מדיניות פרטיות
הפרטיות שלך ושל מטופליך היא ליבת השירות. מסמך זה מפרט בשקיפות מלאה איזה מידע נאסף, היכן הוא נשמר, מי מעבד אותו, לכמה זמן, ומהן זכויותיך - בהתאם לחוק הגנת הפרטיות, התשמ"א-1981, לתקנות אבטחת מידע התשע"ז-2017 ולתיקון 13 לחוק (בתוקף מ-14.8.2025).
1. תפקידים: מי אחראי על המידע
Clinic-AI היא כלי טכנולוגי. אתה, המטפל, הוא "בעל המידע" (בקר) של מידע מטופליך ונושא באחריות הישירה כלפיהם; Clinic-AI פועלת כ"מחזיקת מידע" (מעבדת) מטעמך ולפי הוראתך בלבד. מידע על מטופלים מוזן על ידך בלבד - איננו אוספים אותו ישירות מהם.
2. איזה מידע נאסף
- מידע על המטפל: שם, אימייל, טלפון, שם עסק, תחום עיסוק, סטטוס מנוי. פרטי אשראי אינם נשמרים אצלנו כלל (הסליקה ב-Grow).
- מידע שאתה מזין על מטופלים: פרטים אישיים, פרטי הורה/אפוטרופוס (בקטינים), תיעוד טיפולי, אינטייק, הקלטות ותמלולים, מדדים, סטטוס תשלומים.
- מידע טכני: יומני פעילות ושגיאות לצורך תפעול ואבטחה. בתוך המערכת עצמה אין שום כלי אנליטיקס של צד שלישי - המדידה פנימית בלבד; מעקב שיווקי קיים בעמודי השיווק הציבוריים בלבד (ראה סעיף עוגיות).
3. מטרות העיבוד
ניהול הקליניקה והתיעוד הטיפולי; תזכורות והודעות (בהסכמת הנמען); תמלול וסיכומי AI; גבייה וחשבוניות; גיבויים; תמיכה טכנית; ואבטחת המערכת. לא לכל מטרה אחרת.
4. בינה מלאכותית - מה בדיוק קורה למידע
- איפה שם המטופל מוחלף בכינוי: בסיכום מפגש, בתדריך שלפני מפגש, בפרופיל המטופל ובהערכת שיקום, במסמכים ובדוחות שמופקים מהתמלולים, בסימון סימני סיכון בתמלול ובבדיקת "מה חסר" בזמן תמלול חי, ובלידים: בניתוח שיחה, בציון החום ובהכנה לשיחה. בעיבודים האלה בלבד, לפני שהטקסט נשלח לספק ה-AI, השם של המטופל או הליד מוחלף בכינוי ("מטופל_א"), גם כשצמודה אליו אות כמו "לדני" או "ודני", וכתובות מייל, מספרי טלפון ותעודות זהות ממוסכים. השם חוזר לפלט רק אצלנו.
- מה ההחלפה לא תופסת: היא מחליפה את השם המלא ואת השם הפרטי של אותו מטופל. שם משפחה לבדו, כינוי חיבה או כתיב אחר של השם נשארים כמו שהם. גם שמות של אנשים אחרים שמוזכרים בטקסט וכתובות מגורים אינם מוחלפים.
- מה נשלח בלי החלפה: כל שאר עיבודי ה-AI מקבלים את המידע כמו שהוא, ובחלקם גם את שם המטופל:
- השיחות של איימי עם מטופלים בוואטסאפ ובאפליקציה, כולל היסטוריית השיחה ונתוני יומן האכילה.
- יומן האכילה: תמונות הארוחות, מה שהמטופל כתב עליהן ותיקונים שלו.
- הוראות שאתה נותן לאיימי (למשל "תזיז את דני לחמישי"), יחד עם רשימת המטופלים והתורים הקרובים. בלי השם אי אפשר לבצע אותן.
- שאלה חופשית על מטופל, סידור רישום של מפגש, משוב על מפגש מתוך התמלול, תוכנית שיעורי בית, תדריך הבוקר, טיוטות הודעה למטופל ומה שאתה כותב בבועת התמיכה.
