מדיניות פרטיות
בקצרה
- נועה היא מערכת ממוחשבת, מבוססת בינה מלאכותית, למידע והכוונה בתחום מימוש זכויות רפואיות. היא אינה עורכת דין, אינה נותנת ייעוץ משפטי או חוות דעת רפואית, ואינה קשורה למוסד לביטוח לאומי.
- כדי להמשיך לשוחח עם נועה אחרי שלוש ההודעות הראשונות, מאמתים מספר טלפון נייד בקוד SMS. לא צריך שם, מייל או סיסמה, ולא נפתח חשבון. מרגע האימות השיחה נשמרת במאגר שלנו, ומספר הטלפון נשמר מוצפן (פירוט). חשבון נפתח רק כשמשלמים על בדיקה.
- מה שתכתבו לנועה נשלח לעיבוד אצל Anthropic, ספק בינה מלאכותית בארצות הברית. איננו מצרפים לטקסט את השם או את מספר הטלפון שלכם, אבל הטקסט נשלח כפי שכתבתם אותו. זו אינה התממה — לכן אל תכתבו בשיחה פרטים מזהים שאינם נחוצים.
- מסמכים שתעלו, כולל מסמכים רפואיים, נשמרים בתיק שלכם כפי שהעליתם אותם, במאגר בגרמניה.
- לרשומות הפנייה ולתוכן השיחה בכניסה בטלפון, כמו לשאר המידע, עדיין לא הגדרנו תקופות שמירה, ואין מחיקה אוטומטית או כפתור מחיקה באתר. אפשר לבקש מאיתנו לעיין במידע, לתקן אותו או למחוק אותו.
- אין באתר פרסומות. בדף הבית בלבד, למבקרים שלא נכנסו לחשבון, פועלים כלים למדידת השימוש בדף, וביניהם פיקסל של Meta שמודד את הקמפיינים שלנו ברשתות של Meta (פירוט). ברגע שעוברים להרשמה, לשיחה עם נועה או לאזור האישי, המדידה נעצרת. איננו מוכרים מידע.
- בשלב הזה התשלום וסיכום המסמכים פועלים במצב הדגמה, והאתר אינו שולח מיילים ואינו מתאם שליח.
מי אנחנו ואיך פונים אלינו
בעל השליטה במאגר המידע של השירות, כמשמעותו בחוק הגנת הפרטיות, התשמ״א–1981, הוא מפעיל האתר www.aibituachleumi.com והשירות של נועה. דרכי הפנייה אליו:
- מייל לפניות
- contact@aibituachleumi.com
בכל שאלה, בקשה או תלונה בנושא פרטיות — כולל בקשה לעיין במידע, לתקן אותו או למחוק אותו — כתבו לנו לכתובת הזו. כדי שנוכל לזהות את החשבון, ציינו בפנייה את הדרך שבה נרשמתם (מספר טלפון או חשבון Google). ייתכן שנבקש לוודא שהפנייה הגיעה מבעל החשבון לפני שנמסור מידע או נשנה אותו.
על מה חלה המדיניות
המדיניות חלה על אתר הלקוחות www.aibituachleumi.com: דף הבית, דף המסלולים, ההרשמה והכניסה, השיחה עם נועה והאזור האישי. היא אינה חלה על אתרים של אחרים שאליהם יש קישור, למשל מסך הכניסה של Google, שחלים עליו התנאים של Google.
המדיניות מתארת את מה שהמערכת עושה בפועל היום. היא נכתבה לפי הקוד של המערכת ולא לפי תוכניות לעתיד. כשמשהו ישתנה — נעדכן אותה.
איזה מידע נאסף, למה, והאם חובה למסור אותו
לכל נקודה שבה נאסף מידע מפורטים כאן המטרה, אם החובה למסור אותו נובעת מהחוק או שהמסירה תלויה ברצונכם, ומה יקרה אם לא תמסרו. אף פרט אינו נדרש מכם על פי חוק. כל המסירה תלויה ברצונכם ובהסכמתכם, אבל בלי חלק מהפרטים לא נוכל לתת את השירות.
הרשמה וכניסה עם מספר טלפון
- מה נאסף
- מספר הטלפון הנייד, והקוד החד-פעמי שתקלידו.
- למה
- כדי לשלוח לכם קוד ב-SMS ולזהות אתכם בכניסה. ההודעה נשלחת דרך Micropay. איננו שולחים הודעות SMS מכל סוג אחר.
- איך נשמר
- במאגר אין מספר טלפון גלוי. נשמרים רק גיבוב של המספר עם מפתח סודי (HMAC) ומספר ממוסך: שתי הספרות הראשונות וארבע האחרונות. הקוד עצמו אינו נשמר: הוא תקף 5 דקות, והשרת מחזיק בזיכרון רק גיבוב שלו, שנמחק לכל המאוחר אחרי 24 שעות. חריג אחד: בכניסה לשיחה בטלפון, בלי חשבון, המספר נשמר גם מוצפן (ראו השיחה עם נועה בכניסה בטלפון).
