וואטסאפאיפה המידע נשמר
מחוץ לישראל, אצל ספקי הפלטפורמה
המערכת רצה על תשתית של ספקי הפלטפורמה שאנחנו עובדים איתם. השרתים נמצאים מחוץ לישראל, בעיקר בארצות הברית. ההעברה נעשית לפי תקנות הגנת הפרטיות שעוסקות בהעברת מידע אל מחוץ לגבולות המדינה. היא נשענת על ההסכמה שבמדיניות הפרטיות, ועל התחייבות חוזית של מקבלי המידע: לשמור עליו ברמה שהדין הישראלי דורש, ולא להעביר אותו הלאה. מדיניות הפרטיות
לדוגמה: קליניקה שמעלה את רשימת המטופלים שלה למערכת. הרשימה יושבת על שרת בארצות הברית, אצל ספק הליבה. הקליניקה רואה אותה בעברית, מהמשרד, ואנחנו רואים אותה רק כדי לתת את השירות.
מי הם ספקי המשנה
ספק ליבה, ומי שעובד תחתיו
חלק מהספקים עובדים ישירות מולנו, וחלק יושבים תחת ספק הליבה של הפלטפורמה וספקי המשנה שלו. הרשימה המלאה, בשמות ועם מטרת העיבוד של כל אחד, מופיעה בנספח ד׳ למדיניות הפרטיות ומתעדכנת שם. בקצרה, מי נוגע במה:
- ספק הליבה של הפלטפורמה: המערכת עצמה, בסיס הנתונים, הקבצים וההודעות.
- Meta: החיבור הרשמי לוואטסאפ ומודעות הלידים.
- ספקי בינה מלאכותית: מעבדים את מה שהלקוח כותב או אומר, כשסוכן AI הוא חלק מהמערכת שלכם, בטלפון או בוואטסאפ.
- Sumit: החשבוניות והקבלות על המנוי שלכם אצלנו. במידע שאתם מעלים היא לא נוגעת, אלא אם חיברתם למערכת חשבון סליקה משלכם.
- כלי מדידה באתר שלנו, כמו Google Analytics ו-Microsoft Clarity: מידע על מבקרי האתר, לא על המערכת שלכם.
ספק שמעבד מידע שאתם מעלים הוא מחזיק משנה. אנחנו מחייבים אותו באותן ההתחייבויות, ונשארים אחראים למה שהוא עושה. ספק שמעבד רק את הפרטים שלכם מולנו, כמו חיוב, לא נוגע במידע של הלקוחות שלכם.
שני תפקידים
העסק הוא בעל המאגר, אנחנו המחזיק
על אנשי הקשר, הלידים והלקוחות שאתם מעלים למערכת, העסק שלכם הוא בעל המאגר. אנחנו המחזיק: מעבדים את המידע רק כדי לתת לכם את השירות, לפי ההנחיות שלכם, ולא לצרכים שלנו. על המידע שלכם מולנו, פרטי החשבון והחיוב, בעל המאגר הוא אנחנו.
מה זה אומר בפועל: לקוח שלכם שרוצה לדעת מה שמור עליו פונה אליכם, ואנחנו עוזרים לכם לענות לו. ההסכמות לאיסוף המידע הן באחריות העסק, כבעל המאגר. במידע הזה אנחנו לא משתמשים לשום דבר משלנו.
הרשאות וגישה
משתמש לכל עובד, ואנחנו רק לתפעול
לכל עובד יש משתמש משלו, עם הרשאות לפי תפקיד. מי שעונה ללקוחות רואה את האינבוקס. מי שמנהל רואה גם את הדוחות ואת ההגדרות. אפשר להגדיר שכל סוכן רואה רק את הלידים שלו. את מבנה ההרשאות קובעים באפיון, ומשנים כשהצוות משתנה.
לנו, כמי שמקים ומתחזק את המערכת, יש גישת ניהול לחשבון שלכם. אנחנו נכנסים אליו כדי להקים, לתקן ולתמוך, לא כדי לקרוא שיחות. הגישה מתועדת איפה שהספקים תומכים בזה, ומי מאיתנו שנחשף למידע מחויב לסודיות.
כניסה למערכת: לכל משתמש אפשר להפעיל אימות דו-שלבי. תפעילו אותו לכל מי שנכנס מהטלפון.
עובד שעזב: סוגרים את המשתמש שלו באותו היום. מה שהוא כתב נשאר על כרטיסי הלקוחות, כי השיחות הן של העסק, לא של העובד.
