מדיניות אבטחת מידע

עדכון אחרון: [להשלמה: תאריך כניסה לתוקף]

מסמך זה מסביר כיצד VEYA מגנה על המידע המוחזק במערכת. הוא נכתב בשפה ברורה עבור משתמשים שאינם אנשי טכנולוגיה, לצד פרטים טכניים לגורמים מקצועיים (למשל אנשי אבטחת מידע באולמות/מפיקים המשתפים פעולה עם VEYA).

1. עקרון-העל

VEYA מחזיקה מידע אישי רגיש — פרטי מוזמנים למאות אנשים בכל אירוע — ומתייחסת לאבטחת מידע כתנאי סף לאמון, לא כדרישה פורמלית בלבד. אנו נוקטים גישת "אבטחה מעוצבת מראש" (Security by Design): כל תכונה חדשה נבחנת גם מהיבט אבטחתי לפני שהיא יוצאת לדרך.

2. הצפנה

• הצפנה במעבר (In Transit): כל התקשורת בין הדפדפן/האפליקציה לבין שרתי VEYA מוצפנת באמצעות HTTPS/TLS.
• הצפנת סיסמאות: סיסמאות משתמשים אינן נשמרות כטקסט גלוי — הן עוברות גיבוב (hashing) באמצעות אלגוריתם bcrypt לפני אחסון.
• הצפנה במנוחה (At Rest): בסיס הנתונים של השירות מתארח אצל ספק התשתית Supabase, המיישם הצפנה במנוחה כחלק משירותיו הסטנדרטיים.
• תשלומים (עתידי): כאשר יופעל שירות תשלומים, VEYA לא תאחסן פרטי כרטיס אשראי גולמיים — אלה יעברו ישירות לספק סליקה מוסמך באמצעות Tokenization/Hosted Fields, כך שהיקף החשיפה לדרישות PCI-DSS יצטמצם למינימום הנדרש (SAQ-A או שווה ערך). ראו גם מדיניות ה-AI ורשימת ספקי המשנה לעניין אבטחת מידע המועבר לספקים חיצוניים נוספים (AI, תקשורת, סליקה).

3. ניהול הרשאות ואימות

• אימות מבוסס-טוקן (JWT): כניסה למערכת מבוססת על טוקני JWT הכוללים מזהה גרסה (token_version) המאפשר ביטול מיידי של טוקנים קיימים (למשל בעת שינוי סיסמה או חשד לחשבון פרוץ).
• הגבלת קצב בקשות (Rate Limiting): המערכת מגבילה את קצב הבקשות לנקודות קצה רגישות (כגון כניסה למערכת), כדי לצמצם ניסיונות פריצה אוטומטיים (brute-force).
• הרשאות מדורגות: בעת שיתוף גישה לאירוע עם משתמש נוסף (מפיק/אולם), ההרשאות מוגבלות לתפקידו — כך שגורם חיצוני לא נחשף אוטומטית לכלל המידע האישי של מוזמנים.
• טוקן אישי למוזמן: קישור אישור ההגעה של כל מוזמן מבוסס על טוקן אקראי ובלתי-ניחוש (נוצר באמצעות מנגנון קריפטוגרפי מאובטח), כך שלא ניתן לנחש או לגשת לקישור של מוזמן אחר.

4. ניטור ותיעוד

• יומן ביקורת (Audit Log): פעולות רגישות במערכת — לרבות שינויי הרשאה, פעולות אדמין, אישור תנאי שימוש/מדיניות פרטיות (הסכמות), ופעולות הקשורות למידע אישי (למשל מחיקת אירוע/מוזמן) — מתועדות ביומן ביקורת ייעודי, לצורך שקיפות ויכולת חקירה במקרה הצורך.
• רישום כניסות (Login Events): אירועי כניסה למערכת נרשמים לצורך זיהוי פעילות חריגה.

