# נספח עיבוד נתונים > נספח עיבוד הנתונים של Shoprocket, הכולל את חובות עיבוד הנתונים לפי ה-GDPR. עודכן לאחרונה ב-26 באפריל 2026 זהו תרגום לנוחותך. ה[נוסח באנגלית](https://v3.shoprocket.io/gdpr.md) הוא הנוסח המחייב מבחינה משפטית, והוא גובר אם יש הבדל בין השניים. נספח עיבוד הנתונים של Shoprocket ("הנספח") משנה את התנאים וההגבלות של Shoprocket ("ההסכם") בינך ("אתה") לבין **Shoprocket LTD** (מספר חברה 12656598, רשומה באנגליה ווילס, בכתובת 20-22 Wenlock Road, London, NG 17U). אם יש לך הסכם רמת שירות (SLA) נפרד עם Shoprocket, הפניות להסכם משמען אותו SLA. נספח זה כפוף להסכם ומשולב בו. כל מונח באותיות רישיות שאינו מוגדר כאן יפורש כפי שהוגדר בהסכם. --- ## הגדרות - **הגדרות חשבון**: תצורות של חשבון Shoprocket שלך (לרבות אבטחה) המאפשרות לך לנהל את האופן שבו Shoprocket מעבדת מידע אישי. - **מטרות עסקיות**: השירותים המוגדרים בהסכם. - **נתוני חשבון הלקוח**: מידע אישי על הקשר שלך עם Shoprocket (למשל אנשי קשר מורשים, פרטי חיוב), וכן מידע ש-Shoprocket אוספת לצורכי ניהול חשבון, בדיקות זהות או דרישות משפטיות. - **נתוני שימוש של הלקוח**: נתוני שימוש המעובדים על ידי Shoprocket בקשר לשימוש שלך בשירותים (למשל יומנים, מדדי ביצועים, נתונים למניעת שימוש לרעה). - **חקיקת הגנת מידע**: כוללת את ה-CCPA, ה-GDPR של האיחוד האירופי, חוק הגנת המידע הפדרלי של שווייץ, ה-GDPR של בריטניה, DPA 2018 ו-PECR 2003, כל אחד כפי שעודכן. מונחים (למשל "בקר נתונים", "מעבד נתונים") נקבעים לפי ה-GDPR של האיחוד האירופי. - **EEA**: האזור הכלכלי האירופי. - **EU SCCs**: סעיפי החוזה הסטנדרטיים לפי החלטת הנציבות 2021/914. - **העברה מחוץ ל-EEA**: העברה של מידע אישי (לפי ה-GDPR של האיחוד האירופי) אל מחוץ ל-EEA ללא החלטת התאמה לפי סעיף 45 ל-GDPR של האיחוד האירופי. - **העברה מחוץ לבריטניה**: העברה של מידע אישי (לפי ה-GDPR של בריטניה) אל מחוץ לבריטניה ללא החלטת התאמה של שר המדינה הבריטי. - **ספק שירות**: כהגדרתו ב-CCPA. - **שירותים**: הכלים של Shoprocket ליצירה ולניהול של חנויות מקוונות ("חנות Shoprocket"), לטיפול במוצרים, בתשלומים, במשלוחים ובשיווק, וכל כלי או שירות ש-Shoprocket עשויה להציע. - **חשבון Shoprocket**: החשבון שלך המעניק גישה לשירותים, לרבות הגדרות החשבון, בכתובת [https://www.shoprocket.io](https://www.shoprocket.io). - **מדיניות הפרטיות של Shoprocket**: ההודעה בכתובת [https://shoprocket.io/privacy](https://shoprocket.io/privacy), כפי שתעודכן. - **חנות Shoprocket**: אתר המסחר האלקטרוני שלך המתארח או מופעל בסיוע Shoprocket. - **קטגוריות מיוחדות של מידע**: כהגדרתן בסעיפים 4(13), 4(14), 4(15) ו-9 ל-GDPR של האיחוד האירופי/בריטניה (לפי העניין). - **סעיפי חוזה סטנדרטיים (SCCs)**: ה-EU SCCs וה-UK SCCs, לפי העניין. - **UK SCCs**: ה-EU SCCs כפי שתוקנו בנספח ה-IDTA של ה-ICO הבריטי. - **אנו/שלנו**: Shoprocket LTD (לרבות "Shoprocket" ו-"Shoprocket.io"). - **אתה/שלך**: הצד החוזי הנקוב בהסכם. --- ## הוראות הלקוח נספח זה וההסכם (לרבות ההוראות בהגדרות החשבון שלך) מהווים את **ההוראות המתועדות** לאופן שבו Shoprocket מעבדת מידע אישי. Shoprocket תעבד מידע אישי רק לפי הוראות. הוראות נוספות מעבר לתנאים אלה מחייבות הסכמה מראש