מדיניות פרטיות — be.tipul ו־be.trainer

בקצרה

• המטופלים שלך — המידע שלך. את/ה מחליט/ה מה נשמר. אנחנו שומרים ומעבדים אותו רק כדי לתת לך את השירות.
• באירופה. המידע הקליני נשמר במסד נתונים באיחוד האירופי, מוצפן בתעבורה ובמנוחה. ה־AI מעובד באיחוד האירופי (Amazon Bedrock, פרופיל EU). ספקי המשנה ומיקומיהם מפורטים בנספח.
• AI עם פסאודונימיזציה, רק בהסכמה. שימוש ב־AI על תיק מטופל/ת אפשרי רק אם המטפל/ת הפעיל/ה אותו וגם תיעד/ה את הסכמת המטופל/ת. לפני השליחה, שם המטופל/ת, פרטי קשר ומזהים ישירים מוחלפים אוטומטית (זו פסאודונימיזציה, לא אנונימיזציה: שמות של אנשים אחרים או פרטים הקשריים בטקסט חופשי עלולים להישאר). המידע לא משמש לאימון מודלים.
• שום דבר לא נכנס לתיק בלי אישור. כל תוצר AI הוא הצעה, עד שאישרת.
• הקלטה רק בהסכמה. השמע מתומלל ונמחק מיד; התמליל נמחק אחרי האישור.
• בלי פרסום ובלי מעקב באפליקציה. אין בתוך המערכת כלי אנליטיקה או פרסום, והמידע לא נמכר. באתר השיווקי, ורק אם אישרת, נמדד באמצעות Google Analytics איך משתמשים באתר, ובאמצעות Google Ads אם הגעת אלינו ממודעה ונרשמת.
• ייצוא ומחיקה בכל עת. הכול יוצא בקובץ אחד, ואפשר למחוק את החשבון.
• be.trainer. אותם כללים חלים על מאמני כושר ועל המתאמנים שלהם, כולל הצהרות בריאות (מידע רגיש). מה שנוסף בעסק כושר מפורט בסעיף 4.6.

1. מבוא ותחולה

1.1. מדיניות זו מתארת איך be.tipul ("השירות", "אנחנו") אוסף, משתמש, שומר, מעביר ומגן על מידע אישי, כולל מידע רגיש על מטופלים שמטפלים מזינים לשירות.

1.2. המדיניות חלה על אתר השירות, על אפליקציית הרשת למטפלים, על עמודי חתימה וזימון שנשלחים למטופלים, ועל הודעות שהשירות שולח (אימייל, ותזכורות לפגישות ב־WhatsApp ממספר של be.tipul — ראו סעיף 7.2ב). הודעות WhatsApp אחרות נשלחות מהטלפון של המטפל/ת, לא מהשירות.

1.3. המדיניות היא חלק מתנאי השימוש ומהסכם עיבוד הנתונים (DPA) שבין be.tipul לבין המטפל/ת. במקרה של סתירה לגבי מידע על מטופלים, הסכם עיבוד הנתונים גובר.

1.4. השימוש בלשון מסוימת הוא לנוחות בלבד ומתייחס לכל המגדרים.

2. מי אנחנו ואיך פונים אלינו

2.1. השירות מופעל על ידי עוסק יחיד הרשום בגרמניה (Einzelunternehmen): Maayan Ben David (be.tipul), Torstraße 72, 10119 Berlin, גרמניה, (יעודכן לפני ההשקה) ("המפעיל").

2.2. פניות בנושאי פרטיות: privacy@be-tipul.co.il. דיווח על אירוע אבטחה או חולשה: security@be-tipul.co.il. תמיכה כללית: support@be-tipul.co.il ובוואטסאפ +491783605717.

3. תפקידים: מי אחראי למה

3.1. המטפל/ת הוא/היא בעל/ת השליטה במידע על המטופלים שלו/ה ("בעל המאגר" לפי חוק הגנת הפרטיות, ו־controller לפי ה־GDPR). המטפל/ת מחליט/ה איזה מידע לאסוף, לאיזו מטרה ולכמה זמן, ואחראי/ת לקבל את הסכמת המטופלים ולמסור להם את המידע הנדרש.

3.2. be.tipul מחזיק ומעבד את המידע עבור המטפל/ת ("מחזיק" לפי החוק, processor לפי ה־GDPR), רק כדי לתת את השירות ולפי הוראות המטפל/ת, כמפורט בהסכם עיבוד הנתונים.

3.3. לגבי המידע על המטפל/ת עצמו/ה (פרטי חשבון, מנוי, תשלום, יומן פעולות), be.tipul הוא בעל השליטה.

3.4. be.tipul אינו נותן טיפול, אינו גורם רפואי ואינו מקבל החלטות קליניות.

