נספח עיבוד מידע (DPA) — Nexum S

עודכן לאחרונה: 11 באוקטובר 2026

נספח זה ("הנספח") הוא חלק בלתי נפרד מהסכם ההתקשרות ותנאי השימוש של Nexum S ("הסכם השירות"). הוא מסדיר את עיבוד המידע האישי שהספק מבצע מטעם הלקוח במסגרת השירות. הנספח מתקבל ומחייב עם קבלת הסכם השירות בעת ההרשמה (לרבות לתקופת ניסיון), ואין צורך בחתימה נפרדת. מועד הקבלה ונוסח הנספח שהתקבל מתועדים אצל הספק.

1. הצדדים ותפקידיהם

1.1. נקסום מערכות בע״מ, ח.פ. 517410650, רח׳ השחם 1, פתח תקווה, טלפון 053-3699773, דוא״ל office@nexums.co.il ("הספק" או "Nexum S").

1.2. הלקוח — העסק שנרשם לשירות. השירות מוצע לעסקים בלבד, והנספח נכרת עם העסק ולא עם המשתמש היחיד שביצע את ההרשמה בשמו.

1.3. חלוקת התפקידים. לגבי המידע האישי של לקוחות הקצה ואנשי הקשר של הלקוח המעובד בשירות, לרבות תוכן הודעות, מדיה, מטא-נתונים ופלט רכיב ה-AI שהופק עבור הלקוח, הלקוח הוא בעל השליטה במאגר (Controller), הקובע את מטרות העיבוד, והספק הוא מחזיק (Processor), המעבד את המידע מטעם הלקוח ולפי הוראותיו בלבד.

1.4. לגבי מידע על משתמשי המערכת מטעם הלקוח, פרטי ההתקשרות והחיוב, נרשמים לניסיון ומבקרי האתר, וכן יומני אבטחה ותפעול שהספק משתמש בהם לצרכיו, הספק הוא בעל השליטה. מידע זה אינו כפוף לנספח זה אלא למדיניות הפרטיות.

2. הגדרות

2.1. "הדין החל" — חוק הגנת הפרטיות, התשמ״א-1981, בנוסחו לאחר תיקון 13; תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 ("תקנות אבטחת מידע"); תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001; סעיף 30א לחוק התקשורת (בזק ושידורים), התשמ״ב-1982; והנחיות מחייבות של הרשות להגנת הפרטיות.

2.2. "מידע אישי" — מידע כהגדרתו בחוק הגנת הפרטיות, המעובד על-ידי הספק מטעם הלקוח במסגרת השירות.

2.3. "עיבוד" — כל פעולה במידע אישי, לרבות איסוף, אחסון, אחזור, עיון, שימוש, העברה, גילוי, מחיקה או השמדה.

2.4. "תת-מעבד" — צד שלישי המעבד מידע אישי מטעם הספק לצורך מתן השירות, כמפורט בנספח ב׳.

2.5. "אירוע אבטחה" ו"אירוע אבטחה חמור" — כמשמעותם בתקנות אבטחת מידע.

2.6. מונחים שלא הוגדרו כאן — משמעותם כבהסכם השירות, ובהיעדר הגדרה — כבדין החל.

3. נושא העיבוד, מטרתו ומשכו

3.1. מטרה. הספק מעבד מידע אישי אך ורק לשם אספקת השירות ללקוח (פלטפורמת SaaS לניהול תקשורת WhatsApp ו-SMS ו-CRM, לרבות אינבוקס, קמפיינים, בוט, רכיב AI אופציונלי וטפסים לחתימה דיגיטלית), ולשם עמידה בחובות הספק לפי הסכם השירות והדין.

3.2. אופי העיבוד. קליטה, אחסון, ארגון, אחזור, הצגה, שידור והעברה של הודעות ומדיה, ניהול אנשי קשר ושיחות, הפקת יומני פעילות ותפעול התשתית.

3.3. משך. לאורך תקופת הסכם השירות, ולאחר מכן עד להשלמת ההחזרה והמחיקה לפי סעיף 10.

3.4. סוגי מידע (בהתאם למה שהלקוח ונושאי המידע מזינים בפועל): פרטי זיהוי והתקשרות (שם, מספר טלפון); תוכן הודעות ומדיה ומטא-נתונים של שיחות; נתוני CRM (תיוגים, סטטוסים, הערות, שיוך לנציג); נתוני טפסים וחתימות; סטטוס הסרה (opt-out); יומני ביקורת.

