הסכם עיבוד נתונים

1. הצדדים וקבלת ההסכם

הסכם עיבוד נתונים זה (DPA) נערך בין SIMILIA LTD, שכתובתה הרשומה היא 71–75 Shelton Street, Covent Garden, London, United Kingdom, WC2H 9JQ (Similia), לבין המטפל, המרפאה או ארגון אחר המזוהים ברשומת הקבלה האלקטרונית (הלקוח).

האדם המקבל את ההסכם מאשר כי הוא מוסמך לחייב את הלקוח. כאשר מטפל פועל באופן אישי ולא באמצעות ישות נפרדת, הלקוח הוא אותו מטפל. רשומת הקבלה מזהה את הלקוח, את הנציג, את החשבון המאומת, את גרסת ה-DPA והנספחים שהתקבלו, ואת מועד הקבלה. Similia מספקת עותק של רשומה זו ושל המסמכים המוסכמים.

כאשר הלקוח מקבל את הצעתה של Similia ל-DPA זה באמצעות תהליך הפעלת נתוני המטופלים, שני הצדדים מחויבים לו. DPA זה הופך לחלק מהסכם השירות וחל על העיבוד המתואר להלן. אין צורך לקבלו מחדש עבור כל מטופל או מקרה. הקבלה חלה על השימוש של הלקוח הנקוב באמצעות החשבון המזוהה ברשומה. היא אינה חלה באופן אוטומטי על בעלי חשבון אחרים. לקוח אחר נדרש להסכם משלו.

2. היקף ותפקידים

“נתוני המטופלים של הלקוח” פירושם מידע אישי שנמסר על ידי הלקוח או מטעמו בנוגע למטופלים ולאנשים המוזכרים ברשומותיהם, יחד עם מידע המאפשר זיהוי שנגזר ממנו. מידע זה כולל הערות רפואיות, תסמינים, היסטוריות, פרטי קשר, תצלומים, הקלטות, תמלילים ותוצאות ניתוח. מידע המקושר למטופל באמצעות קוד או מידע אחר הזמין באופן סביר ממשיך להיות כפוף להסכם זה.

הלקוח קובע את מטרותיו של עיבוד זה ופועל כבעל השליטה. סימיליה מעבדת את נתוני המטופלים של הלקוח בשם הלקוח כמעבדת נתונים. תיאור העיבוד מופיע בנספח A.

כאשר הלקוח עצמו פועל כמעבד נתונים עבור בעל שליטה אחר, DPA זה חל על סימיליה כמעבדת המשנה שלו. על הלקוח להיות מוסמך מטעם אותו בעל שליטה למנות את סימיליה ולספק את ההוראות וההרשאות המפורטות ב-DPA זה; התייחסויות לחובותיו של בעל השליטה חלות על הלקוח בהתאם להיקף אחריותו ולהוראות שהוסמך לתת.

העיבוד הנפרד שמבצעת סימיליה בנתוני חשבון, חיוב וניהול עסקי למטרותיה שלה מתואר במדיניות הפרטיות שלה. תפקיד זה אינו מתיר לסימיליה להשתמש בנתוני המטופלים של הלקוח למטרות עצמאיות. DPA זה אינו חל על עיון בחומרי עזר או על חומרי לימוד שהם בדיוניים לחלוטין או אנונימיים למעשה, אף שחובות הפרטיות הרגילות הנוגעות לחשבון ממשיכות לחול.

“דין הגנת המידע החל” פירושו דיני המידע האישי החלים על הצד ועל העיבוד הרלוונטיים, לרבות ה-GDPR של בריטניה, חוק הגנת המידע של בריטניה משנת 2018 וה-GDPR של האיחוד האירופי, ככל שהם חלים. השימוש ב-DPA משותף זה ברחבי העולם אינו מכפיף, כשלעצמו, כל לקוח ל-GDPR של האיחוד האירופי או של בריטניה.

