Arbox Data Protection Addendum

Last Updated: November, 2025

English
עברית

General

This Data Protection Agreement (“Agreement”) is made in connection with the provision of Services by Arbox Ltd. (“Arbox”) acting as the data processor to the customer of the Services (“Customer”) acting as the data controllers in accordance with the License Agreement signed between the parties. The terms used in this Agreement shall have the meanings set forth in this Agreement. In consideration of the mutual obligations set out herein, the parties hereby agree that the terms and conditions set out below shall be added as an Agreement to any previous transaction between the parties, whether oral or written.


Definitions:

  1. In this Agreement, the following terms shall have the meanings set out below and cognate terms shall be construed accordingly:
    1. “Applicable Laws” means (a) European Union or Member State laws with respect to any Customer Personal Data in respect of which Customer is subject to EU Data Protection Laws; and (b) the laws of the State of Israel, including the Israeli Protection of Privacy Law, 1981, and any regulations promulgated thereunder; and (c) any other applicable law with respect to any Customer Personal Data in respect of which Customer is subject to any other Data Protection Laws;
    2. “Customer Personal Data” means any Personal Data Processed by a Contracted Processor on behalf of Customer pursuant to or in connection with the Agreement.
    3. “Contracted Processor” means Arbox or a Subprocessor.
    4. “Data Protection Laws” means any laws applicable to the processing of Customer Personal Data, including EU Data Protection Laws and the Israeli Protection of Privacy Law.
    5. “EEA” means the European Economic Area.
    6. “EU Data Protection Laws” means EU Directive 95/46/EC, as transposed into domestic legislation of each Member State and as amended, replaced or superseded from time to time, including by the GDPR and laws implementing or supplementing the GDPR.
    7. “GDPR” means EU General Data Protection Regulation 2016/679.
    8. “License Agreement” means the agreement signed between the parties with regard to the terms of conditions of license of the System to the Customer.
    9. “Restricted Transfer” means: (a) a transfer of Customer Personal Data from Customer to a Contracted Processor; or (b) an onward transfer of Customer Personal Data from a Contracted Processor to a Contracted Processor, or between two establishments of a Contracted Processor, in each case, where such transfer would be prohibited by Data Protection Laws (or by the terms of data transfer agreements put in place to address the data transfer restrictions of Data Protection Laws) in the absence of the Standard Contractual Clauses to be established under section 5.4 below; For the avoidance of doubt: where a transfer of Personal Data is of a type authorized by Data Protection Laws in the exporting country, for example in the case of transfers from within the European Union to a country (such as Israel) or scheme (such as the US Privacy Shield) which is approved by the Commission as ensuring an adequate level of protection or any transfer which falls within a permitted derogation, such transfer shall not be a Restricted Transfer.
    10. “Services” means the license to use the System and other services and activities to be supplied to or carried out by or on behalf of Arbox for Customer pursuant to the License Agreement.
    11. “Standard Contractual Clauses” means the Standard Contractual Clauses (processors) or any subsequent version thereof released by the European Commission. The current Standard Contractual Clauses are located on the European Commission’s website at: https://ec.europa.eu/info/law/law-topic/data-protection_en.
    12. “Subprocessor” means any person (including any third party, but excluding an employee of Arbox or any of its sub-contractors) appointed by or on behalf of Arbox to Process Personal Data on behalf of the Customer in connection with the Services.
  2. The terms, “Commission”, “Controller”, “Data Subject”, “Member State”, “Personal Data”, “Personal Data Breach”, “Processing” and “Supervisory Authority” shall have the same meaning as in the GDPR, and their cognate terms shall be construed accordingly.
  3. Capitalized terms which are not defined herein shall have the same meaning ascribed to them in the License Agreement.
  4. The word “include” shall be construed to mean include without limitation, and cognate terms shall be construed accordingly.

Processing of Customer Personal Data

  1. Arbox will Process Customer Personal Data in accordance with Customer’s documented instructions, unless Processing is required by Applicable Laws to which the relevant Contracted Processor is subject, in which case Arbox will, to the extent permitted by Applicable Laws, inform the Customer of that legal requirement before the relevant Processing of that Personal Data. In addition, Arbox shall immediately inform the Customer if, in its opinion, an instruction pursuant to the License Agreement infringes Applicable Data Protection Laws.
  2. The Customer:
    • instructs Arbox (and authorises Arbox to instruct each Subprocessor) to:(a) Process Customer Personal Data; and (b) in particular, transfer Customer Personal Data to any country or territory, as reasonably necessary for the provision of the Services and consistent with the terms agreed upon between the parties whether orally or in writing.
    • warrants and represents that it is and will at all relevant times remain duly and effectively authorised to give the instruction set out in section 2.
  3. Customer is and will at all times remain the Controller of the Customer Personal Data Processed by Arbox. Customer is responsible for compliance with its obligations as a Controller under Applicable Law, in particular for justification of any transmission of Customer Personal Data to Arbox and/or any other Contracted Processor (including providing any required notices and obtaining any required consents and/or authorizations, or otherwise securing an appropriate legal basis under Applicable Law), and for Customer’s decisions and actions concerning the Processing of such Customer Personal Data.
  4. Arbox is prohibited from using or disclosing Customer Personal Data for any purpose other than (a) the specific purpose of performing the Services specified in the License Agreement; (b) maintaining, supporting, improving and developing Arbox’s products and services; and (c) complying with legal obligations and other requirements under Applicable Law and Applicable Data Protection Laws.
  5. Annex 1 to this Agreement sets out certain information regarding the Contracted Processors’ Processing of the Customer Personal Data as required by Article 28(3) of the GDPR (and, possibly, equivalent requirements of other Data Protection Laws). Nothing in Annex 1 confers any right or imposes any obligation on any party to this Agreement.

