Terms of Service & DPA

תנאי שירות אלה (להלן: “ההסכם”) נכרתים בין קבוצת פאנץ’ וי.פי.אס בע”מ, ח.פ. 516569720 (להלן: “החברה”) לבין הלקוח כפי שמזוהה בהצעת המחיר או בטופס ההתקשרות (להלן: “הלקוח”). ההסכם חל על כל שירותי החברה הניתנים ללקוח, בין במישרין ובין באמצעות נספחים ייעודיים לכל סוג שירות.

1. הגדרות

2. ההסכם ומסמכיו

1. הסכם זה כולל: (א) את המסמך הראשי (חלק א’); (ב) את ה-DPA (חלק ב’); (ג) את הנספח/ים הספציפיים לשירותים שהוזמנו; (ד) את מדיניות השימוש המקובלת (נספח 7); (ה) את הצעת המחיר החתומה.
2. במקרה של סתירה בין מסמכים, תכריע הצעת המחיר החתומה, ולאחריה הנספח הספציפי, ולאחריו המסמך הראשי.
3. חתימה דיגיטלית על הצעת מחיר באמצעות המערכת הדיגיטלית של החברה מהווה חתימה מחייבת על מלוא מסמכי ההסכם, ובכלל זה הנספחים המקושרים בו, וזאת בהתאם לחוק חתימה אלקטרונית, התשס”א-2001.
4. תחולה על לקוחות קיימים והיסטוריים (Course of Dealing):
   1. מובהר ומוסכם כי תנאי הסכם זה חלים על כל לקוח המקבל שירותים מהחברה במועד תחילת תוקפם של תנאים אלה, וזאת בין אם נחתם בעבר הסכם פורמלי בין הצדדים, בין אם לאו, ובין אם הסכם קודם אבד או אינו זמין לאחד הצדדים.
   2. היחסים החוזיים בין הצדדים נוצרו ומתקיימים מכוח התנהגותם בפועל, הזמנת השירות על ידי הלקוח, אספקתו בידי החברה, הנפקת חשבוניות וקבלת תשלום באופן שוטף, והם תקפים ומחייבים גם ללא מסמך פיזי חתום, וזאת בהתאם לעקרון Course of Dealing ולעקרון תום הלב הקבוע בסעיף 39 לחוק החוזים (חלק כללי), התשל”ג-1973.
   3. תחילת תוקפם של תנאים אלה ביחס ללקוחות קיימים תהיה במועד המוקדם מבין: (א) מועד חתימת הלקוח על תנאים אלה או אישורם על ידו בכתב, לרבות בדואר אלקטרוני; (ב) 30 יום ממועד משלוח הודעה לכתובת הדואר האלקטרוני הרשומה של הלקוח אצל החברה, כפי שמתועד במערכות החברה. פרסום התנאים באתרי החברה (punchvps.com / pcpunch.co.il) הוא אמצעי יידוע משלים ואינו מסלול עצמאי לכניסת התנאים לתוקף.
   4. הסכמה מכוח התנהגות (Acceptance by Conduct): המשך קבלת השירות, תשלום חשבוניות, או כל שימוש בשירותי החברה לאחר מועד תחילת התוקף, מהווה הסכמה מלאה ובלתי-מסויגת לתנאי הסכם זה, על כל סעיפיו ונספחיו. הלקוח רשאי, אם אינו מסכים לתנאים, להפסיק את השירות בהודעה לפי סעיף 4 להלן, וזאת במהלך תקופת ההודעה.
   5. במקרה של סתירה בין תנאים אלה לבין הסכם פורמלי חתום וקודם, יגבר ההסכם הקודם באותם עניינים שהוסדרו בו במפורש (ובכלל זה מחיר, רמת שירות והיקף); בכל עניין שההסכם הקודם אינו מסדיר במפורש, יחולו תנאים אלה כתנאים משלימים. הצדדים רשאים, בהסכמה, לחתום על הצעת מחיר מחודשת שתחיל את מלוא התנאים העדכניים על ההתקשרות.

3. תיאור השירותים

1. החברה תספק ללקוח את השירותים שפורטו בהצעת המחיר ובנספח הרלוונטי, בהתאם לתנאי הסכם זה.
2. החברה תהא רשאית להיעזר בקבלני משנה, ספקי תשתית וצדדים שלישיים לצורך מתן השירותים, ובלבד שתישא באחריות ישירה כלפי הלקוח לרמת השירות המוסכמת, וזאת בכפוף לסעיף 3א, לסעיף 7 ולנספחי שירותי המשווק.
3. שירותים שאינם כלולים: אלא אם נקבע במפורש בנספח ייעודי, השירותים אינם כוללים, בין היתר: שירותי תגובה לאירוע (Incident Response), חקירת חדירה לאחר אירוע (Forensics), ניהול אירוע סייבר, תפקידי קצין אבטחת מידע (CISO), ייעוץ אבטחת מידע מתקדם, ניתוח לוגים פוסט-תקיפה, מבדקי חדירה (Penetration Testing), בדיקות פגיעות (Vulnerability Assessment), דוחות פערים (Gap Analysis), ביקורות אבטחה (Security Audit), ביקורות עמידה ברגולציה (Compliance Audit לרבות ISO 27001, SOC 2, ת”י 27001, תקנות הגנת הפרטיות), שירותי SOC (מרכז ניטור אבטחה), שירותי NOC (מרכז תפעול רשת), תכנון, כתיבה או תפעול של תוכנית התאוששות מאסון (DRP) או תוכנית המשכיות עסקית (BCP), סיוע במילוי שאלוני אבטחה, ביטוח, ספקים או רגולציה עבור הלקוח, או תפעול מערכות הלקוח ברמת אפליקציה.
4. העובדה שנושאי משרה בחברה מחזיקים בהסמכה מקצועית בתחום אבטחת המידע אינה הופכת שירותים כאמור לחלק מהשירותים החוזיים. שירותים כאמור, ככל שיידרשו, יתומחרו ויסוכמו במסמך נפרד.

3א. תלות ברכיבי תוכנה, רישוי ופלטפורמות של צדדים שלישיים

1. השירותים מסתמכים על רכיבי תוכנה, רישיונות ופלטפורמות של צדדים שלישיים, ובכלל זה: תוכנות פאנל ניהול ושרת, מערכות הגנת קצה וסינון, מערכות גיבוי, מערכות וירטואליזציה, רכיבי קוד פתוח ושירותי רשת ותקשורת (להלן: “רכיבי צד שלישי”). הלקוח מאשר כי רכיבים אלה אינם בפיתוח החברה ואינם בשליטתה המלאה.
2. שינויים אצל ספק צד שלישי: החברה אינה אחראית לשינויים ברכיבי צד שלישי שמקורם בספק, ובכלל זה שינוי תכונות או ממשק, הפסקת מוצר או גרסה, שינוי תנאי רישוי או הפסקת תמיכה. החברה תפעל במאמצים סבירים לאתר חלופה שוות ערך או לעדכן את הלקוח על השלכות השינוי.
3. עדכון מחיר בעקבות ספק: העלאת מחיר רישוי או תשתית על ידי ספק צד שלישי מהווה עילה לעדכון מחיר לפי סעיף 5.5 להלן, באותם תנאים (הודעה מוקדמת של 30 יום וזכות הפסקת שירות).
4. אירוע אבטחה אצל ספק צד שלישי: פגיעה, פרצה או דליפה שמקורן במוצר או בתשתית של ספק צד שלישי (לרבות פגיעת שרשרת אספקה בעדכון תוכנה של הספק) אינן מהוות הפרת ההסכם על ידי החברה, ובלבד שהחברה יישמה את עדכוני האבטחה שפרסם הספק בתוך זמן סביר ופעלה בהתאם להנחיותיו. החברה תעדכן את הלקוח ותפעל לצמצום החשיפה בהתאם לסעיף 6 לחלק ב’ (DPA).
5. החלפת רכיב: החברה רשאית להחליף רכיב צד שלישי ברכיב חלופי בעל יכולות דומות באופן סביר, ובלבד שרמת השירות הכוללת לא תיפגע באופן מהותי.

3ב. מוצרי אבטחה של צד שלישי

1. מוצרי אבטחה, הגנה וניטור של יצרני צד שלישי (לרבות תוכנות EDR ואנטי-וירוס, חומרות ותוכנות חומת אש, ומערכות סינון) הנרכשים באמצעות החברה או מותקנים על ידה הם מוצרים של יצרניהם, הפועלים לפי הטכנולוגיה, העדכונים והמדיניות של היצרן, ובאחריות היצרן בלבד בהתאם לתנאיו.
2. תפקיד החברה מוגבל להתקנה, להגדרה בהתאם להנחיות היצרן ולשיטות עבודה מקובלות, ולהתקנת עדכונים במסגרת שירות פעיל.
3. ברכישת רישוי בלבד, הפעלת המוצר השוטפת, המעקב אחר התראותיו והתגובה להן הם באחריות הלקוח בלבד; ניטור שוטף של התראות, תחקורן ותגובה להן מבוצעים על ידי החברה אך ורק במסגרת שירות ניטור ובקרה (NOC/SOC) שהוזמן במפורש, בנפרד ובתשלום.
4. החברה אינה מתחייבת כי מוצרים אלה יזהו, ימנעו או יבלמו תקיפה, נוזקה, חדירה או אירוע אבטחה כלשהו, ואינה אחראית לפעולתם, לאי-פעולתם או לתוצאותיהן.
5. המלצה על מוצר או התקנתו אינה מהווה מצג או אחריות ביחס לביצועיו.

4. תקופת ההסכם והפסקת השירות

1. תקופת ההתקשרות תהא כמפורט בהצעת המחיר. בהיעדר ציון אחר, ההסכם הוא לתקופה בלתי קצובה, במתכונת חודשית המתחדשת אוטומטית.
2. הלקוח רשאי להפסיק את ההתקשרות בכל עת בהודעה בכתב לחברה, לפחות 30 יום מראש. הפסקה לא תזכה בהחזר עבור תקופה ששולמה מראש, אלא אם נקבע אחרת בנספח הרלוונטי.
3. החברה רשאית להפסיק את ההתקשרות בהודעה של 30 יום מראש; ובמקרה של הפרה מהותית של ההסכם על ידי הלקוח, לאלתר, בכפוף להוראות סעיף 10 להלן.
4. בתום ההתקשרות מכל סיבה שהיא, החברה תהא רשאית למחוק את נתוני הלקוח לאחר 30 יום מתום ההתקשרות, אלא אם החוק מחייב שמירה ארוכה יותר. הארכת שמירה לבקשת הלקוח טעונה בקשה בכתב מראש ואישור החברה, וכרוכה בתשלום דמי אחסון לפי תעריפי החברה, ממועד תום ההתקשרות ועד המחיקה בפועל; לא שולמו דמי האחסון, רשאית החברה למחוק את הנתונים.
5. סיום מוקדם ביוזמת הלקוח: דמי ההקמה, ההטמעה וההגירה נקובים בעלותם המלאה בהצעת המחיר. ככל שסופקו ללא חיוב או בחיוב מופחת, הדבר נעשה בהסתמך ובכפוף להתחייבות הלקוח לתקופת ההתקשרות המלאה, כהטבה מותנית. בסיום ההתקשרות ביוזמת הלקוח לפני תום תקופת ההתחייבות, ישלם הלקוח לחברה: (א) את יתרת דמי השירות עד תום תקופת ההתחייבות; וכן (ב) את העלות הנקובה של דמי ההקמה, ההטמעה וההגירה שלא נגבתה בפועל. הצדדים מאשרים כי מדובר בהחזר עלות נקובה וידועה מראש של השקעת החברה, שסופקה בהסתמך על ההתחייבות, ולא בקנס.

5. תנאי תשלום ושער המרה

1. הלקוח ישלם לחברה את הסכומים הנקובים בהצעת המחיר, כנגד חשבונית מס. המחיר אינו כולל מע”מ אלא אם נקבע אחרת.
2. אמצעי תשלום: התשלום יבוצע באמצעי שסוכם עם הלקוח (כרטיס אשראי, העברה בנקאית או הוראת קבע). תשלום בכרטיס אשראי מבוצע באמצעות ספק סליקה חיצוני העומד בתקן PCI-DSS, בשיטת החלפת מספר הכרטיס באסימון (Tokenization); מספר הכרטיס המלא אינו נשמר במאגרי החברה.
3. חיוב חודשי: במסלול חודשי, החיוב יבוצע בתחילת כל חודש. איחור בתשלום: לא שולם תשלום במועדו, תשלח החברה ללקוח עד שלוש התראות בכתב לכתובת הדוא”ל הרשומה, בפרקי זמן סבירים. לא הוסדר החוב במלואו לאחר ההתראה השלישית, ובחלוף 10 ימים לפחות ממשלוח ההתראה הראשונה, תהא החברה רשאית להשעות את השירותים לאלתר. לא הוסדר החוב בתוך 14 יום ממועד ההשעיה, תהא החברה רשאית למחוק לצמיתות את נתוני הלקוח, חשבונותיו והשירותים, לאחר הודעה נוספת, ולא ניתן יהיה לשחזרם, וזאת על אף כל מועד מחיקה אחר הקבוע בהסכם. בתקופת ההשעיה ימשיכו דמי השירות להיצבר במלואם, וחידוש השירות מותנה בפירעון מלוא החוב, לרבות בגין תקופת ההשעיה. צבירת החיובים תיפסק במועד המחיקה בלבד. אין באמור כדי לגרוע מכל סעד אחר העומד לחברה על פי דין.
4. שער המרה (USD → ILS): כאשר המחיר נקוב בדולרים אמריקאיים, החיוב בשקלים יבוצע לפי השער היציג של בנק ישראל ביום החיוב, או לפי שער מינימום של 3.30 ש”ח לדולר, לפי הגבוה מבין השניים. שער המינימום מובא לידיעת הלקוח מראש בהסכם זה ומשקף את עלות הרכש של החברה מספקים בחו”ל בדולרים. כאשר השער היציג עולה מעל 3.30, החיוב יבוצע לפי השער היציג ביום החיוב.
5. עדכון מחיר: החברה שומרת לעצמה את הזכות לעדכן את מחיר השירות אחת לשלושה חודשים, עקב שינויים בשער הדולר, שינוי במחירי ספקי צד ג’, או עדכון בעלויות התשתית. עדכון יבוצע בהודעה מוקדמת של 30 יום ללקוח, והלקוח רשאי להפסיק את השירות במהלך תקופה זו אם אינו מסכים למחיר החדש.
6. הפרשי הצמדה וריבית פיגורים: סכומים שלא שולמו במועד יישאו ריבית פיגורים בשיעור של פריים+4% לשנה, וזאת מבלי לגרוע מכל סעד אחר העומד לחברה.
7. איסור קיזוז: הלקוח אינו רשאי לקזז מסכומים המגיעים לחברה כל סכום, דרישה או טענה, אלא בהסכמת החברה מראש ובכתב.

6. אחריות הלקוח

1. הלקוח אחראי באופן בלעדי, בין היתר, על: (א) התוכן והנתונים שלו במערכת; (ב) האפליקציות, התוכנות ועדכוניהן שהוא מתקין; (ג) הסיסמאות, אמצעי ההזדהות וגישת המשתמשים שלו; (ד) שמירה על העתקי גיבוי עצמאיים בנוסף לאמצעי הגיבוי שמספקת החברה; (ה) עמידה בהוראות החוק החל על פעילותו, לרבות חוק הגנת הפרטיות, חוקי קניין רוחני וחוקי המסחר האלקטרוני.
2. הלקוח מתחייב שלא לעשות שימוש בשירותים לפעילות בלתי חוקית, פוגענית, להפצת דואר זבל (Spam), נוזקה (Malware) או דיוג (Phishing), להפרת זכויות יוצרים, או לכל פעילות העלולה לפגוע בחברה, במשתמשים אחרים או בצדדים שלישיים. הפרת התחייבות זו מהווה הפרה מהותית של ההסכם. ראה גם נספח 7 (AUP).
3. הלקוח מתחייב לעדכן את החברה בכתב על כל שינוי בפרטי ההתקשרות (דואר אלקטרוני, טלפון, איש קשר, אמצעי תשלום). הודעות יימסרו בהתאם לסעיף 14.5 להלן.
4. שיפוי: הלקוח ישפה את החברה בגין כל דרישה או תביעה של צד שלישי, לרבות הוצאות משפט סבירות, שמקורן בתוכן הלקוח, בשימושו בשירותים או בהפרת הסכם זה על ידו, למעט ככל שמקורן במעשה או במחדל של החברה.

7. אחריות החברה, מוגבלת

1. החברה תספק את השירותים במאמצים סבירים.
2. הגבלת אחריות: בכל מקרה שבו תוטל על החברה אחריות כלפי הלקוח או מי מטעמו (אם וככל שתוטל), היא תהא מוגבלת, במצטבר לכל האירועים והעילות גם יחד, לסכום ששילם הלקוח בפועל לחברה בגין השירות הספציפי שממנו נבעה עילת התביעה, ב-12 החודשים שקדמו לאירוע הראשון. הלקוח מאשר כי הגבלה זו סבירה לאור אופי השירות והתמורה הנגבית.
3. החברה לא תהא אחראית לנזקים עקיפים, תוצאתיים, מקריים, אובדן רווחים, אובדן הזדמנויות עסקיות, אובדן מוניטין, או נזקים שאינם ישירים מכל סוג שהוא.
4. על אף האמור בהסכם זה, הגבלות האחריות והפטורים לא יחולו על נזק שנגרם במרמה או בזדון, או על חבות שלא ניתן להגבילה או לשוללה על פי דין.
5. אחריות לנתונים, מוגבלת להתחייבויות המפורשות: אחריות החברה ביחס למידע, לנתונים, לתכנים ולקבצים של הלקוח מוגבלת לקיום התחייבויותיה המפורשות לפי הסכם זה ולפי חלק ב’ (DPA). מעבר לכך, האחריות לנתונים, לתוכנם, לחוקיותם ולגיבוים העצמאי מוטלת על הלקוח בלבד, והחברה ממליצה ללקוח להחזיק גיבוי עצמאי מחוץ לתשתית החברה.
6. שירותי גיבוי: שירותי הגיבוי שמספקת החברה כוללים העמדת פלטפורמת גיבוי תקינה, הטמעה ראשונית, ומשלוח דוח מצב אוטומטי בדוא”ל לכתובת מנהל החשבון שהוגדרה בעת ההקמה. ניטור שוטף של ביצוע הגיבויים, מעקב אחר דוחות המצב, אימות תקינות הגיבויים ועריכת שחזורי בדיקה הם באחריות הלקוח או מי מטעמו; שירותי ניטור מנוהלים (NOC/SOC) אינם כלולים בשירות ואינם מוצעים על ידי החברה. באחריות הלקוח לוודא בכל עת שכתובת הדוא”ל המקבלת את דוחות המצב פעילה ומנוטרת על ידו, ולעדכן את החברה בשינוי בה. בהתאם, החברה אינה אחראית לתקלות בגיבויים, לאי-יכולת שחזור, או למצב בו הלקוח סבור כי קיים גיבוי וזה אינו תקין, חסר או לא עדכני, לרבות בנסיבות של הסרת רכיב הגיבוי, תקלות חשמל או תקשורת בסביבת הלקוח, או אי-מעקב אחר דוחות המצב. פירוט נוסף בנספח 1.
7. כוח עליון: החברה לא תישא באחריות לעיכוב או אי-ביצוע הנובעים מאירועים שמחוץ לשליטתה הסבירה, ובכלל זה: מלחמה, פעולות איבה, מצב חירום, נזק פיזי למתקני תשתית, הפסקות חשמל אזוריות, תקלות אצל ספקי תשתית או קישוריות, מתקפות סייבר, צווי רשות שלטונית, אירועי טבע, מגיפה, שביתות, או הפרעות אינטרנט גלובליות.
8. ביטוח וניהול סיכונים על ידי הלקוח:
   1. הלקוח מאשר כי החברה היא ספקית תשתית ושירותים, ואינה מבטחת. התמורה עבור השירותים משקפת את עלות אספקתם בלבד, ואינה כוללת פרמיית סיכון בגין נזקי סייבר, אובדן מידע, השבתה עסקית או תביעות צד שלישי כלפי הלקוח.
   2. החברה ממליצה ללקוח לבחון, בהתאם לאופי פעילותו ולרגישות המידע שהוא מעבד, רכישת ביטוח סייבר וביטוח אובדן תוצאתי מתאימים, ולהתייעץ לשם כך עם יועץ ביטוח מוסמך המתמחה בסיכוני סייבר.
   3. הלקוח מאשר כי שקל את הסיכונים הכרוכים בפעילותו הדיגיטלית, כי ניתנה לו הזדמנות לגדרם באמצעות ביטוח מתאים, וכי הגבלות האחריות בהסכם זה נקבעו, בין היתר, בהסתמך על כך שניהול סיכוני הלקוח וביטוחם מצויים באחריותו הבלעדית.
   4. אין באמור כדי להטיל על החברה חובת ייעוץ ביטוחי, והחברה אינה צד לכל פוליסה שירכוש הלקוח.
   5. שאלוני ביטוח, אבטחה וספקים: מסירת מסמכים ותיאורים כלליים קיימים של החברה, ללא עלות. סיוע במילוי שאלוני אבטחה, ביטוח, ספקים או רגולציה של הלקוח או מי מטעמו, לרבות איסוף נתונים והכנת מענים פרטניים, אינו כלול בשירותים ויחויב לפי תעריף שעת עבודה.