4. איזה מידע נאסף

4.1. מידע על המטפל/ת

• פרטי זיהוי וקשר: שם, אימייל, טלפון, סוג העבודה הטיפולית, שם הקליניקה ואתר (אם נמסרו).
• פרטי התחברות: סיסמה (נשמרת רק כגיבוב מוצפן ולא כטקסט), שיטת אימות דו־שלבי, ומזהי חיבור. בכניסה עם Google נשמרים שם, אימייל ומזהה החשבון בלבד, בלי גישה ל־Gmail, ל־Drive או ליומן Google. חיבור ליומן Google הוא חיבור נפרד, רק אם המטפל/ת בחר/ה בו (סעיף 7.2ג).
• הגדרות מקצועיות: לשון פנייה, השכלה, ניסיון, גישות טיפוליות, קהל יעד, משך ותעריף פגישה, פרוטוקולים, סגנון, העדפות כתיבה ומגבלות לעוזר ה־AI. רוב הפרטים נאספים בהיכרות הקצרה אחרי ההרשמה, וכולם רשות.
• מנוי ותשלום: מצב המנוי, מועדי חיוב ופרטי חשבונית. פרטי כרטיס אשראי נשמרים אצל ספק התשלומים בלבד ולא אצלנו.
• יומן פעולות: יצירה, שינוי, ביטול, פתיחת תיק, ייצוא ומחיקה, כולל מועד הפעולה, בלי תוכן קליני.
• הזמנת קולגות: קוד ההזמנה האישי, מי הצטרף/ה דרכו והאם עבר/ה למנוי. המזמין/ה רואה רק מספרים, בלי שמות.
• תמונה אישית ולוגו, אם הועלו: מוקטנים לפני השמירה, בלי נתוני מיקום מהמצלמה.
• יומן הדרכות, רק אם המטפל/ת משתמש/ת בו: מועד ההדרכה, שם המדריך/ה (רשות) ומה שהמטפל/ת כתב/ה או הכתיב/ה (מוצפן), והתובנות שבטי, עוזרת ה־AI, הציעה ממנו. היומן פרטי למטפל/ת ואינו חלק מהרשומה הטיפולית; תובנה נכנסת לתיק מטופל/ת רק אחרי שהמטפל/ת אישר/ה אותה.
• העדכון החודשי: אם ביקשת אותו, ומתי (סעיף 5.3.1), ואילו עדכונים נשלחו אלייך.

4.2. מידע שהמטפל/ת מזין/ה על מטופלים (בהיקף שהמטפל/ת בוחר/ת)

• פרטים אישיים: שם או כינוי, טלפון, אימייל, גיל, מגדר, מגורים, עיסוק.
• פרטי הטיפול: סיבת הפנייה, מטרה משותפת, שלב בטיפול, פרוטוקול, גורם מפנה, מחיר לפגישה.
• תיעוד קליני: רשומות פגישה ותיקונים, תרגולים, נושאים פתוחים, טפסים ושאלונים, מדדים, רקע משפחתי, היסטוריה טיפולית, תיעוד להערכת סיכון, שימוש בחומרים.
• יומן: מועדי פגישות, תזכורות והודעות שנשלחו.
• חיבור ליומן חיצוני (Google Calendar, Apple, Outlook), רק אם המטפל/ת הפעיל/ה אותו: כתובת מינוי פרטית שהיומן החיצוני קורא ממנה מועדי פגישות. כברירת מחדל מופיעים רק המועד והכותרת "פגישת be.tipul", בלי שם המטופל/ת ובלי תוכן. אפשר לבחור להציג כינוי, לבטל את הקישור או להחליף אותו בכל עת. מה שנכנס ליומן החיצוני כפוף לתנאי הספק של אותו יומן.
• סנכרון דו־כיווני עם Google Calendar, רק אם המטפל/ת חיבר/ה אותו (סעיף 7.2ג): מזהה האירוע ב־Google לכל פגישה, כתובת האימייל של חשבון Google, אסימון גישה מוצפן, ושעות ההתחלה והסיום של אירועים אחרים ביומן Google של המטפל/ת (בלי שם האירוע, משתתפים או תיאור).
• תזכורות WhatsApp, רק למטופלים שבחרו WhatsApp ואישרו תזכורות (סעיף 7.2ב): מועד השליחה, הפגישה שאליה התזכורת שייכת, מצב המסירה (נשלחה, נמסרה, נקראה, נכשלה), ומספר הטלפון כגיבוב חד־כיווני. תוכן התזכורות לא נשמר.
• הודעות WhatsApp שמטופלים שולחים למספר של be.tipul ותשובות המטפל/ת (סעיף 7.2ב): הטקסט, מספר הטלפון והשם שמופיע ב־WhatsApp, מוצפנים, ומועדי השליחה והמסירה.
• מסמכים לחתימה: נוסח המסמך, החתימה, מועד החתימה ותיעוד האימות (קוד חד־פעמי שנשלח באימייל).
• תשלומים: בקשות תשלום חודשיות, סכומים ומצב תשלום.
• קבלות וחשבוניות, רק אם המטפל/ת חיבר/ה את תוכנת החשבוניות שלו/ה (כרגע Morning / חשבונית ירוקה): סוג המסמך, מספרו, אמצעי התשלום והקישור למסמך. המסמך עצמו נשמר אצל ספק החשבוניות, בחשבון של המטפל/ת.
• הסכמות: מועד ואופן ההסכמה להקלטה ולשימוש ב־AI.
• תיק זוגי, רק אם המטפל/ת פתח/ה כזה: שם, טלפון ואימייל של בן/בת הזוג השני/ה, החתימה של כל אחד/ת על הסכם הטיפול, והסכמת שניהם להקלטה (הקלטה אפשרית רק כששניהם הסכימו). השם של בן/בת הזוג מוחלף גם הוא לפני שליחה ל־AI (סעיף 6).
• גורמים מממנים, רק אם המטפל/ת הגדיר/ה כאלה: שם הגורם (למשל קופת חולים), התעריף, ההשתתפות העצמית ומספר הספק של המטפל/ת; ובתיק: מספר האישור, מספר הפגישות ותוקפו, הפגישות שנספרו מולו, ומה הוגש ושולם.
• מכתבים ודוחות שהמטפל/ת מפיק/ה מהתיק (הפניה, אישור טיפול ודומיהם): נוסח המכתב (מוצפן) ומועדו. החתימה האישית של המטפל/ת נשמרת פעם אחת בחשבון, ומוצגת רק על מכתבים שהמטפל/ת מפיק/ה.
• EMDR, רק כשהמטפל/ת משתמש/ת בזה: רשימת מטרות (תמונה, אמונות, רגש ותחושה, מוצפנים), ציוני SUD ו־VOC, ויומן בין הפגישות שהמטופל/ת ממלא/ת בקישור האישי.
• חבילות טיפול ומי משלם/ת: מספר הפגישות או המחיר שנקבע, ושם המשלם/ת כשאינו/ה המטופל/ת (למשל הורה).
• קבצים ותמונות שהמטפל/ת מצרף/ת לתיק (למשל הפניה, דוח או צילום של מסמך): הקובץ ושמו נשמרים מוצפנים במסד הנתונים, עד 4MB לקובץ, ונמחקים עם המחיקה בתיק, עם התיק או עם החשבון.

