הסכם עיבוד נתונים (DPA)
עודכן לאחרונה: 12.11.2026
הסכם זה הוא חלק מתקנון האתר ותנאי השירות, בין העסק שפותח חשבון בלידי (״העסק״, בעל השליטה במידע) לבין אורבן פתרונות, עוסק פטור (״לידי״, המעבד). הוא חל על המידע האישי של הלקוחות של העסק שלידי מעבדת בשמו. גרסה: 12.11.2026.
1. נושא העיבוד ומטרתו
לידי מעבדת מידע אישי רק כדי לספק לעסק את השירות: לענות בשמו ללקוחות בוואטסאפ, לזהות ולשמור את פרטי הפנייה, לשלוח לבעל העסק התראות וסיכומים, ולשמור את השיחות באפליקציה. פרטי העיבוד בנספח א׳.
2. הוראות העסק
- לידי תעבד את המידע רק לפי הוראות העסק — ההגדרות שהעסק קובע בשירות וההוראות בכתב — ולא לשום מטרה אחרת שלה.
- אם לידי תסבור שהוראה מנוגדת לדין, היא תודיע לעסק.
- לידי לא תמכור את המידע, לא תשתמש בו לפרסום, ולא תשתמש בשיחות של העסק לאימון מודלים.
3. התחייבויות העסק
- העסק אחראי שיש לו בסיס חוקי לעיבוד, ושהלקוחות שלו מקבלים את ההודעה הנדרשת על השימוש במידע (כולל שהמענה ניתן באמצעות בינה מלאכותית).
- העסק אחראי לעמידה במדיניות WhatsApp Business ובחוק התקשורת (סעיף 30א) בהודעות שנשלחות בשמו.
- העסק לא יזין לשירות מידע רגיש במיוחד שאינו נחוץ לפנייה.
4. סודיות
גישה למידע ניתנת רק לעובדים ולספקים שזקוקים לה כדי לספק את השירות, והם מחויבים לסודיות. גישת הצוות לחשבון של עסק לצורכי תמיכה נרשמת ביומן.
5. אבטחת מידע
לידי מפעילה אמצעי אבטחה מתאימים לרמת הסיכון, לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. העיקריים בנספח ב׳.
6. מעבדי משנה
- העסק מאשר את מעבדי המשנה ברשימה בנספח ג׳.
- לידי תודיע לעסק (במייל או באפליקציה) לפחות 14 יום לפני הוספה או החלפה של מעבד משנה, והעסק יוכל להתנגד מטעמים סבירים; אם לא תימצא פתרון, העסק רשאי לסיים את ההתקשרות.
- לידי מחייבת כל מעבד משנה בהתחייבויות הגנה על המידע שאינן פחותות מאלה שבהסכם זה, ואחראית כלפי העסק לפעולותיו.
7. העברה מחוץ לישראל
חלק ממעבדי המשנה פועלים מחוץ לישראל (באיחוד האירופי ובארה״ב). לידי תעביר מידע לחו״ל רק בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001.
8. סיוע בזכויות של הלקוחות
לידי תסייע לעסק לענות לבקשות של לקוחות לעיון, תיקון או מחיקה. בקשה שתגיע ישירות ללידי (למשל בטופס בקשות הפרטיות) תועבר לעסק ותטופל בתיאום איתו.
9. אירוע אבטחה
לידי תודיע לעסק בלי שיהוי, ולא יאוחר מ-48 שעות מרגע שנודע לה, על אירוע אבטחה שפגע במידע של העסק, ותמסור את הפרטים שבידיה, את הצעדים שננקטו ואת מה שנדרש מהעסק. לידי תסייע לעסק בדיווח לרשות להגנת הפרטיות ולנפגעים, כשנדרש.
