הסכם מיקור חוץ IT: אבטחת מידע, בעלות על הקוד, הפרה וסיום

עמוד השירות: עורך דין חוזים מסחריים: ניסוח, בדיקה ואכיפה.

מיקור חוץ IT הוא העברה של משימות טכנולוגיות לספק חיצוני: פיתוח תוכנה, תפעול מערכות, אחסון, אבטחה או תמיכה. המדריך מסביר אילו הוראות חוק חלות על הסכם כזה, ומה כדאי לקבוע בו כדי שלא תצטרכו להשלים את החסר בבית המשפט. כשההסכם הוא בעיקר שירות בענן בתשלום תקופתי, ראו גם הסכמי SaaS: מה לבדוק לפני שחותמים.

יש חוק מיוחד לחוזי מיקור חוץ IT?

לא. תוכנו של חוזה יכול להיות ככל אשר הסכימו הצדדים (סעיף 24 לחוק החוזים (חלק כללי), התשל״ג-1973), והוא יכול להיעשות בעל פה, בכתב או בצורה אחרת, אלא אם צורה מסוימת היא תנאי לתוקפו לפי חוק או לפי הסכם בין הצדדים (סעיף 23). השאלות המעשיות, כמו רמת השירות, לוחות זמנים, מחיר ותנאי יציאה, נקבעות בחוזה. החוק נכנס בכמה נקודות:

• תום לב: במשא ומתן לקראת החוזה חייבים לנהוג בדרך מקובלת ובתום לב (סעיף 12(א)), וכך גם בקיום החוזה ובשימוש בזכות הנובעת ממנו (סעיף 39).
• פגם בעבודה: חוזה לעשיית מלאכה או למתן שירות בשכר, כשהקבלן אינו עובדו של המזמין, הוא חוזה קבלנות (סעיף 1 לחוק חוזה קבלנות, התשל״ד-1974), והסכם שבו ספק חיצוני מפתח או מתפעל מערכות בשכר עונה על ההגדרה. אם אין בחוזה הוראה אחרת, המזמין מודיע על פגם בזמן סביר ונותן הזדמנות נאותה לתקנו; לא תוקן בזמן סביר, הוא רשאי לתקנו ולדרוש הוצאות סבירות, או לנכות מהשכר את הסכום שבו פחת שווי השירות (סעיפים 3, 4 ו-8(א)).
• מידע אישי: כשהספק ניגש למאגר מידע, חלים חוק הגנת הפרטיות ותקנות אבטחת המידע.
• קניין רוחני: הבעלות בקוד שהספק מפתח נקבעת לפי חוק זכות יוצרים.
• הפרה: התרופות נקבעות בחוק החוזים (תרופות בשל הפרת חוזה), התשל״א-1970.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

הספק ניגש למידע אישי: מה תקנות אבטחת המידע מחייבות?

חוק הגנת הפרטיות, התשמ״א-1981 מגדיר ״מחזיק״ במאגר מידע כגורם חיצוני לבעל השליטה במאגר, שמעבד בעבורו מידע, ו״עיבוד״ כולל, בין השאר, אחסון, עיון ומתן גישה (סעיף 3). ספק שמאחסן בעבור הלקוח מידע אישי של לקוחות או עובדים, או ניגש אליו כדי לתחזק מערכת, עשוי לענות על ההגדרה. בעל השליטה במאגר והמחזיק, כל אחד מהם אחראי לאבטחת המידע שבמאגר (סעיף 17(א)).

תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, עוסקת במיקור חוץ. בעל מאגר שמתקשר עם גורם חיצוני לקבלת שירות הכרוך במתן גישה למאגר המידע:

1. בוחן, לפני ההתקשרות, את סיכוני אבטחת המידע הכרוכים בה (תקנה 15(א)(1));
2. קובע במפורש בהסכם, בשים לב לסיכונים: את המידע שהספק רשאי לעבד ואת מטרות השימוש המותרות; את מערכות המאגר שהוא רשאי לגשת אליהן; את סוג העיבוד המותר; את משך ההתקשרות, את אופן השבת המידע בסיומה, את השמדתו אצל הספק ואת הדיווח על כך; את אופן יישום חובות אבטחת המידע; את חובת הספק להחתים את בעלי ההרשאות שלו על התחייבות לסודיות ולשימוש במידע רק לפי ההסכם; כשהספק רשאי לתת את השירות באמצעות גורם נוסף, את חובתו לכלול בהסכם עמו את כל הנושאים האלה; ואת חובת הספק לדווח לפחות פעם בשנה על ביצוע חובותיו, ולהודיע על אירוע אבטחה (תקנה 15(א)(2)(א)–(ח));
3. מפרט גם בנוהל האבטחה של המאגר את הנושאים שבפסקאות משנה (א) עד (ה), ומפנה בו במפורש להסכם ולנוהל האבטחה של הספק (תקנה 15(א)(3));
4. נוקט אמצעי בקרה ופיקוח על עמידת הספק בהסכם ובתקנות, בהיקף הנדרש בשים לב לסיכונים (תקנה 15(א)(4)).

