1. מטרות

מדיניות פרטיות זו נועדה להוות מסגרת מחייבת לפעולות הכרוכות באיסוף ושימוש במידע אישי לצורך ניהול עסקיה של הקבוצה, ולשמש כלי להטמעת החובות החלות על הקבוצה מכוח חוקי הגנת הפרטיות.

2. הגדרות

“חוקי הגנת הפרטיות” – חוק הגנת הפרטיות, התשמ”א-1981, התקנות שהותקנו ויותקנו מכוחו והנחיות הרשות להגנת הפרטיות כפי שתהיינה מעת לעת.

“מידע אישי” – כל מידע פרטי על אדם המזהה אותו באופן אישי, לרבות מידע כלכלי, מידע על היסטוריית רכישות, מידע על שכר, מידע על ניסיון תעסוקתי, מידע המתעד מיקום גיאוגרפי, מידע בריאותי או נפשי, מידע ביומטרי או גנטי, תמונות המאפשרות זיהוי פנים, מידע על אמונות ועל דעות פוליטיות, מידע על אישיותו של אדם, מידע על נטייה מינית, וכל מידע רגיש אחר על צנעת חייו של אדם.

“נושא מידע” – לצורך מדיניות זו, משמעו האדם שהמידע האישי נוגע אליו.

3. היקף תחולה ונוהל שינויים

מדיניות פרטיות זו חלה על פלתורס סוכנויות ביטוח בע”מ, ועל החברות הבנות שלה פלתורס ברמן סוכנויות לביטוח בע”מ ופלתורס יהלומים סוכנות לביטוח כללי וימי בע”מ. כל שינוי במדיניות פרטיות זו מחייב את אישור ממונה הגנת הפרטיות בכתב, ופרסום המדיניות המתוקנת לכלל הגורמים הרלוונטיים בקבוצה. בפרסום מדיניות זו אין הקבוצה נוטלת על עצמה כל אחריות או התחייבות בקשר עם פעולות שבוצעו טרם פרסומה, ועל פעולות אלה יחולו הוראות חוקי הגנת הפרטיות ונהלי הקבוצה כפי שהיו במועד ביצוען.

4. עקרונות לאיסוף ושימוש במידע

הקבוצה תאסוף ותשתמש במידע אישי בהתאם לעקרונות הבאים:

4.1. הסכמה מדעת

הקבוצה תאסוף מידע אישי ותשתמש בו רק לאחר שהתקבלה לכך הסכמה מדעת מנושאי המידע. כתבי ההסכמה אותם יתבקשו נושאי המידע לאשר ינוסחו בשפה ברורה ונהירה ככל הניתן, על מנת שיביאו לידי ביטוי הסכמה חופשית, מודעת ומיודעת לפעולות האיסוף והשימוש שהקבוצה מבקשת לעשות במידע האישי.
ככל שההסכמה ניתנת במקביל להסכמות נוספות, יתבקש נושא המידע לסמן באופן ברור ונפרד שהוא מסכים לאיסוף המידע ולשימוש בו. לדוגמה, ככל שהסכמת נושאי המידע מתקבלת באמצעים דיגיטליים, יתבקשו נושאי המידע לסמן בתיבה ייעודית, שאינה מסומנת מראש, כי הם מסכימים לאיסוף המידע וכי הם קראו את מדיניות הפרטיות המתאימה (opt-in). ככל שהסכמת נושאי המידע מתקבלת באמצעים פיסיים, יובהר לנושאי המידע במקום בולט וברור כי הם נותנים את הסכמתם לאיסוף ולשימוש במידע, תוך הפניה למדיניות הפרטיות המתאימה.
הקבוצה תתעד את קבלת ההסכמות לאיסוף ולשימוש במידע אישי באופן מרוכז וניתן לאחזור.

4.2. שקיפות

במועד קבלת הסכמת נושאי המידע לאיסוף ולשימוש במידע האישי, יימסר להם מידע מספק בדבר מטרות האיסוף ואופן השימוש במידע, על מנת שיוכלו לשקול את הסכמתם. הודעה כאמור על דרכי השימוש במידע תתבסס על מדיניות זו ותכלול לכל הפחות את הפרטים הבאים: (א) העובדה שאין לנושא המידע חובה חוקית למסור את המידע; (ב) המטרה שלשמה מתבקש המידע והאופן שבו ייעשה בו שימוש; (ג) הצדדים השלישיים שלהם יימסר המידע ולאלו מטרות; (ד) המדינות אליהן יועבר המידע; ו-(ה) זכותו של נושא המידע לעיין, לתקן ולמחוק את המידע שנשמר עליו, ודרכי ההתקשרות העומדות לרשותו לצרכים אלה.