בכתב (ועשויות לגרור דמים נוספים). Shoprocket רשאית לסיים את הנספח ואת ההסכם אם הוראותיך סותרות את חקיקת הגנת המידע או חורגות מההוראות שהוסכמו. בהינתן אופי העיבוד, Shoprocket בדרך כלל אינה יכולה לשפוט אם הוראותיך מפרות את הדין; אם תגבש דעה כזו, היא תודיע לך, ואתה רשאי לשנות את ההוראות או לבטלן. --- ## עיבוד נתונים 1. **העיבוד של Shoprocket** - **מעבד נתונים/ספק שירות**: למעט נתוני חשבון הלקוח ונתוני שימוש של הלקוח, Shoprocket מעבדת מידע אישי (לפי ה-GDPR של האיחוד האירופי/בריטניה) או מידע אישי (personal information) (לפי ה-CCPA) מטעמך. - **בקר נתונים עצמאי**: Shoprocket היא בקר נתונים של מידע אישי שנאסף ישירות מלקוחות החנות ושל נתוני חשבון הלקוח או נתוני שימוש של הלקוח. 2. **אחסון** - מידע אישי מאוחסן ב: 1. שרתי AWS באירלנד (או באזורי EEA אחרים), 2. שרתי Hetzner בנירנברג/פלקנשטיין (גרמניה). 3. **היקף ומטרה** - Shoprocket מעבדת מידע אישי רק במידה הנחוצה למטרות העסקיות שציינת (בהתאם לשירותים שרכשת) ובציות לחקיקת הגנת המידע. - אם הדין מחייב עיבוד אחר, Shoprocket תודיע לך, אלא אם הדין אוסר זאת. - Shoprocket מבצעת בהקדם את הוראותיך בכתב לתקן, להעביר או למחוק מידע אישי, או להפסיק עיבוד בלתי מורשה. - Shoprocket שומרת על סודיות המידע האישי, אלא אם חשיפתו מורשית או נדרשת על פי דין. - Shoprocket מסייעת לך לעמוד בחובות הציות שלך (למשל בקשות של נושאי מידע, DPIA) ללא עלות נוספת. - Shoprocket מודיעה לך על שינויים בדין שעשויים להשפיע על ההסכם או על נספח זה. 4. **Shoprocket כבקר נתונים עצמאי** - לגבי נתוני חשבון הלקוח ונתוני שימוש של הלקוח, Shoprocket אינה בקר משותף, אלא מעבדת נתונים אלה לצורך ניהול הקשר שלה איתך, מניעת הונאות ואירועי אבטחה, עמידה בחובות משפטיות וכדומה, בהתאם למדיניות הפרטיות של Shoprocket. 5. **CCPA** - למעט נתוני חשבון הלקוח ונתוני שימוש של הלקוח, Shoprocket היא ספק השירות שלך לפי ה-CCPA; היא לא "תמכור" מידע אישי כזה ותשתמש בו רק כדי לספק את השירותים או כפי שמותר אחרת על פי דין. 6. **תוספים** - אתה רשאי לשלב תוספים של צד שלישי ("תוספים") לפי הסכמי רישיון למשתמש קצה (EULA) נפרדים עם כל מפרסם. Shoprocket מעבירה למפרסם התוסף את המידע האישי הנחוץ, אך אינה אחראית לעיבוד שלו. התוספים הנוכחיים המשווקים על ידי Shoprocket כוללים: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: מילוי הזמנות וסנכרון רב-ערוצי. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: אינטגרציות תשלום התומכות באמצעי תשלום ומטבעות שונים. - **Zapier**: אוטומציה של העברות נתונים וזרימות עבודה בין Shoprocket ליישומים אחרים. - אם יש בינך לבין Shoprocket SCCs, הוראתך לשלב תוספים היא הסכמה להעברת מידע אישי למפרסמי תוספים אלה אם ה-SCCs דורשים זאת. 7. **האחריות שלך** - אתה בקר הנתונים של כל מידע אישי שנאסף או מעובד על ידי Shoprocket מטעמך. - אתה אחראי לעמוד בדרישות ההודעה וההסכמה ולהבטיח ציות לחקיקת הגנת המידע. --- ## סוגי המידע האישי ומטרות העיבוד - **נושא העיבוד**: מידע אישי שאתה מעלה לשירותים, לרבות לחשבון Shoprocket או לחנות שלך. - **משך**: נקבע על ידיך (עד שתשעה או תסיים את מנוי Shoprocket שלך או את האינטגרציות הרלוונטיות). - **מטרה**: לספק את השירותים לפי הוראותיך (למשל הפעלת