שלוש הערות. ראשית, התקנה אינה חלה על התקשרות של בעל מאגר עם יחיד (תקנה 15(ג)), ואינה נמנית עם התקנות שחלות על ״מאגר המנוהל בידי יחיד״ כהגדרתו בתקנה 1 (תקנה 21(4)). שנית, ארגון שיש לו כמה מאגרים באותה רמת אבטחה רשאי לקיים את חובת ההסכם בהסכם אחד (תקנה 15(ב)). שלישית, התקנות הותקנו ב-2017 ומשתמשות במונח ״בעל מאגר״, והחוק בנוסחו היום מדבר על ״בעל שליטה במאגר מידע״ (סעיף 3).

ועוד חובה שחלה על אנשי הספק עצמם: מי שהגיע אליו מידע אישי בתוקף תפקידו כעובד, כמנהל או כמחזיק של מאגר מידע לא יגלה אותו, אלא לצורך ביצוע עבודתו, לביצוע החוק או על פי צו בית משפט בקשר להליך משפטי (סעיף 16). ספק שפועל מחוץ לישראל מעלה גם שאלה של העברת מידע אל מחוץ לגבולות המדינה: ראו העברת מידע לחו״ל: חובות ומגבלות. על החובות אחרי דליפה ראו דלף מידע לקוחות מהחברה: מה החוק מחייב, ומה החשיפה בפועל.

מי הבעלים של הקוד שהספק פיתח בשבילכם?

תוכנת מחשב היא ״יצירה ספרותית״ לעניין חוק זכות יוצרים, התשס״ח-2007 (סעיף 1). שלושה כללים קובעים מי הבעלים הראשון:

• היוצר של יצירה הוא הבעלים הראשון של זכות היוצרים בה (סעיף 33(1));
• מעביד הוא הבעלים הראשון ביצירה שעובדו יצר לצורך עבודתו ובמהלכה, אלא אם הוסכם אחרת (סעיף 34);
• ביצירה שנוצרה לפי הזמנה, הבעלים הראשון הוא היוצר, אלא אם הוסכם אחרת בין המזמין והיוצר, במפורש או במשתמע (סעיף 35(א)).

המשמעות: חוק זכות יוצרים אינו מעביר למזמין את הבעלות בקוד רק משום ששילם על הפיתוח. מי שרוצה בעלות צריך לקבוע אותה. זכות יוצרים ניתנת להעברה בחוזה, ובעל הזכות רשאי לתת לגביה רישיון ייחודי או רישיון שאינו ייחודי (סעיף 37(א)); אפשר להעביר את הזכות או לתת רישיון לגבי כולה או חלקה, ולהגביל אותם למקום, לתקופה או לפעולה מסוימת (סעיף 37(ב)); וחוזה להעברת זכות יוצרים או למתן רישיון ייחודי לגביה טעון מסמך בכתב (סעיף 37(ג)). ליוצר של תוכנת מחשב אין זכות מוסרית לפי החוק (סעיף 45(א)).

בהסכם עצמו כדאי להבחין בין קוד שהספק מפתח במיוחד בשבילכם לבין רכיבים שהיו לו קודם או שהוא משתמש בהם אצל לקוחות אחרים, ולקבוע לגבי כל אחד מהם בעלות או רישיון, מסירת קוד המקור והתיעוד, ושימוש ברכיבי קוד פתוח. ראו גם קוד פתוח: היבטים משפטיים ודרישות עמידה בחוק.

הספק לא עומד בהתחייבויות: אילו תרופות יש בחוק?

כשחוזה מופר, הנפגע זכאי לתבוע את אכיפתו או לבטל אותו, וזכאי לפיצויים נוסף על אחת מהן או במקומן (סעיף 2 לחוק החוזים (תרופות)). כמה כללים שחשובים במיוחד בהסכמי IT:

• אכיפה: הנפגע זכאי לאכיפת החוזה, אלא אם, בין השאר, האכיפה היא כפייה לעשות או לקבל עבודה אישית או שירות אישי, ביצוע הצו דורש מידה בלתי סבירה של פיקוח, או שהאכיפה בלתי צודקת בנסיבות העניין (סעיף 3).
• ביטול: בהפרה יסודית הנפגע זכאי לבטל את החוזה (סעיף 7(א)). ״הפרה יסודית״ היא הפרה שאדם סביר לא היה מתקשר בחוזה אילו ראה אותה ואת תוצאותיה מראש, או הפרה שהוסכם בחוזה שתיחשב יסודית; ותניה גורפת שהופכת הפרות להפרות יסודיות ללא הבחנה ביניהן אין לה תוקף, אלא אם הייתה סבירה בעת כריתת החוזה (סעיף 6). בהפרה שאינה יסודית, מבטלים אחרי שנותנים למפר ארכה לקיום והחוזה לא קוים בזמן סביר לאחריה, אלא אם הביטול בלתי צודק בנסיבות העניין (סעיף 7(ב)). כשהחוזה ניתן להפרדה לחלקים והופר אחד מחלקיו, מבטלים רק את החלק שהופר, אלא אם הייתה בהפרה גם הפרה יסודית של החוזה כולו (סעיף 7(ג)). הביטול נעשה בהודעה למפר תוך זמן סביר (סעיף 8).
• פיצויים: בעד הנזק שהמפר ראה או שהיה עליו לראות מראש, בעת כריתת החוזה, כתוצאה מסתברת של ההפרה (סעיף 10). אין פיצוי בעד נזק שהנפגע יכול היה למנוע או להקטין באמצעים סבירים (סעיף 14(א)).
• פיצוי מוסכם: פיצויים שהצדדים הסכימו עליהם מראש משולמים בלי הוכחת נזק, אבל בית המשפט רשאי להפחית אותם אם נקבעו ללא כל יחס סביר לנזק שניתן היה לראותו מראש (סעיף 15(א)). ההסכמה עליהם אינה גורעת, כשלעצמה, מהזכות לתבוע במקומם פיצויים לפי סעיפים 10 עד 14 (סעיף 15(ב)).

זיכויים לפי SLA, למשל על זמינות נמוכה, הם הסדר חוזי. לכן כדאי לקבוע במפורש אם הם התרופה היחידה לאי-עמידה ברמת השירות או תרופה נוספת, ואיך הם מתיישבים עם הגבלת האחריות. ראו סעיפי פיצוי מוסכם: תוקף ואכיפה והגבלת אחריות בחוזה: מה עובד, מה לא — ואיך לא לטעות.

ההסכם מסתיים: מה קורה למידע ולקוד?

כשהספק ניגש למאגר מידע אישי, ההסכם חייב לקבוע את משך ההתקשרות, את אופן השבת המידע לבעלים בסיומה, את השמדתו מרשות הספק ואת הדיווח על כך (תקנה 15(א)(2)(ד)). התקנה אינה קובעת פורמט, לוחות זמנים או חובה למסור קוד מקור, ולכן אלה נקבעים בחוזה: מה נמסר בסיום (נתונים, קוד מקור, תיעוד, הרשאות), באיזה פורמט ותוך כמה זמן, ומה חובת שיתוף הפעולה עם ספק חלופי.

בוטל החוזה בשל הפרה, המפר משיב לנפגע מה שקיבל על פי החוזה, והנפגע משיב למפר מה שקיבל, או שכל אחד משלם את השווי כשההשבה בלתי אפשרית או בלתי סבירה, או כשהנפגע בחר בכך (סעיף 9(א) לחוק החוזים (תרופות)). סיום בהודעה, בלי הפרה, נעשה לפי מה שנקבע בחוזה, ובדרך מקובלת ובתום לב (סעיף 39 לחוק החוזים (חלק כללי)). על ביטול חוזה בכלל ראו ביטול חוזה: מתי מותר, כיצד עושים זאת נכון.

מה קובע החוק, נושא אחר נושא?

מה לבדוק לפני שחותמים?

בחוזה שנכרת או חודש אחרי תחילתו של תיקון מס׳ 3 לחוק החוזים (חלק כללי), שפורסם ב-7.1.2026, חל נוסח חדש של סעיף 25(א) (סעיף 2 לחוק התיקון). הצדדים רשאים להסכים על אופן הפרשנות של החוזה ועל הראיות שיהיו קבילות לפירושו (סעיף 25(א)(1)); חוזה עסקי שלא נקבעו בו הוראות לעניין אופן הפרשנות מתפרש לפי לשונו בלבד, אלא אם מהלשון לבדה נובעת תוצאה שאינה מתקבלת על הדעת או סתירה בין הוראותיו (סעיף 25(א)(2)); חוזה אחיד, אף אם הוסכם בו אחרת, מתפרש לפי אומד דעתם של הצדדים (סעיף 25(א)(4)); וצדדים שלא היו מיוצגים על ידי עורך דין לעניין עריכת החוזה נחשבים כמי שלא הסכימו על אופן הפרשנות (סעיף 25(א)(5)(א)). חוזה הניתן לפירושים שונים, כשלאחד הצדדים הייתה עדיפות בעיצוב תנאיו, פירוש נגדו עדיף על פירוש לטובתו (סעיף 25(ב1)), ולהסכמה שנוגדת את הכלל הזה אין תוקף (סעיף 25(א)(5)(ב)). ראו פרשנות חוזים: הכללים שבית המשפט מפעיל.