8. אבטחת מידע

1. החברה תנקוט אמצעי אבטחת מידע סבירים להגנה על המערכת ועל הנתונים המאוחסנים בה, בהתאם לדין החל.
2. תקיפת הלקוח אינה אירוע של החברה: תקיפה, חדירה, מתקפת תוכנת כופר (Ransomware) או דליפת מידע במערכת הלקוח (לרבות אתר, אפליקציה, מסד נתונים או חשבון משתמש שניהל הלקוח) אינה אחריות החברה, ואינה מהווה הפרה של הסכם זה מצד החברה, אלא אם הוכח כי הסיבה היחידה היא רשלנות חמורה של החברה בהגנה על תשתית הליבה.
3. מערכת אשר היצרן חדל לתמוך בה (End of Life), וכן מערכת אשר הלקוח בחר שלא לעדכנה או שלא להחליפה, אינה כפופה להתחייבות כלשהי של החברה לביצוע עדכוני אבטחה, בכל אחד משירותי החברה. המעקב אחר מועדי סיום התמיכה, ההחלטה בדבר המשך השימוש במערכת כאמור והתוצאות הנובעות מכך יחולו על הלקוח בלבד, לרבות מקום שבו החברה מספקת ללקוח שירותי ניהול ברמת מערכת ההפעלה.
4. שירותי תגובה לאירוע אינם כלולים: במקרה של אירוע סייבר אצל הלקוח, החברה תאפשר ללקוח גישה לביצוע הפעולות הנדרשות מצידו בממשקי הניהול של השירותים הרשומים על שמו בלבד, ככל שהדבר אפשרי באופן סביר בנסיבות האירוע, ובהתאם להרשאות העומדות לו בהם ממילא. שירותי IR (Incident Response), חקירת חדירה, ניהול אירוע, התראה לרשויות, ניתוח יומנים (Logs), שחזור לאחר תקיפה, או כל שירות אחר בקשר לאירוע, אינם כלולים בשירות ויינתנו, ככל שיוסכמו, במסגרת התקשרות נפרדת ובתשלום נוסף בהתאם לתעריפי החברה.
5. פרטים נוספים על עיבוד מידע אישי מפורטים בחלק ב’ (DPA).

9. חיסיון וקניין רוחני

1. כל קניין רוחני הנוגע למערכת, לקוד התוכנה, לממשקים ולתהליכים של החברה, הוא בבעלות החברה. הלקוח מקבל רישיון מוגבל, לא בלעדי וניתן לביטול, לשימוש במערכת לצורך השירותים בלבד, לתקופת ההסכם.
2. הנתונים שהלקוח מאחסן במערכת נשארים בבעלותו המלאה של הלקוח. החברה לא תעשה בהם שימוש למטרה אחרת מלבד מתן השירותים, התחזוקה והתמיכה, ולמטרות הקבועות בחוק.
3. הצדדים ישמרו בסודיות מידע עסקי, טכנולוגי או כלכלי של הצד השני שנחשף להם במהלך ההתקשרות, למעט מידע שהוא נחלת הכלל, שהיה ידוע למקבל כדין קודם למסירתו, שפותח באופן עצמאי, או שגילויו נדרש על פי דין או צו רשות מוסמכת. התחייבות זו תעמוד בתוקפה לתקופת ההסכם ולחמש שנים לאחריה.

10. השעיית שירות וביטול בגין הפרה

1. החברה רשאית להשעות את השירות, באופן מיידי וללא הודעה מוקדמת, במקרים הבאים:
   1. פעילות מהמערכת הפוגעת בצדדים שלישיים (דואר זבל יוצא, נוזקה, דיוג, scan או מתקפה יוצאת, DDoS יוצא);
   2. פעילות בלתי חוקית או דרישה משפטית של רשות מוסמכת;
   3. הפרה מהותית של מדיניות השימוש המקובלת (נספח 7);
   4. סיכון מיידי לתשתית החברה או ללקוחות אחרים.
2. במקרי השעיה כאמור, החברה תודיע ללקוח בהזדמנות הסבירה הראשונה.
3. החברה רשאית להשעות את השירות בהודעה של 7 ימים מראש, במקרי הפרה לא מהותית, אלא אם הלקוח הסיר את ההפרה במהלך תקופה זו; השעיה בגין איחור בתשלום תיעשה אך ורק בהתאם למנגנון הקבוע בסעיף 5.3 לעיל.
4. חידוש שירות לאחר השעיה: חידוש לאחר השעיה ייעשה בכפוף לתשלום דמי הקמה מחדש בתעריף של $200 לשעת עבודה (+ מע”מ), בנוסף לתשלום עבור התקופה שחלפה.
5. חיובים ממשיכים בעת השעיה: השעיית השירות אינה מהווה ביטול ההסכם ואינה פוטרת את הלקוח מתשלום עבור המשך תקופת ההתקשרות החוזית; צבירת החיובים תיפסק במועד מחיקת נתוני הלקוח בהתאם לסעיף 5.3 לעיל.

11. סיום השירות והעברת נתונים

1. בתום ההתקשרות, הלקוח רשאי לבקש העברת נתוניו או הוצאתם מהמערכת. החברה תסייע במאמצים סבירים, בתוך 30 יום, ובכפוף לתעריף השעתי התקף.
2. לאחר 30 יום מתום ההתקשרות, החברה רשאית למחוק את נתוני הלקוח לצמיתות, ללא חובת שמירה נוספת, אלא אם החוק מחייב אחרת או אם אושרה הארכת שמירה בתשלום בהתאם לסעיף 4.4 לעיל.
3. חובות תשלום של הלקוח שטרם הוסדרו אינן פוקעות בתום ההסכם, וניתנות לאכיפה בהתאם לדין.

12. עדכון תנאי ההסכם

1. החברה רשאית לעדכן את תנאי הסכם זה מעת לעת בהודעה מוקדמת של 30 יום, אשר תישלח בהתאם לסעיף 14.5 להלן, ותפורסם באתרי החברה (punchvps.com ו-pcpunch.co.il).
2. המשך השימוש בשירותי החברה לאחר מועד התחילה של התנאים המעודכנים יהווה הסכמה לתנאים החדשים.
3. אם הלקוח אינו מסכים לתנאים המעודכנים, באפשרותו להפסיק את השירות במהלך תקופת ההודעה לפי סעיף 4.2.
4. שינויים שעניינם עדכוני שירות הכרחיים, עמידה בדרישות חוק, או תיקוני אבטחה, עשויים להיכנס לתוקף באופן מיידי.

13. תניית שיפוט וברירת דין

1. על הסכם זה יחולו דיני מדינת ישראל, ללא תחולת כללי ברירת הדין הבינלאומיים שלהם.
2. הסמכות הבלעדית לדון בכל מחלוקת הנובעת מהסכם זה תהא לבתי המשפט המוסמכים בעיר חיפה, ישראל.

14. שונות

1. המחאת זכויות: הלקוח אינו רשאי להמחות את זכויותיו או חובותיו לפי הסכם זה ללא הסכמת החברה בכתב מראש. החברה רשאית להמחות את זכויותיה במסגרת שינוי תאגידי, מיזוג או רכישה.
2. ויתור: ויתור צד אחד על זכותו לפי הסכם זה לא ייחשב כוויתור על זכויות נוספות או כוויתור לעתיד.
3. הפרדה: אם סעיף בהסכם זה ייחשב כבטל או בלתי-אכיף, שאר הסעיפים יישארו בתוקף מלא.
4. הסכם מלא: הסכם זה (לרבות נספחיו) מהווה את ההסכם המלא בין הצדדים בעניינים הנדונים בו, ומבטל כל הסכם, הבטחה או הצהרה קודמים בעל פה או בכתב, וזאת בכפוף לסעיף 2.4.5 לעיל לעניין לקוחות בעלי הסכם פורמלי קודם.
5. הודעות: כל הודעה לפי הסכם זה תישלח לכתובת הדואר האלקטרוני הרשומה במערכות החברה, ובהיעדרה, לכתובת שבהצעת המחיר, ותיחשב כנמסרה ביום העסקים העוקב לשליחתה. הודעות לחברה יישלחו אל: [email protected], טלפון: 03-3801180.
6. זכויות לפי דין: אין בהסכם זה כדי לגרוע מזכות קוגנטית העומדת ללקוח על פי דין, לרבות לפי חוק הגנת הצרכן, התשמ”א-1981, ככל שהוא חל על ההתקשרות.

הסכם זה מהווה את ה-Data Processing Agreement בין הלקוח (להלן: “בקר המידע” / Controller) לבין החברה (להלן: “מעבד המידע” / Processor), בקשר לעיבוד מידע אישי שיתבצע במסגרת השירותים. הסכם זה מתבסס על הדין הישראלי בלבד: חוק הגנת הפרטיות, התשמ”א-1981 ותקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017. עמידה ברגולציות זרות, לרבות GDPR, אינה כלולה בשירות. ללקוחות שהחברה קבעה כי הדבר נדרש להם, לרבות לקוחות שנתוניהם מאוחסנים באיחוד האירופי, יוחל נספח עיבוד ייעודי בהסכמה נפרדת; התאמות רגולטוריות נוספות זמינות במסגרת התקשרות נפרדת ובתשלום.

1. הגדרות (DPA)

2. תפקידי הצדדים

1. הצדדים מסכימים כי לעניין דיני הגנת הפרטיות, הלקוח הוא בקר המידע והחברה היא מעבד המידע. על אף האמור, בשירותי משווק טהורים (Google Workspace, נספח 4; Microsoft 365, נספח 5; גיבוי בענן Acronis, נספח 1) החברה משמשת משווק בלבד ואינה מעבד המידע; הספק הוא המעבד הישיר מול הלקוח, כמפורט בסעיף 6.2.
2. הלקוח אחראי לעמידה בכל חובותיו כבקר מידע, ובכלל זה: בסיס חוקי לעיבוד, מתן הודעות לנושאי המידע, מימוש זכויות נושאי המידע, ועמידה בעקרונות מינימליות, דיוק וצמצום מטרה.
3. החברה תעבד מידע אישי בהתאם להוראות הלקוח בלבד, ולמטרת מתן השירותים בלבד, ולא לכל מטרה אחרת, אלא אם נדרשת לעשות זאת על פי דין.
4. תפקיד כפול: ביחס למידע שהחברה אוספת לצרכיה שלה, ובכלל זה פרטי התקשרות של הלקוח ואנשי קשר מטעמו, נתוני חיוב, יומני מערכות החברה ונתוני שימוש בשירותים, פועלת החברה כבקר מידע עצמאי, והעיבוד כפוף למדיניות הפרטיות של החברה המפורסמת באתריה, ולא להסכם זה.

3. מטרות וסוגי המידע המעובד

1. מטרת העיבוד: מתן השירותים ללקוח, אחסון, גיבוי, רישוי, תמיכה ותחזוקה.
2. סוגי מידע אישי שעשויים להיות מעובדים: שמות, פרטי קשר, כתובות, מספרי טלפון, כתובות מייל, מזהים טכניים (IP, Cookies, מזהי Session), פרטי תשלום (טוקנים, לא מספרי כרטיס), ותכנים שהלקוח מעלה למערכת.
3. קטגוריות נושאי מידע: לקוחות-קצה של הלקוח, עובדים, ספקים ומשתמשים אחרים שהלקוח מעבד מידע אודותיהם.
4. קטגוריות מיוחדות של מידע (Special Categories): החברה אינה מבקשת ואינה אוספת ביודעין מידע רגיש (לדוגמה, מצב בריאות, השקפות פוליטיות, אמונה, מוצא אתני או מידע ביומטרי). אם הלקוח מאחסן במערכת מידע כזה, האחריות עליו, והוא מאשר כי קיבל את ההסכמות הנדרשות מנושאי המידע.

4. אזור עיבוד

1. עיקר עיבוד המידע מתבצע בישראל.
2. חלקים מסוימים של השירות מתבצעים באמצעות ספקי תשתית בינלאומיים (לדוגמה: Cloudflare ל-CDN, Google ל-Workspace, Microsoft ל-365), ובמסגרתם עשוי מידע להיות מעובד או מנותב גם מחוץ לישראל, בהתאם לתנאיהם ולמדיניותם של אותם ספקים כפי שהם מעת לעת.

5. אמצעי אבטחה (Technical & Organizational Measures)

5.1 אמצעי אבטחה מצד החברה (כמעבד מידע)

החברה מיישמת, במערכות שתחת ניהולה הישיר ובהיקף השירות שהיא מספקת, אמצעי אבטחה טכניים וארגוניים סבירים בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017. אמצעי האבטחה נסקרים ומתעדכנים באופן שוטף, לפי האיומים והדרישות העדכניות. פירוט אמצעים, התאמות רגולטוריות ומענה לשאלוני אבטחה ניתנים במסגרת התקשרות נפרדת ובתשלום.

5.2 גבולות אחריות החברה: תחומים שאינם בשליטתה

אמצעי האבטחה לעיל חלים אך ורק על מרחבי השליטה של החברה. החברה אינה אחראית על אמצעי אבטחה במערכות שאינן בשליטתה הישירה, ובכלל זה: תחנות העבודה של הלקוח שאינן מנוהלות על ידי החברה, רשת הארגון של הלקוח, אפליקציות שהלקוח מתקין על שרתיו, סיסמאות וזהויות שמנהל הלקוח, או כל מערכת ספק צד ג’ שהלקוח עושה בה שימוש.

5.2.1 התנהלות הלקוח כגורם לאירוע או לנזק

הלקוח מאשר ומבין כי התנהלות, מחדל, טעות או רשלנות מצדו או מצד עובדיו, ספקיו, קבלניו או מי מטעמו, בציוד, בחשבונות או במערכות שתחת שליטתו, עלולים להביא לאירוע סייבר או לנזק אחר, ובכלל זה פריצה, תוכנת כופר (Ransomware), דליפת מידע, השתלטות על חשבונות, חדירה לתשתית, וכן מחיקה או שיבוש של נתונים, הגדרות או שירותים, לרבות בשוגג. אירוע או נזק שמקורם כאמור בסביבת הלקוח, בציודו מכל סוג או במי מטעמו, אינם באחריות החברה, וחל עליהם סעיף 6.5.

5.2.2 הטיפול באירוע מצריך צוות IR שאינו חלק מהשירות

טיפול באירוע סייבר פעיל אצל הלקוח מצריך צוות תגובה לאירוע (Incident Response, IR): תחום מקצועי ייעודי הכולל בידוד מערכות נגועות, חקירת מקור החדירה, ניתוח לוגים, איסוף ראיות (Forensics), שחזור בטוח, וחיזוק עמדת האבטחה לאחר האירוע.

שירותי תגובה לאירוע (IR), ניהול אירוע סייבר, ו-Forensics, אינם חלק משירותי ה-IT, ה-Help Desk, או שירותי הניהול ברמת מערכת הפעלה בכל חבילה של החברה. הם אינם נכללים במסגרת השעות החודשיות, אינם מחויבים בזמני תגובה לפי ה-SLA הסטנדרטי, ואינם ניתנים על ידי הצוות התפעולי השוטף.

שירותי IR ייכללו במסגרת התקשרות נפרדת בלבד, בתשלום נוסף, בכפוף לזמינות צוות ייעודי, ולפי התעריפים הנקובים בנספח 2 להלן. ראה גם נספח 2 סעיף 4 (יישום מדיניות CISO חיצוני) וסעיף 5 (שירותי אבטחת מידע מתקדמים, זמינים בהתקשרות נפרדת).

אבטחת הסביבה שבשליטת הלקוח, ובכלל זה ציוד הקצה שלו, רשתותיו, חשבונותיו, משתמשיו וסיסמאותיו, התוכנות שהוא מתקין, ההרשאות שהוא מעניק ופעולות עובדיו, ספקיו ומי מטעמו, היא באחריות הלקוח הבלעדית. טיפול באירוע או בנזק שמקורם בסביבה זו אינו כלול בשירותים לפי הסכם זה, ויינתן, ככל שיוזמן, במסגרת התקשרות נפרדת ובתשלום לפי תעריפי החברה.

5.3 אחריות הלקוח כבקר המידע

הלקוח, כבקר המידע, אחראי בלעדית, בין היתר ומבלי למצות, על:

1. אמצעי אבטחה במערכותיו שלו ובסביבת העבודה של עובדיו (תחנות, רשתות פנימיות, BYOD);
2. ניהול משתמשים, סיסמאות, הרשאות וגישה בחשבון הלקוח במערכות החברה;
3. הדרכת עובדיו ומשתמשיו לגבי שימוש בטוח בשירותים;
4. עמידה בחובותיו לפי חוק הגנת הפרטיות, התשמ”א-1981, ותקנותיו;
5. נקיטת אמצעי אבטחה ברמה ההולמת את רגישות המידע שהוא מאחסן או מעבד באמצעות שירותי החברה.

החברה מציעה ללקוח לעיין בנספח 2 (IT) ובסעיף 5 שם, לתיאור שירותים מתקדמים שזמינים לרכישה בנפרד לטובת חיזוק עמדת אבטחת המידע של הלקוח.

