נספח עיבוד מידע

גרסה 2026-11-02 · בתוקף מיום 02.11.2026

נספח זה הוא חלק מתנאי השימוש של פלטפורמת SYTONE, והוא מסדיר את עיבוד המידע האישי של הלקוחות, הפונים והעובדים של העסק, שהעסק שומר ומנהל בפלטפורמה. הנספח נערך בהתאם לחוק הגנת הפרטיות, התשמ"א-1981 (לרבות תיקון 13), לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 — ובפרט תקנה 15 (שימוש בגורם חיצוני) — ולתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001.

הצדדים: syto פתרונות, ח.פ 558638300, נחל רמון 12, חדרה, המפעילה את פלטפורמת SYTONE ("Syto", "המעבד"); והעסק שנרשם לשירות ("העסק", "בעל השליטה במאגר"). העסק מאשר את הנספח בהגדרות המערכת (פרטי העסק ← נספח עיבוד מידע). האישור נשמר עם הגרסה, המועד, המשתמש שאישר והכתובת שממנה אושר.

1. התפקידים וההגדרות

• העסק הוא בעל השליטה במאגר לגבי המידע האישי שהוא שומר בפלטפורמה: הוא קובע אילו פרטים נאספים, למה ולכמה זמן.
• Syto היא המחזיקה והמעבדת של המידע עבור העסק, ופועלת רק לפי נספח זה, תנאי השימוש והוראות העסק.
• "מידע אישי" — כל מידע על אדם מזוהה או שניתן לזהותו, שהעסק או לקוחותיו מזינים לפלטפורמה או שנאסף בה עבור העסק.
• "נושא מידע" — האדם שהמידע עוסק בו: לקוח, פונה (ליד), משתתף בשיעור, עובד או ספק של העסק.
• "אירוע אבטחת מידע" — אירוע שמעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלי הרשאה או בחריגה מהרשאה, או לחשיפה שלו.
• "ספק משנה" — גורם חיצוני ש-Syto נעזרת בו ושמקבל גישה למידע אישי לצורך מתן השירות.

2. נושא העיבוד ומשכו

Syto מאחסנת ומעבדת את המידע כדי לספק לעסק את שירותי הפלטפורמה שהוא בחר — ניהול לקוחות, יומן ותורים, שיעורים, תשלומים, הודעות ותזכורות, טפסים וחתימות, מרכזייה, בוט ועוזר AI וכל מודול אחר שהעסק הפעיל.

העיבוד נמשך כל עוד לעסק יש חשבון בפלטפורמה, וממשיך עד שהמידע נמחק לפי סעיף 11.

3. סוגי המידע ונושאי המידע

נושאי המידע

• לקוחות העסק, פונים ולידים, משתתפים בשיעורים ובאירועים — כולל קטינים, יחד עם פרטי ההורה או האפוטרופוס
• עובדים, מדריכים וקבלני משנה של העסק
• ספקים ואנשי קשר של העסק

סוגי המידע

• פרטי זיהוי וקשר: שם, טלפון, דוא״ל, כתובת, ובאישור העסק — מספר תעודת זהות ותאריך לידה
• היסטוריית תורים, שיעורים, מנויים, רכישות ותשלומים. פרטי כרטיס אשראי מלאים אינם נשמרים — הם מוזנים ישירות אצל חברת הסליקה, ונשמרות רק 4 הספרות האחרונות וסוג הכרטיס
• תוכן הודעות WhatsApp, SMS ודוא״ל, שיחות עם הבוט, הודעות קוליות ותמלולן
• הקלטות שיחה, תמלולים וסיכומים — אם העסק הפעיל את מודול המרכזייה
• טפסים, מסמכים חתומים וקבצים — כולל מידע רגיש כמו הצהרות בריאות והערות רפואיות, כשהעסק אוסף אותם
• נתוני נוכחות, שעות עבודה ומיקום בכניסה לאתר עבודה — של עובדי העסק, כשהעסק הפעיל זאת
• נתוני שימוש טכניים: כתובת IP, סוג דפדפן ויומני פעולות

4. מטרות העיבוד והוראות העסק

• Syto מעבדת את המידע רק כדי לתת לעסק את השירות, ולשמור על תקינותו ועל אבטחתו. Syto אינה משתמשת במידע למטרות משלה, אינה מוכרת אותו ואינה מעבירה אותו לאחרים, למעט ספקי המשנה שבסעיף 7.
• הוראות העסק הן ההגדרות והפעולות שהעסק עושה במערכת (למשל: אילו הודעות יישלחו, אילו מודולים פועלים, כמה זמן נשמרות הקלטות), וכן הוראות בכתב שהעסק שולח ל-Syto.
• אם Syto סבורה שהוראה של העסק מנוגדת לדין, היא תודיע על כך לעסק ורשאית שלא לבצע אותה עד לבירור.
• Syto רשאית לחשוף מידע רק אם הדין מחייב אותה (למשל צו שיפוטי). במקרה כזה תודיע לעסק לפני החשיפה, אלא אם הדין אוסר זאת.