רשימת בדיקה:

• הגדרת השירות, מדדי SLA, אופן המדידה והדיווח, ומה קורה כשהיעד לא מושג.
• כשיש גישה למידע אישי: כל הנושאים שבתקנה 15(א)(2), וזכות ביקורת שמאפשרת לקיים את תקנה 15(א)(4).
• בעלות ורישיון בקוד, במסמך בכתב (סעיף 37(ג) לחוק זכות יוצרים), ומסירת קוד מקור ותיעוד.
• אילו הפרות ייחשבו יסודיות, ברשימה ממוקדת ולא בתניה גורפת (סעיף 6 לחוק החוזים (תרופות)).
• פיצוי מוסכם ביחס סביר לנזק הצפוי (סעיף 15(א)), והיחס שלו לזיכויי SLA ולהגבלת האחריות.
• קבלני משנה: אם מותרים ובאילו תנאים, ובמידע אישי גם תקנה 15(א)(2)(ז).
• סיום ויציאה: הודעה מוקדמת, תקופת מעבר, השבת נתונים, השמדה ודיווח.
• ספק בחו״ל: הדין החל ומקום השיפוט או הבוררות. ראו חוזים בינלאומיים: דין חל, סמכות שיפוט, CISG ומה שחייב להיות כתוב ובוררות מסחרית: הליך, יתרונות וחסרונות.

על בדיקה וניסוח של הסכמים מול ספקים ראו את עמוד חוזים מסחריים.

רוצים לבדוק את המקרה שלכם? תאמו שיחה ראשונה לבחינת המקרה.

שאלות נפוצות

הספק שלנו ניגש למאגר הלקוחות. מה חייב להיות כתוב בהסכם?

כשתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע) חלה, ההסכם כולל, בין השאר (תקנה 15(א)(2)): המידע שהספק רשאי לעבד ומטרות השימוש; המערכות שהוא רשאי לגשת אליהן; סוג העיבוד; משך ההתקשרות, השבת המידע והשמדתו בסיום; אופן יישום חובות האבטחה; החתמת בעלי ההרשאות שלו על סודיות; תנאים לגורם נוסף; ודיווח שנתי והודעה על אירוע אבטחה. לפני ההתקשרות בוחנים את הסיכונים (תקנה 15(א)(1)). התקנה אינה חלה על התקשרות עם יחיד (תקנה 15(ג)).

שילמנו על פיתוח התוכנה. היא שלנו?

לא בהכרח. ביצירה שנוצרה לפי הזמנה, הבעלים הראשון של זכות היוצרים הוא היוצר, אלא אם הוסכם אחרת בין המזמין והיוצר, במפורש או במשתמע (סעיף 35(א) לחוק זכות יוצרים), ותוכנת מחשב היא יצירה ספרותית (סעיף 1). חוזה להעברת זכות יוצרים או למתן רישיון ייחודי לגביה טעון מסמך בכתב (סעיף 37(ג)).

הספק לא עומד ב-SLA. אפשר לבטל את החוזה?

תלוי אם ההפרה יסודית. בהפרה יסודית הנפגע זכאי לבטל (סעיף 7(א) לחוק החוזים (תרופות)), ובהפרה שאינה יסודית רק אחרי ארכה לקיום שלא קוימה בזמן סביר, אלא אם הביטול בלתי צודק (סעיף 7(ב)). הפרה יסודית היא, בין השאר, הפרה שהוסכם בחוזה שתיחשב יסודית (סעיף 6). הביטול נעשה בהודעה למפר תוך זמן סביר (סעיף 8).

סעיף פיצוי מוסכם על איחור או על השבתה תקף?

פיצויים מוסכמים משולמים בלי הוכחת נזק, אבל בית המשפט רשאי להפחית אותם אם נקבעו ללא כל יחס סביר לנזק שניתן היה לראותו מראש בעת כריתת החוזה כתוצאה מסתברת של ההפרה (סעיף 15(א) לחוק החוזים (תרופות)). ההסכמה עליהם אינה גורעת, כשלעצמה, מהזכות לתבוע במקומם פיצויים לפי הנזק (סעיף 15(ב)).

הספק רוצה להיעזר בקבלן משנה. מה עם המידע האישי?

אם בעל המאגר התיר לספק לתת את השירות באמצעות גורם נוסף, הספק חייב לכלול בהסכם עם הגורם הנוסף את כל הנושאים שתקנה 15 מפרטת (תקנה 15(א)(2)(ז) לתקנות הגנת הפרטיות (אבטחת מידע)). בהסכם עם הספק כדאי לקבוע אם מותר להיעזר בקבלני משנה, ובאילו תנאים.