נספח עיבוד מידע (DPA)

נספח זה הוא חלק בלתי נפרד מתנאי השימוש של גלריון בע"מ, מספר חברה 212080667, הרב עובדיה יוסף 9, רכסים ("גלריון"). הוא חל על כל צלם שפותח חשבון צלם בגלריון ("הצלם"). כשהצלם מאשר את תנאי השימוש, הוא מאשר גם את הנספח הזה. בנושאים של מידע אישי, הנספח גובר על תנאי השימוש.

1. למה הנספח הזה קיים

1.1. הצלם מעלה לגלריון מידע על הלקוחות שלו ועל אנשים אחרים: שמות ופרטי קשר, תמונות, הזמנות, מסמכים ותשלומים. לגבי המידע הזה, הצלם הוא בעל השליטה במאגר המידע, כי הוא קובע למה המידע נאסף ומה עושים בו. גלריון היא מחזיקה, כלומר גורם חיצוני שמעבד את המידע בשביל הצלם, כמשמעות המונחים בחוק הגנת הפרטיות, התשמ"א-1981 ("החוק").

1.2. הנספח מסדיר את מה שתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 ("תקנות אבטחת המידע") דורשת לקבוע בהסכם עם גורם חיצוני: איזה מידע ולאיזו מטרה, לאילו מערכות יש גישה, איזה עיבוד מותר, משך ההתקשרות, החזרה ומחיקה בסיום, אבטחת מידע, סודיות, ספקי משנה, דיווח שנתי והודעה על אירוע אבטחה.

1.3. מה לא בנספח: מידע שגלריון אוספת לצרכים שלה כבעלת שליטה, כמו פרטי החשבון והחיוב של הצלם עצמו, דיוור של גלריון לצלמים, וחיפוש צלמים באתר. המידע הזה מתואר במדיניות הפרטיות.

2. הגדרות

• "מידע הלקוחות": מידע אישי, כהגדרתו בחוק, שהצלם, אנשי הצוות שלו או הלקוחות שלו מעלים או יוצרים בחשבון של הצלם, כמפורט בתוספת א'.
• "נושא מידע": אדם שמידע הלקוחות מתייחס אליו, למשל לקוח של הצלם, אדם שמופיע בתמונה, אורח באירוע או איש צוות של הצלם.
• "ספק משנה": גורם חיצוני שגלריון נעזרת בו כדי לתת את השירות, ויש לו גישה למידע הלקוחות. הרשימה בתוספת ב'.
• "אירוע אבטחה": אירוע שמעלה חשש לפגיעה בשלמות מידע הלקוחות, לשימוש בו בלי הרשאה או לחריגה מהרשאה (תקנה 11(א) לתקנות אבטחת המידע).
• "אירוע אבטחה חמור": כהגדרתו בתקנה 1 לתקנות אבטחת המידע.
• שאר המונחים כמשמעותם בחוק ובתקנות שלפיו.

3. המידע, המטרות וסוגי העיבוד

3.1. איזה מידע, על מי, למה ואיזה עיבוד מותר: מפורט בתוספת א'.

3.2. גלריון תעבד את מידע הלקוחות רק כדי לתת לצלם את השירות לפי תנאי השימוש, ורק לפי ההוראות של הצלם. ההוראות של הצלם הן: תנאי השימוש, הנספח הזה, ההגדרות והפעולות שהצלם או אנשי הצוות שלו מבצעים בחשבון, והוראות נוספות שהצלם שולח בכתב לממונה הגנת הפרטיות של גלריון.

3.3. גלריון לא תשתמש במידע הלקוחות למטרות שלה, לא תמכור אותו, לא תשלח ללקוחות של הצלם דבר פרסומת של גלריון על סמך המידע הזה, ולא תאמן עליו מודלים של בינה מלאכותית.

3.4. חריגים: גלריון רשאית לעבד מידע הלקוחות גם (א) כדי לאבטח את השירות, לזהות שימוש לרעה ולתעד גישה לפי תקנות אבטחת המידע; (ב) כשהדין מחייב אותה. במקרה (ב) גלריון תודיע לצלם לפני העיבוד, אלא אם הדין אוסר זאת.