6. הודעה על אירוע אבטחה

6.1 מהו אירוע אבטחה לעניין סעיף זה

“אירוע אבטחה” משמעו אובדן, חשיפה, שינוי או גישה בלתי-מורשית למידע אישי, כהגדרתו בתקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017.

6.2 הסעיף חל על השירותים הבאים בלבד

סעיף 6 זה חל על שירותים בהם החברה משמשת כ-Processor ומחזיקה או מעבדת מידע אישי של הלקוח בתשתית שתחת שליטתה. ובכלל זה:

1. שרת וירטואלי בחווה (נספח 3);
2. אחסון אתרים (נספח 6);
3. שירותי IT (נספח 2): לעניין מערכות שתחת ניהול ישיר ושוטף של החברה.

הסעיף אינו חל על שירותי משווק טהורים, בהם החברה משווקת שירות של ספק צד ג’ שהוא ה-Processor הישיר, לרבות, ומבלי למצות:

1. Google Workspace (נספח 4): המידע מאוחסן ומעובד אצל Google LLC;
2. Microsoft 365 (נספח 5): המידע מאוחסן ומעובד אצל Microsoft Corporation;
3. גיבוי בענן Acronis (נספח 1): המידע מאוחסן ומעובד אצל Acronis International GmbH בענן שלה.

בשירותים אלה, אחריות ההודעה על אירוע אבטחה היא של ספק הצד השלישי בהתאם להסכמיו הציבוריים מול לקוחותיו. ככל שתגיע לידי החברה הודעה מהספק הנוגעת ללקוח, רשאית החברה להעבירה ללקוח; אין באי-העברת הודעה כאמור כדי להטיל אחריות כלשהי על החברה.

6.3 אירוע ברמת התשתית של החברה (Infrastructure-Level Breach)

אירוע ברמת התשתית של החברה הוא אירוע שמקורו במערכות הליבה של החברה, וההשלכות שלו עשויות להשפיע על מספר לקוחות במקביל או על המערכת בכללותה. דוגמאות לא ממצות: חדירה לסביבת הווירטואליזציה (Hypervisor) של החברה, פריצה למסד הנתונים הניהולי של החברה, חדירה לרשת הניהול הפנימית של חוות השרתים, דליפת מידע מתשתית גיבוי כללית, או פגיעה בהרשאות גישה (Root / Domain Admin) של מערכות החברה.

1. במקרה של אירוע אבטחה ברמת התשתית של החברה, המשפיע על מידע אישי של הלקוח, החברה תודיע ללקוח בכתב, ללא דיחוי בלתי סביר ולא יאוחר מ-72 שעות מהזמן שנודע לה על האירוע, ותכלול בהודעה: תיאור האירוע, סוגי המידע שנפגעו (ככל הניתן), צעדים שננקטו, וצעדים מומלצים ללקוח.
2. החברה תסייע ללקוח, באופן סביר ובמסגרת יכולותיה הטכניות, במידע ובנתונים שיידרשו על ידי הלקוח לצורך מילוי חובותיו לפי הדין.

החברה פועלת באופן שוטף לאבטחת תשתיותיה ולצמצום הסיכון לאירועים כאמור.

6.3.1 אירוע ספציפי ללקוח שהתרחש בסביבת התשתית של החברה

קיימת הבחנה מהותית בין אירוע ברמת התשתית של החברה (סעיף 6.3 לעיל), לבין אירוע שהתרחש בסביבה הספציפית של הלקוח על גבי תשתית החברה, מבלי שהתשתית עצמה נפגעה. דוגמאות לא ממצות לאירוע כזה:

1. פריצה לחשבון האחסון של הלקוח באמצעות סיסמה חלשה שניהל הלקוח;
2. השתלטות על שרת וירטואלי של הלקוח באמצעות Brute Force על שירות שהלקוח חשף (SSH, RDP, Database) בלא הגנה מתאימה;
3. חדירה לאתר WordPress / CMS של הלקוח דרך plugin, theme, או גרסה לא מעודכנת;
4. Exploit לפגיעות באפליקציה שהלקוח התקין על שרתו;
5. דליפת מפתחות API, אישורי OAuth, או טוקנים שאחסן הלקוח באפליקציה שלו;
6. תוכנת כופר שהגיעה לסביבת הלקוח דרך הרשת או התחנות של הלקוח.

בכל המקרים לעיל, התשתית של החברה לא נפגעה ולא הייתה הגורם לאירוע. האירוע התרחש בסביבת הלקוח עצמה, בחשבון, באפליקציה, בקוד, או בהרשאות שמנהל הלקוח. אירוע כזה אינו באחריות החברה, וחל עליו סעיף 6.5 להלן. מבלי לגרוע מהאמור, החברה תודיע ללקוח ללא דיחוי בלתי סביר על כל אירוע אבטחה שנודע לה בפועל במערכות שבהחזקתה הישירה, לרבות אירוע בסביבת הלקוח, ואין בהודעה כאמור משום הודאה באחריות, בהפרה או בחבות כלשהי מצד החברה.

לבקשת הלקוח, תעביר לו החברה, ככל הניתן ובמאמץ סביר, נתונים ויומני מערכת (Logs) הנוגעים לשירותים הרשומים על שמו בלבד, לצורך הבנת האירוע. אין בהעברת נתונים כאמור משום הכרה באחריות מצד החברה. שירותי טיפול ממוקדים באירוע (IR, Forensics, ניתוח יומנים מתקדם): לפי נספח 2, בהתקשרות נפרדת ובתשלום.

6.4 חובת הדיווח לרשויות

חובת הדיווח על אירוע אבטחה לרשות הגנת הפרטיות או לכל רשות אחרת חלה על הלקוח בלבד, כבעל המאגר. הלקוח אחראי להכיר את דרישות הדין החלות עליו ולדווח בהתאם להן. החברה אינה מדווחת לרשויות בשם הלקוח ואינה משמשת ממונה הגנת פרטיות מטעמו.

6.5 אירוע במערכות הלקוח

אירוע אבטחה הנובע ממערכת הלקוח, לדוגמה: פריצה לאתר WordPress של הלקוח, פגיעה בחשבון אדמין שניהל הלקוח, חדירה מתחנת עבודה בארגון הלקוח שאינה מנוהלת על ידי החברה, או אובדן זהויות שמנהל הלקוח, אינו אירוע אבטחה של החברה. הטיפול בו, ההודעה לרשות הגנת הפרטיות (ככל שתידרש), ההודעה לנושאי המידע, וכל דרישה אחרת החלה על פי דין, באחריות הלקוח בלבד.

7. זכויות נושאי המידע

מימוש זכויות נושאי המידע, לרבות עיון, תיקון, מחיקה, ניידות והתנגדות לעיבוד, הוא באחריות הלקוח כבעל המאגר. פנה נושא מידע ישירות לחברה, תפנה אותו החברה ללקוח ותודיע ללקוח על הפנייה, ללא חיוב. כל סיוע נוסף של החברה במימוש בקשות כאמור יינתן לפי בקשת הלקוח, בכפוף לזמינות, וכרוך בתשלום לפי תעריף שעת העבודה של החברה.

8. ספקים וקבלני משנה

החברה רשאית להיעזר בספקים ובקבלני משנה למתן השירותים, לפי שיקול דעתה, ותחיל על קבלני משנה בעלי גישה למידע אישי חובות אבטחה והגנת פרטיות מקבילות לאלה החלות עליה. ספקי החברה כוללים, לדוגמה: ספקי תשתית ענן ורשת, ספקי תוכנות ניהול ושרת, ספקי מערכות הגנת קצה וסינון, וספק חוות השרתים. החברה רשאית להוסיף, לגרוע או להחליף ספקים וקבלני משנה בכל עת. רשימה עדכנית מתפרסמת לנוחות הלקוח באתרי החברה, ואינה מהווה חלק מההסכם.

9. שמירה ומחיקה

1. תקופות שמירה: נתוני חשבון וחשבוניות, שבע שנים (דרישות דיני המס); יומני מערכות, תשתית וכרטיסי תמיכה, לתקופות המקובלות אצל החברה בהתאם לסוג היומן והמערכת; מזהי חיוב (טוקנים): מוחזקים אצל ספק הסליקה החיצוני בהתאם לתקן PCI-DSS, כל עוד נמשך החיוב.
2. מובהר: יומנים, גיבויים ונתונים במערכות המנוהלות על ידי הלקוח (לרבות בתוך שרת וירטואלי או חשבון אחסון של הלקוח): הגדרתם, שמירתם ומדיניותם באחריות הלקוח בלבד, והחברה אינה קובעת ואינה אוכפת לגביהם תקופות שמירה.
3. בתום ההתקשרות, בחלוף 30 יום ממועד סיומה (או במועד מאוחר יותר שסוכם בכתב לפי סעיף שמירת הנתונים בתשלום), או לפי בקשת הלקוח (ובהתאם לחוק), תמחק החברה את המידע מהמערכות הפעילות שבהחזקתה הישירה או תחזירו ללקוח לפי הוראתו, בכפוף לחובות שמירה לפי דין. עותקים המצויים במחזורי גיבוי מתגלגלים נמחקים אוטומטית בתום מחזור הגיבוי הרגיל של השירות הרלוונטי, ולא ייעשה בהם שימוש אלא לצורכי שחזור. בשירותי שרת וירטואלי, עומדת ללקוח אפשרות בפאנל הניהול למחוק בעצמו, באופן מיידי, גם את גיבויי השרת (בכפוף לאימות OTP); מחיקה כאמור היא פעולת לקוח, סופית ובאחריותו הבלעדית. בשירותי גיבוי משווקים (Acronis), פעולת החברה מסתכמת בהשבתת חשבון הלקוח אצל הספק ומחיקתו; המחיקה בפועל מתבצעת על ידי הספק בהתאם למדיניותו העדכנית. ללקוח המחזיק הרשאות ניהול בחשבון הגיבוי שליטה עצמאית במחיקת נתונים, תחנות והרשאות, והחברה אינה אחראית לפעולות אלה.

10. ביקורות ובדיקות

1. מענה לשאלוני אבטחה, סקרי ספקים, דרישות ביקורת או בקשות מידע אחרות בתחום אבטחת המידע יינתן במסגרת התקשרות נפרדת ובתשלום, לפי תעריפי החברה.
2. ביקורת לקוח: מענה לדרישות ביקורת, שאלוני אבטחה וסקרי ספקים יינתן על בסיס מסמכים והצהרות בכתב בלבד, במסגרת התקשרות נפרדת ובתשלום לפי תעריפי החברה, ובכפוף לשמירת סודיות. ביקורת פיזית במתקנים אינה מתאפשרת.

11. פניות בענייני מידע אישי

פניות ושאלות בעניין הסכם זה או בענייני מידע אישי יופנו אל החברה, בכתובת: [email protected].

נספח זה מהווה חלק בלתי-נפרד מההסכם ומפרט את תנאי השירות המיוחדים החלים על שירותי הגיבוי בענן הניתנים ללקוח, המבוססים על טכנולוגיית Acronis Cyber Backup.

1. תיאור השירות

1. החברה מספקת ללקוח גישה למערכת Acronis Cyber Backup, הכוללת: ממשק ניהול (קונסולה), הקצאת נפח אחסון בענן בהתאם להצעת המחיר, אפשרות התקנת Agents על תחנות ושרתי הלקוח, ויכולת תזמון משימות גיבוי ושחזור.
2. השירות הוא שירות תשתית: החברה מספקת את הפלטפורמה, האחסון והממשק, ומבצעת את ההקמה וההטמעה הראשונית. לאחר ההטמעה הראשונית, ביצוע הגיבויים בפועל, בחירת הקבצים, תזמון, מעקב וטיפול בכשלים, באחריות הלקוח.
3. השירות ניתן במודל משווק (Reseller) של פלטפורמת הגיבוי, ונתוני הגיבוי מאוחסנים במרכז הנתונים (Data Center) של הספק בישראל, בהתאם לתצורת השירות הנוכחית.
4. השירות מבוסס על פלטפורמה של Acronis, והחברה פועלת ביחס אליו כמשווק בלבד. החברה אינה אחראית לזמינות הפלטפורמה, לתפקודה, לתקלות בה או למדיניות הספק; כל אלה באחריות הספק בלבד, בהתאם לתנאיו החלים על הלקוח במישרין. אחריות החברה מוגבלת לשירותי המשווק שסוכמו: הקמה, הטמעה ותמיכה בהיקף הקבוע בנספח זה.

2. מה החברה לא מבצעת, חשוב לקרוא

1. החברה אינה מנטרת את הגיבויים: החברה אינה בודקת באופן שוטף האם משימות גיבוי הצליחו, האם ה-Agent מחובר (online), האם הגיבוי האחרון בוצע במועד, או האם נפח האחסון מתקרב לקצה.
2. החברה אינה מתריעה על כשלים: כשל בגיבוי (Agent מנותק, משימה שנפלה, אחסון מלא, גיבוי שלא הסתיים) אינו מועבר אוטומטית כהתראה אל החברה. המערכת שולחת דוח מצב אוטומטי יומי לכתובת הדואר האלקטרוני של מנהל החשבון שהוגדרה בעת ההקמה; משלוח הדוח הוא מנגנון טכני בלבד ואינו מהווה ניטור מצד החברה. המעקב אחר דוח המצב, אחר ההתראות בממשק ואחר כשלים באחריות הלקוח, ובאחריותו לוודא בכל עת שכתובת הדואר האלקטרוני המקבלת את הדוחות פעילה ומנוטרת על ידו, ולעדכן את החברה בכל שינוי בה.
3. החברה אינה מבצעת בדיקות שחזור (Restore Tests): וידוא כי הגיבוי ניתן לשחזור בפועל אינו חלק מהשירות. הלקוח מתבקש לבצע בדיקות שחזור תקופתיות בעצמו.
4. הלקוח מקבל גישה לממשק: ללקוח ניתנים שם משתמש וסיסמה לממשק Acronis. באמצעות הממשק יכול הלקוח (או איש ה-IT שלו) לראות את מצב הגיבויים, להגדיר התראות, לבצע שינויים ולבדוק תקינות.
5. שירותי תגובה לאירוע אינם כלולים: החברה אינה מספקת שירותי IR, ‏CISO או ניהול אירוע סייבר בסביבת הגיבוי של הלקוח (ראה נספח 2).

3. שחזור (Restore)

3.1 שחזור עצמאי דרך הממשק

הלקוח רשאי לבצע שחזורים באופן עצמאי דרך ממשק Acronis, בכפוף למגבלות המערכת ותנאי רישוי צד שלישי. החברה ממליצה ללקוח להסמיך את איש ה-IT שלו, או נציג מטעמו, לביצוע פעולות שחזור באופן שוטף.

3.2 סיוע אנושי הכלול בשירות

1. הדרכה ראשונית: לאחר הקמת השירות, החברה תספק הדרכה ראשונית חד-פעמית לאיש ה-IT של הלקוח (או נציג מטעמו), בדבר השימוש בממשק וביצוע פעולות שחזור בסיסיות. ההדרכה כלולה בשירות.
2. סיוע אנושי עד 3 פעמים בשנה: ככל שהלקוח נדרש לסיוע במהלך פעולת שחזור, נציג תמיכה אנושי של החברה יסייע ללקוח עד 3 פעמים בשנה קלנדרית, ללא תשלום נוסף. החברה תתעד את מועדי הסיוע.
3. הדרכה נוספת או תמיכה מקצועית מצד צוות התמיכה: תינתן בתוספת תשלום, לפי התעריף השעתי התקף (כהגדרתו בחלק א’).

3.3 שירות מעקב וניטור גיבויים (אופציונלי, בהתקשרות נפרדת)

ללקוחות שאין להם איש IT פנימי, או שמעוניינים בליווי שוטף ובמעורבות פעילה של החברה בניטור הגיבויים, ניתן לרכוש מהחברה שירות מעקב וניטור גיבויים כשירות נפרד. היקף השירות, רכיביו ותעריפו ייקבעו בהצעת מחיר נפרדת.

3.4 גבולות אחריות לעניין שחזור

החברה אינה מתחייבת על זמן שחזור, על שלמות הגיבוי, על יכולת שחזור של גרסה ספציפית, או על תוצאת השחזור. גם במסגרת הסיוע האנושי הכלול בסעיף 3.2, אין הדבר מהווה התחייבות לתוצאה.

4. מחירים ותעריפים

1. מחיר השירות מבוסס על נפח אחסון, מספר מכונות מוגנות (Agents), וסוג השירות, כפי שמפורט בהצעת המחיר.
2. חריגה מהנפח שהוזמן, תחויב בתעריף שמופיע בהצעת המחיר, או, בהיעדר ציון, לפי התעריף השעתי התקף (כהגדרתו בחלק א’).
3. שער המרה: בהתאם לסעיף 5.4 לחלק א’ (שער מינימום של 3.30 ₪ לדולר).

5. אחריות הלקוח

1. לאחר ההקמה וההטמעה הראשונית על ידי החברה, הלקוח אחראי, בין היתר, על: ניטור שוטף של הגיבויים, מעקב אחר דוחות המצב, ביצוע בדיקות שחזור תקופתיות, ווידוא שכל נכסיו הקריטיים מכוסים.
2. הלקוח אחראי לעדכן את החברה אם הוסיף תחנות חדשות, שינה תצורה מהותית, או מבקש להגדיל את הנפח.
3. אובדן נתונים, ובכלל זה עקב אי-קיום גיבוי, גיבוי לא תקין, אי-בדיקת שחזור, הסרת רכיב הגיבוי, תקלה בציוד או בסביבת הלקוח, או כל סיבה אחרת שאינה נובעת ממחדל מוכח של החברה בשירות שבאחריותה הישירה, הוא באחריות הלקוח בלבד. תקלה בפלטפורמת הספק בשירותי גיבוי משווקים, באחריות הספק בהתאם לסעיף 6.2 לחלק ב’.

6. תקופת שמירה והפסקת שירות

1. גיבויים נשמרים בהתאם לתצורה שהוגדרה על ידי הלקוח בממשק (Retention Policy). החברה אינה אחראית אם הלקוח הגדיר תקופת שמירה לא מספקת.
2. בעת הפסקת שירות, הגיבויים יימחקו בהתאם למדיניות השמירה של ספק הפלטפורמה, וככלל בסדר גודל של 30 יום ממועד ההפסקה, ללא התחייבות למועד קשיח. הארכת שמירה לבקשת הלקוח טעונה בקשה בכתב מראש ואישור החברה, וכרוכה בתשלום דמי אחסון לפי תעריפי החברה, ממועד הפסקת השירות ועד המחיקה בפועל; לא שולמו דמי האחסון, רשאית החברה להפסיק את השמירה המוארכת.
3. העברת חשבון הגיבוי (Tenant) למשווק אחר או לספק במישרין, ללא הסכמת החברה בכתב ולפני תום תקופת ההתחייבות, תיראה כסיום ההתקשרות ביוזמת הלקוח. במקרה כזה יחויב הלקוח ביתרת דמי השירות עד תום תקופת ההתחייבות וכן בעלות הנקובה של דמי ההקמה, ההטמעה וההדרכה שלא נגבתה בפועל; ככל שאלה סופקו ללא חיוב או בחיוב מופחת, הדבר נעשה כהטבה מותנית בהתחייבות הלקוח לתקופת ההתקשרות המלאה.

