מדיניות פרטיות

1. כללי

CareAlly ("השירות", "אנחנו") מפעילה פלטפורמה לניהול טיפול בילדים בעלי צרכים מיוחדים. מדיניות פרטיות זו מסבירה כיצד אנו אוספים, משתמשים, שומרים ומגינים על המידע האישי שלך בהתאם לחוק הגנת הפרטיות התשמ"א-1981 (לרבות תיקון 13, בתוקף מ-14.8.2025), לתקנות הגנת הפרטיות (אבטחת מידע) התשע"ז-2017, ולתקנת הגנת הנתונים האירופית (GDPR) במידה והיא חלה.

2. מידע שאנו אוספים

• פרטי חשבון: שם, כתובת דוא"ל, תמונת פרופיל (דרך Google OAuth)
• פרטי ילדים: שם, תאריך לידה, אבחנות רפואיות, תרופות, טיפולים, מסמכים רפואיים
• קבצים שאתם מעלים: סריקות, קובצי PDF וצילומים של מסמכים רפואיים. המסמך נשמר כפי שהוא, ולכן כל פרט המודפס עליו — לרבות מספר תעודת זהות, תאריך לידה או תוצאת בדיקה גנטית — נשמר יחד איתו. הטקסט המופק מהמסמך בזיהוי אופטי נשמר בהצפנה.
• הקלטות וידאו ואודיו של הילד: אם תשתמשו במקליט ההתקפים, ההקלטה נשמרת ומשויכת לתיק הילד. הקלטה אינה ניתנת להסתרת פרטים — כל מנגנוני ההסתרה שלנו פועלים על טקסט. לכן הקלטות אינן נשלחות לספקי בינה מלאכותית חיצוניים.
• נתוני שימוש: פעולות באפליקציה, שאלות לעוזר ה-AI, יומן פעילות
• נתונים טכניים: כתובת IP, סוג דפדפן, מזהה מכשיר (לצרכי אבטחה ואנליטיקה)
• מידע תשלום: מעובד על-ידי Stripe בלבד — אנו לא שומרים פרטי כרטיס אשראי

3. כיצד אנו משתמשים במידע

• מתן השירות: ניהול פרופיל הילד, תזכורות תרופות, ניתוח מסמכים רפואיים
• שיפור השירות: אנליטיקה אנונימית לשיפור חוויית המשתמש
• שיפור איכות התשובות: אנו שומרים עותק מצומצם של שאלות ותשובות נבחרות — לאחר הסרת שמות ומזהים — לצורך הערכת איכות ולצורך שיפור עתידי של המודל. העותק כולל את תוכן השאלה והתשובה, ובכלל זה אבחנות ותרופות. הוא נשמר 730 ימים. נכון למועד גרסה זו לא אומן אף מודל על נתוני משתמשים, והעותק אינו נמסר לצד שלישי. ניתן להתנגד לשימוש זה בפנייה אלינו.
• תקשורת: התראות, עדכונים חשובים ופניות תמיכה
• חיוב: ניהול מנויים ועיבוד תשלומים
• אבטחה: זיהוי פעילות חריגה ומניעת שימוש לרעה

4. בסיס משפטי לעיבוד (GDPR Art. 6 + 9)

• הסכמה מפורשת (Art. 9(2)(a)): עיבוד מידע רפואי, ניתוח על-ידי בינה מלאכותית, מחקר חיצוני.
• חוזה (Art. 6(1)(b)): מתן השירות שהוזמן (חיוב, אספקת תכונות).
• אינטרס לגיטימי (Art. 6(1)(f)): אבטחה, מניעת הונאה, זיהוי שימוש לרעה.
• חובה משפטית (Art. 6(1)(c)): שמירת יומני גישה בהתאם לתקנות הגנת הפרטיות (אבטחת מידע) התשע"ז-2017, תקנה 10 (בקרה ותיעוד גישה).