Arbox Personnel

Arbox will take reasonable steps to ensure that persons authorized to process Personal Data are subject to confidentiality undertakings or professional or statutory obligations of confidentiality, and that such persons use Personal Data only in accordance with this DPA and the License Agreement.


Personal Data Breach

  1. Arbox shall notify the Customer without undue delay after becoming aware of any Personal Data Breach that affects Customer Personal Data.
  2. Arbox shall have no liability for any claim, damage, loss, cost or expense arising out of or in connection with a Personal Data Breach to the extent such incident is caused by, results from or is contributed to by:
    • Any act or omission of the Customer or its personnel.
    • The Customer’s failure to comply with this DPA or with Applicable Data Protection Laws.
    • Any use of the Services that is not permitted under the License Agreement.
    • Any third-party products, services or systems not supplied by Arbox.
    • Any act or omission of a Subprocessor that causes or contributes to the breach.
  3. To the extent that Arbox is finally determined to be liable for a Personal Data Breach that is caused solely by Arbox’s negligence, Arbox’s aggregate liability for such incident shall be limited to an amount equal to twelve (12) months of fees actually paid by the Customer for the Services, together with the return of any prepaid fees in respect of the period following the incident .The Customer shall take all reasonable steps to mitigate any damages arising from a Personal Data Breach. Arbox shall not be liable for any damages that could have been avoided through the Customer’s reasonable mitigation efforts.

Security

  1. Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of Processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, Arbox will in relation to the Customer Personal Data implement appropriate technical and organizational measures to ensure a level of security appropriate to that risk, such measures shall be in line with generally accepted industry standards and shall, where applicable, include the measures referred to in Article 32(1) of the GDPR and The Privacy Protection Regulations (Information Security), 2017. Arbox shall also implement the additional security controls described in Annex 2.
  2. The Customer understands and agrees that, despite Arbox implementation of such safeguards, no information security program can completely eliminate risk, and Arbox therefore cannot promise that Customer Personal Data will never be subject to unauthorised access or disclosure.

Subprocessing

  1. Customer authorises Arbox to appoint (and permit each Subprocessor appointed in accordance with this section 5 to appoint) Subprocessors in accordance with this section.
  2. Arbox may continue to use those Subprocessors already engaged by Arbox at the date of this Agreement.
  3. Arbox will keep a list of Subprocessors and make it available for Customer’s review upon request on an annual basis or in the event that a new Subprocessor is added. Customer consents to Arbox’s use of Subprocessors in the performance of the Services.
  4. With respect to each Subprocessor, Arbox will ensure that such Subprocessor is required by written contract to abide by the same level of data protection and security as Arbox under this Agreement, as applicable to such Subprocessor’s Processing of Personal Data.
  5. If that arrangement involves a Restricted Transfer, Arbox will: (a) ensure that the Standard Contractual Clauses are at all relevant times incorporated into the agreement between Arbox and on the other hand the Subprocessor, or (b) before the Subprocessor first Processes Customer Personal Data procure that it enters into an agreement incorporating the Standard Contractual Clauses with the Customer.

Audit rights

  1. Arbox will make reasonable efforts to make available to Customer on request information necessary to demonstrate compliance with this Agreement (to the extend required by Applicable Law), and, at Customer’s expense, will make reasonable efforts to allow for and contribute to audits by Customer or an auditor mandated by Customer in relation to the Processing of the Customer Personal Data by Arbox.
  2. Customer may only mandate an auditor for the purposes of section 1 if the auditor is agreed to by Customer and Arbox and the auditor must execute a written confidentiality agreement acceptable to Arbox before conducting the audit.
  3. Customer shall give Arbox reasonable notice of any audit or inspection to be conducted under section 1 and shall (and ensure that each of its mandated auditors) avoid causing any damage injury or disruption to Arbox’s premises, equipment, personnel and business while its personnel are on those premises in the course of such an audit or inspection. Arbox need not give access to its premises for the purposes of such an audit or inspection:
    • to any individual unless he or she produces reasonable evidence of identity and authority.
    • outside normal business hours at those premises; and no trade secrets will be disclosed to auditors during such audit.
    • for the purposes of more than one audit or inspection in any calendar year.

Data Subject Rights

  1. Arbox will provide reasonable assistance to the Customer to handle Data Subject requests to exercise rights of access, rectification, erasure, restriction, data portability, objection and opt-out.
  2. The Customer acknowledges that it is solely responsible for receiving, assessing and responding to all Data Subject requests and for complying with all Applicable Data Protection Laws regarding Data Subject rights. Arbox role is purely assistive, and Arbox shall not be liable for any claims, damages, losses, costs or expenses arising out of or in connection with (i) any Data Subject rights or requests, (ii) the Customer’s compliance or non-compliance with such requests, or (iii) any delay or failure by the Customer to respond to such requests. The Customer shall not assert any claims against Arbox in this regard.
  3. If Arbox receives a Data Subject request relating to the Processed Data, it will notify the Customer’s designated contact without undue delay and in any event within seven (7) days of receipt, forward the request to the Customer, and provide reasonable cooperation and assistance as needed for the Customer to meet its obligations under Applicable Data Protection Laws. If Arbox receives a query or other communication from a data protection authority relating to the Processed Data, Arbox will, to the extent it is permitted to share such information under Applicable Law or any binding court order, inform the Customer and provide reasonable cooperation and assistance in connection with such query.

