מדיניות פרטיות

עדכון אחרון: נובמבר 2026

האתר מופעל על ידי פרדיקל תוכנה, שהיא בעלת השליטה במידע שנאסף בו. לפניות בענייני פרטיות: טופס הפנייה.

איזה מידע נשמר, ולמה

• החשבון: כתובת המייל ומזהה פנימי, כדי לשלוח לכם קוד כניסה ולזהות אתכם. מספר הטלפון שמסרתם בכניסה: האימות הוא רק במייל, ולטלפון לא נשלח קוד. הוא נשמר בחשבון (אצל ספק ההתחברות, Supabase) כדי שנוכל ליצור איתכם קשר בעניין החשבון, ובעתיד עשוי לשמש גם לאימות בטלפון ולתזכורות ב־SMS. תזכורות ב־SMS יישלחו רק אם תבקשו אותן. אפשר לשנות אותו ב«החשבון שלי», והוא נמחק עם החשבון. אם בחרתם סיסמה, ספק ההתחברות (Supabase) שומר אותה רק בצורה מוצפנת חד־כיוונית (hash), ואף אחד, גם לא אנחנו, לא יכול לראות אותה. ספק ההתחברות רושם גם את זמני הכניסה ואת כתובת ה־IP, לצורכי אבטחה ומניעת ניצול לרעה. לפני שליחת קוד או כניסה עם סיסמה, Cloudflare Turnstile בודק שמי שנכנס אינו תוכנה אוטומטית (בוט). בזמן הבדיקה Cloudflare רואה את פרטי הדפדפן ואת כתובת ה־IP. Cloudflare לא מקבלת שום מידע מהמחשבון.
• מה שאתם מזינים במחשבון (שכר, אחוזי נכות, קצבאות, מועדי ועדות, החלטות והערות לוועדה): נשמר בדפדפן שלכם, כדי שהחישוב יחכה לכם כשתחזרו. אם אישרתם «לשמור בחשבון», כל מה שהזנתם נשמר גם בחשבון: הנתונים במחשבון ובשאלון, המועדים, ההחלטות והאחוזים שנקבעו בהן, השעה והכתובת של הוועדה, ההערות שכתבתם, המשימות שסימנתם במסלול והתובנות שסגרתם, כדי שתוכלו לראות ולעדכן אותם מכל מכשיר. זה כולל מידע שעשוי להעיד על מצבכם הרפואי, שהוא מידע בעל רגישות מיוחדת, ולכן הוא נשמר בחשבון רק בהסכמתכם המפורשת.
• תזכורות במייל (אם ביקשתם): כתובת המייל, סוג המועד, התאריך, ואם הזנתם, השעה והכתובת. בלי אחוזים, החלטות או מסמכים. אם אישרתם «לשמור בחשבון», נשלחות לכתובת החשבון גם תזכורות לפני מועדים חשובים שלכם (למשל הגשת ערר): נשמרים רק סוג המועד, התאריך והכתובת, בלי פרטים רפואיים. הן נמחקות 30 יום אחרי המועד, ומיד כשמפסיקים לשמור בחשבון או מוחקים אותו.
• פידבק: הטקסט שכתבתם. כתובת לחזרה ונתוני המחשבון מצורפים רק אם בחרתם בכך.
• מכתב שמעלים לקריאה: הקובץ נקרא במכשיר שלכם, בתוכנה שנטענת מהאתר שלנו ובלי שירות חיצוני. הקובץ והטקסט שנקרא ממנו לא נשלחים אלינו ולא נשמרים, והם נעלמים מהזיכרון כשסוגרים את החלון. נשמר רק מה שאישרתם: תאריכים, שעה וכתובת של ועדה, מספר הוועדה, והאחוזים שנקבעו בהחלטה, כמו כל מה שמזינים בעצמכם. מכתב כולל לעיתים תעודת זהות, כתובת ומידע רפואי, ושום דבר מזה לא נקלט מעבר למה שאישרתם.
• מכתב סרוק שבחרתם לקרוא בענן: הקובץ נשלח בחיבור מוצפן לשרת שלנו, ומשם לשירות זיהוי הטקסט Claude של חברת Anthropic. הטקסט חוזר לדפדפן שלכם, ושם הוא נקרא כמו כל מכתב אחר. אנחנו לא שומרים את הקובץ ולא את הטקסט: לא במסד נתונים, לא בקובץ ולא ביומן. Anthropic מעבדת את הקובץ רק כדי להחזיר את הטקסט, לא משתמשת בו לאימון מודלים, ומוחקת אותו לפי מדיניות שמירת הנתונים שלה. כדי למנוע ניצול לרעה נשמר ערך נגזר חד־כיווני מכתובת ה־IP ומספר הקבצים שנקראו בשעה האחרונה. זה קורה רק אחרי שלחצתם «לקרוא בענן» על קובץ מסוים. כדי שאותו קובץ לא יישלח שוב, נשמרים בדפדפן שלכם בלבד טביעת אצבע של הקובץ (ערך שאי אפשר לשחזר ממנו את הקובץ) ומה שנקרא ממנו: הכותרת, התאריכים וההערות, בלי טקסט המכתב.
