מדיניות פרטיות — Cybertis Platform
עדכון אחרון: 18 בספטמבר 2026
1. מבוא והיקף
1.1. מדיניות זו מתארת כיצד Cybertis | סייברטיז, ח.פ. 36741742, רחוב הבנים 58, הרצליה ("Cybertis", "אנחנו") אוספת, משתמשת, שומרת ומגינה על מידע בפלטפורמת ניהול הציות platform.cybertis.co.il, לרבות פורטל הלקוחות, מרכז האמון, הטפסים הציבוריים והאפליקציות לחיבור מערכות צד שלישי — ובהן "Cybertis Connectors" ב-Microsoft 365 / Entra ID, Google Workspace, GitHub ו-monday.com ("הפלטפורמה").
1.2. מדיניות זו משלימה את מדיניות הפרטיות הכללית של Cybertis, המתפרסמת בכתובת www.cybertis.co.il/privacy-policy וחלה על אתר התדמית ועל ערוצי הפנייה של החברה. העקרונות זהים — מזעור מידע, שקיפות, אי-מכירת מידע ואבטחה בהתאם לדין — ומסמך זה מפרט את יישומם בפלטפורמה. במקרה של סתירה לגבי מידע המעובד בפלטפורמה — תגבר מדיניות זו.
1.3. ממונה הגנת הפרטיות (DPO) של Cybertis: רותם שיינס. פניות: privacy@cybertis.co.il · 03-3030151.
2. התפקיד שלנו: בעל שליטה או מחזיק
2.1. מידע של הלקוח. ביחס למידע שהלקוח מזין לפלטפורמה או מחבר אליה (פרטי עובדים, ספקים, נושאי מידע, זהויות והרשאות ממערכות מחוברות, ראיות ומסמכים), הלקוח הוא בעל השליטה במאגר המידע, ו-Cybertis פועלת כמחזיק (מעבד) מטעמו, לפי הוראותיו ובהתאם להסכם השירותים ולהסכם עיבוד המידע. נושא מידע המבקש לממש זכויות ביחס למידע כזה מתבקש לפנות לארגון הרלוונטי; פנייה שתגיע אלינו תועבר ללקוח ללא דיחוי.
2.2. מידע של משתמשי הפלטפורמה. ביחס לפרטי החשבון של המשתמשים, יומני הפעילות והאבטחה, ופניות תמיכה — Cybertis היא בעלת השליטה.
3. המידע שאנו מעבדים
| קטגוריה | פירוט | מקור |
|---|---|---|
| פרטי חשבון | שם, דואר אלקטרוני, טלפון (אם נמסר), ארגון, תפקיד והרשאות, שפת ממשק, סיסמה מגובבת (hash), סוד אימות דו-שלבי מוצפן | המשתמש / מנהל הלקוח / Cybertis |
| יומני אבטחה ושימוש | מועדי התחברות, כתובת IP, סוג דפדפן, פעולות שבוצעו (Audit Log), ניסיונות כניסה כושלים | נאסף אוטומטית |
| תוכן ציות | שאלונים ותשובות, הערכות סיכונים, מצאי נכסים ומאגרי מידע, נהלים, ראיות, משימות, ממצאים, דוחות | הלקוח וצוות Cybertis |
| נתוני כוח אדם | שם עובד, דואר אלקטרוני ארגוני, מחלקה, תפקיד, מנהל, מועדי קליטה וסיום, סטטוס הדרכות ותהליכי קליטה/עזיבה | הלקוח (הזנה, ייבוא קובץ או מחבר) |
| נתוני מחברים | זהויות והרשאות מהמערכות שהלקוח חיבר — ראו סעיף 4 | ספק המערכת, באישור מנהל הלקוח |
| פניות ציבוריות | בקשות נושאי מידע (DSAR), תשובות ספקים לשאלוני אבטחה, בקשות גישה למסמכי מרכז האמון — כולל שם, דואר אלקטרוני ותוכן הפנייה | הפונה |
| תקשורת | הודעות מערכת ודואר אלקטרוני שנשלחו, פניות תמיכה | המשתמש / המערכת |
איננו אוספים בפלטפורמה מידע למטרות פרסום, ואיננו רוכשים מידע אישי מצדדים שלישיים.
4. מחברים למערכות צד שלישי
4.1. עקרונות. חיבור מתבצע רק ביוזמת הלקוח ובאישור בעל הרשאת ניהול מטעמו. ההרשאות הן לקריאה בלבד, למעט יכולות כתיבה נקודתיות שהלקוח מפעיל במפורש. המטרה היחידה: מצאי זהויות והרשאות, סקירות גישה, מדדי אבטחה וראיות ציות עבור אותו לקוח.