- חובה או רשות
- רשות. בלי מספר טלפון אפשר להירשם עם Google. בלי אף אחד מהשניים — אי אפשר להירשם, ולכן גם לא לשוחח עם נועה.
השיחה עם נועה בכניסה בטלפון
כדי להמשיך לשוחח עם נועה אחרי שלוש ההודעות הראשונות, מזינים מספר טלפון נייד ומאמתים אותו בקוד SMS. לא צריך שם, מייל או סיסמה, ולא נפתח חשבון.
כל כניסה בטלפון יוצרת אצלנו רשומת פנייה חדשה, גם כשנכנסים שוב עם אותו מספר.
- מה נשמר ברשומת הפנייה
- מספר הטלפון, מוצפן (AES-256-GCM). מפתח ההצפנה נשמר בנפרד ממסד הנתונים.
- טביעה מגובבת של המספר (HMAC), כדי לחפש לפי מספר ולהגביל את מספר ההודעות לכל מספר.
- מועד הכניסה.
- מאיפה הגעתם: ערוץ, אמצעי, קמפיין ואתר מפנה, רק אם הם ברשימה שהגדרנו מראש. כל ערך אחר לא נשמר.
- שפת הדף וסוג המכשיר: נייד, טאבלט או מחשב.
- גרסת ההסכמה שאישרתם ומועד האישור.
- מה לא נשמר
- כתובת IP, פרטי דפדפן מפורטים ומילות החיפוש מהמודעה. כדי להגביל את מספר ההודעות, השרת מחזיק בזיכרון בלבד, עד יממה, מונה וטביעה מגובבת של כתובת הרשת.
- השיחה
- מרגע אימות הטלפון, ההודעות שלכם והתשובות של נועה נשמרות במאגר שלנו, בטבלה נפרדת שמקושרת לרשומת הפנייה של אותה כניסה.לפני השמירה, מספר תעודת זהות, מספר טלפון או כתובת מייל שמופיעים בטקסט מוחלפים ב-"[הוסר]". הודעה שנחסמה לפני שנשלחה לנועה לא נשמרת. שלוש ההודעות שנכתבו לפני האימות לא נשמרות במאגר. הטקסט עשוי לכלול מידע רפואי, ולכן מידע רגיש.
- מי רואה
- מנהלי המערכת רואים רשימת פניות: תאריך ושעה, מספר הטלפון המלא, ערוץ ההגעה וסוג המכשיר. זה כדי שיוכלו לחזור אליכם. החיפוש ברשימה הוא רק לפי מספר מלא.
- אף מסך במערכת לא מציג את תוכן השיחה, גם לא מסך של הצוות. לתוכן מגיעים רק בגישה ישירה למסד הנתונים, של מי שמתחזק את התשתית (ראו מי מקבל את המידע).
- עורכי הדין והמשרדים לא רואים פניות.
- ביומני השרתים לא נרשמים מספר הטלפון ותוכן השיחה.
- אין קשר במאגר בין רשומת פנייה לבין חשבון לקוח. מי שמשלם על בדיקה ממלא את פרטיו מחדש בקופה, וחשבון נפתח רק אחרי התשלום.
- איפה
- ב-Supabase, בפרנקפורט שבגרמניה. הגישה היא רק דרך שרת המאגר שלנו, כמו שאר המאגר.
- כמה זמן
- בשלב הזה לא הגדרנו תקופת שמירה לרשומות הפנייה ולתוכן השיחה, ואין מחיקה אוטומטית. אפשר לבקש מאיתנו לעיין במידע או למחוק אותו. (ראו שמירה ומחיקה).
- חובה או רשות
- רשות. בלי אימות הטלפון אפשר לכתוב לנועה עד שלוש הודעות.
הרשמה וכניסה עם Google
- מה נאסף
- מזהה החשבון שלכם ב-Google, השם שמופיע בחשבון, וכתובת המייל — רק אם Google אימת אותה. את תמונת הפרופיל איננו שומרים.
- למה
- לזיהוי בכניסה. אנחנו מבקשים מ-Google את ההרשאות הבסיסיות בלבד: זיהוי, מייל ופרופיל. אין לנו גישה למיילים, לאנשי הקשר או לקבצים שלכם.
- איך נשמר
- המזהה של Google נשמר כגיבוב (HMAC) ולא כפי שהוא. השם והמייל נשמרים בגלוי בחשבון.
- חובה או רשות
- רשות. אפשר להירשם במספר טלפון במקום.
ההסכמות שאתם נותנים
- מה נשמר
- בהרשמה נשמר שאישרתם את מדיניות הפרטיות ואת אופי השירות (מידע והכוונה, לא ייעוץ משפטי ולא חוות דעת רפואית), יחד עם מועד יצירת החשבון. בפתיחת תיק נרשם בתיק אירוע עם חותמת זמן: שאישרתם שמסך התשלום הוא הדגמה, ושהסכמתם לשמירת המסמכים ולשליחתם ל״מוח״.