• מכתב שהאתר לומד לקרוא: כשמכתב שעוד לא מוכר לנו נקרא בענן, או כשבחרתם ללמד את האתר לקרוא מכתב, הטקסט המנוקה שלו נשלח ל־Claude של Anthropic, שמחזיר «מתכון»: הנוסח הקבוע של סוג המכתב (שם הגוף, נושא המכתב, ואיפה מופיע בו כל תאריך). לפני השמירה נבדק אוטומטית שאין במתכון שם, כתובת, מספר מזהה, טלפון או תאריך, ושהוא קורא נכון את המכתב שממנו נלמד. המתכון נשמר ומשותף לכל המשתמשים, כדי שמכתבים כמוהו ייקראו מעכשיו במכשיר. הטקסט עצמו לא נשמר.
• מסמך רפואי שהעליתם לרצף האירועים הרפואי: כשבוחרים קובץ (סיכום ביקור, מכתב שחרור, תוצאת בדיקה), נשלחים רק שלושת העמודים הראשונים שלו: כשיש בקובץ טקסט, נשלח הטקסט שנקרא ממנו במכשיר שלכם, ואחרת תמונה של העמודים. הם נשלחים בחיבור מוצפן לשרת שלנו, ומשם ל־Claude של חברת Anthropic, שמחזיר את התאריך, שם הרופא, המוסד, המחלקה, האבחנות והבדיקות, ותקציר קצר של מה שכתוב במסמך (הוא נשמר עם המסמך ומוצג כשפותחים אותו בלשונית «מסמכים»). הפרטים ממלאים את הטופס בדפדפן שלכם, ונשמר רק מה שאישרתם בלחיצה על «שמירה», כמו כל אירוע אחר. בשרת לא נשמרים לא הקובץ ולא מה שנקרא ממנו: לא במסד נתונים, לא בקובץ ולא ביומן. Anthropic מעבדת את הקובץ רק כדי להחזיר את הפרטים, לא משתמשת בו לאימון מודלים, ומוחקת אותו לפי מדיניות שמירת הנתונים שלה. אם אישרתם «לשמור בחשבון» והשארתם מסומן «לשמור את המסמך», הקובץ עצמו נשמר בתיקייה פרטית בחשבון שלכם (Supabase Storage; צילום נשמר מוקטן לגודל שמתאים להדפסה): הוא מוצפן באחסון, וההרשאה במסד הנתונים מאפשרת רק לכם לפתוח, להוסיף או למחוק בה קבצים. הוא נפתח רק דרך קישור זמני שתקף לדקה אחת. כדי למנוע ניצול לרעה נשמר ערך נגזר חד־כיווני ממזהה החשבון ומספר המסמכים שנקראו בשעה האחרונה. מסמך רפואי הוא מידע בעל רגישות מיוחדת, ולכן הוא נקרא רק אחרי שבחרתם קובץ, ורק כשאתם מחוברים לחשבון.
• מסמכים שהעליתם בשאלון, אחרי בחירת המסלול («יש לכם מסמכים?»): תלוש שכר, כל מכתב מביטוח לאומי, ממשרד הביטחון, מקרן פנסיה או מחברת ביטוח (הזמנה לוועדה, החלטה, פרוטוקול, בקשת מסמכים, דוח שנתי), ומסמך רפואי. מכתב שהאתר כבר יודע לקרוא נקרא במכשיר שלכם ולא נשלח, כמו ב«העלאת מכתב» (למעלה). כל השאר נקרא כמו מסמך רפואי (למעלה): שלושת העמודים הראשונים נשלחים בחיבור מוצפן לשרת שלנו ומשם ל־Claude של חברת Anthropic, שמחזיר את סוג המסמך ואת הפרטים שהשאלון צריך, למשל שכר ברוטו, היקף משרה ושיעורי ההפרשה לפנסיה מתלוש, אחוזי הנכות, הדרגה, הסכום והמועדים מהחלטה, ושם הקרן, הכיסוי לאובדן כושר עבודה, תאריך ההצטרפות, תקופות האכשרה וההמתנה וסייג למצב קודם מדוח או ממכתב של קרן או חברת ביטוח, והמועדים שבמכתב (הגשת התביעה, ועדה עם השעה והכתובת שלה, החלטה ותוצאתה, מסמכים שנדרשו ועד מתי), שנכנסים למסלול. בשרת לא נשמרים לא הקובץ ולא מה שנקרא ממנו. הפרטים ממלאים את השדות בדפדפן שלכם, וליד כל