נספח עיבוד מידע — שירות Lens

גרסה 1.0. תאריך תחילה: 17 בספטמבר 2026.

מסמך זה נערך בעברית, והנוסח העברי הוא הנוסח המחייב. קיים תרגום לאנגלית לנוחות הקוראים בלבד. בכל מקרה של סתירה או אי-התאמה בין הנוסחים, יגבר הנוסח העברי.

נספח זה נכרת בין אפפה בע"מ (APPH Ltd), ח.פ. 513933960, שכתובתה מינץ 12, נתניה, ישראל (להלן — "החברה"), לבין בעל העסק המנוי על שירות Lens (להלן — "בעל העסק").

הנספח מהווה חלק בלתי נפרד מתנאי השימוש בשירות, הנוקבים בשמו ומשלבים אותו על דרך ההפניה. הוא חל אוטומטית על כל בעל עסק שהתקשר עם החברה, ואינו טעון חתימה נפרדת, מסמך נוסף או פנייה יזומה. קבלת תנאי השימוש כוללת את קבלת נספח זה.

הנספח נועד לקיים את דרישות תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ואת חובות הצדדים לפי חוק הגנת הפרטיות, התשמ"א-1981, לרבות כנוסחו לאחר תיקון 13 שנכנס לתוקף באוגוסט 2025.

הנספח עוסק אך ורק בעיבוד מידע אישי של לקוחות הקצה של בעל העסק. הוא אינו חל על המידע האישי של בעל העסק עצמו; לגבי מידע זה החברה פועלת כבעלת השליטה במאגר, והדין החל עליו מפורט במדיניות הפרטיות.

• "החוק" — חוק הגנת הפרטיות, התשמ"א-1981.
• "התקנות" — תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017.
• "הרשות" — הרשות להגנת הפרטיות במשרד המשפטים.
• "השירות" — אפליקציית Lens, לרבות פורטל הלקוחות שבה, המופעלת על ידי החברה תחת השם המסחרי Lens ובכתובת lens-hq.com.
• "בעל העסק" — הלקוח המנוי על השירות, שהוא בעל השליטה במאגר המידע כמשמעותו בחוק.
• "לקוח הקצה" — לקוח של בעל העסק, שבעל העסק מזמין לפרויקט בשירות. לקוח הקצה אינו משלם לחברה דבר.
• "מידע לקוח הקצה" — מידע אישי אודות לקוח הקצה, המוזן לשירות על ידי בעל העסק או נמסר בשירות על ידי לקוח הקצה עצמו, כמפורט בסעיף 5.
• "ספק משנה" — גורם חיצוני שהחברה נעזרת בו לצורך אספקת השירות ושיש לו גישה למידע לקוח הקצה או לחלק ממנו.
• "אירוע אבטחה" — אירוע המעלה חשש לפגיעה בשלמות מידע לקוח הקצה, לשימוש בו ללא הרשאה או לחריגה מהרשאה, כמשמעות המונח בתקנות.

בעל העסק הוא בעל השליטה במאגר המידע הכולל את מידע לקוח הקצה. הוא הקובע אילו פרטים ייאספו, לאיזו מטרה, ולמי יוצגו בשירות.

החברה היא מחזיק וגורם חיצוני, המעבד את מידע לקוח הקצה עבור בעל העסק ולפי הוראותיו, לצורך אספקת השירות בלבד.

הצדדים מסכימים כי לצד היותה של החברה מחזיק, מוטלות עליה חובות ישירות מכוח החוק והתקנות בכל הנוגע לאבטחת המידע שברשותה ולדיווח לרשות על אירוע אבטחה חמור. אין באמור בנספח זה כדי לגרוע מחובות אלה.

נושא העיבוד: אספקת שירות תוכנה לניהול עבודת פרויקטים בין בעל העסק לבין לקוחותיו, לרבות ניהול שלבים ומשימות, הצעות ותמחור, אישור חוזים ותיקונים, מסירת חומרים, מתן משוב, תקשורת שוטפת ותכונות בינה מלאכותית תומכות.

טיב העיבוד: איסוף, שמירה, אחסון, ארגון, הצגה, שינוי, שידור לספקי משנה כמפורט בסעיף 12, ומחיקה בהתאם לסעיף 9.