3. הוראות ושימוש מותר

סימיליה תעבד את נתוני מטופלי הלקוח אך ורק בהתאם להוראות מתועדות של הלקוח, לרבות הוראות בדבר העברות. הסכם השירות, DPA זה, התכונות שנבחרו והפעולות המורשות במסגרת השירות מהווים הוראות אלה. ניתן להסכים בכתב על הוראות נוספות.

סימיליה תודיע ללקוח באופן מיידי אם, לדעתה, הוראה כלשהי מפרה את דיני הגנת המידע החלים בבריטניה, באיחוד האירופי או במדינה חברה, ותשהה את ביצוע ההוראה הנוגעת בדבר עד להסדרת העניין.

אם עיבוד החורג מהוראות אלה נדרש על פי הדין החל בבריטניה, באיחוד האירופי או במדינה חברה, סימיליה תודיע ללקוח לפני העיבוד, אלא אם דין זה אוסר על מתן הודעה מטעמים חשובים של אינטרס ציבורי. דרישות אחרות של רשויות ממשלתיות ייבחנו בהתאם לדין החל ולאמצעי ההגנה החלים על העברות; הן אינן יוצרות חריג כללי ל-DPA זה.

נתוני מטופלי הלקוח לא יימכרו, לא ישמשו לפרסום ולא ישמשו לאימון או לכוונון עדין של מודלי בינה מלאכותית. סימיליה לא תתיר למעבדי המשנה שלה להשתמש בהם למטרות אלה. עיבוד באמצעות בינה מלאכותית מוגבל לתכונה המורשית ולספקים, למטרות ולהסדרי השמירה המפורטים בנספח C. סעיף זה אינו מבטיח אפס שמירה אצל כל ספק.

4. אחריות הלקוח

הלקוח אחראי לאיסוף, לשימוש ולמסירה כדין של נתוני מטופלי הלקוח, למתן הודעות מתאימות למטופלים, למזעור נתונים ולגישה ולשיתוף מורשים. ככל שהדבר חל, עליו לזהות בסיס חוקי לפי סעיף 6 ותנאי לפי סעיף 9 עבור מידע בריאותי, ולעמוד בדרישות הרלוונטיות של סודיות ושל הדין הלאומי.

על הלקוח לקבל הסכמה כאשר היא נדרשת. קבלת DPA זה או הפעלת תכונת בינה מלאכותית אינן מהוות הסכמה מצד המטופל. בעת שימוש במידע על מטופלים של מרפאה או מוסד, סטודנטים חייבים לפעול במסגרת הסמכות שהוענקה להם על ידי המרפאה או המוסד האחראיים; חשבון סטודנט כשלעצמו אינו מעניק סמכות כזו.

תחומי אחריות אלה אינם גורעים מהתחייבויותיה המשפטיות או החוזיות של סימיליה עצמה.

5. סודיות ואבטחה

סימיליה תגביל את הגישה לאנשי צוות הזקוקים לה לצורך העיבוד המוסכם ואשר כפופים לחובות סודיות חוזיות או סטטוטוריות.

סימיליה תקיים אמצעים טכניים וארגוניים המתאימים לסיכונים, לרבות רגישותו של מידע בריאותי, כמפורט בנספח B. אמצעים אלה מתייחסים לבקרת גישה, הצפנה, חוסן והתאוששות, טיפול באירועים והערכה שוטפת של אמצעי ההגנה. שינויים מהותיים לא יפחיתו את רמת ההגנה המוסכמת.

6. מעבדי משנה

הלקוח מעניק הרשאה כללית בכתב למעבדי המשנה המתוארים בנספח ג׳, בכפוף לדרישות הגילוי החלות בו, לבצע את העיבוד המפורט. Similia תמסור הודעה בכתב לפחות 30 ימים מראש על הוספה או החלפה מוצעת, בצירוף מידע מספיק להערכת השפעתה.