4.3. מידע ממטופלים ישירות

• בעמודי חתימה וזימון עצמי: שם, טלפון, החתימה והמועד שנבחר.
• בשאלון הפרטים שהמטפל/ת שולח/ת לפני האינטייק: שם, תאריך לידה, מגדר, טלפון, אימייל, עיר, עיסוק, איש קשר לחירום, איך הגיע/ה ובמה תרצה/י לעבוד — הכול רשות. הקישור חד־פעמי ותקף ל־14 יום, נשמר אצלנו רק כגיבוב, והתשובות נכנסות לתיק רק כשהמטפל/ת בוחר/ת אילו מהן להעתיק.

4.4. מידע טכני

• כתובת IP, סוג דפדפן ומועדי גישה, לצורכי אבטחה ומניעת שימוש לרעה בלבד.
• ספירת בקשות ל־AI (מספר ומועד בלבד, בלי התוכן).

4.5. מה לא נאסף

• אין באפליקציה כלי אנליטיקה, פרסום או מעקב של צד שלישי. באתר השיווקי בלבד (לא בתוך המערכת) נספרים ביקורים באופן אנונימי באמצעות Vercel Web Analytics: בלי עוגיות, בלי פרטים מזהים ובלי מעקב בין אתרים. בנוסף, רק אם אישרת זאת בהודעת העוגיות באתר: התג של Google נטען בדפי האתר השיווקי ובדפי ההרשמה והכניסה. Google Analytics מודד איך משתמשים באתר (אילו דפים נצפו, מאיפה הגעת, כמה זמן נשארת), ובסיום ההרשמה נשלח ל־Google Ads ול־Google Analytics סימון שההרשמה הושלמה, כדי שנדע אילו ערוצים ומודעות עובדים (ראו סעיף 14.3). Google Signals ופרסום מותאם אישית כבויים. לא נשלח שום פרט על מטופלים, ולא שום תוכן מתוך המערכת.

4.6. בעסקי כושר (be.trainer)

בחשבון של מאמן/ת או סטודיו, המאמן/ת הוא/היא בעל/ת השליטה במידע על המתאמנים, בדיוק כמו מטפל/ת לגבי מטופלים, וכל האמור במדיניות זו על מטופלים חל על מתאמנים. בנוסף:

• הצהרת בריאות: לפי הטופס שבתקנות מכוני הכושר — שם מלא, מספר תעודת זהות (נשמר מוצפן ומוצג רק בעמוד ההצהרה עצמה, לא ברשימות ולא בהודעות), תאריך לידה, התשובות, החתימה (ציור החתימה, השם, המועד והדפדפן), גרסת הטופס ונוסחו. וכן אישור רפואי או הצהרה חתומה על נייר שהעסק מעלה לתיק (קובץ PDF או תמונה, נשמר במסד הנתונים). זה מידע רגיש (בריאות). הוא נשמר בתיק המתאמן/ת ונראה רק לעסק. בלי הצהרה בתוקף (ואחרי "כן" — בלי אישור רפואי), השירות לא מאפשר לקבוע אימון או להירשם לשיעור. 30 יום לפני שההצהרה או האישור מסתיימים, העסק מקבל תזכורת, והמתאמן/ת מקבל/ת רק קישור למילוי הצהרה חדשה.
• לידים: שם, טלפון ואימייל (אם נמסר) של מי שפנה/תה לעסק ב־WhatsApp או מדף העסק, מה ביקש/ה (למשל שיעור ניסיון), מצב הפנייה, ההודעות והערות העסק — מוצפנים. ליד שהופך למתאמן/ת עובר לתיק רגיל.
• סטודיו: שיעורים, הרשמות, רשימת המתנה, נוכחות, חבילות ומנויים, יתרת כניסות, הקפאות, ושכר המאמנים בסטודיו.
• קישור רכישה ציבורי: מי שקונה חבילה מקישור או מדף העסק מוסר/ת שם, טלפון ואימייל (רשות), ומאמת/ת בקוד חד־פעמי שנשלח ב־WhatsApp או באימייל. הקוד נשמר רק כגיבוב ותקף לזמן קצר. אחרי האימות נפתח תיק אצל העסק (או נמצא תיק קיים לפי הטלפון).
• תשלום אונליין והוראת קבע: התשלום עצמו מתבצע בעמוד תשלום של Morning (חשבונית ירוקה), בחשבון של העסק. פרטי כרטיס האשראי מוזנים אצל Morning, ובהוראת קבע לחיוב חודשי גם נשמרים אצל Morning בלבד; הם אינם עוברים דרכנו ואינם נשמרים אצלנו. אנחנו מקבלים מ־Morning רק את מצב התשלום, הסכום, המועד ומזהה העסקה, כדי לסמן את התשלום כשולם (סעיף 7.2ד). הסכמת המתאמן/ת להוראת קבע ומועדה נשמרים.
• WhatsApp: כשהעסק מפעיל זאת, בטי, עוזרת ה־AI, עונה ב־WhatsApp למתאמנים וללידים, קובעת ומזיזה אימונים לפי כללי העסק, ושולחת תזכורות, לוח שבועי והצעה למקום שהתפנה למי שברשימת ההמתנה. ההודעות נשמרות מוצפנות כמו בסעיף 7.2ב, ואינן כוללות מידע מהצהרת הבריאות.
• דף העסק: הדף ב־be-tipul.co.il/c/... ציבורי, לפי בחירת העסק, ומציג רק מה שהעסק בחר להציג (תמונות, טקסט, מחירים, לוח שיעורים בלי שמות משתתפים). סרטון מ־YouTube או מ־Vimeo נטען רק אחרי שהמבקר/ת לוחץ/ת "נגן", ורק אז נוצר קשר עם השרתים שלהם (YouTube נטען מהכתובת youtube-nocookie.com).
• האזור האישי: קישור אישי (בלי סיסמה) שבו המתאמן/ת רואה את האימונים, החבילה והשיעורים שלו/ה. כשהעסק מפעיל זאת, הקישור נשלח אוטומטית לכל מתאמן/ת חדש/ה (ב־WhatsApp למי שאישר/ה הודעות, אחרת באימייל), ואם לא נפתח תוך כ־3 ימים, נשלחת תזכורת אחת. ההודעה כוללת רק את הקישור והסבר איך מוסיפים אותו למסך הבית. נשמרים רק מועד השליחה ומועד הפתיחה האחרונה של הקישור. האזור יכול לפעול כאפליקציה במסך הבית בשם, בצבעים ובלוגו של העסק.
• הפרופיל באזור האישי: המתאמן/ת יכול/ה להעלות תמונת פרופיל (מוקטנת בטלפון לפני ההעלאה ונשמרת במסד הנתונים, בלי נתוני מיקום מהמצלמה), לעדכן בעצמו/ה טלפון, אימייל, תאריך לידה, עיר, כתובת ואיש/אשת קשר לחירום (הם נשמרים ישר בתיק אצל המאמן/ת, והמאמן/ת מקבל/ת התראה שרק מציינת אילו שדות השתנו), ולדרג את הכושר שלו/ה מ־1 עד 5 (נשמרת ההיסטוריה עם תאריכים, כדי שהמאמן/ת יראה מגמה). בפרופיל המתאמן/ת רואה גם את הצהרת הבריאות שחתם/ה עליה, עם מספר תעודת הזהות מוסתר חוץ מ־3 הספרות האחרונות. כל אלה נמחקים עם התיק.
• יומן Google: סנכרון דו־כיווני פועל בעסק כושר כמו אצל מטפל/ת (סעיף 7.2ג).

5. מטרות השימוש במידע

5.1. מתן השירות: תיעוד, יומן, תזכורות, חתימה מרחוק, בקשות תשלום, דוחות ותובנות.

5.2. אבטחה: אימות זהות, מניעת גישה לא מורשית, זיהוי שימוש לרעה ותחקור אירועים.

5.3. תמיכה ותקשורת: מענה לפניות, הודעות מערכת, הודעה על שינויים.

5.3.1. עדכון חודשי (רק בהסכמה). אם ביקשת זאת (בתיבה בהרשמה, בשאלה באפליקציה או במסך החשבון), נשלח לכתובת האימייל של החשבון עדכון פעם בחודש: פיצ׳רים חדשים, מה בנינו בעקבות בקשות, ומבצעים על המנוי שלנו. בלי הסכמה לא נשלח. אנחנו שומרים את הבחירה ואת מועד ההסכמה. אפשר להסיר בכל עת בקישור שבכל עדכון או במסך החשבון, וההסרה חלה מיד. ההסרה לא עוצרת הודעות על החשבון עצמו (כמו סוף תקופת ניסיון, חיוב או אבטחה), שהן חלק מהשירות. העדכון לא מבוסס על תוכן שבתוך המערכת ולא על מידע על מטופלים.

5.4. חיוב וניהול המנוי.

5.5. עמידה בחובות הדין ובדרישות רשויות מוסמכות.

5.6. המידע אינו משמש לאימון מודלי בינה מלאכותית, לפרסום, למכירה, ליצירת פרופילים שיווקיים או למחקר. מידע על מטופלים מעובד רק כדי לבצע את הפעולה שהמטפל/ת ביקש/ה.

5.7. אם נרצה בעתיד להפיק סטטיסטיקה מצרפית על השימוש, נעשה זאת רק על נתונים שאינם מזהים, ונעדכן את המדיניות מראש.

6. בינה מלאכותית (AI)

6.1. האם זה פעיל: תכונות AI על תיקי מטופלים פועלות רק אם המפעיל הפעיל אותן במערכת וגם המטפל/ת בחר/ה להפעיל אותן בהגדרות. ניתן לכבות בכל עת.

6.2. מה ה־AI עושה: מכין תקציר לקראת פגישה, מנסח טיוטת תיעוד מרשימות של המטפל/ת או מתמליל הקלטה, מכין תקציר תיק ועונה על שאלות מקצועיות מתוך מקורות מאושרים. כל תוצר הוא הצעה. רק המטפל/ת מאשר/ת מה נכנס לתיק.

