נספח לעיבוד נתונים ופרטיות (DPA) של SVOYAGER

1. מטרה

SVOYAGER מספקת עיבוד תמונות מבוסס בינה מלאכותית, עיצוב תמונות מסמכים, מעקב אחר שותפים, זרימת תמונות מאוחסנת, יישומונים מוטמעים וגישה ל-API B2B עבור שותפים בתחומי הנסיעות, הוויזות, המעבר למדינה אחרת, ההגירה ותחומים קשורים. במהלך מתן שירותים אלה, SVOYAGER עשויה לעבד נתונים אישיים מטעם השותף, ובמידת הצורך, מטעם משתמשי הקצה של השותף. הסכם עיבוד נתונים (DPA) זה קובע את ההתחייבויות בנושאי פרטיות, אבטחה, טיפול בנתונים, שמירה, סודיות, מעבדי משנה ומחיקה החלות על שירותים אלה.

2. תפקידי הצדדים

2.1 השותף כבעל השליטה. במקרים של שימוש על ידי שותפים B2B, השותף פועל בדרך כלל כבעל השליטה בנתונים האישיים הנוגעים ללקוחותיו, למשתמשיו, ללידים, ללקוחותיו או למבקרי אתר האינטרנט שלו, וקובע מדוע מוצע למשתמשיו שירות הצילום, כיצד הוא מוצג, את הבסיס המשפטי החל, את מודל האינטגרציה, ואת האופן שבו השותף מתקשר עם משתמשיו בנוגע לפרטיות, הסכמה, תשלום ותנאי השירות.

2.2 SVOYAGER כמעבד נתונים. SVOYAGER פועלת כמעבד נתונים כאשר היא מעבדת נתונים אישיים מטעם השותף כדי לספק את יישומון התמונות B2B, קישור שותף מאוחסן, API, גישה תחת מותג לבן, דיווח ושירותים נלווים, אך ורק בהתאם להוראות המתועדות של השותף, ככל הנדרש לצורך מתן השירותים, כנדרש על פי החוק החל, וכפי שמותר על פי ההסכם הראשי, הסכם עיבוד הנתונים (DPA) זה וחוקי הפרטיות החלים.

2.3 SVOYAGER כגורם אחראי עצמאי במקרים מוגבלים. SVOYAGER רשאית לפעול כגורם אחראי עצמאי למטרות מוגבלות, לרבות ניהול חשבונות שותפים, חיוב, הנפקת חשבוניות, ציות לדרישות חשבונאיות ומיסויות, מניעת הונאה, זיהוי שימוש לרעה וניטור אבטחה, תביעות משפטיות, ציות וניהול סכסוכים, ותקשורת ישירה עם השותפים בנוגע לשירות.

2.4 מעבדי משנה. SVOYAGER רשאית להשתמש במעבדי משנה לצורך מתן השירותים, לרבות SNAPFLOW LLC כספק בסיסי לעיבוד תמונות באמצעות בינה מלאכותית. ספקים אלה מעבדים נתונים רק במידה הנדרשת לצורך מתן שירותי עיבוד תמונות, אירוח, אחסון, אבטחה, תשלום או תשתית.

3. היקף העיבוד

מדיניות הגנת נתונים זו חלה על נתונים אישיים המעובדים באמצעות קישורי שותפים המארחים על ידי SVOYAGER (השותף מפנה משתמשים לקישור המארח על ידי SVOYAGER, למשל https://svoyager.com/{locale}/passport-photo?ref={code}), הווידג'ט המוטמע של SVOYAGER (המוטמע באתר של השותף עצמו, כאשר העיבוד מתבצע דרך ה-backend של SVOYAGER), וכן ה-API B2B של SVOYAGER / גישה תחת מותג לבן (השותף מתחבר ל-API של SVOYAGER באמצעות אישורים שהונפקו על ידי SVOYAGER).