- חובה או רשות
- בלי ההסכמות האלה אי אפשר להירשם באתר או לפתוח בו תיק. המערכת אוכפת זאת גם בשרת. לקוח שמשרד עורכי דין רשם במערכת שלו נכנס לאתר בלי לעבור את שלב ההסכמה הזה.
פרטים באזור האישי: שם, מייל ושינוי מספר טלפון
- מה נאסף
- שם פרטי ושם משפחה, וכתובת מייל — אם תבחרו להוסיף. בשינוי מספר טלפון נשלח קוד SMS למספר החדש. אפשר להוסיף גם כתובת: עיר, רחוב, מספר בית, דירה ומיקוד.
- איך נשמר
- השם והמייל נשמרים בגלוי בחשבון. איננו שולחים מיילים לכתובת ואיננו מאמתים אותה, אלא אם Google אימת אותה בהרשמה. למייל אין תפקיד בכניסה. גם הכתובת נשמרת בגלוי. הצוות רואה ממנה רק את העיר, והמשרד שמטפל בתיק שלכם רואה אותה לקריאה בלבד.
- חובה או רשות
- רשות. השירות פועל גם בלי שם ובלי מייל.
השיחה עם נועה
- מה נאסף
- מה שאתם כותבים בשיחה. בפועל זה עשוי לכלול מידע רפואי, ולכן מידע רגיש.
- למה
- כדי שנועה תוכל לענות. הטקסט מעובד אצל ספק בינה מלאכותית (ראו נועה, ״המוח״ ומה זה אומר על הפרטיות שלכם).
- איך נשמר
- אחרי כניסה לחשבון, השיחה אינה נשמרת במאגר שלנו. בכניסה בטלפון בלי חשבון, היא נשמרת במאגר מרגע האימות (ראו השיחה עם נועה בכניסה בטלפון). בדפדפן היא נשמרת רק בזיכרון הדף. שרת האתר מחזיק בזיכרון בלבד את השיחה הנוכחית, כדי שתחזור אחרי ריענון של הדף, ומוחק אותה אחרי 30 דקות בלי פעילות, ביציאה, כשמתחילים שיחה חדשה או כשהשרת מופעל מחדש. בשרת של נועה היא נשמרת בזיכרון בלבד: שש ההודעות האחרונות נשמרות כל עוד השיחה פעילה, ונמחקות לא לפני 30 דקות בלי פעילות. כל שאלה, יחד עם התשובה וההודעות הקודמות שצורפו אליה, נשמרת שם לפחות שעה, ונמחקת בניקוי הבא של השרת או באתחול שלו. ביומן הפעילות של נועה נרשמים נתונים טכניים בלבד: אורך השאלה, מספר התור, הסעיפים שצוטטו, סוג התוצאה (למשל שהתשובה נחסמה), העלות והזמן. הטקסט של השאלה ושל התשובה אינו נרשם שם.
- חובה או רשות
- רשות. השיחה חינם. אפשר לכתוב לנועה עד שלוש הודעות בלי חשבון; כדי להמשיך את השיחה מאמתים מספר טלפון. כדי להגביל את מספר ההודעות בלי חשבון, השרת שלנו שומר בזיכרון בלבד, לעד יממה, מונה וטביעה מגובבת של כתובת הרשת. הם אינם נשמרים במאגר ואינם נרשמים ביומן.
- דיבור עם נועה
- אפשר גם לדבר עם נועה במקום לכתוב (אחרי הרשמה). הדפדפן שלכם ממיר את הקול לטקסט, לפי התנאים של יצרן הדפדפן: ב-Chrome ובאנדרואיד אצל Google, ב-Edge אצל Microsoft, וב-Safari אצל Apple (לפעמים במכשיר עצמו). אנחנו לא מקבלים את ההקלטה ולא שומרים אותה — רק את הטקסט שמופיע בשדה ושאתם שולחים. נועה מקריאה את התשובות בקול של המכשיר או של הדפדפן (ב-Edge — שירות הקול של Microsoft), וכשההשמעה מהשרת מופעלת — בקול שהשרת שלנו מקבל מספק הקול שהופעל (ElevenLabs או Microsoft Azure). לשם ההקראה עובר רק הטקסט של התשובה של נועה; הוא אינו נשמר אצלנו ואינו נרשם ביומן.
מצב הקול
מצב הקול הוא הדגמה בלבד: תסריט שמוצג על המסך. הוא אינו משתמש במיקרופון, ושום קול אינו מוקלט או נשלח.
העלאת מסמכים לתיק
- מה נאסף
- קובצי PDF, JPG או PNG, עד 20MB לקובץ, ובהם בדרך כלל מידע רפואי ואישי. נשמרים גם שם הקובץ המקורי, סוג הקובץ, גודלו ומועד ההעלאה.