6.2א. שתי רמות תשובה: שאלה מקצועית נענית קודם מתוך התוכן המאושר של be.tipul (ומהתיק, אם נבחר והתכונה פעילה), ומסומנת "מתוך התוכן המאושר". אם אין שם תשובה, נשלחת לספק ה־AI רק השאלה עצמה — בלי שום מידע מתיק, מיומן או ממטופל/ת, ואחרי החלפת שמות ופרטים מזהים — והתשובה מסומנת "תשובת AI כללית", עם הסבר ש־AI יכול לטעות.

6.3. מה ה־AI לא עושה: אינו מאבחן, אינו מעריך סיכון, אינו קובע התאמה לטיפול ואינו נותן המלצה תרופתית.

6.4. הגנה על זהות המטופל/ת לפני שליחה: לפני שמידע נשלח לספק ה־AI, המערכת מחליפה באופן אוטומטי:

• את שם או כינוי המטופל/ת, וכל מילה ממנו (גם עם אות שימוש), בסימן [מטופל/ת];
• שמות של מטופלים אחרים של אותו/ה מטפל/ת בסימן ממוספר, כמו [מטופל/ת 3]. השמות חוזרים לתשובה רק אצלנו, בתוך החשבון;
• כתובות אימייל, קישורים, שמות משתמש ברשתות (@…), תאריכים מלאים עם שנה, כתובות שנכתבו עם המילה "רחוב" או "שדרות", ורצפים של 8 ספרות ומעלה או קודים עם 5 ספרות ומעלה (טלפון, תעודת זהות, חשבון, אסמכתה) בסימנים [אימייל], [קישור], [שם משתמש], [תאריך], [כתובת], [מספר].

השם מוחזר לתוצר רק אחרי שהתשובה חוזרת לשרתים שלנו, כך שספק ה־AI לא רואה אותו.

צילומים וקבצים: בקריאת צילום או קובץ PDF נשלחת לספק ה־AI התמונה עצמה, ומה שכתוב בה אינו מוחלף אוטומטית. לכן לפני כל העלאה המטפל/ת חייב/ת לכסות או למחוק בדף שמות ופרטים מזהים, ולאשר זאת במערכת; בלי האישור לא ניתן להעלות. קובצי Excel ו־CSV נקראים בדפדפן ואינם נשלחים לספק ה־AI.

6.5. שדות שלא נשלחים כלל: פרטי קשר, רקע משפחתי, היסטוריה טיפולית, תיעוד להערכת סיכון ושימוש בחומרים.

6.6. מגבלות: זו הסרה של מזהים ישירים (פסאודונימיזציה), לא אנונימיזציה. ההחלפה האוטומטית אינה מזהה שמות של צדדים שלישיים שנכתבו בטקסט חופשי (למשל בני משפחה, מעסיק, בית ספר או בית חולים), כתובות בלי המילה "רחוב" או פרטים מזהים נדירים. הכללים נבדקים בבדיקות אוטומטיות בכל שינוי בקוד. אנחנו ממליצים לא לכתוב פרטים כאלה בתיעוד, או לכתוב אותם בראשי תיבות.

6.7. הספק ומיקום העיבוד: Amazon Web Services (AWS Bedrock), אזור שטוקהולם, שוודיה, בפרופיל עיבוד של האיחוד האירופי (הבקשה עשויה להיות מעובדת באזור AWS אחר, תמיד בתוך האיחוד האירופי), עם מודלי Claude של Anthropic. הבקשות מעובדות בתשתית של AWS, ו־Anthropic אינה מקבלת אותן.

6.8. אימון ושמירה: עיבוד ה־AI מתבצע באמצעות Amazon Bedrock בתוך האיחוד האירופי. שמירת בקשות ותשובות המודל מושבתת בחשבון, ותיעוד תוכן הבקשות כבוי. לפי תנאי AWS, הקלט והפלט ב־Bedrock אינם משמשים לאימון מודלים ואינם מועברים לספק המודל.

6.9. הקלטת פגישות (אפשרות בלבד, כבויה כברירת מחדל):

• אפשרית רק בזמן פגישה שקבועה ביומן, ורק אחרי שהמטפל/ת אישר/ה בחלון ייעודי שקיבל/ה את הסכמת המטופל/ת, בעל פה או בכתב. מועד ואופן ההסכמה נשמרים.
• השמע אינו נשמר: כל מקטע של כ־45 שניות מתומלל ונמחק מיד.
• התמליל נמחק עם אישור הסיכום, וטיוטת הסיכום שעה אחר כך. טיוטה שלא אושרה נמחקת 7 ימים אחרי הפגישה.
• ספק התמלול: Soniox (Soniox Inc.), בעיבוד באזור האיחוד האירופי. כל מקטע שמע והתמליל שלו נמחקים אצל Soniox מיד אחרי שהטקסט נקרא, והמידע אינו משמש לאימון מודלים. ההתקשרות כפופה ל־DPA של Soniox.

6.9א. הכתבה (כפתור ליד שדות טקסט): המטפל/ת מדבר/ת עד שתי דקות, השמע מתומלל אצל אותו ספק תמלול (Soniox, באיחוד האירופי) והמילים נכתבות בשדה. השמע אינו נשמר, לא אצלנו ולא אצל הספק, ושום דבר לא נשמר בתיק עד שהמטפל/ת שומר/ת.

