אבטחת מידע

• •מסד הנתונים וההתחברות: ב-Supabase, בשרתים באיחוד האירופי (פרנקפורט, eu-central-1).
• •הקלטות וקבצים שהעליתם: ב-Supabase בפרנקפורט, באחסון פרטי, בתיקייה נפרדת לכל משתמש, שרק החשבון שלכם מורשה לגשת אליה. החריג: בצוות, נציג שמשויך לחברה שלכם רואה את הלוגו שלה, והמאמן שלו נעזר בתוכן של מקורות הידע שלה (ראו "צוותים" בהמשך).
• •הקלטות הבוט: ההקלטה של בוט שמקליט פגישה מקוונת נשמרת אצל Recall.ai, באזור האירופי שלהם (פרנקפורט, eu-central-1), עד שהפגישה נמחקת. כשהם מתמללים פגישה במנוע שלהם עצמם, התמלול נעשה באזור האירופי שלהם (דבלין); כשהתמלול עובר אצלם דרך ElevenLabs, הוא בארה״ב. כתובת הפגישה ופרטי הבוט נשארים אצלם גם אחרי המחיקה.
• •עיבוד: התמלול, ה-AI ושליחת המיילים נעשים אצל ספקים, וחלקם בארה״ב: Soniox ו-ElevenLabs לתמלול, ו-OpenAI כגיבוי לתמלול; Recall.ai מתמלל פגישות בוט שאורכן מעל 20 דקות, וגם פגישת בוט קצרה יותר כשהתמלול אצל ספק אחר נכשל; OpenAI ו-Anthropic ל-AI, fal.ai לקליפי וידאו ב-AI (עוד לא פעילים, ועד שיופעלו לא נשלח אליו דבר; אחרי ההפעלה רק כשבוחרים ליצור קליפ כזה, ורק תסריט טקסטואלי: התסריט נכתב בהנחיה בלי שמות, ולפני השליחה מוסרים ממנו את השמות שאנחנו מכירים מהפגישה, ומיילים, טלפונים וקישורים שאנחנו מזהים), ו-Resend למיילים. אצל Anthropic המידע נשמר בארה״ב, והעיבוד יכול להיעשות במרכזי נתונים שלהם במדינות שונות. מה כל אחד מהם מקבל, וכמה זמן הוא שומר, מפורט במדיניות הפרטיות.
• •יעדים שחיברתם: Slack, WhatsApp ו-webhook (למשל Make) מקבלים את מה שבחרתם לשלוח אליהם, רק אם חיברתם אותם. ב-webhook חדש, וכשמפעילים מחיקה אחרי משלוח, מופעלים כברירת מחדל גם הסיכום כקובץ Word וקישור זמני להקלטה (של Recall.ai, תקף כמה שעות, או של האחסון שלנו, תקף 6 שעות); ב-webhook שהוגדר לפני כן הם כבויים עד שתפעילו אותם. אפשר לכבות אותם בהגדרות ובכל פגישה. המידע שם כפוף לתנאים שלהם.
• •Claude, ChatGPT ומפתחות API שחיברתם: קוראים את הפגישות שלכם, לקריאה בלבד, רק אם חיברתם אותם ורק כשהם מבקשים. מה שהם קוראים עובר אליהם, ומשם הוא כפוף לתנאים של הכלי שבחרתם: זה יעד שאתם בוחרים, לא ספק שלנו, וה-AI שלו פועל אצלו.

SmartChat בנוי על ספקים שעוברים ביקורות אבטחה בלתי תלויות. ISO/IEC 27001 הוא התקן הבינלאומי לניהול אבטחת מידע, SOC 2 היא מסגרת ביקורת אמריקאית (AICPA) לאבטחה ולזמינות, ISO/IEC 27701 ו-27018 עוסקים בפרטיות ובמידע אישי בענן, ISO/IEC 42001 בניהול אחראי של מערכות AI, ו-PCI DSS באבטחה של מידע על כרטיסי אשראי.

