נספח עיבוד הנתונים של orb22

תאריך תחילה: 30 בספטמבר 2026

זה הנוסח ללקוחות בישראל, והוא הנוסח הקובע עבורם. ללקוחות מחוץ לישראל יש נוסח באנגלית.

נספח עיבוד נתונים זה ("הנספח" או "DPA") הוא חלק מתנאי השימוש בין DSBC Group, LLC ‏("DSBC", "המעבד") לבין הלקוח ("הלקוח", "בעל השליטה"). הוא חל כש-DSBC מעבדת מידע אישי בשם הלקוח באמצעות orb22. הוא מתקבל כשהלקוח מקבל את תנאי השימוש. עותק חתום על ידי שני הצדדים זמין לפי בקשה בכתובת support@22floor.com. אם יש סתירה בין נספח זה לבין תנאי השימוש, נספח זה גובר בענייני הגנת מידע. אם יש סתירה בין הסעיפים החוזיים התקניים או תנאי העברה אחרים שבסעיף 10 לבין נספח זה, תנאי ההעברה האלה גוברים.

1. הגדרות

• דיני הגנת המידע: כל החוקים שחלים על עיבוד מידע אישי לפי תנאי השימוש, כולל, לפי העניין: התקנה הכללית להגנת מידע של האיחוד האירופי 2016/679 ‏("GDPR") והחוקים הלאומיים שמיישמים את הנחיית ה-ePrivacy ‏2002/58/EC; ה-GDPR הבריטי, חוק הגנת המידע הבריטי 2018 (Data Protection Act 2018) ותקנות הפרטיות והתקשורת האלקטרונית 2003 (Privacy and Electronic Communications Regulations 2003); החוק הפדרלי השווייצרי להגנת מידע ‏("FADP"); חוק פרטיות הצרכן של קליפורניה, כפי שתוקן בחוק זכויות הפרטיות של קליפורניה, והתקנות שלו ‏("CCPA"), וחוקי פרטיות צרכנים אחרים של מדינות בארצות הברית; חוק הגנת המידע האישי והמסמכים האלקטרוניים של קנדה ‏("PIPEDA") וחוק הגנת המידע האישי במגזר הפרטי של קוויבק ("חוק הפרטיות של קוויבק"); חוק הפרטיות האוסטרלי 1988 (Privacy Act 1988) ועקרונות הפרטיות האוסטרליים ‏("APPs"); חוק הגנת הפרטיות, התשמ"א-1981, והתקנות לפיו, כולל תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 ("דיני הפרטיות הישראליים"); החוק הכללי להגנת מידע של ברזיל, חוק 13,709/2018 ‏("LGPD"); החוק היפני להגנת מידע אישי; חוק הגנת המידע האישי של סינגפור 2012; וחוק הגנת המידע האישי הדיגיטלי של הודו, 2023.
• מידע אישי: מידע הנוגע לאדם מזוהה או שניתן לזהותו, כולל "personal information" לפי ה-CCPA ומונחים מקבילים לפי דיני הגנת מידע אחרים, ש-DSBC מעבדת בשם הלקוח. בעיקר מידע על גולשים כהגדרתו בתנאי השימוש.
• בעל שליטה, מעבד, נושא מידע, עיבוד, אירוע אבטחה במידע אישי, רשות פיקוח: כהגדרתם ב-GDPR, ויש לקרוא אותם כמונחים המקבילים לפי דיני הגנת מידע אחרים (למשל, "business" ו-"service provider" לפי ה-CCPA, "בעל מאגר" ו"מחזיק" לפי דיני הפרטיות הישראליים, "data fiduciary" ו-"data processor" לפי הדין ההודי, ו-"organization" ו-"data intermediary" לפי דין סינגפור). למונחים "Sell", "Share" ו-"Business Purpose" יש המשמעות שב-CCPA.
• מעבד משנה: צד שלישי ש-DSBC מתקשרת איתו כדי לעבד מידע אישי.
• SCCs (הסעיפים החוזיים התקניים): הסעיפים החוזיים התקניים שאושרו בהחלטת היישום של הנציבות האירופית (EU) 2021/914, או כל סעיפים שיחליפו אותם ושהנציבות תאמץ.

