למה טופס ליד רגיל הוא כבר "איסוף נתונים אישיים"
טופס שמבקש שם, טלפון או כתובת מייל - אפילו טופס פשוט של "השאירו פרטים ונחזור אליכם" - הוא איסוף נתונים אישיים לכל דבר ועניין, בין אם קראתם למסמך שמסביר את זה "מדיניות פרטיות" ובין אם לא. ברגע שהפרטים האלה נשמרים במערכת CRM כמו GoHighLevel, מוזרמים לאוטומציה של תזכורות ופולואפים, ואולי גם מסונכרנים לפייסבוק או לגוגל לצורך פרסום ממוקד - נפתחת שרשרת של חובות משפטיות שרוב בעלי העסקים לא חושבים עליה בכלל בשלב בניית הטופס.
מה GDPR דורש בפועל - ולמה המיקום שלכם לא ממש משנה
GDPR (התקנה האירופית להגנת מידע) חל על כל עסק שמעבד נתונים אישיים של תושבי האיחוד האירופי, ללא קשר למיקום הרישום של העסק עצמו. לא משנה אם החברה שלכם רשומה בחולון או בתל אביב - אם מבקר מגרמניה ממלא את הטופס שלכם, GDPR חל. ברמת הטופס עצמו, החוק דורש הסכמה מפורשת ומדעת (opt-in פעיל, לא תיבה מסומנת מראש), בסיס חוקי ברור לאיסוף, ואפשרות ממשית ללקוח לבקש מחיקה או עותק של הנתונים שלו. אם אתם משתמשים ב-GoHighLevel לאחסון ולעיבוד הנתונים, GHL הוא "מעבד משנה" (sub-processor) ולא "בעל הנתונים" - האחריות המשפטית כלפי הלקוח נשארת אצלכם, לא אצל הפלטפורמה.
מה CCPA/CPRA דורש - ולמי מהעסקים הקטנים זה בכלל נוגע
CCPA (חוק הפרטיות של צרכני קליפורניה) עובד אחרת לגמרי - הוא לא חל על כל עסק שמקבל טופס מתושב קליפורניה, אלא רק על עסקים שעוברים אחד משלושה ספים: מחזור שנתי מעל כ-26.6 מיליון דולר (הסכום מתעדכן כל שנתיים לפי מדד המחירים לצרכן), עיבוד נתונים של 100,000 תושבי קליפורניה או יותר בשנה, או מעל 50% מההכנסה השנתית ממכירת מידע אישי (מקור: cppa.ca.gov). רוב העסקים הקטנים והבינוניים שאנחנו עובדים איתם ב-May I פשוט לא עוברים את הסף הזה - אלא אם מריצים קמפיין לידים בהיקף ארצי בארה"ב שאוסף פרטים של עשרות אלפי אנשים. אם כן עברתם את הסף (החוק נכנס לתוקף ב-1 בינואר 2020, מקור: oag.ca.gov), נדרשת הודעה ברורה בזמן איסוף המידע, אפשרות אמיתית ל"אי מכירה או שיתוף" של הנתונים, וזכות מחיקה שאפשר לממש בפועל - לא רק להצהיר עליה בעמוד פרטיות שאף אחד לא קורא.
עוגיות והסכמה - למה זה לא רק עניין של UX
שימו לב שגם מודל ההסכמה לעוגיות שבו אנחנו משתמשים בבלוג הזה עצמו - ברירת מחדל "נדחה" לכל קטגוריות המעקב דרך Google Consent Mode, עדכון להיתר רק אחרי אישור מפורש מהמשתמש, ורק אז טעינת Meta Pixel ו-GA4 - הוא לא קישוט טכני, אלא בדיוק המנגנון ש-GDPR ורגולציית ה-ePrivacy האירופית דורשים: בלי הסכמה מוקדמת, אסור לטעון סקריפט מעקב שמשתמש בעוגיות שאינן הכרחיות לתפקוד האתר. אותו עיקרון חל בדיוק על כל טופס ליד שבונים ב-GoHighLevel: תיבת הסימון להסכמה צריכה להיות נפרדת מכפתור השליחה, ולא מסומנת מראש.
רשימת בדיקות מעשית לטופס ליד ואוטומציה ב-GoHighLevel
- תיבת ההסכמה ריקה כברירת מחדל, ונפרדת מהכפתור "שליחה".
- קישור למדיניות פרטיות מופיע ליד הטופס עצמו - לא רק בפוטר.
- קיים הסכם עיבוד נתונים (DPA) חתום מול GoHighLevel - החברה מפרסמת הסכם סטנדרטי שניתן לחתום עליו.
- מוגדר תהליך ברור, גם אם ידני, למחיקת רשומת ליד לפי בקשה - כולל מרשימות תפוצה ואינטגרציות מקושרות, לא רק מהדשבורד הראשי.
- אם הליד מסונכרן ל-Facebook Lead Ads או ל-Google Ads לצורך רימרקטינג, נבדק שגם שם ההסכמה תואמת למה שהמשתמש אישר בפועל.
מה לא צריך להגזים בו
עסק בוטיק שמריץ טופס ליד אחד ומעקב אחד ב-GHL לא צריך ממונה הגנת מידע (DPO) פנימי, לא צריך פופ-אפ עוגיות ענק שחוסם את כל האתר, ולא צריך מסמך פרטיות בן 20 עמודים שאף לקוח לא באמת יקרא. מה שכן נדרש הוא התאמה בין היקף הנתונים שנאספים בפועל לבין המנגנון שמגן עליהם - טופס שמבקש שם וטלפון לא צריך את אותה תשתית משפטית כמו מערכת שמעבדת נתוני בריאות. הפרופורציה הזו היא בדיוק החלק שהכי מתעלמים ממנו בשיחות על ציות.
לא בטוחים אם הטופס שלכם תואם?
אנחנו בונים טפסי לידים ואוטומציה ב-GoHighLevel שמוגדרים נכון מהיום הראשון - הסכמה, מחיקה ותיעוד, לא רק עיצוב.
מתחילים מכאן