נספח זה חל אך ורק על לקוח שרכש שירותי IT במסגרת הצעת מחיר, ומפרט את תנאי השירות החלים עליהם.

1. תיאור השירות

1. שירותי IT כוללים: תמיכה טכנית, ביצוע התקנות ושינויי תצורה, ניהול תחנות עבודה וציוד היקפי, ניהול חשבונות משתמשים בסביבות שהוגדרו, וטיפול בקריאות שירות.
2. היקף השירות, שעות העבודה החודשיות, וזמני התגובה (SLA), לפי הצעת המחיר.
3. שעות עבודה החורגות מההיקף החודשי, בתעריף שעת עבודה נוסף לפי הצעת המחיר, או לפי התעריף השעתי התקף.

2. רמת אבטחת המידע הכלולה בשירות (Baseline)

שירותי IT כוללים רמת אבטחת מידע בסיסית בלבד. באחריות הלקוח לוודא כי רמה זו עונה על צרכיו ועל כל דין החל עליו. רמה זו כוללת, בין היתר:

1. חומת אש (Firewall) ברמת הרשת או התחנה;
2. הגנת Endpoint בסיסית (Antivirus / EDR): התקנת סוכן הגנה מרישוי הספק, בתצורת ברירת המחדל של היצרן, וטיפול נקודתי בהתראות במסגרת שעות השירות. אין הדבר כולל ניטור רציף של קונסולת ההגנה, חקירת אירועים, כתיבת חוקים מותאמים, בלימה אקטיבית יזומה או ניהול תגובה, שהם שירות מתקדם לפי סעיף 3 להלן;
3. עדכוני אבטחה תפעוליים שוטפים למערכת ההפעלה;
4. מדיניות סיסמאות סבירה והרשאות בסיסיות;
5. גיבוי לפי הסיכום (ראה נספח 1 ככל שרלוונטי);
6. הנחיות שימוש סבירות למשתמשי הקצה.

הרמה הבסיסית מתבססת על ארכיטקטורת רשת שטוחה ועל מוצרים סטנדרטיים. היא אינה מהווה אסטרטגיית אבטחת מידע מתקדמת.

3. שירותים שאינם כלולים בשירות הבסיסי (Baseline) וזמינים לרכישה בתוספת תשלום: אבטחת מידע מתקדמת

1. שירותי תגובה לאירוע (Incident Response, IR): טיפול באירוע סייבר פעיל אצל הלקוח, ניתוח התקפה, הכלת אירוע (Containment), התקנת כלי forensics, או שחזור לאחר תקיפה.
2. חקירת חדירה לאחר אירוע (Forensics): חקירה טכנית של ראיות, ניתוח לוגים מתקדם, תיעוד ראייתי לצרכי משפט או רגולציה.
3. קצין אבטחת מידע והגנת סייבר (CISO, ‏Chief Information Security Officer): ייעוץ אסטרטגי באבטחת מידע, ניהול מערך אבטחה, בניית תוכניות הגנה, כתיבת מסמכי מדיניות, ניהול סיכונים, ביצוע הערכות סיכון, הכנת דוח פערים, או חתימה על מסמכים בתפקיד קצין אבטחת מידע.
4. ניהול אירוע סייבר: תפקוד כצוות SOC או IR Team של הלקוח בעת אירוע.
5. התראה והכוונה לרשויות: תמיכה בהכנת דיווח לרשות הגנת הפרטיות, התקשרות עם רגולטור, או ייצוג מול גורמים חיצוניים.
6. מבדקי חדירה (Penetration Testing / Pen Test): סימולציית תקיפה מבוקרת על מערכות הלקוח, ניצול פגיעויות (Exploitation), בדיקות Red Team / Purple Team, או דוחות מבדק חדירה.
7. בדיקות פגיעות (Vulnerability Assessment / VA): סריקות פגיעות מובנות, ניתוח ממצאי סריקה, ודירוג CVSS.
8. דוחות פערים (Gap Analysis): סקירה ודוח השוואת מצב קיים מול תקן או מדיניות יעד (לרבות ISO 27001, ISO 27017, SOC 2, ת”י 27001, תקנות הגנת הפרטיות, NIST CSF, CIS Controls).
9. ביקורת אבטחת מידע (Security Audit): ביקורת תקופתית, סקירת בקרות, ראיונות עם נושאי תפקיד וכתיבת דוח ביקורת.
10. ביקורות עמידה ברגולציה (Compliance Audit): סקירה לצורך עמידה בתקנים, לרבות הכנה להתעדה (Certification), ליווי רואה חשבון או רגולטור.
11. ניהול פגיעויות וסגירת CVE (Vulnerability Management): יישום פלטפורמת ניהול פגיעויות ארגונית, זיהוי שוטף של CVEs, תיקון מתואם, והפעלת תהליך Patch Management מקצועי על פני הארגון.
12. SIEM (Security Information & Event Management): תכנון, רישוי, התקנה, התאמה והפעלת פלטפורמת איסוף וקורלציה של אירועי אבטחה ולוגים.
13. שירותי SOC (Security Operations Center): ניטור 24/7 של אירועי אבטחה, ניתוח התראות, חקירת אירועים פעילים, תיעוד ושיתוף מודיעין. מובהר: שירותי SOC הם שירות נפרד לחלוטין ואינם כלולים באף חבילת IT או ניהול.
14. שירותי NOC (Network Operations Center): ניטור תשתית ורשת רציף 24/7 באמצעות מרכז תפעול ייעודי, לרבות תגובה יזומה להתראות תשתית. מובהר: שירותי NOC הם שירות נפרד לחלוטין ואינם כלולים באף חבילת IT או ניהול.
15. תגובת EDR מתקדמת (Advanced EDR Detection & Response): הפעלה מקצועית של פלטפורמת EDR ארגונית, ניתוח התראות, חקירת אינדיקטורים, ובלימה אקטיבית.
16. סגמנטציה והפרדה לוגית של רשת (Network Segmentation / Micro-segmentation): תכנון ויישום ארכיטקטורת רשת מבוססת הפרדות לוגיות, רשימות בקרה, חומות אש פנימיות, ועקרון Least Privilege.
17. Zero Trust Network Access (ZTNA): תכנון ויישום ארכיטקטורת Zero Trust, גישת משתמש לפי זהות והקשר, החלפת VPN רוחבי בגישה מבוססת אפליקציה.
18. Endpoint Hardening מתקדם: יישום Baselines ארגוניים לפי תקנים מקובלים, כיבוי שירותים שאינם נחוצים, הצפנת דיסק מלא (Full Disk Encryption), ו-Application Whitelisting.
19. Threat Hunting ו-Threat Intelligence: חיפוש פעיל של איומים שטרם זוהו על ידי כלים אוטומטיים, איסוף מודיעין סייבר ושימוש בו לזיהוי מוקדם.
20. ייעוץ אסטרטגי באבטחת מידע: ליווי ארגוני בבניית תוכנית אבטחה רב-שנתית, מפת דרכים, בחירת ספקים, ניהול תקציב אבטחה, וייעוץ דירקטוריוני.
21. פיתוח תוכנה / קוד מותאם: כתיבת קוד, תכנות, פיתוח אפליקציות, או התערבות ברמת הקוד של מערכות הלקוח.

היותו של נושא משרה בחברה בעל הסמכה

אם וככל שנושא משרה בחברה הינו בעל הסמכת CISO מקצועית או הסמכה אחרת בתחום אבטחת המידע, אין בכך כדי לכלול את שירותיו בתפקיד זה במסגרת ההסכם. שירותים אלה ניתנים בהתקשרות נפרדת בלבד, ועלותם נקבעת בנפרד.

4. יישום מדיניות של CISO חיצוני בארגון הלקוח

פעולות אלה אינן חלק משירותי ה-IT, ה-Help Desk, או שירותי הניהול במסגרת הסכם זה, גם אם החברה ממשיכה לתפקד כספק ה-IT השוטף של הלקוח. הן יבוצעו אך ורק בהתקשרות נפרדת או על בסיס שעות עבודה נוספות בתשלום, ובלבד שאושרו מראש על ידי הלקוח. בכלל זה, ומבלי לגרוע:

1. יישום בקרות אבטחה (Security Controls) שהוגדרו על ידי ה-CISO החיצוני;
2. הקשחה (Hardening) של מערכות, תחנות או שרתים לפי baseline שנקבע;
3. שינויי תצורה (Configuration Changes) ברשת, ב-Endpoints, באישורים או בהרשאות לפי הוראות ה-CISO;
4. תיעוד פעולות, שמירת ראיות, וכתיבת מסמכי בקרה לצורך תהליכי ביקורת או הסמכה (ISO, SOC, ת”י);
5. מענה לדרישות תיעוד או ראיונות במסגרת Audit, Pen Test, או Gap Analysis שיוזם ה-CISO החיצוני;
6. יישום ממצאי דוח מבדק חדירה / סקר / ביקורת, לרבות סגירת פגיעויות מזוהות, יישום בקרות גישה, שינוי ארכיטקטורה;
7. מענה לדרישות DPA, תקנות הגנת הפרטיות, או בקשות זכויות נושאי מידע;
8. השתתפות בישיבות מקצועיות, ועדות היגוי, תרגולים (Tabletop, DR Drill) או תרחישי IR שיוזם ה-CISO;
9. הקצאת אנשי צוות מטעם החברה לפרויקטים שמובלים על ידי ה-CISO החיצוני.

עבודה כאמור תבוצע, ככל שהחברה תסכים לבצעה, רק לאחר סיכום מסחרי נפרד ואישור בכתב מהלקוח.

5. שירותי אבטחת מידע מתקדמים, זמינים בהתקשרות נפרדת

שירותים שאינם כלולים בהסכם זה זמינים לרכישה מהחברה בהתקשרות נפרדת, בהיקף ובתמחור שייקבעו בהצעת מחיר ייעודית.

מבנה תמחור

1. עלות הקמה (Setup): חד-פעמית, כמפורט בהצעת המחיר.
2. עלות שוטפת חודשית (Retainer): נפרדת מכל תשלום שוטף אחר ללקוח, ומשקפת את היקף הניטור, התגובה והייעוץ המוסכמים.
3. תעריף שעת עבודה דחופה (אירוע פעיל / IR): לפי סעיף 6.2 להלן, אלא אם סוכם אחרת בכתב.
4. ההיקף, התעריפים והתנאים הספציפיים ייקבעו בהסכם ייעודי נפרד הכפוף לחלק א’ של הסכם זה (MSA), ושירות זה אינו חלק מהשירותים הכלולים בכל חבילה אחרת.

6. תעריף שעת עבודה בהיקף נוסף

1. שעת עבודה רגילה החורגת מההיקף החודשי, לפי תעריף שמופיע בהצעת המחיר.
2. שירותי IR / אירוע פעיל: תעריף של $250 + מע”מ לשעת עבודה, לכל איש צוות שתקצה החברה לאירוע ובהתאם להיקף הצוות שיידרש, אלא אם נקבע אחרת בהסכמה נפרדת. מינימום חיוב לחבילת אירוע, 8 שעות.
3. זמן עבודה נמדד ביחידות של 15 דקות; יחידה שהחלה נמנית במלואה.

7. שעות מוקד ו-SLA

1. שעות פעילות מוקד שירות לקריאות שוטפות: ימים א’-ה’, 08:00-18:00.
2. קריאות דחופות / מערכת משביתה מחוץ לשעות הפעילות, יטופלו במאמץ סביר, בערוצי הקשר שנמסרו ללקוח.
3. יעדי תחילת טיפול, כיעדי שירות בלבד ולא כהתחייבות: קריאה רגילה עד 8 שעות פעילות, קריאה דחופה עד 2 שעות פעילות.
4. החברה אינה מתחייבת לסיים את הטיפול במסגרת זמן מסוימת; יעדי הזמן מתייחסים לתחילת הטיפול בלבד.

8. שונות

1. הלקוח מתחייב לספק לחברה את כל המידע הנדרש לטיפול בקריאה, ובכלל זה גישות מערכת, סיסמאות, ופרטי צד ג’ אם נדרשים.
2. החברה אינה אחראית לכשלים הנובעים מאי-מתן מידע מספק מצד הלקוח.

נספח זה מפרט את תנאי השירות החלים על שירותי שרת וירטואלי (VPS) המוקצים ללקוח בחוות שרתים של החברה בישראל, בכל מערכת הפעלה (לרבות Linux ו-Windows) כפי שסוכמה בהצעת המחיר.

1. מפרט והקצאה

1. הקצאת המשאבים (CPU, RAM, אחסון, כתובות IP, רוחב פס, תעבורה): לפי הצעת המחיר.
2. השרת מוקם בחוות שרתים של החברה בישראל, ובכפוף לזמינות.
3. ההקמה הראשונית והתקנת מערכת ההפעלה הסטנדרטית כלולות. הדרכה, ככל שתוזמן, בתשלום לפי הצעת המחיר.

2. SLA, זמינות שירות

1. זמינות שירות (Uptime): החברה מתחייבת לזמינות של 99.72% (תשעים ותשעה אחוזים ושבעים ושתיים מאיות האחוז) בשנה לתשתית הליבה. תחזוקה מתוכננת תיעשה במועדים שתקבע החברה, בהודעה מראש ככל הניתן, ולא תיחשב זמן השבתה (Downtime).
2. סעד יחיד ובלעדי בגין אי-זמינות: בגין אי-עמידה ביעד הזמינות יהא הלקוח זכאי, לבקשתו בכתב בתוך 30 יום מהאירוע, להחזר או זיכוי יחסי של דמי השירות החודשיים בגין תקופת אי-הזמינות בפועל, ובכל מקרה לא יותר מדמי חודש שירות אחד במצטבר בשנה. הזיכוי כאמור הוא הסעד היחיד והבלעדי בגין אי-זמינות, בכפוף לחריגים הקבועים בסעיף 7 לחלק א’.
3. שעות מוקד שוטף: א’-ה’, 08:00-18:00.
4. קריאות דחופות / משביתות: מחוץ לשעות הפעילות, יטופלו במאמץ סביר, בערוצי הקשר שנמסרו ללקוח.
5. תחילת טיפול: יעדי תחילת טיפול, כיעדי שירות בלבד ולא כהתחייבות: עד 4 שעות פעילות לקריאה רגילה, עד שעה לקריאה דחופה. החברה אינה מתחייבת לסיום הטיפול במסגרת זמן מסוימת.

3. ניהול השרת וניהול תוכן

1. שעות ניהול: השירות כולל שעות עבודה לניהול ברמת מערכת הפעלה בהיקף הנקוב בהצעת המחיר בלבד. בהיעדר ציון בהצעת המחיר, שעות ניהול אינן כלולות, וכל שעת עבודה תחויב בתעריף של $150 + מע”מ.
2. שירות הניהול הוא שירות סיסטם (System Administration) ברמת מערכת ההפעלה בלבד, וכולל: עדכוני מערכת הפעלה, התקנת חבילות סטנדרטיות, ניטור משאבים בסיסי, וטיפול בקריאות תמיכה.
3. שירות הניהול אינו כולל, בין היתר: פיתוח, התקנת אפליקציות מיוחדות שדורשות פיתוח, ניהול CMS (WordPress / Drupal / Magento וכדומה), ניהול מאגרי מידע כ-DBA, תפקידי CISO וייעוץ אבטחת מידע, שירותי IR וניהול אירוע סייבר, תכנון או תפעול של תוכנית התאוששות מאסון (DRP) או תוכנית המשכיות עסקית (BCP), מבדקי חדירה (Penetration Testing), בדיקות פגיעות (Vulnerability Assessment), דוחות פערים (Gap Analysis), ביקורת אבטחה (Security Audit), או ביקורת עמידה ברגולציה (ISO 27001 / SOC 2 / ת”י 27001 וכדומה). שירותים אלה ניתנים בהתקשרות נפרדת ובתשלום נוסף (ראה נספח 2).
4. מדיניות שימוש: מדיניות השימוש המקובלת (נספח 7) חלה במלואה על השרת הווירטואלי, על כל שימוש הנעשה בו ועל כל תוכן המאוחסן בו, לרבות איסור תוכן בלתי חוקי או פוגעני, הימורים שלא כדין, דיוור אסור, ותקיפות או סריקות יוצאות. האחריות לכל שימוש הנעשה בשרת מוטלת על הלקוח בלבד, והפרת המדיניות מקנה לחברה זכות השעיה לפי סעיף 10 לחלק א’.
5. שער המרה: בהתאם לסעיף 5.4 לחלק א’ (שער מינימום של 3.30 ₪ לדולר).

4. תעבורה (Bandwidth)

1. תעבורה חודשית כלולה, לפי הצעת המחיר.
2. חריגה מהתעבורה הכלולה, תחויב ב-$0.01 + מע”מ עבור כל 1GB נוסף.

5. הגנה ו-DDoS

1. התשתית כוללת הגנת DDoS ברמת הרשת.
2. מתקפות בנפח גדול (≥ 1 Gbps / ≥ 100k pps): החברה רשאית לבצע Null-route זמני לכתובת ה-IP של הלקוח, על מנת להגן על שאר התשתית. ה-IP יוחזר לפעולה לאחר שהמתקפה הסתיימה.
3. לקוח הזקוק ליכולות הגנה מורחבות רשאי להזמין מהחברה שירות ייעוץ ובחינת פתרונות, בתמחור נפרד.

6. מערכת הפעלה ועדכונים

1. החברה מספקת מערכת הפעלה נתמכת (Vendor-supported) במצב המקובל בתעשייה.
2. מעקב אחר מועדי סוף חיי התמיכה (End of Life) של מערכת ההפעלה הוא באחריות הלקוח. החברה רשאית, אך אינה חייבת, להודיע ללקוח על מועד כאמור.
3. המשך שימוש במערכת הפעלה לא נתמכת הוא באחריות הלקוח בלבד, והחברה אינה אחראית לפרצות אבטחה שמקורן בכך.
4. שדרוג מערכת הפעלה, בתשלום לפי שעות עבודה, או במסגרת שעות הניהול החודשיות אם הלקוח בוחר זאת.

7. גיבוי תשתית

1. ככל שהוזמן שירות גיבוי תשתית בהצעת המחיר, גיבוי תשתית (Image-level) ברמת המכונה הווירטואלית מתבצע באופן יומי, על בסיס מאמץ סביר. בהיעדר הזמנת שירות גיבוי, לא מתבצע גיבוי תשתית לשרת, והאחריות המלאה לגיבוי הנתונים מוטלת על הלקוח. גיבויי תשתית אינם תחליף לגיבוי אפליקציה או נתונים פנימיים.
2. גיבויים נשמרים לתקופה של עד 14 ימים ונמחקים אוטומטית.
3. שחזור, לבקשת הלקוח ובתשלום (מינימום 2 שעות עבודה). זמן יעד, עד 8 שעות פעילות. החברה אינה מתחייבת על שלמות הגיבוי או על הצלחת השחזור.
4. הלקוח מתבקש להחזיק גיבוי עצמאי נוסף לנתונים החשובים לו.

8. ביטול שירות והקמה מחדש

1. ביטול שירות בידי הלקוח, בהודעה של 30 יום מראש בכתב, לפי סעיף 4 לחלק א’.
2. סגירת השירות עקב אי-תשלום או הפרה, לפי סעיף 10 לחלק א’.
3. הקמה מחודשת לאחר השעיה, בתשלום של $200 לשעת עבודה (+ מע”מ), בנוסף לתשלום עבור התקופה שחלפה.