3.5. נושאי מידע. לקוחות הקצה ואנשי הקשר של הלקוח, לידים ופונים של הלקוח, ומשתמשי המערכת מטעם הלקוח.

3.6. מידע בעל רגישות מיוחדת. השירות אינו מיועד לעיבוד מידע בעל רגישות מיוחדת (כגון מידע רפואי, ביומטרי או גנטי) בהיקף ניכר. לקוח המבקש לעבד מידע כזה יודיע על כך לספק מראש, והצדדים יסדירו תנאי אבטחה מתאימים בנספח משלים (וראו סעיף 4.2.8 להסכם השירות).

4. עיבוד לפי הוראות הלקוח

4.1. הספק יעבד מידע אישי רק לפי הוראות הלקוח המתועדות, לרבות הוראות הגלומות בהסכם השירות, בנספח זה ובהגדרות שהלקוח קובע במערכת (כגון הפעלת רכיב ה-AI, הפעלת SMS, חיבור חשבון Gmail, Outlook, פייסבוק או אינסטגרם, או מחיקת נתונים).

4.2. הספק לא יעבד את המידע למטרה עצמאית משלו, לא ימכור אותו ולא ימסור אותו לצד שלישי, למעט לתת-מעבדים לפי נספח ב׳ או כנדרש על-פי דין. הספק לא ישתמש בתוכן הלקוח לאימון מודלים של בינה מלאכותית.

4.3. חייב דין את הספק לעבד מידע שלא לפי הוראות הלקוח — יודיע לו על כך מראש, אלא אם הדין אוסר זאת.

4.4. סבר הספק כי הוראה של הלקוח מפרה את הדין — יודיע לו על כך ללא דיחוי, והוא רשאי שלא לבצעה עד לבירור.

5. חובות הלקוח

5.1. הלקוח אחראי לכך שאיסוף המידע, מסירתו לספק והעיבוד המבוקש נעשים כדין, לרבות יידוע נושאי המידע וקבלת כל הסכמה נדרשת, ובכלל זה הסכמה מראש למשלוח דבר פרסומת לפי סעיף 30א לחוק התקשורת, ציון פרטי המפרסם ודרך הסרה בכל הודעה שיווקית, וכיבוד בקשות הסרה.

5.2. הלקוח אחראי לחובותיו כבעל שליטה במאגר, לרבות רישום או הודעה לרשות ומינוי ממונה על הגנת הפרטיות ככל שהדין מחייב אותו, ולקביעת רמת האבטחה החלה על מאגרו.

5.3. הלקוח אחראי למתן מענה לבקשות נושאי מידע, והספק יסייע לו כאמור בסעיף 8.

6. חובות הספק

6.1. סודיות. הגישה למידע תוגבל למי שנדרש לה לשם מתן השירות, ותהיה כפופה להתחייבות לסודיות.

6.2. אבטחה. הספק ינקוט אמצעי אבטחה טכניים וארגוניים בהתאם לתקנות אבטחת מידע, כמתואר בנספח א׳.

6.3. תת-מעבדים, סיוע, אירועי אבטחה, מחיקה ותיעוד — כמפורט בסעיפים 7 עד 11.

7. תת-מעבדים

7.1. הלקוח מעניק לספק הרשאה כללית להיעזר בתת-המעבדים המפורטים בנספח ב׳, ובתת-מעבדים נוספים לפי סעיף 7.2. הספק יתקשר עם כל תת-מעבד בתנאים בכתב הכוללים חובות סודיות ואבטחה, ויישאר אחראי כלפי הלקוח לעיבוד שהם מבצעים, בכפוף לסעיף 12.

7.2. שינוי. הספק יודיע ללקוח על הוספה או החלפה של תת-מעבד 14 ימים מראש, בדוא״ל או בהודעה במערכת, ויעדכן את נספח ב׳. הלקוח רשאי להתנגד בתוך תקופה זו מטעמים סבירים הנוגעים להגנת המידע; לא הגיעו הצדדים להסכמה, רשאי הלקוח לבטל את המנוי ללא דמי ביטול ולקבל החזר יחסי של דמי מנוי ששולמו מראש.

7.3. העברה אל מחוץ לישראל. העברת מידע לתת-מעבד מחוץ לישראל תיעשה בהתאם לתקנות העברת מידע אל מחוץ לגבולות המדינה, התשס״א-2001: לגרמניה (Hetzner), שהיא מדינה החברה באיחוד האירופי; ולספקים בארצות הברית (Meta, Anthropic, Microsoft, Google), על בסיס התחייבויות חוזיות בכתב של הספקים לשמירה על המידע ולאבטחתו, ולאי-העברתו לצד נוסף שלא לצורך מתן השירות.