2. תפקידים והיקף

• לגבי המידע האישי, הלקוח הוא בעל השליטה (וה-Business), ו-DSBC היא המעבד (וה-Service Provider). במקום שבו הלקוח עצמו הוא מעבד עבור צד שלישי, DSBC היא מעבד המשנה שלו, והלקוח מאשר שההוראות שלו מורשות על ידי אותו צד שלישי.
• DSBC היא בעל שליטה נפרד רק לגבי מידע על חשבונות לקוחות, כמתואר במדיניות הפרטיות שלה. נספח זה אינו חל על מידע זה.
• פרטי העיבוד מופיעים בנספח 1.

3. חובות הלקוח

• הלקוח אחראי לחוקיות המידע האישי ולחוקיות ההוראות שלו, כולל מסירת הודעת פרטיות לגולשים, קיום בסיס חוקי, וקבלת כל הסכמה שדיני הגנת המידע וחוקי האזנת סתר, ציתות והקלטת שיחות מחייבים, לפני שהשיחה מעובדת.
• הלקוח אחראי לכל הסכמה שנדרשת לשמירת מידע במכשיר של גולש או לקריאתו ממנו, מעבר למה שהכרחי לחלוטין כדי לספק את השיחה שהגולש ביקש, ולכיבוד הבחירות שנעשו בכלי העוגיות או ההסכמה שלו עצמו.
• הלקוח לא יורה ל-DSBC לעבד מידע רגיש (כמו קטגוריות מיוחדות לפי סעיף 9 ל-GDPR, מידע אישי רגיש לפי ה-CCPA, מידע בעל רגישות מיוחדת לפי חוק הגנת הפרטיות הישראלי, או מידע בריאותי), אלא אם יש ללקוח בסיס חוקי לכך, והודעת הפרטיות שלו מתארת את העיבוד. גם אז, הלקוח יגדיר את היועצת לבקש רק את המידע ההכרחי. מידע בריאותי מוגן לפי HIPAA ופרטים מזהים של ילדים מותרים רק לפי נספח נפרד וחתום.
• הלקוח ישאיר פעילים את הגילוי שמדובר ב-AI בתוך הווידג'ט, את ההודעה ואת שלב ההתחלה, ויקשר למדיניות הפרטיות שלו.
• הלקוח יקבל כל הסכמה לשיווק שנדרשת לפני שהוא מורה ל-DSBC לשלוח כתובות מייל של גולשים לכלי שיווק.
• הלקוח יבצע כל תסקיר השפעה על הגנת המידע, תסקיר השפעה על הפרטיות, הערכת העברה או הערכת סיכונים שדיני הגנת המידע מחייבים אותו, ויתייעץ עם רשויות פיקוח כשהדבר נדרש.

4. חובות DSBC (סעיף 28(3) ל-GDPR)