נספח זה מפרט את תנאי השירות החלים על שירות Google Workspace (לשעבר G Suite) הניתן ללקוח באמצעות החברה כמשווק (Reseller).

1. תיאור השירות

1. השירות הניתן הוא Google Workspace, חבילת שירותי ענן של Google הכוללת דוא”ל מותאם לדומיין, Drive, Docs, Sheets, Slides, Meet, Calendar וכלים נוספים בהתאם לתוכנית הנבחרת.
2. השירות הוא SaaS ומסופק על ידי Google LLC. החברה פועלת כמשווק (Reseller). שירותי תמיכה והטמעה, ככל שהוזמנו, יינתנו בהיקף ובתמחור שבהצעת המחיר.
3. תנאי השימוש של Google (Google Workspace Terms of Service) חלים על הלקוח במישרין ביחסיו עם Google.

2. רישום דומיין (כאשר רלוונטי)

1. רישום הדומיין נעשה לתקופה שבחר הלקוח בהצעת המחיר (שנה ומעלה), בחיוב חד-פעמי.
2. הדומיין יירשם על שם הלקוח (כ-Registrant) והוא בבעלותו לכל דבר ועניין.
3. סופיות הרישום: רישום דומיין נכנס לתוקף באופן מיידי וסופי במרשם הדומיינים הרלוונטי. בהתאם למדיניות מרשם הדומיינים הישראלי (איגוד האינטרנט הישראלי) והמרשמים הבינלאומיים (ICANN), רישום שהושלם אינו ניתן לביטול, ודמי הרישום נגבים על ידי המרשם בכל מקרה. לפיכך לא ניתן לבטל רישום שבוצע ולא יינתן בגינו החזר כספי, והלקוח מתבקש לוודא את איות שם הדומיין ואת נכונות פרטי ההזמנה בטרם אישורה.
4. חידוש אוטומטי: בתום התקופה, הדומיין יחודש אוטומטית באמצעות אמצעי התשלום הזמין במערכת, על מנת למנוע אובדן. ככלל, תישלח תזכורת לכתובת הדואר האלקטרוני הרשומה של הלקוח לפני מועד החידוש; אי-משלוח תזכורת אינו גורע מתוקף החידוש או מחובת התשלום.
5. שירות תחזוקת הדומיין כולל: (א) ניהול DNS מתקדם (A, AAAA, MX, TXT, SPF, DKIM, DMARC, SRV, CAA, CNAME); (ב) חידוש אוטומטי בתום התקופה; (ג) ניהול הדומיין תחת חשבונות התשתית של החברה, בתצורה ובשירותים שתקבע החברה מעת לעת. החשבון נשאר בבעלות החברה ומנוהל על-ידה.
6. העברה לרשם אחר: באחריות הלקוח. לבקשתו, החברה תפיק קוד העברה (Authorization Code / EPP) ותשלח אותו במייל לאיש הקשר הרשום. השלמת ההעברה אצל הרשם המקבל וניהול ה-DNS לאחריה, באחריות הלקוח.

3. מה החברה לא מבצעת

1. החברה אינה אחראית לזמינות הפלטפורמה, לתפקודה, לתקלות בה או למדיניות הספק; כל אלה באחריות Google בלבד, בהתאם לתנאיו החלים על הלקוח במישרין.
2. החברה אינה מנהלת את חשבון Google Workspace השוטף של הלקוח (משתמשים, סיסמאות, הרשאות) אלא אם הוסכם במפורש בתוספת תשלום.
3. החברה אינה מספקת שירותי IR, CISO או ניהול אירוע סייבר בחשבון Workspace של הלקוח (ראה נספח 2).

4. הגבלת אחריות מיוחדת

השירות מבוסס על פלטפורמה של Google, והחברה פועלת ביחס אליו כמשווק בלבד. החברה אינה אחראית לזמינות הפלטפורמה, לתפקודה, לתקלות בה או למדיניות הספק; כל אלה באחריות הספק בלבד, בהתאם לתנאיו החלים על הלקוח במישרין. אחריות החברה מוגבלת לשירותי המשווק שסוכמו: הקמה, הטמעה ותמיכה בהיקף הקבוע בנספח זה.

5. מחיר, חיוב והעברה

1. חיוב חודשי או שנתי לפי הצעת המחיר.
2. שער המרה: בהתאם לסעיף 5.4 לחלק א’ (שער מינימום של 3.30 ₪ לדולר).
3. העברה למשווק אחר או ל-Google ישיר: אם הלקוח מעביר את החשבון לניהול משווק אחר או לחיוב ישיר מול Google ללא הסכמת החברה ולפני תום תקופת ההתחייבות, ייראו את ההסכם כהסכם שהסתיים ביוזמת הלקוח, והלקוח יחויב על מלוא יתרת התקופה החוזית וכן בדמי ההקמה המלאים, גם אם ההקמה ניתנה תחילה ללא עלות.

נספח זה מפרט את תנאי השירות החלים על שירות Microsoft 365 הניתן ללקוח באמצעות החברה כמשווק (Reseller).

1. תיאור השירות

1. השירות הניתן הוא Microsoft 365, חבילת שירותי ענן של Microsoft הכוללת Exchange Online, OneDrive, Teams, SharePoint, ויישומי Office בהתאם לתוכנית הנבחרת.
2. השירות מסופק על ידי Microsoft Corporation. החברה פועלת כמשווק (Reseller).
3. תנאי השימוש של Microsoft (Microsoft Customer Agreement) חלים על הלקוח במישרין ביחסיו עם Microsoft.

2. מה כלול ומה לא כלול

1. כלול: רכישת רישיונות ותמיכה בהתאם לחבילה. הקמה והדרכה, ככל שנכללו בהצעת המחיר, בהיקף הנקוב בה בלבד; מעבר לכך, בתשלום נפרד.
2. לא כלול, בין היתר: ניהול Intune מתקדם, ניהול Active Directory היברידי, פיתוח Power Platform, תכנון Endpoint Manager ושירותי SOC, וכן כל שירות שאינו נקוב במפורש בהצעת המחיר. שירותים אלה יינתנו בתשלום נפרד בלבד. החברה אינה מספקת שירותי IR, ‏CISO או ניהול אירוע סייבר בחשבון Microsoft 365 של הלקוח (ראה נספח 2).

3. הגבלת אחריות

השירות מבוסס על פלטפורמה של Microsoft, והחברה פועלת ביחס אליו כמשווק בלבד. החברה אינה אחראית לזמינות הפלטפורמה, לתפקודה, לתקלות בה או למדיניות הספק; כל אלה באחריות הספק בלבד, בהתאם לתנאיו החלים על הלקוח במישרין. אחריות החברה מוגבלת לשירותי המשווק שסוכמו: הקמה, הטמעה ותמיכה בהיקף הקבוע בנספח זה.

4. מחיר וחיוב

1. חיוב חודשי או שנתי לפי הצעת המחיר.
2. שער המרה: בהתאם לסעיף 5.4 לחלק א’ (שער מינימום של 3.30 ₪ לדולר).
3. תקופת התחייבות: רישיונות Microsoft מסוימים (Annual) כרוכים בהתחייבות שנתית. בביטול לפני תום תקופת ההתחייבות יחויב הלקוח במלוא יתרת התקופה.
4. העברה למשווק אחר: בכפוף לתנאי Microsoft. העביר הלקוח את החשבון לניהול משווק אחר ללא הסכמת החברה לפני תום תקופת ההתחייבות, ייראו את ההסכם כהסכם שהסתיים ביוזמת הלקוח, והלקוח יחויב על מלוא יתרת התקופה החוזית וכן בדמי ההקמה המלאים, גם אם ההקמה ניתנה תחילה ללא עלות.

נספח זה מפרט את תנאי השירות החלים על שירות אחסון אתרים על גבי תשתית האחסון של החברה, עם או בלי פאנל ניהול, בהתאם למפורט בהצעת המחיר.

1. תיאור השירות

1. השירות כולל, בהתאם לחבילה שבהצעת המחיר: נפח אחסון מוקצה, חשבונות FTP, הפניות דוא”ל, תעבורה חודשית, גישה לפאנל ניהול (ככל שנכלל בחבילה), חבילת אבטחה תשתיתית (חומת אש לאפליקציה, סריקה ומניעה של נוזקה (Malware), הגנה רב-שכבתית), תעודת SSL חינמית, גיבוי יומי תשתיתי, וכלי ניהול CMS ייעודי.
2. השירות מוגדר כחבילה מבוססת משאבים שיתופיים.

2. SLA, זמינות שירות

1. זמינות שירות: 99.72% Uptime בשנה לתשתית. תחזוקה מתוזמנת לא נחשבת כ-downtime. סעד בגין אי-זמינות, כאמור בנספח 3 סעיף 2, בשינויים המחויבים.
2. שעות מוקד שוטף: א’-ה’, 08:00-18:00.
3. תחילת טיפול: יעדי תחילת טיפול, ככל שנקבעו בהצעת המחיר, הם יעדים בלבד ואינם מהווים התחייבות.

3. גבולות השירות

1. אין שירותי פיתוח / תכנות: השירות הוא תשתית בלבד. החברה אינה מתערבת ברמת הקוד או התוכן באתר הלקוח.
2. ניהול WordPress / CMS: עדכון WordPress, plugins, themes וכל ניהול ברמת ה-CMS הוא באחריות הלקוח. החברה מספקת כלי ניהול CMS ייעודי כתשתית בלבד.
3. שימוש חריג במשאבים משותפים (Noisy Neighbor): אם אתר אחד משפיע לרעה על ביצועי השרת השיתופי, החברה רשאית להגביל את הקצאת המשאבים שלו או להעבירו לשרת אחר, לשם שמירה על יציבות השירות לכלל הלקוחות. ככל הניתן ייעשה הדבר בתיאום מראש; במקרים דחופים, ללא הודעה מוקדמת, ובעדכון הלקוח בהזדמנות הסבירה הראשונה.
4. אבטחת מידע, תיחום השירות: השרת כולל חבילת אבטחה תשתיתית רב-שכבתית (חומת אש לאפליקציה, סריקת נוזקה, ומנגנוני מניעה בסיסיים). זוהי אבטחה ברמת התשתית בלבד, ואין בה התחייבות לחסימת איום כלשהו; היא אינה מהווה שירות מקצועי של אבטחת מידע, ואינה מחליפה אסטרטגיית הגנה ארגונית. אינם כלולים, ויינתנו בהתקשרות נפרדת בלבד: שירותי IR, CISO, מבדקי חדירה, בדיקות פגיעות, דוחות פערים, ביקורת אבטחה וביקורת עמידה ברגולציה, ניהול פגיעויות וסגירת CVE, פלטפורמת איסוף וקורלציה של אירועים, שירותי ניטור 24/7, תגובת אבטחה מתקדמת, סגמנטציה לוגית, ארכיטקטורת Zero Trust, ציד איומים, וייעוץ אסטרטגי באבטחת מידע (פירוט מלא בנספח 2).
5. מנגנוני הגנה אוטומטיים: חבילת האבטחה התשתיתית מבוססת על מנגנונים אוטומטיים אשר עשויים, כחלק מפעולתם, לחסום בקשות או לבודד ולנטרל קבצים ורכיבי קוד המזוהים כזדוניים. אין בכך משום התחייבות של החברה לזהות, לחסום או להסיר נוזקה, ופעולה אוטומטית כאמור על קוד שזוהה כזדוני לא תקים לחברה אחריות לנזק שנגרם בעטיה. האחריות לתקינות הקוד באתרי הלקוח ולניקיונו מוטלת על הלקוח בלבד.

4. גיבוי

1. החברה מבצעת גיבוי תשתיתי יומי על בסיס מאמץ סביר, לשמירה של עד 14 יום אחורה; אין בו תחליף לגיבוי ברמת האפליקציה.
2. שחזור, בתשלום נוסף, מינימום שעת עבודה. החברה אינה מתחייבת על שלמות הגיבוי.
3. הלקוח מתבקש להחזיק גיבוי עצמאי נוסף.

5. תעבורה ונפח

1. תעבורה חודשית כלולה, לפי הצעת המחיר.
2. חריגה, $0.01 + מע”מ לכל 1GB נוסף.
3. חריגת נפח אחסון, תחויב לפי תעריף.

6. הסרה ושינוי תוכן

1. החברה רשאית להסיר תוכן בלתי חוקי, פוגעני, או מפר זכויות יוצרים, לאחר התראה סבירה, או באופן מיידי במקרים חמורים.
2. במקרים של דרישה משפטית של רשות מוסמכת, החברה רשאית להסיר תוכן ללא התראה ולא תהיה אחראית לנזק שייגרם ללקוח כתוצאה מכך.

7. מחיר וחיוב

1. מחיר חודשי או שנתי לפי הצעת המחיר.
2. שער המרה: בהתאם לסעיף 5.4 לחלק א’ (שער מינימום של 3.30 ₪ לדולר).

מדיניות זו חלה על כל לקוחות החברה ועל כל המשתמשים מטעמם. הפרה מהותית של מדיניות זו מקנה לחברה זכות להשעיה מיידית של השירות; הפרות אחרות יטופלו לפי סעיף 2 להלן.

1. שימושים אסורים

1. פעילות בלתי חוקית: כל פעילות המנוגדת לחוקי מדינת ישראל או למשפט הבינלאומי.
2. הפרת זכויות יוצרים וקניין רוחני: אחסון, הפצה או שיתוף של תוכן מוגן ללא רישיון.
3. תוכן פוגעני: תכנים פדופיליים, אלימים, מעודדי טרור, גזעניים, או מפרים כל הוראת חוק.
4. הונאה והטעיה: אתרי דיוג (Phishing), scam, הונאות פיננסיות, מצגי שווא.
5. נוזקות (Malware): אחסון, הפצה או שליטה בנוזקות, viruses, תוכנות כופר (Ransomware), trojan, botnet, exploit-kits.
6. דואר זבל (Spam) ו-Unsolicited Email: שליחת מיילים בכמות גדולה ללא הסכמה, רשימות תפוצה שלא נרכשו כדין, או כל פעילות שיווקית אגרסיבית.
7. סריקות והתקפות יוצאות: port scanning, vulnerability scanning של מערכות שאינן בבעלות הלקוח, ניסיונות חדירה, brute-force, או DDoS יוצא.
8. הונאת זהות: התחזות לאדם אחר, חברה, או רשות.
9. הימורים בלתי חוקיים: אתרי הימורים שלא לפי החוק החל באזור הפעילות.
10. שימוש בלתי הוגן במשאבים: צריכת CPU / RAM / I/O מופרזת על שרת שיתופי, או הפעלת תהליכי רקע ארוכים.
11. כריית מטבעות קריפטוגרפיים: על גבי משאבי החברה, בשרת שיתופי או ייעודי, ללא אישור מראש ובכתב.
12. שירותי ביניים פתוחים: הפעלת proxy פתוח, שירות VPN ציבורי, או צומת יציאה של רשת TOR מתוך התשתית.
13. חריגה ממכסות דיוור: שליחת דואר אלקטרוני בהיקף החורג מהמכסה שנקבעה לשרת או לחשבון, גם אם הדיוור עצמו נעשה כדין.
14. הפרת צווים שיפוטיים: אחסון או הפצה של חומר החוסה תחת צו איסור פרסום, או כל תוכן המפר צו שיפוטי.
15. מערכות ובוטים זדוניים, לרבות מבוססי בינה מלאכותית: הקמה או הפעלה של בוטים ומערכות אוטומטיות למטרות זדוניות, לרבות מערכות מבוססות AI, וכן אחסון או הפעלה של סקריפטים וכלי תקיפה (לרבות Reverse Shell, תשתיות שליטה ובקרה C2, וכלי ניצול פגיעויות), שלא במסגרת בדיקת אבטחה מורשית, מתואמת ומתועדת מראש.

2. אכיפה

1. החברה רשאית, בשיקול דעתה הבלעדי, להחליט שפעילות מסוימת מהווה הפרת מדיניות זו.
2. השעיה מיידית ללא התראה: במקרים של פעילות פוגענית מיידית, התעללות בקטינים, פעילות טרור, DDoS יוצא, הפצת נוזקה, או דרישה משפטית, החברה רשאית להשעות את השירות לאלתר.
3. השעיה בהודעה מוקדמת: במקרים אחרים, החברה תתריע בכתב ותעניק 48 שעות לתיקון לפני השעיה.
4. שיתוף פעולה עם רשויות אכיפת חוק: החברה רשאית להיענות לדרישות של רשויות מוסמכות, ככל שנדרש על פי דין.

3. אחריות והשבת נזקים

1. הלקוח אחראי לכל נזק שייגרם לחברה, ללקוחותיה, או לצדדים שלישיים כתוצאה מהפרת מדיניות זו, ולהשבת כל הוצאה משפטית או טכנית של החברה.
2. במקרה של חיוב מצד צד שלישי או רשות בגין פעולת הלקוח, הלקוח ישפה את החברה במלוא סכום החיוב.

These Terms of Service (the “Agreement”) are entered into between Punch VPS Group Ltd., Israeli company no. 516569720 (the “Company”), and the customer identified in the Quote or engagement form (the “Customer”). This Agreement applies to all services provided by the Company to the Customer, whether directly or through service-specific appendices.

1. Definitions

2. The Agreement and Its Documents

1. This Agreement comprises: (a) this main document (Part A); (b) the DPA (Part B); (c) the Appendix(es) specific to the ordered services; (d) the Acceptable Use Policy (Appendix 7); and (e) the signed Quote.
2. In the event of a conflict between documents, the signed Quote shall prevail, followed by the specific Appendix, followed by this main document.
3. A digital signature on a Quote through the Company’s digital system constitutes a binding signature on the entire set of Agreement documents, including the appendices referenced therein, in accordance with the Electronic Signature Law, 5761-2001.
4. Application to existing and historical customers (Course of Dealing):
   1. It is clarified and agreed that the terms of this Agreement apply to every customer receiving services from the Company as of the effective date of these terms, whether or not a formal agreement was previously signed between the parties, and whether or not any prior agreement has been lost or is unavailable to either party.
   2. The contractual relationship between the parties was created and is maintained by their actual conduct, the Customer ordering the service, the Company supplying it, invoices being issued and payments being made on an ongoing basis, and it is valid and binding even without a physically signed document, in accordance with the principle of Course of Dealing and the duty of good faith under Section 39 of the Israeli Contracts (General Part) Law, 5733-1973.
   3. These terms shall take effect for existing customers on the earlier of: (a) the date on which the Customer signs these terms or approves them in writing, including by email; (b) 30 days from dispatch of notice to the Customer’s registered email address on file with the Company, as recorded in the Company’s systems. Publication of the terms on the Company’s websites (punchvps.com / pcpunch.co.il) is a supplementary means of notice only and is not an independent trigger for the terms taking effect.
   4. Acceptance by Conduct: continued receipt of the service, payment of invoices, or any use of the Company’s services after the effective date constitutes full and unqualified acceptance of this Agreement, including all of its sections and appendices. A Customer who does not accept the terms may terminate the service by notice under Section 4 below, during the notice period.
   5. In the event of a conflict between these terms and a prior signed formal agreement, the prior agreement shall prevail with respect to matters expressly regulated therein (including price, service level and scope); in any matter not expressly regulated by the prior agreement, these terms shall apply as supplementary terms. The parties may, by agreement, sign a renewed Quote applying the full current terms to the engagement.