10. סיום ההתקשרות
עם סיום ההתקשרות, ולפי בחירת העסק, לידי תמסור לעסק העתק של המידע בפורמט נפוץ (לפי בקשה בתוך 30 יום) ותמחק אותו בתוך 90 יום, אלא אם הדין מחייב לשמור. גיבויים נמחקים במחזור הרגיל שלהם (עד 7 ימים).
11. ביקורת ומידע
לידי תמסור לעסק, לפי בקשה סבירה, את המידע הדרוש כדי להראות שהיא עומדת בהסכם זה, ותענה לשאלונים סבירים על אבטחת המידע.
12. כללי
הגבלת האחריות, הדין והשיפוט — לפי תנאי השימוש. במקרה של סתירה בעניין עיבוד מידע אישי, הסכם זה גובר.
נספח א׳ — פרטי העיבוד
- נושאי המידע: לקוחות ופונים של העסק בוואטסאפ ובצ׳אט שבאתר, ואנשי קשר מהוואטסאפ של העסק (טלפון בלבד, לזיהוי שיחות פרטיות).
- סוגי המידע: טלפון, שם פרופיל, תוכן השיחה (כולל תמלול הודעות קוליות), מיקום אם שותף, פרטי הפנייה שהבוט מזהה, פרטי מודעה שממנה הגיע הלקוח, בקשה להפסקת הודעות.
- אופי העיבוד: קבלה ושליחה של הודעות, ניסוח תשובות בבינה מלאכותית, חילוץ פרטי פנייה, שמירה, הצגה לעסק, התראות.
- משך: כל עוד החשבון של העסק פעיל, ולפי סעיף 10. מידע טכני ויומנים נמחקים אוטומטית לפי מדיניות הפרטיות.
נספח ב׳ — אמצעי אבטחה
- הצפנה בתעבורה (HTTPS/HSTS) ובמנוחה; אסימוני גישה לוואטסאפ מוצפנים (AES-256-GCM) במפתח נפרד.
- הפרדה בין עסקים ברמת מסד הנתונים (Row Level Security), והרשאות מינימליות לכל תפקיד.
- גישת צוות מוגבלת, מאומתת ונרשמת ביומן.
- אימות חתימה בכל ה-webhooks, הגבלת קצב, מדיניות אבטחת תוכן (CSP).
- ניטור תקלות והתראות, גיבויים יומיים, ונוהל תגובה לאירוע אבטחה.
- סביבת בדיקות נפרדת לחלוטין מהייצור, בלי מידע של לקוחות.
נספח ג׳ — מעבדי משנה
- Supabase — מסד הנתונים, התחברות ואחסון קבצים — כל המידע במדיניות (שרתים בפרנקפורט, גרמניה)
- Vercel — אירוח האתר והאפליקציה ועיבוד הבקשות (שרתי העיבוד בפרנקפורט; רשת הפצה עולמית)
- OpenRouter — שער לבינה המלאכותית: תוכן השיחה, הגדרות העסק ופרטי הפנייה נשלחים כדי לנסח תשובות; הודעות קוליות לתמלול (ארה״ב)
- OpenAI (דרך OpenRouter) — מודל השפה ומודל התמלול (ברירת המחדל) (ארה״ב)
- Meta (WhatsApp Business Platform) — שליחה וקבלה של הודעות וואטסאפ, חיבור המספר, התראות לבעל העסק (עולמי)
- PayPlus — סליקת כרטיסי אשראי: דף התשלום, שמירת הכרטיס (טוקן) והוראת הקבע החודשית (ישראל)
- Twilio — המספר האמריקאי של לידי (SMS ושיחות שמגיעים אליו) (ארה״ב)
- Resend — שליחת מיילים של החשבון (אימות מייל, איפוס סיסמה) (ארה״ב)
- Cloudflare — ניתוב מיילים שנשלחים לכתובת שלנו (עולמי)
- GitHub — אחסון הקוד ובדיקות אוטומטיות — עם נתוני בדיקה בלבד, בלי מידע של לקוחות (ארה״ב)