• הוראות. DSBC מעבדת מידע אישי רק לפי ההוראות המתועדות של הלקוח, כולל לגבי העברות בינלאומיות, אלא אם החוק מחייב אותה לפעול אחרת, ובמקרה כזה היא תודיע על כך ללקוח מראש, אלא אם החוק אוסר זאת. תנאי השימוש, נספח זה והאופן שבו הלקוח הגדיר את השירות (כולל חיבורים שהופעלו ומחיקות) הם ההוראות המלאות של הלקוח. DSBC תודיע ללקוח בהקדם אם היא סבורה שהוראה מסוימת מפרה את דיני הגנת המידע.
• סודיות. DSBC מבטיחה שהאנשים המורשים לעבד מידע אישי מחויבים לסודיות.
• אבטחה. DSBC מיישמת את האמצעים הטכניים והארגוניים שבנספח 2, כנדרש בסעיף 32 ל-GDPR ובהוראות מקבילות בדיני הגנת מידע אחרים, כולל תקנות הגנת הפרטיות (אבטחת מידע), ככל שהן חלות על DSBC כמחזיק.
• מעבדי משנה. DSBC מתקשרת עם מעבדי משנה רק כמפורט בסעיף 6.
• בקשות של נושאי מידע. בהתחשב באופי העיבוד, DSBC מסייעת ללקוח באמצעים מתאימים להשיב לבקשות למימוש זכויות של נושאי מידע. השירות מאפשר ללקוח לצפות ברשומות שיחה ולמחוק אותן. לפי בקשת הלקוח לכתובת support@22floor.com, ‏DSBC תאתר, תייצא, תתקן או תמחק מידע על גולשים, כולל באמצעות חיפוש לפי כתובת המייל של גולש. אם DSBC מקבלת בקשה ישירות, היא תעביר אותה ללקוח בלי עיכוב מיותר במקום שבו היא יכולה לזהות את הלקוח, ולא תשיב בעצמה אלא כדי להפנות את הפונה ללקוח.
• סיוע. DSBC מסייעת ללקוח בחובותיו לפי סעיפים 32 עד 36 ל-GDPR (אבטחה, הודעה על אירועי אבטחה, תסקירי השפעה על הגנת המידע והתייעצות מוקדמת) ולפי הוראות מקבילות בדיני הגנת מידע אחרים, כולל תסקירי השפעה על הפרטיות לפי חוק הפרטיות של קוויבק והערכות סיכונים לפי תקנות ה-CCPA, בהתחשב במידע שזמין ל-DSBC.
• רשומות. DSBC מנהלת רישום של העיבוד שהיא מבצעת עבור לקוחות, כנדרש בסעיף 30(2) ל-GDPR.
• מחיקה או החזרה. בסיום השירות, DSBC מוחקת או מחזירה מידע אישי כמפורט בסעיף 9.
• ביקורות. DSBC מעמידה לרשות הלקוח את המידע הדרוש כדי להוכיח עמידה בנספח זה, ומאפשרת ביקורות כמפורט בסעיף 8.

5. אין שימוש עצמאי

• DSBC לא תשתמש במידע אישי למטרותיה שלה. בפרט, DSBC לא תשתמש בתמלילים, בתשובות לשאלות פתיחה או במידע אישי אחר כדי לאמן, לכוונן או לשפר מודל AI כלשהו, כדי לבנות פרופילים של גולשים, כדי למקד פרסום או כדי להעשיר מאגרי מידע אחרים, ולא תשלב אותו עם מידע אישי מלקוחות או ממקורות אחרים, למעט כפי שתקנות ה-CCPA מתירות למטרה עסקית מותרת, כמו אבטחה ומניעת הונאה.
• DSBC אינה יוצרת טביעות קול או מזהים או תבניות ביומטריים אחרים מהאודיו של גולשים, אינה שומרת אודיו, ואינה משתמשת בשירות כדי לזהות גולשים לפי קולם או כדי לזהות רגשות.
• DSBC מחייבת את מעבדי המשנה שלה בתחום ה-AI לעבד מידע אישי רק כדי לספק לה את השירותים שלהם, ומשתמשת בהם לפי תנאי API שלפיהם הקלטים והפלטים אינם משמשים לאימון המודלים שלהם.
• DSBC רשאית ליצור מדדים תפעוליים שאינם כוללים תוכן שיחות ואינם מזהים אדם כלשהו (כמו מספר שיחות, משכי שיחות ושיעורי שגיאות) כדי להפעיל את השירות, לחייב עליו ולתחזק אותו.

6. מעבדי משנה

• הלקוח נותן ל-DSBC הרשאה כללית להתקשר עם מעבדי המשנה שמופיעים בכתובת he.22floor.com/legal/subprocessors. חיבורים שהלקוח מפעיל (כמו Klaviyo או וובהוק) הם נמענים שהלקוח בחר, לא מעבדי משנה של DSBC, והחוזה של הלקוח עצמו עם אותו ספק חל על המידע מרגע שנמסר.
• DSBC תיתן הודעה של 30 יום לפחות על מעבד משנה חדש או מחליף, על ידי עדכון הרשימה ושליחת מייל לבעל החשבון. הלקוח רשאי להתנגד מטעמים סבירים של הגנת מידע בתוך תקופה זו. הצדדים ידונו בהתנגדות בתום לב. אם היא לא נפתרת, הלקוח רשאי לסיים את החלק המושפע של השירות ולקבל החזר של דמים ששולמו מראש ולא נוצלו. במצב חירום, כמו הפסקת שירות של ספק או בעיית אבטחה, DSBC רשאית להחליף מעבד משנה מיד, ותיתן הודעה מוקדם ככל האפשר.
• DSBC מטילה על כל מעבד משנה חובות הגנת מידע שאינן מגינות פחות מנספח זה, כנדרש בסעיף 28(4) ל-GDPR, ונשארת אחראית כלפי הלקוח לביצועים של מעבדי המשנה שלה.

