מרכז האמון

בידוד בין לקוחות

ההפרדה בין ארגונים נאכפת ב-Row Level Security ברמת PostgreSQL, לא בשכבת האפליקציה. נכון לספטמבר 2026 מוגדרות 317 מדיניות RLS, ו-RLS מופעל על כל 92 הטבלאות בסכמה — לא על רובן.

• מדיניות RLS מוגדרת לצד כל טבלה ומוצמדת לארגון של המשתמש. באג בשכבת האפליקציה שמנסה לשלוף שורה של ארגון אחר נדחה במסד הנתונים, לא רק בממשק.
• הבידוד נבדק ולא רק מוצהר: חבילת בדיקות אוטומטית מתחברת כמשתמשים של שני ארגונים ומנסה לקרוא נתונים מעבר לגבול ב-44 מתוך 53 הטבלאות המשויכות לארגון, ולכתוב, לעדכן ולמחוק במדגם של הטבלאות הרגישות. היא רצה על כל שינוי קוד ובכל לילה, ובודקת גם שהנתון שנחסם אכן קיים — כך שחסימה לא יכולה לעבור רק משום שלא היה מה לחסום.
• גישת משתתף נקבעת לפי הרישיון שלו ולא לפי הארגון שאליו הוא משויך — כך שלומד ששותף לתכנית של ארגון אחר רואה בדיוק את מה ששויך לו, ולא יותר.
• פעולות בודדות שחייבות לחצות גבולות ארגון רצות בהרשאת שירות. כל נתיב כזה רשום במלאי יחד עם הסיבה שמותר לו, והמלאי נבדק אוטומטית בכל שינוי — נתיב חדש שלא הוכרז מכשיל את הבדיקה.

התוכן שלכם לא מאמן מודלים

זו ההתחייבות החזקה ביותר שיש לנו, והיא חוזית ולא רק הצהרתית.

• התנאים המסחריים של Anthropic, ספק ה-AI המרכזי שלנו, אינם מתירים אימון על תוכן לקוח, ולמסלול הארגוני קיים הסדר Zero Data Retention.
• כל קריאה ל-AI עוברת דרך נקודת גישה אחת בקוד, כך שאין מסלול צדדי שמדלג על ההגדרות האלה.
• אחזור הידע הארגוני הוא לקסיקלי בלבד. הקורפוס שלכם אינו נשלח לספק vector חיצוני ואינו הופך ל-embeddings אצל צד שלישי.

היכן הנתונים יושבים

כל שכבת האפליקציה נמצאת באיחוד האירופי. שכבת ה-AI אינה, וזה מצוין כאן במפורש.

• מסד הנתונים, האחסון וההרצה: פרנקפורט (Supabase eu-central-1 ו-Vercel fra1, co-located).
• דואר, טלמטריה ו-CRM: באיחוד האירופי.
• מחוץ לאיחוד: ספקי ה-AI שמקבלים תוכן לקוח בפועל, וכן Google Analytics באתר השיווקי.
• ריבונות נתונים בתוך ישראל היא דרישה אחרת, והיא אינה מתקיימת היום.

מחיקה ושמירה

• קבצי מקור שמועלים ליצירת תוכן AI נמחקים מחיקה קשיחה תוך 24 שעות, ותהליך יומי אוסף גם קבצים שנשארו מאחור אחרי כשל.
• קובץ שמועלה כמקור ידע נמחק מיד עם סיום העיבוד; מה שנשמר הוא הטקסט המפוענח, לא הקובץ.
• יומן הזהות והניהול נשמר 400 יום ואז נמחק אוטומטית.
• גיבויים יומיים של מסד הנתונים, עם חלון שחזור של שבעה ימים.