- למה
- כדי להפיק עבורכם את המסמך המסכם.
- איך נשמר
- הקבצים נשמרים כפי שהעליתם אותם, בלי שינוי ובלי הסרת פרטים, באחסון קבצים פרטי במאגר שלנו. הם נשלחים ל״מוח״ רק כשאתם לוחצים "הפקת המסמך", או כשמשרד עורכי דין שהתיק שויך אליו מפיק אותו (ראו מי מקבל את המידע). במאגר נשמר גם המסמך המסכם שהופק.
- חובה או רשות
- רשות. בלי מסמכים לא נוכל להפיק מסמך מסכם. אתם קובעים מה להעלות — העלו רק מה שנחוץ.
תשלום
בשלב הזה מסך התשלום הוא הדגמה. לא מתבצע חיוב, ולא נאספים פרטי כרטיס.
מי שנכנס לשיחה בטלפון ורוצה לפתוח תיק ממלא בקופה:
- חובה: מייל (שאיננו מאמתים), מספר טלפון, וכתובת: עיר, רחוב ומספר בית.
- רשות: דירה ומיקוד, שם פרטי ושם משפחה, מספר תעודת זהות ותאריך לידה.
אחרי התשלום נפתח חשבון, והפרטים נשמרים בו. מספר תעודת הזהות לא נשמר במלואו: נשמרות ארבע הספרות האחרונות וטביעה מגובבת שלו (HMAC). תאריך הלידה מוצג רק לכם. הצוות רואה את העיר מהכתובת, ואת המייל ממוסך; את המייל המלא הוא רואה רק בבקשה מפורשת, כמו היום. המשרד שמטפל בתיק שלכם רואה את המייל ואת הכתובת, לקריאה בלבד, ואת מספר הטלפון ממוסך. כשנחבר ספק סליקה אמיתי, נעדכן את המדיניות לפני כן.
מסלול השליח: כתובת, איסוף, סריקה, הדפסה והחזרה
מסלול "איסוף בשליח" עדיין אינו פעיל, ואינו מוצע כרגע לבחירה באתר:
- האתר אינו אוסף כתובת.
- האתר אינו מתאם איסוף.
- איננו מקבלים מסמכים פיזיים, איננו סורקים אותם ואיננו מדפיסים ומחזירים תיק.
המסמך המסכם זמין רק באזור האישי, לקריאה, להורדה ולהדפסה עצמית.
אם המסלול יופעל, נעדכן את המדיניות לפני שנאסוף כתובת, ונפרט:
- מי השליח.
- איזה מידע הוא מקבל.
- היכן ועל ידי מי נסרקים המסמכים.
- מה נשמר מהם.
- איך ומתי המקור והתיק המודפס חוזרים אליכם.
מייל והודעות
האתר אינו שולח מיילים. עדכונים על התיק מופיעים רק במסך "הודעות" שבאזור האישי. הודעות SMS נשלחות רק עם קוד אימות.
מידע טכני ויומני שרת
- מה נרשם
- ביומני השרתים נרשמים נתונים תפעוליים: מזהה לקוח פנימי, מספר טלפון ממוסך בכניסה, סוג הבקשה בתיק, מזהה בקשה, הנתיב, הסטטוס ומשך הבקשה.
- מה לא נרשם
- טקסט השיחה, המספר המלא, הקוד, המייל, שמות הקבצים וכתובת ה-IP.
- כתובת ה-IP
- משמשת בזיכרון השרת בלבד, כדי להגביל ניסיונות חוזרים.
- אצל ספקי התשתית
- כמו בכל אתר, ספקי האחסון והרשת שלנו מקבלים את כתובת ה-IP ואת פרטי הבקשה: Render, וגם Cloudflare, שדרכה עוברת התעבורה לאתר.
- בקשות "השכמה"
- כשפותחים את האתר, הדפדפן שולח בקשה ריקה לשני השרתים שלנו — שרת המאגר ושרת ״המוח״ — כדי להעיר אותם. הבקשה נשלחת בלי עוגיות ובלי מידע אישי. כמו בכל בקשה, השרתים מקבלים את כתובת ה-IP.
נועה, ״המוח״ ומה זה אומר על הפרטיות שלכם
מערכת אוטומטית
את התשובות בשיחה מנסח מודל בינה מלאכותית של Anthropic. כל תשובה סופית נבדקת אוטומטית מול נוסח החוק והתקנות לפני שהיא מוצגת. במהלך הניסוח ייתכן שתראו טיוטה שעוד לא נבדקה.
נועה לא מקבלת החלטות לגביכם. היא אינה קובעת זכאות, וההחלטות על זכאות ועל דרגת נכות מתקבלות בביטוח הלאומי ובוועדות הרפואיות. התשובות יכולות לטעות, ואינן ייעוץ משפטי או חוות דעת רפואית.