- בניית תפריט ותוכנית אימון: בלי שם המטופל, אבל עם נתוני הבריאות שנדרשים לבנייה.
- קבצים ותמונות שאתה שולח לאיימי, וקבלות וחשבוניות שנקראות לפנקס. לפעמים מופיעים בהם שם וטלפון של מטופל.
- תמלול הקלטות: קובצי אודיו (הקלטות מפגשים, שיחות עם לידים, הכתבות והודעות קוליות בוואטסאפ ובאפליקציה) נשלחים ל-ElevenLabs כמו שהם, עם כל מה שנאמר בהם, ו-ElevenLabs ממיר אותם לטקסט. הטקסט המתומלל הוא זה שממשיך לעיבוד השפה ב-OpenAI. קובץ האודיו עצמו אינו נשלח ל-OpenAI.
- תמלול מפגישות Google Meet (אם הפעלת): בוט של Recall.ai נכנס לפגישה, מודיע בצ׳אט שהיא מתומללת, ומעביר את הקול ל-ElevenLabs לתמלול בזמן אמת. ההקלטה נשמרת אצל Recall.ai באירופה (פרנקפורט) עד שהתמלול נשמר במפגש, ואז נמחקת, ובכל מקרה לא יותר מ-24 שעות. Recall.ai אינו מעבד את התוכן ב-AI.
- עיבוד שפה ותמונה: טקסט ותמונות נשלחים ל-OpenAI: עם החלפת השם בעיבודים שבסעיף הראשון, ובלעדיה בכל השאר.
- אלה שני ספקי העיבוד היחידים של המערכת בתחום ה-AI. אין ספק עיבוד AI נוסף.
- העיבוד נעשה דרך ממשקי ה-API העסקיים של הספקים, שבתנאיהם המידע אינו משמש לאימון מודלים.
- המידע נשלח לצורך מתן השירות בלבד ואינו נמכר או משותף לכל מטרה אחרת.
- חובתך לקבל מהמטופל הסכמה מדעת לעיבוד מידע טיפולי ב-AI, כחלק מהסכם הטיפול.
5. ספקי משנה (Subprocessors)
| ספק | תפקיד | מיקום |
|---|---|---|
| Railway | אירוח המערכת ומסד הנתונים | ארה"ב |
| Cloudflare R2 | גיבויים מוצפנים | גלובלי |
| OpenAI | עיבוד AI של טקסט ותמונות (סיכומים, איימי, יומן אכילה, הערכות) | ארה"ב |
| ElevenLabs | תמלול הקלטות: מפגשים, שיחות עם לידים, הכתבות והודעות קוליות | ארה"ב |
| Recall.ai | הקלטת פגישות Google Meet לתמלול (אופציונלי, בהפעלתך), נמחקת אחרי השמירה ועד 24 שעות | אירופה (גרמניה) |
| Meta (WhatsApp) / Twilio | שליחת הודעות וואטסאפ | ארה"ב |
| Grow (משולם) | סליקה ותשלומים (PCI-DSS) | ישראל |
| Resend | שליחת אימיילים | ארה"ב |
| Google Calendar | סנכרון יומן (אופציונלי, בהרשאתך) - פירוט בסעיף 16 | גלובלי |
| Gmail | קריאת קבלות וחשבוניות מתיבה שחיברת (אופציונלי) - פירוט בסעיף 16 | גלובלי |
| Google Analytics | סטטיסטיקת שימוש - בעמודי השיווק הציבוריים בלבד | ארה"ב |
| Meta Pixel | מדידת פרסום - בעמודי השיווק הציבוריים בלבד | ארה"ב |
כל הספקים כפופים לתנאי עיבוד נתונים ולחובת סודיות. איננו מוכרים, משכירים או משתפים מידע מעבר לכך.
6. העברות בינלאומיות
חלק מהעיבוד מתבצע בשרתים מחוץ לישראל (ראה טבלה). בהתאם לחוק הגנת הפרטיות, עליך ליידע את מטופליך על כך במסגרת טופס ההסכמה (המערכת כוללת זאת בתבנית האינטייק).