4. קטגוריות של נתונים אישיים

הנתונים האישיים המעובדים עשויים לכלול תמונות שהועלו על ידי המשתמש, תצוגות מקדימות שנוצרו ותמונות סופיות ללא סימן מים, דפי תמונות להדפסה (במידה והדבר נתמך), סוג המסמך/המדינה/קוד המפרט שנבחרו, מטא-נתונים טכניים (סוג הקובץ, גודל הקובץ, מזהה הבקשה, סטטוס העיבוד, חותמות זמן, קודי שגיאה/בעיות), כתובת הדוא"ל של המשתמש כאשר נדרשת לצורך משלוח/תשלום/תמיכה, מזהים של שותף/קמפיין/דייר/שותף עסקי/מעקב או מזהה מפתח API, כתובת IP, מטא-נתונים של דפדפן/מכשיר, יומנים ואירועי אבטחה, מטא-נתונים של סטטוס תשלום/הזמנה/עסקה/חיוב, ותקשורת תמיכה. במידת האפשר, על השותף לצמצם ככל האפשר את כמות הנתונים האישיים המשותפים עם SVOYAGER.

5. קטגוריות של נושאי נתונים

נושאי הנתונים עשויים לכלול את לקוחות השותף ומבקרי האתר, לקוחות שירותי ויזה/הגירה/מעבר דירה/נסיעות/מסמכים, משתמשי קצה המפיקים תמונות לדרכון/ויזה/תעודת זהות/מסמכים, עובדי השותף או משתמשים מורשים המנהלים את החשבון, משתמשי SVOYAGER B2C, ואנשים הפונים לתמיכה בנוגע לשירות הצילום.

6. הוראות עיבוד

השותף מורה ל-SVOYAGER לעבד נתונים אישיים אך ורק למטרות המתוארות בהסכם עיבוד הנתונים (DPA) זה ובהסכם הרלוונטי. SVOYAGER לא תעבד נתונים אישיים לשום מטרה שאינה קשורה, אלא אם כן נדרש על פי חוק, נדרש מטעמי אבטחה, למניעת הונאה או למניעת שימוש לרעה, אושר במפורש על ידי השותף, או הכרחי כדי לספק, לתחזק או לשפר את השירות המוסכם באופן המותר על פי הסכם עיבוד הנתונים (DPA) זה. אם SVOYAGER סבורה שהוראה כלשהי מפרה את חוק הגנת הנתונים הרלוונטי, היא רשאית להודיע על כך לשותף ולהשעות את העיבוד הרלוונטי עד לקבלת הבהרה.

7. עקרונות הגנת נתונים ואבטחה

SVOYAGER תנקוט באמצעי אבטחה טכניים וארגוניים מתאימים שנועדו להגן על נתונים אישיים מפני גישה בלתי מורשית, חשיפה, שינוי, אובדן, שימוש לרעה או השמדה, ותעבד נתונים אישיים בהתאם לעקרונות החוקיות, ההגינות והשקיפות, הגבלת המטרה, צמצום הנתונים, הדיוק, הגבלת האחסון, השלמות והסודיות, והאחריות. כל הנתונים המועברים אל שירותי SVOYAGER וממנה חייבים להיות מוגנים באמצעות העברה מוצפנת בתקן התעשייתי (TLS/HTTPS).

8. אפשרויות אחסון נתונים

אפשרות א' — אחסון ענן זמני. תמונות של לקוחות, תוצרי תצוגה מקדימה, תוצרים סופיים ונתוני עיבוד נלווים עשויים להיאחסן באופן זמני בתשתית ענן מאובטחת למטרות תפעוליות (גישה לתצוגה מקדימה, מסירה סופית, שחזור דוא"ל, השלמת הזמנה, תמיכה בהחזרים כספיים/יצירה מחדש, מניעת שימוש לרעה, איתור באגים, אימות חיובים, דיווח לשותפים). הגדרות ברירת המחדל המומלצות של SVOYAGER: תמונות תצוגה מקדימה – 24 שעות; קבצים סופיים ללא סימן מים – 24 שעות; מטא-נתוני הזמנה – עד 7 שנים, במידת הצורך לצורכי מס/חשבונאות/משפטיים; יומני טכניים – 30 עד 180 ימים. כאשר הספק הבסיסי תומך בשמירה הניתנת להגדרה, SVOYAGER רשאית לבחור תקופה שבין 2 שעות ל-14 ימים, אלא אם נדרשת תקופה קצרה או ארוכה יותר על פי חוק, משיקולי אבטחה, תמיכה או תצורת השותף.