8. סיוע ללקוח

8.1. זכויות נושאי מידע. הספק יסייע ללקוח, באמצעים הזמינים במערכת (עיון, תיקון, ייצוא ומחיקה), לענות לבקשות נושאי מידע. בקשה של נושא מידע שתגיע ישירות לספק תועבר ללקוח, והספק לא ישיב לה ישירות אלא לפי הוראת הלקוח.

8.2. ייצוא. הלקוח יכול לייצא את נתוני המופע שלו (טבלאות הנתונים וקבצי המדיה, לרבות רשימת ההסרות) בכל עת במהלך ההתקשרות ובתקופת הייצוא שלאחר סיומה.

8.3. אבטחה ודיווח. הספק יסייע ללקוח באופן סביר בעמידה בחובותיו לפי תקנות אבטחת מידע ובטיפול באירועי אבטחה.

8.4. היקף. סיוע במסגרת הכלים הקיימים במערכת ניתן ללא תמורה נוספת. סיוע חריג, מעבר לכך, יתומחר מראש ויבוצע באישור הלקוח, ובלבד שסיוע הנדרש לפי דין בשל הפרת הספק יינתן ללא תמורה.

9. הודעה על אירוע אבטחה

9.1. נודע לספק על אירוע אבטחה חמור הנוגע למידע של הלקוח — יודיע לו ללא דיחוי, ולא יאוחר מ-24 שעות מגילויו. על אירוע אבטחה אחר הנוגע למידע של הלקוח — בתוך 72 שעות מגילויו.

9.2. ההודעה תכלול, ככל שידוע במועדה: תיאור האירוע, סוגי המידע ונושאי המידע המושפעים והיקפם המשוער, ההשלכות הצפויות, והצעדים שננקטו או מתוכננים. מידע נוסף יימסר עם התבררותו.

9.3. חובת הדיווח לרשות להגנת הפרטיות על אירוע חמור במאגר הלקוח חלה על הלקוח כבעל השליטה, והספק יסייע לו בכך. הספק ידווח בעצמו לגבי מאגרים שהוא בעל השליטה בהם.

9.4. הספק יתעד אירועי אבטחה ואת הטיפול בהם. אין בהודעה, כשלעצמה, משום הודאה באחריות.

10. החזרה ומחיקה בסיום

10.1. ייצוא. עם סיום הסכם השירות, מכל סיבה, יעמוד לרשות הלקוח ייצוא מלא של נתוני המופע במשך 30 ימים. בתקופה זו המידע מוחזק לצורך ייצוא בלבד. לבקשת הלקוח בכתב, לפני תום התקופה, ניתן להאריכה עד 90 ימים.

10.2. מחיקה. בתום תקופת הייצוא יימחקו מופע הלקוח, מסד הנתונים והמדיה שלו. עותקי גיבוי יימחקו במחזור הגיבוי הרגיל, ולא יאוחר מ-90 ימים ממועד המחיקה. עד מחיקתו, מידע שבגיבוי יישמר חסוי ולא ייעשה בו שימוש. לבקשת הלקוח יימסר אישור מחיקה בכתב.

10.3. רשומות הסרה. רשומות ההסרה (opt-out) אינן נמחקות במהלך תקופת השירות, גם במחיקת שיחות או אנשי קשר, כדי לכבד את בקשות ההסרה. בסיום הן נמסרות ללקוח במסגרת הייצוא ונמחקות יחד עם המופע; שמירתן לאחר מכן באחריות הלקוח כמפרסם.

10.4. תקופת ניסיון. חשבון ניסיון שלא הומר למנוי בתשלום — נתוניו נשמרים 30 ימים מתום תקופת הניסיון ולאחר מכן נמחקים כאמור בסעיף 10.2.

10.5. מידע שהספק חייב לשמור לפי דין, צו או דרישת רשות מוסמכת יישמר רק בהיקף ולמשך הנדרשים.

11. תיעוד וביקורת

11.1. הספק ימסור ללקוח, לפי בקשה סבירה ובכתב, מידע הדרוש להוכחת עמידתו בנספח זה, לרבות תיאור מפורט יותר של אמצעי האבטחה, בכפוף לחובת סודיות.