חנות/חשבון Shoprocket שלך). - **אופי העיבוד**: פלטפורמת המסחר האלקטרוני של Shoprocket (וכל מעבדי משנה/מפרסמי תוספים) עשויה לאחסן או לעבד מידע אישי. - **סוגי המידע האישי**: נתונים שאתה מעלה (למשל פרטי קשר, פרטי לקוחות, רישומי עסקאות). - **נושאי המידע**: אתה, הלקוחות שלך, עובדים, קבלנים, סוכנים, ספקים או נותני שירות שלך. --- ## אבטחת עיבוד הנתונים Shoprocket תקיים אמצעים טכניים וארגוניים הולמים להגנה על מידע אישי מפני עיבוד בלתי מורשה או בלתי חוקי, אובדן מקרי או הרס, בהתאם ל**סעיף 32** ל-GDPR של האיחוד האירופי/בריטניה. האמצעים כוללים (לפי העניין): - פסאודונימיזציה/הצפנה של נתונים; - הבטחת סודיות, שלמות, זמינות וחוסן של מערכות; - שחזור זמינות הנתונים בזמן סביר לאחר אירועים; - בדיקה, הערכה ואומדן סדירים של אמצעים אלה. ### עובדי Shoprocket - Shoprocket מבטיחה שעובדים, קבלנים וסוכנים המטפלים במידע אישי עוברים הכשרה, מחויבים לסודיות ומודעים היטב לחובות הגנת המידע שלהם. ### אבטחה (חזרה) - Shoprocket מעדכנת באופן שוטף אמצעי הגנה טכניים/ארגוניים למניעת עיבוד בלתי מורשה, לרבות הצפנה, חוסן מערכות, יכולת שחזור ובדיקת יעילות. --- ## הפרת מידע אישי 1. **הודעה** - Shoprocket תודיע לך בתוך **72 שעות** (וללא עיכוב שאינו סביר) אם תהפוך מודעת ל: 1. אובדן/נזק למידע אישי; 2. כל עיבוד מקרי, בלתי מורשה או בלתי חוקי; 3. הפרת מידע אישי. 2. **מידע** - Shoprocket תספק תיאור של האירוע, קטגוריות הנתונים המושפעות ומספרם, והאמצעים שננקטו או שהוצעו להקלת ההשפעה. 3. **שיתוף פעולה** - Shoprocket תתאם איתך את החקירה ולא תיידע צדדים שלישיים ללא הסכמתך בכתב, אלא אם הדין מחייב זאת. 4. **עלויות** - Shoprocket תישא בהוצאות סבירות בגין חובות אלה, אלא אם האירוע נובע מהוראותיך, מרשלנותך או מהפרה מצדך, ובמקרה כזה תישא אתה בהוצאות הסבירות של Shoprocket (לרבות יועצים מקצועיים). --- ## מעבדי משנה Shoprocket משתמשת כיום ב**מעבדי המשנה** הבאים לאירוח/עיבוד נתונים, שירותי תשתית/רשת או פונקציות שירות אחרות: | **שם** | **תיאור** | **מיקום** | | --- | --- | --- | | **200OK LLC (Profitwell)** | דיווח וניתוח של מנויים. | MA, ארה"ב | | **Amazon Web Services EMEA SARL** | אירוח בענן, מחשוב ואחסון. | לוקסמבורג, האיחוד האירופי | | **Automattic, Inc. (Gravatar)** | מאפשרת למשתמשים להעלות תמונות פרופיל לחשבונות Shoprocket. | CA, ארה"ב | | **Cloudflare, Inc.** | אבטחת רשת וקישוריות. | CA, ארה"ב | | **Crisp IM SAS** | אפליקציית צ'אט חי ומסרים ללקוחות לתמיכה במשתמשים. | צרפת, האיחוד האירופי | | **Facebook Technologies Ireland** | Facebook Pixels להמרות, אופטימיזציית מודעות ובניית קהלים. | אירלנד, האיחוד האירופי | | **Google Ireland Limited** | Google Analytics (ניתוח התנהגות), Adwords (מיקום מודעות/מונטיזציה). | אירלנד, האיחוד האירופי | | **GmbH** | אירוח בענן, מחשוב ואחסון. | גרמניה, האיחוד האירופי | | **TPS Unlimited, Inc. (Taxjar)** | אוטומציה של מס עבור VAT באיחוד האירופי ומס מכירות בארה"ב בחנויות Shoprocket. | CA, ארה"ב | | **Twilio, Inc. (Sendgrid)** | מסרים רב-ערוציים (אימייל, SMS, WhatsApp). | אירלנד, האיחוד האירופי | | **Twitter, Inc.