אבטחת מידע

אנחנו לוקחים את אבטחת המידע שלך ברצינות. הדף הזה מסביר מה אנחנו עושים — בפירוט, בלי "אנחנו מאובטחים" מילים גנריות.

🔐 הצפנה

• בתעבורה: חיבורים מוצפנים ב-TLS 1.2 ומעלה (Cloudflare), וכתובות HTTP מופנות אוטומטית ל-HTTPS.
• במנוחה: כל המידע במסד הנתונים ובאחסון הקבצים מוצפן במנוחה על ידי Cloudflare. בנוסף, שכבת הצפנה משלנו על מספרי ת.ז, מפתחות ספקי חשבוניות, טוקני היומן ותמונות החתימה. שמות, טלפונים, הערות ותוכן חוזים מוגנים בהצפנה של Cloudflare בלבד.
• סיסמאות: אנחנו לא שומרים סיסמאות. ההתחברות מתבצעת דרך Firebase Authentication של Google (Google / Apple / אימייל).
• חיבורים לחשבוניות וליומן: מפתח ספק החשבוניות ואסימוני היומן מוצפנים, כל אחד במפתח נפרד.

📦 שחזור נתונים

• שחזור לנקודת זמן: מסד הנתונים רץ על Cloudflare D1, שמאפשר להחזיר אותו למצב קודם. החלון נקבע על ידי Cloudflare ולפי התוכנית שלנו אצלה. זו יכולת של Cloudflare, ואיננו מתחייבים לשחזור.
• הייצוא שלך הוא הגיבוי שלך: אפשר לייצא את כל הנתונים בכל רגע, חינם — לקוחות, יומן, חשבוניות וחוזים, בקובץ CSV או Excel.
• גיבוי יומי משלנו: עותק של מסד הנתונים נשמר מדי יום בדלי אחסון נפרד ונמחק אחרי 90 יום, ויש מראה של הקבצים. גם כאן איננו מתחייבים לשחזור.

🌍 מיקום שרתים

המערכת רצה על Cloudflare Workers. מסד הנתונים (Cloudflare D1) ממוקם כרגע באזור מערב אירופה של Cloudflare — בדקנו את זה מול Cloudflare וניתן לבדוק שוב בכל רגע. הקוד עצמו רץ ברשת הגלובלית של Cloudflare (ככה הדפים נטענים מהר). Cloudflare היא חברה אמריקאית, וההעברות אליה מכוסות בהסכם עיבוד הנתונים שלה ובאישור ה-EU-U.S. Data Privacy Framework שלה. האיחוד האירופי מכיר בישראל כמדינה עם רמת הגנה נאותה — כך שההעברה חוקית לשני הכיוונים.

🚨 התראה על אירוע אבטחה

• SLA דיווח: תוך 72 שעות מגילוי האירוע (תקן ישראלי + GDPR).
• איך נדווח: אימייל ישיר לכל מי שנוגע בדבר, ועדכון בדף סטטוס מערכת.
• למי נדווח: כל לקוח שהמידע שלו עלול היה להיפגע, והרשות להגנת הפרטיות אם רלוונטי.

📤 ייצוא נתונים (Self-Service)

אתה הבעלים של הנתונים שלך. אנחנו לא נועלים אותך פנימה. אפשר לייצא את כל הנתונים שלך בכל רגע, חינם, בקובץ CSV או Excel — מתוך האפליקציה, או בפנייה ל-support@shotaf.co.il.

מחיקת חשבון היא מיידית ואין דרך לשחזר אותה, ולכן כדאי לייצא קודם. עותקי גיבוי נמחקים תוך 90 יום.

🛡 התאמות חוקיות

• תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017 — רמת אבטחה בינונית (מתאים למאגר המידע שלנו)
• תיקון 13 לחוק הגנת הפרטיות (אוגוסט 2025) — אנחנו פועלים לפיו: תיעוד הסכמה שאפשר לבטל, ייצוא ומחיקה עצמית, יומן פעולות, מזעור מידע
• GDPR (משתמשי EU) — Data Processing Agreement זמין ב-/legal/dpa
• תקן ישראלי 5568, רמה AA (WCAG 2.0) — אנחנו פועלים להתאים, עם שיפורים שוטפים (הצהרת הנגישות המלאה)

🔬 תקני אבטחה בינלאומיים

אין לנו תעודת SOC 2 ולא קבענו תאריך יעד לקבל אחת. מה שכן מיושם היום: בקרת גישה, יומן פעולות, והבקרות שמפורטות למעלה. אם התקן הזה קריטי עבורך — כתוב לנו ל-support@shotaf.co.il ונענה בכנות איפה אנחנו עומדים.

🐛 מצאת חולשת אבטחה?

ספר לנו ישירות, לפני שאתה מפרסם. Responsible Disclosure זוכה בתודה שלנו. אין לנו תוכנית תגמול כספי.

• אימייל: support@shotaf.co.il (subject: "Security Disclosure")
• נקרא כל דיווח, ונחזור אליך במייל. אנחנו עסק קטן ולכן לא מתחייבים לזמן תגובה או תיקון

🔍 רוצה לראות עוד?

• מדיניות פרטיות — איזה נתונים אנחנו אוספים ולמה
• DPA — Data Processing Agreement ל-B2B
• נגישות — IS 5568 + WCAG 2.0 AA
• סטטוס מערכת — ממה המערכת בנויה ואיך נודיע על תקלה