משך ההתקשרות: כל עוד המנוי של בעל העסק פעיל, ולאחר מכן בהתאם לאמור בסעיף 9. לעניין הימשכות ההחזקה לאחר סיום ההתקשרות, יש לקרוא סעיף זה יחד עם סעיף 9.4.

סוגי האנשים שמידע אודותיהם מעובד לפי נספח זה: לקוחות הקצה של בעל העסק, שהם בדרך כלל אנשי קשר בעסק לקוח או יחידים המתקשרים עם בעל העסק.

סוגי המידע:

• פרטי קשר: שם, כתובת דואר אלקטרוני, מספר טלפון ושם חברה.
• מידע הערכה שכתב או יצר בעל העסק: הערות פנימיות אודות לקוח הקצה וציון "בריאות" של הקשר העסקי.
• רשומות עבודה: פרויקטים, שלבים ומשימות, לרבות כותרות, תיאורים, הערות פנימיות, תמחור, שעות ותאריכי יעד.
• תוכן שהעלה או מסר לקוח הקצה: קבצים, חומרים וצרופות.
• תקשורת: שרשור הדיון בכל משימה והודעות בין בעל העסק לבין לקוח הקצה.
• מסמכים משפטיים: נוסחי חוזים ומסמכי חוזה שהועלו לשירות.
• תוכן שיחות עם תכונות הבינה המלאכותית.
• מידע טכני נלווה: כתובת IP ונתוני בקשה הנכללים בדיווחי שגיאה.
• היסטוריית טיפול: רישום בלתי הפיך של הפעולות שבוצעו בשירות.

השירות אינו נועד להחזקת מידע רפואי, מידע פלילי, מידע ביומטרי, מספרי זהות או דרכון או פרטי אמצעי תשלום של לקוחות הקצה, ובעל העסק מתחייב שלא להזין לשירות מידע מסוגים אלה.

החברה רשאית לעבד את סוגי המידע המנויים בסעיף 5, ואך ורק למטרות המפורטות להלן לכל סוג:

• פרטי קשר — זיהוי לקוח הקצה בשירות, שליחת הזמנה לפרויקט, מתן גישה לפורטל הלקוחות, ומשלוח התראות והודעות תפעוליות הקשורות לפרויקט.
• מידע הערכה שכתב או יצר בעל העסק — הצגה לבעל העסק בלבד. מידע זה אינו מוצג ללקוח הקצה.
• רשומות עבודה — הצגת מצב הפרויקט, ניהול שלבים ומשימות, הצגת הצעות ותמחור, ומעקב אחר מועדים.
• תוכן שהעלה או מסר לקוח הקצה — אחסונו והצגתו לצדדים המורשים בפרויקט.
• תקשורת — העברת הודעות בין בעל העסק לבין לקוח הקצה ושמירתן כתיעוד.
• מסמכים משפטיים — הצגה לאישור, שמירת נוסח שאושר ותיעוד מועד האישור.
• תוכן שיחות עם תכונות הבינה המלאכותית — הפקת פלט מבוקש, בכפוף לסעיף 12.
• מידע טכני נלווה — איתור תקלות, תחזוקה ואבטחת השירות.
• היסטוריית טיפול — יצירת תיעוד בלתי הפיך של פעולות, לצורך הוכחת אישורים ומסירות.

החברה לא תעשה שימוש במידע לקוח הקצה לכל מטרה אחרת, ובכלל זה לא תמכור אותו, לא תשכיר אותו, לא תעביר אותו לצד שלישי לצורך שיווק, ולא תשתמש בו לאימון מודלים של בינה מלאכותית מטעמה.

המערכות שבהן מוחזק מידע לקוח הקצה ושהחברה רשאית לגשת אליהן:

• מסד הנתונים של יישום Lens, המתארח על שרת וירטואלי בישראל.
• שרת הקבצים של החברה (fileserver.saffron-technologies.com), על מכונה בישראל, שבו נשמרים קבצים, צרופות ומסמכי חוזה. שרת זה הוא תשתית של החברה עצמה ולא של צד שלישי.
• מערכות ספקי המשנה המנויות בסעיף 12, בהיקף המידע המפורט שם ולמטרה המפורטת שם בלבד.