** | Twitter Pixel למעקב המרות ולמדדי ביצועי מודעות. | CA, ארה"ב | אתה מאשר ל-Shoprocket להשתמש במעבדי המשנה שלעיל ונותן אישור כללי ל-Shoprocket להוסיף אחרים ("מעבדי משנה מורשים"). Shoprocket תמסור הודעה של **30 יום** לפחות (באתר, באימייל או בהודעה בחשבון) לפני השימוש במעבד משנה חדש. אתה רשאי להתנגד בתוך **10 ימים** ממועד ההודעה, בכתב, מטעמים סבירים של הגנת מידע. אם מעורב מעבד משנה חיוני ולא נמצאה חלופה בתוך **90 יום**, אתה רשאי להפסיק או לסיים את השירותים הרלוונטיים (תוך תשלום כל דמים שנגבים). אם לא תתנגד בתוך 10 ימים, מעבד המשנה החדש ייחשב כמאושר. כאשר Shoprocket מעסיקה מעבד משנה, היא: - מגבילה את הגישה רק למה שנחוץ לאספקת השירותים או לשיפורם; - מטילה עליו את אותן חובות הגנת מידע; - נשארת אחראית לציות שלו. אם חלים SCCs, האישור שלך נחשב להסכמה מראש בכתב לפי סעיף 9(ג) או הסעיפים הרלוונטיים ב-UK SCCs. Shoprocket רשאית למחוק פרטים מסחריים לא חיוניים לפני שתשתף איתך חוזי מעבדי משנה. --- ## העברות של מידע אישי Shoprocket רשאית להעביר מידע אישי אל מחוץ ל-EEA, לבריטניה או לשווייץ כדי לספק את השירותים (למשל כמה מפרסמי תוספים/מעבדי משנה בארה"ב). כאשר לא חלה החלטת התאמה, Shoprocket תבטיח אמצעי הגנה הולמים בהתאם לחקיקת הגנת המידע. - **העברות מחוץ ל-EEA**: חלים עליהן ה-EU SCCs (מודול ראשון כש-Shoprocket היא בקר, מודול שני כש-Shoprocket היא מעבד). סעיפים מסוימים (למשל ההצטרפות לפי סעיף 7) אינם חלים; סכסוכים כפופים לדין ולבתי המשפט של אירלנד. - **העברות מחוץ לבריטניה**: חל עליהן נספח ה-IDTA. - **העברות משווייץ**: בדומה ל-EU SCCs, עם התאמות ל-FADP השווייצי. - **אמצעים משלימים**: - נכון לתאריך נספח זה לא קיימות בקשות רשמיות של ממשלות לגישה לנתונים. - אם Shoprocket תידרש לחשוף את הנתונים שלך, היא תודיע לך (אלא אם הדבר אסור) ותסייע לך לבקש אמצעי הגנה. - Shoprocket ואתה תדונו באופן סדיר אם הדינים במדינת היעד מעניקים הגנה שוות ערך או מחייבים אמצעים נוספים. - אם מנגנון העברה כלשהו חדל להיות תקף או שרשות פיקוח משעה אותו, Shoprocket רשאית ליישם הסדרים חלופיים או להשעות העברות. כאשר אתה מאשר מעבד משנה/תוסף מחוץ ל-EEA, אתה מאשר גם ל-Shoprocket לחתום על SCCs בשמך. --- ## תלונות, בקשות של נושאי מידע וזכויות צדדים שלישיים Shoprocket תספק לך בהקדם כל מידע או סיוע שתזדקק להם כדי: 1. לממש את זכויות נושאי המידע (גישה, תיקון, מחיקה, ניידות, התנגדות וכו'). 2. לטפל בהודעות מידע/הערכה מצד רגולטורים או לציית להן. Shoprocket תודיע לך מיד אם תקבל תלונות או פניות בנוגע לעיבוד, ובתוך **14 יום** אם תקבל בקשה של נושא מידע. Shoprocket תסייע במענה, ולא תחשוף מידע אישי לצדדים שלישיים אלא אם הדין או הוראותיך מחייבים זאת. --- ## תקופה וסיום נספח זה נשאר בתוקף כל עוד ההסכם בתוקף, או כל עוד Shoprocket שומרת מידע אישי הקשור אליו. הוראות שחייבות לשרוד לצורך הגנת מידע נשארות בתוקף. כל הפרה יסודית של DPA זה היא הפרה יסודית של ההסכם, המזכה אותך לסיים אותו מיידית ללא אחריות נוספת. אם שינויים בחקיקת הגנת המידע מונעים מצד למלא את חובותיו, הצדדים רשאים להשעות את העיבוד עד להשגת ציות. אם הדבר לא יוסדר בתוך **90 יום**, כל צד רשאי לסיים בהודעה ובתוקף מיידי. --- ## החזרה והשמדה של נתונים - **לפי בקשה**, Shoprocket תספק לך (או לצד שלישי שמינית בכתב) עותקים של המידע האישי או גישה אליו בפורמט