5. מעבדי משנה (Sub-processors)

אנו לא מוכרים ולא משתפים מידע רפואי אישי עם צדדים שלישיים. אנו עובדים עם ספקי שירות מקצועיים שמעבדים נתונים בשמנו. הרשימה המלאה — כולל מטרת העיבוד, מיקום, קטגוריות נתונים וקישור לתנאי העיבוד של כל ספק — מתפרסמת בעמוד נפרד וממוספרת:

← לרשימת מעבדי המשנה המלאה

כל שינוי ברשימה דורש הודעה ל-14 ימים לפחות והסכמה מחודשת. ההסכמה הקודמת לגרסה הישנה נשמרת לצורכי תיעוד ביומן ההסכמות.

5א. העברת מידע מחוץ לישראל (תיקון 13 · GDPR Art. ⁦44–49⁩)

מסד הנתונים, המטמון ומנוע החיפוש שלנו מאוחסנים באיחוד האירופי (גרמניה).

קבצי המקור שאתם מעלים — הסריקות, קובצי ה-PDF, ההקלטות וכן גיבויי מסד הנתונים — מאוחסנים אצל ספק אחסון ענן נפרד (Cloudflare R2). נכון למועד גרסה זו מאגר האחסון שבשימוש אינו מוגבל לתחום שיפוט מסוים, ולכן מיקומם הפיזי של הקבצים אינו מובטח ועשוי להיות מחוץ לאיחוד האירופי. אנו נמצאים בהליך העברה למאגר אחסון המוגבל לאיחוד האירופי, ונעדכן גרסה זו עם השלמתו.

בנוסף, חלק ממעבדי המשנה שלנו מעבדים מידע בארצות הברית:

• ספקי הבינה המלאכותית — Anthropic (המודל הראשי), וכן Google Gemini ו-Groq. אליהם נשלח טקסט רפואי לצורך ניתוח, לאחר הסרת שם הילד, מספר תעודת זהות, טלפון, דוא"ל, כתובת ותאריך לידה. אבחנות, שמות תרופות ומינונים נשלחים במכוון — בלעדיהם התשובה חסרת ערך.
• סריקות של מסמכים נשלחות לניתוח למודל הראשי בלבד, ולא לספקים האחרים. מכיוון שלא ניתן להסתיר פרטים המודפסים בתוך תמונה, המסמך מגיע לספק זה כפי שהוא. הקלטות וידאו ואודיו אינן נשלחות לאף ספק.
• Resend (משלוח אימיילי תזכורת) — רואה את שם הילד, שם התרופה והמינון בגוף ההודעה. Stripe (חיוב). Sentry (ניטור שגיאות).

משמעות הדבר היא שמידע אישי — לרבות מידע רפואי על ילדכם — עובר מחוץ לישראל ולאיחוד האירופי.

העברות אלו מתבצעות על בסיס מנגנון העברה חוקי: סעיפים חוזיים תקניים (Standard Contractual Clauses / SCCs) של הנציבות האירופית ו/או הסמכת EU-US Data Privacy Framework (DPF), בהתאם לתיקון 13 לחוק הגנת הפרטיות ולסעיפים ⁦44–49⁩ ל-GDPR.

מצב ההסכמים, במלוא השקיפות: אנו פועלים מול כל מעבד משנה לפי תנאי עיבוד הנתונים שהוא מפרסם, והקישור לתנאים אלה מופיע לצד כל ספק ברשימת מעבדי המשנה. הליך החתימה על הסכמי עיבוד מידע (DPA) פרטניים טרם הושלם, והוא נמצא בעיצומו. גרסה זו תעודכן עם השלמתו.

השימוש בשירות וההסכמה לעיבוד באמצעות בינה מלאכותית מהווים גם הסכמה להעברת המידע הנדרשת לצורך אספקת השירות. ניתן למשוך את ההסכמה בכל עת דרך הגדרות הפרטיות — משיכה תשבית את תכונות הבינה המלאכותית עבור אותו ילד.