General Terms


Order of precedence

  1. In the event of any conflict or inconsistency between this Agreement and the Standard Contractual Clauses, the Standard Contractual Clauses shall prevail.
  2. With regard to the subject matter of this Agreement, in the event of inconsistencies between the provisions of this Agreement and the License Agreement and/or any other agreements between the parties, whether written or oral, including (except where explicitly agreed otherwise in writing, signed on behalf of the parties) agreements entered into or purported to be entered into after the date of this Agreement, the provisions of this Agreement shall prevail.
  1. Should any provision of this Agreement be invalid or unenforceable, then the remainder of this Agreement shall remain valid and in force. The invalid or unenforceable provision shall be either (i) amended as necessary to ensure its validity and enforceability, while preserving the parties’ intentions as closely as possible or, if this is not possible, (ii) construed in a manner as if the invalid or unenforceable part had never been contained therein.
  2. This DPA shall survive termination or expiry of the License Agreement for as long as Arbox processes Customer Personal Data. Upon such termination or expiry, Arbox shall delete all Customer Personal Data, except where retention is required by Applicable Law or necessary for the establishment, exercise or defence of legal claims. For the avoidance of doubt, fully anonymised information that no longer relates to an identified or identifiable natural person shall not be treated as Personal Data and need not be deleted. Confidentiality obligations applicable to Arbox personnel, as well as any provisions regarding remuneration, shall also survive termination or expiry of this DPA.

ANNEX 1: DETAILS OF PROCESSING OF CUSTOMER PERSONAL DATA

This Annex 1 includes certain details of the Processing of Customer Personal Data as required by Article 28(3) GDPR.


Subject matter and duration of the Processing of Customer Personal Data

The subject matter and duration of the Processing of the Customer Personal Data are set out in this Agreement.


The nature and purpose of the Processing of Customer Personal Data

Arbox and any Contracted Processor may Process Customer Personal Data for the purpose of (i) providing the Services to the Customer; (ii) complying with Customer’s documented written instructions; or (iii) complying with Applicable Law


The types of Customer Personal Data to be Processed

Customer Personal Data typically relates to some or all of the following categories of Personal Data: personal contact information such as name, home address, home telephone or mobile number, email address, information concerning family, lifestyle and social circumstances including age, date of birth, marital status, number of children etc., identification numbers, goods and services provided, unique IDs collected from mobile devices, network carriers or data providers and IP addresses. Nevertheless, Customer has control over and determines the categories of Customer Personal Data and can configure and/or customize data fields. Customer may also include in the Customer Personal Data free text data, as well as attachments.


Special categories of Personal Data

Customer Personal Data might include, at the sole discretion of the Customer health data.

Notwithstanding the above, Customer shall ensure that Customer Personal Data does not include any sensitive or special personal data that imposes specific data security or data protection obligations on Arbox (except as those specified in the Agreement).


The categories of Data Subject to whom the Customer Personal Data relates

Data Subjects typically include, among others, Customer’s representatives and end users, such as Customer employees, job applicants, contractors, collaborators, partners, customers and clients. Nevertheless, Customer has control over and determines the categories of Data Subjects.


Duration of Processing

Subject to any Section of this Agreement dealing with the duration of the Processing and the consequences of the expiration or termination thereof, Arbox will Process Customer Personal Data on a continuous basis for the duration of the Agreement, and as further described in the Agreement, unless otherwise agreed upon in writing.

Annex 2

Technical and Organizational Measures according to the Privacy Protection Regulations (Information Security), 2017 (“Israeli Security Regulation”)

# Measures Description Reference to Israeli Security Regulation

1

Security Governance & Responsibility

Arbox has appointed an Information Security Officer (CISO) who reports directly to senior management. The CISO is responsible for implementing, monitoring, and maintaining compliance with all information security controls and is provided with sufficient resources and independence.

Art. 3: Appointment and responsibilities of the Information Security Officer

2

Security Policies & Procedures

Arbox maintains a documented Information Security Procedure defining administrative, physical, and technical measures. The policy is binding for all personnel, reviewed annually, and updated following material system or process changes.

Art. 4: Information Security Procedure and periodic review

3

System Mapping & Asset Inventory

A maintained and regularly updated inventory documents, the database structure, hardware, software, network connections, and update history to ensure full visibility and control over all assets handling personal data.

Art. 5(a)-(b): Mapping and updated inventory of systems

4

Risk Assessment & Penetration Testing

For high-security databases, regular information-security risk assessments are performed, including penetration testing (at least every 18 months), with corrective actions tracked and documented.

Art. 5(c)-(d): Risk survey and penetration testing

5

Physical & Environmental Security

All critical systems are hosted in secure facilities with access controls (badge systems, logs) and environmental safeguards (temperature, power, fire protection) suitable to the data’s sensitivity.

Art. 6: Physical and environmental protection of sites

6

Personnel Security & Training

Prior to system access, personnel undergo screening, sign confidentiality undertakings, and receive mandatory security and privacy training. Refresher training occurs at least every two years and upon role change for medium and high-security databases.

Art. 7: Employee vetting and training requirements

7

Access Control (Least Privilege)

Role-based access control (RBAC) ensures permissions are limited to job requirements. Access rights and role assignments are reviewed regularly and documented in an authorization register.

Art. 8: Role-based access management

8

Identification & Authentication

The database owner must implement reasonable and appropriate security measures to ensure that only authorized individuals, as defined in the current access authorization list, can access the database and its systems. Regarding medium and high security databases, strong authentication (MFA and password policies) ensures access only by authorized users; passwords must meet complexity standards, expire within six months, trigger session timeouts after inactivity and be canceled upon termination of an individual’s engagement.

Art. 9: Authentication, password rotation, deprovisioning

9

Network & Communications Security

Firewalls, VPNs, intrusion detection/prevention, and segmented networks protect the environment. Data in transit over public networks is encrypted using industry-standard protocols (SSL/TLS).

Art. 14: Network protection and encryption requirements

10

System Hardening & Patch Management

Arbox maintains secure system configurations and separates production systems from test/development environments. Software and hardware are regularly updated; unsupported systems are prohibited unless mitigated.

