הסכם עיבוד מידע (DPA) – דירה.נדלן

פתח דבר

הסכם זה נחתם בין:

• בעל המאגר (Controller / "הלקוח") — המשתמש הרשום בשירות, בעל הדירה / חברת הניהול שמזין מידע על שוכרים, נכסים וחוזים למערכת דירה.
• מעבד המידע (Processor / "החברה")— A.B.I.R Ltd / א.ב.י.ר מערכות מידע ותקשוב בע"מ, ספקית מערכת דירה.

מטרת ההסכם: להגדיר את התנאים שבהם החברה תעבד מידע אישי בשמך כבעל מאגר, בהתאם לחוק הגנת הפרטיות, התשמ"א-1981, תיקון 13 (אוגוסט 2025) ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017.

1. תפקידי הצדדים

• אתה (בעל הדירה) הוא בעל המאגר ביחס לכל המידע על השוכרים, הנכסים, החוזים והתשלומים שאתה מזין לשירות.
• החברה היא מחזיק מאגר / מעבד מידע בשמך, ופועלת בהתאם להוראותיך.
• החברה אינה משתמשת במידע למטרות עצמאיות מעבר לאספקת השירות (כולל: לא לפרסום, לא למכירה לצד ג', לא לאימון מודלי AI).

2. סוגי המידע ומטרות העיבוד

החברה תעבד את המידע הבא, רק לצורך אספקת השירות:

• פרטי בעל הדירה: שם, דוא"ל, טלפון, חשבון בנק (לחיוב), מקום מגורים.
• פרטי השוכרים: שם, דוא"ל, טלפון, תעודת זהות, היסטוריית תשלומים, מסמכים סרוקים.
• פרטי הנכסים: כתובת, פרטים פיזיים, היסטוריית שכירויות.
• תיעוד תקשורת: היסטוריית מיילים והודעות שנשלחו דרך השירות.

המידע יעובד אך ורק לצורך: ניהול הקשר בין בעל הדירה לשוכר, תזכורות תשלום, דוחות מס שנתיים, תיעוד חוזים, וניהול תפעולי שוטף.

3. אמצעי אבטחה (תקנות 2017)

החברה תיישם את אמצעי האבטחה הבאים, בהתאם לרמת אבטחה בינונית:

• הצפנת תעודות זהות במאגר באמצעות AES-256-GCM.
• תקשורת מוצפנת (TLS 1.2+) בכל ערוצי התקשורת.
• אחסון פיזי בישראל (שרתים פנימיים, לא בענן ציבורי) — למעט תת-מעבדים מוגדרים בסעיף 5.
• בקרת גישה: רק מנהלי המערכת מורשים לגשת ל-DB, עם 2FA וגישה דרך VPN.
• fail2ban + Firewall (UFW) להגנה מפני brute-force ותקיפות.
• קבצים מועלים נשמרים בהרשאות מוגבלות (0600) — נגישים רק למשתמש מורשה.
• Audit logs לפעולות מנהליות רגישות.
• סקרי אבטחה תקופתיים ועדכון תוכנה שוטף.

4. דיווח אירוע אבטחה

אם החברה תזהה אירוע אבטחה המסכן מידע שלך:

• תודיע לך תוך 72 שעות מרגע הזיהוי, בדוא"ל הרשום.
• תספק לך פרטים על: היקף האירוע, סוגי המידע שעלולים להיפגע, צעדים שננקטו, צעדים שאתה צריך לנקוט.
• תסייע לך לעמוד בחובות הדיווח שלך כבעל מאגר כלפי השוכרים שלך.
• תדווח לרשות להגנת הפרטיות, ככל שנדרש.

5. תת-מעבדי מידע (Sub-Processors)

לצורך אספקת השירות, החברה משתמשת בתת-מעבדים. רשימת תת-המעבדים מפורסמת בסעיף 13א של מדיניות הפרטיות.

בקבלת הסכם זה אתה:

• מאשר את השימוש בתת-המעבדים הקיימים;
• מסכים שהחברה רשאית להוסיף או להחליף תת-מעבדים, בכפוף להודעה מוקדמת של 30 יום לפחות;
• זכאי להתנגד לשימוש בתת-מעבד חדש; אם תתנגד והחברה לא תוכל להחליפו — אתה רשאי לבטל את החשבון.

6. זכויות נושאי המידע (השוכרים שלך)

כבעל המאגר, אתה אחראי לטיפול בבקשות מנושאי המידע (השוכרים) — בקשת עיון, תיקון, מחיקה וכו'.

החברה תסייע לך לעמוד בחובות אלו:

• אם שוכר יפנה ישירות לחברה — נעביר אותו אליך, ונעדכן אותך.
• נספק לך כלים טכניים לייצוא, תיקון ומחיקת מידע על שוכרים, ב-30 יום מהבקשה לכל היותר.
• נתעד את כל הבקשות שטופלו (לוג audit).

7. תקופת ההתקשרות וסיומה

• הסכם זה תקף לכל תקופת השימוש בשירות.
• בסיום ההתקשרות (ביטול מנוי / מחיקת חשבון), אנו נשמר את המידע ל-30 יום נוספים לצורך התאוששות אפשרית.
• לאחר 30 יום, המידע יימחק או יוחזר אליך לפי בחירתך.
• חריג: נתונים שאנו מחויבים לשמור על פי חוק (חשבוניות מסים — 7 שנים) יישארו אצלנו עד תום תקופת השמירה החוקית.

8. העברת מידע מחוץ לישראל

חלק מתת-המעבדים שלנו (Google, Microsoft) פועלים בארה"ב והאיחוד האירופי. ישראל מוכרת על-ידי האיחוד האירופי כמדינת Adequacy, כך שהעברת מידע ל-EU מותרת ללא הסכם נוסף. העברה לארה"ב מתבצעת באמצעות אישורים ארגוניים ועמידה בהוראות תקנות הגנת הפרטיות (העברת מידע למאגר מחוץ לגבולות המדינה), התשס"א-2001.

9. ביקורות ובדיקות תאימות

• אתה רשאי לבקש פעם בשנה דוח תאימות הכולל את אמצעי האבטחה המופעלים בשירות.
• אם תרצה לבצע ביקורת עצמאית, נשתף פעולה במידה סבירה (בכפוף ל-30 יום הודעה מוקדמת ולעלויות סבירות).

10. ברירת דין

על הסכם זה יחול דין מדינת ישראל. סמכות שיפוט בלעדית — תל-אביב-יפו.

11. יצירת קשר בנושא הגנת פרטיות

ממונה הגנת הפרטיות בחברה (בשלב זה: בעל החברה עצמו):

• דוא"ל: mybs.abir@gmail.com
• החברה תמנה ממונה הגנת פרטיות עצמאי ככל שהדבר יתחייב לפי תיקון 13.

קבלה

בעת הרשמתך לשירות ובכל גישה לפיו, אתה מאשר שקראת והבנת את הסכם עיבוד המידע הזה, ומסכים לו. הסכם זה תקף מהרגע שבו אישרת את תנאי השימוש ועד למחיקת החשבון בפועל.