מה נשלח ל-Anthropic
- הטקסט שכתבתם.
- עד שש הודעות קודמות מאותה שיחה.
- קטעים מהחוק ומהתקנות שקשורים לשאלה.
השרת שלנו אינו מצרף לטקסט את השם, את מספר הטלפון, את המייל או את מזהה החשבון שלכם, ול-Anthropic לא נשלח שום מזהה שלכם. בין השרת שלנו לשרת של נועה עובר רק מזהה אקראי, שמתחלף בכל שיחה.
הודעה שנראה בה מספר תעודת זהות (8–9 ספרות), מספר טלפון ישראלי שמתחיל ב-0 או כתובת מייל נחסמת, ואינה מועברת ל-Anthropic. הזיהוי אוטומטי וחלקי: מספר בכתיב בינלאומי (+972) או פרט מזהה אחר לא ייחסמו. כל השאר נשלח כפי שנכתב — שמות, תאריכים, אבחנות ופרטים על ילדים לא מזוהים ולא מוסרים. משך השמירה של המידע אצל Anthropic והשימושים שהיא רשאית לעשות בו נקבעים בתנאים של Anthropic.
״המוח״ — הפקת המסמך המסכם
כשאתם לוחצים "הפקת המסמך", התוכן המלא של הקבצים נשלח לשרת ״המוח״, עם מזהה פסבדונימי לתיק, מזהים פנימיים למסמכים וסוג הבקשה — בלי שם הקובץ, השם שלכם ומספר הטלפון. ״המוח״ הוא מנוע נפרד מנועה.
בשלב הזה ״המוח״ הוא מנוע הדגמה שפועל על השרתים שלנו בגרמניה. הוא מחשב טביעת אצבע של כל קובץ, ואינו שומר את התוכן. המסמך שהוא מחזיר הוא תבנית קבועה לדוגמה.
על "התממה"
בסרטון "מאחורי הקלעים" שבדף הבית נאמר שהמידע "עובר התממה" ושני מוחות בודקים אותו במקביל. זה אינו המצב היום: איננו מבצעים התממה, ובשלב הזה ״המוח״ הוא מנוע הדגמה. זה מה שקורה בפועל:
- מה שאנחנו עושים בפועל הוא לא לצרף את המזהים שלכם (שם, טלפון, מזהה חשבון): בשיחה עובר בין השרתים שלנו מזהה אקראי לכל שיחה, ובהפקת המסמך — מזהה פסבדונימי לתיק ומזהים פנימיים למסמכים.
- איננו מסירים פרטים מזהים מתוך הטקסט שאתם כותבים או מתוך המסמכים.
- הקבצים המקוריים נשמרים בתיק כפי שהעליתם אותם.
מדידת השימוש בדף הבית
כדי להבין איך מבקרים משתמשים בדף הבית ולשפר אותו, פועלים בו כלים למדידה. הם פועלים רק כשמתקיימים שני התנאים האלה:
- אתם בדף הבית (הכתובת הראשית של האתר), ולא בדף אחר.
- לא נכנסתם לחשבון, ולא חזרתם עכשיו מכניסה עם Google.
ברגע שעוברים להרשמה, לכניסה, לשיחה עם נועה, לאזור האישי או לכל מסך אחר, הכלים נכבים, ולא חוזרים לפעול עד שתפתחו את דף הבית מחדש. החריג היחיד: כשנפתח חשבון חדש עם קוד ב-SMS, נשלח ל-Google Analytics אירוע אחד שאומר שנפתח חשבון בטלפון — בלי מספר הטלפון, בלי שם ובלי שום פרט אחר. האירוע נשלח רק אם הגעתם להרשמה מדף הבית.
- Microsoft Clarity
- מפות חום והקלטה של הגלישה בדף הבית: תנועות העכבר, לחיצות וגלילה, גודל המסך, סוג המכשיר והדפדפן, והדף שממנו הגעתם. כל הטקסט שמוצג בדף ממוסך ואינו נשלח ל-Microsoft, וגם הנושא שבחרתם ב"במה מדובר?". עם זאת, Microsoft רואה את המקום בדף שבו לחצתם. Microsoft שומרת הקלטות 30 יום ומפות חום 13 חודשים, בענן Azure שלה.
- Google Analytics
- ספירת ביקורים בדף הבית: מאיזה אתר או קמפיין הגעתם, כמה זמן הייתם בדף, סוג המכשיר והדפדפן, ומיקום משוער לפי כתובת ה-IP. כיבינו את האותות של חשבון Google ואת ההתאמה האישית של פרסומות, ואיננו שולחים מזהה משתמש. Google שומרת את נתוני הביקורים לפי הגדרת החשבון (ברירת המחדל של Google: חודשיים).