Art. 13: System maintenance and updates

11

Portable Media & Endpoints

Use of portable devices is restricted. When permitted, data is encrypted at rest and in transit using industry-standard encryption methods (for example AES-256).

Art. 12: Portable device restrictions and encryption

12

Monitoring, Logging & Audit Trails

Regarding medium and high security databases, implement automated logging records access attempts, system components, and actions. Logs are reviewed regularly and retained securely for at least 24 months.

Art. 10; Art. 17(a): Logging and retention

13

Incident Response & Reporting

Documented procedures define detection, containment, and escalation processes. Serious incidents are reported to the regulator and data subjects where required. Lessons learned are incorporated.

Art. 11: Incident management and reporting

14

Backup, Restoration & Disaster Recovery

Regarding medium and high security databases, scheduled backups are performed with verification, secure storage, and managerial approval for restoration. Restore actions and responsible personnel are documented and periodically tested.

Art. 17 (b); Art 18(a)-(b): Backup and restore procedures

15

Business Continuity

Business continuity and disaster-recovery plans ensure availability and integrity of personal data and critical systems in case of failure or disruption.

Art. 13 and Art. 18: System management and recovery readiness

16

Third-Party Risk & Outsourcing Controls

Before engaging third-party processors, Arbox assesses security risks and includes mandatory contractual clauses covering permitted data, purpose, access, confidentiality, sub-processing, and breach notification. Oversight and annual reporting required.

Art. 15: Outsourcing agreements and risk management

17

Periodic Audits

Regarding medium and high security databases, conducts independent or internal audits are conducted at least every 24 months to verify compliance with these Regulations and internal policies, with remediation actions tracked and approved.

Art. 16: Periodic audits

18

Data & Log Retention

Security-related logs and records are retained for at least 24 months in a secure manner with backup copies ensuring restorability.

Art. 17: Secure retention of logs and backups

כללי

נספח אבטחת מידע (״הסכם״) זה נחתם בהקשר למתן שירותים על ידי ארבוקס בע״מ (להלן: ״ארבוקס״ או ״אנחנו״). ארבוקס פועלת כמחזיקה במידע האישי של הלקוח המקבל שירותים (״הלקוח״). הלקוח פועל כבעל השליטה במאגר המידע של נתוני הלקוחות. המונחים בהם נעשה שימוש בהסכם זה יהיו בעלי המשמעויות המפורטות בהסכם זה. בהתאם להתחייבויות ההדדיות המפורטות כאן, הצדדים מסכימים בזאת כי התנאים וההגבלות המפורטים להלן יתווספו כהסכם לכל עסקה קודמת בין הצדדים, בין אם בעל פה או בכתב.


הגדרות:

  1. בהסכם זה, למונחים הבאים יהיו המשמעויות המפורטות להלן, ומונחים נגזרים יתפרשו בהתאם:

    1. חוקים החלים פירושו (א) חוקי האיחוד האירופי או מדינות החברות בנוגע לכל מידע אישי של לקוחות שלגביהם הלקוח כפוף לחוקי הגנת המידע של האיחוד האירופי; ו-(ב) חוקי מדינת ישראל, כולל חוק הגנת הפרטיות, תשמ״א-1981, והתקנות מכוחו; ו-(ג) כל חוק אחר החל בנוגע לעיבוד מידע אישי של לקוח;
    2. מידע אישי של הלקוח פירושו כל מידע אישי שארבוקס מעבדת עבור הלקוח בהתאם להסכם.
    3. מעבד פירושו ארבוקס או ספק משנה.
    4. חוקי הגנת מידע פירושו כל חוק החל על עיבוד נתוני לקוחות אישיים, כולל חוקי הגנת המידע של האיחוד האירופי וחוק הגנת הפרטיות הישראלי.
    5. EEA פירושו האזור הכלכלי האירופאי.
    6. חוקי הגנת המידע של האיחוד האירופי פירושו ה-GDPR וחוקים המיישמים או מחליפים את ה-GDPR.
    7. GDPR פירושו תקנות הגנת המידע הכללית של האיחוד האירופאי 2016/679.
    8. הסכם רישיון פירושו ההסכם שנחתם בין הצדדים בנוגע לתנאי הרישיון שעל פיו מוענק המערכת ללקוח.
    9. העברה מוגבלת פירושה: (א) העברת נתוני מידע אישי של הלקוח לספק; או (ב) העברה הלאה של מידע אישי של הלקוח מארבוקס לספק משנה, בכל מקרה, כאשר העברה כזו תהיה אסורה על פי חוקי הגנת המידע (או על ידי תנאי הסכמי עיבוד מידע שנקבעו כדי להתמודד עם מגבלות העברת המידע בחוקי הגנת המידע) בהיעדר הסעיפים החוזיים הסטנדרטיים שיקבעו תחת סעיף יא להלן; למען הסר ספק, כאשר העברת מידע אישי מורשית על פי חוקי הגנת מידע במדינה המייצאת (לדוגמה במקרה של העברות מתוך האיחוד האירופאי למדינה (כמו ישראל) או תכנית (כגון Privacy Shield של ארה״ב) שאושרה על ידי הנציבות כמבטיחה רמת הגנה מספקת או כל העברה הנופלת במסגרת הוראת פטור מותרת), העברה כזו לא תיחשב העברה מוגבלת.
    10. שירותים פירושו רישיון לשימוש במערכת ובשירותים ופעילויות אחרות שיסופקו או יבוצעו על ידי או מטעם ארבוקס עבור הלקוח בהתאם להסכם הרישיון.
    11. סעיפים חוזיים סטנדרטיים פירושו סעיפי חוזה סטנדרטיים (מחזיקים) או כל גרסה אחרת שלהם שפורסמה על ידי הנציבות האירופית. הסעיפים התקניים הנוכחיים נמצאים באתר הנציבות האירופאית בכתובת: https://ec.europa.eu/info/law/law-topic/data-protection_en.
    12. ספק משנה פירושו כל אדם (כולל כל צד שלישי, אך למעט עובד של ארבוקס או כל אחד מקבלני המשנה שלה) שמונה על ידי או מטעם ארבוקס לעבד מידע אישי בשם הלקוח בהקשר לשירותים.
  2. המונחים "ועדה", "בעל שליטה", "נושא מידע", "מדינה חברה", "מידע אישי", "אירוע אבטחת מידע", "עיבוד" ו"רשות פיקוח" יהיו בעלי אותה משמעות כמו ב-GDPR, והמונחים הנלווים להם יתפרשו בהתאם.
  3. מונחים שאינם מוגדרים כאן יהיו בעלי אותה משמעות שניתנת להם בהסכם הרישיון.
  4. המילה כוללת תתפרש ככוללת ללא הגבלה, ומונחים דומים יתפרשו בהתאם.

