידע מאוחסן.
• בקרת גישה. גישה מבוססת-תפקידים על בסיס הרשאות מינימליות (least-privilege); אימות חזק לגישת ייצור; ניהול אישורי גישה; סקירות גישה תקופתיות.
• בידוד דיירים. המידע של כל לקוח מופרד לוגית; אפליקציות הלקוח אינן יכולות לכתוב ישירות לבסיס הנתונים — כל הכתיבות עוברות דרך אפליקציית צד-השרת של ZeKol תוך שימוש באישורי גישה ניהוליים, ובכפוף לכללי האבטחה של בסיס הנתונים.
• רשת ותשתית. סביבת ענן מנוהלת ומאובטחת; רישום (logging) וניטור; הגבלת קצב; רשימת היתר למקור/דומיין (allow-listing) עבור ווידג'טים מוטמעים; אסימוני גישה קצרי-מועד ותחומי-היקף עבור הפעלות קוליות.
• ניהול מידע. שמירה הנשלטת לפי סעיף 8; מחיקת מידע אישי של הלקוח לפי בקשה, עם התפשטות לגיבויים בתוך פרק זמן סביר.
• פיתוח מאובטח ובקרת שינויים. בקרת גרסאות; סקירת קוד; הפצות מבוקרות; ניהול תלויות.
• תגובה לאירועים. נהלים מתועדים והודעה ללקוח על אירוע אבטחה ללא דיחוי בלתי הולם עם אישורו (סעיף 4.5).
• כוח אדם. חובות סודיות ומודעות לאבטחה ולפרטיות עבור אנשי צוות בעלי גישה למידע אישי של הלקוח.
• ניהול ספקים. בדיקת נאותות לספקי משנה ותנאי הגנת מידע חוזיים (לרבות SCCs/UK Addendum במקום שבו הדבר חל), תוך סקירה תקופתית.

נספח D — העברות חוצות-גבולות (SCCs / UK Addendum)

EU Standard Contractual Clauses (התניות חוזיות תקניות של האיחוד האירופי; החלטת היישום של הנציבות (EU) 2021/914) חלות על העברות של מידע אישי של הלקוח מה-EEA, כדלקמן:

• מודול שני (בעל השליטה במידע-למעבד / Controller-to-Processor) להעברות מהלקוח ל-ZeKol; מודול שלישי (מעבד-לספק משנה / Processor-to-Sub-processor) להעברות מ-ZeKol לספקי המשנה שלה.
• סעיף 7 (Docking): אינו בשימוש.
• סעיף 9 (ספקי משנה): אפשרות 2 (הרשאה כללית בכתב); הודעה כקבוע בסעיף 4.3.
• סעיף 11 (יישוב מחלוקות עצמאי אופציונלי): אינו בשימוש.
• סעיף 17 (הדין החל): דין אירלנד.
• סעיף 18(ב) (פורום): בתי המשפט של אירלנד.
• נספחים: נספחים I, II ו-III ממולאים על ידי נספחים A, C ו-B של DPA זה, בהתאמה.

UK International Data Transfer Addendum. להעברות הכפופות ל-UK GDPR, ה-UK Addendum משולב, כשטבלאותיו ממולאות בהפניה לנספחים A–C של DPA זה. הדין החל והפורום: אנגליה ווילס. הרשות המוסמכת היא משרד נציב המידע של בריטניה (ICO).

סתירה. אם תהיה סתירה כלשהי בין ה-SCCs או ה-UK Addendum לבין DPA זה, ה-SCCs או ה-UK Addendum יגברו לגבי ההעברה הרלוונטית.

צור קשר

Merhav Technologies (מפעילת ZeKol) עוסק מורשה ישראלי · Business ID (עוסק) 323836130 תל אביב, ישראל פרטיות ועניינים משפטיים: zekol.agents@gmail.com