ניסוח הסכם DPA ונספח אבטחת מידע מול ספקים
כשמידע אישי של הלקוחות, העובדים או המשתמשים שלכם עובר לספק חיצוני (חברת שיווק, מערכת CRM, שירותי ענן, חברת דיוור), האחריות לשמור עליו נשארת אצלכם. תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע) מחייבת לבדוק את הסיכונים לפני ההתקשרות, ולקבוע בהסכם עם הספק מה מותר לו לעבד, לאילו מערכות הוא ניגש, איך מאבטחים את המידע, מה קורה עם קבלני משנה, ואיך מחזירים או משמידים את המידע בסוף. בשלב הראשון אנחנו ממפים את כל הספקים, גם את הקטנים. אחר כך מנסחים הסכם מותאם לכל ספק שנחשף למידע: נספח אבטחה וליווי עד החתימה.
מה כולל ניסוח הסכם DPA
- מיפוי ספקים וזרימת מידע: כל גורם חיצוני שנחשף למידע, כולל מערכות ותוספים שאף אחד כבר לא זוכר
- הסכם מותאם לסוג הספק: ענן, CRM, דיוור, מוקד שירות, שכר והנהלת חשבונות
- נספח אבטחת מידע: התחייבויות אבטחה לפי רמת הרגישות של המידע שהספק מעבד
- קבלני משנה והעברה לחו״ל: מי עוד נוגע במידע, איפה הוא נשמר ובאילו תנאים
- אירוע אבטחה אצל הספק: חובת דיווח מיידי ושיתוף פעולה בטיפול באירוע
- סיום התקשרות מסודר: מחיקה או החזרה של המידע, עם אישור בכתב
למי זה מתאים
ארגונים שמעבירים מידע אישי לספקים חיצוניים, ובעיקר:
- ארגונים שעובדים עם עשרות ספקים ומערכות
- ארגונים שמחזיקים מידע בעל רגישות מיוחדת, כמו מידע רפואי, גנטי או ביומטרי
- ארגונים שצריכים להציג עמידה בתיקון 13 מול הנהלה, דירקטוריון או לקוח מוסדי
למה הסכם DPA מותאם משתלם
הסכם שנכתב אחרי שהבנו מה כל ספק באמת רואה, ולא הסכם שהועתק מתבנית
נשען על מיפוי אמיתי
ההסכם כתוב לפי המידע שהספק באמת מקבל ומעבד, ולכן הוא מחזיק גם כשמישהו בודק אותו.
הבנה טכנית של המערכות
הרשאות, גיבויים, ממשקים וענן. אנחנו מבינים מה קורה בצד הטכני, ונספח האבטחה מדויק בהתאם.
DPO מוסמך שמבין גם את המערכות
את ההסכמים מנסח אלי למבז, מומחה נגישות דיגיטלית מוסמך מטעם עמותת נגישות ישראל וממונה הגנת הפרטיות DPO מוסמך מאוניברסיטת בר אילן, שמחבר בין דרישות החוק לבין מה שקורה במערכות.
חלק ממערך פרטיות אחד
ההסכמים מתיישבים עם מאגרי המידע, נהלי האבטחה ומדיניות הפרטיות, וכל המסמכים מדברים באותה שפה.
שבעה שלבים להסדרת הספקים בארגון
מהמיפוי הראשון ועד בקרה שוטפת על כל ספק
מיפוי ספקים
רשימה מלאה של כל מי שנחשף למידע, כולל ספקים «שקטים» כמו תוסף צ'אט באתר או חברת מצלמות.
סיווג לפי סיכון
איזה מידע כל ספק מעבד, באיזו רגישות ובאיזה סוג גישה.
בדיקת הסכמים קיימים
כולל ה-DPA הסטנדרטי שספקים גדולים שולחים, והפערים שבו.
ניסוח ההסכם והנספח
הסכם ונספח אבטחה מותאמים לכל סוג ספק, בשפה שהספק מבין.
תיאום מול היועץ המשפטי
ההסכם עובר לבדיקת היועץ המשפטי שלכם, ואנחנו עונים על השאלות המקצועיות.
חתימה ותיעוד
כל ההסכמים מרוכזים ברשימת ספקים מסודרת שמוכנה לביקורת.
בקרה ועדכון
בדיקה מחדש כשספק משנה שירות, כשנכנס קבלן משנה ופעם בשנה.
הספקים שלכם מחזיקים במידע שלכם והאחריות אצלכם
אם יש אירוע אבטחה אצל ספק ואין הסכם מסודר, קשה מאוד להוכיח שעשיתם את מה שהתקנות דורשות, וזה הבסיס לעיצום כספי. פנו אלינו ונבנה הסכם שמתאים לכל ספק.
מה תקנה 15 דורשת שיהיה בהסכם
תקנה 15 מפרטת מה ההסכם צריך לכלול: איזה מידע הספק רשאי לעבד ולאיזו מטרה, לאילו מערכות הוא ניגש, איזה סוג עיבוד מותר לו, משך ההתקשרות והשמדת המידע בסופה, אמצעי האבטחה, התחייבות לסודיות של העובדים שלו, אותם תנאים מול קבלן משנה, ודיווח לפחות פעם בשנה והודעה על כל אירוע אבטחה. התקנה לא חלה על התקשרות עם אדם יחיד, אבל גם מול פרילנסר כדאי להסדיר את הדברים בכתב.