4.3. צמידות מטרה

הקבוצה תשתמש במידע אישי שנאסף ונשמר אצלה אך ורק לצורך המטרות שלשמן נמסר על ידי נושאי המידע ובהתאם למדיניות השימוש במידע החלה על סוג מידע זה. ככל שהקבוצה תידרש לשימושים אחרים מאלו שנושאי המידע הסכימו להם, תפנה הקבוצה לנושאי המידע כדי לקבל את הסכמתם.

4.4. פרטיות מתוכננת (privacy by design)

בעת תכנון והטמעת תהליך עסקי או טכנולוגי חדש הכרוך באיסוף מידע אישי או בשימוש בו, תביא הקבוצה בחשבון, בין יתר שיקוליה, את הצורך בתכנון פרטיות מובנה באותו תהליך. לדוגמה, הקבוצה תשקול לאסוף מלכתחילה רק את סוגי המידע הנדרשים לצורך התהליך העסקי, או לאסוף את המידע מלכתחילה באופן שלא מאפשר את זיהוי נושאי המידע.
לצורך כך, כל גורם בקבוצה האחראי להטמעת תהליך עסקי או טכנולוגי חדש הכרוך באיסוף או שימוש במידע אישי, ייוועץ בממונה הגנת הפרטיות טרם הטמעתו.

4.5. סודיות המידע

הקבוצה מחויבת לשמור בסודיות כל מידע אישי שנאסף על ידיה. לצורך כך, כל אחד מעובדי הקבוצה שתינתן לו גישה למידע אישי שנשמר בקבוצה יהיה מחויב בחובת סודיות בקשר לשימוש במידע האישי, ויחתום על הסכם סודיות מתאים. חובת הסודיות של העובד יכולה להתקיים על בסיס הסכם הסודיות הכללי עליו הוא חתום במסגרת הסכם העסקתו או על בסיס הסכם סודיות ייעודי, והכל בהתאם להנחיות ממונה הגנת הפרטיות.

4.6. אבטחת מידע

הקבוצה מחויבת לשמור את המידע האישי שנשמר על ידיה באופן מאובטח בהתאם לחוקי הגנת הפרטיות ולעקרונות אבטחת המידע המוטמעים בקבוצה. הקבוצה תחיל על המידע האישי שנשמר אצלה את מדיניות אבטחת המידע של הקבוצה ואת נהלי אבטחת המידע שנקבעו מכוחה. ממונה הגנת הפרטיות ישתף פעולה עם מחלקת אבטחת המידע בקבוצה כדי לוודא שאמצעי אבטחת המידע בקבוצה יחולו באופן מספק גם על המידע האישי שנשמר בקבוצה.

4.7. ביעור המידע

עם מיצוי או מילוי הצורך בשמירת המידע האישי, או עם קבלת בקשתו של נושא מידע למחיקת המידע האישי שנשמר עליו, תפעל הקבוצה למחיקת וביעור המידע האישי האמור מכל אמצעי דיגיטלי או פיסי שנמצא ברשותה, למעט ככל ששמירת מידע כאמור נדרשת לצרכי גיבוי, תיעוד לצרכים משפטיים וצרכים חיוניים אחרים של הקבוצה או לפי כל דין. בכל ביעור של מידע אישי, יאשר ממונה הגנת הפרטיות כי תהליך הביעור הושלם לאחר בדיקה עם כל הגורמים הרלוונטיים בקבוצה.

5. דרכי איסוף ושימוש במידע

5.1. איסוף מידע על לקוחות

5.1.1. הסכמה לאיסוף המידע

לא ייאסף מידע אישי על לקוחות הקבוצה ולא ייעשה בו שימוש בטרם התקבלה הסכמת הלקוחות לכך בהתאם לעקרונות מדיניות זו. ככלל, הסכמת הלקוחות לאיסוף ולשימוש במידע אישי תתבצע באחת מהדרכים הבאות:

א. באופן מקוון – ככל שההסכמה תתקבל באופן מקוון, יתבקשו הלקוחות לסמן בתיבה ייעודית, שאינה מסומנת מראש, כי הם מסכימים לאיסוף המידע וכי הם קראו את מדיניות הפרטיות הפומבית (opt-in). הסכמת הלקוחות תתועד באופן דיגיטלי ותישמר לצורך בקרה.

