מרכז האמון של Joy

1. איפה הנתונים נשמרים

מסד הנתונים בענן (Supabase) — באיחוד האירופי, אירלנד. מסמכים שנשמרים במאגר של Joy, קישורי שיתוף וחדרי נתונים — אצל Netlify בארצות הברית (מזרח ארה״ב), עם רשת הפצה עולמית. במצב מקומי הנתונים נשארים בדפדפן שבמכשיר שלכם. משרד יכול לבחור לשמור עותק גם ב-Google Drive, ב-OneDrive או בתיקייה במחשב שלו. העברה לארצות הברית נשענת על מסגרת הפרטיות בין האיחוד האירופי לארה״ב או על סעיפים חוזיים תקניים, כמפורט בנספח עיבוד המידע.

2. הצפנה

כל התעבורה מוצפנת (HTTPS בלבד, HSTS לשנה כולל תתי-דומיינים). מסד הנתונים מוצפן במנוחה אצל Supabase. כל חתימה נחתמת קריפטוגרפית (ECDSA P-256 על גיבוב SHA-256), וכל שינוי במסמך חתום מתגלה. גיבוי שהמשרד מוריד אליו מוצפן בסיסמה שרק הוא יודע.

3. גיבויים

מסד הנתונים מגובה מדי יום ונשמרים 7 ימים אחורה. המסמכים במאגר של Joy מועתקים כל לילה לגיבוי נפרד שנשמר 14 יום. בנוסף, כל משרד יכול להוריד בכל רגע גיבוי מלא מוצפן של הנתונים והמסמכים שלו, ולקבוע עותק קבוע שבועי או חודשי לתיקייה במחשב.

4. גישה והרשאות

כל משרד מבודד במסד הנתונים בכללי אבטחה ברמת השורה (row-level security) — משרד אחד לא יכול לראות נתונים של משרד אחר. בתוך המשרד יש תפקידים והרשאות לפי משתמש, חומות סינית לתיקים רגישים, נעילת מסך אחרי 30 דקות ללא פעילות וניתוק אוטומטי אחרי 12 שעות. לעוזרי ה-AI (Claude, ChatGPT) לא ניתנים כלים למחיקת מסמכים, והחיבור שלהם מתנתק מיד מדף המחברים.

5. פרטיות ותיקון 13

Joy פועלת לפי חוק הגנת הפרטיות, התשמ״א-1981, כולל תיקון 13 (בתוקף מאוגוסט 2025), ותקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, ולפי ה-GDPR ללקוחות באירופה. המשרד הוא בעל השליטה במידע ו-Neos Tech היא המעבדת, לפי נספח עיבוד המידע. אנחנו לא מוכרים את המידע, לא משתמשים בו לפרסום ולא מאמנים עליו מודלים. במערכת יש כלים לייצוא כל המידע ולמחיקת חשבון או משרד שלם, עם תעודת מחיקה.

6. תקנים והסמכות

ל-Joy אין כיום הסמכת ISO 27001 או דוח SOC 2, ולכן אנחנו לא טוענים להן. מה שיש: יישום של תקנות אבטחת המידע, נספח עיבוד מידע לפי סעיף 28 ל-GDPR, הצהרת נגישות לפי תקן ישראלי 5568, ובדיקות אוטומטיות בכל גרסה. כשתהיה הסמכה — היא תופיע כאן עם התעודה.

7. ספקי שירות שמעבדים מידע

Netlify, Inc. — אירוח, פונקציות שרת ואחסון מסמכים (ארה״ב). Supabase, Inc. — חשבונות ומסד הנתונים (אירלנד). Anthropic, ‏OpenAI ו-Google — מודלי ה-AI, רק כשמשתמשים בתכונות AI. Resend — שליחת מיילי מערכת כמו אימות כתובת. Google, ‏Microsoft ו-Dropbox — רק כשהמשרד מחבר אותם בעצמו. ספק חדש מוכרז כאן ובאפליקציה לפחות 30 יום מראש.

8. אירוע אבטחה

אם יקרה אירוע אבטחה שנוגע למידע אישי של משרד, נודיע למשרד בלי דיחוי ולא יאוחר מ-48 שעות מרגע שנודע לנו, עם כל המידע שבידינו, ונסייע לו בחובות הדיווח שלו (לרבות לרשות להגנת הפרטיות). מצאתם בעיית אבטחה? כתבו ל-adir@joyworkos.com — פרטי הקשר גם ב-security.txt.

9. איש קשר לפרטיות ואבטחת מידע

אדיר טרבלסי, Neos Tech Ltd (נאוס טק בע״מ), ח״פ 515155182, בר כוכבא 12, בני ברק · adir@joyworkos.com. מסמכים נוספים: אבטחה · מדיניות פרטיות · נספח עיבוד מידע · תנאי שימוש · הצהרת נגישות · רישיונות קוד פתוח.