מפת עיבוד לפי מוצר
אירועים, משתמשים, מנהלי מערכת, תמיכה, חיוב, אנליטיקה ובינה מלאכותית, לפי המידע שנאסף והמטרה שלו.
אשכול מגזרי · WebLaw
ניהול פרטיות לחברות SaaS וסטארטאפים
המוצר, ספקי הענן והלקוחות משתנים מהר. לפני שאתם עונים על שאלון של לקוח גדול או מעלים פיצ׳ר חדש, אתם צריכים לדעת איזו מערכת מחזיקה איזה מידע, באיזה תפקיד ולאן הוא עובר.
תרחיש: לקוח גדול מבקש תשובות, והפיתוח מוסיף ספק חדש
הצוות ממפה את זרימת המידע, מזהה אם החברה היא בעלת שליטה, מחזיקה או בתפקיד אחר בכל פעילות, בודק את ההסכם עם הספק ואת ההעברה מחוץ לישראל, ומחליט אם השינוי מצדיק בדיקת סיכונים.
מה קובע את החובות של חברת SaaS
מה שקובע את החובות הוא הפעילות בפועל, ולא השיוך לתחום.
- תחולת GDPR וחובת מינוי ממונה הגנת פרטיות (DPO) נגזרות מהפעילות בפועל, ולא מעצם היותכם חברת SaaS או סטארטאפ.
- מה שקובע: השווקים שאליהם אתם פונים, היכן נמצאים האנשים, היקף העיבוד, סוגי המידע ותפקיד החברה בכל פעילות.
- שאלון לקוח, דרישת מכרז ויעד ביקורת קובעים מה תצטרכו להראות ללקוח. הדין שחל עליכם נקבע בחוק, בנפרד מהם.
מה בודקים בתהליך
שרשרת ספקים והעברות
אירוח, ניטור, תמיכה, דיוור ותשלומים: מיקום, תפקיד, סוגי מידע ומנגנון ההעברה הרלוונטי.
הסכמי עיבוד מידע (DPA)
מיפוי הדרישות והכנת טיוטת הסכם מותאמת לתור האישור. ההסכם נבנה לפי השירות והתפקידים, ונשאר טיוטה עד לחתימה.
שינוי במוצר
שאלון בדיקת סיכונים והערכה ראשונית לפני פיצ׳ר בעל סיכון, עם משימות להפחתת הסיכון. את ההכרעה המשפטית עושה עורך דין.
איך זה עובד בחברת מוצר
- 1ממפים את המוצר, הסביבות, סוגי המשתמשים וספקי המשנה במפת המידע (RoPA).
- 2מקשרים כל ספק למטרות, לסוגי המידע, להעברות ולסטטוס ההסכם.
- 3פותחים בדיקת סיכונים ראשונית לשינוי מהותי ומקצים פעולות להפחתת הסיכון.
- 4מרכזים ראיות ותשובות לשאלוני לקוח, כשכל תשובה מגובה ברשומה או במסמך שקיים במערכת.
מה נשאר לצוות בסוף
- מפת המידע (RoPA) לפי פעילויות המוצר והמערכות
- מפת ספקים והעברות מחוץ לישראל
- סטטוס הסכמי עיבוד מידע ותור טיוטות לאישור
- שאלון בדיקת סיכונים, הערכה ראשונית ומשימות
- חבילת ראיות לתשובות ללקוח, לפי מה שקיים בפועל
ספקים וסטטוס ההסכמים באותה סביבת עבודה
הצעד הבא בתוך האשכול
שאלות נפוצות
כל חברת SaaS כפופה ל-GDPR?
התחולה נקבעת לפי היכן נמצאים האנשים, למי מוצע השירות, מה תפקיד החברה בעיבוד ומה תנאי התחולה הרלוונטיים. עצם היותכם חברת SaaS אינו מחיל אותה.
המערכת מאשרת הסכם עיבוד מידע אוטומטית?
המערכת מחזיקה את המיפוי ואת הסטטוס ומכינה טיוטה לתור האישור. את האישור עושה עורך דין, ועל החתימה מולו חותם הספק.
מתי פותחים בדיקת סיכונים?
כששינוי במוצר עלול להגדיל סיכון: פיצ׳ר חדש, ספק חדש או שימוש חדש במידע. פותחים שאלון והערכה ראשונית, ואם חלה חובה משפטית, זו קביעה של עורך דין.
אפשר להראות את המסך כהוכחה לעמידה בתקן חיצוני?
המסך הוא ראיה תפעולית למיפוי ולסטטוס במערכת. אישור של תקן חיצוני ניתן בידי גוף מסמיך, בהליך נפרד.
מקורות רשמיים
- חוק הגנת הפרטיות במאגר החקיקה הלאומי
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017
- הנחיות הרשות בנושא מידע שהועבר מהאזור הכלכלי האירופי
- הכלי הדיגיטלי של הרשות לזיהוי סיכוני פרטיות
המידע בעמוד כללי. תחולה, תפקידים, חובת מינוי ומה עושים במקרה מסוים נקבעים לפי הפעילות בפועל, ואת הקביעה הזאת עושה עורך דין.