7. אחסון, אבטחה ושמירת מידע
- הצפנת נתונים במנוחה ב-AES-256 (SQLCipher) - בסיס הנתונים והגיבויים מוצפנים על הדיסק; הצפנת תעבורה (TLS 1.3) בכל התקשורת; סיסמאות בגיבוב חד-כיווני בלבד.
- אימות דו-שלבי (2FA) באימייל זמין לכל חשבון - קוד חד-פעמי בכל התחברות (מופעל מההגדרות).
- בידוד מלא בין מטפלים (multi-tenant) עם בקרת הרשאות בכל בקשה; בצוות - הפרדת חשבונות ותפקידים (מנהל/מטפל).
- הגבלות קצב והגנה מפני ניחוש סיסמאות; מדיניות סיסמאות חזקה.
- גיבוי אוטומטי כל 6 שעות + עותק ענן (R2); יומן ביקורת מלא לרשומות רפואיות ונעילת רשומות חתומות.
- תאימות חוק זכויות החולה: נעילת רשומה, תיקון כתוספת מתועדת בלבד, הפרדת רשומה רפואית מתרשומת אישית.
| קטגוריה | תקופת שמירה | בסיס |
|---|---|---|
| חשבון מטפל | עד סגירה + 30 יום | קיום הסכם |
| רשומות רפואיות | 7 שנים לפחות | חוק זכויות החולה ותקנות המקצוע |
| הקלטות אודיו | נמחקות אוטומטית לאחר 30 יום | מזעור מידע |
| יומן ביקורת (audit log) | 7 שנים | תקנות אבטחת מידע 2017 |
| יומני מערכת טכניים | 30 יום | תפעול ואבטחה |
8. גילוי מידע לצד שלישי
מידע יימסר רק ב: צו שיפוטי או דרישת רשות מוסמכת; סכנה מיידית לחיים (בהתאם לחוק זכויות החולה); או בהסכמתך המפורשת.
9. זכויותיך וזכויות מטופליך
מטפלים: עיון בכל המידע, תיקון, מחיקה (בכפוף לחובות שמירה), ייצוא מלא בפורמט דיגיטלי בקליק, והגבלת עיבוד AI.
מטופלים: רשאים לפנות אליך, המטפל, לעיון במידע המתועד עליהם, לתיקונו, למחיקתו (בכפוף לחובת 7 השנים) ולקבלת העתק - והמערכת מספקת לך את הכלים לכך (ייצוא רשומה רפואית).
פניות בנושא פרטיות נענות בתוך 30 יום לכל היותר, בכפוף לאימות זהות. ניתן לפנות גם לרשות להגנת הפרטיות (www.gov.il).
10. קטינים
המערכת אינה מיועדת לשימוש ישיר של קטינים. מידע על מטופלים קטינים מוזן על ידי המטפל בלבד, בכפוף להסכמת הורה/אפוטרופוס כנדרש בחוק זכויות החולה (ובגילאי 15–18 - בהתאם לחריגים שבחוק).
11. עוגיות (Cookies) ומעקב
בתוך המערכת (אזור המטפל, נתוני מטופלים): עוגיות טכניות הכרחיות בלבד (ניהול התחברות מאובטחת) - אפס מעקב צד-שלישי, אפס עוגיות שיווק.
בעמודי השיווק הציבוריים בלבד (עמוד הבית, הרשמה, התחברות, עמודי מידע): פועלים Google Analytics ו-Meta Pixel לצורכי סטטיסטיקה ומדידת פרסום, והם עשויים להציב עוגיות. מעקב זה אינו נוגע בשום מידע טיפולי ואינו פעיל בתוך המערכת.
12. הודעות ודיוור (חוק הספאם)
הודעות וואטסאפ תפעוליות (תזכורות, אישורים) נשלחות במסגרת השירות. הודעות שיווקיות כוללות אפשרות הסרה מיידית (מענה "הסר"); ההסרה נרשמת ונאכפת אוטומטית על כל שליחה עתידית, בהתאם לסעיף 30א לחוק התקשורת.