בלי הסכם אחד לכולם
הסכם מול ספק ענן שונה מהסכם מול פרילנסר שמנהל קמפיינים.
מטרות ושימושים מוגדרים
מה מותר לעבד, ואיסור מפורש להשתמש במידע לצורכי הספק עצמו.
זכות ביקורת ודיווח
אתם יכולים לבקש דיווח ולוודא שהספק עומד במה שהתחייב.
שיתוף פעולה מול פניות
כשאדם מבקש לעיין במידע עליו, לתקן אותו או למחוק אותו, הספק מחויב לעזור.
למה ניסוח הסכם DPA מתחיל במיפוי ספקים
הסכם DPA הוא החוזה שקובע מה מותר לספק לעשות עם המידע האישי שאתם מעבירים אליו, איך הוא מאבטח אותו ומה קורה איתו בסוף ההתקשרות. ניסוח הסכם DPA נכון מתחיל במיפוי, לא בתבנית. כמעט בכל ארגון שאני מלווה, רשימת הספקים שמקבלים מידע ארוכה יותר ממה שההנהלה חושבת. מעבר לענן, ל-CRM ולחברת השכר, יש גם תוסף צ'אט באתר, פרילנסר שמנהל קמפיינים וחברת מצלמות. לכל אחד מהם יש גישה למידע אישי. והאחריות על המידע הזה נשארת אצלכם. ההבדל ממדיניות פרטיות פשוט: מדיניות הפרטיות מסבירה לגולשים וללקוחות איזה מידע הארגון אוסף, באמצעים טכנולוגיים או ידניים. הסכם DPA מסדיר את מה שקורה למידע הזה כשהוא עובר לספק שנותן לכם שירות.
איך הסכם DPA מתחבר למדיניות הפרטיות
ההבדל בין DPA למדיניות פרטיות לאתר: המדיניות מסבירה לגולשים מה הארגון אוסף; ה-DPA מסדיר מה קורה כשהמידע עובר לספק. כשאחד מהם חסר, גם השני נשאר חלקי.
מה מסדירים בהסכם ומה אחרי החתימה
ההסכם מגדיר מטרות ושימושים, אבטחה, קבלני משנה, דיווח על אירוע וסיום התקשרות. להרחבה, ראו מה חייב להופיע בהסכם עיבוד מידע. אחרי החתימה חשוב לבדוק ספקים מחדש כשיש שינוי, וכאן נכנס ליווי שוטף של שירותי DPO.
מידע כללי, אינו ייעוץ משפטי.
איך מעבירים מידע רגיש לספק חיצוני בלי להסתכן
אני מסביר את חלוקת האחריות בין הארגון לבין הספק, עם דוגמה מעולם השכר
שאלות נפוצות
איך העבודה משתלבת עם היועץ המשפטי שלכם?
אנחנו מכינים את ההסכם ואת נספח האבטחה על בסיס מיפוי הספקים, ומעבירים אותם לבדיקת היועץ המשפטי של הארגון. כך ההסכם מדויק גם בצד הטכני וגם בצד המשפטי. הבדיקה המשפטית הסופית נשארת אצל היועץ המשפטי שלכם.
ספק גדול שלח DPA משלו. חותמים כמו שהוא?
לא בלי לבדוק. ספקי ענן ומערכות גדולות עובדים בדרך כלל עם הסכם סטנדרטי שקשה לשנות. אנחנו בודקים אותו מול המיפוי שלכם: איפה המידע נשמר, מי קבלני המשנה ומה חובת הדיווח באירוע אבטחה. פער שאי אפשר לסגור בהסכם מתועד, ומקבל מענה בנהלים הפנימיים.
האם הסכם DPA מחליף את מדיניות הפרטיות?
לא. מדיניות הפרטיות מסבירה לגולשים וללקוחות איזה מידע אתם אוספים, באמצעים טכנולוגיים או ידניים, ומה אתם עושים איתו. הסכם DPA הוא חוזה בינכם לבין ספק שמקבל גישה למידע הזה. ארגון צריך את שניהם, ולכן אנחנו מטפלים גם במדיניות פרטיות לאתר כשירות נפרד.
צריך הסכם DPA גם מול ספק בחו"ל?
כן, ושם יש עוד שכבה לבדוק. העברת מידע אל מחוץ לישראל כפופה לתקנות ייעודיות, ולכן בודקים לאן המידע עובר, מי מעבד אותו שם ואילו התחייבויות הספק נותן. בארגונים גדולים זה חלק מרכזי מהעבודה, כי הרבה מערכות ענן שומרות מידע מחוץ לארץ.
כמה זמן לוקח להסדיר את כל הספקים?
זה תלוי במספר הספקים ובמורכבות שלהם, ולכן אין תשובה אחת. אנחנו מתחילים בספקים שמעבדים את המידע הרגיש ביותר או מקבלים את הגישה הרחבה ביותר, וממשיכים משם. כך הסיכון הגדול נסגר ראשון.
שיחה אישית,
לא הצעת מחיר אוטומטית.
ספרו לנו על העסק והאתר, ונחזור אליכם עם דרך פעולה אישית לנגישות ולפרטיות, בלי התחייבות.