הסכם עיבוד נתונים (DPA)

1. הצדדים והתפקידים

על פי הסכם DPA זה, חברת התיירות (הלקוח) היא בקר הנתונים; היא קובעת את המטרות והאמצעים לעיבוד הנתונים האישיים של המדריכים ומשתתפי הסיורים שלה.

First Point (Your Next Tours) היא מעבד הנתונים; היא מעבדת נתונים אישיים אך ורק בשם בקר הנתונים ובהתאם להוראותיו.

יצירת קשר עם המעבד: contact@firstpoint.com.tr. השם המשפטי, הכתובת ופרטי הרישום יושלמו בנספחי החתימה של כל לקוח.

2. נושא, משך, אופי ומטרה

נושא: עיבוד הנתונים האישיים הנדרש לאספקת שירות Your Next Tours (פונקציות חשבון, הגדרות, הפעלה והערכה הקשורות לשידור אודיו מבוסס-טלפון ולא-מקוון במהלך סיורים).

משך: העיבוד נמשך למשך תקופת הסכם השירות הראשי ומסתיים עם פקיעתו או סיומו בהתאם לסעיף 9.

אופי ומטרה: הנתונים מעובדים באמצעים אוטומטיים כדי ליצור ולנהל את החשבון, לאחסן תבניות סיור והגדרות WiFi/ארנק, להפעיל צ'ק-אין טרום-סיור, לאחסן ולדווח על נתוני הפעלה ודירוג, ולספק תמיכה.

3. קטגוריות של נושאי הנתונים ונתונים אישיים

קטגוריות של נושאי המידע: המדריכים/הצוות של הבקר ומשתתפי הסיור.

נתוני חשבון: כתובת דוא״ל, שם תצוגה, שם הארגון (החברה), העדפת שפה ותמונת פרופיל (אווטאר).

נתוני שימוש: מפגשי סיור ומשכי זמן, מספרי משתתפים, ציוני דירוג והערות, ושם התצוגה של המשתתף.

נתוני תצורה: כתובות ארנק קריפטו (רשת וכתובת), פרטי פרופיל WiFi (SSID וסיסמה), ותבניות סיור.

נתוני תמיכה ונתוני צ'ק-אין טרום-סיור: שם המשתתף שהוזן, דגם הטלפון, סטטוס אוזניות/סוללת גיבוי, והערות טקסט חופשי.

אין כוונה לעבד נתונים מקטגוריה מיוחדת (רגישים); הבקר מתחייב שלא להזין נתונים כאלה לשירות.

4. חובות הבקר

הבקר מצהיר כי הוראותיו ועיבוד המידע האישי של נושאי המידע חוקיים, כי מסר את ההודעות הנדרשות, וכי קיבל הסכמה במקום שבו נדרש.

הבקר אחראי להוראות המתועדות שהוא נותן למעבד ולדיוק ולחוקיות של הנתונים שהוא מעלה לשירות.

5. חובות המעבד והוראות מתועדות

המעבד מעבד מידע אישי אך ורק על פי ההוראות המתועדות של הבקר, המורכבות מהסכם עיבוד נתונים זה (DPA) ומההסכם הראשי. אם המעבד סבור שהוראה אינה חוקית, הוא יודיע על כך לבקר.

הוא מוודא שאנשים בעלי גישה לנתונים מחויבים לסודיות (חוזית או חוקית) ומעניק גישה רק על בסיס הצורך לדעת.

המעבד אינו משתמש במידע האישי למטרותיו שלו, אינו מוכר אותו ואינו משתף אותו עם צדדים שלישיים מעבר לאספקת השירות.

6. אמצעי אבטחה (סעיף 32 ל-GDPR)

המעבד מיישם אמצעים טכניים וארגוניים המתאימים לרמת הסיכון. באופן כללי אלה כוללים: הצפנה/הגנה מתאימה במעבר ובמנוחה, בקרת גישה והרשאות מינימליות, אימות, רישום/ניטור, גיבויים, וסקירה תקופתית.

שידור אודיו במהלך הסיור פועל ברשת WiFi מקומית ניידת ללא התחברות לאינטרנט; תקשורת חיה זו אינה עוברת דרך שרת הענן שלנו. תרגום חי הוא החריג היחיד הדורש הסכמה מפורשת: כאשר המדריך מפעיל זאת בבירור ומאשר את תיבת הדו-שיח של ההסכמה, קול המדריך בלבד - לעולם לא מיקרופון של משתתף - משודר לשרת שלנו וגם ל-Google Gemini לתרגום בזמן אמת, ואינו מאוחסן בשרתים שלנו. ארכיטקטורה זו מצמצמת את העברת נתוני המשתתפים במהלך הסיור.

אין טענה לתעודה מסוימת (למשל ISO 27001) בטקסט זה; פרטים והרשימה הנוכחית של הבקרות המיושמות עשויים להיות מפורטים בנספח אבטחה ייעודי לכל לקוח.

7. מעבדי משנה

הבקר מעניק למעבד הרשאה כללית להעסיק מעבדי משנה (למשל ספקי אחסון ותשתית) לצורך אספקת השירות.

רשימת מעבדי משנה עדכנית מסופקת ללקוח (נספח). המעבד מחייב כל מעבד משנה בכתב לחובות הגנת מידע השקולות לאלה שבהסכם עיבוד נתונים זה ונותר אחראי לפעולות מעבד המשנה.

המעבד יודיע לבקר לפני הוספה או החלפה של מעבד משנה ויאפשר לבקר פרק זמן סביר להתנגד.

8. זכויות נושא המידע, הודעה על הפרה וסיוע

המעבד מסייע לבקר, במידה סבירה ובאמצעים טכניים/ארגוניים מתאימים, במענה לבקשות של נושאי מידע לממש את זכויותיהם (גישה, תיקון, מחיקה, התנגדות, ניידות).

המעבד יודיע לבקר ללא דיחוי בלתי סביר לאחר שנודע לו על הפרת מידע אישי ויספק את המידע הדרוש לבקר כדי לעמוד בחובות ההודעה החוקיות שלו.

המעבד מסייע לבקר באופן סביר בעמידה בחובות שלפי סעיפים 32-36 ל-GDPR (אבטחה, הודעה על הפרה, והערכות השפעה על הגנת מידע).

9. מחיקה או החזרה של נתונים

בתום פעילות העיבוד, המעבד, לפי בחירת הבקר, ימחק או יחזיר את המידע האישי וישמיד עותקים קיימים בתוך פרק זמן סביר, אלא אם שמירה נדרשת על פי הדין החל.

הבקר רשאי גם למחוק את החשבון וחלקים מהנתונים דרך הפאנל במהלך תקופת השירות.

10. ביקורות

המעבד מעמיד לרשות הבקר, במידה סבירה, את המידע הדרוש להוכחת עמידה בחובות שבהסכם עיבוד נתונים זה.

הבקר רשאי לבקש ביקורת/בדיקה בהתראה סבירה ובשעות העבודה, בכפוף למגבלות סודיות ואבטחה ומבלי לשבש את השירות שלא לצורך. פרטים ספציפיים עשויים להיות מוסכמים לכל לקוח.

11. העברות בינלאומיות

כאשר מידע אישי מועבר מחוץ לטורקיה או לאזור הכלכלי האירופי, מיושמים מנגנוני העברה תקפים ואמצעי הגנה מתאימים לפי KVKK ו-GDPR (למשל תניות חוזיות סטנדרטיות).

המדינות שאליהן מועברים הנתונים ואמצעי ההגנה המיושמים מפורטים בנספח מעבדי המשנה במקום הרלוונטי.