GDPR ב-RecordX
RecordX מיושר לתקנת ההגנה על נתונים הכללית (Regulation (EU) 2016/679). הדף הזה מפרט מה זה אומר בפועל: איפה הנתונים יושבים, איך אנחנו מכבדים זכויות נשוא המידע, עילת העיבוד החוקית שלנו, ואיך חותמים הסכם עיבוד נתונים.
מיקום נתונים
כל ההקלטות, התמלולים, הסיכומים ונתוני החשבון נשמרים באיחוד האירופי - ספציפית ב-AWS eu-central-1
בפרנקפורט, גרמניה. איננו מעתיקים הקלטות בין אזורים. מידע של אזרחי האיחוד האירופי / EEA נשאר ב-EEA לצורכי
אחסון ועיבוד עיקרי.
RecordX מופעל על ידי HRD, שבסיסה בישראל. לישראל יש החלטת הלימות מהאיחוד האירופי, ולכן גישה תפעולית לנתוני האיחוד מישראל לא מחייבת Standard Contractual Clauses לפי סעיף 46. עבור כל sub-processor מחוץ ל-EEA שאינו מכוסה בהלימות, אנחנו נשענים על מנגנון סעיף 46 המתאים.
הזכויות שלכם לפי GDPR
זכות עיון (סעיף 15)
כל הקלטה, תמלול וסיכום שקשורים לחשבונכם זמינים לצפייה וייצוא מהאפליקציה. לייצוא מובנה מעבר לאפליקציה, שלחו לנו דוא"ל.
זכות תיקון (סעיף 16)
עדכנו את פרטי החשבון מ-Settings. לתיקוני תוכן, ערכו או מחקו את הפריט.
זכות למחיקה (סעיף 17)
מחקו הקלטות בודדות מהאפליקציה. מחקו את החשבון מ-Settings, Account, Danger Zone. כל המידע האישי נמחק לצמיתות בתוך 30 יום.
זכות לניידות (סעיף 20)
ייצאו את התמלולים והסיכומים בפורמט קריא-מכונה מהאפליקציה.
זכות להגבלה / התנגדות (סעיפים 18 / 21)
צרו קשר ב-security@recordx.io להגבלת עיבוד ספציפי או התנגדות לפעילות עיבוד בעילת אינטרס לגיטימי.
זכות תלונה (סעיף 77)
ניתן להגיש תלונה לרשות הפיקוח המקומית. בישראל: הרשות להגנת הפרטיות.
עילת עיבוד חוקית
- ביצוע חוזה (סעיף 6(1)(b)) - לנתוני חשבון, עיבוד אודיו, תמלול, סיכומים וחיוב.
- הסכמה (סעיף 6(1)(a)) - להקלטת צדדים שלישיים (מתקבלת על ידי המקליט לפני כל שיחה - ראו את ההסכם המשולב).
- אינטרסים לגיטימיים (סעיף 6(1)(f)) - למניעת הונאה (Recital 47 מכיר בזה כאינטרס לגיטימי), מאוזן מול זכויותיכם.
- חובה חוקית (סעיף 6(1)(c)) - לשמירת רישומי חיוב הנדרשים בחוק המס.
מה אנחנו לא עושים עם הנתונים שלכם
- איננו מוכרים מידע אישי.
- איננו משתמשים באודיו, תמלולים או סיכומים לאימון מודלי AI.
- איננו משתפים את התוכן שלכם עם לקוחות אחרים.
- איננו משתמשים ב-cookies של מעקב פרסומי ואיננו משתפים מידע התנהגותי עם רשתות פרסום. אנחנו משתמשים במעבד צד-שלישי לאנליטיקת מוצר (opt-in) ולהקלטות מפגש אנונימיות (ראו sub-processors למטה).
Sub-processors
RecordX משתמש בספקים תחת הסכמי עיבוד נתונים. העיקריים:
- AWS (פרנקפורט) - אחסון, זהויות מנוהלות, KMS.