• Supabase

  מסד נתונים, קבצים והתחברות (פרנקפורט)

  • ISO/IEC 27001
  • SOC 2 Type II

• Cloudflare

  אירוח האתר והגנה מהתקפות DDoS

  • ISO/IEC 27001
  • ISO/IEC 27701
  • ISO/IEC 27018
  • SOC 2 Type II
  • PCI DSS

• Anthropic (Claude)

  סיכומים, מסמכים והמאמן החי

  • ISO/IEC 27001
  • ISO/IEC 42001
  • SOC 2 Type II

• OpenAI

  יכולות AI נוספות וגיבוי

  • ISO/IEC 27001
  • ISO/IEC 27701
  • ISO/IEC 42001
  • SOC 2 Type II

• Soniox

  תמלול וזיהוי דוברים

  • ISO/IEC 27001
  • SOC 2 Type II

• ElevenLabs

  תמלול (גיבוי ובוט בפגישה)

  • ISO/IEC 27001
  • SOC 2 Type II

• Recall.ai

  בוט ההקלטה בפגישות מקוונות (ההקלטה נשמרת בפרנקפורט), ותמלול של פגישות בוט ארוכות

  • ISO/IEC 27001
  • SOC 2 Type II

• Google

  התחברות ויומן, רק אם חיברתם

  • ISO/IEC 27001
  • SOC 2 Type II

• Microsoft

  יומן Outlook של Microsoft 365 (קריאה בלבד), רק אם חיברתם

  • ISO/IEC 27001
  • SOC 2 Type II

התקנים לפי מה שכל ספק מפרסם באתר שלו או בדף האמון (trust center) שלו, כפי שבדקנו ב-17 באוקטובר 2026 (את Microsoft ב-21 באוקטובר 2026). ספקים נוספים, כמו Resend למיילים (כולל סיכומי פגישות), SUMIT לתשלומים, Jina AI לקריאת חלק מהדפים שבקישורים ו-fal.ai לקליפי וידאו ב-AI (עוד לא פעילים, ועד שיופעלו לא נשלח אליו דבר; אחרי ההפעלה רק כשבוחרים ליצור קליפ כזה, ורק תסריט טקסטואלי: התסריט נכתב בהנחיה בלי שמות, ולפני השליחה מוסרים ממנו את השמות שאנחנו מכירים מהפגישה, ומיילים, טלפונים וקישורים שאנחנו מזהים), מפורטים במדיניות הפרטיות, יחד עם הרשימה המלאה של מי מקבל איזה מידע ולמה.