שתציין (כשהדבר סביר). - **בעת סיום**, Shoprocket תחזיר או תמחק מידע אישי אלא אם המשך האחסון נדרש על פי דין. אם המחיקה אינה מעשית או אינה חוקית, Shoprocket תחסום המשך עיבוד ותמשיך להגן על הנתונים. - **אישורי SCC**: אם חלים SCCs, Shoprocket תאשר מחיקה לפי סעיף 8.1(ד) ב-EU SCCs (או ב-UK SCCs) לפי בקשתך בכתב. - אם דין או תקנה כלשהם מחייבים את Shoprocket לשמור נתונים מסוימים, היא תודיע לך על הבסיס, על לוח הזמנים, ותמחק כשהדבר אינו נדרש עוד. - Shoprocket תאשר מחיקה בתוך **30 יום** לאחר השלמתה. --- ## רישומים Shoprocket מנהלת רישומים מפורטים, מדויקים ומעודכנים של כל עיבוד המידע האישי (למשל אמצעי אבטחה, מעבדי משנה, מטרות עיבוד, העברות בינלאומיות). רישומים אלה חייבים לאפשר לך לאמת את הציות של Shoprocket. עותקים יסופקו לפי בקשה. --- ## התחייבויות Shoprocket מתחייבת כי: 1. העובדים, קבלני המשנה או הסוכנים שלה בעלי גישה למידע אישי אמינים, ראויים לאמון ומוכשרים כראוי. 2. היא תעבד מידע אישי בציות מלא לחקיקת הגנת המידע ולדינים הקשורים. 3. אין לה סיבה להאמין שהדין מונע אספקת השירותים המוסכמים. 4. בהתחשב בטכנולוגיה ובעלויות, היא תנקוט אמצעים הולמים למניעת עיבוד בלתי מורשה או נזק/אובדן מקרי, תוך הבטחת אבטחה המתאימה לסיכון ולרגישות הנתונים. --- ## ביצוע ושינויים בחתימה על ההסכם אתה מסכים לנספח זה ומחויב לו. Shoprocket רשאית לעדכן נספח זה בהודעה בכתב של **30 יום** אם הדבר נחוץ מטעמים משפטיים או רגולטוריים. אם תתנגד ולא יושג פתרון הדדי, אתה רשאי לסיים את השירותים המושפעים בהודעה בכתב בתוך אותה תקופה (תוך תשלום דמים שנצברו). לא ינבעו תביעות נוספות מסיום כזה. ## נספח א' **תקני האבטחה של Shoprocket** (מונחים באותיות רישיות שאינם מוגדרים כאן יפורשו כפי שהוגדרו בנספח.) נספח זה מתאר את האמצעים הטכניים והארגוניים של Shoprocket כדי: 1. להגן על מידע אישי מפני אובדן, גישה או חשיפה מקריים או בלתי חוקיים; 2. לזהות סיכוני אבטחה צפויים ולמנוע גישה בלתי מורשית לשירותים (לרבות לחשבון Shoprocket שלך); 3. למזער סיכוני אבטחה באמצעות הערכת סיכונים ובדיקות. Shoprocket ממנה עובד אחד או יותר לפקח על נהלי אבטחת מידע אלה ולהשיב על פניות הקשורות אליהם. --- ## 1. מודל אחריות משותפת Shoprocket היא יישום **מבוסס ענן, SaaS** המתארח אצל: - **Amazon Web Services (AWS)** באזור eu-west-1 (אירלנד) - **Hetzner Online** בפלקנשטיין, גרמניה **AWS** מפעילה את פלטפורמת Shoprocket הראשית, את התשתית ואת אירוח הנתונים. **Hetzner Online** מספקת שטח שרתים ייעודי נוסף לתמונות, להורדות דיגיטליות, ליומנים ולחשבוניות. לפי מודל זה: - **Shoprocket** מנהלת את האבטחה ברמת היישום (למשל גישת משתמשים, עדכוני יישום). - **AWS / Hetzner** מנהלות את האבטחה הפיזית ואת סביבת הענן הבסיסית. לפרטים נוספים על האבטחה של AWS ושל Hetzner, ראה את התיעוד שלהן. --- ## 2. שרתי AWS ו-Hetzner Online ### AWS Shoprocket בחרה ב-AWS לאחר בחינה קפדנית לפי סעיפים 28(3)(ג) ו-32 ל-GDPR של בריטניה. AWS מוסמכת לפי תקנים רבים (למשל SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) ומספקת תיעוד ציות נרחב. Shoprocket מגדירה את AWS לאחסן מידע אישי רק באיחוד האירופי/EEA. ### Hetzner Online Hetzner Online, המוסמכת לפי DIN ISO/IEC 27001, מספקת שטח שרתים ייעודי