נספח עיבוד מידע

• «מידע לקוחות»: מידע אישי על לקוחות בית העסק ועל אנשי הצוות שלו, שבית העסק מזין, אוסף או מנהל באמצעות Tapit — לרבות כרטיסי לקוח, תורים והיסטוריית תורים, תשלומים ומקדמות אצל בית העסק, הערות, טפסים, תשובות לטפסים וחתימות.
• «מידע רגיש»: כמשמעותו בחוק, לרבות מידע רפואי שבית העסק אוסף בטפסים, כגון הצהרת בריאות או אלרגיות.
• «אירוע אבטחה» ו«אירוע אבטחה חמור»: כמשמעותם בתקנות אבטחת מידע.
• «ספק משנה»: גורם שלישי ש-Tapit מתקשרת עמו ושמעבד מידע לקוחות לצורך מתן השירות.
• מונחים אחרים יתפרשו כמשמעותם בחוק ובתקנות שמכוחו.

• לגבי מידע לקוחות, בית העסק הוא בעל השליטה במאגר, ו-Tapit היא מחזיקה המעבדת את המידע בשמו ולפי הוראותיו.
• הנספח אינו חל על מידע ש-Tapit מעבדת לצרכיה כבעלת שליטה: פרטי חשבון של משתמשי האפליקציה, פרטי בעל העסק והחיוב במנוי, ונתוני שימוש ואבטחה. מידע זה כפוף למדיניות הפרטיות של Tapit.
• לקוח שקובע תור באפליקציה מוסר פרטים לצורך התור (שם, טלפון, שירות, מועד ותשובות לטפסים). פרטים אלה הם מידע לקוחות של בית העסק. חשבון המשתמש של הלקוח ב-Tapit נשאר באחריות Tapit.

• נושאי המידע: לקוחות בית העסק, לרבות לקוחות שאינם משתמשי האפליקציה, ואנשי הצוות של בית העסק.
• סוגי המידע: פרטי זיהוי וקשר; תורים, מועדים ושירותים; רשימות המתנה; תשלומים ומקדמות (סטטוס, סכום וארבע הספרות האחרונות של הכרטיס, בלי מספר כרטיס מלא); הערות; טפסים, חתימה דיגיטלית, מועד החתימה וכתובת IP; מידע רגיש שבית העסק בוחר לאסוף בטפסים; הודעות שנשלחו ללקוחות.
• מטרות: מתן השירות לבית העסק — ניהול יומן ותורים, תזכורות והודעות, רשימות המתנה, טפסים וחתימות, מעקב תשלומים, דוחות לבית העסק, תמיכה, אבטחה ומניעת הונאות, גיבוי ושחזור.
• פעולות: איסוף, אחסון, הצגה, עדכון, שליחת הודעות ללקוחות, סנכרון ליומן Google של בעל העסק (אם חיבר), ייצוא לבקשת בית העסק ומחיקה.
• מערכות: האפליקציה והאתר, מסד הנתונים ואחסון הקבצים, השרתים ופונקציות הענן, וממשק הניהול הפנימי של Tapit.
• משך: כל עוד ההסכם בתוקף, ובתוספת התקופות שבסעיף 13.

• Tapit תעבד מידע לקוחות רק לצורך מתן השירות ולפי הוראות בית העסק. ההגדרות והפעולות שבית העסק מבצע באפליקציה ייחשבו הוראות.
• Tapit לא תשתמש במידע לקוחות לצרכיה, לא תמכור אותו, לא תעביר אותו לצד שלישי שאינו ספק משנה ולא תשתמש בו לשיווק. Tapit רשאית להפיק ממנו נתונים סטטיסטיים מצרפיים שאינם מזהים אדם, לשיפור השירות בלבד.
• אם לדעת Tapit הוראה של בית העסק מפרה דין, היא תודיע על כך לבית העסק.
• Tapit תסייע לבית העסק, במידה סבירה, במילוי חובותיו לפי דין לגבי מידע הלקוחות.
• Tapit תמסור מידע לקוחות לרשות מוסמכת רק אם חלה עליה חובה לפי דין. אם הדין מתיר זאת, היא תודיע על כך לבית העסק מראש.

Tapit תקיים את החובות החלות על מחזיק לפי תקנות אבטחת מידע, ברמת האבטחה הנדרשת למאגר של בית העסק. בין האמצעים הקיימים:

• הצפנת תעבורה (HTTPS/TLS) ואחסון מוצפן אצל ספק הענן.
• כללי גישה במסד הנתונים שמאפשרים לכל בית עסק לגשת רק למידע שלו, ולכל לקוח רק למידע שלו.
• אימות מספר טלפון בקוד SMS והגנה מפני גישה אוטומטית.
• מספר כרטיס אשראי מלא אינו מגיע ל-Tapit, אלא מוזן בשדות מאובטחים של ספק הסליקה.
• גישת צוות Tapit מוגבלת לבעלי תפקיד, ופעולות ניהול מתועדות.
• Tapit רשאית לעדכן את אמצעי האבטחה, ובלבד שרמת ההגנה לא תפחת.

• גישה למידע לקוחות תינתן רק למי שזקוק לה לצורך תפקידו ב-Tapit, ובהיקף הנדרש בלבד.
• כל בעל הרשאה יתחייב לשמירת סודיות לפני קבלת הגישה, ויקבל הדרכה על חובותיו.
• הרשאה תבוטל כשהיא אינה נדרשת עוד.