אפשרות ב' — עיבוד ללא אחסון. כאשר הדבר אפשרי מבחינה טכנית, התמונות שהועלו נשלחות לעיבוד והתוצרים המעובדים מוחזרים ישירות (למשל בפורמט Base64), תוך צמצום או השבתת האחסון הקבוע למינימום. אפשרות זו מומלצת לשותפים עם דרישות מחמירות בתחומי הפרטיות, התאימות, הפיננסים, הממשל, הבריאות, ההגירה או הארגונים.

9. בעלות על הנתונים

השותף, או המשתמש הסופי של השותף, לפי העניין, שומר לעצמו את כל הזכויות, הבעלות והאינטרסים בתמונות שהועלו, בתצוגות המקדימות שנוצרו, בתוצרי התמונה הסופיים ובתוכן המשתמש הקשור. SVOYAGER אינה טוענת לבעלות על תמונות המשתמשים שהועלו או על קבצי התמונות הסופיים שנוצרו, ומקבלת רק את הזכויות הדרושות לעיבוד התמונה, ליצירת התוצרים, לאספקת השירות, למתן תמיכה, להפעלת/אבטחת/שיפור השירות, לעמידה בחובות חוקיות ולאכיפת ההסכם הרלוונטי.

10. אין למכור, אין לפרסם, אין להשתמש לצורכי אימון בינה מלאכותית ללא אישור

SVOYAGER לא תמכור נתונים אישיים של שותפים או משתמשי קצה, לא תשתמש בתמונות שהועלו, בתוצרים שנוצרו או בנתונים אישיים של משתמשי קצה לצורכי פרסום של צד שלישי, ולא תשתמש בנתוני תמונות של שותפים או משתמשי קצה לאימון מודלים של בינה מלאכותית, אלא אם כן הותר זאת במפורש ובכתב (במידת הצורך), כפי שמותר על פי החוק החל, וכפי שנחשף בבירור בהודעת הפרטיות הרלוונטית. SVOYAGER תדרוש ממעבדי המשנה שלה לקיים את אותן ההגבלות, אלא אם כן ניתן אישור מפורש לכך.

11. אחריות השותפים בנושא פרטיות

השותף אחראי לספק הודעות פרטיות מתאימות ולקבל כל הסכמה נדרשת או בסיס משפטי מהמשתמשים הסופיים שלו לפני שליחת נתונים אישיים ל-SVOYAGER, וכן על יידוע המשתמשים בבירור כי תמונתם תעובד ליצירת תמונת מסמך, כי השירות עשוי לכלול עיבוד אוטומטי, כי SVOYAGER ומעבדי משנה עשויים לעבד את התמונה ואת המטא-נתונים, כי ייתכן שיידרש תשלום עבור הקובץ הסופי, וכי תמונה שנוצרה אינה מבטיחה אישור מטעם רשות כלשהי. השותף אינו רשאי לתאר את השירות באופן מטעה.

12. סודיות וגישה

עובדי SVOYAGER, קבלני משנה ומעבדי משנה מורשים בעלי גישה לנתונים אישיים כפופים לחובות סודיות המתאימות לאופי המידע. הגישה מוגבלת לעובדים מורשים בעלי צורך עסקי, טכני, ביטחוני, תומכי או תפעולי לגיטימי.

13. ניטור אבטחה וביקורות

SVOYAGER מבצעת ביקורות וניטור תקופתיים כדי לזהות, למנוע ולהפחית סיכוני אבטחה, כולל ניטור תשתית, בקרת גישה, גישה מבוססת תפקידים, הערכות פגיעות, עדכוני תלות, ניטור שימוש לרעה ב-API, רישום/התראות, החלפת אישורים ותגובה לאירועים. על פי בקשה בכתב סבירה, ובכפוף למגבלות סודיות ואבטחה, SVOYAGER עשויה לספק מידע הנחוץ באופן סביר כדי להוכיח עמידה בהסכם עיבוד נתונים זה (DPA).

