הסכם עיבוד מידע (DPA)

עודכן לאחרונה: 13 בנובמבר 2026

ההסכם מסדיר את היחסים בין לקוח צ׳טמי (בעל השליטה במאגר) לבין צ׳טמי (המחזיק במידע מטעמו), לפי חוק הגנת הפרטיות, התשמ"א-1981, כפי שתוקן בתיקון 13, ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ובפרט תקנה 15 (מיקור חוץ). ההסכם הוא נספח לתנאי השימוש וחל על כל לקוח עם קבלת התנאים. לקוח שמבקש עותק חתום יכול לפנות אלינו.

1. הצדדים והגדרות

• הלקוח – העסק שמשתמש בשירותי צ׳טמי, כפי שמופיע בחשבון המנוי או בטופס ההזמנה ("בעל השליטה במאגר").
• צ׳טמי – עדן כהן, עוסק מס' 208687566, חנית 4, הרצליה ("המחזיק").

מונח שלא הוגדר כאן יפורש לפי חוק הגנת הפרטיות והתקנות שלפיו.

במקרה של סתירה בין הסכם זה לתנאי השימוש בכל הנוגע למידע אישי, הסכם זה גובר.

2. נושא העיבוד והוראות הלקוח

2.1 צ׳טמי תעבד מידע ממאגר הלקוח רק כדי לתת את השירותים שהלקוח הזמין: ניהול לידים ולקוחות (CRM), חייגן חכם והקלטת שיחות, סוכן קולי, סיכום שיחות בבינה מלאכותית, WhatsApp, דיוור במייל, מסעות לקוח ודיווח המרות אופליין למטא. פרטי העיבוד מופיעים בנספח א'.

2.2 ההוראות של הלקוח הן הסכם זה, תנאי השימוש, ההגדרות שהלקוח קובע במערכת (למשל חוקי ניתוב, סטטוסים שמדווחים למטא, הפעלת הקלטות וסוכן קולי), והוראות נוספות בכתב. צ׳טמי לא תעבד את המידע למטרה אחרת.

2.3 הלקוח אחראי לכך שיש לו בסיס חוקי לאסוף ולעבד את המידע, ובכלל זה:

• יידוע נושאי המידע לפי סעיף 11 לחוק;
• הסכמה לקבלת דבר פרסומת לפי סעיף 30א לחוק התקשורת (בזק ושידורים), התשמ"ב-1982, לפני שליחת הודעות שיווקיות ב-WhatsApp, במייל או ב-SMS;
• יידוע מראש על הקלטת שיחות ועל שיחה עם סוכן קולי מבוסס בינה מלאכותית;
• רישום המאגר או מסירת הודעה לרשות להגנת הפרטיות, ככל שהחוק מחייב זאת;
• הסכמה ויידוע מתאימים לפני שיתוף מידע עם מטא במסגרת המרות אופליין.

2.4 אם צ׳טמי סבורה שהוראה של הלקוח מפרה את החוק, היא תודיע ללקוח בהקדם ורשאית להשעות את ביצועה עד לבירור.

2.5 הלקוח לא יכניס למערכת מידע בעל רגישות מיוחדת (למשל מידע רפואי או פרטי כרטיס אשראי מלאים) מעבר למה שנדרש לשירות, אלא בתיאום מראש עם צ׳טמי.

3. התחייבויות צ׳טמי כמחזיק

3.1 שימוש מוגבל. צ׳טמי לא תשתמש במידע ממאגר הלקוח לצרכיה שלה, לא תמכור אותו, לא תשתף אותו עם לקוחות אחרים ולא תשתמש בו לאימון מודלים של בינה מלאכותית, אלא אם הלקוח אישר זאת בכתב.

3.2 סודיות. צ׳טמי תשמור על סודיות המידע לפי סעיף 16 לחוק, גם אחרי סיום ההסכם.

3.3 מורשים בלבד. גישה למידע תינתן רק לעובדי צ׳טמי שצריכים אותה לתפקידם (למשל תמיכה בפניית הלקוח או טיפול בתקלה), שחתמו על התחייבות לסודיות וקיבלו הדרכה באבטחת מידע, כנדרש בתקנות 17–18 לתקנות אבטחת מידע.

3.4 ממונה על אבטחת מידע. האחראי לאבטחת המידע בשירות: עדן כהן, edencohen533@gmail.com. אליו מפנים בכל עניין של פרטיות ואבטחה.

3.5 סיוע ללקוח. צ׳טמי תסייע ללקוח, במידה סבירה, לעמוד בחובותיו לפי החוק: מענה לבקשות נושאי מידע, סקר סיכונים, דיווח על אירוע אבטחה ופניות של הרשות להגנת הפרטיות.

3.6 דרישה של רשות. אם רשות מוסמכת תדרוש מצ׳טמי מידע ממאגר הלקוח, צ׳טמי תודיע ללקוח מראש, אלא אם הדבר אסור עליה בדין, ותמסור רק את מה שהיא חייבת למסור.

