הסכם מחזיק לספקים (תקנה 15): מי צריך לחתום, ומה כותבים

רואה החשבון שלכם מחזיק את רשימת הלקוחות. סוכנות השיווק מנהלת את רשימת הדיוור. המפתח שבנה את האתר יכול להיכנס למסד הנתונים. כל אחד מהם הוא "מחזיק" לפי החוק, ולכל אחד מהם צריך הסכם בכתב. רוב העסקים הקטנים לא חתמו עם אף אחד. הנה מה נדרש ואיך סוגרים את זה בעמוד אחד.

מי זה "מחזיק"

חוק הגנת הפרטיות מבחין בין "בעל השליטה במאגר" (אתם, מי שקובע מה עושים עם המידע) לבין "מחזיק" (מי שהמידע נמצא אצלו או מי שמעבד אותו בשבילכם). תיקון 13 אימץ את המונחים האלה במפורש, בדומה ל-controller ו-processor באירופה. ספק ענן, מערכת דיוור, CRM, סליקה, רואה חשבון, סוכנות פרסום שמנהלת קמפיינים עם רשימות לקוחות, מפתח שיש לו גישה לשרת: כולם מחזיקים.

מה תקנה 15 דורשת

תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע) קובעת שבעל שליטה שמתקשר עם גורם חיצוני לקבלת שירות שכרוך בגישה למאגר, יערוך איתו הסכם בכתב שכולל, בין השאר:

• המידע שהמחזיק רשאי לעבד והמטרות המותרות
• סוג העיבוד או הפעולות שהוא רשאי לבצע
• משך ההתקשרות והחזרת המידע או השמדתו בסיומה
• חובת המחזיק לעמוד בתקנות אבטחת מידע ולהודיע על אירוע אבטחה
• מי מטעם המחזיק מורשה לגשת למידע
• האם המחזיק רשאי להעביר את העיבוד לקבלן משנה

התקנה גם דורשת מבעל השליטה לבדוק, מדי פעם, שהמחזיק אכן עומד בהתחייבויותיו. בעסק קטן זה יכול להיות מייל שנתי ששואל "עדיין הכל מאובטח?".

עם מי לא צריך לחתום בנפרד

עם הספקים הגדולים (Google, Meta, Wix, Shopify, Mailchimp, HubSpot, Microsoft, AWS) לא חותמים הסכם משלכם: תנאי השירות שלהם כבר כוללים נספח עיבוד מידע (DPA) שמכסה את הדרישות, לרוב לפי ה-GDPR. מה שכן כדאי לעשות: לשמור קישור ל-DPA שלהם במסמך הגדרות המאגר, כדי שתוכלו להראות שבדקתם.

ההסכם הנפרד נדרש בעיקר לספקים ישראליים קטנים שאין להם תנאי שירות מסודרים: רואה חשבון, מנהלת חשבונות, פרילנסר שמנהל את הרשתות, מפתח, סוכנות קטנה, מוקד טלפוני, חברת שילוח מקומית.

איך זה נראה בפועל

לא צריך חוזה של 12 עמודים. מכתב התחייבות של עמוד אחד, חתום על ידי הספק, מספיק לעסק קטן. מבנה:

התחייבות לשמירה על מידע אישי
אני, [שם הספק, ח.פ./ת.ז.], מספק ל[שם העסק] שירותי [הנהלת חשבונות / שיווק / פיתוח]. במסגרת השירות יש לי גישה למידע אישי על לקוחות ואנשי קשר של העסק.
1. אשתמש במידע אך ורק לצורך מתן השירות, ולא לכל מטרה אחרת.
2. לא אעביר את המידע לאף גורם אחר ללא אישור בכתב מהעסק.
3. אנקוט אמצעי אבטחה סבירים: סיסמאות ייחודיות, אימות דו-שלבי, נעילת מכשירים, ואי-שמירת עותקים מיותרים.
4. הגישה למידע תהיה של [שמות המורשים] בלבד.
5. אודיע לעסק ללא דיחוי על כל חשש לדליפה או גישה לא מורשית.
6. עם סיום ההתקשרות אחזיר או אמחק את המידע, לפי בקשת העסק.
תאריך: ____ חתימה: ____

שאלה שחוזרת: "הרו"ח שלי לא יחתום על זה"

הוא יחתום. רואי חשבון ומנהלי חשבונות מקבלים את הבקשה הזאת יותר ויותר, ולרובם יש כבר נוסח משלהם. אם הספק מסרב לחתום על התחייבות בסיסית לשמור על המידע של הלקוחות שלכם, זו אינפורמציה חשובה בפני עצמה.