בעלי הרשאה מטעם החברה: עובדי החברה ונותני שירותים מטעמה שהוסמכו לכך במפורש, ושהגישה נדרשת להם לצורך מתן השירות, תחזוקתו, אבטחתו או טיפול בפניית תמיכה. גישה למידע הייצור מוגבלת לבעלי הרשאה אלה. הרשאת מנהל מערכת, שבאמצעותה ניתן למחוק משתמשים, מוגבלת להנהלת החברה בלבד.

בשירות מיושם כיום תפקיד משתמש אחד בלבד — בעל העסק. תפקיד עובד תוכנן ולא נבנה, ולפיכך אין כיום בשירות דרגות הרשאה נוספות מטעם בעל העסק.

החברה רשאית לבצע במידע לקוח הקצה את הפעולות הבאות, לצורך אספקת השירות בלבד:

• קריאה והצגה של המידע לצדדים המורשים בפרויקט.
• כתיבת מידע חדש ועדכון מידע קיים, לרבות מידע הנוצר בפעולת השירות עצמה כגון רישומי מצב, ציון "בריאות" ותוצרי תכונות הבינה המלאכותית.
• אחסון וגיבוי המידע במערכות המנויות בסעיף 7.
• שידור המידע לספקי המשנה המנויים בסעיף 12, בהיקף ולמטרה המפורטים שם.
• מחיקה, לרבות המחיקה האוטומטית של שיחות בינה מלאכותית לפי סעיף 9.2, ומחיקה יזומה לפי בקשת בעל העסק לפי סעיף 9.3.

החברה אינה רשאית לבצע פעולות שאינן נדרשות לאספקת השירות, לרבות הפקת מאגרים נגזרים, הצלבת מידע בין בעלי עסק שונים, או פרסום המידע.

9.1 משך

החברה מחזיקה במידע לקוח הקצה כל עוד מנוי בעל העסק פעיל, ולאחר סיום המנוי בהתאם לאמור להלן.

מחיקה לפי סעיף זה היא מחיקה מהמערכות החיות של החברה בתוך התקופה הנקובה לה. החברה מחזיקה גיבויים שוטפים של מסד הנתונים בייצור. עותק של מידע שנמחק נותר באותם גיבויים עד שנים עשר חודשים ממועד המחיקה, ולאחר מכן נדרס במחזור הרוטציה הרגיל של הגיבויים. הגיבויים משמשים לשחזור השירות לאחר תקלה ולא לכל מטרה אחרת. הבהרה זו מתארת היכן המידע עדיין מצוי, ואין בה כדי לגרוע מהתחייבות מחיקה כלשהי שבסעיף זה.

9.2 מחיקה אוטומטית של שיחות בינה מלאכותית

תהליך אוטומטי הפועל אחת ל-24 שעות מוחק ממסד הנתונים החי כל שיחת בינה מלאכותית שלא נגעו בה במשך 30 ימים. מחיקה זו פועלת בשירות בפועל, ואינה מותנית בבקשה. עותק נותר בגיבויים השוטפים עד שנים עשר חודשים, כאמור בסעיף 9.1.

9.3 השבת המידע ומחיקתו בסיום ההתקשרות

הצדדים מבהירים במפורש: בשירות אין כיום מנגנון עצמי לייצוא מידע או למחיקתו, וכל פעולה כאמור מבוצעת בידי החברה באופן ידני. בהתאם, החברה מתחייבת כדלקמן, וכל אחת מההתחייבויות הבאות מותנית בקבלת בקשה בכתב מבעל העסק לכתובת privacy@lens-hq.com:

• ייצוא: לפי בקשת בעל העסק, בכל עת במהלך המנוי או בתוך 90 ימים מסיומו, תרכז החברה עותק של מידע לקוח הקצה שלו ותמסור אותו לבעל העסק בתוך 30 ימים מהיום שבו הגיעה אליה הבקשה. זהו תהליך ידני המבוצע בידי אדם ולא ייצוא אוטומטי, שכן אין בשירות פונקציית ייצוא. החברה תמסור את העותק בצורה סבירה בנסיבות העניין ותתאם אותה עם בעל העסק מראש; היא אינה מתחייבת לפורמט קובץ מסוים, למבנה מסוים או לשלמות העיצוב.
• מחיקה: לפי בקשת בעל העסק, תמחק החברה את מידע לקוח הקצה שלו ממסד הנתונים ומאחסון הקבצים, בתוך 60 ימים מהיום שבו הגיעה אליה הבקשה. זוהי פעולה ידנית בהיקף רחב על שתי מערכות, ומשום כך התקופה ארוכה מ-30 הימים החלים על בקשה הנוגעת לאדם יחיד לפי מדיניות הפרטיות.
• ספקי משנה: ככל שמוחזקים עותקים של המידע אצל ספקי משנה, תורה החברה לספקים למחקם, בהיקף שמנגנוני הספק מאפשרים.
• שלילת הרשאות: עם סיום ההתקשרות תבטל החברה את הרשאות הגישה של בעל העסק ושל לקוחות הקצה שלו לשירות, ותודיע לבעל העסק על ביצוע הביטול.
• אישור בכתב: בתום ביצוע המחיקה תמסור החברה לבעל העסק אישור בכתב על מחיקת המידע והיקפה, על המידע שנותר מוחזק ומדוע, ועל כך שעותקים נותרים בגיבויים השוטפים עד שנים עשר חודשים ממועד המחיקה, כאמור בסעיף 9.1.

החברה אינה מחזיקה מסמכי נייר של בעל העסק ואינה מחזיקה ציוד קצה או מחשבים ניידים השייכים לו, ולפיכך אין מקום להשבתם.

9.4 מה נותר מוחזק, ומדוע

• כל עוד לא התקבלה בקשת מחיקה כאמור בסעיף 9.3, מידע לקוח הקצה נותר מוחזק אצל החברה גם לאחר סיום המנוי. פעולת מחיקה בשירות היא ברוב המקרים מחיקה רכה, שאינה מסירה את המידע האישי מהרשומה.
• השבתת לקוח קצה בשירות מסמנת דגל בלבד, אינה מוחקת מידע והיא הפיכה.
• רישום הקרדיטים והארנק אינו נמחק לעולם, שכן הוא רישום החיוב של חשבון בעל העסק. רישום זה אינו כולל פרטי קשר של לקוחות קצה.
• מידע שהחברה נדרשת או רשאית להחזיק לפי דין, או לצורך הגנה על זכויותיה בהליך משפטי, יוחזק לפרק הזמן הנדרש לכך.

החברה מיישמת את חובות אבטחת המידע החלות עליה כמחזיק. האמצעים שהיא מקיימת כוללים:

• אחסון השירות על תשתית ייעודית בישראל.
• הגבלת הגישה הרשתית למסד הנתונים, כך שאינו נגיש מרשת האינטרנט הפתוחה ומקבל חיבורים מהשרת עצמו ומכתובות הנכללות ברשימת היתר בלבד.
• שמירת הגיבויים השוטפים של מסד הנתונים בייצור בצורה מוצפנת.
• הפרדה לוגית בין בעלי עסק שונים ברמת היישום, לרבות אכיפת ההפרדה בשכבת הכלים המשמשת את סוכני הבינה המלאכותית, ולא באמצעות הנחיה בלבד.
• שמירת סיסמאות כתמצית מוצפנת בלבד.
• הגבלת הרשאות הגישה כמפורט בסעיף 7, והגבלת הרשאת מנהל המערכת להנהלת החברה.
• הפעלת בקרת גישה ברמת האובייקט הבודד והשדה הבודד, כך שמשתמש מגיע רק למידע שהרשאותיו מתירות לו.
• החזקת סודות השירות ומפתחות הגישה בנפרד לכל סביבה, ולא בתוך קוד המקור.
• החזקת קוד המקור במאגר שהגישה אליו מחייבת אימות דו-שלבי.
• הגבלת העלאת שינויים לסביבת הייצור לגורם אחד המוסמך לכך, ובדיקת השינוי כחלק מתהליך ההעלאה.
• קיום כלים אוטומטיים לבדיקות אבטחה מול הקוד ומול השירות הפועל, וסינון רכיבי צד שלישי לאיתור פגיעויות ידועות, כחלק מתהליך הפיתוח.
• הימנעות מכתיבת גופי ההנחיות והתשובות של תכונות הבינה המלאכותית ליומני היישום.
• ניטור שגיאות ואירועים חריגים לצורך זיהוי תקלות וטיפול בהן.
• רישום בלתי הפיך של פעולות מהותיות בשירות, במסגרת היסטוריית הטיפול.
• קיום נוהל פנימי מתועד לטיפול בחולשת אבטחה שהתגלתה, לרבות הערכתה, תיקונה ומתן הודעה ככל שהדין מחייב זאת.