• •הפרדה ברמת השורה (Row Level Security): כל טבלה שמכילה מידע של משתמש מוגנת במסד הנתונים עצמו. שאילתה מחזירה רק את השורות שהמשתמש מורשה לראות, ככלל רק את שלו, גם אם יש באג בממשק. בצוות, מנהל קורא את שיחות הנציגים רק דרך פונקציות של קריאה בלבד, שמחזירות שדות מוגדרים. אין לו גישה ישירה לטבלאות של השיחות. חלק מההגנות האלה נבדקות בבדיקות אוטומטיות שמריצות את מסד הנתונים. פונקציות השרת פועלות בהרשאה רחבה יותר, ולכן כל אחת מהן בודקת בקוד, לפי אסימון ההתחברות, שהמידע שהיא מחזירה שייך למשתמש המבקש, או שהוא מורשה לראות אותו בצוות.
• •זיהוי בשרת: כל פונקציית שרת שהדפדפן קורא לה בשם משתמש מחובר מזהה את המשתמש לפי אסימון ההתחברות החתום שלו, ולא לפי מזהה שנשלח בבקשה. הקישורים שעובדים בלי התחברות, קישור שיתוף וקישור פעולה ממייל, עובדים רק עם אסימון אקראי או חתום, שמגביל כל אחד מהם לדבר אחד.
• •הרשאה מינימלית: לטבלאות רגישות (שימוש, חיוב, מצב שיחות חיות) לדפדפן אין הרשאת כתיבה בכלל. רק השרת כותב אליהן.
• •גישה של המפעיל: למפעיל השירות יש גישה טכנית לחשבונות התשתית והספקים (מסד הנתונים, האחסון, ספק הבוט, ולוחות הבקרה של ספקי התמלול, ה-AI והמייל), ומשם אפשר טכנית לקרוא תוכן. לכן ההתחייבות שלנו היא נוהל, ולא חסימה טכנית: אנחנו ניגשים לתוכן של פגישות רק כשביקשתם זאת, למשל כדי לבדוק תקלה, ובהסכמתכם; או כשהחוק מחייב; או כשצריך לטפל באירוע אבטחה. אנחנו לא מעבירים תוכן של פגישות לכלי AI שמשמשים אותנו בפיתוח ובתמיכה. מסך הניהול מציג פרטי חשבון, מנוי ושימוש. תוכן של פגישה מוצג בו לקריאה בלבד רק במסך התמיכה, רק בגישה שנתתם ולזמן שקבעתם. אחרי שהגישה נסגרת לא נפתח בו דבר חדש, אבל קישור להקלטה מהאחסון שלנו שנפתח לפני הסגירה עשוי לעבוד עוד עד 10 דקות, וקישור להקלטה של בוט עד כמה שעות. צפייה דרך מסך התמיכה נרשמת ביומן הגישה שלכם. גישה חריגה, כשהחוק מחייב או כדי לטפל באירוע אבטחה, מתועדת אצלנו ונודיע לכם עליה, אלא אם החוק אוסר זאת. גישות התמיכה שנתתם נשמרות 365 יום אחרי שנסגרו, בלי ההערה. במסך הניהול אין אפשרות להתחבר בשם משתמש.
• •מפתחות וסודות: מפתחות של ספקים ואסימוני Google ו-Microsoft נשמרים בשרת בלבד ואינם נגישים מהדפדפן. אסימוני היומן נשמרים מוצפנים (AES-256-GCM), במפתח שנשמר בנפרד ממסד הנתונים. בשיחה חיה הדפדפן מקבל רק אסימון זמני וקצר מועד לשירות התמלול.
• •צוותים: מנהל צוות רואה בקריאה בלבד את שיחות הלקוח של הנציגים: איך כל שיחה הוקלטה (בוט בפגישה, הקלטה מהדפדפן, קובץ שהועלה או ייבוא), המצב שלה והחברה שבשמה הנציג דיבר, הניתוח, הסיכום, המשימות, הלידים וההפניות שזוהו בשיחה, והתמלול המלא אם הגדרת הצוות מאפשרת (ברירת המחדל: כן), וגם את המספרים שלהם ואם הם בשיחה חיה, בלי מה שנאמר בה. הוא לא רואה את ההקלטות, את כרטיסי המאמן ואת זיכרון המאמן, וגם לא שיחות פנימיות או אישיות. לפני ההצטרפות הנציג רואה בדיוק מה המנהל יראה. הנציג יכול לסמן שיחה כפרטית ולהסתיר שיחות מלפני ההצטרפות. בעלי הצוות רואים באותו אופן גם את המנהלים. בעלי הצוות יכולים לשייך מנהל לנציגים מסוימים: מנהל ששויכו לו נציגים רואה רק אותם, ומנהל בלי שיוך רואה את כל הנציגים. בעלי הצוות והמנהלים רואים את השמות וכתובות המייל של חברי הצוות (מנהל ששויכו לו נציגים: רק של בעלי הצוות, של המנהלים ושל הנציגים שלו). כל צפייה של מנהל או של בעלי הצוות בשיחות של נציג נרשמת ביומן הגישה של הנציג, עם השם של מי שצפה (או התפקיד שלו, אם לא הזין שם), ונשמרת 365 יום. צפייה היא פתיחה של שיחה, פתיחה של רשימת השיחות או של כרטיס הנציג, ותשובה של "המנהל שואל" עם רשימת שיחות (צפייה חוזרת באותו דבר בתוך 5 דקות נרשמת פעם אחת). הלוח "עכשיו בצוות" והמייל היומי למנהלים לא נרשמים. נציג שמשויך לחברה של בעלי הצוות רואה לקריאה בלבד את התסריטים שלה, והמאמן שלו נעזר במקורות הידע שלה שנכנסים לכל שיחה שלה; הוא מקבל את השמות של המקורות, לא את הקבצים, והטקסט המלא נמחק מהשיחה כשהיא מסתיימת או כשהשיוך מבוטל. בעלי הצוות יכולים גם לקבוע לכל הצוות: שאימות דו-שלבי חובה (חבר שהתחבר בלי אימות דו-שלבי לא מקבל גישה לנתוני הצוות ולתכונות שלו, וזה נאכף במסד הנתונים; הפגישות, השיחות וההגדרות האישיות שלו לא נחסמות); שה-Webhook, Slack, WhatsApp, הכנת הנוסח ללקוח למשתתפי הפגישה והבוט שמצטרף לבד לפגישות מהיומן כבויים לכל חברי הצוות, גם אם הפעלתם אותם (השרת בודק את ההגדרה של הצוות לפני שהוא שולח); שהחיבורים ל-Claude, ל-ChatGPT ומפתחות API חסומים לכל חברי הצוות, גם חיבורים שכבר קיימים; שכל פגישה חדשה של חבר בצוות, חוץ מבעלי הצוות, נשמרת כפרטית עד שהוא משתף אותה (בחירה שלו בעמוד הפגישה, לשתף או להסתיר, נשמרת); שהשמע של כל חברי הצוות, כולל בעלי הצוות והמנהלים, לא נשלח ל-ElevenLabs, גם אם ההגדרה "בלי ElevenLabs" בחשבון שלהם כבויה (חל על מה שמתחיל אחרי ההפעלה); ושכל פגישה של חבר בצוות, וגם של בעלי הצוות, שנשלחה בהצלחה ל-webhook שהוא הגדיר, נמחקת מ-SmartChat אחרי הזמן שהוא בחר, או אחרי 24 שעות אם לא בחר (מחיקה אחרי משלוח חובה). כשאימות דו-שלבי נעשה חובה, כשהפגישות הפרטיות כברירת מחדל מכובות, כש"בלי ElevenLabs" לכל הצוות מכובה, וכשמחיקה אחרי משלוח נעשית חובה, שאר חברי הצוות מקבלים על כך מייל, לכל היותר פעם ביום. פירוט מלא במדיניות הפרטיות.