7. שיתוף מידע וספקי משנה

7.1. אנחנו לא מוכרים, משכירים או משתפים מידע אישי עם צד שלישי לשימושו העצמי.

7.2. אנחנו נעזרים בספקי משנה שמעבדים מידע עבורנו, רק לצורך מתן השירות ותחת חובות סודיות ואבטחה בחוזה. הרשימה המלאה, כולל תפקיד ומיקום, מופיעה בנספח "ספקי משנה" ובעמוד "ספקי משנה" באתר.

7.2א. תוכנת החשבוניות של המטפל/ת. מטפל/ת יכול/ה לחבר את חשבון תוכנת החשבוניות שלו/ה (כרגע Morning / חשבונית ירוקה) כדי להפיק קבלה או חשבונית מתוך תשלום. כשהמטפל/ת מפיק/ה מסמך, נשלחים לחשבון שלו/ה רק הפרטים שנדרשים למסמך ושהוא/היא אישר/ה בחלון ההפקה: השם שיופיע על המסמך, הסכום, אמצעי ותאריך התשלום, התיאור, ואם הוזנו — אימייל לשליחת המסמך ומספר תעודת זהות. השליחה נעשית רק בהוראת המטפל/ת ולכל מסמך בנפרד. ספק החשבוניות פועל מטעם המטפל/ת, לפי ההסכם בינו לבין המטפל/ת, ואינו ספק משנה של be.tipul; המטפל/ת אחראי/ת לבחירתו. אנחנו שומרים רק את מספר המסמך, סוגו והקישור אליו. מפתח החיבור נשמר מוצפן, אינו מוצג שוב, ואפשר לנתק אותו בכל עת. אנחנו ממליצים לא לכלול מידע קליני בתיאור המסמך.

7.2ב. תזכורות ב־WhatsApp. למטופל/ת שבחר/ה WhatsApp כערוץ לתזכורות ואישר/ה תזכורות, התזכורת לפגישה נשלחת ממספר WhatsApp עסקי של be.tipul, באמצעות WhatsApp Cloud API של Meta (Meta Platforms Ireland Limited), שפועלת כספק משנה. ההודעה כוללת את הכינוי של המטופל/ת, שם המטפל/ת, מועד הפגישה, מקומה (קליניקה או קישור לפגישה אונליין) ודרך לפנות אל המטפל/ת, ולא תוכן טיפולי. לפי Meta, הודעות נשמרות אצלה מוצפנות עד 30 יום לצורך מסירה. הודעה שמטופל/ת שולח/ת למספר הזה מגיעה לתיבת ההודעות של המטפל/ת ב־be.tipul (המטפל/ת שתזכורת ממנו/ה נשלחה לאותו מספר), נשמרת מוצפנת ונראית רק למטפל/ת, והמטפל/ת יכול/ה לענות משם; השולח/ת מקבל/ת תשובה אוטומטית שההודעה הועברה. ההודעות נמחקות עם תיק המטופל/ת או עם החשבון. הודעה שלא נמצא לה מטפל/ת מקבלת תשובה כללית ואינה נשמרת. Meta מעבדת את ההודעות בשרתים שלה מחוץ לישראל (באיחוד האירופי ובארה״ב), כמעבד מטעמנו ולפי תנאי עיבוד הנתונים של WhatsApp Business, שבהם Meta מתחייבת לעבד את המידע רק לפי הוראותינו ולשמור על אבטחתו וסודיותו. ההעברה נעשית לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), על בסיס התחייבות זו ומזעור המידע: עובר רק מה שההודעה צריכה (שם או כינוי, מועד, קישור או קוד), בלי מידע קליני או בריאותי.

7.2ג. יומן Google של המטפל/ת. מטפל/ת יכול/ה לחבר את חשבון Google שלו/ה לסנכרון דו־כיווני. אז be.tipul יוצר ומעדכן ביומן Google של המטפל/ת אירוע פרטי לכל פגישה (מועד, הכותרת "פגישה · כינוי המטופל/ת" או שם האירוע הפרטי, וקישור לפגישה אונליין אם יש), בלי הערות ובלי פרטי קשר; וקורא מיומן Google רק את שעות ההתחלה והסיום של אירועים אחרים, כדי להציג אותם כ״תפוס״ ולמנוע קביעת פגישה עליהם. Google פועלת כאן מטעם המטפל/ת, לפי ההסכם בינה לבין המטפל/ת, ואינה ספק משנה של be.tipul. אפשר לנתק בכל עת: אז האירועים העתידיים של be.tipul מוסרים מ־Google, ההרשאה מבוטלת והשעות שנקראו נמחקות. השימוש של be.tipul במידע שמתקבל מ־Google APIs עומד ב־Google API Services User Data Policy, כולל דרישות ה־Limited Use: המידע משמש רק להצגת היומן ולמניעת התנגשויות, לא מועבר לאחרים, לא משמש לפרסום ולא לאימון מודלי AI.