בעל העסק רשאי להתנות הוראות אבטחה נוספות, ובלבד שהוסכמו עם החברה בכתב מראש ושהן ניתנות ליישום במסגרת השירות. בהיעדר הסכמה כאמור, חלות הוראות סעיף זה.

החברה אינה מוסרת התחייבות או ערובה לכך שלא יתרחש אירוע אבטחה, ואינה מוסרת הבטחה לזמינות, לגיבוי או לרמת אבטחה מסוימת.

החברה תחייב כל בעל הרשאה מטעמה — עובד, נותן שירותים, קבלן משנה או כל גורם אחר שיש לו גישה למידע לקוח הקצה — בהתחייבות בכתב לכל אלה:

• שמירה על סודיות המידע, בין במהלך ההתקשרות ובין לאחריה, ללא הגבלת זמן.
• שימוש במידע אך ורק לצורך מתן השירות ובמסגרת המטרות שבסעיף 6.
• יישום אמצעי אבטחת המידע שבסעיף 10.
• איסור העתקה, הוצאה או שמירה של המידע מחוץ למערכות המנויות בסעיף 7.
• דיווח מיידי לחברה על כל אירוע אבטחה או חשד לאירוע אבטחה.

התחייבות כאמור תיחתם טרם מתן הגישה למידע.

בעל העסק מאשר לחברה להיעזר בספקי משנה לצורך אספקת השירות. החברה מתחייבת להתקשר עם כל ספק משנה בתנאים בכתב המטילים עליו חובות הגנת מידע השקולות מהותית לחובות החלות על החברה לפי נספח זה, ולהישאר אחראית כלפי בעל העסק לביצועיהם של ספקי המשנה שהיא מעסיקה.

ספקי המשנה המשמשים במועד גרסה זו, והיקף המידע שכל אחד מהם מקבל:

• Anthropic (Claude) — מקבלת את התוכן הנשלח לתכונות הבינה המלאכותית: נוסחי משימות, שלבים, הצעות, חוזים והודעות. פועלת בארצות הברית. משמעות הדבר היא שתוכן זה יוצא מגבולות ישראל. לפי תנאי ההתקשרות המסחריים של Anthropic, החברה אינה רשאית לאמן את מודליה על תוכן זה.
• Resend (Plus Five Five, Inc.) — מקבלת את כתובות הנמענים ואת גוף ההודעות בדואר היוצא, לרבות הזמנות לפרויקט והתראות. פועלת בארצות הברית.
• Sentry (Functional Software, Inc.) — מקבלת דיווחי שגיאה הכוללים כתובת IP ונתוני בקשה. פועלת בארצות הברית.
• Polar.sh — סוחר רשום לצורך גביית התמורה מבעל העסק. Polar אינה מקבלת מידע לקוח קצה. היא מנויה כאן לשם שלמות התמונה בלבד.
• Google reCAPTCHA — משמשת בטופס רשימת ההמתנה באתר השיווק בלבד. אינה מקבלת מידע לקוח קצה. מאז אפריל 2026 Google פועלת ביחס לשירות זה כמעבדת מידע במסגרת תנאי עיבוד המידע של Google Cloud, ולא כבעלת שליטה עצמאית.

אחסון המידע עצמו מתבצע בישראל: השירות פועל על שרת וירטואלי בתל אביב, והקבצים, הצרופות ומסמכי החוזה נשמרים בשרת הקבצים של החברה בתל אביב, כמפורט בסעיף 7. שרת קבצים זה הוא בבעלות החברה ובהפעלתה; אין הוא ספק משנה, והחזקת מידע בו אינה העברה. ספקי המשנה המנויים לעיל הם המרכיב החוצה גבולות.