• •אימות דו-שלבי: זמין לכל חשבון. למי שמפעיל אותו, הוא נאכף במסד הנתונים עצמו ולא רק במסך ההתחברות: בהתחברות עם סיסמה בלבד מסד הנתונים מסרב לחשוף או לשנות מידע, כך שסיסמה שדלפה לא מספיקה.
• •קודי גיבוי: מי שהפעיל אימות דו-שלבי יכול ליצור 10 קודי גיבוי, למקרה שאין לו גישה לטלפון. הקודים מוצגים פעם אחת בלבד, ואצלנו נשמר מכל קוד רק גיבוב (HMAC-SHA256 במפתח סודי של השרת). כל קוד עובד פעם אחת. כניסה עם קוד גיבוי מכבה את האימות הדו-שלבי ומבטלת את שאר הקודים. בחשבון עם סיסמה היא מחייבת לקבוע באותו שלב סיסמה חדשה, שונה מהקודמת, וכל החיבורים לחשבון מתנתקים, גם החיבור שבו נכנסו עם הקוד, כך שנכנסים שוב עם הסיסמה החדשה. בחשבון שנכנס רק עם Google, כל שאר החיבורים מתנתקים. בשני המקרים מתנתקים גם כל החיבורים של כלי AI (כמו Claude ו-ChatGPT) ומתבטלים כל מפתחות ה-API של החשבון, כדי שכלי שמישהו אחר חיבר לא ימשיך לקרוא את הפגישות. הם נשארים סגורים גם אם הכניסה לא הושלמה בסוף, ואם הסגירה עצמה לא מצליחה, האימות הדו-שלבי לא מכובה והקוד חוזר לשימוש. האימות הדו-שלבי מכובה רק אחרי שמסד הנתונים מאשר שלא נשאר חיבור אחר לחשבון. במשך שבוע אחרי שמקלידים קוד גיבוי נכון, מסד הנתונים מסרב לחשוף או לשנות את המידע של החשבון בטבלאות ובקבצים לאסימון של חיבור שנותק, גם לפני שהאסימון פג. על יצירת קודים ועל כניסה עם קוד נשלח מייל לכתובת של החשבון, וגם כשהכניסה עם קוד גיבוי ננעלת אחרי ניסיונות שגויים רבים (פעם ביממה לכל היותר), וגם אנחנו מקבלים התראה על כל כניסה עם קוד גיבוי. מספר הניסיונות מוגבל: 5 ניסיונות שגויים (קוד שגוי, או קוד נכון עם הסיסמה הקודמת בתור חדשה) ב-15 דקות לחיבור, ו-30 ב-15 דקות או 100 ביממה לחשבון. לחשבון הבעלים של SmartChat אין קודי גיבוי.
• •התראה על כניסה מדפדפן חדש: על כניסה מדפדפן שלא ראינו לאחרונה בחשבון נשלח מייל עם מועד הכניסה, סוג הדפדפן ומערכת ההפעלה, ומה לעשות אם זה לא אתם. "דפדפן" כאן הוא צירוף של סוג דפדפן ומערכת הפעלה, בלי הגרסה, לפי מה שהדפדפן מדווח על עצמו, וצירוף שלא נראה בחשבון ב-90 הימים שלפני הכניסה נחשב חדש. לא נשלח מייל על הכניסה הראשונה של חשבון חדש (בשבוע הראשון שלו), וגם לא על הכניסה הראשונה של חשבון שהיה קיים לפני שההתראה הופעלה, ב-28 באוקטובר 2026, אם היא בתוך 90 יום מאז ולא נראה בחשבון דפדפן ב-90 הימים שלפניה. נשלחים עד 5 מיילים על כניסות מדפדפן חדש לחשבון בכל 24 שעות, ומייל שלא יצא בתוך שעה מהכניסה כבר לא נשלח. אם כתובת המייל של החשבון שונתה אחרי הכניסה, המייל נשלח גם לכתובת הקודמת. הזיהוי נעשה בשרת, לפי רשומת הכניסה של שירות ההתחברות. דפדפן או סקריפט יכולים לדווח על עצמם כל סוג, ולכן כניסה שמציגה את עצמה כדפדפן שכבר נראה בחשבון לא תזוהה כחדשה. נשמרים גיבוב (hash), התווית "דפדפן · מערכת" ומתי הדפדפן נראה לראשונה ולאחרונה, עד 90 יום מהפעם האחרונה, ורשומה של כל כניסה (מתי, ומה הדפדפן דיווח על עצמו) ל-90 יום. כתובת IP לא נשמרת לצורך זה.
• •התחברות עם Google: אפשרית, בהרשאות המצומצמות שאישרתם.
• •הגנה מבוטים: ההרשמה וההתחברות במייל ובסיסמה עוברות בדיקת Cloudflare Turnstile נגד בוטים.
• •הגבלת קצב: לפעולות רגישות ויקרות יש מגבלת שימוש לדקה וליום, כדי לבלום ניסיונות ניצול.
• •תשלומים: התשלום מתבצע בדף התשלום של SUMIT. פרטי כרטיס האשראי נמסרים ישירות ל-SUMIT, ולא עוברים דרכנו ולא נשמרים אצלנו.