עיבוד מידע אישי של לקוחות

  1. ארבוקס תעבד את המידע האישי של הלקוח בהתאם להוראות המתועדות של הלקוח, אלא אם העיבוד נדרש לפי חוקים רלוונטיים שארבוקס כפופה להם, ובמקרה כזה ארבוקס תעדכן את הלקוח, במידה שהדבר מותר לפי החוקים החלים, על אותה דרישה חוקית לפני העיבוד הרלוונטי של המידע האישי הנ"ל. בנוסף, ארבוקס תודיע מיד ללקוח אם, לדעתה, הוראה בהתאם להסכם הרישיון מפרה את החוקים החלים.

  2. הלקוח מורה ל־ארבוקס (ומסמיך את ארבוקס להורות לכל ספק משנה): (א) לעבד מידע אישי של הלקוח; ו-(ב) במיוחד, להעביר מידע אישי של הלקוח לכל מדינה או טריטוריה, כפי שנדרש באופן סביר לספק את השירותים ובהתאם לתנאים שהוסכמו בין הצדדים, בין אם בעל פה ובין אם בכתב.

  3. הלקוח הינו ויישאר תמיד בעל השליטה על המידע האישי של הלקוח. הלקוח אחראי לעמוד בהתחייבויותיו כבעל שליטה לפי החוק, ובפרט בכל הנוגע להעברת מידע אישי של הלקוח לארבוקס ו/או לכל ספק אחר (כולל מתן הודעות נדרשות וקבלת הסכמות ו/או אישורים נדרשים, או ביסוס בסיס משפטי מתאים לפי החוק החל), ועל החלטות ופעולות הלקוח בנוגע לעיבוד מידע אישי כזה.

  4. ארבוקס לא תעבד את המידע האישי של הלקוח לכל מטרה שאינה: (א) ביצוע השירותים המפורטים בהסכם הרישיון; (ב) תחזוקה, תמיכה, שיפור ופיתוח של מוצרי ושירותי ארבוקס; ו-(ג) עמידה בהתחייבויות משפטיות ודרישות נוספות לפי החוקים החלים.

  5. נספח 1 להסכם זה מפרט מידע מסוים בנוגע לעיבוד המידע האישי של הלקוח על ידי ארבוקס ככל שנדרש בסעיף 28(3) של ה‑GDPR.


עובדי ארבוקס

ארבוקס תנקוט צעדים סבירים כדי להבטיח שאנשים המורשים לעבד את המידע האישי של הלקוח כפופים להתחייבויות סודיות או לחובות סודיות מקצועית, ותתחייב שעובדיה יעבדו את המידע האישי של הלקוח אך ורק בהתאם לנספח אבטחת מידע זה ולהסכם הרישיון.


אירוע אבטחת מידע

  1. ארבוקס תודיע ללקוח ללא דיחוי לאחר שנודע לה על אירוע אבטחת מידע המשפיע על המידע האישי של הלקוח.
  2. לארבוקס לא תהיה אחריות לכל תביעה, נזק, אובדן, עלות או הוצאה הנובעים מאירוע אבטחת מידע או בקשר לאירוע כאמור, במידה שהאירוע נגרם על ידי, נובע או הושפע על ידי:
    • כל מעשה או מחדל של הלקוח או עובדיו.
    • אי עמידה של הלקוח בדרישות נספח אבטחת המידע או בחוקים החלים.
    • כל שימוש בשירותים שאינו מותר לפי הסכם הרישיון.
    • כל שימוש במוצר, שירות או מערכת צד שלישי שלא סופקו על ידי ארבוקס.
    • כל מעשה או מחדל של ספק משנה שגורם או תורם לאירוע.
  3. במידה שארבוקס תיקבע בפסק דין חלוט כאחראית לאירוע אבטחת מידע שנגרם אך ורק מרשלנותה של ארבוקס, האחריות הכוללת של ארבוקס לאירוע כזה תוגבל לסכום השווה לתשלום ששילם הלקוח בעבור השירותים במשך תקופה של שנים עשר (12) חודשים שקדמו לאירוע אבטחת המידע. הלקוח ינקוט בכל הצעדים הסבירים כדי לצמצם כל נזק הנובע מאירוע אבטחת מידע. ארבוקס לא תהיה אחראית לנזקים שניתן היה למנוע באמצעות מאמצי ההפחתה הסבירים של הלקוח.