14. מעבדי משנה וספקי תשתית

SVOYAGER רשאית להשתמש במפעילים משנה ובספקי תשתית צד שלישי בעלי מוניטין, בכפוף להתחייבויות חוזיות מתאימות בנושאי סודיות, אבטחה והגנת נתונים. מעבדי המשנה הנוכחיים כוללים את SNAPFLOW LLC (עיבוד תמונות באמצעות בינה מלאכותית), Supabase (מסד נתונים/אימות/תשתית יישומים), Stripe (תשלומים), Vercel כולל Vercel Blob (אירוח ואחסון/משלוח קבצים זמניים), Resend (דוא"ל עסקי), Upstash (הגבלת קצב ואידמפוטנטיות) ו-Sentry (ניטור שגיאות/נראות). AWS מהווה את תשתית הענן הבסיסית של Supabase ו-Vercel ואינה מעורבת ישירות כמעבד משנה נפרד. הרשימה הנוכחית מתפרסמת בכתובת /legal/subprocessors.

15. שינויים במטפלים משנה

SVOYAGER רשאית להוסיף, להחליף או להסיר מעבדי משנה מעת לעת. לגבי שותפים עסקיים, SVOYAGER עשויה לספק הודעה מראש על שינויים מהותיים במעבדי משנה, כאשר הדבר נדרש על פי ההסכם הרלוונטי. אם לשותף יש התנגדות סבירה בנושא הגנת נתונים כלפי מעבד משנה חדש, הוא רשאי להודיע על כך ל-SVOYAGER בכתב, והצדדים יפעלו בתום לב כדי לפתור את הסוגיה.

16. העברת נתונים בינלאומית

נתונים אישיים עשויים לעבור עיבוד במדינות שבהן פועלת SVOYAGER, ספקי התשתית שלה, מעבדי משנה או ספקי השירותים שלה. במקרים שבהם נדרש על פי החוק החל, SVOYAGER תשתמש במנגנוני העברה מתאימים, אשר עשויים לכלול סעיפים חוזיים סטנדרטיים, נספח העברת הנתונים הבינלאומי של בריטניה, החלטות על התאמה, אמצעי הגנה חוזיים, הגדרות לוקליזציה של נתונים (במידת האפשר) או מצב עיבוד ללא מדינה (במידה ונתמך).

17. מפתחות API ובקרות גישה

SVOYAGER רשאית להנפיק מפתחות API, מזהי לקוח, מזהי שותף, מזהי דייר, אסימוני הטמעה או אמצעי זיהוי אחרים. השותף אחראי לשמירת סודיות פרטי הזיהוי, לאי-חשיפת מפתחות סודיים בקוד הממשק, להגבלת הגישה לעובדים ולמערכות מורשים, להחלפת מפתחות באופן מיידי אם קיים חשד לפריצה, להודעה ל-SVOYAGER על שימוש לא מורשה, ולהבטחת תאימות השימוש ב-API להסכם ולתיעוד הרלוונטיים.

18. נתוני שימוש, יומני פעילות ודיווחי שותפים

SVOYAGER רשאית לעבד נתונים טכניים ונתוני שימוש לצורך מעקב אחר השימוש ב-API, ייחוס שותפים, חיוב והפקת חשבוניות, חישוב חלוקת רווחים או עמלות, מניעת הונאות, איתור באגים, ניתוח שירותים, ניטור SLA, שיפור מוצרים וניטור אבטחה. על SVOYAGER להימנע מחשיפת נתונים אישיים מיותרים של משתמשי קצה בלוחות המחוונים של השותפים, אלא אם כן הדבר נדרש לצורך תמיכה, חיוב או מודל האינטגרציה הספציפי.

19. נתוני תשלום

במקרים שבהם SVOYAGER מעבדת תשלומים באופן ישיר, נתוני כרטיסי התשלום מטופלים על ידי מעבד תשלומים העומד בתקן PCI, כגון Stripe. SVOYAGER אינה מאחסנת מספרי כרטיסים מלאים, קודי CVC או נתוני אימות תשלום רגישים בשרתיה, ועשויה לאחסן מטא-נתוני תשלום מוגבלים כגון סטטוס התשלום, מזהה ההזמנה, מזהה העסקה, הסכום, המטבע, כתובת ה-URL של הקבלה, סטטוס ההחזר, ייחוס השותף, מטא-נתוני החשבונית ורישומי מס/חשבונאות.