5. סודיות וגישת אנשי הצוות

• רק אנשי צוות של Syto שהתפקיד שלהם מחייב זאת מקבלים גישה למידע, וכל אחד מהם מחויב בסודיות בכתב, גם אחרי סיום עבודתו.
• אנשי הצוות אינם קוראים מידע של העסק, אלא כדי לטפל בפנייה של העסק, לבקשתו, או כשהדבר נדרש לטיפול באירוע אבטחה או לפי דין.
• כניסת תמיכה לחשבון העסק מחייבת אימות דו-שלבי, מוגבלת לשעתיים, ניתנת לביטול ונרשמת ביומן המפעיל.
• הרשאות הגישה נבדקות מעת לעת ומוסרות עם סיום התפקיד.

6. אמצעי אבטחת מידע

Syto נוקטת את אמצעי האבטחה הבאים, ופועלת לפי סעיף האבטחה במדיניות הפרטיות ולפי נוהל אבטחת מידע פנימי:

• הצפנה בתעבורה — כל התקשורת עם המערכת מוצפנת (TLS 1.2 ומעלה, HTTPS).
• הצפנה של סודות — אסימוני חיבור (OAuth) ומפתחות של ספקים חיצוניים נשמרים מוצפנים במסד הנתונים, במפתח הצפנה ייעודי שנשמר בנפרד מהמסד.
• סיסמאות — נשמרות בגיבוב חד-כיווני בלבד.
• הפרדה בין עסקים — כל בקשה למערכת נבדקת מול העסק של המשתמש המחובר, ועסק אחד אינו יכול לגשת למידע של עסק אחר.
• אימות דו-שלבי — זמין לכל משתמש, ונדרש לפעולות רגישות: שינוי פרטי בנק, ייצוא כל המידע, מחיקת לקוח, כניסת תמיכה ופעולות מפעיל שחלות על כל העסקים.
• הרשאות לפי תפקיד — כל משתמש של העסק רואה ועושה רק את מה שהתפקיד שלו מתיר, והעסק קובע את ההרשאות.
• יומני פעולות — שינויים במידע נרשמים ביומן הפעולות של העסק (נשמר 3 שנים). פעולות מפעיל, כניסות תמיכה וניסיונות גישה חשודים נרשמים ביומן נפרד.
• גיבויים — גיבוי מלא של המערכת פעם בשבוע, מוצפן (AES-256), שנשמר אצל ספק נפרד מספק האחסון. כל גיבוי נשמר 30 ימים.
• הגבלת קצב — הגנה מפני ניסיונות ניחוש סיסמה והצפת המערכת.
• תשלומים — פרטי כרטיס האשראי מוזנים ישירות בדף של חברת הסליקה ואינם עוברים בשרתי Syto.

Syto רשאית לעדכן את אמצעי האבטחה, ובלבד שרמת ההגנה לא תפחת.

7. ספקי משנה

העסק מאשר ל-Syto להיעזר בספקי המשנה שלהלן — אותה רשימה שמופיעה במדיניות הפרטיות, סעיף 5. כל ספק מקבל רק את המידע הנדרש למטרה שלידו, ו-Syto בוחרת ספקים שמתחייבים להגן על המידע ברמה שאינה פחותה מהנדרש בנספח זה. ספקים שמסומנים "אם חובר" מקבלים מידע רק כשהעסק הפעיל את החיבור.

שינוי ספקי משנה

• לפני הוספה או החלפה של ספק משנה, Syto תעדכן את הרשימה בדף זה ובמדיניות הפרטיות ותודיע לעסק בהודעה במערכת ובדוא״ל לפחות 14 ימים מראש.
• החלפה דחופה מטעמי אבטחה או זמינות תיעשה בלי המתנה, וההודעה תישלח בהקדם האפשרי.
• עסק שמתנגד לספק חדש מטעם סביר שקשור להגנת המידע רשאי להודיע על כך לפני מועד השינוי. אם לא נמצא פתרון, העסק רשאי לבטל את המנוי בלי קנס, והביטול יחול בתום התקופה ששולמה.

8. העברת מידע לחו״ל

חלק מספקי המשנה מאחסנים ומעבדים מידע מחוץ לישראל (בעיקר בארה״ב ובאיחוד האירופי), כמפורט בטבלה. ההעברה נעשית לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ורק לספקים שמתחייבים בתנאי השירות ובתנאי עיבוד המידע שלהם לשמור על המידע, להשתמש בו רק למטרה שלשמה הועבר ולא להעביר אותו הלאה אלא לצורך זה.

