אבטחה ופרטיות
אתם סומכים עלינו עם המידע המסחרי הרגיש ביותר שלכם. אנחנו שקופים לגבי איך אנחנו שומרים עליו, מי ניגש אליו, והיכן הוא נמצא.
אבטחת ליבה
היסודות — כל לקוח ב-DCM מקבל את אלה כברירת מחדל, ללא תוספת תשלום.
הצפנה מלאה
TLS 1.3 בתנועה, AES-256 במנוחה. כל בית מידע מוצפן — מהדפדפן, דרך ה-API, ועד מסד הנתונים וה-Storage.
הפרדת ארגונים ברמת האפליקציה
כל שאילתת מסד נתונים מסוננת לפי org_id באמצעות שכבת אבטחה ייעודית. ארגון A אינו יכול לראות נתונים של ארגון B — לא דרך ה-API, לא דרך ה-UI, ולא דרך ה-Copilot.
ניהול סודות מאובטח
מפתחות API, פרטי גישה ומידע רגיש אחר מאוחסנים ב-Google Secret Manager עם הצפנה וניהול גרסאות. לעולם לא בקוד, לא בקבצי הגדרות, ולא בלוגים.
גיבויים יומיים עם שחזור לנקודת זמן
Cloud SQL מבצע גיבוי יומי אוטומטי ותומך בשחזור לכל נקודת זמן ב-7 הימים האחרונים. אפילו מחיקה שגויה ניתנת לשחזור.
היסטוריית פעילות לכל חוזה
כל חוזה שומר היסטוריה מלאה: מי העלה, מתי נותח, איזה שלבים רצו ב-AI, ומי צפה. לקוחות Enterprise מקבלים יומני ביקורת מלאים על כל פעולה במערכת.
עיבוד AI — לעולם לא לאימון מודלים
תוכן החוזים נשלח לספקי LLM שלנו (Anthropic, Google, Mistral, Cohere) לצורך ניתוח בלבד. כל הספקים מחויבים חוזית שלא להשתמש בנתונים שלכם לאימון מודלים. תוצאות מחושבות נשמרות ב-cache מוצפן ל-7 ימים בלבד, לצורך ביצועים וחיסכון בעלויות.
אבטחה ברמת ארגון
בקרות נוספות שמתאימות לארגונים עם דרישות IT, ציות, ומחלקת אבטחת מידע פנימית. מוגדרות יחד עם הצוות שלנו במסגרת חוזה Enterprise.
SSO (SAML / OIDC)
התחברות אחידה דרך ספק הזהות הארגוני (Azure AD, Okta, Google Workspace, ADFS). כשעובד עוזב את החברה, מחלקת ה-IT מבטלת את גישתו ב-IdP וגישה ל-DCM מתבטלת אוטומטית.
יומני ביקורת מלאים
רישום בלתי הפיך של כל פעולה במערכת: התחברויות, העלאות, מחיקות, עריכות, הזמנת משתמשים, שינויי הרשאות. כולל כתובת IP ו-User Agent. נחוץ לביקורות ציות ולחקירות פורנזיות.
DLP — מיסוך מידע רגיש
מיסוך אוטומטי של מידע אישי רגיש (מספרי ת.ז., טלפונים, כתובות דוא"ל, מספרי חשבון בנק) לפני שליחה לספקי LLM חיצוניים. סימון מים דינמי על כל הורדת PDF ובקרת הרשאות הורדה לפי תפקיד.
ריסטריקציית דאטה אזורית
הבטחה חוזית שכל הנתונים שלכם נשמרים ומעובדים בתוך אזור מוגדר בלבד: ישראל (me-west1) או האיחוד האירופי (europe-west4). כולל אחסון, מסד נתונים, וחישוב LLM דרך Vertex AI באזור הנבחר.
