ניסוח הסכם DPA מול ספקים וקבלני משנה
הסכם עיבוד מידע מותאם לכל ספק שנחשף למידע האישי בארגון: מיפוי ספקים, נספח אבטחה וליווי עד החתימה.
מה כולל ניסוח הסכם DPA
- מיפוי ספקים וזרימת מידע: כל גורם חיצוני שנחשף למידע, כולל מערכות ותוספים שאף אחד כבר לא זוכר
- הסכם מותאם לסוג הספק: ענן, CRM, דיוור, מוקד שירות, שכר והנהלת חשבונות
- נספח אבטחת מידע: התחייבויות אבטחה לפי רמת הרגישות של המידע שהספק מעבד
- קבלני משנה והעברה לחו״ל: מי עוד נוגע במידע, איפה הוא נשמר ובאילו תנאים
- אירוע אבטחה אצל הספק: חובת דיווח מיידי ושיתוף פעולה בטיפול באירוע
- סיום התקשרות מסודר: מחיקה או החזרה של המידע, עם אישור בכתב
למי זה מתאים
ארגונים שמעבירים מידע אישי לספקים חיצוניים, ובעיקר:
- ארגונים שעובדים עם עשרות ספקים ומערכות
- ארגונים שמחזיקים מידע בעל רגישות מיוחדת, כמו מידע רפואי, גנטי או ביומטרי
- ארגונים שצריכים להציג עמידה בתיקון 13 מול הנהלה, דירקטוריון או לקוח מוסדי
למה הסכם DPA מותאם משתלם
הסכם שנכתב אחרי שהבנו מה כל ספק באמת רואה, ולא הסכם שהועתק מתבנית
נשען על מיפוי אמיתי
ההסכם כתוב לפי המידע שהספק באמת מקבל ומעבד, ולכן הוא מחזיק גם כשמישהו בודק אותו.
הבנה טכנית של המערכות
הרשאות, גיבויים, ממשקים וענן. אנחנו מבינים מה קורה בצד הטכני, ונספח האבטחה מדויק בהתאם.
DPO מוסמך עם רקע משפטי
אני בוגר תואר במשפטים ו-DPO מוסמך, עם +9 שנים בפרטיות ובנגישות דיגיטלית, ומחבר בין דרישות החוק לבין מה שקורה במערכות.
חלק ממערך פרטיות אחד
ההסכמים מתיישבים עם מאגרי המידע, נהלי האבטחה ומדיניות הפרטיות, וכל המסמכים מדברים באותה שפה.
שבעה שלבים להסדרת הספקים בארגון
מהמיפוי הראשון ועד בקרה שוטפת על כל ספק
מיפוי ספקים
רשימה מלאה של כל מי שנחשף למידע, כולל ספקים «שקטים» כמו תוסף צ'אט באתר או חברת מצלמות.
סיווג לפי סיכון
איזה מידע כל ספק מעבד, באיזו רגישות ובאיזה סוג גישה.
בדיקת הסכמים קיימים
כולל ה-DPA הסטנדרטי שספקים גדולים שולחים, והפערים שבו.
ניסוח ההסכם והנספח
הסכם ונספח אבטחה מותאמים לכל סוג ספק, בשפה שהספק מבין.
תיאום מול היועץ המשפטי
ההסכם עובר לבדיקת היועץ המשפטי שלכם, ואנחנו עונים על השאלות המקצועיות.
חתימה ותיעוד
כל ההסכמים מרוכזים ברשימת ספקים מסודרת שמוכנה לביקורת.
בקרה ועדכון
בדיקה מחדש כשספק משנה שירות, כשנכנס קבלן משנה ופעם בשנה.
האחריות על המידע נשארת אצלכםגם כשהמידע יושב אצל ספק. בואו נבדוק אילו ספקים עובדים היום בלי הסכם מסודר.