6. אבטחת מידע

• הצפנת TLS 1.2+ בכל העברות הנתונים
• הצפנת AES-256-GCM לשדות המזהים והרפואיים במסד הנתונים
• תוכן השיחות עם העוזר החכם מוצפן במפתח נגזר ייחודי לכל ילד
• וקטורי הטמעה (embeddings) מנוקים מפרטים מזהים לפני אחסון
• יומן ביקורת מלא — כל גישה למידע רפואי נרשמת (מי, על מי, מתי, מאיזו כתובת), בשרשרת חתימות המאומתת מדי יום, כך שמחיקה או שינוי של רשומת ביקורת מתגלים
• גישה תפעולית מוגבלת למספר מצומצם ביותר של בעלי הרשאה; כל פעולה בממשק הניהול נרשמת
• גיבוי יומי של מסד הנתונים, מוצפן במפתח נפרד

מה שחשוב שתדעו: השירות אינו מוצפן מקצה-לקצה. כדי להריץ ניתוח רפואי על המידע, השרת שלנו חייב לקרוא אותו. בנוסף, קבצי המקור שאתם מעלים מוצפנים אצל ספק האחסון במפתח שבשליטתו ולא במפתח שבשליטתנו.

6א. הודעה על פרצת אבטחה (תיקון 13 לחוק הגנת הפרטיות)

אנו מחויבים להוראות תיקון 13 לחוק הגנת הפרטיות התשמ"א-1981 (תוקף 08/2025) ולתקנות הגנת הפרטיות (אבטחת מידע) התשע"ז-2017. במקרה של אירוע אבטחה חמור הכרוך במידע רפואי או בפגיעה משמעותית בפרטיות, אנו מתחייבים:

• לדווח לרשם מאגרי המידע (ברשות הגנת הפרטיות) תוך 72 שעות מגילוי האירוע.
• להודיע למשתמשים המושפעים ללא דיחוי בלתי-סביר, בדוא"ל ובהתראה בתוך השירות.
• לתעד את האירוע, את הפעולות שננקטו ואת ההמלצות למשתמשים ביומן אירועי האבטחה.

6ב. קטינים ואחריות הורית (COPPA-style)

השירות אינו מיועד לרישום ישיר על-ידי קטינים. החשבון נפתח על-ידי הורה או אפוטרופוס חוקי (גיל 18+) שמזין נתונים אודות ילדו. ההורה נדרש לאשר את כשירותו ואת סמכותו ההורית בעת ההרשמה (תוקף ההסכמה מתועד עם חותמת זמן).

למשתמשים אמריקאים: COPPA (16 CFR Part 312) מטיל חובות נוספות כאשר השירות אוסף מידע ישירות מילדים מתחת לגיל 13. CareAlly אינה אוספת מידע ישירות מילדים; כל מידע על קטינים נמסר על-ידי ההורה. אם תתווסף בעתיד תכונת התחברות-ישירה לקטינים, נטמיע מנגנון הסכמה הורית מאומתת (Verifiable Parental Consent) לפני הפעלתה.

הורים יכולים בכל עת לעיין, לתקן, להוריד או למחוק את נתוני ילדם דרך הגדרות → פרטיות והסכמות.