אימות, גישה ותיעוד

• כניסה בקוד חד-פעמי למייל. סשנים נשמרים בעוגיות HTTP-only, והתעבורה מוצפנת ב-TLS.
• כתובת שאינה מוכרת למערכת אינה יכולה ליצור לעצמה חשבון דרך מסך הכניסה, ובקשות קוד מוגבלות בקצב.
• יומן פעילות ברמת הארגון מתעד כניסות, הזמנות, שינויי הרשאות וחיבורי מערכות. הוא append-only — גם מנהל הארגון אינו יכול לערוך או למחוק אותו — ונגיש למנהלי הארגון בממשק.
• כשעובד מסומן כעוזב במערכת ה-HR שלכם, ההצעה מגיעה תוך 24 שעות ועוברת אישור אנושי. באישור הגישה נשללת מיידית והסשנים הפעילים מסתיימים. רישיון שעוד לא נוצל משתחרר והמושב שלו חוזר למאגר. רישיון שנוצל נשמר עם היסטוריית הלמידה, והמושב שלו נשאר תפוס.

תשתית ותהליך

• כותרות אבטחה נאכפות בכל תגובה: HSTS, הגנת clickjacking, מניעת ניחוש סוג תוכן, מדיניות Referrer ומדיניות הרשאות דפדפן.
• מדיניות Content-Security-Policy נאכפת: הדפדפן טוען סקריפטים, תמונות, גופנים ומסגרות רק ממקורות שאושרו מראש, וכל חסימה מדווחת אלינו. המדיניות עדיין מתירה סקריפטים inline, ולכן היא מגבילה מאיפה נטען קוד — אבל אינה הגנה מלאה מפני XSS.
• כל שינוי קוד עובר שער אוטומטי של בדיקות, בדיקת טיפוסים ובדיקת lint לפני מיזוג.
• מדיניות גילוי פגיעויות מפורסמת בנפרד, יחד עם קובץ security.txt תקני.

ספקי משנה

הספקים שמעבדים נתונים עבורנו. הרשימה מתוחזקת יחד עם הקוד ונבדקת מחדש מדי רבעון.

מערכות ה-HR שאתם מחברים בעצמכם — HiBob, Finch או Microsoft Entra ID — אינן ספקי משנה שלנו אלא מערכות שלכם. אנחנו קוראים מהן את רשימת העובדים לפי ההרשאה שאתם נותנים, ואפשר לנתק אותן בכל רגע.

מה עוד אין לנו

הרשימה הזו מפורסמת בכוונה. אלה יכולות שלקוח ארגוני עשוי לדרוש ושטרם נבנו — ואם אחת מהן חוסמת אתכם, נשמח לשמוע, כי זה מה שמזיז סדרי עדיפויות.

• תקני SOC 2 ו-ISO 27001 — לא קיימים.
• בדיקת חדירה חיצונית — טרם נערכה.
• כניסה ארגונית מאוחדת (SSO/SAML) ואימות רב-שלבי — מתוכננים ולא זמינים עדיין.
• בדיקות הבידוד האוטומטיות אינן מכסות עדיין את מדיניות הגישה לקבצים מאוחסנים, ו-9 מתוך 53 הטבלאות המשויכות לארגון. כל אחת מהן רשומה, עם הסיבה. בנוסף, הן רצות מול עותק של מבנה מסד הנתונים שמועתק מהפרודקשן אוטומטית בכל לילה. לכן שינוי במדיניות נבדק בלילה שאחרי שהוחל, ולא לפני שהוחל.
• שחזור לנקודת זמן (PITR) — לא קיים. קיימים גיבויים יומיים עם חלון של שבעה ימים.
• מסד נתונים ייעודי לכל לקוח — הכרעה מתועדת ולא פער. הבידוד נאכף ברמת מסד הנתונים.
• הרשאות ברמת מחלקה או סניף — כל ההרשאות היום הן ברמת הארגון כולו.
• תהליך מתועד למחיקה או ייצוא לפי בקשת נושא מידע — בעבודה.

מסמכים בהכנה

הסכם עיבוד נתונים (DPA), הסכם רמת שירות (SLA) ותנאי שימוש ב-AI נמצאים בהכנה. עד לפרסומם נשמח לספק אותם לבקשתכם.

שאלות אבטחה

שאלון אבטחה, בקשה למסמך או דיווח על פגיעות — support@contento.team. מדיניות גילוי פגיעויות