7. אירוע אבטחה במידע אישי

• DSBC תודיע ללקוח בלי עיכוב מיותר, ובכל מקרה תוך 48 שעות, מרגע שנודע לה על אירוע אבטחה במידע אישי שמשפיע על המידע האישי של הלקוח. מטרת הדבר היא לאפשר ללקוח לעמוד במועדים רגולטוריים קצרים, כמו 72 שעות לפי ה-GDPR, שלושה ימי עבודה לפי תקנת האירועים של ה-ANPD בברזיל, ודיווח מיידי לפי תקנות הגנת הפרטיות (אבטחת מידע) הישראליות.
• ההודעה תתאר, ככל שידוע באותו שלב, את אופי האירוע, את הקטגוריות ואת המספר המשוער של נושאי המידע ושל הרשומות שנפגעו, את התוצאות האפשריות, את האמצעים שננקטו או שמוצעים, ואיש קשר. DSBC תמסור מידע נוסף כשיהיה זמין, תנקוט צעדים סבירים כדי להכיל את האירוע ולתקן אותו, ותיתן ללקוח את מה שהוא צריך באופן סביר כדי להעריך את האירוע, כולל לפי מנגנון הדיווח על אירועי מידע של אוסטרליה (Notifiable Data Breaches).
• הודעה אינה הודאה באשמה. הלקוח אחראי להודעות לרשויות פיקוח ולנושאי מידע שחלות עליו כבעל השליטה, ו-DSBC לא תודיע להם בשם הלקוח אלא אם החוק מחייב זאת או שהוסכם כך.

8. ביקורות

• לפי בקשה בכתב, לא יותר מפעם בשנה, DSBC תמלא שאלון אבטחה סביר ותמסור סיכום של אמצעי האבטחה שלה ושל כל הסמכה או דוח רלוונטיים של צד שלישי לגבי מעבדי המשנה שלה.
• אם הדבר אינו מספיק כדי להוכיח עמידה, או אם רשות פיקוח דורשת זאת, הלקוח רשאי לבצע ביקורת, על חשבונו, בהודעה של 30 יום לפחות, בשעות העבודה, באופן שאינו משבש את הפעילות ואינו חושף מידע של לקוחות אחרים, באמצעות מבקר שמחויב לסודיות. סעיף זה הוא הדרך שבה הצדדים יעמדו בסעיף 8.9 ל-SCCs.

9. שמירה, מחיקה והחזרה

• DSBC מוחקת אוטומטית תמלילים של גולשים ורשומות שיחה, כולל סיכומי AI, 90 יום אחרי השיחה, או מוקדם יותר אם הלקוח מוחק אותם. רשומות רכישה נמחקות 90 יום אחרי הרכישה; כששיחה נמחקת מוקדם יותר, הרכישה שלה לא שומרת קישור לשיחה ולא כתובת מייל. מונים קצרי חיים של מגבלות נגד ניצול לרעה, כולל כתובות IP, פגים תוך יומיים. DSBC אינה שומרת את האודיו של השיחות.
• עם הסיום, הלקוח רשאי לבקש ייצוא של המידע האישי במשך 30 יום. לאחר מכן DSBC מוחקת אותו מהשירות הפעיל תוך 30 יום ומהגיבויים תוך 30 יום נוספים, אלא אם החוק מחייב את DSBC לשמור אותו, ובמקרה כזה DSBC תגן עליו ותעבד אותו רק כפי שהחוק מחייב. לפי בקשה, DSBC תאשר את המחיקה בכתב.

