מדיניות הפרטיות ואבטחת המידע SOLVIE

החברה מתחייבת לשמור בסודיות מוחלטת כל מידע אישי שיימסר על ידי הפונה במסגרת תהליך קבלת השירות, בין אם המידע נמסר באמצעות טופס הפניה ובין אם נמסר במהלך מתן השירות. החברה מתחייבת להשתמש במידע זה אך ורק לצורך מתן השירות ולמטרות למידה ומחקר פנימי לשיפור השירות. הנתונים האישיים של הפונה יישמרו במערכת נתונים אינטרנטית של חברת מאנדיי Monday העומדת בתקני אבטחת מידע בינלאומיים מחמירים. החברה פועלת על פי עקרונות הגנת הפרטיות ומתחייבת לנקוט את כל האמצעים הנדרשים לשמירה על סודיות וביטחון המידע.

במהלך מתן השירות, החברה עשויה לשתף מידע אישי עם הגורם המפנה ועם גורמי מקצוע רלוונטיים, כגון עורכי דין, עובדים סוציאליים ומומחים אחרים, במידת הצורך ובהתאם לדרישות התהליך. כל שיתוף כזה ייעשה בכפוף להתחייבות לסודיות ולהגנת הפרטיות.

החברה תשתמש בפלטפורמת WhatsApp לצורך תקשורת עם הפונה, לרבות באמצעות הודעות כתובות והודעות קוליות. הפונה מאשר בזאת את השימוש בערוץ תקשורת זה לצורך קבלת שירותים מהחברה.

במסגרת תהליך ההפניה והליווי, פרטי אנשי המקצוע המעורבים בתהליך יישמרו במערכת הנתונים של החברה. פרטים אלו כוללים את המידע של איש המקצוע שממלא את טופס ההפניה וכן את פרטי איש המקצוע המלווה את הפונה במהלך המשך התהליך. חתימת הפונה ואישור ההסכמות

בטרם קבלת השירות, הפונה יידרש לחתום על טופס המאשר את כל ההסכמות הבאות:

• אישור לשמירת המידע האישי שלו במערכת הנתונים של חברת Monday.
• אישור לשיתוף המידע עם גורמי מקצוע, כולל עורכי דין, עובדים סוציאליים ומומחים אחרים, לצורך מתן השירות.
• אישור לשימוש בערוץ התקשורת באמצעות הודעות כתובות ומוקלטות ב-WhatsApp.

בנוסף, הפונה יידרש לחתום על ייפוי כוח שיאפשר לחברה לפעול בשמו במסגרת הצרכים הנדרשים לטובת מתן השירות.החברה רואה בשמירה על פרטיות ואבטחת מידע ערך עליון ומתחייבת לפעול בשקיפות מלאה ובכפוף לדין ולכללי הגנת הפרטיות.

הנוסח שלעיל מנוסח באופן כללי וייתכן שיש צורך בהתאמות בהתאם לאופי השירות, דרישות החוק והרגולציה החלה בתחום.

מסמך זה מתאר את אמצעי האבטחה המוטמעים בפלטפורמה שלנו להגנה על נתוני הלקוחות.

• בסיס הנתונים הראשי מוצפן במנוחה באמצעות הצפנת AES-256, דרך ספק תשתית מנוהל (Neon) העומד בתקני SOC 2 ו-ISO 27001.
• אחסון קבצים מתבצע על גבי תשתית ענן מאובטחת עם הצפנה ברמת הפלטפורמה.

• כלל התעבורה אל המערכת וממנה מוצפנת באמצעות TLS/HTTPS.
• אישורי האבטחה (SSL/TLS) מונפקים ומתחדשים אוטומטית דרך Let's Encrypt, ומנוהלים בשער כניסה ייעודי (Traefik).

• בקרת גישה מבוססת תפקידים (RBAC) — לכל משתמש מוגדרות הרשאות לפי תפקידו, והגישה לכל נקודת קצה נבדקת אל מול ההרשאות הנדרשות.
• בידוד בין דיירים (Multi-Tenancy) — נתוני כל ארגון מבודדים זה מזה ברמת בסיס הנתונים (RLS), כך שאין גישה צולבת בין לקוחות.
• בקשות ללא הרשאה מתאימה נחסמות אוטומטית (401/403).

