סודיות וטיפול בנתונים

1. מטרת העמוד

במהלך אבחון כתוב של האתר ומסע הלקוח, ייתכן שהלקוח ימסור מידע עסקי, דוחות, צילומי מסך, נתוני אנליטיקה, מידע על פניות או מידע תפעולי אחר.

עמוד זה מסביר:

• איזה מידע עשוי להידרש;
• כיצד מומלץ למסור אותו;
• כיצד מצמצמים מידע מיותר;
• כיצד מטפלים בגישה למערכות;
• כיצד עשויים לשמש ספקים חיצוניים;
• כיצד מטפלים בשמירה, מחיקה ואירועי אבטחה;
• מתי עשוי להידרש הסכם נפרד.

2. הקשר למדיניות הפרטיות

מדיניות הפרטיות מסבירה כיצד מטופל מידע אישי שנאסף דרך האתר ובמסגרת השירות.

עמוד זה מתמקד בעיקר:

• במידע עסקי שנמסר לצורך האבחון;
• בחומרי עבודה ובדוחות;
• בגישה זמנית למערכות;
• במידע שהלקוח מוסר על פניות או צדדים שלישיים;
• בסודיות ובאבטחת המידע במהלך הפרויקט.

כאשר מידע מסוים הוא גם מידע אישי, מדיניות הפרטיות חלה עליו בנוסף לעמוד זה.

3. עמוד זה אינו NDA או DPA נפרד

עמוד זה הוא מדיניות כללית של Zahavi Digital Clarity.

כשלעצמו, הוא אינו מחליף:

• הסכם סודיות חתום;
• הסכם עיבוד נתונים;
• הסכם ספק;
• נספח אבטחת מידע;
• מסמך ציות ייעודי;
• התחייבות חוזית מיוחדת אחרת.

אם הלקוח נדרש לפי מדיניות פנימית, חוזה, רגולציה או דרישת אבטחה לחתום על מסמך כזה, יש להעלות את הדרישה לפני מסירת מידע חסוי או מידע אישי.

4. מידע עסקי חסוי

מידע עסקי חסוי עשוי לכלול מידע שאינו פומבי ונמסר לצורך הפרויקט, כגון:

• נתוני תנועה ואנליטיקה;
• מידע על פרסום וקמפיינים;
• מידע על פניות, מכירות והמרות;
• דוחות מתוך CRM;
• צילומי מסך ממערכות פנימיות;
• מידע על תהליכי מכירה ושירות;
• מידע על המשך הטיפול בפניות;
• בעיות באתר או במסע הלקוח;
• סדרי עדיפויות פנימיים;
• מסמכים עסקיים;
• הערות עבודה וממצאי אבחון;
• מידע אחר שסומן כחסוי או שניתן להבין באופן סביר שהוא חסוי.

5. שימוש במידע לצורך השירות

מידע עסקי וחומרי אבחון עשויים לשמש רק במידה שנדרשת באופן סביר לצורך:

• בדיקת התאמה ראשונית;
• הגדרת היקף העבודה;
• ביצוע האבחון שסוכם;
• בדיקת האתר, הנתונים ומסע הלקוח;
• הכנת ממצאים כתובים והמלצות;
• הכנת דוח אבחון כתוב;
• קיום מפגש סיכום קצר, אם הוא נכלל בחבילה או הוסכם בנפרד;
• מתן הבהרות הקשורות לתוצר;
• ניהול רישומים עסקיים סבירים;
• אבטחה, מניעת שימוש לרעה וטיפול במחלוקת;
• עמידה בחובה חוקית.

המידע לא ישמש למטרה שאינה תואמת באופן מהותי את המטרה שלשמה הוא נמסר, אלא אם קיימת הסכמה מתאימה, חובה חוקית או הצדקה אחרת המותרת לפי הדין.

6. מידע שאינו נחשב חסוי

התחייבויות הסודיות אינן חלות בדרך כלל על מידע אשר:

• היה פומבי כדין בעת מסירתו;
• הפך לפומבי שלא עקב הפרה של התחייבות סודיות;
• היה ידוע כדין לפני שנמסר;
• פותח באופן עצמאי בלי שימוש במידע החסוי;
• התקבל כדין ממקור אחר שאינו כפוף לחובת סודיות;
• הלקוח אישר את פרסומו או מסירתו;
• חייב להיחשף לפי דין או הוראת רשות מוסמכת.