- Meta Pixel
- אירוע אחד של צפייה בדף הבית (PageView), כדי למדוד את הקמפיינים שלנו ב-Facebook וב-Instagram ולהציג מודעות למי שכבר ביקר באתר. Meta מקבלת את הכתובת של הדף, כתובת IP ופרטי הדפדפן, ומזהה אקראי מהעוגייה _fbp. אם אתם מחוברים ל-Facebook או ל-Instagram באותו דפדפן, Meta עשויה לקשר את הביקור לחשבון שלכם שם. כיבינו את האיסוף האוטומטי של לחיצות ונתוני הדף, ואיננו שולחים ל-Meta שם, טלפון, מייל או כל פרט אחר.
הכלים מקבלים את כתובת ה-IP ופרטי הדפדפן, כמו בכל בקשה. איננו שולחים אליהם שם, טלפון, מייל, מזהה לקוח, טקסט מהשיחה או תוכן של מסמכים. בשלב הזה אין באתר אפשרות לסרב למדידה. אפשר לחסום אותה בתוסף לחסימת תוכן בדפדפן, והאתר ימשיך לעבוד.
מי מקבל את המידע
איננו מוכרים מידע ואיננו מוסרים אותו לפרסום או לשיווק. המידע עובר רק לגורמים האלה, ורק במידה שנדרשת כדי לתת את השירות:
| ספק | תפקיד | איזה מידע |
|---|---|---|
| Render | אחסון השרתים של האתר, המאגר, ״המוח״ ושרת נועה (אזור פרנקפורט, גרמניה) | כל המידע שעובר דרך השירות |
| Supabase | מסד הנתונים ואחסון הקבצים (אזור פרנקפורט, גרמניה) | פרטי החשבון, התיקים, המסמכים, המסמכים המסכמים וההתראות, ורשומות הפנייה והשיחות בכניסה בטלפון |
| Cloudflare | הגשת האתר והגנה על התעבורה אליו | כתובת IP ופרטי הבקשות לאתר |
| Micropay (ישראל) | שליחת קוד האימות ב-SMS | מספר הטלפון המלא ותוכן ההודעה עם הקוד |
| Google (ארה״ב) | כניסה עם Google — רק אם בחרתם בה | לפי מה שמתואר למעלה, בכניסה עם Google |
| Anthropic (ארה״ב) | מודל הבינה המלאכותית שמנסח את התשובות של נועה | טקסט השיחה, בלי השם ומספר הטלפון שלכם |
| GitHub (ארה״ב) | שמירת יומן הפעילות הטכני של נועה במאגר פרטי | נתונים טכניים בלבד, בלי טקסט השיחה |
| Microsoft (ארה״ב) | Clarity — מדידת השימוש בדף הבית בלבד | לחיצות, גלילה ותנועות בדף הבית בלי הטקסט שבדף; כתובת IP ופרטי המכשיר והדפדפן |
| Google (ארה״ב) | Google Analytics — מדידת הביקורים בדף הבית בלבד | הביקור בדף הבית ומקור ההגעה; כתובת IP ופרטי המכשיר והדפדפן; אירוע "נפתח חשבון בטלפון" בלי פרטים |
צוות השירות רואה במערכת הניהול:
- את השם, את הטלפון בצורה ממוסכת, את דרך ההרשמה ואת ההסכמות.
- את הכותרת, המצב וציר הזמן של כל תיק.
- את רשימת המסמכים, בלי התוכן שלהם.
- את רשימת הפניות בכניסה בטלפון, עם מספר הטלפון המלא, בלי תוכן השיחה (ראו השיחה עם נועה בכניסה בטלפון).
את כתובת המייל המלאה הצוות רואה רק בבקשה מפורשת לכל אדם. הבקשה נרשמת ביומן השרת, בלי זיהוי של איש הצוות שביקש, ובשלב הזה היומן אינו נשמר לאורך זמן. תוכן המסמכים והמסמכים המסכמים אינו מוצג במערכת הניהול.
מי שמתחזק את התשתית יכול מבחינה טכנית לגשת לכל המידע במסד הנתונים ובאחסון הקבצים, וניגש אליו רק לצורך תחזוקה ותקלות.
משרדי עורכי דין: מערכת הניהול מאפשרת לצוות שלנו לשייך תיק למשרד עורכי דין שעובד עם השירות. אם תיק שלכם ישויך, המשרד יראה:
- את השם, את הטלפון והמייל בצורה ממוסכת, ואת העיר.
- את המסמכים שהעליתם ואת המסמך המסכם.
המשרד יכול גם להפיק את המסמך המסכם (כלומר לשלוח את המסמכים ל״מוח״), ולהוסיף לפרטים שלכם עיר והערה פנימית שאינה מוצגת לכם. באזור האישי תראו שיש משרד שמטפל בתיק, אבל לא את שמו.
רשויות: נמסור מידע לרשות מוסמכת רק אם נחויב בכך על פי דין.
עיבוד מחוץ לישראל
המידע נשמר ומעובד מחוץ לישראל:
- השרתים ומסד הנתונים נמצאים בגרמניה (Render ו-Supabase, אזור פרנקפורט).