3.5. אם גלריון סבורה שהוראה של הצלם מפרה דין, היא תודיע לו ורשאית לא לבצע אותה עד שהעניין יתברר.

4. ההתחייבויות של הצלם

4.1. הצלם אחראי לכך שיש לו בסיס חוקי לאסוף את מידע הלקוחות ולהעלות אותו לגלריון, ושמסר לנושאי המידע את ההודעה הנדרשת לפי סעיף 11 לחוק, כולל העובדה שהמידע מעובד אצל ספק שירות.

4.2. תמונות של קטינים: הצלם מעלה אותן רק בהסכמת ההורה או האפוטרופוס, ומגדיר למי הגלריה גלויה.

4.3. הצלם לא יעלה לגלריון מידע בעל רגישות מיוחדת שאינו נדרש לשירות, כמו מידע רפואי או מספרי זהות, מעבר למה שנדרש בדין להפקת מסמך.

4.4. הצלם אחראי לאנשי הצוות שהוא מוסיף לחשבון ולהרשאות שהוא נותן להם.

4.5. הצלם אחראי לשמור בסוד את הסיסמאות ואמצעי האימות שלו ושל אנשי הצוות שלו.

5. סודיות

5.1. גלריון תיתן גישה למידע הלקוחות רק לעובדים ולנותני שירות מטעמה שהתפקיד שלהם מחייב זאת, ובמידה שנדרשת לתפקיד בלבד (תקנה 8). רשימת התפקידים ורמות הגישה: תוספת א', סעיף 6.

5.2. כל מי שמקבל גישה כזו מטעם גלריון חותם קודם על התחייבות בכתב לשמור על סודיות המידע, להשתמש בו רק לפי הנספח הזה, ולקיים את אמצעי האבטחה שבו (תקנה 15(א)(2)(ו)). ההתחייבות נשארת בתוקף גם אחרי שהוא מסיים את תפקידו.

5.3. גלריון מזכירה לבעלי ההרשאות שלה שלפי סעיף 16 לחוק, גילוי מידע שהגיע אליהם בתוקף תפקידם הוא עבירה.

5.4. גלריון תבטל את ההרשאות של מי שסיים את תפקידו מיד עם סיומו (תקנה 8(ג)).

6. אבטחת מידע

6.1. גלריון תאבטח את מידע הלקוחות לפי סעיף 17 לחוק ולפי תקנות אבטחת המידע, ברמה שחלה על מאגר ברמת אבטחה בינונית, גם אם על המאגר של צלם מסוים חלה רמה נמוכה יותר.

6.2. האמצעים העיקריים, שפירוט מעודכן שלהם מופיע בדף אבטחת המידע:

• אימות דו-שלבי חובה לצלמים, למנהלים ולאנשי צוות, וניתוק אוטומטי אחרי זמן ללא פעילות.
• סיסמאות נשמרות רק כגיבוב חד-כיווני.
• הצפנת תעבורה (HTTPS, ‏TLS 1.2 ומעלה).
• פרטי כרטיס אשראי מוקלדים אצל חברת הסליקה ולא נשמרים אצל גלריון.
• הרשאות לפי תפקיד, ואנשי צוות של צלם ניגשים רק למה שהצלם התיר.
• יומן בקרה אוטומטי של כל גישה, מוגן מפני שינוי ומחיקה, שנשמר 24 חודשים לפחות (תקנה 10).
• זיהוי אוטומטי של פעילות חריגה והתראה לממונה.

6.3. גלריון מחזיקה נוהל אבטחת מידע (תקנה 4), דנה לפחות פעם בשנה באירועי האבטחה ובצורך לעדכן את הנוהל (תקנה 11(ג)), ומקיימת ביקורת אבטחת מידע לפחות פעם ב-24 חודשים (תקנה 16).

6.4. גלריון לא תוריד את רמת האבטחה של מידע הלקוחות במהלך ההתקשרות.