הסכם עיבוד מידע
חלק מתנאי השימוש, ונספח לפי בקשה
סעיף עיבוד המידע בתנאי השימוש הוא הסכם עיבוד המידע (DPA) בינינו: תפקידים, מטרה, אבטחה, סודיות, מחזיקי משנה, העברה אל מחוץ לישראל, אירועי אבטחה ומה קורה בסיום. נספח מפורט יותר מרחיב אותו, ועסק שהיועץ המשפטי שלו צריך מסמך חתום בנפרד מקבל אותו לפי בקשה. נספח עיבוד מידע
לדוגמה: סוכנות ביטוח שמבקשת לפני החתימה לדעת מי מחזיק את המידע של המבוטחים שלה. היא מקבלת את הסעיף, את הנספח ואת רשימת ספקי המשנה, בכתב, לפני שהיא מעלה רשומה אחת.
גיבוי, ייצוא ומחיקה
המידע שלכם, גם כשעוזבים
הגיבוי השוטף של המערכת נעשה אצל ספקי הפלטפורמה, כחלק מהתשתית. אנחנו לא מחזיקים עותק נפרד של המידע שלכם מחוץ למערכת. העותק היחיד שנמצא לגמרי בידיים שלכם הוא הייצוא.
- ייצוא לבד, בכל רגע, בקובץ CSV: אנשי קשר, הזדמנויות, חברות והגשות של טפסים.
- לפי בקשה: התכתבויות, היסטוריית שיחות והקלטות. אנחנו מפיקים אותן בזמן סביר.
- מה שאי אפשר לייצא: מה שבנינו בתוך הפלטפורמה, כמו אוטומציות, טפסים ועמודים. הם עובדים רק בתוך המערכת.
בסיום המנוי הגישה נחסמת. המידע נשמר 30 יום לבקשת ייצוא, ועד 60 יום מהסיום אנחנו מוחקים אותו מסביבת התפעול שלנו ומוסרים לספקים הוראת מחיקה. עותקים בגיבויים של הספקים נמחקים במחזורי המחיקה שלהם. תייצאו לפני הסיום, ואל תסמכו על 30 הימים.
מה אנחנו לא מבטיחים
בלי סימני איכות שאין לנו
- אין לנו תקן ISO 27001 ואין לנו דוח SOC 2. לא נציג לוגו של תקן שלא עברנו.
- לא ״100% מאובטח״. אין דבר כזה. אנחנו נוקטים אמצעים סבירים, ולא מבטיחים שאף אחד לא ייכנס בלי רשות.
- לא זמינות רציפה. יש הפסקות יזומות לתחזוקה, ויש תקלות שלא תלויות בנו.
- לא אחסון בישראל. המידע נשמר מחוץ לישראל, וזה כתוב כאן ובמדיניות הפרטיות.
מה שכן: בקרת גישה והרשאות, הצפנה בהעברה ובאחסון איפה שהספקים תומכים בה, תיעוד גישה והתחייבויות סודיות, לפי תקנות הגנת הפרטיות (אבטחת מידע). עסק ששואל ״יש לכם ISO?״ מקבל ״לא״ ואת הרשימה הזאת, לא לוגו.
אם קורה אירוע אבטחה
מודיעים לכם בלי דיחוי
אם נודע לנו על אירוע אבטחה שנוגע למידע שהעליתם, אנחנו מודיעים לכם בלי דיחוי: מה קרה, איזה מידע, ומה כבר נעשה. הדיווח לרשות להגנת הפרטיות וללקוחות שלכם, אם הוא נדרש, הוא של העסק כבעל המאגר, ואנחנו עוזרים במידע ובכלים שיש לנו. על המידע שבו אנחנו בעל המאגר אנחנו מדווחים בעצמנו, לפי הדין.
לדוגמה: סיסמה של משתמש שדלפה. סוגרים את המשתמש, מאפסים, בודקים ביומן הגישה מה נפתח, ומודיעים לכם מה ראינו. לא פחות, ולא יותר.
יצירת קשר
שאלות על אבטחה ופרטיות
שאלות, בקשה לנספח עיבוד המידע, או דיווח על חולשה שמצאתם: info@flowi-crm.ai. עונים בימי ראשון עד חמישי, 10:00 עד 18:00, לא בחגים. המידע כללי ואינו ייעוץ משפטי.
המידע כללי ואינו ייעוץ משפטי.