- טקסט השיחה מעובד אצל Anthropic.
- הכניסה עם Google עוברת אצל Google.
- יומן הפעילות הטכני של נועה נשמר ב-GitHub.
- מדידת השימוש בדף הבית עוברת אצל Microsoft (Clarity).
- ספירת הביקורים בדף הבית עוברת אצל Google (Google Analytics).
- מדידת הקמפיינים מדף הבית עוברת אצל Meta (Meta Pixel).
Anthropic, Google, GitHub ו-Microsoft הן חברות אמריקאיות. Cloudflare מפעילה רשת עולמית.
גם Meta היא חברה אמריקאית.
עוגיות ואחסון בדפדפן
האתר משתמש בעוגיות ובאחסון שהכרחיים לפעולתו, ובאחסון של התאמות הנגישות — רק אם בחרתם התאמה בתפריט הנגישות. בנוסף, בדף הבית בלבד ולמבקרים שלא נכנסו לחשבון, כלי המדידה מציבים עוגיות מדידה (ראו מדידת השימוש בדף הבית). אלה עוגיות שאינן הכרחיות לפעולת האתר, והן מפורטות בטבלה. העוגייה _fbp של Meta משמשת גם לפרסום: למדידת הקמפיינים שלנו ולהצגת מודעות למי שביקר באתר. הגופנים נטענים מהשרת שלנו. אפשר לחסום עוגיות בהגדרות הדפדפן, אבל אז לא תוכלו להתחבר.
| שם | סוג | למה | כמה זמן |
|---|---|---|---|
| btl_customer_sid | עוגייה הכרחית | שומרת אתכם מחוברים אחרי הכניסה. אינה נגישה לסקריפטים בדף, ונשלחת רק בחיבור מאובטח ורק לאתר הזה. | עד סגירת הדפדפן. השרת מנתק אחרי 8 שעות בלי פעילות, ובכל מקרה אחרי 24 שעות, ומיד ביציאה. כדי שתישארו מחוברים גם כשהשרת מופעל מחדש, נשמרת במאגר טביעה מגובבת של העוגייה — לא העוגייה עצמה — והיא נמחקת ביציאה ובכניסה הבאה. |
| btl_gflow | עוגייה הכרחית | מחברת בין הלשונית שלכם לחלון הכניסה עם Google | 10 דקות, ורק בזמן כניסה עם Google |
| btl_lead_sid | עוגייה הכרחית | שומרת את הכניסה לשיחה בטלפון, בלי חשבון. אינה נגישה לסקריפטים בדף, ונשלחת רק בחיבור מאובטח ורק לאתר הזה. | עד סגירת הדפדפן. השרת מנתק בסוף היום (שעון ישראל), ובכל מקרה אחרי 25 שעות, ומיד ביציאה. כדי שהכניסה תשרוד אתחול של השרת, ברשומת הפנייה נשמרת טביעה מגובבת של העוגייה. |
| btl_a11y | אחסון מקומי (localStorage) | זוכר את ההתאמות שבחרתם בתפריט הנגישות: גודל טקסט, ריווח שורות, ניגודיות, הדגשת קישורים, הפחתת תנועה וסמן. נכתב רק אחרי שמשנים התאמה, ואינו נשלח לשרת. | עד שלוחצים "איפוס התאמות" או מוחקים את נתוני האתר בדפדפן |
| btl_intro | אחסון לשונית (sessionStorage) | זוכר שסגרתם את מסך הפתיחה (מסך הפתיחה כבוי כרגע, ולכן בפועל אינו נכתב) | עד סגירת הלשונית |
| _clck | עוגיית מדידה (Microsoft Clarity) | מזהה אקראי של הדפדפן, כדי לחבר ביקורים חוזרים בדף הבית | כשנה |
| _clsk | עוגיית מדידה (Microsoft Clarity) | מחברת את הצפיות של ביקור אחד להקלטה אחת | כיום |
| _ga, _ga_* | עוגיות מדידה (Google Analytics) | מזהה אקראי של הדפדפן ומצב הביקור, כדי לספור ביקורים חוזרים | עד שנתיים |
| _fbp | עוגיית מדידה ופרסום (Meta Pixel) | מזהה אקראי של הדפדפן, כדי לחבר ביקור בדף הבית לקמפיין של Meta | 3 חודשים |
אם תבחרו להיכנס עם Google, Google עשויה להציב עוגיות משלה, בדומיין שלה, לפי המדיניות שלה. גם Microsoft עשויה להציב בדף הבית עוגיות משלה, בדומיינים שלה (למשל CLID ו-MUID), לפי המדיניות שלה. גם Meta עשויה להציב עוגיות משלה, בדומיין שלה (למשל fr), לפי המדיניות שלה.