API ציבורי ו-Webhooks
גישה תכנותית ל-DCM עם מפתחות API ייעודיים, rate limiting, ותיעוד OpenAPI מלא. Webhooks חתומים ב-HMAC-SHA256 עם retry אוטומטי. כל קריאה ל-API מתועדת ביומני הביקורת.
SLA מותאם
הסכם רמת שירות מותאם אישית לארגון: זמני תגובה לתקלות (למשל: תקלה קריטית — תגובה תוך שעה), התחייבות ל-uptime של 99.9% או יותר, ופיצוי חוזי במקרה של הפרה.
איפה DCM רץ
DCM בנויה במלואה על Google Cloud Platform. אנחנו יורשים את ההגנות התשתיתיות של Google ואת תעודות הציות שלה.
תשתית Google Cloud Platform
Cloud Run (Compute), Cloud SQL (Postgres), Cloud Storage (קבצים), Secret Manager (סודות), Cloud Tasks (משימות רקע), ו-Firebase Authentication.
תעודות הציות של תשתית Google Cloud המשמשת את DCM:
חשוב לדעת: תעודות אלו מתייחסות לתשתית של Google Cloud Platform ולא ל-DCM עצמה. תעודות ציות של DCM (כגון SOC 2 או ISO 27001) יפורסמו בנפרד כשיושלמו.
מעבדי משנה
השירותים החיצוניים ש-DCM משתמשת בהם כדי להעניק את השירות. לכל ספק יש מדיניות פרטיות ציבורית והתחייבויות חוזיות מולנו.
| ספק | תפקיד | איפה |
|---|---|---|
| Google Cloud Platform | תשתית ענן ראשית (Compute, DB, Storage, Secrets) | me-west1 (תל אביב) · europe-west4 ללקוחות EU |
| Firebase Authentication | זיהוי משתמשים ומתן טוקנים | גלובלי (Google) |
| Anthropic | ניתוח חוזים עם Claude Sonnet ו-Haiku | ארה"ב · EU דרך Vertex AI ללקוחות Enterprise |
| Google Vertex AI | ניתוח מסמכים ארוכים ו-LLM באזורי EU/IL | europe-west4 · me-west1 |
| Mistral AI | OCR למסמכים סרוקים | EU |
| Cohere | Embeddings רב-לשוניים לחיפוש סמנטי | ארה"ב / קנדה |
| WorkOS | SSO (SAML / OIDC) ללקוחות Enterprise | ארה"ב |
| SendGrid | שליחת דוא"ל טרנזקציוני (התראות, הזמנות) | ארה"ב |
אנחנו מתחייבים להודיע ללקוחות Enterprise על כל שינוי ברשימת מעבדי המשנה לפחות 30 יום מראש.
הזכויות שלכם
חוק הגנת הפרטיות הישראלי
DCM פועלת בהתאם לחוק הגנת הפרטיות 1981 ותקנות אבטחת מידע 2017. כל בקשה בנושא פרטיות מטופלת על ידי הצוות שלנו בתוך 14 ימי עסקים.
GDPR (ללקוחות EU)
ללקוחות באיחוד האירופי אנחנו חותמים על DPA (Data Processing Agreement), תומכים ב-regional data residency ב-europe-west4, ומכבדים את הזכויות המלאות של GDPR.
זכות למחיקה
ניתן לבקש מחיקה מלאה של כל הנתונים של הארגון. אנחנו מבצעים זאת בתוך 7 ימי עסקים, כולל הסרה מגיבויים (תוך 30 יום מלאים).
זכות לגישה ולניידות
בכל עת ניתן לייצא את כל החוזים והנתונים הנלווים בפורמטים סטנדרטיים (PDF, JSON, Excel). אין נעילה — הנתונים שלכם, אתם הבעלים.
גיליתם בעיית אבטחה?
אנחנו מעריכים במיוחד חוקרי אבטחה שמדווחים באחריות. שלחו אלינו ונגיב תוך 48 שעות. ברוב המקרים נעדכן אתכם על סטטוס התיקון.
hi@deshen.co