הסכם זה מסדיר את עיבוד המידע על הלקוחות של המשרד בשירות ״חישובנד״, בהתאם לחוק הגנת הפרטיות, התשמ״א־1981 (כולל תיקון 13), ולתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז־2017 (ובפרט תקנה 15 — מיקור חוץ). ההסכם מצורף לתקנון ולמדיניות הפרטיות ומהווה חלק מהם.
1. הצדדים והגדרות
1.1. ״המשרד״ — הלקוח של השירות (רואה חשבון, יועץ מס או משרד), שפתח חשבון בשירות, לרבות עובדיו שהוא הוסיף לחשבון המשרד. המשרד הוא בעל המאגר (בעל השליטה) לגבי המידע על הלקוחות שלו.
1.2. ״המפעיל״ — חישובנד, המפעיל את השירות. לגבי המידע על לקוחות המשרד, המפעיל הוא מחזיק (מעבד מידע) הפועל מטעם המשרד.
1.3. ״מידע הלקוחות״ — כל מידע שהמשרד מזין לשירות או מעלה אליו לגבי לקוחותיו: תיקי לקוחות, כרטיסי לקוח, מסמכים (מאזן בוחן, דוח פירוטים, דוח התאמה למס), תוצאות חישובים, דוחות ומכתבים.
1.4. מידע על המשרד עצמו ועל המשתמשים (שם, מייל, מנוי, יומני כניסה) — מעובד על ידי המפעיל כבעל המאגר, לפי מדיניות הפרטיות.
2. נושא העיבוד ומטרתו
2.1. המפעיל מעבד את מידע הלקוחות אך ורק כדי לספק למשרד את השירות: שמירת תיקי הלקוחות, קריאת מסמכים, חישובי מס, הפקת דוחות, מכתבים וטפסים, גיבוי, תזכורות ואבטחה.
2.2. המפעיל לא ישתמש במידע הלקוחות לשום מטרה אחרת — לא לשיווק, לא למכירה, לא לפרופילים ולא לאימון מודלים של בינה מלאכותית.
2.3. משך העיבוד — כל עוד המשרד משתמש בשירות, ועד המחיקה לפי סעיף 11.
3. סוגי המידע ונושאי המידע
- נושאי המידע: לקוחות המשרד (חברות, ובעלי המניות שלהן — יחידים וחברות).
- סוגי המידע: שם חברה ומספר חברה (ח.פ.), נתונים כספיים מהדוחות (מאזן בוחן, פירוטים, רווח והפסד, רווחים נצברים, דיבידנדים), שמות בעלי מניות, מספרי זהות / ח.פ. שלהם, שיעורי אחזקה, תחומי פעילות, נתוני מס ותוצאות חישובים, והקבצים המקוריים שהמשרד העלה.
- מידע זה כולל מידע על מצבו הכלכלי של אדם, ולכן הוא מוגן ברמת אבטחה בינונית לפחות.
4. עיבוד לפי הוראות המשרד
4.1. המפעיל יעבד את מידע הלקוחות רק לפי הוראות המשרד, כפי שהן באות לידי ביטוי בשימוש בשירות (הזנה, שמירה, מחיקה, ייצוא) ובהסכם זה.
4.2. אם המפעיל יידרש על פי דין למסור מידע — יודיע למשרד מראש, ככל שהדין מתיר.
4.3. המשרד אחראי לכך שיש לו בסיס חוקי להזין את המידע לשירות, ושהוא רשאי למסור אותו למפעיל לצורך העיבוד.
5. סודיות
המפעיל ישמור את מידע הלקוחות בסודיות. גישה אליו תינתן רק לבעלי תפקיד שזקוקים לה לצורך אספקת השירות, שהתחייבו לסודיות ושהודרכו על נוהל אבטחת המידע. ככלל, אנשי המפעיל אינם צופים בתיקי הלקוחות; צפייה תיעשה רק לבקשת המשרד (לצורך תמיכה) או אם הדין מחייב.
6. אבטחת מידע
המפעיל ינקוט אמצעי אבטחה ברמה הנדרשת לפי תקנות אבטחת מידע (רמה בינונית לפחות), ובהם:
- הפרדה מלאה בין משרדים בצד השרת — משרד אינו יכול לגשת למידע של משרד אחר.
- הצפנה של נתוני התיקים, כרטיסי הלקוח והמסמכים בבסיס הנתונים (AES‑256), והצפנת כל התקשורת (HTTPS).
- סיסמאות בגיבוב חד־כיווני, הגבלת ניסיונות התחברות, ואפשרות לאימות דו־שלבי (ובעל המשרד יכול לחייב אותו לכל הצוות).
- הרשאות לפי תפקיד בתוך המשרד (בעלים / מנהל / עובד / צפייה בלבד).
- תיעוד כניסות ופעולות ביומן.
- גיבוי יומי מוצפן.
- בדיקת קבצים מועלים מפני קוד זדוני, והגנה מפני תקיפות נפוצות.
7. ספקי משנה
7.1. המשרד מאשר למפעיל להיעזר בספקי המשנה הבאים לצורך אספקת השירות:
- Vercel Inc. (ארה״ב) — אירוח האתר והשרתים, וגיבויים מוצפנים.
- Turso / ChiselStrike Inc. — בסיס נתונים מנוהל (נתוני התיקים מוצפנים לפני שהם מגיעים אליו).
- Resend (ארה״ב) — שליחת מיילים (למשל תזכורות שבהן מופיעים שמות לקוחות).
- Anthropic PBC (ארה״ב) — בינה מלאכותית לסיווג חשבונות (שמות חשבונות בלבד) ולבקרת AI על התוצאה (רק כשהמשתמש לוחץ על כך). לפי תנאי הספק, המידע אינו משמש לאימון מודלים.
- Google (Gemini) — חלופה לספק הבינה המלאכותית, רק אם הופעלה.
- ספק סליקה — לגבייה בלבד; אינו מקבל את מידע הלקוחות.
7.2. המפעיל יתקשר עם כל ספק משנה בתנאים שמבטיחים הגנה שאינה פחותה מזו שבהסכם זה, ויישאר אחראי כלפי המשרד לעמידתו בהם.
7.3. על הוספה או החלפה של ספק משנה, המפעיל יודיע למשרד 14 יום מראש (במייל או בהודעה בשירות). משרד שמתנגד רשאי להפסיק את השירות, לייצא את המידע ולבקש את מחיקתו, בלי קנס.
8. העברה אל מחוץ לישראל
חלק מספקי המשנה מאחסנים או מעבדים מידע מחוץ לישראל (בעיקר בארה״ב). המפעיל יעביר מידע רק לספקים המחויבים, בהסכם, לרמת הגנה נאותה, בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א־2001. המשרד מאשר העברה זו.
9. סיוע בזכויות נושאי המידע
השירות מאפשר למשרד בעצמו לעיין במידע הלקוחות, לתקן אותו, לייצא אותו ולמחוק אותו (תיק שלם או מסמך בודד). אם תגיע אל המפעיל ישירות פנייה של לקוח של המשרד — המפעיל יעביר אותה למשרד בהקדם ולא ישיב עליה בעצמו, אלא לפי הוראת המשרד.
10. אירוע אבטחה
10.1. נודע למפעיל על אירוע אבטחה שעלול לפגוע במידע הלקוחות של המשרד — המפעיל יודיע למשרד ללא דיחוי, ולא יאוחר מ־72 שעות מהגילוי, ויכלול בהודעה את המידע הידוע לו: מה קרה, איזה מידע עלול להיות מושפע, ומה נעשה לבלימת האירוע.
10.2. המפעיל ישתף פעולה עם המשרד ככל שיידרש לצורך הדיווח של המשרד לרשות להגנת הפרטיות או ללקוחותיו, ויפעל לפי נוהל טיפול באירועי אבטחה.
11. סיום ההתקשרות ומחיקת המידע
11.1. מחיקה בידי המשרד: בכל עת המשרד רשאי למחוק תיק לקוח, מסמך, או את החשבון כולו — והמידע נמחק מהמערכת מיד.
11.2. סיום מנוי: בתום המנוי (ביטול או אי־חידוש) החשבון עובר למצב שבו אפשר לצפות במידע ולייצא אותו בלבד, למשך 90 יום. נשלחת תזכורת לפני המחיקה. בתום התקופה, אם המנוי לא חודש, תיקי הלקוחות והמסמכים נמחקים.
11.3. גיבויים: מידע שנמחק נעלם גם מהגיבויים תוך 7 ימים (מחזור הגיבויים).
11.4. מה נשאר: פרטי החשבון של המשרד, חשבוניות ורשומות תשלום, תיעוד ההסכמות ויומני האבטחה — נשמרים לתקופה הנדרשת לפי דין, ואינם כוללים את תוכן תיקי הלקוחות.
11.5. לבקשת המשרד, המפעיל יאשר בכתב שהמחיקה בוצעה.
12. דיווח וביקורת
12.1. המפעיל ימסור למשרד, לבקשתו ולפחות פעם בשנה, דיווח על אופן העמידה בהתחייבויות לפי הסכם זה ולפי תקנות אבטחת מידע (תקנה 15).
12.2. המפעיל יאפשר למשרד לבחון את עמידתו בהסכם באמצעות מסמכים ושאלונים סבירים, בתיאום מראש ובלי לחשוף מידע של משרדים אחרים או סודות אבטחה.
13. התחייבויות המשרד
- להזין לשירות רק מידע שהוא רשאי להזין, ובהיקף הנדרש לחישוב.
- לשמור על סודיות פרטי ההתחברות, להפעיל אימות דו־שלבי (מומלץ מאוד), ולהסיר מהחשבון עובדים שעזבו.
- לתת הרשאות לעובדים לפי הצורך (למשל צפייה בלבד), ולעמוד בחובות הסודיות המקצועיות החלות עליו.
- לעדכן את המפעיל על כל אירוע אבטחה בצד המשרד שעלול להשפיע על השירות.
14. כללי
14.1. הסכם זה נכנס לתוקף עם אישורו בהרשמה (או באישור המחודש בכניסה), ונשאר בתוקף כל עוד המפעיל מעבד מידע לקוחות של המשרד.
14.2. משתמש המאשר את ההסכם מצהיר שהוא מוסמך לעשות זאת בשם המשרד; עובד שהצטרף לחשבון של משרד — מאשר שידוע לו שהמשרד כפוף להסכם זה.
14.3. במקרה של סתירה בין הסכם זה לבין התקנון לגבי מידע הלקוחות — יגבר הסכם זה.
14.4. אחריות הצדדים כפופה לתקנון. על הסכם זה יחול הדין הישראלי.
14.5. שינוי בהסכם יפורסם בשירות ויחייב אישור מחדש בכניסה הבאה.
14.6. פניות בנושא ההסכם ופרטיות: dinah@c-b-cpa.co.il.