לגיבויים ויומנים מסוימים. מרכזי הנתונים של Hetzner Online בנירנברג ובפלקנשטיין נבדקים ומוסמכים על ידי צדדים שלישיים ומיישמים מערכת לניהול אבטחת מידע (ISMS). --- ## 3. תכנון, שלמות וזמינות של יישום Shoprocket - **ארכיטקטורה**: יישום Shoprocket נבנה בעזרת מסגרת JavaScript ונשען על Amazon Relational Database Service (Amazon RDS) עבור MySQL. - **ביצועים גבוהים ויתירות**: AWS מטפלת אוטומטית באיזון עומסים, ו-Shoprocket מקיימת גיבויים יומיים ב-Amazon S3. הגיבויים נשמרים באזורי AWS שונים לצורך חוסן. בנוסף, גיבויים נשמרים בשרתים הייעודיים של Hetzner Online (עם מערכות דיסק RAID-1). - **אבטחה כחלק מהתכנון**: Shoprocket בודקת באופן סדיר פגיעויות אינטרנט ידועות (למשל OWASP Top Ten) ומיישמת הגנת XSS וסניטציה. גורם צד שלישי מומחה בודק מדי שנה את הקוד והתשתית לאיתור פגיעויות, בתוספת שירות סריקת פגיעויות של צד שלישי. --- ## 4. הצפנה - **במנוחה**: מידע אישי ב-AWS/Hetzner מוצפן באמצעות **AES-256** או חזק ממנו. - **ניהול מפתחות**: AWS Key Management Service (KMS) מבטיח שאיש (כולל צוות AWS) אינו יכול לגשת למפתחות בטקסט גלוי; המפתחות מתחלפים מדי שנה. Hetzner מיישמת הצפנת דיסק מלאה ב-AES-256 וכן אימות חובה. - **במעבר**: כל העברות הנתונים החיצוניות משתמשות ב-**TLS 1.2+**. ממשקי API וממשקי אינטרנט דורשים HTTPS (אין חיבורים לא מוצפנים). --- ## 5. הגבלת מיקומי השרתים ל-EEA/האיחוד האירופי Shoprocket מאחסנת נתונים **אך ורק ב-EEA** (AWS באירלנד, Hetzner בגרמניה), ובכך ממזערת סיכונים הקשורים להעברות נתונים אל מחוץ ל-EEA (למשל ציות להחלטת Schrems II). --- ## 6. אזורי זמינות מערכות הצד הקדמי והצד האחורי של Shoprocket **מופצות ביתירות** על פני כמה אזורי זמינות (הן ב-AWS והן ב-Hetzner). בכל אזור יש כמה ספקי אינטרנט, מקורות חשמל וקישורים מהירים, המבטיחים זמינות גבוהה וביצועים מיטביים. --- ## 7. איתור חדירות Shoprocket משתמשת ב**מערכת לאיתור חדירות (IDS)** כדי לנטר: - קובצי יומן לאיתור רשומות חריגות, - שינויים בשלמות קבצים, - תעבורת רשת (spoofing, ניצולים ידועים, rootkits), - שינויים ביציאות (ports), ו- - אירועי חשבון AWS (למשל שינויים בתצורה). חריגות קריטיות מפעילות אמצעי מניעה אוטומטיים. ה-IDS תומך גם בדרישות PCI DSS 3.0. --- ## 8. רישום / נתיב ביקורת Shoprocket מתעדת: - אירועי מערכת, - שגיאות, - פעילות משתמשים, - התחברויות ובקשות למסד הנתונים, - אירועים אחרים הקשורים לאבטחה. באמצעות **AWS CloudTrail**, Shoprocket מתעדת את כל האירועים בסביבות הענן שלה לצורכי שקיפות וחקירה משפטית. --- ## 9. ניטור Shoprocket משתמשת בכמה **כלי ניטור** כדי להבטיח זמינות וביצועים, ועוקבת אחר: - **זמינות**: נגישות היישום, בריאות הצד האחורי/המערכת; - **משאבים**: מעבד (CPU), ממשקי רשת, ניצול אחסון; - **ביצועים**: זמני תגובה של היישום/מסד הנתונים; - **אבטחה**: מצב ה-IDS, עדכוני מערכת, יומני שגיאות/גישה. צוות Shoprocket עוקב גם אחר עדכוני אבטחה, דוחות פגיעויות ובלוגים רלוונטיים בנושא אבטחה (כמו OWASP). --- ## 10. ביקורות אבטחה ובדיקות חדירה Shoprocket מבצעת **בדיקות אבטחה פנימיות וחיצוניות** מעת לעת. ספקים חיצוניים בודקים פגיעויות, וביקורות פנימיות מעריכות את יעילות האמצעים הטכניים והארגוניים. --- ## 11. ניהול