הסכם עיבוד נתונים (DPA)

הסכם זה נערך בין הלקוח (המבטח / השמאי / הארגון — "בעל המידע" / Controller) לבין GARAASSETS שמאות מאוחדת גלובלית ("מעבד המידע" / Processor), ומסדיר את עיבוד המידע האישי בהתאם ל-GDPR (Regulation EU 2016/679).

1. נושא ומשך העיבוד

העיבוד נדרש לצורך אספקת שירותי הפלטפורמה (תיעוד ראיות, חוות דעת, אימות). משך: תקופת המנוי + 7 שנים לשמירה סטטוטורית.

2. סוגי מידע וקטגוריות נושאי מידע

• קטגוריות נושאי מידע: לקוחות סופיים, מבוטחים, עדים, בעלי נכסים.
• סוגי מידע: פרטי זיהוי, פרטי קשר, כתובות נכסים, ראיות ויזואליות, מטא-דאטה גיאוגרפית.

3. חובות המעבד

• עיבוד רק לפי הוראות מתועדות של בעל המידע.
• סודיות: כל העובדים חתומים על NDA.
• אמצעי אבטחה טכניים וארגוניים לפי Art. 32: הצפנה, RLS, MFA, audit log.
• הודעה על אירוע אבטחה תוך 72 שעות.
• סיוע לבעל המידע במימוש זכויות נושאי מידע (DSAR) תוך 30 יום.
• מחיקה/החזרה של כל המידע בתום ההתקשרות.

4. Sub-Processors מאושרים

• Supabase (EU-Frankfurt) — אירוח + DB
• Paddle — Merchant of Record לתשלומים
• OpenAI / Google / Anthropic — עיבוד AI (ללא אימון על מידע לקוח)

5. העברות בינ״ל

SCCs (Standard Contractual Clauses) חתומות עם כל sub-processor מחוץ ל-EU.

6. ביקורות (Audit)

בעל המידע רשאי לבצע ביקורת פעם בשנה בהתראה של 30 יום. דוחות SOC 2 (בהכנה, Q4/2026) ו-ISO 27001 (בהכנה) יסופקו כתחליף לביקורת ישירה.

מסמך זה הוא תבנית בסיס — הגרסה הסופית לחתימה מוכנה על בסיס פרטי הלקוח הספציפי.