מדיניות פרטיות לחנות אונליין על אתר מפותח עצמאית - כשאין פלטפורמה שתגן עליך, המסמך חייב להיות מושלם

לא. מדיניות פרטיות תקנית לפי החוק הישראלי חייבת לפרט את הספקים הספציפיים שנוגעים בנתונים - שרת האחסון, שער הסליקה, מערכת הניוזלטר ועוד. מסמך גנרי שלא מזהה את הגורמים האלה לא עומד בדרישות תקנה 15 לתקנות האבטחה ולא ייחשב לגילוי נאות מספיק בפני הרשות להגנת הפרטיות.

אם המאגר שלך מסווג ברמת אבטחה בינונית או גבוהה, חלה עליך חובת דיווח מיידית לרשות ולנושא המידע לפי תקנה 11 לתקנות האבטחה. הדיווח צריך להגיע באופן מיידי מרגע שנודע לך על האירוע. בלי נוהל מוכן מראש, אתה עלול לפספס את החלון הזה ולחשוף את עצמך לעיצום נוסף על אי-דיווח בזמן.

כן. גם כשהסליקה עצמה מבוצעת על ידי ספק חיצוני, אתה כבעל המאגר נשאר אחראי על ניהול ההתקשרות מולו. תקנה 15 מחייבת שתהיה הסכמה כתובה עם הספק שמגדירה את חובות האבטחה שלו, את איסור השימוש במידע למטרות נוספות, ואת חובת ההשבה או המחיקה בתום ההתקשרות.

לפי פקודת מס הכנסה וחוק מע"מ, חשבוניות ורשומות עסקיות חייבות להישמר 7 שנים. עם זאת, מנקודת מבט של הגנת פרטיות, עליך להגדיר מדיניות מחיקה ברורה לנתונים שאינם נדרשים עוד לאחר תקופה זו, ולתעד אותה במסמך מבנה המאגר.

דיוור שיווקי בדואר אלקטרוני מחייב הסכמה מפורשת לפי סעיף 30א לחוק התקשורת (בזק ושידורים). בנוסף, חובת היידוע לפי סעיף 11 לחוק הגנת הפרטיות מחייבת לציין כבר בטופס ההרשמה או הצ'קאאוט שהמייל ישמש גם לדיוור. אם לא עשית זאת - ההסכמה שיש לך לא כשרה לצורך שיווקי.