3. Description of the Services

1. The Company will provide the Customer with the services specified in the Quote and the applicable Appendix, subject to this Agreement.
2. The Company may use subcontractors, infrastructure vendors and third parties in providing the Services, provided it remains directly responsible to the Customer for the agreed service level, subject to Section 3A, Section 7 and the reseller-service appendices.
3. Services not included: unless expressly stated in a dedicated Appendix, the Services do not include, among other things: incident response (IR) services, post-incident intrusion investigation (Forensics), cyber incident management, information security officer (CISO) roles, advanced information security consulting, post-attack log analysis, penetration testing, vulnerability assessments, gap analyses, security audits, regulatory compliance audits (including ISO 27001, SOC 2, IS 27001, Israeli privacy regulations), SOC services (security operations center), NOC services (network operations center), planning, authoring or operating a disaster recovery plan (DRP) or business continuity plan (BCP), assistance completing security, insurance, vendor or regulatory questionnaires on behalf of the Customer, or operation of Customer systems at the application level.
4. The fact that Company officers hold professional information-security certifications does not make such services part of the contractual Services. Such services, if required, will be priced and agreed in a separate document.

3A. Reliance on Third-Party Software, Licensing and Platforms

1. The Services rely on software components, licenses and platforms of third parties, including: control panel and server software, endpoint protection and filtering systems, backup systems, virtualization systems, open-source components, and network and communication services (“Third-Party Components”). The Customer acknowledges that these components are not developed by the Company and are not under its full control.
2. Vendor-side changes: the Company is not responsible for changes to Third-Party Components originating with the vendor, including changes to features or interfaces, discontinuation of a product or version, changes to licensing terms, or end of support. The Company will use reasonable efforts to identify an equivalent alternative or to inform the Customer of the implications of the change.
3. Price updates driven by a vendor: a licensing or infrastructure price increase by a third-party vendor constitutes grounds for a price update under Section 5.5 below, on the same terms (30 days’ prior notice and the right to terminate).
4. Security incident at a third-party vendor: a compromise, breach or leak originating in a third-party vendor’s product or infrastructure (including supply-chain compromise via a vendor software update) does not constitute a breach of this Agreement by the Company, provided the Company applied the vendor’s published security updates within a reasonable time and acted in accordance with its guidance. The Company will inform the Customer and act to reduce exposure in accordance with Section 6 of Part B (DPA).
5. Component replacement: the Company may replace a Third-Party Component with an alternative of reasonably similar capabilities, provided the overall service level is not materially degraded.

3B. Third-Party Security Products

1. Security, protection and monitoring products of third-party manufacturers (including EDR and antivirus software, firewall hardware and software, and filtering systems) purchased through the Company or installed by it are products of their manufacturers, operating according to the manufacturer’s technology, updates and policies, and under the manufacturer’s sole responsibility in accordance with its terms.
2. The Company’s role is limited to installation, configuration in accordance with the manufacturer’s instructions and accepted work practices, and installation of updates within an active service.
3. Where only a license is purchased, the ongoing operation of the product, and the tracking of and response to its alerts, are the Customer’s sole responsibility; ongoing monitoring of alerts, their investigation and the response to them are performed by the Company only within a monitoring and control service (NOC/SOC) that has been expressly ordered, separately and for payment.
4. The Company does not undertake that these products will detect, prevent or contain any attack, malware, intrusion or security incident, and is not responsible for their operation, their failure to operate, or the results thereof.
5. A recommendation of a product, or its installation, does not constitute a representation or warranty regarding its performance.

4. Term and Termination

1. The engagement term shall be as specified in the Quote. Absent other indication, the Agreement is for an indefinite term, month to month, automatically renewing.
2. The Customer may terminate the engagement at any time by written notice to the Company, with a minimum of 30 days’ notice. Termination does not entitle the Customer to a refund for any period paid in advance, unless otherwise stated in the applicable Appendix.
3. The Company may terminate the engagement on 30 days’ notice; and in the event of a material breach by the Customer, immediately, subject to Section 10 below.
4. Upon termination for any reason, the Company may delete the Customer’s data 30 days after the end of the engagement, unless law requires longer retention. Extended retention at the Customer’s request requires a prior written request and the Company’s approval, and is subject to payment of storage fees at the Company’s rates, from the end of the engagement until actual deletion; if the storage fees are not paid, the Company may delete the data.
5. Early termination by the Customer: setup, implementation and migration fees are stated at their full cost in the Quote. To the extent they were provided free of charge or at a reduced charge, this was done in reliance on, and subject to, the Customer’s commitment to the full engagement term, as a conditional benefit. Upon termination of the engagement at the Customer’s initiative before the end of the commitment period, the Customer shall pay the Company: (a) the balance of the service fees until the end of the commitment period; and (b) the stated cost of the setup, implementation and migration fees not actually collected. The parties confirm that this constitutes reimbursement of a stated cost, known in advance, of the Company’s investment, provided in reliance on the commitment, and not a penalty.

5. Payment Terms and Exchange Rate

1. The Customer shall pay the Company the amounts stated in the Quote against a tax invoice. Prices exclude VAT unless stated otherwise.
2. Payment method: payment is made by the method agreed with the Customer (credit card, bank transfer or standing order). Credit card payments are processed through an external, PCI-DSS-compliant payment processor using tokenization (replacing the card number with a token); the full card number is not stored in the Company’s databases.
3. Monthly billing: on a monthly plan, billing occurs at the beginning of each month. Late payment: if a payment is not made when due, the Company will send the Customer up to three written notices to the registered email address, at reasonable intervals. If the debt is not settled in full after the third notice, and at least 10 days have elapsed since dispatch of the first notice, the Company may suspend the Services forthwith. If the debt is not settled within 14 days of the date of suspension, the Company may permanently delete the Customer’s data, accounts and services, after a further notice, and it will not be possible to restore them, notwithstanding any other deletion date set out in the Agreement. During the suspension period, service fees continue to accrue in full, and reinstatement of the service is conditional upon payment of the entire debt, including for the suspension period. Accrual of charges ceases only on the date of deletion. Nothing in the foregoing derogates from any other remedy available to the Company by law.
4. Exchange rate (USD → ILS): where prices are denominated in US dollars, billing in ILS will be at the Bank of Israel representative rate on the billing date, or a minimum rate of ILS 3.30 per USD, whichever is higher. The minimum rate is disclosed to the Customer in advance in this Agreement and reflects the Company’s dollar-denominated procurement costs from foreign vendors. When the representative rate exceeds 3.30, billing will be at the representative rate on the billing date.
5. Price updates: the Company reserves the right to update the service price once per three months due to exchange-rate changes, third-party vendor price changes, or infrastructure cost updates. An update will be made with 30 days’ prior notice to the Customer, who may terminate the service during that period if the new price is not acceptable.
6. Linkage and default interest: amounts not paid when due bear default interest at Israeli prime + 4% per annum, without derogating from any other remedy available to the Company.
7. No set-off: the Customer may not set off any amount, demand or claim against sums due to the Company, except with the Company’s prior written consent.

6. Customer Responsibilities

1. The Customer is solely responsible, among other things, for: (a) its content and data in the System; (b) the applications and software it installs and their updates; (c) its passwords, credentials and user access; (d) maintaining independent backup copies in addition to any backup measures provided by the Company; (e) compliance with the laws applicable to its activity, including privacy, intellectual property and e-commerce laws.
2. The Customer undertakes not to use the Services for unlawful or harmful activity, distribution of spam, malware or phishing, infringement of copyright, or any activity liable to harm the Company, other users or third parties. Breach of this undertaking is a material breach of this Agreement. See also Appendix 7 (AUP).
3. The Customer undertakes to update the Company in writing of any change in contact details (email, phone, contact person, payment method). Notices will be given in accordance with Section 14.5 below.
4. Indemnification: the Customer shall indemnify the Company for any third-party demand or claim, including reasonable legal costs, arising from the Customer’s content, its use of the Services, or its breach of this Agreement, except to the extent arising from an act or omission of the Company.

7. Company Liability, Limited

1. The Company will provide the Services with reasonable efforts.
2. Limitation of liability: in any case where liability is imposed on the Company toward the Customer or anyone on its behalf (if and to the extent imposed), it shall be limited, in the aggregate for all events and causes of action combined, to the amounts actually paid by the Customer to the Company for the specific Service giving rise to the claim, in the 12 months preceding the first event. The Customer confirms this limitation is reasonable given the nature of the service and the consideration charged.
3. The Company shall not be liable for indirect, consequential or incidental damages, loss of profits, loss of business opportunities, loss of goodwill, or any non-direct damages of any kind.
4. Notwithstanding anything in this Agreement, the limitations of liability and exemptions shall not apply to damage caused by fraud or willful misconduct, or to liability that cannot be limited or excluded by law.
5. Data liability, limited to express undertakings: the Company’s liability with respect to the Customer’s information, data, content and files is limited to performance of its express undertakings under this Agreement and Part B (DPA). Beyond that, responsibility for the data, its content, its lawfulness and its independent backup rests solely with the Customer, and the Company recommends that the Customer maintain an independent backup outside the Company’s infrastructure.
6. Backup services: the backup services provided by the Company include provision of a functioning backup platform, initial implementation, and dispatch of an automatic status report by email to the account administrator’s address defined at setup. Ongoing monitoring of backup execution, tracking of the status reports, verification of backup integrity and performance of test restores are the responsibility of the Customer or anyone on its behalf; managed monitoring services (NOC/SOC) are not included in the service and are not offered by the Company. The Customer is responsible for ensuring at all times that the email address receiving the status reports is active and monitored by it, and for updating the Company of any change to it. Accordingly, the Company is not responsible for backup failures, inability to restore, or situations where the Customer believes a backup exists and it is faulty, missing or outdated, including in circumstances of removal of the backup component, power or communication failures in the Customer’s environment, or failure to track the status reports. Further detail in Appendix 1.
7. Force majeure: the Company shall not be liable for delay or non-performance resulting from events beyond its reasonable control, including war, hostilities, a state of emergency, physical damage to infrastructure facilities, regional power outages, failures at infrastructure or connectivity vendors, cyber attacks, orders of a governmental authority, natural events, epidemics, strikes, or global internet disruptions.
8. Insurance and risk management by the Customer:
   1. The Customer acknowledges that the Company is a provider of infrastructure and services, and is not an insurer. The consideration for the Services reflects the cost of their provision only, and does not include a risk premium for cyber damage, data loss, business interruption or third-party claims against the Customer.
   2. The Company recommends that the Customer consider, according to the nature of its activity and the sensitivity of the data it processes, purchasing appropriate cyber insurance and business-interruption insurance, and consulting a qualified insurance advisor specializing in cyber risk.
   3. The Customer confirms it has considered the risks involved in its digital activity, that it has been given the opportunity to hedge them through appropriate insurance, and that the limitations of liability in this Agreement were set, inter alia, in reliance on the Customer’s risk management and insurance being its sole responsibility.
   4. Nothing herein imposes on the Company any duty of insurance advice, and the Company is not a party to any policy purchased by the Customer.
   5. Insurance, security and vendor questionnaires: provision of the Company’s existing general documents and descriptions, free of charge. Assistance completing security, insurance, vendor or regulatory questionnaires of the Customer or anyone on its behalf, including data collection and preparation of specific responses, is not included in the Services and will be billed at the Work Hour rate.

8. Information Security

1. The Company will take reasonable information security measures to protect the System and the data stored in it, in accordance with applicable law.
2. An attack on the Customer is not a Company incident: an attack, intrusion, ransomware attack or data leak in the Customer’s systems (including a website, application, database or user account managed by the Customer) is not the Company’s responsibility and does not constitute a breach of this Agreement by the Company, unless it is proven that the sole cause was gross negligence of the Company in protecting the core infrastructure.
3. A system that the manufacturer has ceased to support (End of Life), as well as a system that the Customer has chosen not to update or not to replace, is not subject to any undertaking of the Company to perform security updates, in any of the Company’s services. Tracking end-of-support dates, the decision regarding continued use of such a system, and the resulting consequences shall rest solely with the Customer, including where the Company provides the Customer with management services at the operating-system level.
4. Incident response services are not included: in the event of a cyber incident at the Customer, the Company will allow the Customer access to perform the actions required on its side in the management interfaces of the services registered in its name only, to the extent reasonably possible in the circumstances of the incident, and in accordance with the permissions it already holds in them. IR (Incident Response) services, intrusion investigation, incident management, notifications to authorities, log analysis, post-attack recovery, or any other service in connection with the incident, are not included in the service and will be provided, if agreed, under a separate engagement for additional payment at the Company’s rates.
5. Further details on Personal Data processing are set out in Part B (DPA).

9. Confidentiality and Intellectual Property

1. All intellectual property relating to the System, the Company’s software code, interfaces and processes is owned by the Company. The Customer receives a limited, non-exclusive, revocable license to use the System solely for the Services, for the term of the Agreement.
2. Data stored by the Customer in the System remains fully owned by the Customer. The Company will not use it for any purpose other than providing the Services, maintenance and support, and purposes required by law.
3. The parties shall keep confidential business, technological or financial information of the other party disclosed to them during the engagement, except for information that is in the public domain, that was lawfully known to the recipient prior to its disclosure, that was independently developed, or whose disclosure is required by law or by order of a competent authority. This undertaking shall remain in force for the term of the Agreement and five years thereafter.

10. Suspension and Termination for Breach

1. The Company may suspend the service immediately and without prior notice in the following cases:
   1. activity from the System harming third parties (outbound spam, malware, phishing, outbound scanning or attack, outbound DDoS);
   2. unlawful activity or a legal demand of a competent authority;
   3. material breach of the Acceptable Use Policy (Appendix 7);
   4. immediate risk to the Company’s infrastructure or to other customers.
2. In such suspension cases, the Company will notify the Customer at the first reasonable opportunity.
3. The Company may suspend the service on 7 days’ notice in cases of non-material breach, unless the Customer cures the breach during that period; suspension for late payment shall be carried out solely in accordance with the mechanism set out in Section 5.3 above.
4. Reinstatement after suspension: reinstatement following suspension is subject to a re-provisioning fee of $200 per Work Hour (+ VAT), in addition to payment for the elapsed period.
5. Charges continue during suspension: suspension does not terminate the Agreement and does not release the Customer from payment for the remainder of the contractual term; accrual of charges ceases on the date of deletion of the Customer’s data in accordance with Section 5.3 above.

11. End of Service and Data Migration

1. At the end of the engagement, the Customer may request migration or export of its data from the System. The Company will assist with reasonable efforts, within 30 days, subject to the Applicable Hourly Rate.
2. 30 days after the end of the engagement, the Company may permanently delete the Customer’s data, with no further retention obligation, unless law requires otherwise or paid extended retention has been approved in accordance with Section 4.4 above.
3. Outstanding payment obligations of the Customer do not lapse at the end of the Agreement and remain enforceable under law.

12. Updates to These Terms

1. The Company may update this Agreement from time to time with 30 days’ prior notice, sent in accordance with Section 14.5 below, and published on the Company’s websites (punchvps.com and pcpunch.co.il).
2. Continued use of the Company’s services after the effective date of the updated terms constitutes acceptance of the new terms.
3. If the Customer does not accept the updated terms, it may terminate the service during the notice period under Section 4.2.
4. Changes required for essential service updates, legal compliance, or security fixes may take effect immediately.

13. Jurisdiction and Governing Law

1. This Agreement is governed by the laws of the State of Israel, excluding its conflict-of-law rules.
2. The competent courts of the city of Haifa, Israel, shall have exclusive jurisdiction over any dispute arising from this Agreement.

14. Miscellaneous

1. Assignment: the Customer may not assign its rights or obligations under this Agreement without the Company’s prior written consent. The Company may assign its rights in the context of corporate restructuring, merger or acquisition.
2. Waiver: a party’s waiver of a right under this Agreement shall not be deemed a waiver of further rights or a future waiver.
3. Severability: if any provision of this Agreement is held void or unenforceable, the remaining provisions remain in full force.
4. Entire agreement: this Agreement (including its appendices) constitutes the entire agreement between the parties on the matters addressed herein, and supersedes any prior oral or written agreement, promise or representation, subject to Section 2.4.5 above with respect to customers with a prior formal agreement.
5. Notices: any notice under this Agreement shall be sent to the email address registered in the Company’s systems or, in its absence, to the address in the Quote, and is deemed delivered on the Business Day following its dispatch. Notices to the Company: [email protected], phone: 03-3801180.
6. Statutory rights: nothing in this Agreement derogates from any mandatory right available to the Customer by law, including under the Israeli Consumer Protection Law, 5741-1981, to the extent applicable to the engagement.
7. Language: this English version is provided for convenience only. The Hebrew version is the binding version, and it shall prevail in the event of any discrepancy.

This document constitutes the Data Processing Agreement between the Customer (the “Controller”) and the Company (the “Processor”) with respect to Personal Data processed within the Services. It is based on Israeli law only: the Israeli Protection of Privacy Law, 5741-1981 and the Privacy Protection (Data Security) Regulations, 5777-2017. Compliance with foreign regulations, including the GDPR, is not included in the service. For customers for whom the Company has determined that this is required, including customers whose data is stored in the European Union, a dedicated processing appendix shall apply by separate agreement; additional regulatory adaptations are available under a separate engagement for payment.

1. Definitions (DPA)

2. Roles of the Parties

1. The parties agree that for data protection purposes the Customer is the Controller and the Company is the Processor. Notwithstanding the foregoing, for pure reseller services (Google Workspace, Appendix 4; Microsoft 365, Appendix 5; Acronis cloud backup, Appendix 1) the Company acts as a reseller only and is not the Processor; the vendor is the direct Processor vis-à-vis the Customer, as set out in Section 6.2.
2. The Customer is responsible for its obligations as Controller, including: a lawful basis for processing, notices to Data Subjects, fulfilment of Data Subject rights, and compliance with the principles of minimization, accuracy and purpose limitation.
3. The Company will process Personal Data only per the Customer’s instructions and solely for providing the Services, and for no other purpose, unless required to do so by law.
4. Dual role: with respect to data the Company collects for its own purposes, including the Customer’s contact details and those of its contacts, billing data, Company system logs and service usage data, the Company acts as an independent Controller, and such processing is governed by the Company’s privacy policy published on its websites, not by this DPA.

3. Purposes and Types of Data Processed

1. Purpose of processing: provision of the Services, hosting, backup, licensing, support and maintenance.
2. Types of Personal Data that may be processed: names, contact details, addresses, phone numbers, email addresses, technical identifiers (IP, cookies, session identifiers), payment details (tokens, not card numbers), and content uploaded by the Customer to the System.
3. Categories of Data Subjects: the Customer’s end customers, employees, suppliers and other users about whom the Customer processes data.
4. Special categories of data: the Company does not request and does not knowingly collect sensitive data (for example, health, political opinions, beliefs, ethnic origin or biometric data). If the Customer stores such data in the System, responsibility rests with the Customer, and it confirms it has obtained the required consents from Data Subjects.