שדה כתוב מאיזה מסמך הוא מולא, כדי שתוכלו לבדוק ולשנות. תלוש שכר נקרא ולא נשמר בשום מקום. מסמכים מביטוח לאומי, מקרנות ומחברות ביטוח, ומסמכים רפואיים משמשים לתביעה, ולכן אם אישרתם «לשמור בחשבון» הם נשמרים בתיקייה הפרטית שלכם, באותם תנאים כמו מסמך רפואי, ומופיעים בציר הזמן של התביעה, שם אפשר לפתוח או להסיר אותם. בלי שמירה בחשבון, אף קובץ לא נשמר. בלשונית «מסמכים» במחשבון רואים את כל הקבצים השמורים בתיקייה, ואפשר להעלות שם מסמכים נוספים: הם נקראים באותה דרך ונשמרים באותם תנאים, חוץ מתלוש שכר ומסמך שלא קשור לתביעה, שלא נשמרים; מסמך שלא הצלחנו לקרוא נשמר בשם הקובץ. דוח שמכינים שם נבנה במכשיר שלכם מהקבצים שבתיקייה, ולא נשלח אלינו או לאף אחד אחר עד שאתם שומרים אותו במכשיר או משתפים אותו. בחשבון נשמרים רק שם הדוח, למי הוא, אילו מסמכים בו, ותאריך האבחנה המזכה אם אישרתם אותו. כך גם אבחנה ששייכתם בעצמכם למסמך, או שהסרתם ממנו. השם ומספר תעודת הזהות שמקלידים לדוח מלא נכנסים רק לקובץ, ולא נשמרים בשום מקום.
• דוח ששיתפתם בקישור מאובטח: הדוח נבנה ומוצפן במכשיר שלכם (AES-256), ורק הקובץ המוצפן נשמר אצלנו (Supabase Storage). המפתח שפותח אותו נמצא בקישור עצמו, אחרי הסימן #, ולא נשלח אלינו אף פעם, ולכן אנחנו לא יכולים לקרוא את הדוח. המפתח נשמר גם בדפדפן שבו יצרתם את הקישור, כדי שתוכלו להעתיק אותו שוב. את הקישור פותחים רק עם קוד בן 6 ספרות שאתם שולחים בנפרד. הקוד עצמו לא נשמר, רק ערך נגזר חד־כיווני שלו, ואחרי 5 ניסיונות שגויים הקישור ננעל. בחשבון נשמרים: למי הקישור (השם שכתבתם), איזו גרסה (מלאה או ללא פרטים אישיים), גודל הקובץ, מתי נוצר ועד מתי הוא בתוקף, כמה פעמים ומתי נפתח, וכמה ניסיונות שגויים היו. שם הדוח ופרטים רפואיים לא נשמרים. בדף שבו פותחים את הקישור אין Google Analytics או מדידה אחרת. כדי למנוע ניצול לרעה נשמר ערך נגזר חד־כיווני מכתובת ה־IP של מי שמנסה לפתוח, ומספר הניסיונות בשעה האחרונה. אפשר לבטל קישור בכל רגע, והקובץ המוצפן נמחק מיד. כשהתוקף עובר (7 עד 90 ימים, לבחירתכם) הקובץ נמחק תוך יום, והפרטים על הקישור נמחקים 30 יום אחר כך. מחיקת החשבון מוחקת את כל הקישורים והקבצים. מי שפתח את הדוח יכול לשמור עותק שלו, ועל העותק הזה כבר אין לנו שליטה.
• יומן קריאה אנונימי: על כל מכתב שנקרא נשמרת שורה של קודים בלבד: איזה גוף שלח אותו, סוג ההודעה (למשל זימון לוועדה או החלטה), אם נקרא במכשיר או בענן, ואם הקריאה בענן לא הצליחה, למה. בלי הקובץ, בלי טקסט, בלי תאריכים, בלי כתובת IP ובלי קישור לחשבון. כך אנחנו יודעים אילו מכתבים עוד צריכים את הענן. השורות נמחקות אחרי 400 ימים.
• מכתב שלא נתמך (אם בחרתם לשלוח): הטקסט של המכתב אחרי ניקוי אוטומטי של פרטים מזהים ואחרי שראיתם וערכתם אותו, כדי שנוסיף תמיכה במכתבים כאלה. נשלח רק באישור נפרד, בלי הקובץ עצמו, ואינו מקושר לחשבון. אם המכתב מזכיר מצב רפואי, המידע הזה עלול להיות בטקסט, ולכן אפשר למחוק שורות לפני השליחה.
• בתזכורות ובפידבק כתובת ה־IP לא נשמרת בצורתה המקורית: נשמר ערך נגזר חד־כיווני, שמשמש לזיהוי בקשות חוזרות ולמניעת שימוש לרעה.

