הסכם עיבוד מידע (DPA) - כל מה שצריך לדעת
כשאתם נותנים לספק גישה למידע אישי, אתם חייבים הסכם עיבוד מידע.
מתי צריך DPA?
צריך DPA כאשר:
- ספק ענן מאחסן מידע שלכם
- חברת IT מתחזקת מערכות
- שירות ניוזלטר שולח מיילים
- רואה חשבון מקבל נתוני עובדים
- שירות גיבוי
- CRM כשירות
- כל SaaS עם מידע אישי
לא צריך DPA:
- ספק שלא נחשף למידע אישי
- שירותים אנונימיים
- ספק שהוא "בעל מאגר" עצמאי (לא "מעבד")
מה חייב להיות בהסכם?
1. הגדרת השירות
- מה בדיוק הספק עושה
- איזה מידע מועבר אליו
- למה הוא משתמש בו
2. חובות הספק
אבטחה:
- רמת אבטחה נדרשת
- הצפנה
- בקרת גישה
- גיבויים
סודיות:
- התחייבות לסודיות
- הגבלה על עובדים
- איסור שימוש למטרות אחרות
תת-קבלנים:
- איסור או אישור מראש
- אותן חובות על תת-קבלן
3. זכויות הלקוח
- גישה ללוגים
- ביקורות
- דיווח על אירועים
- סיום והחזרת מידע
4. העברה בינלאומית
- היכן המידע מאוחסן
- מנגנון העברה חוקי (אם רלוונטי)
5. תגובה לאירועים
- חובת דיווח מיידית
- שיתוף פעולה בחקירה
- סיוע בהודעה לנפגעים
תבנית בסיסית
הסכם עיבוד מידע
בין: [שם החברה] ("הלקוח")
לבין: [שם הספק] ("המעבד")
1. הגדרות
"מידע אישי" - כל מידע הנוגע לאדם מזוהה...
"עיבוד" - כל פעולה הנעשית במידע...
2. תיאור העיבוד
המעבד יעבד מידע אישי עבור הלקוח לצורך: [תיאור]
סוגי המידע: [פירוט]
קטגוריות נושאי מידע: [לקוחות/עובדים/וכו']
3. חובות המעבד
3.1 לעבד רק לפי הוראות הלקוח
3.2 להבטיח סודיות
3.3 ליישם אמצעי אבטחה: [פירוט]
3.4 לא להעסיק תת-מעבד ללא אישור
3.5 לסייע בקיום זכויות נושאי מידע
3.6 להודיע על אירוע אבטחה תוך [24/48] שעות
4. ביקורות
ללקוח הזכות לבצע ביקורת בהודעה של [14] יום מראש
5. העברה בינלאומית
המידע יאוחסן ב: [מיקום]
[אם חו"ל: מנגנון העברה]
6. סיום
בסיום ההסכם, המעבד ימחק/יחזיר את המידע תוך [30] יום
7. אחריות
[סעיפי אחריות]
חתימות:
_______________ _______________
הלקוח המעבד
טיפים לניהול DPAs
1. תיעוד מרכזי שמרו את כל ה-DPAs במקום אחד עם תאריכי תפוגה.
2. סקירה תקופתית בדקו שנתית שהספקים עומדים בהתחייבויות.
3. עדכון לפי שינויים שינוי בשירות = עדכון DPA.
4. ספקי ענן גדולים AWS, Google, Microsoft - יש להם DPA מוכן. בדקו שמתאים.
טעויות נפוצות
1. שכחו לחתום הספק עובד כבר שנה, אין הסכם.
2. DPA גנרי מדי לא מותאם לשירות הספציפי.
3. לא בודקים תת-קבלנים הספק משתמש ב-10 תת-קבלנים ולא ידעתם.
4. אין תאריך סיום מה קורה עם המידע כשמפסיקים?
סיכום
DPA הוא לא סתם ניירת - זו הגנה משפטית חיונית. ללא DPA תקין, אתם אחראים לכל מה שהספק עושה עם המידע.
צריכים עזרה בכתיבת DPA? LLUMINATE מספקת תבניות מותאמות וסקירת הסכמים קיימים.