4.2. מה המחברים אינם קוראים. המחברים אינם ניגשים במערכות הלקוח לתוכן הודעות דואר, לקבצים ולמסמכים (OneDrive, SharePoint, Google Drive), לצ'אטים, ליומנים או למאגרי קוד המקור, ואיננו מקבלים או שומרים סיסמאות של משתמשי הקצה.
4.3. פירוט לפי ספק:
| ספק | אופן החיבור | הרשאות | המידע שנקרא |
|---|---|---|---|
| Microsoft 365 / Entra ID — אפליקציית "Cybertis Connectors" | Admin Consent של Global Administrator; הרשאות יישום (Application) ב-Microsoft Graph | User.Read.All, Group.Read.All, Organization.Read.All, RoleManagement.Read.Directory, AuditLog.Read.All, UserAuthenticationMethod.Read.All, Reports.Read.All, Policy.Read.All, IdentityRiskyUser.Read.All | משתמשים ואורחים (שם, UPN/דואר, סוג, סטטוס), קבוצות, תפקידי ניהול, רישיונות, מצב רישום MFA וסוגי אמצעי האימות (ללא פרטי האמצעי עצמו), מועד כניסה אחרון, מדיניות Conditional Access, משתמשים בסיכון, פרטי הארגון ומנויים |
| Google Workspace | OAuth 2.0 של מנהל Workspace (או חשבון שירות של הלקוח) | openid, email, admin.directory.user.readonly, admin.directory.group.readonly, admin.directory.orgunit.readonly; באישור נפרד: admin.reports.audit.readonly, admin.directory.device.mobile.readonly | כתובת הדואר של המנהל המאשר (לאימות שמדובר בחשבון Workspace); משתמשים, קבוצות, יחידות ארגוניות, סטטוס מנהל ואימות דו-שלבי; באישור נפרד — יומני ביקורת ומכשירים ניידים |
| GitHub — אפליקציית "Cybertis Connectors" | התקנת GitHub App בידי Owner של הארגון | קריאה: Metadata, Administration, Members, Organization administration, Copilot Business, Actions, Dependabot alerts, Checks. קריאה וכתיבה: Issues | חברי הארגון, תפקידים ומצב 2FA; רשימת מאגרים, נראות והגנות ענף; מושבי Copilot; ריצות Workflow, התרעות Dependabot ו-Checks; ללקוחות מודול SSDLC — דוחות סריקת אבטחה שנשמרו כ-Artifacts של ריצות ה-Workflow (דוחות אלה עשויים לכלול קטעי קוד קצרים שהסורק סימן, והם נשמרים לאחר הסרת סודות); פתיחה וסגירה של Issues לתיקון ממצאים. אין הרשאת Contents — המאגר וקוד המקור עצמם אינם נקראים |
| monday.com | OAuth 2.0 | me:read, users:read, account:read; באישור נפרד: boards:read, boards:write, updates:write | משתמשי החשבון ותפקידיהם; באישור נפרד — יצירת פריטי משימה לממצאים |
| מערכות נוספות (Okta, Jira, GitLab, Zendesk, OpenAI, Anthropic, Base44, Cloudflare, Vercel ועוד) | מפתח API שמספק הלקוח, או ייבוא קובץ | לפי המפתח שהלקוח הנפיק; מומלץ מפתח לקריאה בלבד | רשימת משתמשים, תפקידים, מצב MFA כשהוא זמין, ומדדי תצורה רלוונטיים |
4.4. אחסון אסימונים ומפתחות. אסימוני OAuth ומפתחות API נשמרים מוצפנים (AES-256-GCM) עם מפתח נפרד הניתן לרוטציה, ואינם מוצגים שוב לאחר השמירה. בחיבורי Microsoft 365 ו-GitHub לא נשמר אצלנו סוד של הלקוח כלל; הגישה מתבצעת באסימונים קצרי-מועד.
4.5. ניתוק. בניתוק מחבר אנו מבטלים את ההרשאה אצל הספק ככל שהדבר אפשרי, מוחקים את האסימונים והמפתחות, ומסמנים את הזהויות שיובאו כמחוקות. תמונות מצב (Snapshots), היסטוריית סנכרון וממצאים נשמרים כראיות ביקורת עבור הלקוח עד למחיקתם לפי סעיף 8. להסרה מלאה על הלקוח להסיר גם את האפליקציה בצד הספק (Enterprise Applications ב-Entra ID; Installed GitHub Apps; "אפליקציות צד שלישי" ב-Google).