11.2. הלקוח רשאי לבקש ביקורת על עמידת הספק בנספח זה פעם בשנה, בהודעה מוקדמת של 30 ימים לפחות. הביקורת תתבצע ככלל באמצעות שאלון ומסמכים; ביקורת באמצעות מבקר חיצוני הכפוף לסודיות תתבצע על חשבון הלקוח, באופן שלא יפגע בפעילות הספק או באבטחת המידע ובסודיות של לקוחות אחרים. ביקורת נוספת תתאפשר בעקבות אירוע אבטחה חמור או לפי דרישת רשות מוסמכת.

11.3. הספק ישתף פעולה עם הרשות להגנת הפרטיות בהתאם לסמכויותיה לפי דין.

12. אחריות

12.1. אחריות הצדדים בקשר לנספח זה כפופה להוראות הגבלת האחריות והשיפוי שבהסכם השירות (סעיף 16), לרבות התקרה המיוחדת להגנת מידע, ואין בנספח זה תקרה נפרדת.

12.2. כל צד אחראי להפרות שמקורן בתחום שליטתו: הלקוח — לחוקיות האיסוף, ההסכמות וקביעת מטרות העיבוד; הספק — ליישום אמצעי האבטחה ולעיבוד לפי הוראות הלקוח.

13. שונות

13.1. בכל עניין של עיבוד מידע אישי ואבטחתו, הוראות נספח זה גוברות על הוראות הסכם השירות.

13.2. הספק רשאי לעדכן נספח זה מעת לעת; על שינוי מהותי לרעת הלקוח תימסר הודעה 30 ימים מראש, והלקוח רשאי לבטל את המנוי לפני כניסת השינוי לתוקף.

13.3. על נספח זה יחולו דיני מדינת ישראל, וסמכות השיפוט הבלעדית נתונה לבתי המשפט המוסמכים בפתח תקווה.

13.4. פניות בענייני פרטיות ואבטחה: office@nexums.co.il (בכותרת: "פנייה בנושא פרטיות"), טלפון 053-3699773.

---

נספח א׳ — אמצעי אבטחה (תיאור כללי)

התיאור שלהלן כללי, ופירוט נוסף יימסר ללקוח לפי בקשה כאמור בסעיף 11.1. הספק פועל ליישום בקרות התואמות את תקנות אבטחת מידע ואת רמת האבטחה החלה, ויעדכן נספח זה עם שינוי מהותי באמצעים.

• הפרדת לקוחות — מופע נפרד לכל לקוח, עם מסד נתונים ותיקיית מדיה נפרדים; אין מסד נתונים משותף בין לקוחות.
• הצפנת תעבורה — התקשורת עם המערכת מוצפנת (TLS).
• בקרת גישה והרשאות — גישה מאומתת, סיסמאות המאוחסנות בצורה מגובבת, והרשאות לפי תפקיד שהלקוח מגדיר.
• אבטחת ממשקים — אימות של הודעות נכנסות מספקי צד שלישי ובדיקה של קבצים המועלים למערכת.
• ניהול סודות — מפתחות ופרטי גישה של המערכת מנוהלים בנפרד מנתוני הלקוח ואינם נכללים בייצוא.
• גיבוי ושחזור — גיבויים יומיים בתשתית Hetzner, ושחזור במאמץ סביר. הגיבויים נשמרים בתשתית הספק בלבד, ואין כיום עותק גיבוי חיצוני.
• תיעוד — פעולות מהותיות מתועדות ביומן ביקורת בתוך מופע הלקוח, הזמין ללקוח לפי בקשה.
• מזעור — רכיב ה-AI כבוי כברירת מחדל, וכשהוא מופעל נשלח לספק ה-AI רק ההקשר הנדרש להצעת מענה.

הבהרה: הספק אינו מצהיר על אמצעי או הסמכה שאינם מפורטים בנספח זה, כגון הצפנה ברמת מסד הנתונים, מבחן חדירה חיצוני או הסמכה לתקן אבטחה (ISO 27001, SOC 2 וכיו״ב). שום מערכת אינה חסינה לחלוטין.

---

נספח ב׳ — תת-מעבדים

הערות:

• קארדקום מעבדת מידע שהספק הוא בעל השליטה בו (חיוב), ולא מידע של לקוחות הקצה; היא מפורטת לשם שקיפות.
• Google Fonts — ממשק המערכת טוען גופנים משרתי Google, הרואים את כתובת ה-IP ופרטי הדפדפן של המשתמש. טעינת הגופנים אינה מעבירה ל-Google מידע של לקוחות הקצה. פרטים במדיניות העוגיות.
• הספק אינו משתמש כיום בספק גיבוי חיצוני נוסף מעבר ל-Hetzner. הוספת ספק כזה תיעשה בהודעה לפי סעיף 7.2.