7. צמצום מידע

יש למסור רק את המידע שנדרש באופן סביר לצורך היקף האבחון שאושר.

כאשר אפשר, מומלץ למסור:

• נתונים מצטברים;
• דוחות מסכמים;
• צילומי מסך מצומצמים;
• דוגמאות אנונימיות;
• מידע לאחר טשטוש פרטים מזהים;
• ייצוא חלקי במקום בסיס נתונים מלא;
• מידע הנוגע רק לתקופה או לשאלה שנבדקת.

בדרך כלל, אין צורך למסור:

• רשימת לקוחות מלאה;
• ייצוא מלא של CRM;
• שיחות פרטיות שאינן רלוונטיות;
• מספרי זהות;
• פרטי תשלום;
• מידע רפואי;
• מידע על ילדים;
• מידע אישי עודף של עובדים או לקוחות.

8. מידע שאין לשלוח

אין לשלוח דרך טופס האתר, אימייל רגיל, WhatsApp או קישור שאינו מאובטח:

• סיסמאות;
• קודים לאימות דו-שלבי;
• פרטי גישת מנהל בלתי מוגבלת;
• גישה לחשבונות חיוב;
• פרטי כרטיס אשראי או חשבון בנק;
• מספרי זהות;
• מידע רפואי;
• מידע אישי על קטינים;
• מידע רגיש שאינו נחוץ;
• מידע של צד שלישי שאין ללקוח זכות למסור.

9. גישה למערכות

כאשר נדרשת גישה למערכת לצורך האבחון, תועדף ככל האפשר:

• גישה לצפייה בלבד;
• הרשאה מוגבלת;
• משתמש זמני;
• דוח מיוצא;
• צילום מסך;
• מידע מסכם.

הלקוח אחראי:

• לוודא שהוא רשאי להעניק את הגישה;
• לבחור את רמת ההרשאה;
• לבדוק אילו נתונים זמינים למשתמש;
• להימנע מהענקת הרשאות שאינן נדרשות;
• לבטל את הגישה הזמנית לאחר סיום האבחון.

אין לשלוח סיסמה של משתמש קיים. כאשר אפשר, יש להזמין משתמש נפרד עם הרשאה מוגבלת.

10. ספקים ונותני שירות חיצוניים

לצורך הפעלת האתר ומתן השירות, עשויים לשמש ספקים חיצוניים, כגון:

• ספקי אחסון ודומיין;
• מערכת ניהול האתר ותוספים;
• שירותי טפסים;
• שירותי אימייל ותקשורת;
• שירותי שיחות וידאו;
• שירותי ענן ומסמכים;
• כלי אנליטיקה, SEO ובדיקת אתרים;
• כלי אבטחה ותחזוקה;
• אנשי מקצוע חיצוניים, כאשר מעורבותם נדרשת ואושרה.

ספק חיצוני עשוי לקבל גישה רק למידע שנדרש באופן סביר לצורך השירות שהוא מספק.

כאשר הדבר רלוונטי, עשויים לחול תנאי שימוש, מדיניות פרטיות, התחייבויות סודיות ואמצעי אבטחה של אותו ספק.

11. מחזיקים חיצוניים וקבלני משנה

כאשר גורם חיצוני מקבל גישה למידע לצורך מתן שירות, הגישה אמורה להיות מוגבלת למטרה ולמשך הזמן שנדרשים באופן סביר.

בהתאם לאופי השירות, ניתן לבחון בין היתר:

• איזה מידע נגיש לגורם החיצוני;
• מהי מטרת הגישה;
• אילו פעולות מותר לו לבצע;
• כיצד מוגנות ההרשאות;
• מה קורה למידע לאחר סיום השירות;
• האם נדרשת התחייבות חוזית נוספת.

אם ללקוח קיימות דרישות מיוחדות לגבי ספקים, אחסון, קבלני משנה או עיבוד מידע, יש להעלות אותן לפני מסירת המידע.

12. עיבוד או אחסון מחוץ לישראל

חלק מספקי הענן, האימייל, התקשורת, האנליטיקה והכלים המקצועיים עשויים לעבד או לאחסן מידע מחוץ לישראל.