אבטחת מידע

  1. בהתחשב במצב הטכנולוגיה, בעלויות היישום ובסוג, היקף, הקשר ומטרות העיבוד, וכן בסיכון לקרות אירוע אבטחת מידע, ארבוקס תפעל ליישום אמצעים אבטחה טכניים וארגוניים כדי להבטיח רמת אבטחה המתאימה לסיכון. צעדים אלו יהיו בהתאם לסטנדרטים המקובלים בתעשייה ויכללו, במידת הצורך, את האמצעים המוזכרים בסעיף 32(1) של ה‑GDPR ובתקנות הגנת הפרטיות (אבטחת מידע), 2017. כאשר עיבוד המידע האישי של הלקוח מתבצע בישראל, ארבוקס תיישם גם את בקרות האבטחה הנוספות המתוארות בנספח 2.

  2. הלקוח מבין ומסכים כי, למרות יישום אמצעי ההגנה הללו על ידי ארבוקס, אף תוכנית אבטחת מידע אינה יכולה לבטל לחלוטין את הסיכון, ולכן ארבוקס אינה יכולה להבטיח שמידע אישי של לקוחות לעולם לא יהיה חשוף או נתון לגישה לא מורשית.


ספקי משנה

  1. הלקוח מאשר לארבוקס למנות (ולאפשר לכל ספק משנה שמונה בהתאם לסעיף זה למנות) ספקי משנה בהתאם לסעיף זה.

  2. הלקוח מסכים לשימוש ארבוקס בספקי משנה בביצוע השירותים.

  3. ארבוקס רשאית להמשיך להשתמש באותם ספקי משנה שכבר התקשרה איתם במועד הסכם זה.

  4. ארבוקס תנהל רשימה של ספקי משנה ותודיע ללקוח במקרה של הוספת ספק משנה חדש.

  5. לגבי כל ספק משנה, ארבוקס תוודא כי ספק המשנה נדרש בחוזה כתוב לעמוד באותה רמת הגנה ואבטחה של המידע כמו ארבוקס לפי הסכם זה.

  6. אם הסדר זה כולל העברה מוגבלת, ארבוקס: (א) תוודא שסעיפי החוזה הסטנדרטיים ישולבו בהסכם בין ארבוקס לבין ספק המשנה, או (ב) לפני שספק המשנה מעבד את המידע האישי של הלקוח, יוודא שהצדדים חותמים על הסכם הכולל את סעיפי החוזה הסטנדרטיים.


זכויות ביקורת

  1. בהתאם לדרישת הלקוח ועל חשבונו, בתדירות שאיננה גבוהה מפעם אחת בשנה קלנדרית, ורק כאשר הזכות לביקורת ניתנה מפורשות על פי החוקים החלים, ארבוקס תאפשר ללקוח או למבקר מטעמו לבצע ביקורות בנוגע לעיבוד המידע האישי של הלקוח על ידי ארבוקס.
  2. במקרה של מבקר מטעם הלקוח, הצדדים יסכימו על זהות המבקר, והמבקר יחויב לחתום על הסכם סודיות המקובל על ארבוקס לפני ביצוע הביקורת.
  3. הלקוח ייתן ל־ארבוקס הודעה סבירה על כל ביקורת, ויימנע מגרימת נזק, פגיעה או הפרעה לנכסי, לציוד, לצוות ולעסקים של ארבוקס. ארבוקס אינה חייבת לאפשר גישה למתחם שלה לצורך ביקורת כזו:
    • לכל אדם אלא אם כן הוא מציג ראיות סבירות לזהותו ולסמכותו.
    • מחוץ לשעות הפעילות הרגילות באותם משרדים; ולא ייחשפו סודות מסחריים או מידע של צדדים שלישיים במהלך ביקורת כזאת.

זכויות נושא מידע

  1. בהתאם לדרישות החוק החל על מידע אישי של הלקוח, ארבוקס תספק סיוע סביר ללקוח בטיפול בבקשות נושאי מידע למימוש זכויות גישה, תיקון, מחיקה, הגבלה, ניידות נתונים, התנגדות ו‑opt‑out.
  2. הלקוח מכיר בכך שהוא האחראי הבלעדי לקבלה, לבחינה ולמענה לכל בקשות נושאי המידע ולציות לכל החוקים החלים בנוגע לזכויות נושאי המידע. תפקיד ארבוקס הינו סיוע בלבד, וארבוקס לא תהיה אחראית לכל תביעה, נזק, הפסד, עלות או הוצאה הנובעים או הקשורים ל-(א) זכויות או בקשות של נושאי המידע, (ב) עמידה או אי־עמידה של הלקוח בבקשות אלו, או (ג) כל עיכוב או אי־מענה של הלקוח בתגובה לבקשות אלו. ללקוח לא תהיה כל טענה נגד ארבוקס בעניין זה.
  3. אם ארבוקס מקבלת בקשת נושא מידע או פנייה מרשות מוסמכת הקשורה למידע האישי של הלקוח, ארבוקס תודיע ללקוח ללא דיחוי ובכל מקרה בתוך שבעה (7) ימים מקבלתה, ותספק שיתוף פעולה וסיוע נדרש ללקוח לצורך עמידתו בהתחייבויותיו לפי החוקים החלים.

