נספח לתנאים של Google להגנה על המידע לנאמני מידע בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב

Google והלקוח חתמו עלהתנאים של Google להגנה על המידע לנאמני מידע ("התנאים לנאמני מידע"), שמהווים תוספת להסכם. נספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב לתנאים לנאמני מידע (להלן "נספח בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב) נחתם על ידי Google והלקוח, ומהווה גם הוא תוספת להסכם. הנספח ייכנס לתוקף ב-1 בינואר 2023 או בתאריך שבו הלקוח לחץ על לחצן האישור או שבו הצדדים הסכימו לנספח זה בדרך אחרת, המאוחר מביניהם.

1. מבוא.

Google רשאית להציע והלקוח רשאי להפעיל הגדרות, תצורות או פונקציונליות אחרת בתוך המוצר לשירותי המדידה הקשורים לעיבוד נתונים מוגבל (RDP), כפי שהוא מתואר במסמכים התומכים הזמינים בכתובת business.safety.google/rdp וכפי שהוא מתעדכן מעת לעת ("עיבוד נתונים מוגבל"). נספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב קובע את סעיפי ההגנה על נתונים הקשורים להגדרת שיתוף הנתונים בלבד (כאשר עיבוד הנתונים המוגבל אינו מופעל), ואינו חל בדרך אחרת על אספקת שירותי המדידה. הלקוח נושא באחריות בלעדית לציית לכל אחד מחוקי הפרטיות הרלוונטיים במדינות ארה"ב במסגרת השימוש שהוא עושה בשירותי Google, לרבות עיבוד נתונים מוגבל.

נספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב משקף את הסכמת הצדדים לגבי עיבוד מידע אישי של לקוחות ונתונים שהוסרו מהם פרטי זיהוי (כפי שהם מוגדרים בהמשך) בהתאם להגדרת שיתוף הנתונים בקשר לחוקי הפרטיות הרלוונטיים במדינות ארה"ב (כפי שהם מוגדרים בהמשך), והוא תקף רק במידה שבה חל כל אחד מחוקי הפרטיות הרלוונטיים במדינות ארה"ב.

2. הגדרות ופרשנות.

2.1 "חוקי הפרטיות הרלוונטיים במדינות ארה"ב" פירושם, לפי ההקשר: (א) ה-CCPA; (ב) חוק ההגנה על נתונים לצרכנים בווירג'יניה, (Consumer Data Protection Act, Va. Code Ann. § 59.1-571 וכן הלאה); (ג) חוק הפרטיות בקולורדו (Colorado Privacy Act, Colo. Rev. Stat. § 6-1-1301 וכן הלאה), יחד עם כל התקנות בדבר יישום; (ד) החוק בקונטיקט בנוגע לפרטיות נתונים ולמעקב אונליין (Connecticut’s Act Concerning Data Privacy and Online Monitoring, Pub. Act No. 22015); ו-(ה) חוק הפרטיות לצרכנים ביוטה (Utah Consumer Privacy Act, Utah Code Ann. § 13-61-101 וכן הלאה).

2.2 "CCPA" פירושו חוק הפרטיות לצרכנים בקליפורניה (California Consumer Privacy Act) משנת 2018, כולל התיקונים בהתאם לחוק זכויות הפרטיות בקליפורניה (California Privacy Rights Act) משנת 2020, יחד עם כל התקנות בדבר יישום.

2.3 "נתונים שהוסרו מהם פרטי זיהוי" הם פרטי נתונים "שהוסרו מהם פרטי זיהוי" (deidentified, כפי שהמונח מוגדר ב-CCPA) ו"נתונים שהוסרו מהם פרטי זיהוי" (de-identified data, כפי שהם מוגדרים בחוקי הפרטיות הרלוונטיים האחרים במדינות ארה"ב), כשהם נחשפים על ידי צד אחר לצד השני.

2.4 המונחים "עסק", "צרכן", "נאמן מידע", "פרטים אישיים", "מידע אישי, "לעבד", "עיבוד", "מכירה (מכירות)" ו"למכור", כפי שהם משמשים בנספח הזה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב, נושאים את המשמעויות המוגדרות להם בחוקי הפרטיות הרלוונטיים במדינות ארה"ב.

2.5 מונחים המופיעים באותיות רישיות אך אינם מוגדרים בנספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב יקבלו את המשמעות המצוינת בתנאים לנאמני המידע.

3. התנאים של חוקי הפרטיות הרלוונטיים במדינות ארה"ב.

3.1 נתונים שהוסרו מהם פרטי זיהוי. כל צד יעמוד בדרישות לעיבוד נתונים שהוסרו מהם פרטי זיהוי שהוגדרו בחוקי הפרטיות הרלוונטיים של מדינות בארה"ב, בנוגע לכל נתונים שהם שהוסרו מהם פרטי זיהוי שהוא יקבל מהצד השני בהתאם להגדרת שיתוף הנתונים.