מידע על אדם אחר

אם אתם ממלאים את המחשבון עבור בן משפחה או אדם אחר, הזינו מידע אישי שלו רק אם אתם מורשים לעשות זאת.

למי המידע מועבר

לא נמכור את המידע, לא נשכיר אותו ולא נעביר אותו לצדדים שלישיים לצורכי פרסום או שיווק. המידע מעובד על ידי ספקי שירות טכנולוגיים שפועלים עבור תברר (אחסון, מסד נתונים, אימות משתמשים ושליחת מייל, ראו בסעיף הבא), רק במידה שנדרשת להפעלת השירות. מידע עשוי להימסר גם אם נהיה חייבים לכך לפי דין.

שיתוף התיק עם עורך דין או סוכן ביטוח

• עורך דין או סוכן ביטוח רואים את התיק שלכם רק אחרי שהסכמתם: כשאתם מזמינים אותם, או כשאתם מאשרים הזמנה שלהם.
• מה הם יכולים לעשות: לקרוא את רצף האירועים הרפואי ואת המסמכים ששמרתם בחשבון, לפתוח אותם, לבנות מהם דוחות ולשלוח אותם בקישור מאובטח, לבקש מכם מסמכים חסרים או חתימה, ולשמור בתיק מסמכים משלהם. כשהם מציינים שדוח הוגש (למשל לקרן הפנסיה), ההגשה מופיעה כשלב במסלול שלכם והמסמכים שבו מסומנים כמוגשים. הם לא יכולים לשנות או למחוק את המידע שלכם.
• ביטול: אפשר לבטל את הגישה בכל רגע בלשונית «מסמכים», בחלק «מי רואה את התיק שלי». כשאיש המקצוע סוגר את התיק, הוא יכול רק לקרוא אותו עוד 90 יום, ואחר כך הגישה מסתיימת.
• מה נשאר אצלם: הדוחות שבנו מהתיק נמחקים כשהגישה מסתיימת. מסמך שאיש המקצוע שמר אצלו או העביר הלאה נמצא באחריותו, לפי החובות שחלות עליו (כמו סודיות עורך דין).
• תיעוד: אנחנו שומרים יומן של הפעולות בתיק (מי פתח מה ומתי) עד 24 חודשים, לאבטחה ולבירור מחלוקות.

איפה המידע נשמר ומי רואה אותו

הספקים הם Supabase (מסד הנתונים, ההתחברות והמסמכים הרפואיים ששמרתם), Vercel (אחסון האתר והשרת), Resend (שליחת מיילים), Cloudflare (בדיקת Turnstile נגד בוטים במסך הכניסה) ו־Anthropic (זיהוי הטקסט במכתב סרוק, רק כשבחרתם לקרוא אותו בענן, וקריאת מסמך רפואי שהעליתם). השרתים שלהם עשויים להימצא מחוץ לישראל. אנחנו וספקי התשתית משתמשים באמצעי אבטחה מקובלים, לרבות הצפנת התקשורת. כל משתמש יכול לקרוא ולשנות רק את הנתונים שלו: ההרשאה נאכפת במסד הנתונים עצמו, ולא רק באתר. גישה ניהולית למערכות מוגבלת למפעיל האתר.