7. ספקי משנה

7.1. הצלם מאשר לגלריון להיעזר בספקי המשנה שבתוספת ב'. כל ספק מקבל רק את המידע שנדרש לשירות שהוא נותן.

7.2. עם כל ספק משנה גלריון תחתום על הסכם בכתב שכולל את כל הנושאים שבתקנה 15 לתקנות אבטחת המידע, ושמחייב אותו לרמת הגנה שלא פחותה מזו שבנספח הזה (תקנה 15(א)(2)(ז)). לפני ההתקשרות גלריון בוחנת את סיכוני אבטחת המידע שבה (תקנה 15(א)(1)).

7.3. ספק חדש: לפני שגלריון מוסיפה ספק משנה או מחליפה ספק, היא תעדכן את תוספת ב' ותשלח לצלם הודעה באימייל 30 יום מראש. צלם שמתנגד יכול לכתוב לממונה הגנת הפרטיות בתוך התקופה הזו, ואם לא נמצא פתרון, לבטל את המנוי בלי קנס ולקבל החזר יחסי על תקופה ששולמה ולא נוצלה.

7.4. מקרה דחוף: אם ספק צריך להיות מוחלף מיד כדי למנוע פגיעה באבטחה או בזמינות, גלריון תחליף אותו ותודיע לצלם בהקדם, ולכל המאוחר בתוך 7 ימים, והצלם יכול להתנגד לפי סעיף 7.3.

7.5. גלריון אחראית כלפי הצלם לפעולות של ספקי המשנה כמו לפעולות שלה.

8. העברת מידע אל מחוץ לישראל

8.1. מידע הלקוחות לא נשמר בישראל. השרת הראשי נמצא בצרפת, הקבצים מאוחסנים באירופה, וחלק מספקי המשנה הם חברות בארה"ב. המדינה של כל ספק מופיעה בתוספת ב'.

8.2. הצלם מאשר את ההעברות האלה. גלריון תעביר מידע אל מחוץ לישראל רק לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ובכלל זה רק למקבל שהתחייב בהסכם בכתב לקיים את התנאים לאחזקת מידע ולשימוש בו החלים על מאגר בישראל, לנקוט אמצעים מספיקים להבטחת הפרטיות, ולא להעביר את המידע לאחר (תקנות 2(4) ו-3). במדינות החברות באמנה האירופית בדבר הגנה על הפרט בקשר לעיבוד אוטומטי של מידע (אמנה 108), ההעברה נשענת גם על תקנה 2(8).

9. אירוע אבטחה

9.1. נודע לגלריון על אירוע אבטחה שנוגע למידע הלקוחות של הצלם, היא תודיע לצלם בלי דיחוי מיותר, באימייל של החשבון ובהודעה בחשבון.

9.2. ההודעה תכלול, ככל שידוע באותו שלב: מה קרה ומתי, אילו סוגי מידע ובערך כמה נושאי מידע נפגעו, מה ההשלכות האפשריות, מה גלריון עשתה ומה היא ממליצה לצלם לעשות, ואיש קשר. מה שלא ידוע עדיין יימסר בעדכונים.

9.3. באירוע אבטחה חמור גלריון תדווח בעצמה לרשות להגנת הפרטיות באופן מיידי ותעדכן אותה בצעדים שננקטו (תקנות 11(ד) ו-19(א)), ותתאם עם הצלם את מה שנוגע למאגר שלו.

9.4. הודעה לנושאי המידע תישלח כשהרשות מורה על כך (תקנה 11(ד)(2)), או כשהצלם וגלריון מסכימים שהיא תעזור להם להגן על עצמם. גלריון לא תפנה ללקוחות של הצלם בעניין אירוע בלי לתאם עם הצלם, אלא אם הדין או הרשות מחייבים אותה.

9.5. גלריון מתעדת כל אירוע אבטחה מרגע הגילוי ועד הסגירה (תקנה 11(א)), ותמסור לצלם, לבקשתו, סיכום של אירוע שנגע למידע שלו.