שינוי ברשימה: החברה תודיע לבעל העסק על הוספת ספק משנה או על החלפתו, בדואר אלקטרוני לכתובת הרשומה בחשבון או בהודעה בשירות, 30 ימים מראש. בעל העסק רשאי להתנגד לשינוי בתוך 14 ימים מההודעה; בהיעדר הסכמה, רשאי בעל העסק לסיים את המנוי בלא חיוב נוסף, וסעיף 9 יחול.

דיווח שנתי: אחת לשנה קלנדרית תערוך החברה דיווח בכתב על אופן עמידתה בחובותיה לפי התקנות ולפי נספח זה. הדיווח יפורסם בעמוד ייעודי באתר השירות, ויימסר לבעל העסק ישירות לפי בקשתו בכתב, בתוך 30 ימים ממועד הבקשה.

דיווח על אירוע אבטחה: החברה תודיע לבעל העסק על כל אירוע אבטחה הנוגע למידע לקוח הקצה שלו, בהקדם האפשרי ולא יאוחר מ-72 שעות ממועד שנודע לה עליו. ההודעה תכלול, ככל שהמידע ידוע במועדה, את מהות האירוע, סוגי המידע והיקף האנשים המושפעים, ההשלכות הצפויות והצעדים שננקטו או שיינקטו. ככל שפרטים אינם ידועים במועד ההודעה הראשונה, יימסרו בהודעות משלימות.

בעל העסק מצהיר ומתחייב:

• כי הוא רשאי להזין לשירות את פרטי לקוחות הקצה שלו ואת המידע אודותיהם, וכי האיסוף והשימוש נעשים כדין.
• כי מסר או ימסור ללקוחות הקצה שלו את ההודעה הנדרשת לפי סעיף 11 לחוק, ובכלל זה מהות המידע הנאסף, מטרת האיסוף, למי יימסר המידע ולאילו מטרות, האם מסירת המידע היא חובה ומה תוצאות אי-מסירתה, ופרטי הזכות לעיין במידע ולבקש את תיקונו.
• כי הוא אחראי לנכונות המידע שהזין, לעדכניותו ולרלוונטיות שלו למטרה שלשמה נאסף.
• כי לא יזין לשירות מידע מהסוגים שנשללו בסעיף 5.
• כי הוא אחראי לניהול הרשאות הגישה של לקוחות הקצה שהוא מזמין לפרויקטים, ולשמירת פרטי הכניסה שלו.
• כי ידוע לו שתכונות הבינה המלאכותית שולחות תוכן אל ספק הפועל בארצות הברית, כמפורט בסעיף 12, וכי עליו לשקול זאת בטרם יזין לשירות תוכן רגיש.
• כי הוא אחראי לבצע, בטרם ההתקשרות ובמהלכה, את הפעולות המוטלות עליו כבעל שליטה לפי תקנה 15(א)(1), 15(א)(3) ו-15(א)(4) — הערכה מקדמית של סיכוני ההתקשרות, עיגון תוצאותיה בנוהל אבטחת המידע שלו, וקיום אמצעי פיקוח ובקרה על החברה. החברה תסייע לו בכך כאמור בסעיף 16.

אירוע אבטחה חמור ידווח לרשות מיד עם גילויו, או עם התעורר חשש סביר להתרחשותו.

חובת הדיווח לרשות מוטלת על בעל השליטה במאגר, ובמקביל מוטלת על החברה כמחזיק חובת דיווח ישירה משלה. הצדדים יפעלו לתיאום ההודעות ולמסירת מידע זה לזה ככל שיידרש לצורך מילוי חובותיהם.

ככל שהרשות תורה על יידוע האנשים שנפגעו מן האירוע, החברה תסייע לבעל העסק בביצוע היידוע, ובכלל זה בהפקת רשימת הנמענים הרלוונטית.

החברה לא תמסור הודעה ללקוחות הקצה של בעל העסק על אירוע אבטחה מיוזמתה, אלא אם נדרשה לכך לפי דין או בהוראת הרשות, או אם בעל העסק לא פעל בעניין תוך פרק זמן סביר לאחר שקיבל הודעה לפי סעיף 13.