העברה או גישה מחוץ לישראל תיעשה כאשר הדבר נדרש לצורך השירות ובהתאם לתנאי העברה המותרים לפי הדין החל.

כאשר נדרש, עשויים להישען על התחייבויות חוזיות, תנאי ספק, הסכמי עיבוד מידע או מנגנון חוקי מתאים אחר.

אם קיימת דרישה לשמירת מידע במדינה מסוימת או לאיסור שימוש בספקים מסוימים, יש להודיע על כך לפני אישור היקף העבודה ולפני מסירת המידע.

13. אמצעי אבטחת מידע

ננקטים אמצעים ארגוניים וטכניים סבירים שנועדו לצמצם סיכון של:

• גישה בלתי מורשית;
• חשיפה מיותרת;
• שימוש לרעה;
• שינוי בלתי מורשה;
• אובדן;
• מחיקה או השמדה בלתי מורשית.

אמצעים אלה עשויים לכלול:

• צמצום המידע שנאסף;
• הגבלת גישה למידע;
• שימוש בחשבונות נפרדים;
• העדפת גישה לצפייה בלבד;
• שימוש באמצעי האבטחה הזמינים בחשבונות;
• ביטול הרשאות שאינן נדרשות עוד;
• שימוש בספקים מקצועיים לפי הצורך;
• בדיקה והסרה של מידע עודף;
• תיעוד סביר של אירועים חריגים.

לא ניתן להבטיח אבטחה מוחלטת של אתר, אימייל, אפליקציית הודעות, שירות ענן או מערכת חיצונית.

14. שמירת מידע

מידע עשוי להישמר כל עוד הוא נדרש באופן סביר לצורך:

• בדיקת הבקשה;
• ביצוע האבחון;
• הכנת הדוח והתוצרים;
• הבהרות לאחר המסירה;
• ניהול רישומים עסקיים וחשבונאיים;
• אבטחה ומניעת שימוש לרעה;
• טיפול במחלוקת;
• הגנה על זכויות;
• עמידה בחובת שמירה לפי דין.

תקופת השמירה עשויה להשתנות לפי סוג המידע, מטרת השימוש בו והחובות החלות.

מידע שאינו נדרש עוד עשוי להימחק, לעבור אנונימיזציה או להישמר בארכיון מוגבל.

15. סיום גישה ומחיקת עותקים זמניים

לאחר השלמת האבחון, מומלץ ללקוח:

• להסיר משתמש זמני;
• לבטל הזמנות שטרם נוצלו;
• לצמצם הרשאות;
• להחליף פרטים שנמסרו בטעות;
• לבדוק שלא נשארה גישה שאינה נדרשת.

עותקי עבודה זמניים שאינם נדרשים עוד עשויים להימחק לאחר סיום הפרויקט, בכפוף לצורכי תיעוד, שמירת רשומות וחובות משפטיות.

16. בקשות עיון ותיקון

בכפוף לדין החל, אדם רשאי לבקש לעיין במידע אישי שמוחזק עליו.

ניתן גם לבקש לתקן מידע אישי אם הוא:

• שגוי;
• חלקי;
• לא ברור;
• אינו מעודכן.

ניתן להגיש גם בקשה למחיקה או לצמצום מידע, ובקשה כזו תיבחן לפי הדין, מטרת השמירה, זכויות של צדדים אחרים וחובות משפטיות.

לצורך טיפול בבקשה, ייתכן שיידרש מידע שמאפשר לאמת את זהות המבקש ואת הקשר שלו למידע.

את הבקשה ניתן לשלוח לכתובת האימייל המופיעה בתחתית העמוד.

17. אחריות הלקוח למידע של צדדים שלישיים

כאשר הלקוח מוסר מידע הנוגע:

• ללקוחותיו;
• לפניות או לידים;
• לעובדים;
• לקבלנים;
• לספקים;
• לאנשים אחרים;

הלקוח אחראי לוודא:

• שהוא רשאי למסור את המידע;
• שהמידע נדרש לצורך האבחון;
• שנמסרה הודעה מתאימה, כאשר היא נדרשת;
• שהתקבלה הסכמה, כאשר היא נדרשת;
• שהמידע צומצם ככל האפשר;
• שפרטים מזהים הוסרו כאשר אין בהם צורך.

Zahavi Digital Clarity רשאית לבקש לטשטש, לצמצם או להסיר מידע שאינו נחוץ לפני בדיקתו.

