טיפול בטוח בנתוני לקוחות: רשימת בדיקה לבונים בישראל

טיפול בטוח בנתוני לקוחות מסתכם בחמש שאלות שנענות לפני שמחברים משהו: מה נאסף, לאן זה הולך, מי יכול לראות, כמה זמן שומרים, ומה קורה אם זה דולף. בישראל, מידע אישי מכוסה בחוק הגנת הפרטיות ובתקנות אבטחת המידע, והרשות להגנת הפרטיות מפרסמת הנחיות שבונים צריכים לקרוא. רשימת הבדיקה הזו היא עריכתית, לא ייעוץ משפטי; היא קיימת כדי שאוטומציה ראשונה לא תהפוך בשקט לבעיית פרטיות לעסק קטן שסמך עליכם.

למה זה חשוב באוטומציה קטנה?

כי האוטומציה נוגעת בדיוק בנתונים המוסדרים: שמות, מספרי טלפון, רמזים רפואיים בהודעות של מרפאה, פרטי תשלום בתהליך חשבוניות. בוט מענה ללידים מעבד מידע אישי בכל ריצה. בעל העסק אחראי עליו ובדרך כלל לא יודע מה האוטומציה עושה איתו. אתם כן, אז הבחירות הן שלכם לעשות היטב.

שאלה 1: מה נאסף?

מפו את השדות שהאוטומציה נוגעת בהם. ואז הסירו כל שדה שהמשימה לא צריכה. תזכורת צריכה שם פרטי, מספר טלפון וזמן תור; היא לא צריכה את סיבת הביקור. צמצום הוא הבקרה הזולה ביותר שיש.

שאלה 2: לאן זה הולך?

רשמו כל מערכת שהנתונים עוברים דרכה: ספק הטפסים, כלי התהליכים, ספק מודל ה-AI, ספק ההודעות, כל גיליון. לכל אחת, ציינו את החברה ואיפה היא מאחסנת נתונים. שליחת טקסט למודל AI היא שליחת נתונים למעבד; בדקו את תנאי השימוש בנתונים של הספק והעדיפו הגדרות שמחריגות את הקלטים שלכם מאימון. העדיפו ספקים עם תנאי עיבוד נתונים ברורים, וספרו ללקוח במילים פשוטות אילו ספקים מעורבים.

שאלה 3: מי יכול לראות?

בלי כניסות משותפות. לכל אדם עם גישה יש חשבון משלו ורק את הגישה שהוא צריך. הגישה שלכם צריכה להיות ניתנת להסרה בצעד אחד כשהפרויקט נגמר; שימו את זה במסירה. גם לוגים הם נתונים: תהליך שמתעד הודעות מלאות העתיק את הנתונים למקום אחר.

שאלה 4: כמה זמן שומרים?

קבעו שמירה בכוונה: היסטוריית ריצות בכלי התהליכים, עותקים בגיליונות, תמלולים בלוגים. מחקו מה שהמשימה כבר לא צריכה. "לנצח" היא החלטה, ובדרך כלל הלא נכונה.

שאלה 5: ואם זה דולף?

סכמו מראש מי מודיע למי, וכמה מהר, אם הרשאות דולפות או הודעה נשלחת לאדם הלא נכון. התקנות קובעות חובות לעסק; התפקיד שלכם הוא לוודא שבעל העסק יכול לפעול במסגרתן, כלומר הוא צריך לדעת תוך שעות, לא שבועות.

יסודות ספציפיים לישראל

התייחסו לטבלה כמפה של מה לקרוא, לא ככללים עצמם; הם משתנים ועורך דין צריך לאשר כל דבר שחשוב.

הסיכונים הייחודיים ל-AI

רשימת OWASP ליישומי LLM מציינת את אלה שפוגעים באוטומציות: הזרקת פרומפט דרך הודעות לקוחות, דליפת נתונים משיחה אחת לאחרת, והרשאות כלים רחבות מדי. הגנות מעשיות: לעולם אל תתנו לטקסט של לקוח לשנות את ההוראות של האוטומציה, שמרו על הקשר נפרד לכל ריצה, ותנו למודל רק את הפעולות שהמשימה צריכה, כשאדם מאשר כל דבר בלתי הפיך.

למי זה מתאים ולמי לא

מתאים: לכל בונה לפני הפרויקט הראשון עם נתוני לקוחות, ובמיוחד למי שעובד עם מרפאות, פיננסים או משאבי אנוש. לא מתאים: כתחליף לייעוץ משפטי על מאגר רגיש; השתמשו בו כדי לשאול את השאלות הנכונות, ואז שאלו עורך דין.

מה לעשות השבוע

העבירו את הפרויקט הנוכחי שלכם בחמש השאלות וכתבו את התשובות בעמוד אחד. תנו אותו ללקוח. אם תשובה כלשהי היא "לא יודע", זו המשימה שלפני הפיצ'ר הבא.