איך אנחנו שומרים את הנתונים של הלקוחות שלך
הדף הזה מפרט את הארכיטקטורה והמדיניות. נכתב כדי שתוכל לתת אותו ל-IT של המשרד או ליועץ פרטיות חיצוני בלי להוסיף הסברים.
סיכום ב-30 שניות
- ✓ נתונים באירופה. Neon Postgres + AWS EU (Frankfurt).
- ✓ הצפנה בכל מקום. TLS 1.3 ברשת, AES-256 במנוחה.
- ✓ ללא AI חיצוני. דטרמיניסטי בלבד. (פרטים).
- ✓ RBAC לכל ארגון. תפקידים: owner / admin / member / viewer.
- ✓ Audit log פר-לקוח. כל ערכי-מסמך מתועדים.
- ✓ 2FA אופציונלי (TOTP). חובה ב-Practice tier.
- ✓ ייצוא + מחיקה בלחיצה. אין lock-in.
1. איפה הנתונים שלך נמצאים
| סוג מידע | ספק | אזור |
|---|---|---|
| DB ראשי (זהויות, טיוטות, סטטוסים) | Neon Postgres | EU (Frankfurt) |
| קוד backend | Hugging Face Spaces | EU |
| קוד frontend (static) | Vercel | Global edge CDN |
| חיוב + חשבונית | GreenInvoice | ישראל |
| תשלום (ראשי) | Paddle (merchant of record) | UK + EU |
| תשלום (אופציונלי) | Stripe | EU + US |
| מיילים תפעוליים | Resend | EU |
| WhatsApp (opt-in בלבד) | Twilio | EU + US |
⚠ Vercel CDN משרת קוד JS/CSS בלבד, לא נתוני משתמש. נתוני לקוח לא עוברים דרך Vercel. Resend מקבל כתובת מייל + תוכן ההתראה; Twilio מקבל מספר טלפון + טקסט קצר — לא PII מעבר לזה.
2. הצפנה
- In transit: TLS 1.3 ל-Neon, HTTPS לכל endpoint (HSTS מוגדר ב-Vercel). ללא HTTP plaintext באף שלב.
- At rest: Neon מצפינה AES-256 ברירת מחדל. גיבויים יומיים מוצפנים גם כן.
- שדות רגישים: ת.ז. וח.פ. מאוחסנים כטקסט (לא hash) — צריך לקרוא אותם חזרה לטופס. הגישה מוגבלת ב-RBAC ולא נחשפת ב-logs.
- JWT: חתום עם HS256, secret ב-env var, ניתן לסיבוב. תוקף 24 שעות, refresh-token 30 ימים.
3. הזדהות + RBAC
הזדהות: סיסמה (bcrypt cost=12) או Google Sign-In (verified email only). 2FA אופציונלי לכל משתמש, חובה ב-Practice tier.
תפקידים בארגון:
- Owner — חיוב, מחיקה, ניהול חברים, ניהול branding.
- Admin — ניהול לקוחות, גישה לכל הטיוטות, חברים חדשים.
- Member — יצירה + עריכת לקוחות וטיוטות שלו.
- Viewer — קריאה בלבד. אין יצירה, אין עריכה.
4. Audit log
כל לקוח מציג ציר זמן פר-לקוח ב-/clients/[id] — מי ערך, מה ערך, מתי, וגם הגשה רשמית עם אסמכתא. הציר זמן נגזר אוטומטית מטבלאות drafts + identity ולא ניתן לעריכה למשתמש רגיל.
Audit log מורחב (מי הציג, מי הוריד PDF, מי שינה הרשאות) בתכנון לרבעון הבא.
5. מעבדי משנה
| ספק | תפקיד | DPA |
|---|---|---|
| Neon | Postgres managed | ✓ |
| Hugging Face | Hosting backend | ✓ |
| Vercel | Static hosting + edge | ✓ |
| GreenInvoice | חשבונית מס | חוזה לקוח |
| Paddle | Merchant of record — מוכר ללקוח, מטפל ב-VAT גלובלית, משלם לנו ב-SWIFT | ✓ |
| Stripe | סליקה (אופציונלי) | ✓ |
| Resend | מיילים תפעוליים (התראות, אישורי תשלום, intake) | ✓ |
| Twilio | WhatsApp opt-in להתראות (E.164 בלבד, ללא גוף PII) | ✓ |
⚠ אין מעבדי משנה ל-AI / LLM / analytics / advertising. רשימה ריקה בכוונה. (הצהרת ללא AI חיצוני)
6. שמירה ומחיקה
- חשבון פעיל: נתונים נשמרים כל זמן שהמנוי פעיל.
- חשבון לא-פעיל: אחרי 12 חודשים ללא login + 90 ימי הודעה במייל → מחיקה אוטומטית של PII.
- בקשת מחיקה: /profile → "מחק חשבון". מחיקה בתוך 30 יום; גיבויים נמחקים בתוך 90 יום.
- ייצוא: /profile → "ייצא הכול". JSON של כל הנתונים שלך.
- חשבוניות: נשמרות 7 שנים (חובה רשותית של רשות המסים) גם אחרי בקשת מחיקה.
7. עמידה ברגולציה
- חוק הגנת הפרטיות, תשמ"א-1981 + תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017.
- תיקון 13 (אוגוסט 2024): רישום מאגרי מידע, מינוי ממונה הגנת פרטיות (DPO) כשנדרש, יידוע על אירועי אבטחה (data breach) ברשות להגנת הפרטיות תוך 24 שעות + ללקוח 72 שעות.
- סודיות מקצועית: סעיף 90 לחוק לשכת עורכי הדין + סעיף 16 לכללי האתיקה של רואי החשבון — תומכים על-ידי no-AI policy + RBAC + audit log.
- GDPR (לאזרחי EU): data location ב-EU, right-to-export, right-to-delete, sub-processor list. (לרוב לא רלוונטי ללקוחות ישראלים — אבל קיים אם כן.)
8. אירועי אבטחה — דיווח
חושד באירוע אבטחה (גישה לא מורשית, חיוב חריג, התנהגות חריגה)?
📧 security@bureau-i.1bigfam.com
תגובה תוך 24 שעות לכל פנייה. אם זה אירוע בפועל — דיווח לרשות להגנת הפרטיות + ללקוחות המושפעים תוך 24-72 שעות כפי שהחוק דורש.
עודכן לאחרונה: 11 במאי 2026 · גרסה 1.0 · הדף הזה הוא commit log פומבי של המדיניות; כל שינוי מהותי יקבל entry ב-/changelog.