3.7 רישום. צ׳טמי תנהל רשימה של המאגרים שהיא מחזיקה עבור לקוחותיה, כנדרש ממחזיק לפי החוק.

4. אבטחת מידע

4.1 צ׳טמי תנקוט אמצעי אבטחה שמתאימים לתקנות אבטחת מידע ולרמת האבטחה של מאגר הלקוח שנקבעה בנספח א'. כברירת מחדל, צ׳טמי תעמוד לפחות בדרישות רמת האבטחה הבינונית.

4.2 האמצעים כוללים לפחות:

• הצפנת המידע במעבר (TLS) ובאחסון;
• הפרדה לוגית בין לקוחות, כך שלקוח אחד לא רואה מידע של לקוח אחר;
• הרשאות גישה לפי תפקיד בתוך חשבון הלקוח, שהלקוח קובע;
• זיהוי ואימות משתמשים, לרבות אימות דו-שלבי (אפליקציית אימות וקודי גיבוי) שזמין למשתמשי הלקוח לפי מדיניות שהלקוח קובע לכל תפקיד, וגישה של עובדי צ׳טמי למערכות הייצור רק עם אימות דו-שלבי;
• תיעוד גישות ופעולות רגישות (לוגים), ושמירתם לפחות 24 חודשים, כנדרש בתקנה 10;
• גיבויים קבועים ונהל שחזור;
• עדכוני אבטחה שוטפים והפרדת סביבת הפיתוח מסביבת הייצור;
• מסמך הגדרות מאגר ונוהל אבטחת מידע, שנסקרים פעם בשנה לפחות.

4.3 צ׳טמי תערוך סקר או בדיקה של אמצעי האבטחה לפחות אחת ל-18 חודשים, ותתקן ללא דיחוי פערים מהותיים שנמצאו.

4.4 הלקוח אחראי לאבטחה בצד שלו: סיסמאות ומכשירים של משתמשיו, מתן הרשאות לנציגים, והסרת גישה של עובדים שעזבו.

פירוט האמצעים מופיע בנספח ג'.

5. גורמי משנה

5.1 הלקוח מאשר לצ׳טמי להשתמש בגורמי המשנה המפורטים בנספח ב'.

5.2 צ׳טמי תודיע ללקוח על הוספה או החלפה של גורם משנה 30 ימים מראש, במייל או במערכת. הלקוח רשאי להתנגד מסיבה סבירה שקשורה להגנת המידע. אם לא נמצא פתרון, הלקוח רשאי להפסיק את השימוש בשירות הרלוונטי בלי קנס.

5.3 עם כל גורם משנה שמקבל גישה למידע, צ׳טמי תקפיד על התחייבות בכתב (בהסכם או בתנאי השירות שלו) לאבטחה וסודיות ברמה שלא נופלת מהסכם זה.

5.4 ספקים שהלקוח מחבר בעצמו אינם גורמי משנה של צ׳טמי. כך למשל חשבון מטא של העסק (מודעות לידים והמרות אופליין), מספר ה-WhatsApp Business של העסק, וכלים שמחוברים ב-API, Zapier או Make. בשירותים אלה חלים התנאים שבין הלקוח לספק, וצ׳טמי מעבירה אליהם מידע לפי הוראת הלקוח.

6. העברת מידע לחוץ לארץ

6.1 חלק מהמידע נשמר ומעובד מחוץ לישראל. מסד הנתונים הראשי ושרתי האפליקציה נמצאים באיחוד האירופי (פרנקפורט, גרמניה). הקלטות השיחות נשמרות בישראל. שירותי בינה מלאכותית, מייל והתראות מעבדים מידע בארה"ב ובמדינות נוספות, כמפורט בנספח ב'.

6.2 כל העברה לחו"ל תיעשה לפי תקנות הגנת הפרטיות (העברת מידע למאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001. ההעברה תתבסס על אחת העילות שם: מדינה שהדין בה מבטיח הגנה שלא פחותה מהדין בישראל (למשל מדינות האיחוד האירופי), או התחייבות בכתב של מקבל המידע לנקוט אמצעים מספיקים להגנת הפרטיות ולא להעביר את המידע הלאה.

6.3 צ׳טמי תעדכן את נספח ב' כשמיקום עיבוד משתנה, לפי הנוהל שבסעיף 5.2.

7. אירוע אבטחה

7.1 צ׳טמי תודיע ללקוח על אירוע אבטחה שנוגע למאגר הלקוח ללא דיחוי, ולא יאוחר מ-24 שעות מרגע שנודע לה, כדי שהלקוח יוכל לעמוד בחובת הדיווח שלו לפי תקנה 11 לתקנות אבטחת מידע.

7.2 ההודעה תכלול, ככל שידוע באותו שלב:

• מה קרה ומתי;
• איזה מידע נפגע, וכמה נושאי מידע בערך;
• מה צ׳טמי עשתה כדי לעצור את האירוע ולצמצם נזק;
• איש קשר בצ׳טמי למידע נוסף.

7.3 מידע שלא ידוע בהודעה הראשונה יימסר בעדכונים עם התקדמות הבדיקה.