4.1. טיפול באירועי אבטחה (Incident Response)

VEYA שומרת נוהל פנימי לזיהוי, בלימה וטיפול באירועי אבטחה (למשל גישה בלתי מורשית לנתונים). במקרה של אירוע אבטחה חמור המשפיע על מידע אישי:

• ננקוט צעדים מיידיים לבלימת האירוע ולמזעור הנזק.
• נבחן את החובה לדווח לרשות להגנת הפרטיות בהתאם לתקנות אבטחת מידע (אבטחת מידע), התשע"ז-2017, ולכל דין רלוונטי נוסף (לרבות תיקון 13).
• נודיע למשתמשים הרלוונטיים (בעלי אירועים/משתמשים עסקיים שנפגעו) ללא דיחוי בלתי סביר, ככל שהדבר נדרש בדין או עשוי לסייע להם לצמצם נזק.
• לקוחות עסקיים הפועלים תחת נספח עיבוד הנתונים זכאים ללוחות זמני דיווח כמפורט שם.

5. גיבויים

המערכת מבצעת גיבוי מתוזמן של בסיס הנתונים בכל הפעלה מחדש של השרת (startup), לצורך שחזור מהיר במקרה של כשל טכני. גיבויים נשמרים בנפרד ממערכת הייצור החיה.

6. שרתים ותשתית

השירות מופעל על תשתית ענן של ספקים מוכרים ומאובטחים:

• Vercel — אירוח האתר (Frontend).
• Render — אירוח שרת ה-Backend.
• Supabase (PostgreSQL) — אחסון בסיס הנתונים בסביבת הייצור.

VEYA אינה מפעילה שרתים פיזיים משלה — כל התשתית מבוססת ספקי ענן מוכרים העומדים בסטנדרטים מקובלים בתעשייה. הרשימה המלאה והמעודכנת של כל ספקי המשנה הטכניים (כולל תשתית, AI, תקשורת וסליקה עתידית) מפורטת ברשימת ספקי המשנה.

7. גישה למידע (עקרון המינימום הנדרש)

הגישה למידע במערכת, לרבות בצוות VEYA עצמו, מוגבלת לפי עקרון המינימום הנדרש (Least Privilege) — כלומר, גישה למידע רגיש ניתנת רק למי שצריך אותה לצורך ביצוע תפקידו, ולא באופן גורף.

8. עדכוני אבטחה

VEYA עוקבת אחר עדכוני אבטחה בתלויות התוכנה (ספריות, מסגרות עבודה) בהן היא משתמשת, ומיישמת עדכונים ותיקוני אבטחה על בסיס שוטף ובהתאם לחומרת הממצא.

9. מגבלות ידועות ותהליכי שיפור מתמשכים

לשקיפות מלאה: VEYA היא מוצר בשלב צמיחה פעיל, ואנו ממשיכים לחזק את שכבת האבטחה שלו על בסיס שוטף — לרבות חיזוק מנגנוני הרשאות ברמת שורה במסד הנתונים (Row-Level Security) והרחבת כיסוי הבדיקות האוטומטיות. אנו רואים באבטחה תהליך מתמשך, לא יעד חד-פעמי.

10. דיווח על חולשת אבטחה (Responsible Disclosure)

אם גילית חולשת אבטחה בשירות — נשמח שתדווח/י לנו באחריות ולפני חשיפה פומבית, כדי שנוכל לטפל בה במהירות:

• דוא"ל: [להשלמה: אימייל לדיווח על חולשות/פרצות אבטחה]

אנו מתחייבים לא לנקוט הליכים משפטיים כנגד חוקרי אבטחה הפועלים בתום לב ובאחריות, בהתאם לעקרונות "Responsible Disclosure" מקובלים, ולחקור כל דיווח סביר בהקדם האפשרי.

11. יצירת קשר

לשאלות נוספות בנוגע לאבטחת המידע:

• דוא"ל: [להשלמה: אימייל כללי ליצירת קשר]

מסמכים קשורים: מדיניות פרטיות · מדיניות מחיקת חשבון · תנאי שימוש · רשימת ספקי משנה · נספח עיבוד נתונים