מונחים כלליים


סדר הקדימות

  1. במקרה של סתירה או אי-התאמה בין הסכם זה לסעיפי החוזה הסטנדרטיים, סעיפי החוזה הסטנדרטיים יגברו.
  2. במקרה של אי-התאמות בין הוראות הסכם זה להסכם הרישיון ו/או כל הסכם אחר בין הצדדים, בין אם בכתב או בעל פה, כולל הסכמים שנחתמו לאחר מועד הסכם זה, הוראות הסכם זה יגברו.
  3. אם סעיף כלשהו בהסכם זה אינו תקף או אינו ניתן לאכיפה, יתרת ההסכם תישאר בתוקף. ההוראה הבלתי תקפה או הבלתי ניתנת לאכיפה תעודכן (א) לפי הצורך כדי להבטיח את תוקפה ואכיפתה, תוך שמירה על כוונת הצדדים ככל האפשר, או, אם הדבר אינו אפשרי, (ב) תתפרש כאילו החלק הבלתי תקף או הבלתי ניתן לאכיפה מעולם לא נכלל בה.
  4. הסכם זה יישאר בתוקף גם לאחר תום תוקף הסכם הרישיון כל עוד ארבוקס מעבדת את המידע האישי של הלקוח. עם סיום הסכם הרישיון ולבקשת הלקוח, ארבוקס תמחק את כל המידע האישי של הלקוח, למעט כאשר השמירה נדרשת לפי החוקים החלים או נדרשת לשם תביעות משפטיות. למען הסר ספק, מידע אנונימי לחלוטין שאינו קשור עוד לאדם שניתן לזהותו לא ייחשב כמידע אישי ואין צורך למחוק אותו. התחייבויות הסודיות החלות על עובדי ארבוקס יישארו בתוקף גם הן לאחר תום תוקף הסכם זה.

נספח 1: פרטי עיבוד מידע אישי של לקוחות

נספח 1 כולל פרטים מסוימים על עיבוד מידע אישי של הלקוח כפי שנדרש בסעיף 28(3) ל‑GDPR.


נושא המידע ומשך עיבוד המידע האישי של הלקוח

נושא המידע ומשך עיבוד המידע האישי של הלקוח מפורטים בהסכם זה.


טבעו ומטרתו של עיבוד המידע האישי של הלקוח

ארבוקס וכל ספק משנה רשאים לעבד את המידע האישי של הלקוח לצורך (א) אספקת השירותים ללקוח; (ב) עמידה בהוראות הלקוח; או (ג) עמידה בדרישות החוקים החלים.


סוגי המידע האישי

סוגי המידע האישי של הלקוח אשר יעובד על ידי ארבוקס הינם: פרטי קשר אישיים כגון שם, כתובת, מספר טלפון, כתובת אימייל, מידע על משפחה, גיל, תאריך לידה, מצב משפחתי, מספר ילדים, מספרי זיהוי, מוצרים ושירותים שסופקו, מזהים אינטרנטיים, ספקי רשת או ספקי נתונים וכתובות IP.

עם זאת, מובהר כי ללקוח יש שליטה בקביעת קטגוריות המידע האישי של הלקוח והוא יכול להגדיר ו/או להתאים שדות נתונים כראות עיניו. הלקוח יכול גם לכלול במידע האישי של הלקוח נתוני טקסט חופשיים, וכן לצרף קבצים.


מידע אישי בעל רגישות מיוחדת

מידע אישי של הלקוח עשוי לכלול, לפי שיקול דעתו הבלעדי של הלקוח, נתונים אודות בריאותו של נושא המידע.

על אף האמור לעיל, על הלקוח לוודא כי המידע האישי של הלקוח אינו כולל מידע בעל רגישות מיוחדת המטיל חובות אבטחת מידע ספציפיות נוספות על ארבוקס (למעט אלו המפורטות בהסכם).


הקטגוריות של נושאי המידע אודותיהם מעובד מידע אישי

הקטגוריות של נושאי המידע כוללות, בין היתר, נציגי לקוחות (כגון עובדי לקוחות, מועמדים לעבודה, קבלני משנה ושותפים) ומשתמשי קצה. עם זאת, ללקוח יש שליטה לקביעת קטגוריות נושאי המידע.


משך עיבוד המידע האישי

ארבוקס תעבד את המידע האישי של הלקוח באופן רציף לאורך כל תקופת ההסכם, וכפי שמתואר בהסכם, אלא אם הוסכם אחרת בכתב.


נספח 2

אמצעים טכניים וארגוניים בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), 2017 ("תקנות אבט״מ")

# אמצעי תיאור התייחסות לתקנות אבט״מ

1

ממשל אבטחה ואחריות

ארבוקס מינתה ממונה אבטחת מידע (CISO) המדווח ישירות להנהלה הבכירה. ה‑CISO אחראי ליישום, ניטור ושמירה על עמידה בחוק בכל אמצעי אבטחת המידע ומקבל משאבים ועצמאות מספקים.

תקנה 3: מינוי ואחריות של ממונה אבטחת המידע

2

מדיניות ונהלי אבטחה

ארבוקס מתחזקת נוהל אבטחת מידע מתועד המגדיר אמצעים מנהליים, פיזיים וטכניים. המדיניות מחייבת את כל הצוות, נבדקת מדי שנה ומתעדכנת לאחר שינויים במערכת או בתהליך.

תקנה 4: הליך אבטחת מידע וסקירה תקופתית

3

מיפוי מערכות ומלאי נכסים

מסמכי מלאי מתוחזקים ומתעדכנים באופן קבוע, מבנה מאגר מידע, חומרה, תוכנה, חיבורי רשת והיסטוריית עדכונים כדי להבטיח נראות ושליטה מלאה על כל הנכסים המטפלים במידע האישי.

תקנה 5(א)-(ב): מיפוי ומלאי מעודכן של מערכות

4

הערכת סיכונים ובדיקות חדירה

למאגרי מידע ברמת אבטחה גבוהה מתבצעות הערכות סיכוני אבטחת מידע באופן קבוע, כולל בדיקות חדירה (לפחות כל 18 חודשים), כאשר פעולות תיקון מתועדות.

תקנה 5(ג)-(ד): סקר סיכונים ובדיקות חדירה

5

אבטחה פיזית וסביבתי

כל המערכות הקריטיות מאוחסנות במתקנים מאובטחים עם בקרות גישה (מערכות תגיות, יומנים) ואמצעי הגנה סביבתיים (טמפרטורה, חשמל, הגנה מפני אש) המתאימים לרגישות הנתונים.