7.4 באירוע אבטחה חמור, צ׳טמי תשתף פעולה עם הלקוח בדיווח לרשות להגנת הפרטיות ובמילוי הנחיות הרשות, כולל הודעה לנושאי מידע אם הרשות תורה על כך.

7.5 צ׳טמי תתעד כל אירוע אבטחה ואת הטיפול בו, ותעמיד את התיעוד לעיון הלקוח לפי בקשה.

8. זכויות נושאי המידע

8.1 הלקוח מטפל בבקשות של נושאי מידע. צ׳טמי מספקת ללקוח כלים במערכת לעשות זאת בעצמו:

8.2 אם פנייה של נושא מידע תגיע לצ׳טמי ישירות, צ׳טמי תעביר אותה ללקוח תוך 5 ימי עבודה, ולא תענה לפונה בשם הלקוח אלא לפי הוראתו.

8.3 הקלטות שיחות וסוכן קולי. הקלטות ותמלולים הם חלק ממאגר הלקוח. הלקוח אחראי ליידע את מי שמדבר עם העסק שהשיחה מוקלטת, ושהוא מדבר עם סוכן מבוסס בינה מלאכותית ולא עם אדם. צ׳טמי מאפשרת להשמיע הודעה כזו בתחילת השיחה.

8.4 החלטות אוטומטיות. סיכומי AI, ניקוד לידים ותעדוף בתור החיוג הם כלי עזר לצוות המכירות, ולא מקבלים החלטות בעלות השלכה משפטית על נושאי המידע.

9. בקרה ופיקוח

9.1 צ׳טמי תמסור ללקוח, פעם בשנה לפי בקשה, דוח קצר על יישום הסכם זה ועל אמצעי האבטחה, כנדרש ממחזיק לפי תקנה 15 לתקנות אבטחת מידע.

9.2 הלקוח רשאי לשלוח שאלון אבטחת מידע סביר, וצ׳טמי תענה עליו תוך 30 ימים.

9.3 במקרה של אירוע אבטחה חמור, או כשרשות מוסמכת דורשת זאת, הלקוח רשאי לערוך ביקורת בעצמו או דרך מבקר חיצוני שחתום על סודיות, בתיאום מראש של 14 ימים לפחות ובשעות העבודה. הביקורת לא תכלול גישה למידע של לקוחות אחרים או לסודות מסחריים של צ׳טמי.

9.4 כל צד ישא בעלויות שלו בביקורת, אלא אם הביקורת מצאה הפרה מהותית של הסכם זה על ידי צ׳טמי. אז צ׳טמי תשא בעלות סבירה של הביקורת.

10. תקופה, החזרה ומחיקה

10.1 ההסכם בתוקף כל עוד צ׳טמי מעבדת מידע עבור הלקוח, וסעיפי הסודיות נשארים בתוקף גם אחרי סיומו.

10.2 במהלך השירות, הלקוח יכול לייצא את המידע שלו מהמערכת בכל עת, בפורמט נפוץ (CSV).

10.3 עם סיום השירות, המידע יישאר זמין לייצוא במשך 30 ימים. בתום התקופה צ׳טמי תמחק את מאגר הלקוח ממערכות הייצור. עותקים בגיבויים יימחקו במחזור הגיבוי הרגיל, ולא יאוחר מ-30 ימים מסיום השירות.

10.4 לפי בקשה, צ׳טמי תמסור ללקוח אישור בכתב על המחיקה.

10.5 צ׳טמי רשאית לשמור מידע שהיא חייבת לשמור לפי דין (למשל רישומי חיוב וחשבוניות), רק למשך הזמן הנדרש.

10.6 תקופות שמירה במהלך השירות:

11. אחריות, דין ושיפוט

11.1 האחריות של כל צד לפי הסכם זה כפופה למגבלות האחריות שבתנאי השימוש, אלא אם הדין אוסר להגביל אותה.

11.2 כל צד אחראי לעמידה שלו בחוק: הלקוח כבעל השליטה במאגר, וצ׳טמי כמחזיק. צ׳טמי לא תישא באחריות לשימוש שהלקוח עושה במידע בניגוד לחוק, למשל דיוור ללא הסכמה.

11.3 במקרה של סתירה בין הסכם זה לתנאי השימוש בנושא מידע אישי, הסכם זה גובר.

11.4 על ההסכם חל הדין הישראלי. סמכות השיפוט היחידה נתונה לבתי המשפט המוסמכים במחוז תל אביב-יפו.

11.5 צ׳טמי רשאית לעדכן את הסכם זה כדי להתאים אותו לשינוי בדין או בשירות, בהודעה מוקדמת של 30 ימים. שינוי שמפחית מההגנה על המידע טעון הסכמת הלקוח.

נספח א' – פרטי העיבוד

נספח ב' – גורמי משנה

הרשימה מעודכנת ל-13 בנובמבר 2026.

נספח ג' – עיקרי אמצעי האבטחה

יצירת קשר

בכל שאלה על ההסכם או לבקשת עותק חתום: edencohen533@gmail.com, 050-5552309.