מדיניות פרטיות לחנות בגדים עם אתר מפותח עצמאית - אחריות מלאה, הגנה מלאה
עודכן ב-30 בינואר 2025
כשחנות הבגדים שלך רצה על אתר שפיתחת (או שפיתחו עבורך) עצמאית, אין פלטפורמה מסחרית שתשא איתך בנטל הציות - האחריות המשפטית על כל שכבת תשתית, ספק אחסון, שער תשלום וכלי שיווק נופלת עליך ישירות. מידות גוף, כתובות משלוח והיסטוריית רכישות שאתה אוסף מהלקוחות מהוות מידע אישי לפי חוק הגנת הפרטיות, ומחייבות מסמכי פרטיות ואבטחה שנכתבו ספציפית לסביבת ה-stack שלך. מסמך גנרי שהורדת מהאינטרנט לא ישקף את ספקי ה-hosting, כלי ה-analytics, ושערי הסליקה שבהם אתה משתמש בפועל - ויחשוף אותך לעיצומים מהותיים.
רקע: מה זה תיקון 13?
האתגרים הנפוצים
- ספקי שירות מרובים ואחריות בלתי מחולקת: בניגוד לפלטפורמות מסחריות, אתר מפותח עצמאית עשוי לשלב ספק אחסון, CDN, שער סליקה, מערכת CRM ושירות דיוור - כל אחד מהם מקבל גישה למידע אישי של לקוחות, ואתה, כבעל האתר, אחראי משפטית לוודא שכל ספק כזה חתם על הסכם מיקור חוץ מתאים לפי תקנות אבטחת מידע.
- מידות גוף ורגישות מידע: חנות בגדים שאוספת מידות (חזה, מותן, מפשעה) לצורך התאמת גזרה או לוח מידות אישי צועדת בשטח אפור - מידע זה עשוי להיחשב רגיש בהקשר של גוף וזהות אישית, ומחייב שקיפות מלאה בהסכמת הלקוח ובמדיניות הפרטיות, כולל תכלית השימוש, תקופת השמירה ומי רשאי לגשת לנתונים.
- היסטוריית רכישות וצבירת פרופיל צרכני: אתר מפותח עצמאית נוטה לאגור היסטוריית רכישות, העדפות סגנון ונתוני גלישה בבסיס נתונים שאתה מנהל ישירות - ללא הגבלות פנימיות שפלטפורמה מסחרית מטילה. צבירת פרופיל צרכני מפורט ללא הסכמה מפורשת ומדיניות שמירה ברורה היא הפרה ישירה של חוק הגנת הפרטיות ועלולה להוביל לעיצום כספי ותביעות אזרחיות.
שאלות נפוצות
האם מדיניות פרטיות גנרית שמצאתי ברשת מספיקה לאתר שלי?
לא. מדיניות פרטיות תקפה חייבת לשקף את הספקים, הכלים ומאגרי המידע שהאתר שלך משתמש בהם בפועל. אם המדיניות שלך לא מזכירה את ספק האחסון, שער הסליקה או מערכת הדיוור שלך - היא אינה מדויקת ואינה עומדת בדרישות סעיף 11 לחוק הגנת הפרטיות בנוגע לחובת יידוע.
חנות הבגדים שלי אוספת מידות גוף לצורך לוח מידות אישי - האם זה מצריך טיפול מיוחד?
כן. אפילו אם מידות גוף אינן רשומות רשמית כ'מידע בעל רגישות מיוחדת' לפי סעיף 7 לחוק, הן מידע אישי מובהק שמחייב הסכמה מפורשת, הסבר ברור על מטרת השימוש ותקופת שמירה מוגדרת. לקוח שמסר את מידותיו זכאי לעיין בהן ולבקש את מחיקתן, ואתה חייב לאפשר זאת תוך 30 יום.
אני משתמש בשער תשלום חיצוני (כגון Stripe, Payplus, Tranzila) - האם אני צריך הסכם כתוב איתם?
בהחלט. כל ספק שמקבל גישה למידע אישי של לקוחות שלך - כולל שערי סליקה - מוגדר כ'מחזיק מידע במיקור חוץ' לפי תקנה 15 לתקנות אבטחת מידע. אתה חייב לוודא שיש ביניכם הסכם מיקור חוץ בכתב, ושספק השירות עומד ברמת האבטחה הנדרשת עבור מאגר הנתונים שלך.
כיצד אני מנהל רשימת לקוחות לצורך ניוזלטר או מבצעים - מה מותר?
משלוח דיוור שיווקי ללקוחות מחייב הסכמה מפורשת ומראש לפי סעיף 30א לחוק התקשורת. ההסכמה צריכה להיות מסומנת אקטיבית (לא checkbox מסומן מראש), ובכל הודעה חייב להיות מנגנון הסרה פשוט. שמירת כתובות אימייל ללא הסכמה, או המשך שליחה לאחר בקשת הסרה, היא הפרה שעלולה להוביל לעיצום כספי.
מה קורה אם מישהו פרץ לבסיס הנתונים שלי וגנב פרטי לקוחות?
אם מאגר המידע שלך מסווג ברמת אבטחה בינונית או גבוהה, אתה חייב לדווח לרשות להגנת הפרטיות באופן מיידי מרגע שגילית את האירוע, לפי תקנה 11 לתקנות אבטחת מידע. בנוסף, חובה לדווח לנושאי המידע שנפגעו. אתר מפותח עצמאית ללא בדיקות אבטחה שוטפות נמצא בסיכון גבוה יותר לאירועי אבטחה - ולכן חיוני להגדיר נהלי תגובה מראש.