• •הצפנה בתעבורה: כל התעבורה ב-HTTPS. הדפדפן מחויב להתחבר רק בחיבור מוצפן (HSTS לשנתיים, כולל תת-דומיינים).
• •הצפנה במנוחה: הנתונים והקבצים מוצפנים במנוחה בתשתית Supabase (AES-256, לפי Supabase).
• •מדיניות תוכן מחמירה (CSP): האתר מריץ רק קוד משלו ומספקים מוגדרים מראש, ולא ניתן להטמיע אותו באתר אחר.
• •הגנה ברשת: כל בקשה לאתר עוברת דרך Cloudflare, עם הגנה מהתקפות מניעת שירות (DDoS).
• •הרשאות דפדפן מצומצמות: המיקרופון ושיתוף המסך מותרים רק לאתר עצמו. מצלמה, מיקום, תשלומים בדפדפן ו-USB חסומים.
• •חיבורים מאומתים: הודעות שבוט הפגישה שולח לשרת מאומתות בטוקן אקראי ייחודי לכל שיחה, ו-webhooks שאנחנו שולחים חתומים בחתימת HMAC עם חותמת זמן, נשלחים רק לכתובת https ציבורית, בלי לעקוב אחרי הפניות. משלוח נחשב מוצלח רק כשהשרת שלכם עונה 2xx, וכשהפגישה אמורה להימחק אחרי המשלוח, רק כשהוא גם מחזיר בתשובה את מזהה המשלוח שקיבל; משלוח אוטומטי שלא הצליח נשלח שוב במשך 24 שעות, ואם עדיין לא הצליח, נשלח אליכם מייל.
• •קישורים במיילים: קישורי פעולה במיילים, כמו ביטול ההקלטה של פגישה או ביטול המחיקה של החשבון, חתומים ופועלים רק על הפגישה או על החשבון שלכם שאליהם נשלחו. במייל שהייצוא מוכן אין קישור להורדה: מורידים מתוך החשבון.
• •חיבור ל-Claude, ל-ChatGPT ו-API: לקריאה בלבד: אין בו פעולה שכותבת, שולחת או מוחקת. כלי AI מתחבר רק אחרי שאישרתם אותו בדף ההסכמה שלנו (OAuth עם PKCE), שמציג לאן הוא יחזור ואיזה חשבון מתחבר, וכפתור האישור נפתח רק אחרי שהדף מוצג רגע; השם "Claude" או "ChatGPT" מוצג רק כשהכלי חוזר לכתובת ההתחברות של Claude או של ChatGPT עצמם, וכל כלי אחר מוצג עם הכתובת שאליה הוא חוזר ומחייב סימון נוסף. טוקן גישה תקף לשעה, וטוקן הרענון מתחלף בכל שימוש ופג אחרי 90 יום בלי שימוש; שימוש חוזר בטוקן רענון שכבר נוצל (חוץ מניסיון חוזר של אותו כלי בתוך דקה), או בקוד חד-פעמי, מנתק את החיבור. כניסה לחשבון עם קוד גיבוי מנתקת את כל החיבורים ואת כל מפתחות ה-API של החשבון, ומפתח חדש או אישור של כלי חדש נוצרים רק כשההתחברות לחשבון שממנה ביקשו אותם עדיין פעילה ברגע היצירה. טוקנים ומפתחות API נשמרים אצלנו רק כטביעה (hash), ומפתח מוצג פעם אחת. כל קריאה בודקת מחדש שהחיבור פעיל, שהחשבון לא חסום, שהצוות לא חסם חיבורים ומה החבילה מאפשרת, ונרשמת ביומן הגישה לפני שהתוכן נשלח. יש מגבלה של 120 קריאות בדקה לחשבון. בחיבור הזה, מילות חיפוש, ושם או מייל של משתתף, מתקבלים רק בגוף הבקשה ולא בכתובת שלה, כי כתובות נשמרות ביומני הבקשות של השרתים.
• •קריאת קישורים בטוחה: כשהמערכת קוראת דף אינטרנט בשבילכם, היא מסרבת לכתובות פנימיות ולרשתות פרטיות.