10. העברות בינלאומיות

• DSBC ומעבדי המשנה שלה מעבדים מידע אישי בארצות הברית, בישראל (לצורך גישה של אנשי הצוות של DSBC) ובמקומות האחרים שמופיעים בעמוד מעבדי המשנה. הלקוח מאשר את ההעברות האלה.
• האזור הכלכלי האירופי (EEA). להעברות של מידע אישי מה-EEA אל DSBC במדינה שאין לה החלטת הלימות, ה-SCCs משולבים בנספח זה בדרך של הפניה ומושלמים כך: מודול שני (מבעל שליטה למעבד) חל כשהלקוח הוא בעל שליטה, ומודול שלישי (ממעבד למעבד) כשהלקוח הוא מעבד; סעיף 7 (סעיף ההצטרפות) חל; בסעיף 9, אפשרות 2 (הרשאה כללית בכתב) חלה, עם תקופת ההודעה שבסעיף 6 לנספח זה; הנוסח האופציונלי בסעיף 11 אינו חל; בסעיף 13, רשות הפיקוח היא זו שנקבעת לפי אותו סעיף; בסעיף 17, אפשרות 1 חלה, והדין החל הוא דין אירלנד; בסעיף 18, לבתי המשפט של אירלנד סמכות שיפוט; נספח I מושלם על ידי נספח 1 לנספח זה, נספח II על ידי נספח 2, ונספח III על ידי רשימת מעבדי המשנה. הלקוח הוא מייצא המידע ו-DSBC היא מייבאת המידע. העברות לישראל מסתמכות על החלטת ההלימות של הנציבות האירופית לגבי ישראל.
• בריטניה. להעברות מבריטניה חל נספח העברת המידע הבינלאומית ל-SCCs של האיחוד האירופי שפרסם נציב המידע הבריטי (International Data Transfer Addendum, גרסה B1.0, בתוקף מ-21 במרץ 2022, כפי שיתוקן מעת לעת), כשטבלאות 1 עד 3 מושלמות על ידי נספח זה, וכל צד רשאי לסיים אותו כפי שמותר לפי טבלה 4.
• שווייץ. להעברות משווייץ חלים ה-SCCs, כשהפניות ל-GDPR נקראות כהפניות ל-FADP, הרשות המוסמכת היא הנציב הפדרלי השווייצרי להגנת מידע ולמידע (Swiss Federal Data Protection and Information Commissioner), ו"מדינה חברה" כוללת את שווייץ, כדי שנושאי מידע בשווייץ יוכלו לממש שם את זכויותיהם.
• ברזיל. להעברות של מידע אישי שכפוף ל-LGPD למדינה שאין לה החלטת הלימות של ה-ANPD, הסעיפים החוזיים התקניים שאושרו בהחלטת CD/ANPD מס' 19/2024 משולבים בלי שינוי, כשהלקוח הוא המייצא ו-DSBC היא המייבאת, והם גוברים על נספח זה לגבי העברות אלה. עותק חתום זמין לפי בקשה.
• ישראל. להעברות מישראל, DSBC מתחייבת, כנדרש בתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, לנקוט אמצעים נאותים להגנה על המידע האישי, ולא להעביר אותו הלאה לשום אדם מלבד מעבדי המשנה שלה, שמחויבים באותן חובות.
• קנדה, כולל קוויבק. DSBC תגן על מידע אישי שמועבר מקנדה ברמת הגנה דומה לזו שנדרשת לפי PIPEDA ולפי חוק הפרטיות של קוויבק, ותיתן ללקוח את המידע שהוא צריך באופן סביר כדי להשלים את ההערכה שנדרשת לפי סעיף 17 לחוק הפרטיות של קוויבק.
• אוסטרליה. DSBC תטפל במידע אישי שכפוף לחוק הפרטיות 1988 באופן שעולה בקנה אחד עם ה-APPs (למעט APP 1), כדי שהלקוח יוכל לעמוד ב-APP 8.
• מדינות אחרות. במקום שבו דיני הגנת מידע אחרים (כמו אלה של יפן, סינגפור או הודו) מחייבים אמצעים מסוימים להעברות, DSBC תגן על המידע האישי ברמה דומה לזו שאותו דין מחייב, ותשתף פעולה עם הלקוח כדי לקבוע כל תנאי נדרש.
• DSBC מבטיחה שהעברות המשך למעבדי משנה מכוסות ב-SCCs, או במסגרת פרטיות המידע בין האיחוד האירופי לארצות הברית (EU-US Data Privacy Framework) והרחבותיה לבריטניה ולשווייץ, כשמעבד המשנה מאושר במסגרת זו. אם מנגנון העברה מבוטל, הצדדים ישתפו פעולה כדי לקבוע חלופה.
• אם DSBC מקבלת בקשה ממשלתית למידע אישי, היא תודיע על כך ללקוח במקום שבו החוק מתיר, תתנגד לבקשה כשיש לכך יסוד סביר, ותגלה רק את המינימום הנדרש.