4. Processing Location

1. The core of data processing takes place in Israel.
2. Certain parts of the service are performed through international infrastructure vendors (e.g., Cloudflare for CDN, Google for Workspace, Microsoft for 365), and in that context data may also be processed or routed outside Israel, in accordance with the terms and policies of those vendors as in effect from time to time.

5. Technical & Organizational Measures

5.1 Company-side measures (as Processor)

The Company implements, in the systems under its direct management and within the scope of the service it provides, reasonable technical and organizational measures in accordance with the Privacy Protection (Data Security) Regulations, 5777-2017. The security measures are reviewed and updated on an ongoing basis, per current threats and requirements. Details of the measures, regulatory adaptations and responses to security questionnaires are provided under a separate engagement for payment.

5.2 Boundaries of Company responsibility: areas not under its control

The above measures apply only to areas under the Company’s control. The Company is not responsible for security measures in systems not under its direct control, including: the Customer’s workstations that are not managed by the Company, the Customer’s organizational network, applications the Customer installs on its servers, passwords and identities managed by the Customer, or any third-party vendor system used by the Customer.

5.2.1 Customer conduct as the cause of an incident or damage

The Customer acknowledges and understands that conduct, omission, error or negligence on its part or on the part of its employees, suppliers, contractors or anyone on its behalf, in equipment, accounts or systems under its control, may lead to a cyber incident or other damage, including intrusion, ransomware, data leakage, account takeover, infrastructure penetration, as well as deletion or disruption of data, settings or services, including inadvertently. An incident or damage originating as aforesaid in the Customer’s environment, in its equipment of any kind or with anyone on its behalf, is not the Company’s responsibility, and Section 6.5 applies to it.

5.2.2 Incident handling requires an IR team, which is not part of the service

Handling an active cyber incident at the Customer requires an Incident Response (IR) team, a dedicated discipline including isolation of infected systems, investigation of the intrusion vector, log analysis, evidence collection (Forensics), safe recovery, and post-incident security hardening.

Incident response (IR), cyber incident management and Forensics are not part of the IT, Help Desk or OS-level management services in any Company package. They are not included in monthly hour allocations, are not subject to the standard SLA response times, and are not provided by the routine operations team.

IR services are provided only under a separate engagement, for additional payment, subject to availability of a dedicated team, and at the rates stated in Appendix 2. See also Appendix 2, Section 4 (implementation of an external CISO’s policy) and Section 5 (advanced security services, available under separate engagement).

Security of the environment under the Customer’s control, including its end-user equipment, networks, accounts, users and passwords, the software it installs, the permissions it grants, and the actions of its employees, suppliers and anyone on its behalf, is the Customer’s sole responsibility. Handling of an incident or damage originating in that environment is not included in the Services under this Agreement and will be provided, if ordered, under a separate engagement for payment at the Company’s rates.

5.3 Customer responsibility as Controller

The Customer, as Controller, is solely responsible, among other things and without limitation, for:

1. security measures in its own systems and its employees’ work environment (workstations, internal networks, BYOD);
2. user, password, permission and access management in the Customer’s account within Company systems;
3. training its employees and users in safe use of the services;
4. compliance with its obligations under the Protection of Privacy Law, 5741-1981, and its regulations;
5. applying security measures appropriate to the sensitivity of the data it stores or processes through the Services.

The Company invites the Customer to review Appendix 2 (IT), Section 5, describing advanced services available for separate purchase to strengthen the Customer’s security posture.

6. Security Incident Notification

6.1 What constitutes a security incident under this section

“Security incident” means loss, exposure, alteration or unauthorized access to Personal Data, as defined in the Privacy Protection (Data Security) Regulations, 5777-2017.

6.2 This section applies only to the following services

This Section 6 applies to services in which the Company acts as Processor and holds or processes the Customer’s Personal Data on infrastructure under its control, namely:

1. Virtual Private Server (Appendix 3);
2. web hosting (Appendix 6);
3. IT services (Appendix 2): for systems under the Company’s direct, ongoing management.

This section does not apply to pure reseller services, where the Company resells a service of a third-party vendor that is the direct Processor, including, without limitation:

1. Google Workspace (Appendix 4): data is stored and processed by Google LLC;
2. Microsoft 365 (Appendix 5): data is stored and processed by Microsoft Corporation;
3. Acronis cloud backup (Appendix 1): data is stored and processed by Acronis in its cloud.

For these services, breach notification is the responsibility of the third-party vendor per its public agreements with its customers. To the extent a notice from the vendor concerning the Customer reaches the Company, the Company may forward it to the Customer; failure to forward such a notice shall not impose any liability whatsoever on the Company.

6.3 Incident at the Company’s infrastructure level

A Company infrastructure-level incident is an incident originating in the Company’s core systems, whose consequences may affect multiple customers simultaneously or the System as a whole. Non-exhaustive examples: intrusion into the Company’s virtualization environment (hypervisor), breach of the Company’s administrative database, penetration of the internal management network of the server farm, leakage from general backup infrastructure, or compromise of the Company’s privileged access (root / domain admin).

1. In the event of a Company infrastructure-level incident affecting the Customer’s Personal Data, the Company will notify the Customer in writing, without undue delay and no later than 72 hours from becoming aware of the incident, including: a description of the incident, the data types affected (to the extent known), steps taken, and recommended steps for the Customer.
2. The Company will reasonably assist the Customer, within its technical capabilities, with the information and data the Customer requires to fulfil its legal obligations.

The Company works on an ongoing basis to secure its infrastructure and to reduce the risk of such incidents.

6.3.1 Customer-specific incident occurring within the Company’s infrastructure environment

There is a material distinction between a Company infrastructure-level incident (Section 6.3 above) and an incident occurring in the Customer’s specific environment on top of the Company’s infrastructure, without the infrastructure itself being compromised. Non-exhaustive examples:

1. a breach of the Customer’s hosting account through a weak password managed by the Customer;
2. takeover of the Customer’s virtual server via brute force on a service the Customer exposed (SSH, RDP, database) without adequate protection;
3. intrusion into the Customer’s WordPress / CMS site through a plugin, theme, or outdated version;
4. an exploit of a vulnerability in an application the Customer installed on its server;
5. leakage of API keys, OAuth credentials, or tokens stored by the Customer in its application;
6. ransomware reaching the Customer’s environment through the Customer’s network or workstations.

In all the above cases, the Company’s infrastructure was not compromised and was not the cause of the incident. The incident occurred within the Customer’s own environment, its account, application, code, or permissions. Such an incident is not the Company’s responsibility, and Section 6.5 below applies. Without derogating from the foregoing, the Company will notify the Customer without undue delay of any security incident of which it has actual knowledge in systems under its direct holding, including an incident within the Customer’s environment, and no such notice shall constitute an admission of responsibility, breach or liability of any kind by the Company.

At the Customer’s request, the Company will provide it, where possible and with reasonable efforts, with data and system logs relating to the services registered in its name only, for the purpose of understanding the incident. Provision of such data does not constitute an admission of liability by the Company. Dedicated incident-handling services (IR, Forensics, advanced log analysis): per Appendix 2, under a separate engagement for payment.

6.4 Duty to report to the authorities

The duty to report a security incident to the Privacy Protection Authority or to any other authority rests solely with the Customer, as the database owner. The Customer is responsible for knowing the legal requirements applicable to it and for reporting in accordance with them. The Company does not report to authorities on the Customer’s behalf and does not serve as its privacy protection officer.

6.5 Incident in the Customer’s systems

A security incident originating in the Customer’s systems, e.g., a breach of the Customer’s WordPress site, compromise of an admin account managed by the Customer, intrusion from a workstation in the Customer’s organization that is not managed by the Company, or loss of identities managed by the Customer, is not a Company security incident. Its handling, any required report to the Privacy Protection Authority, notification to Data Subjects, and any other requirement applicable by law, are the Customer’s responsibility alone.

7. Data Subject Rights

Fulfilment of Data Subject rights, including access, rectification, erasure, portability and objection to processing, is the responsibility of the Customer as the database owner. If a Data Subject approaches the Company directly, the Company will refer them to the Customer and notify the Customer of the approach, free of charge. Any further assistance by the Company in fulfilling such requests will be provided at the Customer’s request, subject to availability, and is chargeable at the Company’s Work Hour rate.

8. Vendors and Subcontractors

The Company may use vendors and subcontractors to provide the Services, at its discretion, and will impose on subcontractors with access to Personal Data security and privacy obligations equivalent to those applicable to it. The Company’s vendors include, for example: cloud and network infrastructure vendors, management and server software vendors, endpoint protection and filtering vendors, and the data center operator. The Company may add, remove or replace vendors and subcontractors at any time. An up-to-date list is published for the Customer’s convenience on the Company’s websites and does not form part of the Agreement.

9. Retention and Deletion

1. Retention periods: account data and invoices, seven years (tax law requirements); system and infrastructure logs and support tickets, for the periods customary at the Company according to the log type and system; billing identifiers (tokens): held by the external payment processor per PCI-DSS, for as long as billing continues.
2. Clarification: logs, backups and data within systems managed by the Customer (including inside the Customer’s virtual server or hosting account): their configuration, retention and policy are the Customer’s sole responsibility, and the Company neither determines nor enforces retention periods for them.
3. At the end of the engagement, upon the lapse of 30 days from its termination (or on a later date agreed in writing under the paid data retention clause), or at the Customer’s request (and subject to law), the Company will delete the data from the active systems in its direct possession or return it to the Customer per its instruction, subject to statutory retention duties. Copies held in rolling backup cycles are deleted automatically at the end of the regular backup cycle of the relevant service, and will not be used other than for restore purposes. In virtual server services, the Customer has the option, in the management panel, to delete the server backups itself, immediately (subject to OTP verification); such deletion is a Customer action, final and at its sole responsibility. In resold backup services (Acronis), the Company’s action is limited to deactivating the Customer’s account with the vendor and deleting it; actual deletion is performed by the vendor in accordance with its current policy. A Customer holding administrative permissions in the backup account has independent control over the deletion of data, workstations and permissions, and the Company is not responsible for these actions.

10. Audits and Reviews

1. Responses to security questionnaires, vendor surveys, audit requirements or other information requests in the field of information security will be provided under a separate engagement for payment, at the Company’s rates.
2. Customer audit: responses to audit requirements, security questionnaires and vendor surveys will be provided on the basis of written documents and statements only, under a separate engagement for payment at the Company’s rates, and subject to confidentiality. A physical audit at the facilities is not permitted.

11. Privacy Contact

Questions regarding this DPA or Personal Data matters should be directed to the Company at: [email protected].

This appendix forms an integral part of the Agreement and sets out the special terms applying to the cloud backup services provided to the Customer, based on Acronis Cyber Backup technology.

1. Service Description

1. The Company provides the Customer access to the Acronis Cyber Backup system, including: a management console, cloud storage allocation per the Quote, the ability to install agents on the Customer’s workstations and servers, and scheduling of backup and restore tasks.
2. The service is an infrastructure service: the Company provides the platform, storage and interface, and performs the initial setup and implementation. After the initial implementation, actual execution of backups, file selection, scheduling, monitoring and failure handling are the Customer’s responsibility.
3. The service is provided under a reseller model of the backup platform, and backup data is stored in the vendor’s data center in Israel, per the current service configuration.
4. The service is based on an Acronis platform, and the Company acts with respect to it as a reseller only. The Company is not responsible for the platform’s availability, functionality, faults or the vendor’s policies; all of these are the sole responsibility of the vendor, in accordance with its terms applying directly to the Customer. The Company’s responsibility is limited to the agreed reseller services: setup, implementation and support within the scope set out in this appendix.

2. What the Company Does Not Do, Important

1. The Company does not monitor the backups: the Company does not routinely check whether backup tasks succeeded, whether the agent is online, whether the last backup ran on schedule, or whether storage is nearing capacity.
2. The Company does not alert on failures: a backup failure (disconnected agent, failed task, full storage, incomplete backup) is not automatically routed as an alert to the Company. The system sends an automatic daily status report to the email address of the account administrator defined at setup; dispatch of the report is a technical mechanism only and does not constitute monitoring by the Company. Tracking the status report, the alerts in the console and failures is the Customer’s responsibility, and the Customer is responsible for ensuring at all times that the email address receiving the reports is active and monitored by it, and for updating the Company of any change to it.
3. The Company does not perform restore tests: verification that a backup is actually restorable is not part of the service. The Customer is asked to perform periodic restore tests itself.
4. The Customer receives console access: the Customer is given credentials to the Acronis console. Through it, the Customer (or its IT contact) can view backup status, configure alerts, make changes and verify integrity.
5. Incident response services are not included: the Company does not provide IR, CISO or cyber incident management services within the Customer’s backup environment (see Appendix 2).

3. Restore

3.1 Self-service restore via the console

The Customer may perform restores independently through the Acronis console, subject to system limitations and third-party licensing terms. The Company recommends the Customer authorize its IT contact, or a representative, to perform restores routinely.

3.2 Human assistance included in the service

1. Initial training: after service setup, the Company will provide a one-time initial training to the Customer’s IT contact (or representative) on using the console and performing basic restores. The training is included in the service.
2. Human assistance up to 3 times per year: if the Customer requires assistance during a restore, a human support representative of the Company will assist up to 3 times per calendar year at no extra charge. The Company will log assistance dates.
3. Additional training or professional support: provided for an additional charge, at the Applicable Hourly Rate (as defined in Part A).

3.3 Backup monitoring service (optional, under a separate engagement)

For customers without in-house IT, or those who want ongoing oversight and active Company involvement in backup monitoring, a backup monitoring service can be purchased from the Company as a separate service. The scope, components and pricing of the service will be set out in a separate quote.

3.4 Restore liability boundaries

The Company does not commit to restore time, backup completeness, restorability of a specific version, or the outcome of a restore. The included human assistance under Section 3.2 likewise does not constitute a commitment to a result.

4. Prices and Rates

1. The service price is based on storage volume, number of protected machines (agents), and service type, as specified in the Quote.
2. Exceeding the ordered volume is billed at the rate in the Quote or, absent one, at the Applicable Hourly Rate (as defined in Part A).
3. Exchange rate: per Section 5.4 of Part A (minimum rate of ILS 3.30 per USD).

5. Customer Responsibilities

1. After setup and initial implementation by the Company, the Customer is responsible, among other things, for: ongoing monitoring of the backups, tracking the status reports, periodic restore tests, and ensuring all its critical assets are covered.
2. The Customer is responsible for informing the Company of new workstations, material configuration changes, or volume increase requests.
3. Data loss, including due to a missing backup, a faulty backup, lack of restore testing, removal of the backup component, a failure in the Customer’s equipment or environment, or any other cause not arising from a proven omission of the Company in a service under its direct responsibility, is the sole responsibility of the Customer. A failure in the vendor’s platform in resold backup services is the vendor’s responsibility, in accordance with Section 6.2 of Part B.

6. Retention and Service Termination

1. Backups are retained per the retention policy configured by the Customer in the console. The Company is not responsible if the Customer configured an insufficient retention period.
2. Upon service termination, backups will be deleted in accordance with the retention policy of the platform vendor, generally in the order of 30 days from termination, without commitment to a fixed date. Extended retention at the Customer’s request requires a prior written request and the Company’s approval, and is subject to payment of storage fees at the Company’s rates, from the date of service termination until actual deletion; if the storage fees are not paid, the Company may discontinue the extended retention.
3. Transfer of the backup account (Tenant) to another reseller or directly to the vendor, without the Company’s written consent and before the end of the commitment period, shall be deemed termination of the engagement at the Customer’s initiative. In such case the Customer will be charged the balance of the service fees until the end of the commitment period, as well as the stated cost of the setup, implementation and training fees not actually collected; to the extent these were provided free of charge or at a reduced charge, this was done as a benefit conditional upon the Customer’s commitment to the full engagement term.

This appendix applies only to a Customer that has purchased IT services under a Quote, and sets out the service terms applying to them.

1. Service Description

1. IT services include: technical support, installations and configuration changes, management of workstations and peripherals, user account management in defined environments, and handling of service calls.
2. Service scope, monthly work hours and response times (SLA), per the Quote.
3. Work hours exceeding the monthly allocation, at the additional Work Hour rate in the Quote, or at the Applicable Hourly Rate.

2. Security Level Included in the Service (Baseline)

IT services include a basic level of information security only. The Customer is responsible for ensuring that this level meets its needs and any law applicable to it. This level includes, among others:

1. a firewall at the network or workstation level;
2. basic endpoint protection (antivirus / EDR): installation of a protection agent under the vendor’s license, in the vendor’s default configuration, and point-in-time handling of alerts within service hours. This does not include continuous monitoring of the protection console, incident investigation, custom rule authoring, proactive active containment or response management, which are advanced services per Section 3 below;
3. routine operational OS security updates;
4. a reasonable password policy and basic permissions;
5. backup as agreed (see Appendix 1 where relevant);
6. reasonable usage guidance for end users.

The baseline level is based on a flat network architecture and standard products. It does not constitute an advanced information security strategy.

3. Services Not Included in the Baseline Service and Available for Purchase at Additional Cost: Advanced Information Security

1. Incident Response (IR): handling an active cyber incident at the Customer, attack analysis, incident containment, forensics tooling, or post-attack recovery.
2. Post-incident investigation (Forensics): technical investigation of evidence, advanced log analysis, evidentiary documentation for legal or regulatory purposes.
3. Information security and cyber defense officer (CISO, Chief Information Security Officer): strategic security consulting, security program management, defense planning, writing policy documents, risk management, risk assessments, preparation of a gap report, or signing documents in the capacity of an information security officer.
4. Cyber incident management: acting as the Customer’s SOC or IR team during an incident.
5. Notification and liaison with authorities: support in preparing a report to the Privacy Protection Authority, engaging with a regulator, or representation before external bodies.
6. Penetration testing: controlled attack simulation on Customer systems, exploitation, Red Team / Purple Team exercises, or penetration test reports.
7. Vulnerability Assessments (VA): structured vulnerability scans, scan result analysis, and CVSS scoring.
8. Gap analyses: review and reporting of current state versus a target standard or policy (including ISO 27001, ISO 27017, SOC 2, IS 27001, Israeli privacy regulations, NIST CSF, CIS Controls).
9. Security audits: periodic audits, control reviews, stakeholder interviews and audit reporting.
10. Regulatory compliance audits: reviews for standards compliance, including certification preparation, accompanying an accountant or regulator.
11. Vulnerability management and CVE remediation: implementing an enterprise vulnerability management platform, ongoing CVE identification, coordinated remediation, and a professional patch-management process across the organization.
12. SIEM: planning, licensing, installation, tuning and operation of a security event collection and correlation platform.
13. SOC services (Security Operations Center): 24/7 security event monitoring, alert analysis, live incident investigation, documentation and intelligence sharing. Clarification: SOC services are an entirely separate service and are not included in any IT or management package.
14. NOC services (Network Operations Center): continuous 24/7 infrastructure and network monitoring by a dedicated operations center, including proactive response to infrastructure alerts. Clarification: NOC services are an entirely separate service and are not included in any IT or management package.
15. Advanced EDR Detection & Response: professional operation of an enterprise EDR platform, alert analysis, indicator investigation, and active containment.
16. Network segmentation / micro-segmentation: design and implementation of logically separated network architecture, ACLs, internal firewalls, and Least Privilege.
17. Zero Trust Network Access (ZTNA): Zero Trust architecture design and implementation, identity- and context-based access, replacing broad VPN with per-application access.
18. Advanced endpoint hardening: implementing organizational baselines per accepted standards, disabling unnecessary services, full disk encryption, and application whitelisting.
19. Threat Hunting and Threat Intelligence: proactive hunting for threats not yet detected by automated tools, cyber intelligence collection and use for early detection.
20. Strategic security consulting: multi-year security program, roadmap, vendor selection, security budget management, and board advisory.
21. Software development / custom code: writing code, programming, application development, or code-level intervention in Customer systems.