ב. בכתב – ככל שהסכמת הלקוחות מתקבלת באמצעות טפסי הסכמה כתובים, יובהר לנושאי המידע במקום בולט וברור כי הם נותנים את הסכמתם לאיסוף ולשימוש במידע, תוך הפניה למדיניות הפרטיות הפומבית.

ג. בטלפון – ככל שהסכמת הלקוחות מתקבלת באמצעות הטלפון, יובהר לנושאי המידע במהלך השיחה כי הם יכולים לעיין במדיניות הפרטיות הפומבית של הקבוצה, והם יישאלו האם הם מסכימים לאיסוף המידע על בסיסה. ככל שהשיחה מוקלטת, תתועד ההסכמה כחלק מהקלטת השיחה. ככל שהשיחה אינה מוקלטת, יתעד נציג הקבוצה את ההסכמה באופן דיגיטלי במהלך השיחה תוך ציון תאריך, שעה ושם הנציג.

5.1.2. מדיניות פרטיות פומבית

איסוף מידע אישי על לקוחות יעשה על בסיס מדיניות הפרטיות הפומבית של הקבוצה, כפי שתהיה מפעם לפעם.
בכל פנייה ללקוחות לצורך איסוף ושימוש במידע אישי, יופנו הלקוחות באופן ברור ובולט, כחלק מקבלת ההסכמה לאיסוף כאמור, למדיניות הפרטיות הפומבית של הקבוצה.

5.2. איסוף מידע על עובדים

הסכמה לאיסוף המידע: במהלך קליטת עובד חדש בקבוצה, יקבל העובד בטרם חתימתו על הסכם ההעסקה העתקים של מדיניות השימוש הכללית במידע על עובדים ומדיניות מדיניות השימוש במצלמות מעקב. העובד יצהיר בחתימתו שקרא את כתבי המדיניות בטרם יתחיל את עבודתו בקבוצה. כתבי המדיניות הנ”ל יהיו זמינים לצפייה בכל עת בפורטל החברה. הסכם ההעסקה של הקבוצה יכלול סעיף הסכמה לאיסוף ולשימוש במידע אישי.

5.2.1. מדיניות שימוש כללית במידע על עובדים

הקבוצה אוספת מידע אישי על עובדיה למטרות שונות. איסוף המידע והשימוש בו ייעשה בהתאם למדיניות איסוף המידע על עובדים המצורפת למדיניות זו כנספח א’.

5.2.2. מדיניות שימוש במצלמות מעקב

החברה משתמשת במצלמות מעקב במקום העבודה. שימוש החברה במצלמות מעקב ייעשה בהתאם למדיניות השימוש במצלמות מעקב המצורפת למדיניות זו כנספח ב’.

5.3. איסוף מידע על ספקים

5.3.1. הסכמה לאיסוף המידע

איסוף המידע עבור המאגר מתבצע ישירות באמצעות פניית ספקים, מילוי טפסי פתיחת ספק, התקשרות בחוזים והזמנות עבודה. איסוף המידע מתבצע על בסיס הסכמת הספקים בטופס פתיחת תיק ספק ומדיניות הפרטיות של הקבוצה.

5.3.2. מדיניות שימוש במידע על ספקים

א. המידע שנאסף
המידע שנאסף עבור המאגר כולל שם הספק, פרטי קשר, ניסיון מקצועי ומידע כלכלי אודות נכסים, חובות ופרטי חשבון בנק.

ב. מטרות איסוף המידע
איסוף המידע נעשה לצורך ניהול שכר, מתן שירותים ללקוח.

ג. משך שמירת המידע
השמירה תעשה ככל שהדבר נדרש לעמידה במטרות הקבוצה שלשמן המידע נאסף ולצורכי ארכיב וגיבוי, ככל שהדבר נדרש לפי כל דין, לצורכי ביקרות מס ודוחות כספיים, ולצורך ניהול הליכים משפטיים או התגוננות מפניהם והכל לתקופה שלא תעלה על שבע (7) שנים לאחר סיום השימוש במידע האישי של הספק.