7. שמירה ומחיקה (Data retention)

• פרופיל ילד, מסמכים והקלטות פעילים: נשמרים כל עוד החשבון פעיל
• עותקי שאלות ותשובות לשיפור איכות: 730 ימים (ראו סעיף 3)
• חשבונות / ילדים שנמחקו רכות (soft-delete): 90 ימים, ואז מחיקה קשה
• יומני פעילות (Audit log): 730 ימים (24 חודשים), בהתאם לתקנות הגנת הפרטיות (אבטחת מידע) התשע"ז-2017, תקנה 10
• החלטות AI: 365 ימים
• וקטורי הטמעה (embeddings): 90 ימים. הטקסט הרפואי נשאר; הווקטור עצמו מנוקה כדי למנוע שחזור-טקסט מהווקטור (arXiv 2310.06816).
• מטמון מחקר חיצוני: 7 ימים אחרי תפוגת התקפות הקאש
• חיובים: 7 שנים, בהתאם לחובת שמירה רגולטורית

בקשת מחיקת חשבון מבוצעת תוך 30 ימים, פרט לרשומות שאנו מחויבים לשמור על-פי דין.

8. זכויותיך

• עיון: בקש לצפות בכל המידע השמור עליך
• תיקון: תקן מידע שגוי
• מחיקה: מחק חשבון ונתונים — דרך הגדרות החשבון
• ניוד: קבל עותק של נתוניך בפורמט נגיש (JSON / CSV)
• הגבלה: הגבל עיבוד של נתונים מסוימים
• התנגדות: התנגד לעיבוד המבוסס על אינטרס לגיטימי

לבקשות: privacy@careally.co.il

8א. זכויות תושבי קליפורניה (CCPA / CPRA)

תושבי קליפורניה זכאים לזכויות נוספות תחת California Consumer Privacy Act ו-California Privacy Rights Act:

• Right to Know: מה נאסף, איך משתמשים, ולמי נמסר.
• Right to Delete: בקש מחיקת מידע אישי הנשמר עליך.
• Right to Correct: תקן מידע אישי לא-מדויק.
• Right to Opt-Out of Sale / Sharing: CareAlly אינה מוכרת או חולקת מידע אישי לצורכי פרסום ממוקד.
• Right to Limit Use of Sensitive Personal Information: מידע רפואי משמש רק לאספקת השירות שביקשת.
• Right to Non-Discrimination: מימוש זכויות אלו לא יפגע באיכות השירות.

הגשת בקשת CCPA: privacy@careally.co.il עם הכותרת "CCPA Request". נענה תוך 45 ימים (ניתן להאריך ב-45 ימים נוספים בהודעה).

9. קובצי עוגיות (Cookies)

אנו משתמשים בעוגיות הכרחיות בלבד — אימות זהות, ניהול סשן, מניעת הונאה. אין בשימוש עוגיות פרסומיות או עוגיות מעקב צד-שלישי.

10. ביטול הסכמה (GDPR Art. 7(3))

ההסכמה ניתנת לביטול בכל עת, באותה קלות בה ניתנה. במסך הגדרות → פרטיות והסכמות ניתן לראות את כל ההסכמות הפעילות, לבטל כל אחת בנפרד, ולצפות בהיסטוריית ההסכמות שניתנו (כולל גרסת המדיניות שכל הסכמה הוצמדה אליה).

ביטול הסכמה לקטגוריות "עיבוד מידע רפואי" או "ניתוח על ידי בינה מלאכותית" יחסום את השימוש בתכונות AI עד לחידוש ההסכמה. ביטול קטגוריות אופציונליות (מחקר חיצוני, שיווק, אנליטיקה) אינו פוגע בשימוש בשירות. ביטול הסכמה לא חל למפרע על עיבוד שכבר בוצע כשההסכמה הייתה תקפה.

11. שינויים במדיניות

כאשר מתבצע שינוי מהותי במדיניות זו או ברשימת מעבדי המשנה, גרסת המדיניות מתעדכנת וההסכמה הקיימת נחשבת לבלתי-עדכנית. במצב זה, הפעם הבאה שתבקש להפעיל תכונת AI יוצג לך מסך חידוש הסכמה. הסכמות ישנות נשמרות ביומן ההסכמות כעדות לתנאים שהיו בתוקף.

12. יצירת קשר

לשאלות בנושא פרטיות: privacy@careally.co.il
CareAlly בע"מ, ישראל