1.2 המעבד מאשר כי ידוע לו שהמידע המועבר לעיבודו כולל או עשוי לכלול מידע רפואי ואישי בהיקף נרחב של מעל 100,000 נושאי מידע, ולפיכך המאגר מוגדר כבעל רמת אבטחה גבוהה לפי התקנות;

1.3 המעבד מצהיר כי הוא עומד בכל דרישות התקנות וכי הוא מחזיק בתשתיות ובידע הנדרשים לעיבוד מידע ברמת אבטחה גבוהה.

2.2 חל איסור על המעבד לעשות כל שימוש במידע לכל מטרה אחרת, לרבות שימוש לצרכיו הפרטיים או לצרכי צד ג'.

4.2 המעבד מתחייב לבצע בדיקות מהימנות תקופתיות לכלל עובדיו בעלי הגישה למידע, בהתאם לדרישות רמת אבטחה גבוהה הקבועות בתקנה 8 לתקנות.

4.3 המעבד יחתים את כל עובדיו וקבלני המשנה מטעמו על התחייבות לשמירה על סודיות המידע הרפואי והאישי של נושאי המידע.

4.4 כל בקשה מצד העובדים בחברה, נשמרת ומתועדת אצל החברה.

5.2 הצפנת מידע. החברה פועלת לשמירה ולהצפנה של המידע שעובר במערכת, באופן הבא:

6.1 עם סיום ההתקשרות, ישיב המעבד לבעל המאגר את כלל המידע וימחק לצמיתות כל עותק קיים ממערכותיו וסביבותיו, למעט מידע שהמעבד נדרש לשמור בהתאם להוראות הדין.

6.2 המחיקה תבוצע בשיטה שתיקבע על ידי המעבד ותתועד על ידו במועד הרלוונטי, באופן שנועד למנוע שחזור של המידע באמצעים טכנולוגיים סבירים.

6.3 תוך שלושים (30) יום מסיום המחיקה, ימציא המעבד אישור בכתב חתום על ידי ממונה אבטחת מידע (CISO) המאשר את ביצוע המחיקה המוחלטת, בנוסח המצ"ב כנספח ‎3 להסכם זה.

7.1 כל פניה של נושא מידע למעבד בדבר בקשה למחיקת מידע הנוגע אליו ו/או אל לקוח קצה תועבר אל בעל העסק ללא דיחוי.

7.2 בנוסף, יודיע המעבד לנושא המידע בדבר הטיפול בבקשה ויפנה אותו לבעל המאגר.

7.3 בעל המאגר (בית העסק) יודיע מיידית, ולא יאוחר מ-5 ימים ממועד פניית המעבד לבעל המאגר, לגבי היתכנות מחיקת המידע המבוקש בהתאם להוראות הדין החלות עליו ועל המידע שאסף בכפוף לגבלות ההתיישנות (בהתאם לסוג המידע – רפואי, פיננסי, דיוור ישיר או אחר).

7.4 בהתאם להנחיות בעל המאגר כאמור לעיל, יפעל המעבד וימחק, אם וככל שניתן, את המידע, כמפורט בבקשת המחיקה מטעם נושא המידע ויודיע לבעל מאגר המידע (הבית העסק) שהפעולה בוצעה. על בעל מאגר המידע ליידע את נושא המידע בדבר המחיקה שבוצעה (או שלא בוצעה).

7.5 למען הסר ספק, האחריות המלאה לביצוע המחיקה, לעדכון הלקוח בדבר מחיקת המידע ותוצאותיו, לרבות ההחלטה למחוק את המידע או האם יש דרישה רגולטורית שלא למחוק את המידע או כל חלק ממנו, חלה על בעל המאגר (בית העסק) בלבד, ולמעבד לא תהיה כל אחריות בנושא זה.

8.1 החברה אינה מעבירה מידע או מידע אישי או מידע אישי רגיש אל מחוץ לגבולות ישראל. המידע יאוחסן בשרתים הממוקמים בענן של clubvs ובענן של AWS (Amazon) בישראל.

8.2 העברת המידע מתבצעת בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמעבר לגבולות המדינה), התשס"א-2001.

8.3 החברה עושה שימוש בתשתיות הענן של Amazon Web Services ‏(AWS) ובפרט באזור השירות בישראל (AWS Tel Aviv Region) לצורך עיבוד, אחסון ואבטחת מידע אישי.

8.4 החברה מצהירה כי, למיטב ידיעתה ובהתאם לפרסומי AWS , שירותי AWS מופעלים בהתאם לסטנדרטים בינלאומיים מחמירים בתחום אבטחת המידע והגנת הפרטיות, ובכלל זה בהתאם להוראות ה-GDPR  ולתנאי נספח עיבוד הנתונים של AWS (AWS Data Processing Addendum (DPA)) הזמין בכתובת: https://docs.aws.amazon.com/whitepapers/latest/navigating-gdpr-compliance/aws-data-processing-addendum-dpa.html

8.5 החברה נוקטת באמצעים סבירים על מנת לוודא כי המידע האישי נשמר ומעובד באזור השירות בישראל של AWS בלבד, וכי מיושמים ביחס אליו אמצעים טכנולוגיים, ארגוניים ומשפטיים התואמים סטנדרטים מקובלים של אבטחת מידע והגנת פרטיות, בהתאם להוראות הדין החל בישראל.

9.1 המעבד יאפשר לבעל המאגר, או למי מטעמו, לבצע בדיקות וביקורות תקופתיות (Audits) סבירות הנוגעות לעמידת המעבד בהתחייבויותיו לפי נספח זה, בתיאום מראש, בשעות העבודה המקובלות, בתדירות סבירה, ובכפוף לשמירה על סודיות, אבטחת מידע והגנה על מידע של לקוחות אחרים ושל צדדים שלישיים.

9.2 המעבד ימסור לבעל המאגר דיווח שנתי אודות אופן עמידתו בחובותיו לפי תקנה 15.

9.3 המעבד לא יסתייע בקבלן משנה (Sub-processor) לצורך עיבוד המידע בכפוף לכך שקבלן המשנה יחויב בהתחייוביות מהותיות תואמות לשאלו הקבועות בנספח זה ככל שהן רלוונטיות לשירותיו.