• •בלי אימון: OpenAI ו-Anthropic מקבלים את הטקסט דרך ה-API שלהם, ולפי התנאים שלהם תוכן כזה אינו משמש לאימון המודלים. ספקי התמלול מקבלים את השמע כדי לתמלל אותו. Soniox, ספק התמלול הראשי, מצהיר שהשמע והתמלולים אינם משמשים לאימון. לפי התנאים של ElevenLabs, הם רשאים להשתמש בתוכן כזה לשיפור המודלים שלהם, אלא אם השימוש בוטל בהגדרות החשבון שלנו אצלם; בחשבון שלנו הוא בוטל. אפשר לבחור בהגדרות של החשבון ("בלי ElevenLabs") שהשמע של הפגישות, השיחות וההקלטות של החשבון שלכם לא יישלח ל-ElevenLabs, גם לא דרך ספק הבוט (Recall.ai); פגישה שמוקלטת מחשבון אחר כפופה להגדרה של אותו חשבון ושל הצוות שלו. בוט המאמן החי מתמלל אז דרך המנוע של Recall.ai, והשורות שלו מגיעות באיחור. ההגדרה חלה על מה שמתחיל אחרי שנשמרה: שיחה או בוט שכבר פעילים עשויים להמשיך כמו שהתחילו. בעלי צוות יכולים גם להפעיל אותה לכל חברי הצוות, כולל עצמם והמנהלים: כל עוד היא פעילה לצוות, היא חלה על כל חבר בו, גם אם ההגדרה בחשבון שלו כבויה. כשהבדיקה של ההגדרה, בחשבון או בצוות, נכשלת, השמע לא נשלח ל-ElevenLabs באותה פעם.
• •שיחה חיה בלי שמירת שמע: בשיחה חיה עם המאמן לא נשמר קובץ שמע. נשמר רק הטקסט, בחשבון שלכם.
• •בוט גלוי: בוט ההקלטה מצטרף לפגישה כמשתתף גלוי, ו-SmartChat מופיע תמיד בשם שלו. ברירת המחדל: SmartChat Notetaker.
• •שליטה בהיסטוריה: אפשר לכבות את השימוש של המאמן בהיסטוריה עם הלקוח, בשיחה אחת או בהגדרות.
• •המאמן לומד מכם רק בהסכמה: הלמידה כבויה עד שתאשרו אותה. מה שהמאמן למד נשמר בחשבון שלכם בלבד, וזה לא אימון של מודל AI.
• •הגנה מפני מחירים מומצאים בתסריטים: מחיר או הטבה שה-AI כתב בתסריט שיחה, ושלא מופיעים במקור המחירים שלכם, בטקסט שלכם או במדיניות ההנחות, מוחלפים בקוד בסימון [מחיר] או [הטבה]. זה מצמצם את הסיכוי למחיר מומצא, אבל לא מבטיח את זה בכל ניסוח. במאמן החי זו הנחיה למודל, לא בדיקה בקוד.
• •הגנה מפני מספרים מומצאים בשאלות של מנהל: ב"המנהל שואל" המספרים מחושבים במסד הנתונים, מאותן שיחות שהמנהל כבר רואה, וה-AI רק מבין את השאלה ומנסח את התשובה. ניסוח שה-AI הכניס בו מספר משלו, או שיבץ בו מספרים במקום הלא נכון, נדחה בקוד, ומוצג הנוסח הקבוע של המערכת. זה מצמצם את הסיכוי למספר מומצא או לא במקומו, אבל לא מבטיח שכל ניסוח של ה-AI מדויק. המערכת לא שולחת ל-AI תמלולים, ציטוטים, שמות של שיחות או שמות של נציגים, חוץ ממה שהמנהל כתב בשאלה עצמה: את השמות בתשובה היא משלימה בעצמה.

