מדיניות פרטיות

מי אחראי על המידע

משרד רואי החשבון שפותח חשבון הוא בעל המאגר: הוא מחליט אילו קבצים להעלות ולמה. ביקורת חכמה היא מחזיק / ספק עיבוד מטעמו — מעבדת את הקבצים רק כדי להריץ את הבדיקות ולהפיק למשרד ממצאים וניירות עבודה.

פניות של עובדים או של לקוחות המשרד (עיון, תיקון, מחיקה) — דרך המשרד, שהוא בעל המאגר.

אילו נתונים נשמרים

• משתמשי המשרד: שם, מייל, סיסמה (רק בגרסה מוצפנת חד־כיוונית — scrypt), סוד האימות הדו־שלבי (מוצפן), ויומן כניסות.
• קבצים שהמשרד מעלה: ספרי הלקוח, ריכוז שכר, קובץ 126, דיווחי 102, העברות בנק, פלטי ביט ופייבוקס. כבר בקליטה, לפני שמשהו נשמר: מספרי זהות מוחלפים בקוד, שמות עובדים בראשי תיבות, ומספרי חשבון בקוד (בנק וסניף נשמרים). בביט ופייבוקס נשמר לצד ראשי התיבות גם קוד לכל מילה בשם (באותה שיטה כמו מספרי הזהות), כדי שאפשר יהיה להתאים את התנועה לרישום בכרטסת — בלי לשמור את השם.
• מפתח זיהוי מוצפן: לכל קוד של מספר זהות נשמרים גם המספר והשם האמיתיים — מוצפנים (AES-256-GCM, במפתח נפרד מהמסד), כדי שרואה החשבון יראה בממצאים ובייצוא לאקסל על איזה עובד מדובר. הם נפתחים רק בהצגה למשתמשי המשרד, הייצוא נרשם ביומן, ולמודל השפה נשלחים רק הקודים.
• מה לא נשמר בכלל: כתובת, טלפון, מייל ודרכון של עובדים, ומקובץ 126 — תאריך לידה מלא (רק חודש ושנה), מצב משפחתי, פרטי בן/בת זוג, ילדים ונכות.
• מה עדיין נשמר כמו שהוא: טקסט חופשי בקבצים — תיאורי פקודות יומן ו״פרטים״ בכרטסת, ותיאור תנועות בביט ופייבוקס. אם יש בהם שמות, הם נשמרים.

למה משתמשים בנתונים — ולמה לא

• רק כדי להריץ את הבדיקות עבור המשרד ולהציג לו את התוצאות.
• לא נמכרים, לא מועברים לצד שלישי לשיווק, ולא משמשים לאימון מודלים של בינה מלאכותית.
• המערכת לא שולחת את הקבצים לשירותי בינה מלאכותית ולא מדווחת לשום רשות.
• חריג אחד, רק כשמשתמש מפעיל בעצמו "בדיקה חופשית": הבקשה שלו, שמות העמודות, עד 5 שורות לדוגמה ותוצאות חישובים (עד 30 שורות בכל פעם) נשלחים ל־Anthropic כדי שמודל השפה יתכנן את הבדיקה. מספרי זהות, שמות עובדים וחשבונות בנק כבר מותממים בקליטה; אבל תיאורי פקודות בספרי הלקוח לא מותממים, ויכולים להגיע לשם אם הבדיקה נוגעת בספרים. הקבצים המלאים לא נשלחים, והחישובים רצים במערכת. לפי תנאי Anthropic לחשבונות API, המידע לא משמש לאימון מודלים.

איפה הנתונים ומי ספקי המשנה

אבטחה

• כל התעבורה מוצפנת (HTTPS), והמסד מוצפן במנוחה.
• הפרדה מלאה בין משרדים; בתוך המשרד — הרשאות לפי תפקיד (שותף, מנהל ביקורת, מכין, צפייה), ומכין רואה רק תיקים ששובץ אליהם.
• אימות דו־שלבי, ואפשרות לשותף לחייב אותו לכל הצוות. נעילה אחרי ניסיונות כניסה שגויים, והגבלת קצב.
• יומן פעולות: קליטת קבצים, צפייה בתיקים, ייצוא, שינויי הרשאות ומחיקות.
• המפתח של ההתממה נשמר מחוץ למסד הנתונים. מי שמחזיק גם במפתח יכול עקרונית לשחזר מספר זהות — לכן זו התממה ולא אנונימיזציה.

כמה זמן נשמר ואיך מוחקים

• הנתונים נשמרים עד שהמשרד מוחק אותם.
• מחיקת תיק: שותף מוחק מתוך התיק — נמחקים כל הקבצים, הממצאים, ההסברים וניירות העבודה. ביומן נשאר רק רישום שהתיק נמחק, מי מחק ומתי.
• מחיקת משתמש או משרד שלם: בבקשה — מבוצעת ידנית (אין עדיין כפתור לכך).
• גיבויים אוטומטיים של ספק המסד נמחקים במחזור הגיבוי שלו.

אירוע אבטחה

אם יתגלה חשד לגישה לא מורשית לנתונים — נודיע למשרדים שנפגעו בלי דיחוי, עם מה שידוע: מה נחשף, מתי, ומה נעשה.