4.6. מידע מ-Google APIs. השימוש של Cybertis Platform במידע המתקבל מ-Google APIs, והעברתו לכל יישום אחר, יעמדו בדרישות Google API Services User Data Policy, לרבות דרישות השימוש המוגבל (Limited Use). מידע זה משמש אך ורק להצגת מצאי הזהויות ומדדי האבטחה ללקוח שחיבר את החשבון; הוא אינו משמש לפרסום, אינו נמכר, ואינו משמש לפיתוח, לשיפור או לאימון של מודלי בינה מלאכותית כלליים.
4.7. מידע מ-Microsoft Graph ומ-GitHub משמש באותו אופן ובאותן מגבלות: לטובת הלקוח שאישר את הגישה בלבד, ללא שימוש פרסומי, ללא מכירה וללא אימון מודלים.
5. מטרות השימוש והבסיס החוקי
5.1. מטרות: אספקת הפלטפורמה ושירותי ה-CISO, ה-DPO והייעוץ ללקוח; אימות זהות וניהול הרשאות; הפקת דוחות, ראיות והתרעות; טיפול בבקשות נושאי מידע ושאלוני ספקים עבור הלקוח; אבטחת הפלטפורמה, מניעת שימוש לרעה וחקירת אירועים; תמיכה; עמידה בחובות שבדין.
5.2. בסיס חוקי: ביצוע ההתקשרות עם הלקוח והוראותיו (כמחזיק); הסכמת מנהל המערכת בעת חיבור מחבר; אינטרס לגיטימי באבטחת הפלטפורמה; וחובה חוקית. בפניות ציבוריות — הסכמת הפונה והצורך לטפל בפנייתו.
5.3. איננו מקבלים החלטות אוטומטיות בעלות השפעה משפטית על יחידים. ממצאים והתרעות (למשל "עובד שעזב ועדיין מחזיק בגישה") מוצגים לגורם אנושי אצל הלקוח לצורך בדיקה והחלטה.
6. בינה מלאכותית (AI)
6.1. יכולות ה-AI מופעלות ברמת הלקוח. לקוח רשאי להשבית אותן או להגביל את הספקים המותרים, ובמקרה כזה לא נשלח מידע לספק ה-AI.
6.2. לפני שליחת טקסט לספק AI מופעל מנגנון הסרה אוטומטי של מזהים — מספרי זהות, טלפונים, כתובות דואר אלקטרוני, מספרי כרטיסי אשראי וחשבונות בנק, מפתחות API וסודות. המנגנון פועל במאמץ מיטבי ואינו מהווה ערובה מוחלטת; לכן אין להזין לשדות חופשיים מידע רגיש שאינו נדרש.
6.3. כל קריאה ל-AI מתועדת ביומן ייעודי (ספק, מטרה, קטגוריות שהוסרו). ספקי ה-AI פועלים כמעבדי משנה בתנאים מסחריים שלפיהם המידע אינו משמש לאימון המודלים שלהם.
7. מעבדי משנה והעברת מידע אל מחוץ לישראל
| ספק | תפקיד | מיקום עיבוד |
|---|---|---|
| Vercel | אירוח היישום, אחסון קבצים (Blob), יומני תשתית | האיחוד האירופי (פרנקפורט) ורשת גלובלית |
| Neon | מסד נתונים PostgreSQL מנוהל | ארה"ב |
| Upstash | Redis — הגבלת קצב ותורי עבודה | האיחוד האירופי / ארה"ב |
| Resend | שליחת דואר אלקטרוני מהמערכת | ארה"ב |
| Cloudflare | הגנה מפני בוטים בטפסים ציבוריים (Turnstile) | גלובלי |
| Anthropic, OpenAI | מודלי שפה — רק ללקוחות שהיכולת פעילה אצלם | ארה"ב |
| Microsoft, Google, GitHub, monday.com ואחרים | מקור הנתונים של המחברים — לפי בחירת הלקוח | לפי הספק |
העברת מידע אל מחוץ לישראל נעשית בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ובכפוף להתחייבויות חוזיות של הספקים לאבטחה ולסודיות. רשימה מעודכנת של מעבדי המשנה תימסר ללקוח לפי בקשה, ושינוי מהותי בה יפורסם במדיניות זו.
איננו מוכרים או משכירים מידע אישי. מידע יימסר לצד שלישי נוסף רק בהוראת הלקוח, או כשהדבר נדרש על פי דין או צו של רשות מוסמכת — ובמקרה כזה נודיע ללקוח ככל שהדין מתיר.