11. תנאי ה-CCPA וחוקי הפרטיות של מדינות בארצות הברית

לגבי מידע אישי שכפוף ל-CCPA, ‏DSBC היא Service Provider, והלקוח מוסר ל-DSBC מידע אישי רק למטרות העסקיות (Business Purposes) המוגבלות והמוגדרות של מתן השירות שמתואר בתנאי השימוש ובנספח 1 (ביצוע שירותים בשם הלקוח, אבטחה ושלמות, ואיתור ותיקון תקלות). DSBC:

• לא תמכור (Sell) ולא תשתף (Share) מידע אישי;
• לא תשמור, תשתמש או תגלה מידע אישי לשום מטרה, כולל מטרה מסחרית כלשהי, מלבד אותן מטרות עסקיות, או כפי שה-CCPA והתקנות שלו מתירים אחרת;
• לא תשמור, תשתמש או תגלה מידע אישי מחוץ לקשר העסקי הישיר בין DSBC ללקוח;
• לא תשלב מידע אישי עם מידע אישי שהיא מקבלת מאדם אחר או בשמו, או שהיא אוספת מהאינטראקציות שלה עצמה עם צרכנים, למעט כפי שתקנות ה-CCPA מתירות;
• תציית ל-CCPA ותספק את אותה רמת הגנת פרטיות שה-CCPA מחייב מעסקים;
• מעניקה ללקוח את הזכות לנקוט צעדים סבירים ומתאימים כדי להבטיח ש-DSBC משתמשת במידע האישי באופן שעולה בקנה אחד עם חובות הלקוח לפי ה-CCPA, כולל באמצעות הביקורות שבסעיף 8;
• תודיע ללקוח אם תקבע שהיא אינה יכולה עוד לעמוד בחובותיה לפי ה-CCPA, והלקוח יוכל אז לנקוט צעדים סבירים ומתאימים כדי לעצור ולתקן שימוש לא מורשה, כולל על ידי השעיית העברות או סיום השירות;
• תסייע ללקוח להשיב לבקשות של צרכנים, כולל על ידי מחיקה, תיקון או מתן גישה למידע אישי לפי הוראת הלקוח;
• תיתן ללקוח מידע שהוא צריך באופן סביר לכל הערכת סיכונים, ביקורת סייבר או דרישה בנושא טכנולוגיית קבלת החלטות אוטומטית לפי תקנות ה-CCPA שחלה על הלקוח;
• תחייב כל מעבד משנה לעמוד באותן חובות בחוזה כתוב.

לגבי חוקי פרטיות של מדינות אחרות בארצות הברית (כמו אלה של וירג'יניה, קולורדו, קונטיקט, יוטה, טקסס, אורגון, מונטנה, איווה, דלאוור, ניו המפשייר, ניו ג'רזי, נברסקה, טנסי, מינסוטה, מרילנד, אינדיאנה, קנטקי ורוד איילנד), DSBC פועלת כמעבד, ממלאת את הוראות הלקוח, שומרת על סודיות המידע האישי, מוחקת או מחזירה אותו בסיום השירות, מעמידה לרשות הלקוח את המידע הדרוש כדי להוכיח עמידה, מאפשרת הערכות סבירות, ומחייבת מעבדי משנה באותן חובות בחוזה כתוב, בהודעה ללקוח ועם הזדמנות להתנגד. DSBC מאשרת שהיא מבינה את ההגבלות שבסעיף זה ותציית להן.