• •מחיקת פגישה: מוחקת את התמלול, התובנות וההקלטה, וגם את הקלטת הבוט אצל Recall.ai, בדרך כלל תוך דקות. נשארים משימות שהועתקו לרשימת המשימות, אנשי קשר ועסקאות ב-CRM, אירועי יומן, ופוסטים וסרטונים בסטודיו, עד שתמחקו אותם, ומה שכבר נשלח במייל או לחיבורים נשאר אצל הנמען. ביומן הגישה נשארות השורות של הפגישה (מי צפה בה ומתי, בלי כותרת ובלי תוכן), בשם "פגישה שנמחקה", עד 365 יום מכל צפייה. גישת תמיכה שנתתם לפגישה נסגרת כשהיא נמחקת.
• •מחיקה אחרי משלוח ("המידע נשמר אצלכם"): כשההגדרה פעילה, בחשבון שלכם או כחובה של בעלי הצוות, כל פגישה שנשלחה בהצלחה לשרת שלכם, והשרת אישר שקיבל אותה בהחזרת מזהה המשלוח, נמחקת מ-SmartChat מיד, אחרי 24 שעות או אחרי 7 ימים, ולא לפני שהקישור להקלטה פג. המחיקה עוברת באותו מסלול כמו מחיקת פגישה מהמסך, כולל ההקלטה אצל Recall.ai ומייל האישור, ומוחקת גם את המשימות שנוצרו מהפגישה ברשימת המשימות. פגישה שלא הגיעה לשרת שלכם לא נמחקת: כל עוד ההגדרה פעילה, המשלוח כולל גם את התמלול המלא, את הניתוח כולו ואת המשימות, תשובה בלי מזהה המשלוח נחשבת משלוח שנכשל, משלוח שלא צורף אליו הקישור להקלטה לא מוחק את הפגישה, ואם המשלוח האחרון של הפגישה נכשל, היא נשארת. נשאר מה שנשאר אחרי כל מחיקה של פגישה (למעלה), חוץ מהמשימות, ובכלל זה אירוע היומן שלה (אירוע שסונכרן נמחק 30 יום אחרי שהסתיים), ומה שנשלח לספקי התמלול וה-AI נמחק אצלם לפי התנאים שלהם (מדיניות הפרטיות, סעיף 7).
• •ניקוי אוטומטי: שיחה חיה שהסתיימה ולא נשמרה כפגישה מתרוקנת מתוכן תוך כ-8 ימים: בדיקה לילית מרוקנת שיחות שהסתיימו לפני יותר מ-7 ימים.
• •אצל ספקי התמלול: קובץ שנשלח לתמלול ב-Soniox, ספק התמלול הראשי, נמחק אצלו יחד עם התמלול מיד כשהתמלול מסתיים. מה שנשלח לספקי התמלול האחרים כפוף לתנאי השמירה שלהם, ומחיקה אצלנו לא מוחקת אותו שם.
• •קישורי שיתוף: אתם יוצרים אותם, הם פגים אחרי 24 שעות, 7, 30 או 90 ימים לפי בחירתכם, ואפשר לבטל אותם בכל רגע. הדף המשותף לא כולל את התמלול, ההקלטה וכתובות המשתתפים. מהקישור עצמו נשמר אצלנו רק גיבוב (hash), ועותק של מה שהדף מציג נשמר עד שהקישור פג או מבוטל, ונמחק תוך שעה אחרי זה. פתיחות הקישור נרשמות ביומן הגישה שלכם, שורה אחת לכל היותר בכל דקה לקישור, בלי לזהות מי פתח אותו, ונשמרות 365 יום.
• •שליטה בהקלטות: אפשר לבחור שהבוט יקליט שמע בלבד, למחוק רק את ההקלטה של פגישה ולהשאיר את התמלול והסיכום, ולקבוע מחיקה אוטומטית של הקלטות (אחרי 7, 30 או 90 ימים) או של פגישות שלמות (אחרי 30, 90 או 365 ימים). המחיקה רצה פעם ביום, מוקדם בבוקר. אחרי כל שינוי באחת משתי התקופות, גם כיבוי שלה, המחיקה האוטומטית של החשבון כולו מושהית ל-24 שעות, ואחר כך היא פועלת לפי ההגדרות החדשות. בוט שכבר נשלח או תוזמן שומר אצל Recall.ai את המחיקה שנקבעה לו אז (מדיניות הפרטיות, סעיף 7). כשמחיקה של פגישה מסתיימת, גם אצל Recall.ai, נשלח מייל שמאשר אותה, בלי כותרת ובלי תוכן.
• •יומן: מאירוע שאין בו קישור לפגישה מקוונת לא נשמרים התיאור והמוזמנים, ואירועים שסונכרנו נמחקים 30 יום אחרי שהסתיימו.
• •מחיקת חשבון: אפשר לבקש אותה בעצמכם, בתפריט החשבון ("החשבון והמידע שלי"). המחיקה מתבצעת 7 ימים אחרי הבקשה, ועד אז אפשר לבטל אותה באפליקציה או בקישור החתום שבמייל. בעלי צוות שיש בו חברים מוחקים קודם את הצוות. המחיקה מוחקת את החשבון כולו: הנתונים במסד הנתונים, כל הקבצים שהעליתם או שנוצרו בשבילכם, וההקלטות והתמלולים אצל Recall.ai. אם יש מנוי, החשבון נמחק רק אחרי שווידאנו מול SUMIT שהחידוש בוטל. נשארות רק רשומות מצומצמות שהחוק מחייב, או שנדרשות כדי למנוע ניצול לרעה ולתעד את המחיקה, כמו רשומות תשלום בלי שיוך לחשבון ורשומה טכנית של המחיקה בלי תוכן, כמפורט במדיניות הפרטיות. צפיות של מנהל או של בעלים של צוות שמחקו את החשבון שלהם נשארות ביומן הגישה של הנציגים שבהם צפו, עם מזהה פנימי של החשבון שנמחק, בלי שם וכתובת (הנציג רואה "מנהל הצוות" או "בעלי הצוות"), עד 365 יום מכל צפייה.
• •ייצוא המידע: פעם ביום אפשר לייצא קובץ ZIP עם המידע של החשבון, מאותו מקום, כולל יומן הגישה כפי שהוא מוצג ב"פרטיות וגישה לתוכן" וגישות התמיכה שנתתם (בלי ההערה). ההקלטות והקבצים שהעליתם לא בקובץ, ויש בו רשימה שלהם. ההורדה רק מתוך החשבון, בקישור של 10 דקות, והקובץ נמחק אחרי 7 ימים.
• •יומן הגישה: כל שורה ביומן הגישה, של צפייה של מנהל או של בעלי הצוות, של פתיחת קישור שיתוף, של צוות התמיכה, של מנהל המערכת או של חיבור שחיברתם (Claude, ChatGPT, מפתח API), נשמרת 365 יום ונמחקת בבדיקה הלילית שאחריהם. גישת תמיכה שנתתם נשמרת 365 יום אחרי שנסגרה, בלי ההערה שכתבתם בה: ההערה נמחקת כשהגישה נסגרת, ולכל המאוחר בבדיקה הלילית שאחרי.
• •חיבורים שנותקו: חיבור או מפתח API שנותק נשמר 365 יום (השם, מתי נוצר, מתי השתמשו בו לאחרונה ולמה נותק), כדי שיומן הגישה ימשיך להציג מי קרא, ואז נמחק.
• •גיבויים: עותקי גיבוי עשויים להישמר לזמן מוגבל אצל ספקי התשתית.