13. אירוע אבטחת מידע
בחשד לאירוע אבטחה חמור: נפעל לחקירה מיידית ולבלימה; נדווח לרשות להגנת הפרטיות כנדרש בתקנות אבטחת מידע התשע"ז-2017; נודיע למשתמשים שנפגעו בהקדם האפשרי; וננקוט צעדי תיקון. דיווח על חשד - דרך בועת התמיכה במערכת.
14. מחיקת חשבון ונתונים מאפליקציית המטופל/ת
מטופל/ת יכול/ה לבקש מחיקת נתונים ישירות מהאפליקציה: פרופיל ← "בקשת מחיקת נתונים". הבקשה מועברת מיידית למטפל/ת המלווה. בעקבות הבקשה: הגישה לאפליקציה נסגרת, מנויי ההתראות וקישורי הגישה נמחקים, ונתונים שאינם חלק מהרשומה הרפואית מוסרים. הרשומה הרפואית עצמה נשמרת כנדרש בסעיף 17 לחוק זכויות החולה (7 שנים לפחות, כמפורט בטבלת השמירה למעלה) - זוהי חובה חוקית של המטפל/ת שאינה ניתנת לוויתור, והיא קיימת לטובת המטופל/ת.
15. עמידה בתיקון 13
בהתאם לתיקון 13 לחוק הגנת הפרטיות: מזעור מידע (נאסף רק הנחוץ לשירות), הגדרת מטרות עיבוד, מסמך הגדרות מאגר, נהלי דיווח, וזכות המטופל לדעת איזה מידע נשמר עליו. מטפל המנהל מאגר מידע רגיש חב בחובות בעל מאגר - והמערכת מספקת לו את הכלים לעמוד בהן (ייצוא, יומן גישה, נעילת רשומות).
16. שימוש בנתונים מחשבון Google
חיבור חשבון Google הוא אופציונלי לחלוטין ונעשה על ידך, המטפל, בלבד. אין שום חיבור לחשבון Google של מטופלים. המערכת מבקשת רק את ההרשאות המינימליות שהיא באמת משתמשת בהן, וכל אחת מהן מפורטת כאן בנפרד. מטופלים אינם מתחברים ל-Google בשום שלב.
שתי זרימות הרשאה נפרדות: חיבור היומן מבקש הרשאות יומן בלבד, וחיבור תיבת מייל לקבלות מבקש הרשאת קריאה למייל בלבד. מטפל שמחבר רק יומן אינו נשאל על המייל, ולהפך.
| הרשאה (scope) | מה בדיוק נעשה איתה |
|---|---|
calendar.readonly | קריאת שעות פנוי/עסוק מהיומנים שבחרת, כדי שדף התיאום לא יציע מועד שכבר תפוס וכדי שלא ייקבע כפל תורים. אירוע שנוצר במערכת נקרא בחזרה כדי לזהות שינוי מועד או מחיקה שעשית בגוגל. איננו קוראים את תוכן האירועים האישיים שלך מעבר לשדות הדרושים להתאמה (מועד, משך, מזהה, וכותרת של אירוע שהמערכת עצמה יצרה). |
calendar.events | כתיבה של הפגישות של הקליניקה ליומן שלך: יצירה, עדכון מועד וביטול. המערכת נוגעת רק באירועים שהיא יצרה (לפי מזהה שהיא שומרת). היא אינה מוחקת, מעדכנת או מזיזה אירועים אחרים ביומן שלך. |
gmail.readonly | רק אם חיברת במפורש תיבת מייל לקבלות: קריאה של הודעות שנראות כמו קבלה או חשבונית (חיפוש ממוקד לפי מילות מפתח ושולחים של ספקי סליקה וחשבוניות), כדי לרשום את ההוצאה או ההכנסה בפנקס. איננו קוראים את שאר התיבה, איננו שולחים, מסמנים או מוחקים הודעות, ואין הרשאת כתיבה כלל. |
openid, email | זיהוי כתובת המייל של החשבון שחובר, כדי להציג לך איזה חשבון מסונכרן ולמנוע חיבור כפול של אותה תיבה. אין שימוש אחר. |
מה לא נעשה עם המידע הזה, בשום מצב:
- לא לפרסום. מידע מ-Google אינו משמש לפרסום, לפילוח, לרימרקטינג או לכל מטרה שיווקית.