10. בקשות של נושאי מידע (עיון, תיקון ומחיקה)

10.1. פנייה ישירה לגלריון: אם אדם פונה לגלריון לעיין במידע שלו שהצלם העלה, גלריון תודיע לו אם היא מחזיקה מידע עליו, ותמסור לו את שם הצלם ואת הכתובת שלו (סעיף 13א(2) לחוק). גלריון לא תמסור לו את המידע עצמו בלי אישור הצלם.

10.2. גלריון תעביר את הבקשה לצלם בחשבון ובאימייל בתוך 3 ימי עסקים, עם פרטי הבקשה ותאריך היעד שנובע מהדין (עיון: 30 יום מקבלת הבקשה, לפי תקנות הגנת הפרטיות (תנאים לעיון במידע...), התשמ"א-1981).

10.3. הצלם מחליט אם לאשר עיון, תיקון או מחיקה, ועונה למבקש. גלריון תבצע תיקון או מחיקה שהצלם אישר (סעיף 14(ד) לחוק), ותאשר לצלם כשהם בוצעו.

10.4. כלים לצלם: בחשבון יש לצלם כלים לאתר את המידע על אדם, לתקן אותו, למחוק אותו ולייצא אותו, כדי שיוכל לעמוד במועדים שבדין.

10.5. אם הצלם לא עונה, גלריון תזכיר לו לפני תאריך היעד.

11. משך ההתקשרות, שמירה, החזרה ומחיקה

11.1. הנספח בתוקף כל עוד לצלם יש חשבון בגלריון, ובנוסף כל עוד גלריון שומרת מידע לקוחות של הצלם לפי סעיף 11.4.

11.2. בסיום ההתקשרות (סגירת חשבון בידי הצלם, או סיום מנוי בלי חידוש לפי תנאי השימוש), יש לצלם 30 יום להוריד את המידע בכלי הייצוא שבחשבון. לבקשה בכתב, גלריון תמסור עותק בפורמט נפוץ.

11.3. בתום 30 הימים גלריון תמחק את מידע הלקוחות מהמערכות הפעילות שלה. עותקים בגיבויים יימחקו במחזור הגיבוי הרגיל, ולכל המאוחר בתוך 90 יום נוספים. עד אז הם נשארים מאובטחים ולא משמשים לשום דבר. בסיום המחיקה גלריון תשלח לצלם אישור באימייל (תקנה 15(א)(2)(ד)).

11.4. מה לא נמחק בסיום, ולמה:

• מסמכים חשבונאיים שהצלם הפיק דרך גלריון (חשבוניות, קבלות, הודעות זיכוי, כולל הקובץ החתום, מספרי הקצאה ורישומי תשלום): 7 שנים מתום שנת המס, או 6 שנים מהגשת הדוח לאותה שנה, לפי המאוחר, כי הצלם חייב לשמור אותם לפי הוראות מס הכנסה (ניהול פנקסי חשבונות) סעיף 25 וחוק מע"מ סעיף 75. הם נשמרים בשביל הצלם, נעולים לשינוי, ונמסרים רק לו או לרשות שמוסמכת לדרוש אותם.
• הצעות מחיר וחוזים שהלקוח אישר, והראיות לאישור (זמן, כתובת IP, טביעת אצבע של התוכן): 7 שנים מסיום ההתקשרות בין הצלם ללקוח, כדי שאפשר יהיה להוכיח את האישור בסכסוך.
• יומני בקרה ותיעוד אירועי אבטחה: 24 חודשים לפחות, לפי תקנות 10 ו-17.
• בקשות של נושאי מידע והתשובות להן: 7 שנים.
• מידע שהדין מחייב לשמור, או שנדרש להליך משפטי קיים או צפוי, נשמר עד סיום הצורך.

עד תום התקופה, גלריון לא משתמשת במידע הזה לשום מטרה אחרת, ואז מוחקת אותו.

11.5. בזמן שהחשבון פעיל: מידע שהצלם מוחק נמחק מהמערכות הפעילות מיד, ומהגיבויים במחזור הגיבוי, חוץ מהמידע שבסעיף 11.4.