שמירה ומחיקה
עדיין לא הגדרנו תקופות שמירה, גם לכניסה לשיחה בטלפון (בהמשך), ואין מחיקה אוטומטית. המידע בחשבון, בתיקים, במסמכים ובמסמכים המסכמים נשמר כל עוד החשבון קיים. באתר אין כפתור למחיקת חשבון, תיק או מסמך.
בכניסה לשיחה בטלפון: בשלב הזה לא הגדרנו תקופת שמירה לרשומות הפנייה ולתוכן השיחה, ואין מחיקה אוטומטית. אפשר לבקש מאיתנו לעיין במידע או למחוק אותו.
אפשר לבקש מאיתנו בכתב למחוק את החשבון או מידע מסוים, ונטפל בבקשה (ראו הזכויות שלכם).
מה נמחק מעצמו
- הקוד החד-פעמי — פג אחרי 5 דקות.
- החיבור לחשבון — אחרי 8 שעות בלי פעילות, ובכל מקרה אחרי 24 שעות, או כשהשרת מופעל מחדש.
- השיחה בדפדפן — כשיוצאים מהדף.
- ההודעות בזיכרון של שרת נועה — לא לפני 30 דקות בלי פעילות; שאלה ותשובה — לא לפני שעה.
משך השמירה של יומני הספקים, למשל יומני הגישה של Render ו-Cloudflare ושל ספקי ה-SMS והבינה המלאכותית, נקבע אצל כל ספק.
אבטחת מידע
אלה ההגנות שקיימות היום:
- החיבור לאתר מוצפן (HTTPS), והדפדפן מחויב להשתמש בחיבור מוצפן.
- עוגיית הכניסה אינה נגישה לסקריפטים, ונשלחת רק בחיבור מאובטח ורק לאתר הזה.
- אסימון הכניסה נשמר בשרת כגיבוב בלבד.
- מספרי טלפון ומזהי Google נשמרים כגיבוב עם מפתח סודי. מספר טלפון נשמר גם בצורה ממוסכת, ולא בגלוי. בכניסה לשיחה בטלפון המספר נשמר גם מוצפן (AES-256-GCM), ומפתח ההצפנה נשמר בנפרד ממסד הנתונים.
- יש הגנה מפני בקשות שמגיעות מאתרים אחרים, ומגבלות על מספר הניסיונות.
- המאגר ושרת ״המוח״ אינם מגישים מידע לדפדפן: מלבד בקשת ההשכמה הריקה, הם מקבלים רק בקשות מהשרתים שלנו, עם מפתח לכל מערכת.
- אחסון הקבצים פרטי. השרתים שלנו ניגשים למסד הנתונים רק דרך שירות המאגר.
מה שלא קיים: שם, מייל, שמות קבצים, הקבצים עצמם, הכתובת, תאריך הלידה, תוכן השיחה שנשמר בכניסה בטלפון והמסמכים המסכמים אינם מוצפנים בהצפנה נוספת ברמת המערכת שלנו. ההגנה עליהם היא בהרשאות הגישה ובהגנות של ספקי התשתית. אין שיטת אבטחה חסינה לחלוטין.
הזכויות שלכם
- עיון: לפי סעיף 13 לחוק הגנת הפרטיות, אתם רשאים לעיין במידע שמוחזק עליכם במאגר.
- תיקון ומחיקה: לפי סעיף 14 לחוק, אם המידע אינו נכון, שלם, ברור או מעודכן, אתם רשאים לבקש לתקן אותו או למחוק אותו. את השם ואת המייל אפשר גם לערוך בעצמכם באזור האישי.
- הסכמה: אפשר להפסיק להשתמש בשירות בכל עת, ולבקש למחוק את החשבון.
- תלונה: אם אתם סבורים שהפרטיות שלכם נפגעה, אפשר לפנות לרשות להגנת הפרטיות במשרד המשפטים (באתר gov.il).
בקשות שולחים לכתובת שבראש העמוד, בפרק מי אנחנו ואיך פונים אלינו.
בבקשה שנוגעת לכניסה לשיחה בטלפון, כדי לוודא שהבקשה באה מכם, נחזור אליכם למספר שברשומה.
קטינים ומידע על אנשים אחרים
באתר אין אימות גיל. אם אתם מתחת לגיל 18, היעזרו בהורה או באפוטרופוס.
אם אתם כותבים או מעלים מידע על אדם אחר — למשל ילד שאתם הוריו או האפוטרופוס שלו, או בן משפחה — מסרו רק מידע שאתם רשאים למסור ושנחוץ לשאלה. המערכת אינה מבחינה בין בעל החשבון לבין האדם שהמסמכים עוסקים בו. המידע נשמר בחשבון שלכם ומטופל לפי המדיניות הזו.
שינויים במדיניות
כשמשהו משתנה — ספק חדש, תקופות שמירה, אפשרות מחיקה, חיבור של תשלום, מייל או שליח — נעדכן את המדיניות ואת התאריך בראש העמוד, לפני שהשינוי ייכנס לפעולה.