הסטנדרט שלנו בכל הסכם DPA
הסכם עיבוד מידע לפי חוק הגנת הפרטיות, תקנות אבטחת המידע ותיקון 13
בלי הסכם אחד לכולם
הסכם מול ספק ענן שונה מהסכם מול פרילנסר שמנהל קמפיינים.
מטרות ושימושים מוגדרים
מה מותר לעבד, ואיסור מפורש להשתמש במידע לצורכי הספק עצמו.
זכות ביקורת ודיווח
אתם יכולים לבקש דיווח ולוודא שהספק עומד במה שהתחייב.
שיתוף פעולה מול פניות
כשאדם מבקש לעיין במידע עליו, לתקן אותו או למחוק אותו, הספק מחויב לעזור.
איך מעבירים מידע רגיש לספק חיצוני בלי להסתכן
אני מסביר את חלוקת האחריות בין הארגון לבין הספק, עם דוגמה מעולם השכר
שאלות נפוצות
איך העבודה משתלבת עם היועץ המשפטי שלכם?
אנחנו מכינים את ההסכם ואת נספח האבטחה על בסיס מיפוי הספקים, ומעבירים אותם לבדיקת היועץ המשפטי של הארגון. כך ההסכם מדויק גם בצד הטכני וגם בצד המשפטי. אני בוגר תואר במשפטים ו-DPO מוסמך, לא עורך דין, ולכן הבדיקה המשפטית הסופית נשארת אצלכם.
ספק גדול שלח DPA משלו. חותמים כמו שהוא?
לא בלי לבדוק. ספקי ענן ומערכות גדולות עובדים בדרך כלל עם הסכם סטנדרטי שקשה לשנות. אנחנו בודקים אותו מול המיפוי שלכם: איפה המידע נשמר, מי קבלני המשנה ומה חובת הדיווח באירוע אבטחה. פער שאי אפשר לסגור בהסכם מתועד, ומקבל מענה בנהלים הפנימיים.
האם הסכם DPA מחליף את מדיניות הפרטיות?
לא. מדיניות הפרטיות מסבירה לגולשים וללקוחות איזה מידע אתם אוספים, באמצעים טכנולוגיים או ידניים, ומה אתם עושים איתו. הסכם DPA הוא חוזה בינכם לבין ספק שמקבל גישה למידע הזה. ארגון צריך את שניהם, ולכן אנחנו מטפלים גם במדיניות פרטיות לאתר כשירות נפרד.
צריך הסכם DPA גם מול ספק בחו"ל?
כן, ושם יש עוד שכבה לבדוק. העברת מידע אל מחוץ לישראל כפופה לתקנות ייעודיות, ולכן בודקים לאן המידע עובר, מי מעבד אותו שם ואילו התחייבויות הספק נותן. בארגונים גדולים זה חלק מרכזי מהעבודה, כי הרבה מערכות ענן שומרות מידע מחוץ לארץ.
כמה זמן לוקח להסדיר את כל הספקים?
זה תלוי במספר הספקים ובמורכבות שלהם, ולכן אין תשובה אחת. אנחנו מתחילים בספקים שמעבדים את המידע הרגיש ביותר או מקבלים את הגישה הרחבה ביותר, וממשיכים משם. כך הסיכון הגדול נסגר ראשון.
מה מקבלים בסוף התהליך?
רשימת ספקים מסודרת, הסכם ונספח אבטחה חתומים מול כל ספק, ותיעוד שמוכן לביקורת של הרשות להגנת הפרטיות או של לקוח מוסדי. כתבתי בהרחבה על מה חייב להופיע בהסכם DPA. מי שרוצה שמישהו ימשיך לעקוב אחרי הספקים לאורך זמן יכול לשלב את זה בשירותי DPO וליווי שוטף.
שיחה אישית,
לא הצעת מחיר אוטומטית.
ספרו לנו על העסק והאתר, ונחזור אליכם עם דרך פעולה אישית לנגישות ולפרטיות, בלי התחייבות.