12. דיווח שנתי וביקורת

12.1. הצהרה שנתית: עד 31 במרץ בכל שנה, גלריון תפרסם בחשבון הצלם הצהרה על אופן קיום החובות שלה לפי הנספח ולפי תקנות אבטחת המידע בשנה הקודמת (תקנה 15(א)(2)(ח)). ההצהרה כוללת: את אמצעי האבטחה, את מספר אירועי האבטחה שנגעו למידע של אותו צלם, את השינויים ברשימת ספקי המשנה, ואת המועד והתוצאה הכללית של הביקורת התקופתית האחרונה.

12.2. מידע נוסף: לבקשה סבירה של הצלם, לא יותר מפעם בשנה (או אחרי אירוע אבטחה חמור שנגע למידע שלו), גלריון תענה בכתב על שאלון אבטחה ותמסור את המסמכים שנדרשים כדי להראות שהיא עומדת בנספח (תקנה 15(א)(4)).

12.3. ביקורת: אם הצלם צריך ביקורת שאינה אפשרית במסמכים, או שרשות מוסמכת דורשת זאת, היא תיעשה בתיאום מראש של 30 יום לפחות, בידי גורם מקצועי שחתום על סודיות, בלי גישה למידע של צלמים אחרים ובלי לפגוע בשירות. כל צד נושא בעלויות שלו.

12.4. גלריון תשתף פעולה עם הרשות להגנת הפרטיות ועם הצלם בכל בדיקה או פנייה של הרשות שנוגעת למידע הלקוחות.

13. אחריות

13.1. כל צד אחראי לקיים את החובות שהחוק והנספח מטילים עליו. לפי סעיף 17 לחוק, הצלם וגלריון אחראים כל אחד לאבטחת המידע.

13.2. גלריון לא אחראית לנזק שנגרם מהוראה של הצלם, מתוכן שהצלם העלה בלי בסיס חוקי, או מהרשאות שהצלם נתן לאנשי צוות.

13.3. האחריות הכוללת של גלריון לפי הנספח מוגבלת לסכום שהצלם שילם לגלריון ב-12 החודשים שלפני האירוע. ההגבלה לא חלה על נזק שנגרם בכוונה או ברשלנות רבתי, על הפרת סודיות בידי גלריון או מי מטעמה, ועל מקרה שהדין לא מתיר בו הגבלה.

14. שינויים בנספח

14.1. גלריון רשאית לעדכן את הנספח, אבל עדכון לא יוריד את רמת ההגנה על מידע הלקוחות. שינוי מהותי יפורסם בדף הזה ויישלח לצלמים באימייל 30 יום לפני שייכנס לתוקף, חוץ משינוי שהדין מחייב מוקדם יותר.

14.2. גרסאות קודמות של הנספח נשמרות וזמינות לצלם לפי בקשה. בכל חשבון נשמר איזו גרסה הצלם אישר ומתי.

15. דין וסמכות שיפוט

על הנספח חל הדין הישראלי. סמכות השיפוט כמו בתנאי השימוש (סעיף 11).

16. אנשי קשר

• מטעם גלריון: ממונה הגנת הפרטיות, גבריאל עדי, privacy@galerion.org. אירוע אבטחה מדווחים גם ל-security@galerion.org.
• מטעם הצלם: בעל החשבון, באימייל של החשבון, אלא אם הצלם הגדיר בחשבון איש קשר אחר לענייני פרטיות.

תוספת א' — פרטי העיבוד (תקנה 15(א)(2)(א)-(ג))

תוספת ב' — ספקי משנה

עודכן לאחרונה: 19.10.2026. זו אותה רשימה שמופיעה בדף אבטחת המידע.

אצל ספקים שהמיקום שלהם ארה"ב, זו מדינת החברה, והספק עשוי לעבד מידע גם במרכזי נתונים במדינות נוספות. OpenAI ו-Anthropic לא מקבלים מידע לקוחות של צלמים, והם מופיעים כאן כדי שהרשימה תהיה זהה לדף אבטחת המידע.