תיק לקוח דיגיטלי: מבנה שמאפשר למצוא מסמך בלי לתת לכולם גישה לכל דבר

תיק לקוח דיגיטלי אינו תיקייה על שם הלקוח שכל הקבצים נזרקים אליה. הוא אוסף של מחלקות מסמכים, שלכל אחת מהן מטא-דאטה משלה, קהל קוראים משלה ומחזור חיים משלה. ברגע שהצעות, חוזים, צילומי מסמכי זהות והתכתבות גבייה יושבים באותה רמה, אי אפשר לצמצם גישה בלי לחסום עבודה.

תיק לקוח הוא אוסף מחלקות, לא תיקייה אחת

מחלקה היא סוג מסמך שמתנהג אחרת מכל השאר בשלוש בחינות: מי צריך לקרוא אותו, אילו שדות מתארים אותו, ומתי הוא מפסיק להיות רלוונטי. עסק שירות טיפוסי מחזיק שש עד שמונה מחלקות, לא יותר:

השורה השלישית היא זו שמחייבת התייחסות נפרדת. מסמכי זיהוי נאספים לצורך נקודתי - פתיחת חשבון, אימות מוטב תשלום - ובדרך כלל אין שום סיבה שהם יישארו נגישים לכל מי שעובד עם הלקוח אחר כך. מיפוי כללי של איפה יושב מידע אישי בעסק מתואר במפת מידע אישי לעסק קטן.

למה שם הקובץ הוא המזהה החלש ביותר בתיק?

כי הוא הדבר היחיד בתיק שכל אחד יכול לשנות, ואף אחד לא מתחייב לפורמט שלו. הצעה סופית סופי 2 (1).pdf הוא לא מזהה, וגם 2026-04-12_כהן_הצעה.pdf נשבר ברגע שמישהו מוריד ומעלה מחדש.

המבנה שעובד מחזיק את הזהות במטא-דאטה ואת הקובץ כתוכן בלבד:

• client_id - מזהה מספרי, לא שם. שם משתנה, מזהה לא.
• class - אחת מהמחלקות שהוגדרו מראש, מרשימה סגורה.
• doc_type - סוג בתוך המחלקה: contract, receipt, spec.
• version - מספר עולה. גרסה חדשה לא דורסת קודמת.
• state - טיוטה, פעיל, מוחלף, סגור, בארכיון.
• source - מייל, העלאה ידנית, סריקה, חתימה דיגיטלית.
• uploaded_by ו-uploaded_at - מי הביא את זה לכאן ומתי.
• linked_job - מזהה עבודה, כשקיים.

שם הקובץ נשאר לנוחות בלבד. החיפוש רץ על השדות, ולכן "כל החוזים החתומים של לקוחות פעילים ברבעון האחרון" הוא שאילתה, ולא בקשה למישהו לחפור בתיקיות.

מי אמור לפתוח מסמך, ואיך מחליטים את זה?

הרשאה בתיק לקוח מורכבת משני מנגנונים נפרדים שרבים מאחדים בטעות לאחד:

• תפקיד קובע אילו מחלקות מסמכים המשתמש רשאי לראות בעיקרון. איש גבייה רואה מחלקה כספית וגבייה; מעצב רואה מחלקה תפעולית.
• קשר קובע על אילו לקוחות. שיוך לפרויקט פעיל, בעלות על כרטיס הלקוח, או שיבוץ מפורש.

הגישה בפועל היא החיתוך של השניים. תפקיד בלי קשר נותן למעצב אחד לפתוח את התיק של כל לקוח בחברה; קשר בלי תפקיד נותן לכל מי שמשובץ לפרויקט לראות גם את מסמכי הזיהוי. שני מנגנוני עזר משלימים את התמונה:

• הרשאה זמנית עם תאריך תפוגה, לספק חיצוני או לעובד מחליף. ללא תאריך תפוגה היא הופכת לקבועה תוך שבועיים.
• גישה חריגה מתועדת - מנהל שפותח מסמך שהוא לא משובץ אליו, עם רישום של מי, מתי ומה נפתח. זה עדיף על חסימה מלאה שאנשים עוקפים דרך הורדה למחשב אישי.

איך נראה מחזור חיים של מסמך בתוך מערכת?

כמכונת מצבים שבה לכל מעבר יש טריגר מוגדר, ולא כתאריך שמישהו זוכר:

המצב האחרון קיים כדי שמחיקה לא תהיה אירוע שקט. מחיקה מוציאה את התוכן, ומשאירה רשומה שאומרת שמסמך מסוג מסוים היה קיים ונמחק בתאריך מסוים על ידי מי. בלי הרשומה הזו אי אפשר להסביר לעולם למה תיק מסוים נראה חסר. הצד הפיננסי של אותה שאלה, כולל שמירת מסמכים חשבונאיים, מתואר בארכיון דיגיטלי לשמירת מסמכי הנהלת חשבונות.

הבדיקה התקופתית שמצמצמת חשיפה

• משתמשים עם גישה רוחבית שאינה נובעת מתפקידם.
• הרשאות זמניות שעברו את תאריך התפוגה שלהן.
• לקוחות כפולים, שכל עותק שלהם נושא הרשאות אחרות.
• מסמכי זיהוי שנשמרו אחרי שהצורך שלשמו נאספו הסתיים.
• קבצים שיושבים מחוץ למחלקה מוגדרת, כלומר ללא כללי גישה.
• חשבונות של עובדים שעזבו ועדיין משויכים לפרויקטים.
• שיתופי קישור חיצוניים ללא תפוגה.

הרשימה הזו היא דוח, לא משימה ידנית. אם היא לא רצה אוטומטית פעם ברבעון, היא לא תרוץ. השלכות ניהול מידע אישי בגיליונות אלקטרוניים נדונות בהרחבה במידע אישי בגיליון לקוחות אחרי תיקון 13.

מה נשבר בפועל

• הורדה למחשב אישי. ההרשאה במערכת מדויקת, והעותק שיושב בשולחן העבודה של עובד לשעבר לא.
• קישור שיתוף פתוח. נוצר לפגישה אחת, נשאר חי שנתיים, ולא מופיע בשום דוח הרשאות.
• תיקייה על שם הלקוח. לקוח שמשנה שם מייצר תיקייה שנייה, ומאותו רגע חצי מהמסמכים לא נמצאים בחיפוש.
• סריקה בלי מחלקה. מסמך שנקלט בלי class נופל מחוץ לכל כלל גישה ומחוץ לכל כלל מחיקה.
• גרסה שדורסת. קובץ חוזה שהועלה מחדש באותו שם מוחק את מה שהיה, וכעבור חודשיים אין דרך לדעת מה נחתם.
• הרשאה שהוענקה לאדם. עובד מתחלף, ההרשאה נשארת אישית, והתפקיד החדש לא מקבל גישה עד שמישהו נזכר.

מקורות

• הרשות להגנת הפרטיות