אבטחה ופרטיות

דף זה מסכם איך Master Importer שומרת על הנתונים שלך: היכן הם נשמרים, מי יכול לגשת אליהם, איך הם מגובים, ומה קורה להם כשהמנוי מסתיים. כתבנו כאן רק מה שקיים ופועל היום. הנוסח המחייב הוא זה של מדיניות הפרטיות ותנאי השימוש.

1. היכן הנתונים נשמרים

מסד הנתונים, הקבצים שאתה מעלה ושרתי האפליקציה נמצאים אצל ספקי ענן מובילים, בשרתים באיחוד האירופי; גם עותקי הגיבוי באיחוד האירופי. גיבוי הקבצים נשמר אצל ספק אחסון נפרד.

שליחת מיילים, סליקת תשלומים, עיבוד בינה מלאכותית ורכיב הנגישות פועלים אצל הספקים המפורטים בסעיף 9, ואינם מוגבלים לאירופה.

2. הפרדה בין לקוחות

• אבטחה ברמת השורה (Row Level Security) בכל טבלה. מסד הנתונים עצמו בודק, בכל קריאה ובכל כתיבה, שהמשתמש חבר בארגון שהנתונים שייכים לו. ההגנה אינה תלויה במסך או בקוד של האפליקציה.
• טבלאות פנימיות סגורות לדפדפן. רישומי אבטחה, יומני שליחה, מכסות ושאר הטבלאות שרק השרת משתמש בהן אינן נגישות כלל מהדפדפן.
• קבצים באחסון פרטי. הקבצים אינם נגישים בכתובת ציבורית, וכל ארגון נשמר בתיקייה משלו. כל הורדה עוברת דרך השרת, שבודק שהמשתמש חבר בארגון ושהקובץ המבוקש שייך לארגון שלו. ניסיון לחרוג מהתיקייה נחסם ונרשם כאירוע אבטחה.

3. גישה והתחברות

• סיסמאות. ההתחברות מנוהלת על ידי Supabase Auth. הסיסמאות נשמרות רק כגיבוב חד-כיווני (bcrypt), ולא בטקסט גלוי. גם אנחנו לא יכולים לראות אותן.
• הגבלת ניסיונות. מספר ניסיונות ההתחברות מכל כתובת IP מוגבל בקצב. ניסיונות כושלים נרשמים ונבדקים (סעיף 6).
• גישת המפעיל. רק חשבון אחד, חשבון המפעיל של Master Importer, יכול לגשת לנתונים של לקוח לצורכי תמיכה. החשבון הזה מחייב אימות דו-שלבי (קוד מאפליקציית אימות), והדרישה נאכפת גם במסד הנתונים: בלי הקוד, אין לו גישה לשום חשבון של לקוח.
• משתמשי צפייה. בעל החשבון יכול להוסיף עד 5 משתמשי צפייה, למשל עמיל מכס או רואה חשבון. הם רואים את תיקי היבוא ומורידים מסמכים, ואינם יכולים לשנות נתונים, לייצא את כל החשבון או להשתמש בכלי הבינה המלאכותית. המגבלה נאכפת במסד הנתונים ובשרת.
• יציאה מהמערכת. המערכת שומרת עותק עבודה של הנתונים בדפדפן כדי לעבוד מהר. ביציאה מהמערכת העותק הזה נמחק.

4. הצפנה

• בתעבורה. כל התקשורת עם האתר מוצפנת ב-HTTPS. כניסה בכתובת http מועברת אוטומטית ל-https, והדפדפן מונחה לגשת לאתר רק ב-HTTPS (HSTS). גם החיבור בין השרת למסד הנתונים מוצפן (TLS).
• באחסון. לפי התיעוד של הספקים, ההצפנה במנוחה פועלת אצלם כברירת מחדל: Supabase מצפינה את כל נתוני הלקוחות ב-AES-256, וספק גיבוי הקבצים מצפין ב-AES-256 כל קובץ שנשמר אצלו.

5. הגנות באפליקציה

• מדיניות אבטחת תוכן (CSP). הדפדפן מקבל רשימה סגורה של הכתובות שמהן הדף רשאי לטעון קוד ואליהן הוא רשאי לשלוח נתונים. האתר אינו ניתן להטמעה בתוך אתר אחר.
• העלאת קבצים. מתקבלים רק מסמכים ותמונות (PDF, תמונות, Word ו-Excel). סוג הקובץ נבדק בשרת, וקבצים שדפדפן עלול להריץ, כמו HTML, SVG או סקריפטים, נדחים.
• הגבלת קצב. פעולות רגישות, כמו ייצוא החשבון, הורדת קבצים וקריאת מסמכים, מוגבלות בקצב לכל משתמש.
• בתוך החשבון אין כלי פרסום. פיקסלים של פרסום וכלי הקלטת גלישה אינם נטענים בתוך החשבונות של הלקוחות.

6. ניטור והתראות

מרכז בקרה ייעודי בודק כל 15 דקות את מצב המערכת ואת אירועי האבטחה. אירוע חמור שולח למפעיל התראה מיידית במייל. בין הדברים שנבדקים:

• ניסיונות התחברות כושלים חוזרים, וכניסה ממדינה חדשה;
• ניסיון לגשת לנתונים של ארגון אחר;
• העתקה חריגה: ייצוא מלא חוזר של חשבון, או הורדה של יותר מ-100 קבצים בשעה;
• קריאות לשרת בלי הרשאה, וסריקת כתובות;
• ניסיונות לנצל את יועץ היבוא;
• התראות אבטחה על רכיבי הקוד (GitHub Dependabot).