12. תחומי שיפוט אחרים

• קוויבק. נספח זה הוא ההרשאה (mandate) הכתובה שנדרשת לפי סעיף 18.3 לחוק הפרטיות של קוויבק. DSBC תשתמש במידע האישי רק לצורך ההרשאה, לא תשמור אותו אחרי שההרשאה מסתיימת, ותודיע בלי דיחוי לאחראי על הגנת המידע האישי אצל הלקוח על כל הפרה או ניסיון הפרה של הסודיות.
• ישראל. DSBC פועלת כמחזיק של מאגר המידע של הלקוח. נספח זה מפרט את העניינים שנדרשים לפי תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), כולל המידע והמטרות המותרים (נספח 1), אמצעי האבטחה (נספח 2), סודיות, החזרה ומחיקה (סעיף 9) ודיווח על אירועים (סעיף 7). DSBC תמסור, לפי בקשה, דוח שנתי על עמידתה בחובות אלה.
• ברזיל. DSBC פועלת כמפעיל (operator) לפי ה-LGPD, ומעבדת מידע אישי לפי ההוראות החוקיות של הלקוח.
• סינגפור והודו. DSBC פועלת כמתווך מידע (data intermediary) או כמעבד מידע (data processor), מגינה על המידע האישי באמצעי אבטחה סבירים, שומרת אותו רק כל עוד הורו לה, ומודיעה ללקוח על אירועי אבטחה כמפורט בסעיף 7.

13. אחריות ותקופה

האחריות של כל צד לפי נספח זה כפופה להגבלות שבתנאי השימוש, למעט במקום שבו דיני הגנת המידע או ה-SCCs אינם מאפשרים הגבלות כאלה כלפי נושאי מידע. נספח זה עומד בתוקפו כל עוד DSBC מעבדת מידע אישי עבור הלקוח.

נספח 1: פרטי העיבוד

• הצדדים. מייצא המידע: הלקוח, לפי פרטי הקשר שבחשבון שלו, כבעל שליטה (או כמעבד). מייבא המידע: DSBC Group, LLC, 1111B South Governors Avenue, Dover, DE 19904, United States, ‏support@22floor.com, כמעבד (או כמעבד משנה). חתימה ותאריך: בקבלת תנאי השימוש.
• קטגוריות של נושאי מידע. גולשים באתרים ובעמודים המתארחים של הלקוח שמשתמשים ביועץ. אנשי צוות של הלקוח שבודקים יועצים.
• קטגוריות של מידע אישי. אודיו קולי (מעובד בזמן אמת, ואינו נשמר על ידי DSBC); תמלילי שיחות; תשובות לשאלות פתיחה; שם וכתובת מייל אם נמסרו; אתר, עמוד ומקור תנועה; הגרסה והשעה של ההודעה שהתקבלה; תזמון השיחה ואירועי אינטראקציה (כרטיסים והצעות שהוצגו או נלחצו); סיכומים או הערכות שנכתבו על ידי AI; מזהה מכשיר אקראי; כתובת IP (רק במונים קצרי חיים נגד ניצול לרעה). אם הלקוח מפעיל מעקב רכישות: מספר ההזמנה, הסכום, המטבע וקודי ההנחה של רכישות שהותאמו לשיחה, מזהה גולש אקראי של צד ראשון ומזהה שיחה (שנשמרים כגיבוב יחד עם השיחה), וכתובת המייל רק כשהיא תואמת לזו שהגולש הקליד בשיחה (אחרת גיבוב עם salt).
• מידע רגיש. השירות אינו מיועד לאיסוף מידע רגיש. הלקוח רשאי להגדיר אותו כך רק אם יש לו בסיס חוקי והודעת פרטיות משלו שמתארת זאת, כאמור בהתחייבויות הלקוח בנספח זה. גולשים עשויים למסור אותו מיוזמתם בשיחה. אמצעי הגנה: ההודעה מבקשת מגולשים לא לשתף מידע רגיש; הסתרה של כתובות מייל ורצפים ארוכים של ספרות בתמלילים השמורים; גישה מוגבלת; מחיקה אוטומטית אחרי 90 יום; מחיקה של שיחות בודדות לפי דרישה.
• תדירות. רציפה, לכל שיחה.
• אופי ומטרה. זיהוי דיבור והפקת דיבור בזמן אמת לשיחות מכירה מבוססות AI; מענה לשאלות מתוך הידע של הלקוח; חילוץ תשובות לשאלות פתיחה; כתיבת סיכומים (שמסומנים כ-AI) והערכות; התאמת רכישות לשיחות כשהלקוח מפעיל מעקב רכישות, תוך כיבוד הסכמה לעוגיות כשהלקוח מבקש זאת ותמיד כיבוד של Global Privacy Control; שמירה והצגה של תמלילים ונתונים ללקוח; שליחת מידע לחיבורים שהלקוח מפעיל; מניעת ניצול לרעה ואבטחה.
• שמירה. כמפורט בסעיף 9.
• מעבדי משנה. כמפורט בעמוד מעבדי המשנה, למטרות ובמקומות שמופיעים שם.