7.2ג1. תשלום אונליין דרך Morning. מטפל/ת או עסק כושר שחיבר/ה את Morning יכול/ה להפעיל בו גם תשלום אונליין (תוסף הסליקה של Morning, בחשבון שלו/ה). אז מטופל/ת או מתאמן/ת שבוחר/ת לשלם מועבר/ת לדף התשלום של Morning, בחשבון של העסק: אנחנו מעבירים ל־Morning את הסכום, תיאור החבילה או הבקשה, ושם, אימייל וטלפון לצורך הקבלה; פרטי האשראי מוזנים בדף של Morning ואינם עוברים דרכנו. Morning מפיק/ה את הקבלה בעצמו/ה ומדווח/ת לנו על מצב התשלום, ואנחנו מאמתים אותו מול Morning לפני שמסמנים ששולם. במנוי חודשי עם חיוב אוטומטי, החיוב נעשה בכרטיס שנשמר אצל Morning (אנחנו שומרים רק מזהה מוצפן של הכרטיס השמור, לא את פרטי הכרטיס), ואפשר לבטל את החיוב החודשי בכל עת, מהאזור האישי או אצל העסק. Morning פועלת מטעם העסק, כמו בסעיף 7.2א, ואינה ספק משנה של be.tipul.

7.2ד. תשלום בקישור דרך Morning. מטפל/ת או עסק כושר שחיבר/ה את Morning (סעיף 7.2א) והפעיל/ה בו סליקה יכול/ה לשלוח בקשת תשלום עם קישור לתשלום באשראי, ובעסק כושר גם הוראת קבע למנוי. Morning פועלת מטעם המטפל/ת או העסק, לפי ההסכם ביניהם, ואינה ספק משנה של be.tipul. אנחנו רק יוצרים את עמוד התשלום לפי הוראת המטפל/ת או העסק ומקבלים את מצב התשלום, ואיננו צד לתשלום. ליצירת העמוד אנחנו מעבירים ל־Morning את הסכום, התיאור, ושם, טלפון ואימייל של המשלם/ת לצורך הקבלה. מפתחות החיבור נשמרים מוצפנים.

7.3. נמסור מידע לרשות מוסמכת רק כשהדין מחייב, ונודיע למטפל/ת אם החוק מאפשר.

7.4. במקרה של מיזוג, מכירה או העברת פעילות, המידע יועבר רק לגורם שמתחייב למדיניות זו, בהודעה מראש של 30 יום למטפלים.

8. העברת מידע מחוץ לישראל

8.1. המידע הקליני נשמר במסד נתונים באיחוד האירופי; עיבוד ה־AI ב־AWS באיחוד האירופי (שטוקהולם, או אזור אחר בתוך האיחוד לפי פרופיל ההסקה). שירותים נוספים ומיקומיהם (כולל רשתות הגשה עולמיות לדפים ציבוריים) מפורטים בנספח ספקי המשנה. העברת מידע מישראל למדינות האיחוד האירופי מותרת לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה). העברה לספקים שמעבדים מידע גם מחוץ לאיחוד (כמו Meta עבור הודעות WhatsApp) נעשית לפי אותן תקנות, על בסיס התחייבות חוזית של הספק לעבד את המידע רק לפי הוראותינו ולאבטח אותו, ובמידע המינימלי הדרוש.

8.2. ספק שמעבד מידע מחוץ לאיחוד האירופי, אם יהיה כזה, יפורט בנספח ספקי המשנה יחד עם הבסיס להעברה (למשל סעיפים חוזיים תקניים, SCCs).

9. אבטחת מידע

9.1. אנחנו מיישמים אמצעים מתאימים לרגישות המידע, ובהם:

• אימות דו־שלבי חובה לכל מטפל/ת: בכל כניסה מדפדפן חדש, בנוסף לסיסמה (או לכניסה עם Google), נשלח קוד חד־פעמי למייל, והכניסה נשמרת לאותו דפדפן עד היציאה ולא יותר מ־14 יום. אפשר (ומומלץ) לעבור בהגדרות לאפליקציית אימות בטלפון; מי שבחר/ה באפליקציה נכנס/ת רק איתה, וקוד במייל לא מחליף אותה. אם הטלפון אבד: אחד מ־10 קודי גיבוי חד־פעמיים, ואז חיבור האפליקציה מחדש; בלי קודי גיבוי — שחזור ידני על ידי התמיכה אחרי אימות זהות. החלטה זמנית מ־20.10.2026, תיבחן מחדש עד 31.12.2026: האם לחייב שוב אפליקציית אימות לפני מעבר למידע אמיתי בהיקף רחב.
• הפרדה בין חשבונות שנאכפת ברמת מסד הנתונים (Row Level Security): מטפל/ת רואה רק את המידע שלו/ה.
• הצפנה בתעבורה (TLS) והצפנה במנוחה אצל ספק האחסון AES-256.
• ניתוק אוטומטי אחרי חוסר פעילות (ברירת מחדל 30 דקות, ניתן לשינוי בין 15 ל־240).
• רשומות פגישה מאושרות נעולות; שינוי נעשה רק כתיקון נלווה, והמקור נשמר.
• יומן פעולות וצפיות בתיקים.
• גישת צוות be.tipul לתוכן קליני אינה חלק מתמיכה רגילה (ראו הסכם עיבוד הנתונים).
• גיבוי יומי אצל ספק מסד הנתונים באיחוד האירופי, מוצפן, נשמר 7 ימים; בדיקת שחזור כל חצי שנה.
• נוהל אבטחת מידע ונוהל טיפול באירוע אבטחה.

9.2. רמת האבטחה: המידע במערכת כולל מידע רגיש (בריאות ונפש). לכן be.tipul מיישמת על כל המידע את אמצעי האבטחה הנדרשים ברמת האבטחה הבינונית לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז־2017, גם כשהמאגר של המטפל/ת מסווג ברמה נמוכה יותר (למשל מאגר המנוהל בידי יחיד). לצד be.tipul יש בעלת הרשאה אחת בלבד לגישה טכנית למערכת (המפעילה), וכל מטפל/ת רואה רק את המידע שלו/ה. הסיווג נבדק מחדש פעם בשנה וכשמספר המטפלים, המטופלים או בעלי ההרשאה משתנה מהותית. קביעת הסיווג של המאגר של המטפל/ת עצמו/ה היא באחריות המטפל/ת כבעל/ת המאגר.