הלקוח רשאי להתנגד במהלך תקופה זו מטעמים סבירים הנוגעים להגנת מידע. הצדדים יפעלו למציאת חלופה או אמצעי הגנה מתאימים. מעבד המשנה המוצע לא יקבל את נתוניו של אותו לקוח כל עוד התנגדותו, שהוגשה במועד, לא הוכרעה. אם לא ניתן למצוא פתרון, כל אחד מהצדדים רשאי להפסיק את התכונה או השירות המושפעים; הלקוח רשאי לקבל בחזרה את נתוניו ולקבל החזר יחסי של עמלות ששולמו מראש ולא נוצלו עבור השירות שהופסק.

Similia תטיל על כל מעבד משנה חובות רלוונטיות ושוות ערך להגנת מידע באמצעות חוזה מחייב, ותישאר אחראית כלפי הלקוח לביצועיו של מעבד המשנה שלה. ניתוב בינה מלאכותית אינו מעניק הרשאה גורפת לספקים בהמשך השרשרת שלא נחשפו.

7. עיבוד בינלאומי

Similia תחשוף את מדינות העיבוד והגישה הרלוונטיות ואת הסדרי ההעברה החלים בהתאם לנספח ג׳, לפני תחילת העיבוד המושפע. לפני ביצוע העברה המחייבת אמצעי הגנה, הצד האחראי יעמיד את המנגנון הנדרש ואת כל ההערכות ואמצעי ההגנה המשלימים הנחוצים. Similia תישאר אחראית להעברות שהיא יוזמת אל מעבדי המשנה שלה.

כאשר הדבר רלוונטי, אמצעי ההגנה עשויים לכלול החלטת נאותות תקפה, סעיפים חוזיים אחידים של האיחוד האירופי להעברת מידע שמולאו כנדרש, או כלי בריטי מתאים להעברה בין-לאומית. עליהם לחול על ההעברה והצדדים בפועל; DPA זה לבדו אינו משלים סעיפי העברה חסרים. יש להביא בחשבון גם גישה מרחוק ממדינה אחרת.

8. סיוע ואירועים

בהתחשב באופי העיבוד, Similia תספק סיוע מתאים כדי שהלקוח יוכל להשיב לבקשות לגישה, תיקון, מחיקה, הגבלה, ניידות ולמימוש זכויות פרט אחרות החלות. Similia תעביר ללקוח, ללא דיחוי מיותר, בקשות של מטופלים הנוגעות לנתוני המטופלים של הלקוח, ולא תכריע בהן או תמלא אותן באופן עצמאי, אלא בהתאם להוראה או כאשר הדבר נדרש על פי דין.

בהתחשב במידע העומד לרשותה, Similia תסייע בקיום חובות אבטחה, בהערכת הפרות ובדיווח עליהן, בביצוע הערכות השפעה על הגנת מידע ובהתייעצות מוקדמת נדרשת עם רשויות פיקוח.

Similia תודיע ללקוח ללא דיחוי מיותר לאחר שנודע לה על הפרה של מידע אישי המשפיעה על נתוני המטופלים של הלקוח. ההודעה הראשונית לא תעוכב עד להשלמת חקירה מלאה. המידע הזמין יכלול את אופי האירוע, הנתונים והאנשים שהושפעו, ההשלכות הסבירות, אמצעי התגובה ונקודת קשר; מידע נוסף יימסר ככל שיהיה זמין. הלקוח יישאר אחראי להחלטותיו ולמועדים החלים עליו בנוגע לדיווח, מבלי לגרוע מחובותיה הישירות של Similia.

הודעות ללקוח יישלחו לאיש הקשר לענייני פרטיות המופיע ברשומת הקבלה, או למחליף שעליו נמסרה הודעה בכתב. יש לשלוח בקשות הנוגעות להגנת מידע, דיווחים על אירועים והודעות ל-Similia אל info@similia.io. Similia תנטר כתובת קשר זו ותעביר בקשות לאנשי הצוות האחראים.

9. השבה, מחיקה ומשך ההסכם

ה-DPA ימשיך לחול כל עוד Similia מעבדת נתוני מטופלים של הלקוח עבור הלקוח, לרבות עותקים שיוריים מוגנים לאחר סיום השירות.