3.2 ההתחייבויות של Google בכפוף ל-CCPA. בכל הנוגע לפרטים אישיים של לקוח שעובדו מבלי שהופעלה ההגדרה 'עיבוד נתונים מוגבל' בהתאם להגדרת שיתוף הנתונים, ובמידה ש-CCPA חל על העיבוד של פרטים אישיים של לקוחות:

• (א) Google תעבד נתונים אישיים כאלה של הלקוחות בהתאם להגדרת שיתוף הנתונים, כמתואר בפירוט בהסכם ובמסמכים התומכים (למשל: מאמרים במרכז העזרה), או כפי שמותר בדרך אחרת בכפוף ל-CCPA, והצדדים מסכימים שהלקוח מוסר נתונים אישיים כאלה ל-Google למטרות האלה;
• (ב) Google תאפשר לבצע ביקורות כדי לאמת ש-Google פועלת בהתאם להתחייבויותיה במסגרת נספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב כדלקמן:
  • (i) הלקוח רשאי לערוך ביקורת כדי לאמת ש-Google פועלת בהתאם להתחייבויותיה בכפוף לנספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב על ידי בקשה ובדיקה של (1) אישור שהונפק לצורך אימות אבטחה, המשקף את התוצאה של ביקורת שבוצעה על ידי מבקר מצד שלישי (למשל: אישור ISO/IEC 27001 או אישור דומה או אישור אבטחה אחר של ביקורת שנערכה על ידי מבקר מצד שלישי שהוסכם עליו על ידי הלקוח ו-Google) בתוך 12 חודשים מתאריך הבקשה של הלקוח, ושל (2) כל מידע אחר ש-Google תקבע שהוא דרוש באופן סביר ללקוח כדי לאמת את העמידה הזו בדרישות.
  • (ii) לחלופין, Google רשאית, על פי שיקול דעתה הבלעדי ובתגובה לבקשת הלקוח, ליזום ביקורת מצד שלישי כדי לאמת ש-Google פועלת בהתאם להתחייבויותיה בכפוף לנספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב. במהלך ביקורת כזו, Google תספק למבקר מהצד השלישי את כל המידע הנדרש כדי להוכיח שהיא פועלת בהתאם להתחייבות האלה. במקרה שלקוח יבקש לערוך ביקורת כזו, Google רשאית לגבות עמלה (המבוססת על העלויות הסבירות של Google) בגין כל ביקורת. Google תספק ללקוח פרטים נוספים על כל עמלה רלוונטית, ועל הבסיס לחישובה, לפני כל ביקורת כזו. הלקוח יישא באחריות על כל העמלות שיגבה כל מבקר מצד שלישי בגין ביצוע ביקורת כזו.
  • (iii) בנספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב אין דבר שיחייב את Google לחשוף ללקוח או למבקר מצד שלישי מטעמו, או לאפשר ללקוח או למבקר מצד שלישי מטעמו לגשת אל:
    • (1) נתונים של לקוח אחר של ישות של Google;
    • (2) מידע חשבונאי או פיננסי פנימי של ישות של Google;
    • (3) סודות מסחריים של ישות של Google;
    • (4) מידע שלפי שיקול דעתה הסביר של Google עלול: (א) לפגוע באבטחה של מערכות או מתחמים של ישות של Google; או (ב) לגרום לישות של Google להפר את התחייבויותיה בכפוף לחוקי הפרטיות הרלוונטיים במדינות ארה"ב או את התחייבויותיה בנושא אבטחה ו/או פרטיות כלפי הלקוח או כלפי כל צד שלישי; או
    • (5) מידע שהלקוח או המבקר מצד שלישי מטעמו מבקשים לגשת אליו מכל סיבה שאינה מילוי בתום לב של התחייבויות הלקוח בכפוף לחוקי הפרטיות הרלוונטיים במדינות ארה"ב;
• (ג) Google תודיע ללקוח אם Google תגיע למסקנה שהיא כבר לא יכולה לעמוד בהתחייבויותיה בכפוף ל-CCPA;
• (ד) אם יש ללקוח יסוד סביר להאמין ש-Google מעבדת את הנתונים האישיים של לקוחות באופן בלתי מורשה, הלקוח רשאי להודיע ל-Google על אמונה כזו באמצעות השיטות המתוארות בדףprivacy.google.com/businesses/CPUsupport, והצדדים יפעלו יחד בתום לב כדי לתקן את פעילויות העיבוד שלכאורה מפירות את התנאים, במידת הצורך; וגם
• (ה) Google תעמוד בהתחייבויות הרלוונטיות בהתאם ל-CCPA ותספק אותה רמה של הגנה על פרטיות כפי שנדרש על ידי ה-CCPA.

4. שינויים בנספח הזה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב.

בנוסף לסעיף 9 של התנאים לנאמני מידע (שינויים בתנאים האלה לנאמני מידע), Google רשאית לשנות נספח זה בנושא נאמני מידע בכפוף לחוקי הפרטיות במדינות ארה"ב ללא הודעה מוקדמת אם (א) השינוי מבוסס על הדין החל, תקנה רלוונטית, צו בית משפט או הנחיות שהונפקו על ידי רגולטור ממשלתי או סוכנות ממשלתית, או (ב) אין לשינוי השפעה שלילית מהותית על הלקוח בכפוף לחוקי הפרטיות הרלוונטיים במדינות ארה"ב, כפי שייקבע על ידי Google באופן סביר.

1 בינואר 2023