נספח 2: אמצעי אבטחה טכניים וארגוניים

• הצפנה. TLS לכל המידע בהעברה, כולל אודיו WebRTC ‏(DTLS-SRTP). מידע באחסון מוצפן על ידי ספק האחסון (Cloudflare).
• שער הסכמה. אין גישה למיקרופון ואין העברת אודיו עד שהגולש לוחץ על התחלה, אחרי שראה את הגילוי שמדובר ב-AI ואת ההודעה. גרסת ההודעה ושעת התחלת השיחה נשמרות עם כל שיחה.
• צמצום מידע. אין שמירת אודיו. אין טביעות קול ואין תבניות ביומטריות. כתובות IP נשמרות רק במונים נגד ניצול לרעה שפגים תוך יומיים, ולעולם אינן נשמרות עם תמלילים. כתובות מייל ורצפים ארוכים של ספרות מוסתרים בתמלילים השמורים. מחיקה יומית אוטומטית של תמלילים ורשומות שיחה שגילם מעל 90 יום.
• בקרת גישה. הפרדה בין סביבות עבודה בכל שאילתה. גישה לפי תפקידים. גישת צוות למידע בסביבת הייצור מוגבלת לאנשים מסוימים שצריכים אותה לתמיכה או לאבטחה, עם אימות רב-שלבי בחשבונות הספקים. סיסמאות נשמרות כגיבובי PBKDF2 עם salt. עוגיות סשן מסומנות HttpOnly, ‏Secure ו-SameSite.
• אבטחת האפליקציה. אסימונים לכל שיחה, רשימות דומיינים מורשים (אופציונליות) ליועצים מוטמעים, מגבלות קצב לכל מכשיר, לכל רשת, לכל יום ולכל סביבת עבודה, תקרות לאורך שיחה, מגבלות לגודל קלט, ופרטי גישה קצרי חיים לסשנים קוליים, כך שמפתחות API לעולם לא מגיעים לדפדפן.
• ניהול סודות. מפתחות API נשמרים כסודות סביבה מוצפנים, לא בקוד, ומוחלפים כשיש שינויים בצוות או חשד לחשיפה.
• רישום יומנים. יומנים תפעוליים נמנעים מתוכן שיחות וממידע אישי ככל שהדבר מעשי, ונשמרים לתקופה קצרה.
• עמידות. מסד נתונים מנוהל עם שחזור לנקודת זמן. אחסון מבוזר גלובלית עם הגנה מפני מתקפות DDoS.
• ניהול ספקים. מעבדי משנה מחויבים בתנאי הגנת מידע כתובים, וספקי ה-AI משמשים לפי תנאי API עסקיים, בלי אימון על קלטים או פלטים.
• תגובה לאירועים. תהליך מתועד לזיהוי, הכלה, בדיקה והודעה, במועדים שבסעיף 7.
• כוח אדם. חובות סודיות והדרכה בפרטיות ובאבטחה לכל מי שיש לו גישה למידע אישי.