הסכם עיבוד נתונים (DPA)
הסכם זה הוא חלק מתנאי השימוש וחל על כל ארגון ("בעל השליטה") שמשתמש בבמה ("המעבד") לעיבוד נתונים אישיים של צופיו וחברי צוותו. הוא מנוסח לפי סעיף 28 ל-GDPR ולפי תקנות הגנת הפרטיות (אבטחת מידע) בישראל.
1. נושא ומשך
העיבוד: אחסון ועיבוד של רשימות צופים, קודי צפייה, סשני צפייה, הקלטות ויומן ביקורת לצורך מתן שירות השידור. המשך: כל עוד הארגון פעיל, ובהתאם למדיניות השמירה במדיניות הפרטיות.
2. הוראות בעל השליטה
המעבד מעבד נתונים רק לפי הוראות הארגון כפי שהן מתבטאות בשימוש בקונסולה ובהסכם זה, ולא למטרות של עצמו, למעט מה שנדרש בחוק. אם הוראה מפרה חוק - המעבד יודיע.
3. סודיות
הגישה לנתונים מוגבלת למי שחייב אותה לצורך מתן השירות ומחויב בסודיות. גישה של צוות התמיכה של במה לארגון נרשמת ביומן הביקורת של הארגון לפני שהיא מתבצעת.
4. אבטחה (סעיף 32)
האמצעים המפורטים בסעיף 10 למדיניות הפרטיות: הצפנה במנוחה ובתעבורה, גיבוב סודות, הרשאות פר בקשה, בידוד דיירים בשכבת מסד הנתונים, יומן ביקורת בכתיבה בלבד, טוקנים קצרי-חיים, מגבלות קצב.
5. מעבדים משניים
בעל השליטה מאשר את המעבדים המשניים ברשימה המתפרסמת באתר (כיום: Google Cloud). על שינוי יימסר עדכון בעמוד זה לפחות 14 יום מראש; בעל השליטה רשאי להתנגד מטעם סביר.
6. סיוע בזכויות נושאי הנתונים
המעבד יסייע לבעל השליטה במענה לבקשות עיון, תיקון, מחיקה וניידות, בכלים בקונסולה (מחיקת צופים וקודים, ייצוא) ובמענה לפניות שיגיעו ישירות אלינו, תוך 30 יום.
7. אירועי אבטחה
המעבד יודיע לבעל השליטה על אירוע אבטחה שמשפיע על נתוניו ללא דיחוי בלתי סביר, עם המידע הדרוש לדיווח לרשויות ולנושאי הנתונים.
8. העברות בינלאומיות
הנתונים מאוחסנים בישראל (החלטת נאותות של האיחוד האירופי) ומעובדים גם באזורי Google Cloud באירופה, בכפוף לסעיפי החוזה הסטנדרטיים של Google Cloud.
9. ביקורת
בעל השליטה רשאי לקבל מידע סביר להוכחת עמידה בהסכם, כולל יומן הביקורת של הארגון עצמו (זמין בקונסולה ובייצוא PDF) ותיאור האמצעים הטכניים.
10. סיום
עם סיום השירות, ולפי בחירת בעל השליטה, המעבד ימחק או יחזיר את הנתונים - למעט יומן הביקורת, שנשמר לפי מדיניות הפרטיות כראיה, ולמעט מה שהחוק מחייב לשמור.