• •סקירת אבטחה: שינויים עוברים סקירת אבטחה ממוקדת וסקירת קוד לפני שהם עולים לאוויר.
• •בדיקות אוטומטיות: יותר מאלף בדיקות אוטומטיות, שאנחנו מריצים לפני שמעלים שינוי.
• •תלויות: אנחנו בודקים מעת לעת את ספריות הצד השלישי לחולשות ידועות, ומעדכנים לפי הצורך.

אנחנו עונים על שאלוני אבטחת מידע של ספקים, ומפנים לדפי האמון (trust center) של ספקי התשתית, שבהם אפשר לבקש את דוחות הביקורת שלהם. עוד אין לנו נוסח מוכן של הסכם עיבוד נתונים (DPA). לארגונים עם דרישות מחמירות נשמח לבחון יחד התאמות.

בשקיפות מלאה: SmartChat עצמו אינו מחזיק כרגע בהסמכה בלתי תלויה משלו (כמו ISO 27001 או SOC 2). מה שכתוב בעמוד הזה הוא מה שהמערכת עושה בפועל, והתקנים שמופיעים בסעיף 2 הם של ספקי התשתית.

מצאתם חולשה או משהו שנראה לא תקין? כתבו לנו: privacy@smartchat.co.il. נבדוק כל דיווח ונחזור אליכם.

אם יתגלה אירוע אבטחה שנוגע למידע שלכם, נודיע לכם במייל תוך 72 שעות מרגע שנודע לנו עליו: מה קרה, איזה מידע הושפע, מה עשינו, מה כדאי לכם לעשות ואיך לפנות אלינו. נדווח גם לרשות להגנת הפרטיות כשהחוק מחייב זאת.

לפני שנוסיף ספק שמקבל תוכן של פגישות, או נעביר עיבוד כזה למדינה חדשה, נודיע לכם במייל לפחות 14 יום מראש. זה לא כולל את מיקום העיבוד אצל Anthropic, שהיא קובעת בעצמה.