Company officers holding certifications

If and to the extent a Company officer holds a professional CISO certification or another information security certification, this does not include their services in that capacity within this Agreement. Such services are provided only under a separate engagement, priced separately.

4. Implementing an External CISO’s Policy in the Customer’s Organization

Such implementation work is not part of the IT, Help Desk or management services under this Agreement, even where the Company continues to serve as the Customer’s routine IT provider. It will be performed only under a separate engagement or as additional paid work hours, subject to the Customer’s advance approval, including without limitation:

1. implementing security controls defined by the external CISO;
2. hardening systems, workstations or servers per a defined baseline;
3. configuration changes to the network, endpoints, credentials or permissions per the CISO’s instructions;
4. documenting actions, preserving evidence, and writing control documents for audit or certification processes (ISO, SOC, IS);
5. responding to documentation demands or interviews within an audit, penetration test, or gap analysis initiated by the external CISO;
6. implementing findings of a penetration test / survey / audit report, including remediating identified vulnerabilities, implementing access controls, architecture changes;
7. responding to DPA or Israeli privacy regulation requirements, or Data Subject rights requests;
8. participation in professional meetings, steering committees, exercises (tabletop, DR drill) or IR scenarios initiated by the CISO;
9. allocation of Company personnel to projects led by the external CISO.

Such work will be performed, to the extent the Company agrees to perform it, only after a separate commercial agreement and the Customer’s written approval.

5. Advanced Security Services, Available Under Separate Engagement

Services not included in this Agreement are available for purchase from the Company under a separate engagement, with the scope and pricing to be set out in a dedicated Quote.

Pricing structure

1. Setup cost: one-time, as specified in the Quote.
2. Monthly retainer: separate from any other recurring charge, reflecting the agreed monitoring, response and advisory scope.
3. Urgent work-hour rate (active incident / IR): per Section 6.2 below, unless otherwise agreed in writing.
4. Specific scope, rates and terms will be set out in a dedicated separate agreement governed by Part A of this Agreement (MSA), and this service is not part of the services included in any other package.

6. Additional Work Hour Rates

1. A regular work hour exceeding the monthly allocation, at the rate stated in the Quote.
2. IR / active incident services: $250 + VAT per Work Hour, per team member allocated by the Company to the incident and according to the required team size, unless otherwise agreed separately. Minimum incident-package charge, 8 hours.
3. Work time is measured in 15-minute units; a unit once begun is counted in full.

7. Support Desk Hours and SLA

1. Support desk hours for routine calls: Sunday-Thursday, 08:00-18:00.
2. Urgent / system-down calls outside business hours, handled on a reasonable-efforts basis, via the contact channels provided to the Customer.
3. Target times for start of handling, as service targets only and not as a commitment: routine call within 8 Operating Hours, urgent call within 2 Operating Hours.
4. The Company does not commit to completing handling within a given timeframe; the target times refer to the start of handling only.

8. Miscellaneous

1. The Customer undertakes to provide the Company all information required to handle a call, including system access, passwords, and third-party details where needed.
2. The Company is not responsible for failures resulting from insufficient information provided by the Customer.

This appendix sets out the terms applying to virtual private server (VPS) services allocated to the Customer in the Company’s server farm in Israel, on any operating system (including Linux and Windows) as agreed in the Quote.

1. Specifications and Allocation

1. Resource allocation (CPU, RAM, storage, IP addresses, bandwidth, traffic): per the Quote.
2. The server is provisioned in the Company’s server farm in Israel, subject to availability.
3. Initial provisioning and standard OS installation are included. Training, if ordered, is chargeable per the Quote.

2. SLA, Service Availability

1. Uptime: the Company commits to 99.72% (ninety-nine and seventy-two hundredths percent) annual availability of the core infrastructure. Planned maintenance is performed at times set by the Company, with advance notice where possible, and is not counted as downtime.
2. Sole and exclusive remedy for unavailability: for failure to meet the availability target, the Customer is entitled, upon written request within 30 days of the event, to a proportional refund or credit of the monthly service fees for the actual period of unavailability, and in any event no more than one month’s service fees cumulatively per year. Such credit is the sole and exclusive remedy for unavailability, subject to the exceptions in Section 7 of Part A.
3. Routine desk hours: Sunday-Thursday, 08:00-18:00.
4. Urgent / outage calls: outside business hours, handled on a reasonable-efforts basis, via the contact channels provided to the Customer.
5. Start of handling: target times for start of handling, as service targets only and not as a commitment: within 4 Operating Hours for a routine call, within one hour for an urgent call. The Company does not commit to completing handling within a given timeframe.

3. Server Management and Content Management

1. Management hours: the service includes OS-level management work hours at the scope stated in the Quote only. Absent indication in the Quote, management hours are not included, and each Work Hour is billed at $150 + VAT.
2. Management is a system-administration service at the operating-system level only, and includes: OS updates, standard package installation, basic resource monitoring, and support call handling.
3. Management does not include, among other things: development, installation of custom applications requiring development, CMS management (WordPress / Drupal / Magento etc.), DBA-level database management, CISO roles and security consulting, IR and cyber incident management, planning or operating a disaster recovery plan (DRP) or business continuity plan (BCP), penetration testing, vulnerability assessments, gap analyses, security audits, or regulatory compliance audits (ISO 27001 / SOC 2 / IS 27001 etc.). These are provided under a separate engagement for additional payment (see Appendix 2).
4. Acceptable use: the Acceptable Use Policy (Appendix 7) applies in full to the virtual server, to any use made of it and to any content stored on it, including the prohibition of unlawful or offensive content, unlawful gambling, prohibited mailing, and outbound attacks or scans. Responsibility for any use made of the server rests solely with the Customer, and breach of the policy entitles the Company to suspend the service per Section 10 of Part A.
5. Exchange rate: per Section 5.4 of Part A (minimum rate of ILS 3.30 per USD).

4. Bandwidth

1. Included monthly traffic, per the Quote.
2. Traffic above the included volume, $0.01 + VAT per additional 1GB.

5. Protection and DDoS

1. The infrastructure includes network-level DDoS protection.
2. Large volumetric attacks (≥ 1 Gbps / ≥ 100k pps): the Company may temporarily null-route the Customer’s IP address to protect the rest of the infrastructure. The IP is restored after the attack subsides.
3. A Customer requiring extended protection capabilities may order from the Company a consulting and solution-evaluation service, priced separately.

6. Operating System and Updates

1. The Company provides a vendor-supported operating system in industry-standard condition.
2. Tracking the End of Life dates of the operating system is the Customer’s responsibility. The Company may, but is not obligated to, notify the Customer of such a date.
3. Continued use of an unsupported OS is at the Customer’s sole responsibility, and the Company is not liable for security flaws arising from it.
4. OS upgrades, chargeable per work hours, or within the monthly management hours if the Customer so elects.

7. Infrastructure Backup

1. Where an infrastructure backup service was ordered in the Quote, image-level backup of the virtual machine is performed daily, on a best-effort basis. Where no backup service was ordered, no infrastructure backup is performed for the server, and full responsibility for data backup rests with the Customer. Infrastructure backups are not a substitute for application or internal data backup.
2. Backups are retained for a period of up to 14 days and deleted automatically.
3. Restore, at the Customer’s request and chargeable (minimum 2 work hours). Target time, within 8 Operating Hours. The Company does not warrant backup completeness or restore success.
4. The Customer is asked to maintain an additional independent backup of data important to it.

8. Cancellation and Re-provisioning

1. Customer-initiated cancellation, 30 days’ prior written notice, per Section 4 of Part A.
2. Service closure due to non-payment or breach, per Section 10 of Part A.
3. Re-provisioning after suspension, $200 per Work Hour (+ VAT), in addition to payment for the elapsed period.

This appendix sets out the terms applying to the Google Workspace service (formerly G Suite) provided to the Customer through the Company as a reseller.

1. Service Description

1. The service is Google Workspace, Google’s cloud suite including domain email, Drive, Docs, Sheets, Slides, Meet, Calendar and additional tools per the selected plan.
2. The service is SaaS provided by Google LLC. The Company acts as a reseller. Support and implementation services, if ordered, will be provided within the scope and at the pricing set out in the Quote.
3. Google’s terms (Google Workspace Terms of Service) apply to the Customer directly in its relationship with Google.

2. Domain Registration (where relevant)

1. Domain registration is made for the period selected by the Customer in the Quote (one year or more), billed one-time.
2. The domain is registered in the Customer’s name (as Registrant) and is its property for all purposes.
3. Finality of registration: a domain registration takes effect immediately and definitively at the applicable registry. Under the policies of the Israeli registry (the Israel Internet Association) and the international registries (ICANN), a completed registration cannot be cancelled, and the registration fee is collected by the registry in any event. Accordingly, a completed registration cannot be cancelled and is non-refundable, and the Customer is asked to verify the domain spelling and order details before confirming.
4. Automatic renewal: at the end of the term the domain renews automatically via the payment method available in the system, to prevent loss. As a rule, a reminder will be sent to the Customer’s registered email address before the renewal date; failure to send a reminder does not derogate from the validity of the renewal or from the payment obligation.
5. Domain maintenance includes: (a) advanced DNS management (A, AAAA, MX, TXT, SPF, DKIM, DMARC, SRV, CAA, CNAME); (b) automatic renewal at term end; (c) management of the domain under the Company’s infrastructure accounts, in the configuration and with the services determined by the Company from time to time. The account remains owned and managed by the Company.
6. Transfer to another registrar: the Customer’s responsibility. Upon request, the Company will issue a transfer code (Authorization Code / EPP) and email it to the registered contact. Completing the transfer at the receiving registrar and managing DNS afterwards, the Customer’s responsibility.

3. What the Company Does Not Do

1. The Company is not responsible for the platform’s availability, functionality, faults or the vendor’s policies; all of these are the sole responsibility of Google, in accordance with its terms applying directly to the Customer.
2. The Company does not manage the Customer’s day-to-day Workspace account (users, passwords, permissions) unless expressly agreed for an additional charge.
3. The Company does not provide IR, CISO or cyber incident management services within the Customer’s Workspace account (see Appendix 2).

4. Special Limitation of Liability

The service is based on a Google platform, and the Company acts with respect to it as a reseller only. The Company is not responsible for the platform’s availability, functionality, faults or the vendor’s policies; all of these are the sole responsibility of the vendor, in accordance with its terms applying directly to the Customer. The Company’s responsibility is limited to the agreed reseller services: setup, implementation and support within the scope set out in this appendix.

5. Price, Billing and Transfer

1. Monthly or annual billing per the Quote.
2. Exchange rate: per Section 5.4 of Part A (minimum rate of ILS 3.30 per USD).
3. Transfer to another reseller or direct to Google: if the Customer transfers the account to another reseller or to direct Google billing without the Company’s consent and before the end of the commitment period, the agreement is deemed terminated at the Customer’s initiative, and the Customer will be charged for the full remaining contractual period plus the full setup fees, even if setup was initially provided free of charge.

This appendix sets out the terms applying to the Microsoft 365 service provided to the Customer through the Company as a reseller.

1. Service Description

1. The service is Microsoft 365, Microsoft’s cloud suite including Exchange Online, OneDrive, Teams, SharePoint and Office applications per the selected plan.
2. The service is provided by Microsoft Corporation. The Company acts as a reseller.
3. Microsoft’s terms (Microsoft Customer Agreement) apply to the Customer directly in its relationship with Microsoft.

2. Included and Not Included

1. Included: license purchasing and support per the package. Setup and training, to the extent included in the Quote, within the scope stated therein only; beyond that, for a separate charge.
2. Not included, among other things: advanced Intune management, hybrid Active Directory management, Power Platform development, Endpoint Manager design and SOC services, as well as any service not expressly stated in the Quote. These will be provided for a separate charge only. The Company does not provide IR, CISO or cyber incident management services within the Customer’s Microsoft 365 account (see Appendix 2).

3. Limitation of Liability

The service is based on a Microsoft platform, and the Company acts with respect to it as a reseller only. The Company is not responsible for the platform’s availability, functionality, faults or the vendor’s policies; all of these are the sole responsibility of the vendor, in accordance with its terms applying directly to the Customer. The Company’s responsibility is limited to the agreed reseller services: setup, implementation and support within the scope set out in this appendix.

4. Price and Billing

1. Monthly or annual billing per the Quote.
2. Exchange rate: per Section 5.4 of Part A (minimum rate of ILS 3.30 per USD).
3. Commitment period: certain Microsoft licenses (Annual) involve an annual commitment. Upon cancellation before the end of the commitment period, the Customer will be charged for the full remaining period.
4. Transfer to another reseller: subject to Microsoft’s terms. If the Customer transfers the account to another reseller without the Company’s consent before the end of the commitment period, the agreement shall be deemed terminated at the Customer’s initiative, and the Customer will be charged for the full remaining contractual period plus the full setup fees, even if setup was initially provided free of charge.

This appendix sets out the terms applying to website hosting on the Company’s hosting infrastructure, with or without a management panel, as specified in the Quote.

1. Service Description

1. The service includes, per the package in the Quote: allocated storage, FTP accounts, email forwarding, monthly traffic, management panel access (where included in the package), an infrastructure security package (web application firewall, malware scanning and prevention, multi-layer protection), a free SSL certificate, daily infrastructure backup, and a dedicated CMS management tool.
2. The service is a shared-resource package.

2. SLA, Service Availability

1. Uptime: 99.72% annual infrastructure uptime. Scheduled maintenance is not counted as downtime. Remedy for unavailability, as set out in Appendix 3, Section 2, mutatis mutandis.
2. Routine desk hours: Sunday-Thursday, 08:00-18:00.
3. Start of handling: target times for start of handling, to the extent set in the Quote, are targets only and do not constitute a commitment.

3. Service Boundaries

1. No development / programming services: the service is infrastructure only. The Company does not intervene at the code or content level of the Customer’s site.
2. WordPress / CMS management: updating WordPress, plugins, themes and any CMS-level management is the Customer’s responsibility. The Company provides a CMS management tool as infrastructure only.
3. Excessive shared-resource use (noisy neighbor): where one site adversely affects the shared server’s performance, the Company may limit its resource allocation or move it to another server, in order to preserve service stability for all customers. Where possible this will be coordinated in advance; in urgent cases, without prior notice, with the Customer updated at the first reasonable opportunity.
4. Information security, service boundary: the server includes a multi-layer infrastructure security package (web application firewall, malware scanning, and basic prevention mechanisms). This is infrastructure-level security only, and it does not constitute a commitment to block any threat; it does not constitute a professional information security service and does not replace an organizational defense strategy. Not included, and provided only under separate engagement: IR services, CISO, penetration tests, vulnerability assessments, gap analyses, security audits and regulatory compliance audits, vulnerability management and CVE remediation, event collection and correlation platforms, 24/7 monitoring services, advanced security response, logical segmentation, Zero Trust architecture, threat hunting, and strategic security consulting (full detail in Appendix 2).
5. Automatic protection mechanisms: the infrastructure security package is based on automatic mechanisms which may, as part of their operation, block requests or isolate and neutralize files and code components identified as malicious. This does not constitute a commitment by the Company to detect, block or remove malware, and no such automatic action on code identified as malicious shall give rise to Company liability for resulting damage. Responsibility for the integrity and cleanliness of the code on the Customer’s sites rests solely with the Customer.

4. Backup

1. The Company performs a daily infrastructure backup on a reasonable-efforts basis, retained for up to 14 days back; it is not a substitute for application-level backup.
2. Restore, additionally chargeable, minimum one work hour. The Company does not warrant backup completeness.
3. The Customer is asked to maintain an additional independent backup.

5. Traffic and Storage

1. Included monthly traffic, per the Quote.
2. Excess, $0.01 + VAT per additional 1GB.
3. Storage overage, billed per rate.

6. Content Removal and Modification

1. The Company may remove unlawful, offensive or copyright-infringing content, after reasonable notice, or immediately in severe cases.
2. Upon a legal demand of a competent authority, the Company may remove content without notice and shall not be liable for damage caused to the Customer as a result.

7. Price and Billing

1. Monthly or annual price per the Quote.
2. Exchange rate: per Section 5.4 of Part A (minimum rate of ILS 3.30 per USD).

This policy applies to all Company customers and all users on their behalf. A material breach of this policy entitles the Company to immediately suspend the service; other breaches will be handled in accordance with Section 2 below.

1. Prohibited Uses

1. Unlawful activity: any activity contrary to the laws of the State of Israel or international law.
2. Copyright and IP infringement: storing, distributing or sharing protected content without a license.
3. Offensive content: child sexual abuse material, violent, terror-promoting, racist content, or content violating any law.
4. Fraud and deception: phishing sites, scams, financial fraud, misrepresentation.
5. Malware: storing, distributing or controlling malware, viruses, ransomware, trojans, botnets, exploit kits.
6. Spam and unsolicited email: bulk email without consent, purchased or unlawfully obtained mailing lists, or any aggressive marketing activity.
7. Outbound scans and attacks: port scanning, vulnerability scanning of systems not owned by the Customer, intrusion attempts, brute force, or outbound DDoS.
8. Identity fraud: impersonating another person, company, or authority.
9. Unlawful gambling: gambling sites not compliant with the law applicable where they operate.
10. Unfair resource use: excessive CPU / RAM / I/O consumption on a shared server, or long-running background processes.
11. Cryptocurrency mining: on Company resources, shared or dedicated, without prior written approval.
12. Open intermediary services: operating an open proxy, public VPN service, or TOR exit node from the infrastructure.
13. Exceeding mail quotas: sending email in volumes exceeding the quota set for the server or account, even where the mailing itself is lawful.
14. Violation of court orders: storing or distributing material subject to a gag order, or any content violating a judicial order.
15. Malicious systems and bots, including AI-based: establishing or operating bots and automated systems for malicious purposes, including AI-based systems, as well as storing or running attack scripts and tools (including reverse shells, C2 command-and-control infrastructure, and exploitation tools), other than within an authorized, coordinated and pre-documented security test.

2. Enforcement

1. The Company may, at its sole discretion, determine that a given activity breaches this policy.
2. Immediate suspension without notice: in cases of immediately harmful activity, child abuse, terror activity, outbound DDoS, malware distribution, or a legal demand, the Company may suspend the service forthwith.
3. Suspension with prior notice: in other cases, the Company will give written warning and allow 48 hours to cure before suspension.
4. Cooperation with law enforcement: the Company may comply with demands of competent authorities, to the extent required by law.

3. Liability and Recovery of Damages

1. The Customer is liable for any damage caused to the Company, its customers, or third parties as a result of breaching this policy, and for reimbursing any legal or technical expense of the Company.
2. In the event of a charge by a third party or an authority due to the Customer’s actions, the Customer will indemnify the Company for the full amount of the charge.