9.3. אף מערכת אינה מאובטחת לחלוטין. אם תגלו חשד לבעיית אבטחה, אנא דווחו מיד ל־security@be-tipul.co.il.

10. אירוע אבטחה

10.1. כל חשד לאירוע אבטחה ייבדק מיד, ותחקור ראשוני יושלם בתוך 24 שעות מהגילוי.

10.2. מטפלים שהמידע שלהם נפגע יקבלו הודעה ללא דיחוי מיותר מרגע הגילוי (היעד הפנימי שלנו: בתוך 48 שעות), עם מה שידוע: מה קרה, איזה מידע, מה עשינו ומה מומלץ לעשות. מידע נוסף יימסר כשיתברר.

10.3. אירוע אבטחה חמור ידווח לרשות להגנת הפרטיות כנדרש בדין, ונסייע למטפלים בחובות הדיווח שלהם כבעלי המאגר.

11. שמירה ומחיקה

11.1. הצעה לתקופות:

11.2. חובות שמירת רשומות טיפוליות חלות על המטפל/ת לפי הדין והכללים המקצועיים. לכן לפני מחיקת חשבון מוצע ייצוא מלא, ומחיקה בלי ייצוא מחייבת אישור מפורש. המטפל/ת אחראי/ת לשמור את הייצוא.

12. זכויות

12.1. מטפלים: עיון, תיקון, ייצוא ומחיקה של המידע בחשבון, ורובן ישירות מתוך המערכת. אפשר גם לבקש להגביל עיבוד מסוים או להתנגד לו, ולהפסיק את העדכון החודשי בכל עת (בקישור שבכל עדכון או במסך החשבון).

12.2. מטופלים: זכויות עיון, תיקון ומחיקה מופנות למטפל/ת, בעל/ת השליטה במידע. פנייה שתגיע אלינו תועבר למטפל/ת בתוך 5 ימי עבודה, ונסייע לו/ה לענות.

12.3. מענה לפניות בנושא פרטיות בתוך 30 יום.

12.4. מותר לפנות לרשות להגנת הפרטיות בישראל, ובמקרים שה־GDPR חל, לרשות הפיקוח על הגנת המידע בגרמניה.

13. קטינים

13.1. השירות מיועד לשימוש מטפלים ומאמנים בלבד. מידע על קטינים מוזן על ידי המטפל/ת, למשל בהדרכת הורים.

13.2. המטפל/ת אחראי/ת לקבל הסכמה מהורה או אפוטרופוס, או מהקטין/ה כשהדין מאפשר.

14. עוגיות (Cookies)

14.1. האפליקציה משתמשת רק בעוגיות הכרחיות להתחברות ולאבטחה. אין עוגיות פרסום או מעקב.

14.2. בצ׳אט עם בטי באתר נשמרת עוגייה הכרחית אחת עם מזהה אקראי, רק כדי להגביל את מספר השאלות ביום. היא לא מכילה פרטים מזהים, לא משמשת למעקב ונמחקת אחרי 30 יום.

14.3. עוגיות מדידה (רשות). באתר השיווקי מוצגת הודעה שבה אפשר לאשר עוגיות של Google Analytics ושל Google Ads או לסרב להן. רק אם אישרת: התג של Google (Google LLC / Google Ireland Limited) נטען בדפי האתר השיווקי ובדפי ההרשמה והכניסה. Google Analytics עשוי לשמור עוגיות (למשל ‎_ga‎, ‎_ga_*‎) כדי למדוד איך משתמשים באתר, ו־Google Ads עשוי לשמור עוגיות (למשל ‎_gcl_au‎, ‎_gcl_aw‎) כדי לייחס הרשמה למודעה שהביאה אותך. בסיום ההרשמה נשלח סימון שההרשמה הושלמה. בלי אישור התג לא נטען כלל. אפשר לשנות את הבחירה בכל עת דרך הקישור ״הגדרות עוגיות״ בתחתית האתר. העוגיות האלה לא קיימות בתוך המערכת עצמה.

15. שינויים במדיניות

15.1. שינוי מהותי יפורסם באתר ויישלח למטפלים באימייל ובתוך המערכת 30 יום לפני שייכנס לתוקף. המשך שימוש אחרי המועד הוא הסכמה לשינוי.

16. דין וסמכות

16.1. על מדיניות זו ועל עיבוד המידע לפיה חל הדין הישראלי, ובכלל זה חוק הגנת הפרטיות, התשמ״א־1981 והתקנות לפיו. בנוסף חלות הוראות הדין האירופי שאין להתנות עליהן, ובכלל זה ה־GDPR, ככל שהן חלות על המפעיל.

16.2. סמכות השיפוט הייחודית בכל עניין הנוגע למדיניות זו נתונה לבתי המשפט המוסמכים בתל אביב־יפו.

16.3. אין באמור כדי לגרוע מזכותו של כל אדם, לרבות מטופלים, לפנות לרשות להגנת הפרטיות בישראל או לרשות פיקוח על הגנת מידע באיחוד האירופי. הרשות המוסמכת לגבי המפעיל היא רשות הגנת המידע של ברלין (Berliner Beauftragte für Datenschutz und Informationsfreiheit).