9. אירוע אבטחת מידע

• Syto תודיע לעסק על אירוע אבטחת מידע שנוגע למידע של העסק בהקדם, ולא יאוחר מ-24 שעות מרגע שנודע לה עליו.
• ההודעה תישלח בדוא״ל לבעל העסק ותופיע בהתראות במערכת. היא תכלול, ככל שהדבר ידוע באותו שלב: מה קרה ומתי, אילו סוגי מידע ונושאי מידע נפגעו, מה נעשה כדי לעצור את האירוע ולצמצם את הנזק, ומה מומלץ לעסק לעשות. פרטים שיתבררו אחר כך יישלחו בהודעות המשך.
• Syto תשתף פעולה עם העסק כדי שיוכל לעמוד בחובות הדיווח שלו — לרשות להגנת הפרטיות ולנושאי המידע — ותמסור לו את המידע שבידיה.
• Syto מתעדת כל אירוע אבטחה, את הטיפול בו ואת ההודעות שנשלחו, ומדווחת בעצמה לרשות להגנת הפרטיות כשהדין מחייב זאת.

10. סיוע בבקשות של נושאי מידע

• העסק מטפל בבקשות של נושאי מידע לעיון, תיקון ומחיקה. המערכת מאפשרת לו לעיין ולתקן כרטיס לקוח, לייצא את כל המידע של העסק ולמחוק לקוח.
• בקשה שתגיע ישירות ל-Syto תועבר לעסק בתוך 7 ימים, ו-Syto לא תשיב עליה בעצמה אלא בהסכמת העסק או כשהדין מחייב.
• Syto תסייע לעסק במידה סבירה בבקשה שאי אפשר לטפל בה בכלים שבמערכת.

11. החזרה ומחיקה בסיום

• החזרה: כל עוד החשבון קיים — גם אחרי סיום המנוי — העסק יכול לייצא את כל המידע שלו מתוך המערכת.
• מחיקה: לבקשת העסק בכתב, Syto תמחק את כל המידע של העסק מהמערכת בתוך 30 ימים מהבקשה, ותאשר לעסק בכתב שהמחיקה בוצעה. עותקים בגיבויים נמחקים עם מחזור הגיבויים (עד 30 ימים נוספים), ועד אז אינם בשימוש.
• אין מחיקה אוטומטית של חשבון שאינו פעיל (ראו מדיניות הפרטיות, סעיף 9). מחיקה ביוזמת Syto תיעשה רק אחרי הודעה לעסק ואפשרות לייצא את המידע.
• חובת השמירה של רשומות לפי דין (למשל רשומות הנהלת חשבונות למשך 7 שנים) חלה על העסק. לפני מחיקה, על העסק לייצא את מה שהוא חייב לשמור.

12. הצהרת עמידה שנתית וזכות ביקורת

• הצהרה שנתית: פעם בשנה, לבקשת העסק, Syto תמסור לו הצהרה בכתב על עמידתה בנספח זה ובתקנות אבטחת המידע, כולל עדכון על אירועי אבטחה שנגעו למידע של העסק ועל שינויים בספקי המשנה.
• זכות ביקורת: העסק, או מבקר מטעמו שהתחייב בסודיות, רשאי לבדוק את עמידת Syto בנספח — פעם בשנה, ובנוסף אחרי אירוע אבטחה שנגע למידע של העסק. הבקשה תוגש בכתב לפחות 30 ימים מראש, והבדיקה תיעשה בשעות העבודה ובאופן שלא יפגע בשירות ולא יחשוף מידע של עסקים אחרים.
• Syto רשאית לענות קודם על שאלון אבטחה ולמסור מסמכים רלוונטיים. אם התשובות מספיקות לעסק, אין צורך בבדיקה במקום.

13. התחייבויות העסק

• העסק אחראי שיש לו בסיס חוקי לאסוף את המידע ולשמור אותו בפלטפורמה, ושהוא מיידע את נושאי המידע כנדרש (מדיניות הפרטיות של העסק מוגדרת בהגדרות המערכת).
• העסק אחראי לקבל הסכמה לדיוור שיווקי כנדרש בחוק התקשורת, ולקבל הסכמה של הורה או אפוטרופוס כשהוא אוסף מידע על קטינים.
• העסק אחראי להרשאות שהוא נותן למשתמשים שלו, לשמירת הסיסמאות שלהם ולהפעלת אימות דו-שלבי.
• העסק יודיע ל-Syto בהקדם אם נודע לו על שימוש לא מורשה בחשבון שלו.

14. כללי

• במקרה של סתירה בין נספח זה לתנאי השימוש בכל הנוגע לעיבוד מידע אישי — הוראות הנספח גוברות.
• שינוי מהותי בנספח יפורסם בגרסה חדשה, והעסק יתבקש לאשר אותה במערכת. עדכון של רשימת ספקי המשנה נעשה לפי סעיף 7.
• הגבלת האחריות שבתנאי השימוש אינה חלה על הפרה של חובות הסודיות והאבטחה בנספח זה שנעשתה בזדון או ברשלנות חמורה.
• הנספח כפוף לדין הישראלי, והסמכות לדון בו נתונה לבתי המשפט המוסמכים בישראל.

15. יצירת קשר