קיבלנו שאלון פרטיות מלקוח גדול. מה עושים?

למה לקוחות גדולים שולחים שאלונים?

לקוח שמעביר לכם מידע אישי, או שנותן לכם גישה למערכות שלו, אחראי בעצמו כלפי הרגולטור על הספקים שלו. תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע) מחייבת בעל מאגר שמתקשר עם גורם חיצוני לקבוע בהסכם, בין היתר, את המידע שהספק רשאי לעבד, את מטרות השימוש ואת אמצעי האבטחה, ולפקח על עמידתו בהם. אחרי שתיקון 13 נכנס לתוקף ב־14 באוגוסט 2025, ואחרי שהרשות פתחה בדצמבר 2025 בפיקוחי רוחב שבהם היא בוחנת גם התקשרויות עם ספקים, מחלקות הרכש והמשפטית של לקוחות גדולים מקפידות יותר.

לכן השאלון אינו פורמליות. הוא הכלי שבאמצעותו הלקוח מתעד שבדק אתכם, ובמקרה של אירוע, התשובות שלכם יהיו המסמך הראשון שהוא יבדוק.

מה בדרך כלל שואלים?

• איזה מידע אישי של הלקוח תעבדו, איפה הוא יישמר (כולל מדינה), ומי יגש אליו.
• אמצעי אבטחה: הרשאות, הצפנה, אימות דו־שלבי, גיבויים, ניטור, ומבדקי חדירות.
• תת־ספקים: אילו ספקי ענן ושירותים מחזיקים את המידע, והאם הם התחייבו לאותם תנאים.
• נהלים: נוהל אבטחת מידע, נוהל טיפול באירוע, נוהל מחיקה בסיום ההתקשרות.
• רגולציה: עמידה בחוק הגנת הפרטיות ובתקנות, מינוי ממונה הגנת פרטיות אם נדרש, ולעיתים גם GDPR.
• AI: האם אתם משתמשים בכלי AI על המידע של הלקוח, ואם המידע משמש לאימון מודלים.
• אירועים: האם היו אירועי אבטחה בשנים האחרונות, ותוך כמה זמן תודיעו ללקוח על אירוע.

חמישה צעדים לפני שממלאים

1. קוראים את החוזה לצד השאלון: האם התשובות מצורפות כנספח, האם יש הצהרה כללית על נכונותן, ומה הסעד אם יתברר שאינן נכונות.
2. ממפים את המידע של הלקוח במערכות: איפה הוא נכנס, איפה נשמר, מי ניגש, ולאילו ספקים הוא יוצא. זה החלק שבו בדרך כלל מתגלים פערים, למשל כלי אנליטיקה או גיבוי שאף אחד לא זכר.
3. אוספים את המסמכים שקיימים: מדיניות, נוהל אבטחה, מסמך הגדרות המאגר, דוח מבדק חדירות, הסכמי עיבוד מול ספקים. מה שלא קיים מסומן ככזה.
4. מחליטים על כל פער: לתקן לפני שמגישים, לסמן כ״בתהליך, יושלם עד תאריך״, או להציע חלופה. לא מסמנים ״כן״ על משהו שעדיין אינו נכון.
5. מנסחים תשובות מדויקות וקצרות, באחריות של מי שמכיר את המערכות, ועוברים עליהן משפטית לפני ההגשה.

מה לא לעשות

• לא להעתיק תשובות משאלון קודם בלי לבדוק שהן עדיין נכונות.
• לא לענות ״כן״ על שאלה כללית כמו ״האם אתם עומדים בכל דרישות הדין״ בלי הסתייגות או הפניה למסמכים.
• לא להתחייב לזמני הודעה על אירוע שאינכם יכולים לעמוד בהם בפועל.
• לא לשלוח ללקוח מסמכים פנימיים רגישים, כמו דוח מבדק חדירות מלא, בלי הסכם סודיות ובלי לשקול גרסה מקוצרת.
• לא להשאיר את השאלון רק לאיש ה־IT או רק למשפטן. צריך את שניהם.

נספח עיבוד מידע: על מה לשים לב

לעיתים קרובות השאלון מגיע יחד עם נספח עיבוד מידע. הסעיפים שכדאי לבדוק בו: מה בדיוק מוגדר כמידע של הלקוח, אילו תת־ספקים מאושרים ואיך מאשרים חדשים, באיזה פרק זמן חייבים להודיע ללקוח על אירוע, מי נושא בעלויות החקירה וההודעה, האם יש זכות ביקורת אצלכם ובאיזו תדירות, מה קורה למידע בסיום ההתקשרות, ותקרת האחריות, כולל חריגים לדליפת מידע.

אפשר וכדאי לנהל משא ומתן על הנספח. לקוחות גדולים מקבלים בדרך כלל תיקונים סבירים כשהם מנומקים ומציעים חלופה, למשל חובת הודעה ״ללא דיחוי״ במקום מספר שעות שאינו מעשי.

איך הופכים את זה ליתרון?

ספק שעונה מהר, במדויק ועם מסמכים, מקצר את תהליך הרכש ומעורר אמון. לכן כדאי לבנות ״חבילת מוכנות״ אחת: מיפוי זרימות מידע, מדיניות ונהלים עדכניים, תיאור תמציתי של אמצעי האבטחה, רשימת תת־ספקים, ותשובות מאושרות לשאלות החוזרות. עם חבילה כזו, השאלון הבא הוא עבודה של ימים.

זה גם מה שיבקשו בדיקת נאותות לפני גיוס ופיקוח של הרשות. ראו בדיקת עמידה בתיקון 13 ומה המשקיע יבדוק בבדיקת הנאותות.

כמה זמן זה לוקח?

בפעם הראשונה, תלוי בכמה מערכות וספקים יש. אנחנו בודקים את המערכות יחד עם אנשי ה־IT שלכם ועובדים עם כלי AI משלנו כדי לקצר את מיפוי התשובות והמסמכים, ולכן אפשר בדרך כלל לעמוד בלוח הזמנים של הלקוח. המחיר קבוע, מוסכם מראש בהסכם שכר טרחה. הייעוץ המשפטי ניתן על ידי עו״ד שמעון צור.