20. בקשות של נושאי הנתונים

במידה הנדרשת על פי החוק החל, SVOYAGER תספק סיוע סביר לשותף במענה לבקשות של נושאי הנתונים (גישה, תיקון, מחיקה, הגבלת עיבוד, התנגדות, ניידות נתונים, ביטול הסכמה). השותף אחראי לאימות זהותו של המבקש ולקביעת האם יש להיענות לבקשה. אם SVOYAGER תקבל בקשה ישירות ממשתמש קצה של השותף, היא רשאית להפנות את המשתמש אל השותף, להשיב ישירות כאשר הדבר נדרש על פי החוק, לבקש אימות, או לשתף פעולה עם השותף.

21. מחיקת נתונים

לבקשת השותף, עם סיום השירותים או תום תקופת השמירה החלה, SVOYAGER תמחק או תהפוך את הנתונים האישיים לאנונימיים בהתאם לתצורת השמירה החלה, אלא אם כן השמירה נדרשת על פי חוק או הכרחית לצורך רישומי מס, רישומי חשבונאות, יישוב סכסוכים, מניעת הונאה, חקירות אבטחה, תביעות משפטיות או חובות ציות.

22. תקריות אבטחה

SVOYAGER מקיימת נהלים סבירים לאיתור, חקירה ותגובה לאירועי אבטחה הקשורים לנתונים אישיים. אם SVOYAGER תתוודע להפרת נתונים אישיים מאושרת המשפיעה על נתונים אישיים של השותף, היא תודיע על כך לשותף ללא דיחוי לאחר שנודע לה על כך, ותמסור את הפרטים הזמינים על האירוע, הנתונים שנפגעו, ההשלכות האפשריות, האמצעים שננקטו ופרטי יצירת קשר. SVOYAGER רשאית לעכב את ההודעה כאשר הדבר נדרש על ידי רשויות אכיפת החוק, רגולטורים או חקירות אבטחה.

23. דיוק ודרישות רשמיות

SVOYAGER עשויה לספק עיצוב אוטומטי, חיתוך, התאמת רקע, אימות ובדיקות תאימות בהתאם למפרטי התמונה שנבחרו. עם זאת, הדרישות הרשמיות עשויות להשתנות ולהשתנות בהתאם לתחום השיפוט, לרשות, לשגרירות, לקונסוליה, למרכז הוויזות או לסוג הבקשה. אלא אם כן הוסכם במפורש אחרת, SVOYAGER אינה מתחייבת לקבלת התמונה על ידי רשות ממשלתית כלשהי, לאישור ויזה, להנפקת דרכון, לאישור הגירה, לאישור קונסולרי או לקבלת התמונה על ידי מרכז בקשות של צד שלישי.

24. הדין החל וסדר העדיפות

הסכם הגנת נתונים (DPA) זה כפוף לחוקי איחוד האמירויות הערביות כפי שהם מיושמים באמירויות דובאי (בהתאם לתנאי השותפות הצילומית של SVOYAGER ותנאי ה-API/ווידג'ט), אלא אם כן צוין במפורש בחוזה הראשי כי החוק החל הוא אחר. במקרה של סתירה בין הסכם עיבוד הנתונים (DPA) זה לבין ההסכם הראשי, יחול הסדר הבא, אלא אם צוין אחרת: חוק הגנת הנתונים המחייב; הסכם עיבוד הנתונים (DPA) זה בענייני הגנת נתונים; ההסכם המסחרי הראשי; טופס ההזמנה או לוח המחירים; ותיעוד ה-API/המוצר.

25. שפת ההסכם

מדיניות הגנת המידע (DPA) זו עשויה להתפרסם בכמה שפות מטעמי נוחות. הגרסה באנגלית היא הקובעת. במקרה של אי-התאמה, סתירה או עמימות בין הגרסה האנגלית לתרגום, הגרסה האנגלית היא הקובעת, אלא אם כן נדרש אחרת במפורש על פי הכללים המחייבים של החוק החל.

26. תנאי שימוש ופרטי יצירת קשר

הסכם עיבוד הנתונים (DPA) זה יישאר בתוקף כל עוד SVOYAGER מעבדת נתונים אישיים מטעם השותף; ההוראות בנוגע לסודיות, אבטחה, מחיקה, רישומי ביקורת, ציות לחוק ואחריות יישארו בתוקף גם לאחר סיום ההסכם, במידה הנדרשת על פי החוק או ההסכם הראשי. לשאלות בנושאי פרטיות, אבטחה או עיבוד נתונים, אנא פנו ל-privacy@svoyager.com או hello@svoyager.com.