בית העסק מאשר ל-Tapit להיעזר בספקי המשנה הבאים. Tapit מתקשרת עם כל אחד מהם בהסכם שמטיל עליו חובות להגנה על המידע, והיא אחראית כלפי בית העסק לעיבוד שהם מבצעים:

• Google (Firebase / Google Cloud): מסד נתונים, אחסון קבצים, התחברות, פונקציות ענן והתראות.
• Vercel: אירוח האתר והשרתים.
• Pulseem: שליחת SMS (שם, מספר טלפון ותוכן ההודעה).
• Meta (WhatsApp): הודעות WhatsApp, כשבית העסק מפעיל ערוץ זה.
• Resend: שליחת דוא״ל.
• Apple: התראות במכשירי iOS.
• MapTiler: חיפוש כתובות ומיקום.
• Tapit תודיע לבתי העסק לפחות 30 יום מראש על הוספה או החלפה של ספק משנה. בית עסק רשאי להתנגד מטעמים סבירים, ואם לא יימצא פתרון, רשאי לסיים את ההתקשרות.
• PayMe מעבדת את תשלומי הלקוחות מכוח ההסכם הישיר שלה עם בית העסק, ואינה ספק משנה לעניין נספח זה. סנכרון ליומן Google נעשה לחשבון Google של בעל העסק עצמו, לפי בקשתו.

מידע לקוחות מאוחסן ומעובד אצל ספקי ענן מחוץ לישראל, בעיקר במדינות האיחוד האירופי, וחלק מספקי המשנה פועלים בארצות הברית. העברת המידע נעשית בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001.

• אם לקוח של בית העסק פונה ל-Tapit בבקשה לעיין במידע עליו, לתקנו או למחוק אותו, Tapit תעביר את הפנייה לבית העסק בתוך 7 ימים, ולא תשיב לה בעצמה אלא לפי הוראת בית העסק או לפי דין.
• Tapit תסייע לבית העסק לעיין במידע לקוחות, לתקן אותו, לייצא אותו או למחוק אותו, באמצעות האפליקציה או לבקשתו.

• Tapit תודיע לבית העסק על אירוע אבטחה חמור הנוגע למידע הלקוחות שלו מיד, ולא יאוחר מ-72 שעות מהרגע שנודע לה עליו.
• ההודעה תכלול, ככל שהמידע ידוע: מה קרה, אילו סוגי מידע נפגעו, בערך כמה לקוחות, מה נעשה כדי לבלום את האירוע, ואיש קשר ב-Tapit.
• Tapit תנקוט צעדים סבירים לצמצום הנזק, ותסייע לבית העסק בדיווח לרשות להגנת הפרטיות ולנושאי המידע ככל שהדבר נדרש לפי דין.
• Tapit תתעד כל אירוע אבטחה ואת הטיפול בו.

• לפחות פעם בשנה, Tapit תמסור לבתי העסק דיווח על אופן ביצוע חובותיה לפי נספח זה, באתר או בדוא״ל.
• בית העסק רשאי לבקש מ-Tapit מידע סביר על אמצעי האבטחה והעיבוד. בקרה נוספת תתואם מראש, על חשבון בית העסק, לא יותר מפעם בשנה, ובלי לחשוף מידע של בתי עסק אחרים.

• לאסוף ולהזין מידע לקוחות כדין, ולמסור ללקוחות הודעה לפי סעיף 11 לחוק על מטרת האיסוף ועל השימוש במידע.
• לקבל הסכמה מפורשת של הלקוח לפני איסוף מידע רגיש. Tapit מציגה ללקוח שורת הסכמה בטפסים לשם כך.
• לאסוף רק מידע שנדרש לשירות שבית העסק נותן.
• לשמור בסוד את פרטי הגישה לחשבון, לתת לאנשי הצוות רק את ההרשאות שהם צריכים, ולהודיע ל-Tapit מיד על חשד לגישה לא מורשית.
• לשלוח ללקוחות הודעות פרסומיות רק בהסכמתם, לפי סעיף 30א לחוק התקשורת (בזק ושידורים), התשמ״ב-1982.
• לקיים את החובות החלות עליו כבעל שליטה במאגר, ככל שהן חלות עליו לפי החוק.

• הנספח בתוקף כל עוד ההסכם בתוקף, ובתוספת התקופות שבסעיף זה.
• לבקשת בית העסק, שתוגש במהלך ההסכם או בתוך 30 הימים שלאחר מחיקת העסק, Tapit תמסור לו עותק של מידע הלקוחות בפורמט נפוץ.
• כשבית העסק מוחק את העסק, העסק נחסם מיד, ובית העסק יכול לבטל את המחיקה במשך 30 יום. בתום 30 הימים Tapit מוחקת את מידע הלקוחות ממערכותיה באופן אוטומטי, ומוחקת אותו מהגיבויים בסוף מחזור הגיבוי.
• Tapit רשאית לשמור מידע שהיא חייבת לשמור לפי דין, למשל רישומי עסקאות וקבלות עד 7 שנים. הגישה למידע כזה תוגבל, והוא לא ישמש לשום מטרה אחרת.
• לבקשת בית העסק, Tapit תאשר בכתב שהמחיקה בוצעה.

כל צד אחראי להפרת חובותיו לפי נספח זה ולפי דין. הגבלות האחריות שבתנאי השימוש יחולו גם על נספח זה, למעט הפרה בזדון או ברשלנות חמורה.

Tapit רשאית לעדכן את הנספח כדי להתאים אותו לשינויים בדין, בשירות או ברשימת ספקי המשנה, בהודעה לבתי העסק לפחות 30 יום מראש. על הנספח יחולו דיני מדינת ישראל.

לפניות בנושא נספח זה ובנושא אבטחת מידע: