1. מטרה ותחולה
מדיניות זו מפרטת כיצד IGAMING S.R.L. (Szilaghi Consulting) עומדת בהוראות תקנה (EU) 2016/679 (GDPR) ובהוראות חוק 190/2018 של רומניה בכל תחומי פעילותה: האתר, התקשרויות עם לקוחות, הגשות לרגולטורים ושירותים שבמסגרתם אנו מטפלים במידע אישי מטעם לקוחות. האופן שבו אנו משתמשים במידע שלכם מוסבר במדיניות הפרטיות שלנו.
2. התפקידים שלנו
- האחראי לעיבוד (Controller) — לגבי מידע על המבקרים באתר שלנו, על פונים, על אנשי הקשר של לקוחותינו, ועל הבעלים ואנשי המפתח שאת מסמכיהם אנו אוספים לצורך בדיקת נאותות של לקוחות ובקשות רישיון.
- מעבד מידע (Processor) — כאשר אנו מטפלים במידע אישי עבור לקוח ועל פי הוראותיו, לדוגמה בהכנת דיווחים רגולטוריים, בניהול מרשמים סטטוטוריים או בפעולה כנציג מקומי. במקרים אלה אנו פועלים אך ורק על פי הוראות מתועדות, במסגרת הסכם עיבוד מידע העומד בדרישות סעיף 28 ל-GDPR.
3. העקרונות שאנו מיישמים
בהתאם לסעיף 5 ל-GDPR, אנו מעבדים מידע אישי באופן חוקי, הוגן ושקוף; למטרות מוגדרות בלבד; בהיקף המוגבל למה שנחוץ; באופן מדויק; לא יותר מהזמן הנדרש; ובאופן מאובטח. אנו מתעדים את האופן שבו אנו עומדים בעקרונות אלה (אחריותיות — accountability, סעיף 5(2)).
- צמצום מידע (data minimization): אנו מבקשים רק את המסמכים שהרגולטור או הדין דורשים לצורך הבקשה שלכם.
- פרטיות מובנית ופרטיות כברירת מחדל (privacy by design and by default) (סעיף 25): האתר שלנו אינו משתמש בקובצי Cookie של פרסום, של רשתות חברתיות או של מעקב בין אתרים. אנו מודדים את הביקורים באתר באמצעות Google Analytics 4, הנטען באמצעות תג Google (Google Tag Manager), שאותו תוכלו לכבות בכל עת בבאנר קובצי ה-Cookie, ובאמצעות סטטיסטיקת Matomo ללא קובצי Cookie, המופעלת בשרתי האחסון שלנו (ראו את מדיניות קובצי ה-Cookie). הטפסים שלנו אוספים רק את מה שנחוץ לנו כדי להשיב לכם.
- זהירות מיוחדת במידע רגיש: תעודות מרשם פלילי מעובדות רק כאשר דיני רישוי או דיני איסור הלבנת הון מחייבים זאת (סעיף 10 ל-GDPR); מספרי זיהוי לאומיים מעובדים רק בכפוף לאמצעי ההגנה הקבועים בסעיף 4 לחוק 190/2018.
4. רשומות והערכות השפעה
אנו מנהלים רשומה של פעולות העיבוד (סעיף 30). לפני תחילתו של עיבוד העלול לגרום לסיכון גבוה לזכויותיהם של אנשים, אנו עורכים הערכת השפעה על הגנת המידע (data-protection impact assessment, סעיף 35), וככל שנדרש — מתייעצים עם רשות הפיקוח.
5. אמצעי אבטחה
- הצפנת TLS לאתר ולהעברת דוא״ל; אחסון מוצפן של מסמכי זיהוי ומסמכי בדיקת נאותות.
- גישה מבוססת תפקידים: רק אנשים העוסקים בעניין מסוים יכולים לפתוח את התיקים שלו; אימות רב-שלבי (multi-factor authentication) בחשבונות העסקיים.
- התחייבויות סודיות של עובדים, של דירקטורים שהתקשרנו עמם ושל שותפים.
- ערוצים מאובטחים להחלפת מסמכים רגישים; איננו מקבלים מסמכי זיהוי באמצעות הטופס באתר.
- גיבויים סדירים, עדכוני אבטחה (patching) ובחינה תקופתית של אמצעים אלה (סעיף 32).
6. מעבדי המידע והשותפים שלנו
אנו משתמשים רק במעבדי מידע המספקים ערובות מספקות, על פי הסכמים בכתב העומדים בדרישות סעיף 28 ל-GDPR, ומנהלים רשימה שלהם. שותפים הפועלים בעניינכם כאחראים עצמאיים לעיבוד (independent controllers) — עורכי דין בעלי רישיון, נוטריונים, מעבדות בדיקות, בנקים ורגולטורים — מעבדים מידע בהתאם לחובות החלות עליהם.
7. העברות בינלאומיות
העברות מחוץ לאזור הכלכלי האירופי (EEA) מתבצעות בהתאם לפרק V ל-GDPR: על בסיס החלטות הלימות, ככל שקיימות; על בסיס סעיפים חוזיים תקניים (Standard Contractual Clauses, החלטה 2021/914), בצירוף הערכות השפעה על ההעברה (transfer impact assessments) במידת הצורך; ועל בסיס החריגים שבסעיף 49 לגבי הגשות שלקוחות מנחים אותנו לבצע לרגולטורים מחוץ ל-EEA.
8. הפרות של אבטחת מידע אישי
- בתפקידנו כאחראי לעיבוד, אנו מודיעים לרשות הפיקוח ANSPDCP בתוך 72 שעות מרגע שנודע לנו על הפרה העלולה לגרום לסיכון לזכויותיהם של אנשים (סעיף 33), ומיידעים את נושאי המידע שנפגעו ללא דיחוי מיותר כאשר הסיכון גבוה (סעיף 34).
- בתפקידנו כמעבד מידע, אנו מיידעים את הלקוח — האחראי לעיבוד — ללא דיחוי מיותר ומסייעים לו בהודעות שעליו למסור (סעיף 33(2)).
- כל הפרה מתועדת, לרבות השלכותיה והצעדים שננקטו לתיקונה.
9. בקשות של נושאי מידע
בקשות למימוש זכויות לפי ה-GDPR נענות בתוך חודש אחד, עם אפשרות להארכה בחודשיים נוספים לגבי בקשות מורכבות (סעיף 12(3)). כאשר אנו פועלים כמעבד מידע, אנו מעבירים את הבקשות ללקוח — האחראי לעיבוד — ומסייעים לו. שלחו בקשות אל hello@szilaghi.com.
10. שמירה ומחיקה
אנו שומרים מידע רק לתקופות המפורטות במדיניות הפרטיות שלנו, ולאחר מכן מוחקים אותו או מבצעים בו התממה. בתום התקשרות לעיבוד מידע, תיקי הלקוח מוחזרים לו או נמחקים, אלא אם הדין מחייב אותנו לשמור אותם.
11. אנשים והדרכה
כל מי שמטפל במידע אישי מטעמנו מקבל הדרכה על כללים אלה ומחויב לסודיות. מדיניות זו נבחנת לפחות פעם בשנה.
מסמכים קשורים: תנאים והגבלות · מדיניות פרטיות · מדיניות קובצי Cookie · מדיניות GDPR