לכמה זמן

• החשבון והנתונים שבו: כל עוד החשבון פעיל, או עד שתמחקו אותם. חשבון שלא נכנסו אליו 24 חודשים עשוי להימחק, אחרי הודעה במייל מראש ככל שניתן.
• תזכורות: נמחקות 30 יום אחרי המועד. בקשה שלא אושרה במייל נמחקת אחרי 48 שעות.
• פידבק: עד 24 חודשים, אלא אם נדרש זמן ארוך יותר לבירור מחלוקת או לפי דין.
• מכתב סרוק שנקרא בענן: לא נשמר אצלנו. הקובץ קיים רק בזמן הקריאה, והטקסט רק בדפדפן שלכם עד שסוגרים את החלון.
• מסמך רפואי ששמרתם בחשבון: עד שתמחקו אותו (מחיקת האירוע או הסרת המסמך ממנו), תפסיקו לשמור בחשבון או תמחקו את החשבון. מסמך שנקרא ולא נשמר לא נשאר אצלנו.
• מכתב שנשלח לתמיכה: עד 90 יום, או עד שנוסיף תמיכה במכתב, המוקדם מביניהם.
• הנתונים במכשיר: עד שתמחקו אותם. בהתנתקות אפשר לבחור למחוק אותם מהמכשיר.
• אחרי מחיקה: המידע הפעיל נמחק מיד. עותקים במערכות הגיבוי של ספקי התשתית, אם קיימים, נמחקים אוטומטית בתוך תקופה מוגבלת ואינם משמשים לשימוש שוטף.

הזכויות שלכם

לפי חוק הגנת הפרטיות מותר לכם לעיין במידע עליכם, לבקש לתקן אותו ולבקש למחוק אותו. את רוב זה אפשר לעשות לבד, בלי לפנות אלינו:

• עיון: כל מה שנשמר מוצג במחשבון וב«מסלול». לעותק של המידע: טופס הפנייה.
• תיקון: עורכים את הנתונים ישירות במחשבון.
• ביטול הסכמה: «להפסיק לשמור בחשבון» מוחק את הנתונים מהחשבון ומשאיר אותם במכשיר.
• מחיקה: «מחיקת החשבון» מוחק את החשבון, את מה שנשמר בו, את המסמכים בתיקייה הפרטית ואת התזכורות שנרשמו לאותו מייל, ובמכשיר שממנו מחקתם גם את הנתונים שנשמרו בדפדפן. מכשיר אחר שהיה מחובר לחשבון מתנתק ומוחק אותם בפעם הבאה שהמחשבון נפתח בו. תזכורת לוועדה שנרשמה למייל אחר נמחקת מהקישור שבמייל שלה.
• תזכורות: אפשר לבטל בקישור שבכל מייל.
• כל בקשה אחרת: טופס הפנייה (כדאי להשאיר בו כתובת לחזרה).

מחשב משותף

כשמתנתקים אפשר לבחור למחוק את הנתונים מהמכשיר. וכשמשתמש אחר נכנס באותו מכשיר, הנתונים של המשתמש הקודם נמחקים מהמכשיר לפני שמשהו מוצג או נשמר.

עוגיות, אחסון בדפדפן וכלי מדידה

האתר שומר בדפדפן (localStorage) את מה שהזנתם, את השפה ואת הגדרות הנגישות, ואת ההתחברות לחשבון. Google Analytics משמש אותנו לקבלת מידע סטטיסטי על השימוש באתר, כגון עמודים שנצפו, סוג מכשיר, מקור הגעה ואזור גיאוגרפי כללי, והוא עשוי להשתמש בעוגיות ובמזהים טכנולוגיים. כמו כן נשלחים ל־Google Analytics אירועים כלליים על החשבון: התחברות, יציאה, והאם אישרתם שמירת נתונים בחשבון (כן או לא), בלי כתובת המייל ובלי כל מידע שנשמר בחשבון. Vercel Analytics לא משתמש בעוגיות ואוסף נתונים מצטברים בלבד. מידע שאתם מזינים במחשבון, לרבות מידע רפואי, אחוזי נכות, החלטות, סכומי קצבאות ופרטי ועדות, אינו נשלח לכלים האלה. האתר לא משתמש בכלי פרסום או שיווק מחדש. אפשר לחסום עוגיות בהגדרות הדפדפן, או להתקין את תוסף ההשבתה של Google Analytics.

קישורים לאתרים אחרים

קישורים לאתר ביטוח לאומי או לאתרים אחרים מובילים לאתר עם מדיניות פרטיות משלו, שאינה בשליטתנו.

שינויים במדיניות

כשהמדיניות משתנה, נעדכן את התאריך בראש העמוד. שינוי מהותי באופן השימוש במידע שנשמר בחשבון ייעשה רק בהסכמתכם.