- לא נמכר ולא מועבר. המידע אינו נמכר, מושכר או מועבר לצד שלישי, למעט ספקי המשנה התפעוליים שבטבלה בסעיף 5, ורק לצורך מתן השירות.
- לא לאימון מודלים. המידע אינו משמש לאימון או לשיפור מודלים של בינה מלאכותית, שלנו או של אחרים.
- לא בקריאה אנושית. אף אדם אצלנו אינו קורא את נתוני ה-Google שלך, אלא בהסכמתך המפורשת (למשל בפנייה לתמיכה שדורשת זאת), לצורך אבטחת מידע או חקירת אירוע אבטחה, או כשהדין מחייב.
שמירה, הצפנה ומחיקה. אסימוני הגישה וההתחדשות (tokens) של Google נשמרים בבסיס הנתונים המוצפן (AES-256, SQLCipher), ואינם נחשפים לדפדפן ואינם מגיעים לצד שלישי. הם נמחקים כשאתה מנתק את החיבור וכשהחשבון נסגר. נתוני יומן נשמרים אצלנו רק כמידע המינימלי הדרוש להתאמה (מזהה אירוע ומועד). מתוכן הודעות הקבלות נשמר רק מה שנדרש לרשומת ההוצאה: ספק, סכום, תאריך וקישור למסמך המקורי. גוף ההודעה עצמו אינו נשמר.
איך מנתקים, בכל רגע ובלי לפנות אלינו:
- יומן: הגדרות ← Google Calendar ← ניתוק. הסנכרון נעצר והאסימונים נמחקים מהמערכת.
- תיבת מייל לקבלות: כספים ← הפנקס ← הסרת התיבה מהרשימה.
- וגם מהצד של Google, ובאופן בלתי תלוי בנו: myaccount.google.com/permissions ← Clinic-AI ← הסרת הגישה. ביטול מצד Google מבטל מיד את האסימונים שבידינו.
Limited Use. השימוש של Clinic-AI במידע שמתקבל מ-Google APIs, וההעברה שלו לכל אפליקציה אחרת, עומדים ב-Google API Services User Data Policy, כולל דרישות Limited Use.
Clinic-AI's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Clinic-AI is clinic management software for independent healthcare practitioners. Connecting a Google account is optional and is done by the practitioner only; patients never connect a Google account.
calendar.readonly: read free/busy times from the calendars you select, so the booking page never offers a slot that is already taken, and read back events Clinic-AI itself created to detect a reschedule or deletion. We do not read the content of your other events.calendar.events: create, update and cancel only the clinic appointments Clinic-AI created, identified by an event id we store. We never modify or delete any other event.gmail.readonly: only if you explicitly connect a receipts mailbox, read messages that look like a receipt or invoice (a targeted keyword and sender query) in order to record the expense or income in your books. We do not read the rest of the mailbox, and we never send, label or delete mail.openid,email: identify which Google account is connected, so we can show it to you and prevent connecting the same mailbox twice.
Google user data is never used for advertising, never sold or transferred to third parties beyond the operational subprocessors listed in section 5, and never used to train AI models. No human at Clinic-AI reads your Google data except with your explicit permission, for security investigation, or where required by law.
OAuth tokens are stored in an AES-256 encrypted database (SQLCipher) and are deleted when you disconnect or close your account. You can disconnect at any time in Settings for the calendar, in the Finance ledger for a mailbox, or from myaccount.google.com/permissions.
הסבר מלא ובשפה יומיומית על האינטגרציה, כולל מה קורה מסך אחרי מסך: Clinic-AI ו-Google: יומן וקבלות.
17. שינויים במדיניות
נעדכן מסמך זה מעת לעת; שינוי מהותי יובא לידיעתך באימייל או בהודעה במערכת לפחות 30 יום מראש. תאריך העדכון האחרון מוצג בראש המסמך.