במקרה של חשד, המפעיל יכול להשהות משתמש ולנתק מיד את כל החיבורים שלו. בנוסף, ניטור חיצוני בודק באופן קבוע שהאתר ומסד הנתונים זמינים.

רישומי האבטחה שומרים את המינימום הדרוש: כתובת IP מקוצרת, מדינה וסוג מכשיר. ניסיונות התחברות כושלים נשמרים 30 יום, מיקומי התחברות 90 יום, ואירועי אבטחה שנה. שאלה ליועץ שסומנה כחשודה נשמרת לבדיקה, עד 500 תווים, למשך 90 יום.

7. גיבויים

• מסד הנתונים מגובה מדי יום על ידי Supabase, והגיבויים של 7 הימים האחרונים נשמרים.
• הקבצים. הגיבוי של מסד הנתונים אינו כולל קבצים, ולכן הקבצים שלך מגובים כל לילה אצל ספק אחסון נפרד, גם הוא באיחוד האירופי.
• בדיקת שחזור כל לילה. קובץ אקראי נקרא בחזרה מהגיבוי ומושווה למקור, בגודל ובטביעת SHA-256.
• קובץ שנמחק או שהוחלף נשמר בגיבוי 30 יום, ואחר כך נמחק גם ממנו.

כמפורט בתנאי השימוש, הקבצים במערכת הם עותקי עבודה. את המסמכים המקוריים יש לשמור גם מחוץ לשירות.

8. בינה מלאכותית

• Anthropic בלבד. קריאת מסמכים (רשימות אריזה, חשבוניות, מסמכי משלוח והצעות שילוח) וזיהוי סוגם, יועץ היבוא ותובנות תמחיר המכירה פועלים באמצעות Claude של Anthropic, דרך ה-API העסקי שלה. אין היום ספק AI נוסף שמקבל נתונים מהמערכת.
• מה נשלח. מסמך נשלח רק כשאתה מעלה אותו: לקריאת הנתונים שבו, או לזיהוי סוג המסמך כשהוא נכנס לתיק יבוא. כשאתה שואל את היועץ, נשלחים נתונים מהחשבון שלך כדי לענות על השאלה.
• אתה בודק ומאשר. המסמך נקרא על ידי שירות הבינה המלאכותית, והנתונים שחולצו ממנו מוצגים לך לבדיקה ולאישור לפני שהם נכנסים לתמחיר.
• אין אימון על הנתונים שלך. לפי תנאי השימוש של Anthropic ל-API, היא אינה מאמנת מודלים על תוכן שנשלח דרכו. לפי מדיניות הפרטיות שלה, הקלט והפלט נמחקים אצלה בתוך 30 יום, למעט חריגים שבמדיניות (למשל תוכן שסומן כהפרה של מדיניות השימוש).
• לבחירתך. כל שדה ניתן למילוי ידני, והשירות פועל במלואו גם בלי קריאה אוטומטית.

באתר השיווקי בלבד (דף הבית ודפי המידע), ורק לאחר הסכמה בבאנר העוגיות, נטענים כלי מדידה: Meta Pixel, TikTok Pixel ו-Microsoft Clarity. בעת רכישת מנוי מדווח ל-Meta ול-TikTok על הרכישה, עם כתובת דוא״ל מגובבת בלבד. טופס יצירת הקשר באתר עובר דרך Web3Forms, וסרטון ההדגמה מוגש מ-Vimeo. פרטים בסעיף 8 של מדיניות הפרטיות.

10. שמירת נתונים ומחיקה

• כל עוד המנוי פעיל — הנתונים נשמרים.
• 30 יום אחרי סיום המנוי (מתום התקופה ששולמה) — אפשר לצפות בנתונים ולייצא אותם, כולל הורדה של כל הקבצים (הגדרות ← גיבוי וייצוא נתונים ← "הורד את כל הקבצים"), בלי לערוך, או לחדש את המנוי ולחזור לגישה מלאה. מצב הקריאה בלבד נאכף במסד הנתונים עצמו.
• לפני המחיקה נשלחת הודעה במייל.
• לאחר מכן הנתונים והקבצים נמחקים לצמיתות. מחיקה מוקדמת יותר מתבצעת לבקשתך בכתב.
• עותקי הגיבוי נמחקים תוך 30 יום נוספים.
• מה נשאר. רק פרטי מנוי ותשלום בסיסיים (שם החשבון, מסלול, תאריכים וסכומים) לצורך רישומי החברה, וכן מידע שאנו מחויבים לשמור על פי דין.

11. השליטה שלך בנתונים

• ייצוא מלא. במסך ההגדרות, בחלק "גיבוי וייצוא נתונים", לחיצה אחת מורידה את כל נתוני החשבון לקובץ אחד, ו"הורד את כל הקבצים" מוריד את כל הקבצים של החשבון בקובץ ZIP אחד. אפשר גם להוריד קבצים מתוך התיקים, וגם את כל קבצי התיק כקובץ ZIP אחד. הייצוא זמין גם ב-30 הימים שאחרי סיום המנוי.
• משתמשי צפייה. בעל החשבון מוסיף ומסיר אותם בעצמו, בהגדרות.
• קישורים למסמכים. מסמכים מעל 20MB שנשלחים מתיק לגורם חיצוני נשלחים כקישור מאובטח. הקישור תקף 14 יום, ואפשר לבטל אותו מהיסטוריית השליחה.
• מחיקת החשבון לבקשתך, בפנייה בפרטים שבסעיף 12.