שינויים Shoprocket מקיימת **מאגרי קוד** עם ניהול גרסאות לשינויי קוד, עם סביבת staging המשקפת את הייצור. שינויים נבדקים לפני פריסה, תוך הבטחת עקיבות של זמן ותוכן. --- ## 12. בקרת גישה - **עקרון הצורך לדעת**: רק עובדים שתפקידם מחייב גישה למערכות מקבלים אותה. - **מערכות IAM**: בקרת הגישה משתמשת בניהול הזהויות של AWS/Hetzner. - **אבטחה**: מערכות הצד האחורי נגישות רק דרך חיבורים מאובטחים ומאומתים. מספר מצומצם מאוד של עובדים יכול לגשת ישירות לנתונים לצורכי אבחון; גישה כזו נרשמת ומנוטרת. ## נספח ב' **העברות חוצות גבולות** ## חלק 1 - העברות מחוץ ל-EEA 1. **נספח I.A של סעיפי החוזה הסטנדרטיים (SCCs)** - **מייצא הנתונים**: אתה (לפי ההסכם). - פרטי קשר: כמפורט בהסכם. - תפקיד: בקר נתונים. - **מודול ראשון**: מקבל הנתונים הוא בקר נתונים (עבור נתוני חשבון הלקוח ונתוני שימוש של הלקוח). - **מודול שני**: מקבל הנתונים הוא מעבד נתונים (עבור כל שאר המידע האישי). - חתימה/תאריך: בכניסה להסכם ול-DPA, מייצא הנתונים נחשב כמי שחתם על ה-SCCs החל מתאריך התחולה. - **מקבל הנתונים**: Shoprocket. - פרטי קשר: כמפורט בהסכם. - חתימה/תאריך: בכניסה להסכם ול-DPA, מקבל הנתונים נחשב כמי שחתם על ה-SCCs החל מתאריך התחולה. 2. **נספח I.B של ה-SCCs** - נושאי המידע: כמתואר בסעיף 4.6 לנספח. - קטגוריות המידע האישי: כמתואר בסעיף 4.5 לנספח. - לא מיועדות להעברה קטגוריות מיוחדות של מידע. - תדירות: באופן רציף למשך תקופת ההסכם. - אופי: ראה סעיף 4.4 לנספח. - מטרה: ראה סעיף 4.3 לנספח. - שמירה: למשך תקופת ההסכם, אלא אם נקבע אחרת. - העברות למעבדי משנה: נושא, אופי ומשך לפי סעיף 9 לנספח. 3. **נספח I.C של ה-SCCs** - רשות הפיקוח המוסמכת: כמפורט בסעיף 10(ה) לנספח. - **תקני האבטחה של Shoprocket (נספח א')** ממלאים את דרישות נספח II של ה-SCCs. 4. **סתירה** - אם תתעורר סתירה בין ה-SCCs לבין ה-DPA או ההסכם, ה-SCCs גוברים. --- ## חלק 2 - העברות מחוץ לבריטניה 1. **נספח ה-IDTA** חל על העברות מחוץ לבריטניה, בתוקף מיום **21 במרץ 2022**. 2. מונחים שאינם מוגדרים בהסכם או ב-DPA יפורשו כמשמעותם ב**חלק 2 של נספח 2** (סעיפי חובה). ### חלק 1: טבלאות ### טבלה 1 של נספח ה-IDTA 1. **טבלה 1** - **מייצא הנתונים**: אתה (לפי ההסכם). - פרטי קשר: כמפורט בהסכם. - חתימה/תאריך: בכניסה להסכם ולנספח, המייצא נחשב כמי שחתם על נספח ה-IDTA החל מתאריך התחולה. - **מקבל הנתונים**: Shoprocket. - פרטי קשר: כמפורט בהסכם. - חתימה/תאריך: בכניסה להסכם ול-DPA, המקבל נחשב כמי שחתם על נספח ה-IDTA החל מתאריך התחולה. ### טבלה 2 של נספח ה-IDTA 1. **טבלה 2** - **Approved EU SCCs**: הסעיפים/המודולים מתוך ה-Approved EU SCCs התקפים לנספח זה. - מודולים/סעיפים בשימוש: - מודול 1 ומודול 2, סעיף 7 וסעיף 11 (אפשרות) אינם חלים, סעיף 9א הוא אישור כללי עם תקופת הודעה של 30 יום (סעיף 9.2 לנספח). - אין שילוב של מידע אישי מהמקבל עם נתוני המייצא. ### טבלה 3 של נספח ה-IDTA 1. **נספח I.A** - **מייצא הנתונים**: אתה (בקר). - **מקבל הנתונים**: Shoprocket (בקר עבור נתוני חשבון/שימוש של הלקוח; מעבד עבור מידע אישי אחר). - חתימה/תאריך: נחשבים כחתומים עם הכניסה להסכם ול-DPA. 2. **נספח I.B** - נושאי המידע, קטגוריות הנתונים, היעדר קטגוריות מיוחדות של מידע, העברות רציפות, אופי/מטרת העיבוד והשמירה תואמים לסעיפים 4.4, 4.3, 4.5, 4.6 לנספח. - מידע על מעבדי משנה לפי סעיף 9 לנספח. - נספח III (רשימת מעבדי משנה) אינו חל, שכן Shoprocket משתמשת באישור כללי. ### טבלה 4 של נספח ה-IDTA 1. המקבל רשאי לסיים את נספח ה-IDTA לפי סעיף 26 לנספח ה-IDTA. ### חלק 2: סעיפי חובה 1. כל צד מחויב לתנאי נספח ה-IDTA תמורת הסכמת הצד האחר, ובכך מאפשר לנושאי מידע לאכוף זכויות כמפורט. 