8. שמירת מידע ומחיקה
| סוג מידע | תקופת שמירה |
|---|---|
| תוכן הלקוח ונתוני מחברים | למשך ההתקשרות. לאחר סיומה — החזרה או מחיקה בתוך 90 יום, אלא אם נקבע אחרת בהסכם השירותים או שהדין מחייב שמירה |
| אסימונים ומפתחות של מחברים | עד ניתוק המחבר — נמחקים מיד עם הניתוק |
| תמונות מצב, היסטוריית סנכרון ויומן פעולות (Audit Log) | כראיות ביקורת למשך ההתקשרות, ולאחריה כאמור לעיל |
| פרטי חשבון משתמש | עד הסרת המשתמש, ולאחר מכן לתקופה הנדרשת לצורכי אבטחה ותיעוד |
| גיבויים | מחזור גיבוי מתגלגל; מידע שנמחק נעלם מהגיבויים בתום המחזור |
| מסמכים חשבונאיים וחוזיים | 7 שנים, כנדרש בדין |
מחיקה בפלטפורמה מתבצעת בשלב ראשון כמחיקה לוגית (הרשומה מוסתרת ואינה נגישה), ומחיקה סופית מתבצעת בהתאם למדיניות השמירה או לבקשת הלקוח.
9. אבטחת מידע
אנו מיישמים אמצעי אבטחה בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 ולעקרונות ISO 27001, ובהם: הפרדה לוגית בין לקוחות בכל שכבות היישום; הרשאות לפי תפקיד ועקרון הצורך לדעת; אימות דו-שלבי; הצפנה בתעבורה (TLS) והצפנת סודות ומפתחות במנוחה; יומן פעולות לכל שינוי במידע; הגבלת קצב והגנה מפני שימוש לרעה; תהליך פיתוח מאובטח הכולל סריקות קוד, סודות ותלויות ובדיקות אבטחה תקופתיות; גיבויים ותוכנית התאוששות. מידע נוסף זמין במרכז האמון: trust.cybertis.co.il.
שום מערכת אינה חסינה לחלוטין. באירוע אבטחה חמור נפעל בהתאם לדין, לרבות הודעה ללקוח ללא דיחוי, וכשנדרש — לרשות להגנת הפרטיות ולנושאי המידע.
10. זכויות נושאי מידע
10.1. לפי חוק הגנת הפרטיות, התשמ"א-1981 (לרבות תיקון 13), כל אדם זכאי לעיין במידע שעליו, לבקש את תיקונו או את מחיקתו כשהוא שגוי, לא מעודכן או מוחזק שלא כדין, ולחזור בו מהסכמה שנתן. למי שה-GDPR חל עליו עומדות גם הזכויות לניוד מידע, להגבלת עיבוד ולהתנגדות.
10.2. משתמשי הפלטפורמה יפנו ל-privacy@cybertis.co.il. נשיב בתוך 30 יום לאחר אימות זהות.
10.3. עובדים, ספקים ונושאי מידע של לקוח יפנו לארגון שהוא בעל השליטה במידע. אנו נסייע ללקוח לטפל בבקשה.
10.4. ניתן להגיש תלונה לרשות להגנת הפרטיות במשרד המשפטים.
11. עוגיות
הפלטפורמה משתמשת בעוגיות חיוניות בלבד: עוגיית התחברות מאובטחת, העדפת שפה והגנה מפני זיוף בקשות. אין בפלטפורמה עוגיות פרסום או מעקב של צדדים שלישיים. חסימת העוגיות החיוניות תמנע התחברות.
12. קטינים
הפלטפורמה מיועדת לארגונים ולאנשי מקצוע ואינה מיועדת למי שטרם מלאו לו 18. איננו אוספים ביודעין מידע על קטינים.
13. שינויים במדיניות
נעדכן את המדיניות עם שינויים בשירות, במחברים, בספקים או בדין. תאריך העדכון מופיע בראש המסמך; על שינוי מהותי — לרבות הוספת הרשאה למחבר קיים — נודיע ללקוחות בפלטפורמה או בדואר אלקטרוני. הוספת הרשאה למחבר מחייבת ממילא אישור מחודש של מנהל הלקוח אצל הספק.
14. שפה ויצירת קשר
המדיניות מתפרסמת בעברית ובאנגלית; במקרה של אי-התאמה — הנוסח העברי גובר.
Cybertis | סייברטיז, רחוב הבנים 58, הרצליה 4672558 · ממונה הגנת הפרטיות: רותם שיינס · privacy@cybertis.co.il · 03-3030151