18. אירועי אבטחה

אם מתגלה או קיים חשד לאירוע אבטחה הנוגע למידע שבאחריות Zahavi Digital Clarity, עשויים להינקט צעדים סבירים כדי:

• לבדוק את האירוע;
• לצמצם את הסיכון;
• להפסיק גישה בלתי מורשית;
• לתעד את האירוע;
• לשמור מידע שנדרש לבדיקה;
• לנקוט פעולה מתקנת;
• לעדכן גורמים רלוונטיים כאשר הדבר נדרש.

כאשר הדין מחייב דיווח לרשות מוסמכת או הודעה לגורם שנפגע, ייעשה מאמץ סביר לפעול בהתאם לחובה החלה.

הלקוח מתבקש להודיע בהקדם אם הוא מזהה:

• גישה שאינה מוכרת;
• שימוש חריג בהרשאה שנמסרה;
• מידע שנשלח בטעות;
• חשבון שנפרץ;
• אירוע אחר שעשוי להשפיע על מידע שנמסר לפרויקט.

19. רישום, הודעה וחובות רגולטוריות

מידע עסקי ומידע אישי עשויים להישמר במערכות המשמשות לניהול בקשות, לקוחות, תקשורת ומתן השירות.

חובת רישום מאגר, הודעה לרשות, מינוי ממונה פרטיות, מינוי ממונה אבטחת מידע או חובה רגולטורית אחרת תחול רק כאשר התנאים שנקבעו בדין מתקיימים בפועל.

היעדר חובת רישום של מאגר מסוים אינו מבטל חובות אחרות הנוגעות:

• למטרות השימוש במידע;
• לאבטחת מידע;
• להגבלת גישה;
• לשמירת מידע;
• לזכויות נושאי המידע;
• לדיווח על אירוע אבטחה, כאשר נדרש.

20. גילוי מידע לפי חובה חוקית

מידע עשוי להיחשף כאשר הדבר נדרש באופן סביר:

• לפי דין;
• לפי צו בית משפט;
• לפי הוראת רשות מוסמכת;
• לצורך טיפול באירוע אבטחה;
• לצורך ניהול מחלוקת;
• לצורך הגנה על זכויות;
• לצורך מניעת הונאה או נזק חמור;
• לצורך עמידה בחובה חשבונאית או אחרת.

כאשר הדבר מותר ואפשרי באופן סביר, ניתן לעדכן את הלקוח לפני חשיפת מידע עסקי חסוי.

21. מקרי בוחן והמלצות

ניתן להשתמש בתובנות כלליות או בדוגמאות אנונימיות לצורך הסבר של אופי השירות, רק לאחר הסרת מידע שמאפשר זיהוי סביר של הלקוח.

מידע שמאפשר לזהות באופן סביר:

• את הלקוח;
• את העסק;
• את הנתונים;
• את הלקוחות של העסק;
• את הממצאים החסויים;

לא יפורסם כמקרה בוחן מזוהה ללא אישור מתאים בכתב.

פרסום המלצה בשם אדם או בשם העסק ייעשה רק לאחר קבלת אישור מתאים.

22. שפות ועדכון העמוד

עמוד זה עשוי להיות זמין בעברית, באנגלית וברוסית.

הגרסאות נועדו להעביר את אותה משמעות, אך ייתכנו הבדלי ניסוח הנובעים מהתרגום.

במקרה של אי-בהירות, יש לבחון יחד:

• את מדיניות הפרטיות;
• את תנאי השירות;
• את היקף העבודה שאושר;
• את ההסכם הנפרד, אם קיים;
• את דין החובה החל.

עמוד זה עשוי להתעדכן כדי לשקף שינויים בשירות, בספקים, בתהליכים, בטכנולוגיה או בדרישות הדין.

23. מדיניות קשורה ויצירת קשר

יש לקרוא עמוד זה יחד עם:

לשאלות בנוגע לסודיות, לגישה למערכות, לטיפול בנתונים, לבקשת NDA או DPA או לאירוע אבטחה, ניתן לפנות באמצעות כתובת האימייל המופיעה בתחתית העמוד.

עמוד זה מספק מידע כללי על נוהלי העבודה של Zahavi Digital Clarity ואינו מהווה ייעוץ משפטי פרטני.