2. הכניסה לנספח ה-IDTA שקולה לחתימה על ה-Approved EU SCCs (לרבות כל חתימה נדרשת לפי נספח 1א/סעיף 7). ### פרשנות 1. למונחים מתוך ה-Approved EU SCCs יש כאן אותה משמעות; מונחים רלוונטיים נוספים (למשל "Addendum EU SCCs", "Approved Addendum", "UK Data Protection Laws") מוגדרים בתוך נספח ה-IDTA. 2. נספח IDTA זה חייב להתפרש בהתאם ל-UK Data Protection Laws ולעמוד ב"אמצעי הגנה הולמים" (Appropriate Safeguards). 3. כל תיקון ל-Approved EU SCCs שאינו מותר על פיהם או לפי ה-Approved Addendum בטל. הוראות סותרות יחזרו לתנאי ה-SCCs ללא תיקון. 4. אם יש סתירה עם UK Data Protection Laws, האחרונים יחולו. 5. כל עמימות תיפתר באופן המתיישב בצורה הטובה ביותר עם UK Data Protection Laws. 6. הפניות לחקיקה כוללות כל גרסה מתוקנת או מאוחדת שלה. ### היררכיה 1. סעיף 5 ל-Approved EU SCCs קובע שהם גוברים על הסכמים אחרים, אך להעברות מוגבלות (Restricted Transfers) חלה ההיררכיה שבסעיף 17 להלן. 2. אם הם אינם עקביים או סותרים את ה-Approved EU SCCs, ה-Approved Addendum גובר, אלא אם ה-SCCs מעניקים **הגנה רבה יותר** לנושאי המידע, ובמקרה כזה תנאי ה-SCCs גוברים. 3. אין באמור כאן כדי להשפיע על כל SCCs שהצדדים משתמשים בהם לציות ל-GDPR של האיחוד האירופי. ### שילוב ושינויים ב-EU SCCs 1. נספח ה-IDTA משלב את ה-Approved EU SCCs עם התאמות נחוצות כדי שיפעלו להעברות הקשורות לבריטניה, גובר על ההיררכיה שבסעיף 5, ומבטיח שיהיו כפופים ל**דין ולבתי המשפט האנגליים** (אלא אם נבחר אחרת עבור סקוטלנד או צפון אירלנד). 2. אם לא הוסכמה חלופה ספציפית, חל סעיף 22. 3. אין לתקן את ה-Approved EU SCCs מעבר למה שנחוץ בסעיף 19. 4. **התיקונים** ל-Addendum EU SCCs כוללים הבהרות לגבי הפניות ל-UK Data Protection Laws, החלפת הפניות לתקנה (EU) 2016/679 ב-"UK Data Protection Laws", הסרת הפניות לתקנה (EU) 2018/1725, התאמת סעיף 17/18 לדין ולבתי המשפט האנגליים וכו'. הערות שוליים אינן חלק מה-IDTA, מלבד הערות שוליים 8, 9, 10, 11. ### תיקונים לנספח IDTA זה 1. הצדדים רשאים לשנות את סעיפים 17 או 18 כך שיפנו לבתי משפט בסקוטלנד או בצפון אירלנד. 2. הצדדים רשאים גם להתאים את עיצוב הטבלאות בהסכמה הדדית בכתב, תוך הבטחה שרמת ההגנה נשארת זהה. 3. ה-ICO רשאי להוציא מעת לעת Approved Addendum מתוקן, המתקן אוטומטית את נספח ה-IDTA מתאריך תחולתו, ועשוי לדרוש בחינה מחדש מצד הצדדים. 4. אם שינויי ה-ICO מגדילים באופן ממשי ובלתי מידתי את עלויות הצד או את הסיכון שלו, ואין אפשרות סבירה להפחית עלויות או סיכונים אלה, אותו צד רשאי לסיים את ה-IDTA בהודעה סבירה לצד האחר לפני כניסת ה-Addendum המתוקן לתוקף. 5. אין צורך בהסכמת צד שלישי לשינויים, אך השינויים חייבים לעמוד בתנאי נספח ה-IDTA. --- - HTML version: https://v3.shoprocket.io/he/gdpr - Language: עברית (he) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)