בתום שירותי העיבוד הרלוונטיים, הלקוח רשאי לבחור בהחזרת נתוני המטופלים של הלקוח ולאחריה מחיקתם, או במחיקתם. Similia תמחק עותקים קיימים, אלא אם הדין החל בבריטניה, באיחוד האירופי או במדינה חברה מחייב את שמירתם. הייצוא, המחיקה והטיפול בעותקים שיוריים יתבצעו בהתאם לנספח ב׳.

עותקים שיוריים יישארו מוגנים, לא יהיו זמינים לשימוש שוטף בשירות ויימחקו במחזור המחיקה המתוזמן הבא החל עליהם. אם גיבוי משוחזר לצורכי התאוששות, הוראות מחיקה שכבר הושלמו יוחלו מחדש לפני שהנתונים המשוחזרים יחזרו לשימוש שוטף. Similia תספק אישור השלמה לפי בקשה.

מידע על מטופלים לא יישמר מכוח חריג כללי של שיפור השירות, תוכן משותף או הסרת זיהוי. כל מטרת עיבוד אחרת מחייבת בסיס משפטי וחוזי תקף משלה.

10. אחריותיות, ביקורות ושינויים

Similia תספק את המידע הנחוץ להוכחת עמידתה בחובותיה כמעבדת מידע, ותאפשר ביקורות של הלקוח ותתרום להן, לרבות בדיקות בידי מבקר עצמאי מורשה. ניתן להשתמש תחילה בדוחות רלוונטיים ובראיות מרחוק כאשר הם מספיקים; אין בכך כדי לשלול את הזכות לבדיקה כאשר היא נחוצה. הסדרים סבירים חייבים להגן על נתוניהם של לקוחות אחרים ועל אבטחת השירות, מבלי להפריע לפיקוח יעיל או לפעולת רשויות הפיקוח.

אם קיימת סתירה בין DPA זה לבין התנאים הכלליים בנוגע לנתוני המטופלים של הלקוח, DPA זה יגבר. סעיפי העברה מחייבים החלים על פי דין יגברו על הוראות שאינן עולות עמם בקנה אחד. אין באמור כדי להגביל אחריות מכוח חוק או זכויות של יחידים.

שינויים ב-DPA זה מחייבים הודעה ישירה ומנגנון הסכמה תקף לפני כניסתם לתוקף. החלפת העמוד שפורסם בלבד אינה מספיקה. שינויים במעבדי משנה יתבצעו בהתאם לסעיף 6. על DPA זה יחולו דיני אנגליה וויילס, ולבתי המשפט שלהן תהיה סמכות שיפוט, בכפוף לדיני הגנת מידע מחייבים, לזכויות יחידים מכוח חוק ולדרישות סעיפי ההעברה. גרסת השפה שהתקבלה ונספחיה יישמרו ברשומת הקבלה.

נספח A — תיאור העיבוד

נספח ב׳ — אבטחה ושמירה

Similia תיישם ותקיים את האמצעים הבאים בנוגע לנתוני המטופלים של הלקוח. חובות אלה חלות על המערכות של Similia עצמה וכן, באמצעות בקרות חוזיות וטכניות מתאימות, על השירותים שהיא ממנה.

רשומות פעילות והחזרה. הרשומות יישארו זמינות כל עוד הלקוח משתמש בשירות, עד שהלקוח יורה על מחיקתן או עד לסיום העיבוד הרלוונטי. הלקוח יכול לייצא את נתוני החשבון בפורמט הזמין הקריא למכונה ולקבל בחזרה קבצים מצורפים שנשמרו. Similia תסייע בבקשת החזרה שכלי הייצוא אינם יכולים למלא. עם סיום השירות, Similia תספק הזדמנות סבירה לקבל את הנתונים לפני מחיקתם, אלא אם הלקוח הורה על מחיקה מיידית או שהדין מונע את החזרתם.