בקשה של לקוח קצה לעיין במידע אודותיו לפי סעיף 13 לחוק, או לתקנו לפי סעיף 14 לחוק, מופנית אל בעל העסק, שהוא בעל השליטה במאגר.

בקשה כאמור שתגיע אל החברה תועבר על ידה לבעל העסק הרלוונטי בלא דיחוי, ובכל מקרה בתוך 3 ימי עסקים מהיום שהגיעה אל החברה, כדי שהתקופה העומדת לרשות בעל העסק למתן מענה לא תיבלע בהעברה. החברה לא תשיב לבקשה לגופה במקומו.

לפי בקשה בכתב של בעל העסק, תסייע לו החברה במענה לבקשה, ובכלל זה תפיק עבורו את פירוט המידע המוחזק אודות לקוח הקצה או תבצע תיקון שאינו ניתן לביצוע מממשק השירות, בתוך 14 ימים מהיום שבו הגיעה אליה בקשתו, ובמועד מוקדם יותר ככל שבעל העסק מודיע כי התקופה העומדת לרשותו לפי דין מחייבת זאת.

מנגנון הפיקוח שנקבע בנספח זה מותאם להיקף הפעילות של החברה ולאופי השירות, והוא כדלקמן:

• אחת לשנה רשאי בעל העסק לשלוח לחברה שאלון בכתב בעניין אבטחת המידע ועמידה בהוראות נספח זה. החברה תשיב לשאלון בתוך 30 ימים ממועד קבלתו. ניתן להשתמש לשם כך בשאלון הבדיקה התקופתי שמפרסמת הרשות.
• בעל העסק רשאי לדרוש אסמכתאות סבירות התומכות בתשובות שניתנו, ובכללן מסמכי נוהל, אישורי ספקים, וממצאי בדיקה עדכניים ככל שקיימים. החברה רשאית להשמיט או להשחיר פרטים שגילוים עלול לפגוע באבטחת המערכת או בסודיות של לקוחות אחרים.
• בנוסף לדיווח השנתי לפי סעיף 13, וכן לאחר אירוע אבטחה מהותי, רשאי בעל העסק לדרוש דיווח נקודתי בכתב על הצעדים שננקטו.

למען הסר ספק, נספח זה אינו מקנה זכות לביקורת פיזית במשרדי החברה, לגישה למערכותיה או לביצוע בדיקות חדירה כנגד השירות. בקשה לביקורת בהיקף חורג טעונה הסכמה נפרדת בכתב ותישא בעלות המבקש.

נספח זה משלים את תנאי השימוש ואינו בא במקומם. בכל עניין שאינו מוסדר בנספח זה יחולו תנאי השימוש.

בכל מקרה של סתירה בין נספח זה לבין תנאי השימוש, בכל הנוגע לעיבוד מידע לקוח הקצה, יגברו הוראות נספח זה.

הוראות הגבלת האחריות שבתנאי השימוש יחולו גם על נספח זה, למעט בכל מקום שבו הדין אינו מתיר זאת.

אין באמור בנספח זה כדי להעביר לחברה את אחריותו של בעל העסק כבעל השליטה במאגר, ואין בו כדי לגרוע מחובותיה הישירות של החברה כמחזיק לפי החוק והתקנות.

החברה רשאית לעדכן נספח זה, בין היתר בעקבות שינוי בדין, שינוי בשירות או שינוי ברשימת ספקי המשנה.

נוסח מעודכן יפורסם באתר השירות עם מספר גרסה ותאריך תחילה. שינוי מהותי יובא לידיעת בעל העסק 30 ימים מראש, בדואר אלקטרוני לכתובת הרשומה בחשבון או בהודעה בשירות. בעל עסק שאינו מסכים לשינוי מהותי רשאי לסיים את המנוי לפני מועד התחילה, וסעיף 9 יחול.

על נספח זה חלים דיני מדינת ישראל. סמכות השיפוט הבלעדית בכל עניין הנוגע אליו נתונה לבתי המשפט המוסמכים בישראל.