6. מאגרי מידע

בקבוצה קיימים מאגרי מידע בהם יישמר המידע האישי הרלוונטי. לכל מאגר מידע יהיה מנהל מאגר מידע אשר יהיה אחראי על ניהול המאגר והטמעת הוראות מדיניות זו ביחס למידע האישי שנשמר בו (“מנהל המאגר“). מנהל המאגר יפעל לרישום מאגר המידע בפנקס מאגרי המידע בהתאם לחוקי הגנת הפרטיות.

7. זכויות נושאי המידע

7.1. זכות עיון וגישה למידע

הקבוצה תאפשר לכל נושא מידע שמידע אישי אודותיו נשמר בקבוצה, לבקש לעיין במידע זה. ככלל, הקבוצה תאפשר לעיין במידע באמצעים הדומים ככל האפשר לאמצעים שבאמצעותם נאסף המידע. למשל, ככל שהמידע נאסף באופן מקוון, תאפשר הקבוצה, ככל הניתן, לנושא המידע לעיין במידע באופן מקוון. אפשרות זו תובא לידיעת נושא המידע במועד קבלת ההסכמה לאיסוף המידע האישי והשימוש בו, וכן ככל שנושא המידע יפנה לקבוצה בבקשה מתאימה.
כל בקשה לעיון במידע אישי המצריכה התערבות אנושית מטעם הקבוצה תועבר לממונה הגנת הפרטיות, אשר ידון בבקשה. ממונה הגנת הפרטיות ישיב לגורם בקבוצה שהעביר את הבקשה תוך ציון הדרכים בהן יש לאפשר לנושא המידע לעיין במידע האישי, והחלטה זו תועבר לנושא המידע בתוך 30 יום ממועד הבקשה.

7.2. זכות לתיקון ומחיקת המידע

הקבוצה תאפשר לכל נושא מידע שמידע אישי עליו נשמר בקבוצה לבקש לתקן או למחוק את המידע. אפשרות זו תובא לידיעת נושא המידע במועד קבלת ההסכמה לאיסוף המידע האישי והשימוש בו, וכן ככל שנושא המידע יפנה לקבוצה בבקשה מתאימה.
כל בקשה לתיקון או למחיקת מידע אישי תועבר לממונה הגנת הפרטיות, אשר ידון בבקשה ויחליט אם לקבלה או לדחותה. ממונה הגנת הפרטיות ישיב לגורם בקבוצה שהעביר את הבקשה תוך ציון החלטתו והנימוקים לה, וההחלטה תועבר לאחר מכן לנושא המידע לא יאוחר מ-30 יום ממועד קבלת הבקשה בקבוצה. בהחלטתו ינחה הממונה על הגנת הפרטיות את הגורמים המתאימים בקבוצה האם יש לשמור עותק מהמידע לצרכים המותרים לפי כתב המדיניות החל על סוג המידע שבגינו הוגשה הבקשה.

8. העברת מידע לצדדים שלישיים

8.1. הסכמה להעברת המידע

העברה של מידע אישי או מתן גישה למידע אישי הנשמר בקבוצה לצדדים שלישיים, תיעשה בהתאם להסכמה שנושאי המידע נתנו לכך. ככלל, כתבי ההסכמה השונים של הקבוצה יכללו גם הסכמה להעברת המידע האישי לצדדים שלישיים, לרבות במקרה של עסקאות למכירת נכסים או למכירת מניות, המחייבות העברה מידע כאמור או הכרוכות מטיבן בחשיפתו בפני צדדים שלישיים.

8.2. העברת מידע מחוץ לישראל

בנוסף להסכמה לפי סעיף ‎8.1, העברה של מידע אישי או מתן גישה למידע אישי הנשמר בקבוצה לצדדים שלישיים מחוץ לישראל, תיעשה רק ככל שמתקיים לפחות אחד מהתנאים הבאים:

א. המידע מועבר למדינה באיחוד האירופי;

ב. המידע מועבר למדינה שהאיחוד האירופי מאפשר להעביר אליה מידע, ובאותם תנאים (למשל, ארה”ב תחת הסדר Privacy Shield, או מדינות שזכו להחלטת נאותות של הנציבות האירופי);

ג. קיים הסכם עם מקבל המידע לפיו הוא מתחייב להחיל על עצמו את חוקי הגנת הפרטיות;

ד. התקבלה הסכמה מפורשת מנושא המידע להעברה המסוימת ולמדינה המסוימת אליה הועבר המידע; או

ה. המידע מועבר לחברת בת של הקבוצה ונקבעו מנגנונים מתאימים להגנה על המידע בקבוצה הבת.