- ספק בוט לפגישות - בשימוש רק כשאתם מבקשים מ-RecordX לשלוח בוט לפגישת Google Meet, Zoom, Microsoft Teams או Webex.
- ספקי תשלומים (Creem, Google Play, PayPal) - לחיוב בלבד; איננו שומרים מספרי כרטיסי אשראי.
- PostHog (EU cloud, פרנקפורט, גרמניה) - אנליטיקת מוצר והקלטות מפגש אנונימיות. מקבל כתובות עמוד, אינטראקציות של לחיצה וטופס, מידע גס על מכשיר ודפדפן, מזהה מכשיר אנונימי, ולאחר התחברות - מזהה החשבון שלכם והדוא"ל. שדות קלט מוסתרים בהקלטות מפגש. ההקלטות נשמרות למשך 30 יום. DPA: posthog.com/dpa.
רשימת sub-processors מלאה זמינה לפי בקשה.
אנליטיקת מוצר
אנחנו משתמשים במעבד צד-שלישי לאנליטיקת מוצר (מפורט ברשימת ה-sub-processors למעלה, כולל קישור ל-DPA שלו) כדי להבין איך משתמשים במוצר ולהקליט הקלטות מפגש אנונימיות לצורך דיבוג. הנתונים מאוחסנים באיחוד האירופי (פרנקפורט). המעבד מקבל: כתובות עמוד, אינטראקציות של לחיצה וטופס, מידע גס על מכשיר ודפדפן, מזהה מכשיר אנונימי, ולאחר התחברות - מזהה החשבון שלכם והדוא"ל. שדות קלט מוסתרים בהקלטות מפגש. ההקלטות נשמרות למשך 30 יום.
האנליטיקה והקלטות המפגש פועלות רק לאחר לחיצה על "אשר" בבאנר ההסכמה לקוקיז המוצג בדפי השיווק שלנו, או הקשה על "אשר" במסך ההסכמה לאנליטיקה בתוך האפליקציה המוצג בהפעלה הראשונה של אפליקציות המובייל שלנו. אם לחצתם "דחה" - או אם הדפדפן שלכם שולח את האות "Do Not Track" (Safari) או "Global Privacy Control" (Firefox, Brave, DuckDuckGo, הרחבות Chrome) - הבאנר נדחה אוטומטית ולא נאסף מידע אנליטי. ניתן לשנות את הבחירה בכל עת דרך "ניהול קוקיז" בפוטר בגרסת הווב, או דרך הגדרות > פרטיות > אנליטיקה באפליקציות המובייל.
הקלטת סשן זמינה רק בגרסת הווב; באפליקציות המובייל נשלחים אירועי אנליטיקה בלבד, ללא הקלטות.
המעבד הוא sub-processor תואם GDPR הפועל בתוך האיחוד האירופי. קיים הסכם עיבוד מידע (DPA) לפי סעיף 28 ל-GDPR.
הסכם עיבוד נתונים
אם אתם בקר במידה במאיחוד האירופי וזקוקים ל-DPA עם RecordX כמעבד לפי סעיף 28, שלחו דוא"ל אל legal@recordx.io עם הנושא "DPA request". אנחנו משתמשים בתבנית סטנדרטית שמפנה ל-SCCs במקרים הרלוונטיים.
הודעה על אירוע דליפת נתונים
במקרה של אירוע דליפת נתונים אישיים כהגדרתו בסעיף 33, נודיע לרשות הפיקוח הרלוונטית תוך 72 שעות במקרים הנדרשים, ולנשואי המידע שנפגעו ללא עיכוב מיותר כאשר הדליפה עלולה לגרום סיכון גבוה לזכויותיהם וחירויותיהם (סעיף 34).
איש קשר להגנת מידע
לכל שאלת הגנת מידע ובקשת נשוא מידע, שלחו דוא"ל אל security@recordx.io. אנחנו עונים תוך 30 יום כנדרש בסעיף 12.
קריאה נוספת: סקירת אבטחה, סקירת עמידה בתקינה, SOC 2, HIPAA, מדיניות פרטיות.