תקנה 6: הגנה פיזית וסביבתית על אתרים

6

אבטחת כוח אדם והכשרה

למאגרי מידע ברמת אבטחה בינונית וגבוהה, לפני הגישה למערכת, הצוות חותם על התחייבויות סודיות ועובר הכשרה לאבטחה ופרטיות. ריענון מתקיים לפחות כל שנתיים ועם שינוי תפקיד.

תקנה 7: דרישות סינון והכשרה לעובדים

7

בקרת גישה (הרשאה מינימלית)

בקרת גישה מבוססת תפקידים (RBAC) מבטיחה שההרשאות מוגבלות לדרישות המשרה. זכויות גישה והקצאת תפקידים נבדקות באופן קבוע ומתועדות ברישום הרשאות.

תקנה 8: ניהול גישה מבוסס תפקידים

8

זיהוי ואימות

יישום אמצעי אבטחה סבירים ומתאימים כדי להבטיח שרק אנשים מורשים, כפי שמוגדרים ברשימת הרשאות הגישה הנוכחית, יוכלו לגשת למאגר המידע ולמערכות שלו.

לגבי מאגרי מידע בעלי אבטחה בינונית וגבוהה, אימות חזק (MFA ומדיניות סיסמאות) מבטיח גישה רק על ידי משתמשים מורשים; סיסמאות חייבות לעמוד בסטנדרטים של מורכבות, לפוג תוך שישה חודשים, להפעיל הפסקות תהליך לאחר חוסר פעילות ולהתבטל עם סיום ההעסקה.

תקנה 9: אימות, עדכון סיסמאות, ביטול

9

אבטחת רשת ותקשורת

חומות אש, VPN, זיהוי/מניעת חדירות ורשתות מחולקות מגנים על הסביבה. נתונים במעבר ברשתות ציבוריות מוצפנים באמצעות פרוטוקולים סטנדרטיים בתעשייה (SSL/TLS).

תקנה 14: דרישות הגנה והצפנה לרשת

10

הקשחת מערכת וניהול תיקונים

ארבוקס שומרת על תצורות מערכות מאובטחות ומפרידה בין מערכות ייצור לסביבות בדיקה/פיתוח. התוכנה והחומרה מתעדכנים באופן קבוע; מערכות שאינן נתמכות אסורות אלא אם כן הן בסיכון מופחת.

תקנה 13: תחזוקת מערכת ועדכונים

11

מדיה ניידת ונקודות קצה

השימוש במכשירים ניידים מוגבל. כאשר הדבר מותר, הנתונים מוצפנים במנוחה ובמעבר באמצעות שיטות הצפנה סטנדרטיות בתעשייה (למשל AES‑256).

תקנה 12: הגבלות על מכשירים ניידים והצפנה

12

מסלולי ניטור, רישום וביקורת

לגבי מאגרי מידע ברמת אבטחה בינונית וגבוהה, ארבוקס מיישמת ניסיונות גישה לרשומות אוטומטיות, רכיבי מערכת ופעולות. לוגים נבדקים באופן קבוע ונשמרים במקום בטוח לפחות 24 חודשים.

תקנה 10; תקנה 17(א): כניסה ובקרה

13

תגובה לאירועים ודיווח

נהלים מתועדים מגדירים תהליכי גילוי, הכלאה וטיפול לאירועים. אירועים חמורים מדווחים לרגולטור במידת הצורך. הלקחים שנלמדו משולבים בהליך הפיתוח העתידי.

תקנה 11: ניהול ודיווח על אירועים

14

גיבוי, שיקום והתאוששות מאסון

לגבי מאגרי מידע ברמת אבטחה בינונית וגבוהה, מתבצעים גיבויים מתוזמנים עם אימות, אחסון מאובטח ואישור ניהולי לשחזור. פעולות השיקום והצוות האחראי מתועדים ונבדקים מעת לעת.

תקנה 17 (ב); ותקנה 18(א)-(ב): נהלי גיבוי ושחזור

15

המשכיות עסקית

תוכניות המשכיות עסקית והתאוששות מאסון מבטיחות זמינות ושלמות של מידע אישי ומערכות קריטיות במקרה של כשל או שיבוש.

תקנה 13 ותקנה 18: ניהול מערכת ומוכנות לשיקום

16

בקרות סיכון צד שלישי ומיקור חוץ

לפני שפונים לספקי משנה, ארבוקס מעריכה סיכוני אבטחה וכוללת סעיפים חוזיים מחייבים המכסים את המידע המותר, מטרה, גישה, סודיות, עיבוד משנה וחובת הודעה על אירוע אבטחה. קיים פיקוח ודיווח שנתי.

תקנה 15: הסכמי מיקור חוץ וניהול סיכונים

17

ביקורות תקופתיות

לגבי מאגרי מידע ברמת אבטחה בינונית וגבוהה, מבוצעות ביקורות עצמאיות או פנימיות לפחות כל 24 חודשים בכדי לוודא עמידה בתקנות ובמדיניות פנימית, כאשר פעולות התיקון מתבצעות ומאושרות.

תקנה 16: ביקורות תקופתיות

18

שימור נתונים ויומנים

יומנים ורשומות הקשורות לאבטחה נשמרים לפחות 24 חודשים בצורה מאובטחת, כאשר עותקי גיבוי מבטיחים אפשרות לשחזור.

תקנה 17: שמירה מאובטחת של יומנים וגיבויים

Unlock the full potential of your business with Arbox

Get started freeBook a demo
Free forever. No credit card needed.
By clicking “Accept”, you agree to the storing of cookies on your device to enhance site navigation, analyze site usage, and assist in our marketing efforts. View our Privacy Policy for more information.
RejectAccept