מחיקה. מחיקה מאומתת של רשומה או חשבון מורה ל-Similia להסיר את הנתונים המושפעים משימוש פעיל בשירות. Similia תשלים את המחיקה מהמערכות הפעילות ללא דיחוי מיותר ותעביר את ההוראה למעבדי המשנה הרלוונטיים. אובייקטים שנמחקו מ-Google Cloud Storage עשויים להישאר באחסון מוגבל של מחיקה רכה למשך עד שבעה ימים. תקופה זו נוגעת לאובייקטים אלה ואינה מתארת את תקופת השמירה של כל מערכת.

עותקים שיוריים. גיבויים, עותקים להתאוששות מאסון ורשומות אבטחה של ספקים שלא ניתן למחוק באופן בררני ומיידי חייבים לצאת מכלל שימוש שוטף, להישאר מוגנים ולהימחק בהקדם האפשרי במחזור המחיקה הבא החל עליהם. Similia תתעד כל תקופת שמירה חלה, תעמיד את פרטיה לרשות הלקוח ותוודא שכל עיכוב הוא נחוץ ומידתי. Similia תאשר את המחיקה לפי בקשה. כל שמירה הנדרשת על פי דין תוגבל לנתונים ולתקופה הנדרשים לפי דין, והסיבה תימסר, אלא אם הדבר אסור על פי דין.

אודיו, תמונות ובינה מלאכותית. ניתן להעביר רק את התוכן הנחוץ לתכונה שנבחרה. אודיו של פרובינג שהוקלט מראש הוא זמני ומוסר מהאחסון הפעיל לאחר התמלול; אובייקט האחסון שנמחק כפוף לטיפול המחיקה הרכה המתואר לעיל. תמלילים, תמונות ופלטי ניתוח שנשמרו כפופים להוראות הלקוח בנוגע לרשומה. שמירה אצל הספק לצורכי אבטחה או תפעול חייבת להיות מוגבלת, גלויה וכפופה לחובות החלות על מעבדי משנה; DPA זה אינו מתיר אימון או שימוש חוזר שאינו קשור למטרה, ואינו מבטיח אפס שמירה באופן גורף.

נספח ג׳ — ספקי שירות ועיבוד

הלקוח מעניק לסימיליה הרשאה כללית בכתב להתקשר עם שירותים במסגרת המפורטת להלן, בהתאם לסעיף 6. הרשאה זו אינה מתירה שרשרת עיבוד שלא נחשפה. לפני ששירות כלשהו יקבל נתוני מטופלים של הלקוח, סימיליה תמסור ללקוח את זהותו המשפטית של הגורם שעמו היא מתקשרת ואת פרטי הקשר שלו, את המטרה, את מדינות העיבוד והגישה, את הסדרי השמירה החלים ואת אמצעי ההגנה הנדרשים להעברה. סימיליה תשמור מידע זה לגבי שרשרת העיבוד, לרבות ספקי המשך, ותעמיד אותו לרשות הלקוח באופן נגיש. שינויים יבוצעו בהתאם לסעיף 6.

שימוש בתכונה אופציונלית מהווה הוראה לבצע את העיבוד הנדרש לצורך אספקת אותה תכונה. אין בכך משום הרשאה למטרות נוספות. סימיליה לא תשלח נתוני מטופלים של הלקוח לשירות אופציונלי של בינה מלאכותית או תמלול רק משום שהלקוח קיבל הסכם עיבוד נתונים זה.

אירוח, עיבוד באמצעות מודלים וגישה מורשית לצורכי תמיכה עשויים להיות כרוכים בהעברות בינלאומיות. המותג של ספק או מיקומו של מסד נתונים אינם קובעים היכן מתבצעת כל פעולת עיבוד. סימיליה חייבת לחשוף את המיקומים בפועל ואת עיבוד ההמשך ולהבטיח עבורם בסיס חוקי לפני ההעברה, כנדרש בסעיף 7.

איש הקשר של סימיליה לענייני הגנת מידע הוא info@similia.io. זהותו המשפטית של הלקוח, כתובתו, מדינתו, נציגו המורשה ואיש הקשר שלו לענייני פרטיות נרשמים בעת הקבלה. אין לכלול פרטי מטופלים ברישום זה.