העברת המידע כאמור תתבצע על בסיס הסכם הכולל הוראות כמפורט בסעיף ‎8.3 להלן, לרבות התחייבות של מקבל המידע שלא להעבירו לכל צד שלישי.

8.3. סעיפי פרטיות ואבטחת מידע בהסכמים

בכל התקשרות עם צדדים שלישיים במסגרתה מועבר מידע אישי מהקבוצה לצד שלישי או מתקבל מידע אישי מצד שלישי, יכלול הסכם ההתקשרות הוראות מתאימות העוסקות בהגנת פרטיות ובאבטחת מידע של המידע האישי כדלקמן:

א. מידע אישי המועבר לצדדים שלישיים – בכל התקשרות בה מועבר מידע אישי לצדדים שלישיים, יכלול הסכם ההתקשרות הוראות לעניין שמירת הפרטיות ואבטחת מידע וכן נספח אבטחת מידע מתאים.

ב. מידע אישי המתקבל מצדדים שלישיים – בכל התקשרות בה מתקבל מידע אישי מצדדים שלישיים, יכלול הסכם ההתקשרות, ככל האפשר, סעיפים והצהרות המבהירים שמוסר המידע קיבל את ההסכמות הנדרשות לאיסוף המידע, שיש בידיו את האישורים המתאימים לצורך העברת המידע לקבוצה ולצורך השימוש שהקבוצה עתידה לעשות בו, וכי הוא מקיים את הוראות חוקי הגנת הפרטיות, לרבות רישום מאגר מידע ככל שהדבר נדרש לפי כל דין.

בטרם השלמת ההתקשרות, יבחן האחראי להתקשרות בקבוצה, בתיאום עם ממונה הגנת הפרטיות ועם מחלקת אבטחת המידע, את היבטי אבטחת המידע הקשורים בהתקשרות בהתאם לנהוג בחברה.

9. בעלי תפקידים ותחומי אחריות

9.1. הנהלת הקבוצה אחראית להבטחת קיומה של מדיניות פרטיות זו ולאיסוף ולשימוש במידע אישי במסגרת עסקיה.

9.2. הגורם האחראי מטעם הנהלת הקבוצה לשמירה על פרטיות בקבוצה הי גב’ דניאלה נועם. באחריותה לבחון מעת לעת את התאמת המדיניות לחוקי הגנת הפרטיות, ולהמליץ להנהלת הקבוצה לעדכנה בהתאם לצורך. באחריותה לאכוף מדיניות פרטיות זו, ולה סמכויות הפיקוח והבירור בקשר לטענות להפרת המדיניות. יש לעדכן אותה בכל סוגיה המעוררת או שיש חשש שתעורר פגיעה בפרטיות.

9.3. לכל מאגר מידע בקבוצה ימונה מנהל מאגר מידע. מנהלי מאגרי המידע יהיו אחראים ליישום הוראות מדיניות זו על מאגרי המידע שבאחריותם. מנהלי מאגרי המידע ידווחו לגב’ דניאלה נועם בכל סוגיה המערבת אפשרות לפגיעה בפרטיות או לאי-התאמה בין ניהול מאגר המידע לבין מדיניות זו.

9.4. מנהלי התהליכים העסקיים בקבוצה ידווחו בכל הנוגע לפעילויות המחייבות איסוף ו/או שימוש במידע אישי. מנהלי התהליכים העסקיים יסייעו למנהלי מאגרי המידע ליישם את הוראות מדיניות זו על פעילות האיסוף ו/או השימוש במידע אישי הנדרש לצורך התהליך העסקי עליו הם אחראים. מנהלי התהליכים העסקיים ידווחו בכל סוגיה המערבת אפשרות לפגיעה בפרטיות.

10. רשימת נספחים

נספח א’ – מדיניות איסוף מידע על עובדים
נספח ב’ – מדיניות שימוש במצלמות מעקב