• סיסמאות נשמרות בצורה מוצפנת בלבד (hashing) באמצעות אלגוריתם bcrypt — סיסמאות לעולם אינן נשמרות כטקסט גלוי. תמיכה בהתחברות מאוחדת (SSO) מול ספקים מובילים (Google, Microsoft, Apple ועוד) באמצעות פרוטוקול OAuth 2.0 עם PKCE.
• תמיכה באימות דו-שלבי וקודים חד-פעמיים (OTP) דרך SMS/אימייל. ניהול הפעלות (Sessions) מאובטח עם תוקף מוגבל בזמן.

• שרתי המערכת ובסיסי הנתונים פועלים ברשת פנימית פרטית, ללא חשיפה ישירה לאינטרנט.
• הגישה למערכת מתועלת דרך שער כניסה יחיד ומאובטח בלבד.
• חומת אש (Firewall) והגבלת גישה ל-SSH באמצעות מפתחות בלבד.
• כל לקוח מופעל במכל (Container) מבודד עם הגבלות משאבים ייעודיות.
• שירות ה-Redis (קאש וזיכרון זמני) פועל ברשת פנימית פרטית בלבד, מוגן בסיסמה, ואינו נחשף לאינטרנט.

• ניטור שגיאות וביצועים בזמן אמת באמצעות מערכת Sentry (תואמת SOC 2 / ISO 27001).
• איסוף לוגים מרכזי וניטור תשתית (Prometheus / Grafana) למעקב אחר זמינות וחריגות.

פעולות מהותיות במערכת מתועדות ביומני מערכת מרכזיים, המאפשרים מעקב אחר אירועים וזיהוי חריגות לצורכי אבטחה.

בסיסי הנתונים מגובים באופן אוטומטי ומוצפן על ידי ספק התשתית המנוהל (Neon). הגיבויים מנוהלים ברציפות ומאפשרים שחזור נקודתי (Point-in-Time Recovery) בהתאם ליכולות הספק.

נתוני לקוח נשמרים כל עוד החשבון פעיל. עם סיום ההתקשרות, נתוני הלקוח נמחקים ממערכות הייצור, וגיבויים מתפוגגים בהתאם למחזור הגיבוי. ניתן להגיש בקשת מחיקה או ייצוא נתונים בהתאם ל-GDPR ולחוקי הגנת הפרטיות הרלוונטיים.

• נתוני הייצור מאוחסנים בעיקר באזורי האיחוד האירופי (EU) — בסיס הנתונים (Neon) באזור eu-central, אחסון הקבצים בפרנקפורט (fra1), ושירותי הדוא"ל באזור eu-west.
• ניתן לתאם דרישות לוקליזציה ספציפיות בהתאם לצורך.

תלויות התוכנה מנוטרות לאיתור פגיעויות ידועות, ועדכוני אבטחה מוחלים בהתאם לחומרתם.

הגישה לסביבת הייצור מוגבלת לפי עקרון ההרשאה המינימלית, וניתנת רק לעובדים הזקוקים לה לצורך תפקידם. הגישה נסקרת מעת לעת. עובדים חותמים על הסכמי סודיות ועוברים הדרכות בנושא אבטחת מידע.

נתוני הלקוח המעובדים על ידי מנועי ה-AI משמשים אך ורק למתן השירות בזמן אמת.

• אנו עובדים מול ספקי AI מובילים (Google Cloud, OpenAI, Anthropic) תחת תנאי שירות מסחריים/ארגוניים שלפיהם נתוני הלקוח אינם נשמרים בצד הספק (ZDR) ואינם משמשים לאימון מודלים של ספקי צד שלישי.

ספקי התשתית והשירותים המרכזיים שלנו עומדים בתקני האבטחה והפרטיות המחמירים בתעשייה, ביניהם:

• מפתחות גישה וסודות מערכת מנוהלים בנפרד מקוד המקור, באמצעות משתני סביבה מאובטחים.
• הרשאות גישה לתשתית ניתנות לפי עקרון ההרשאה המינימלית (Least Privilege).