שירותים
חוזים וספקים
אנו מנסחים ובודקים את ההסכמים שקובעים מה קורה למידע אישי שעובר ביניכם לבין לקוחות וספקים: הסכמי עיבוד מידע, בדיקת ספקים לפני שהם מקבלים גישה למידע, והעברת מידע אל מחוץ לישראל. כך תוכלו לענות לשאלון של לקוח ולעבוד עם ספקים, בלי פער בין ההסכם למציאות.
מתי זה בדרך כלל עולה
הצורך בהסכמים מתגלה בדרך כלל באחד מחמשת הרגעים האלה.
| # | האירוע | מה נשבר |
|---|---|---|
| 1 | לקוח שולח שאלון אבטחה ופרטיות | אין מסמכים מוכנים, והתשובות נכתבות בחיפזון |
| 2 | לקוח אירופי | נספח GDPR, מיפוי, והשאלה אם נדרש לכם נציג באיחוד |
| 3 | גוף מפוקח מעדכן את נספח אבטחת המידע שלו | מה בדיוק התחייבתם, ומה קורה כשהדרישות מתהדקות |
| 4 | ספק חדש מבקש גישה למידע | מה הוא יראה, היכן המידע יישמר, ומה כתוב בהסכם לפני שמתחילים |
| 5 | מערכת בענן מחוץ לישראל | על סמך מה מותר להעביר אליה את המידע, והיכן זה מתועד |
מה נבדק
בבדיקה עוברים על ארבעה נושאים, מההסכמים מול הלקוחות שלכם ועד הספקים שלכם.
הסכמי העיבוד מול המציאות
האם הסכמי העיבוד מול הלקוחות שלכם מגלמים את מה שאתם באמת עושים.הספקים שלכם
הסכמי העיבוד מול הספקים שמחזיקים מידע עבורכם, ובחינת הסיכונים שתקנות אבטחת מידע דורשות לפני ההתקשרות.העברה אל מחוץ לישראל
היכן המידע מאוחסן ומעובד בפועל, ועל איזה בסיס מותר להעביר אותו.ביקורות הלקוח
מה תצטרכו להציג כשלקוח או גוף מפוקח יבקש לבדוק אתכם.
התוצרים
בסוף העבודה תקבלו הסכמים ומסמכים שאפשר לחתום עליהם ולעבוד לפיהם.
| תוצר | מה זה כולל |
|---|---|
| הסכמי עיבוד מידע | ניסוח והתאמה של DPA מול לקוחות ומול ספקים, בעברית ובאנגלית, כולל התאמה לדרישות לקוח אירופי. |
| נספח לספקים | נספח סודיות ואבטחה לספקים שלכם, עם כל מה שתקנות אבטחת מידע מחייבות לכלול בהסכם. |
| מרשם ספקים | לכל ספק: איזה מידע הוא מקבל, היכן המידע יושב, אילו תנאי עיבוד חלים עליו, ומתי הוא נבדק שוב. |
| העברה לחו״ל | הבסיס לכל העברה אל מחוץ לישראל, ההתחייבות בכתב של מקבל המידע, ורישום ההעברה במסמך הגדרות המאגר. |
איך זה מתנהל
העבודה מתנהלת בחמישה שלבים, וההיקף נקבע בכתב לפני שמתחילים.
- שיחת התאמה
- בירור ראשוני של הצורך, היקף העבודה וסדר העדיפויות.
- מכתב היקף
- תוצרים, לוח זמנים ותנאי ההתקשרות, בכתב, לפני תחילת העבודה.
- איסוף
- שאלון ומסמכים, ולאחריהם שתיים עד שלוש שיחות עם הגורמים הרלוונטיים אצלכם.
- מסירה
- התוצרים, ולאחריהם ישיבת מסירה על הפערים ועל סדר הטיפול בהם.
- המשך, אם תרצו
- ליווי שוטף או מילוי תפקיד הממונה.
- 1. שיחת התאמה
- 2. מכתב היקף
- 3. איסוף
- 4. מסירה
- 5. המשך
שאלות שנשאלות
האם כל ספק שיש לו גישה למידע שלנו צריך הסכם?
ככלל, כן. תקנות אבטחת מידע מחייבות לבחון את הסיכונים לפני ההתקשרות, ולחתום על הסכם שקובע, בין השאר, איזה מידע הספק מעבד ולאיזו מטרה, את התנאים להעסקת מעבדי משנה, דיווח על אירוע אבטחה, והשבת המידע בסיום. החובה חלה בכל רמות האבטחה, גם כשהספק רק ניגש למידע ואינו מאחסן אותו. התקשרות עם עצמאי יחיד אינה כפופה לה, אבל גם אותה כדאי להסדיר בחוזה.
האם תקן ISO 27001 של ספק הענן מספיק?
לא. התקן עוסק באבטחה. העברת מידע אל מחוץ לישראל צריכה בסיס משלה והתחייבות בכתב של מקבל המידע, וההעברה נרשמת במסמך הגדרות המאגר. ברוב המקרים ההעברה מותרת, ומה שחסר הוא התיעוד.