מדיניות פרטיות

01 מי אנחנו

Psycholog-it מופעלת על ידי עוסק מורשה יחיד בישראל ("המפעיל", "אנחנו"). השירות הוא תוכנת ניהול קליניקה ורשומה רפואית עבור פסיכולוגים עצמאיים. ליצירת קשר בענייני פרטיות: psychologitapp@gmail.com.

02 מודל ה-Zero-Knowledge — איך זה עובד

בניגוד לתוכנות SaaS רגילות שבהן הנתונים שלכם נשמרים בשרת של ספק התוכנה, Psycholog-it בנויה כך שהמפעיל אינו רואה את הנתונים לעולם:

1. הכל קורה במכשיר שלכם. Psycholog-it רצה כ-Progressive Web App (PWA) — בדפדפן שלכם, כאפליקציה מותקנת בטלפון, או על המחשב.
2. סיסמת ההצפנה שלכם לא עוזבת את המכשיר. היא משמשת לגזירת מפתח הצפנה בשיטת PBKDF2. אנחנו לא יודעים אותה, לא מקבלים אותה, ולא יכולים לדעת אותה.
3. הנתונים מוצפנים במכשיר לפני שמירה. שמות מטופלים, רשומות קליניות, יומן, קבלות, יומן רופא, מסמכים — הכל עובר הצפנת AES-GCM (AES-256) לפני שהוא יוצא מהמכשיר.
4. הסנכרון הוא לענן הפרטי שלכם בלבד. השימוש באפליקציה כולל חיבור לחשבון OneDrive או Google Drive הפרטי שלכם; הנתונים המוצפנים נשמרים שם — לא בשרת של המפעיל. אנחנו לא מחזיקים שרת לנתונים הקליניים שלכם.
5. גם אם תקבלו פניה משפטית — אין לנו מה לתת. בארכיטקטורה הזו, גם אם רשות חוקרת תפנה אלינו ותדרוש את הנתונים שלכם, אין לנו אותם. אין מסד נתונים שמחזיק רשומות פסיכולוגיות — שרת המנויים מחזיק רק מטא-דאטה של חשבון (ללא כל תוכן קליני).

03 מה אנחנו לא רואים ולא אוספים

המפעיל אינו רואה, אוסף או מאחסן את הפרטים הבאים בשום שלב:

• שמות מטופלים, תעודות זהות, פרטי קשר, מגדר, היסטוריה רפואית — לרבות אנשי קשר לחירום, אפוטרופוסים וייפויי כוח, ככל שמולאו.
• תוכן רשומות קליניות, אבחנות, הערות אישיות, יומן רופא.
• יומן הפגישות, מועדי פגישות, סטטוס נוכחות.
• קבלות, סכומי תשלום, נתוני חשבונאות.
• סיסמת ההצפנה שלכם או קוד השחזור שלכם.
• מסמכים שהעליתם לספריית התבניות או כקבצים מצורפים למטופלים.
• נתוני הקלטות קוליות או תמלולים (הקלטה מוצפנת ומאוחסנת בענן שלכם בלבד).

מה כן יודעים על קיומכם? אם רכשתם רישוי שנתי, יש לנו את כתובת הדוא"ל שלכם (לשליחת המפתח) ואת פרטי החשבונית. גם זה הוא קשר עסקי בלבד — לא דרך לראות את הנתונים בקליניקה.

04 מה נשמר במכשיר שלכם

האפליקציה משתמשת בשני סוגי אחסון מקומי בדפדפן שלכם:

IndexedDB — המידע הקליני המוצפן

כל הנתונים הקליניים (מטופלים, פגישות, רשומות, קבלות, יומן רופא, מסמכים) נשמרים ב-IndexedDB של הדפדפן — מוצפנים. ללא הסיסמה שלכם, התוכן בלתי קריא גם למי שיש לו גישה למכשיר.

localStorage — דגלים תפעוליים בלבד

בנוסף, האפליקציה שומרת ב-localStorage מספר ערכים תפעוליים שאינם מכילים מידע על מטופלים:

• clinic_auth_mode — איזו שיטת התחברות בחרתם (Microsoft / Google / מקומי).
• clinic_last_sync — מועד הסנכרון האחרון, להצגה בממשק.
• clinic_local_pass — סיסמה מקומית ב-hash בלבד (במצב "מקומי") — לא הסיסמה עצמה.
• clinic_security_q, clinic_security_a — שאלת שחזור ותשובה, שתיהן ב-hash (במצב "מקומי").
• clinic_therapist_name, clinic_license_num, clinic_saved_signature — שם המטפל, מספר רישיון, וחתימה דיגיטלית — לשימוש בכותרת PDFs ובמסמכים.
• clinic_templates — תבניות ניסוח של רשומה קלינית (JSON). תוכן התבניות בלבד — אינו מכיל תוכן רשומות מטופלים.
• clinic_show_cancelled, clinic_show_holidays — העדפות תצוגה ביומן (האם להציג פגישות מבוטלות / חגי ישראל).
• google_client_id — מזהה Client ID של Google Cloud, רק אם השתמשתם באשף "Client ID משלכם" לחיבור Google Drive. ריק אם השתמשתם בכפתור "כניסה עם חשבון Google" המובנה.
• recovery_seed_optin_dismissed_v1 — דגל "אל תציע שוב" עבור ההזמנה להגדיר קוד שחזור.
• install-prompt-never, install-prompt-snoozed-until — דגלי "אל תציג שוב" / "לא עכשיו" לחלון ההמלצה להתקין את האפליקציה כ-PWA.
• pwa-sw-ever-installed — דגל האם Service Worker הופעל אי-פעם במכשיר זה (לאבחון). אינו מזהה משתמש.
• clinic_session_persist_v1 — (אופציונלי, בנייד בלבד) מצביע לסשן הצפנה מתמשך — רק אם הפעלתם "📱 שמירת חיבור בנייד" בהגדרות. TTL של 15 דקות; מצביע ל-IndexedDB — לא חומר מפתח.

זה לא Cookies של מעקב. אלה ערכים שהאפליקציה צריכה כדי לפעול. הם אינם משותפים עם אף צד שלישי, ואינם משמשים למעקב או פרסום.

05 Cookies, אנליטיקס ומעקב

פירוט:

• אין Cookies. השרת שלנו לא מגדיר cookies, והאפליקציה לא קוראת או כותבת ל-document.cookie.
• אין Google Analytics, Mixpanel, Amplitude, PostHog, Hotjar, Sentry, Datadog או כל מערכת מעקב משתמשים אחרת.
• אין pixel tracking של Facebook, Google Ads או דומיהם.
• אין סקריפטים של פרסום.
• אין fingerprinting של דפדפן או מכשיר.

לצורך אימות מנוי/רישיון, האפליקציה מבצעת "צ'ק-אין" בעת הכניסה: היא שולחת לשרת של המפעיל את כתובת האימייל של החשבון שאיתו התחברתם (Microsoft/Google) — בצורת hash — יחד עם חותמת זמן, גרסת האפליקציה וסטטוס הרישיון (ניסיון/בתשלום). כך המפעיל יודע כמה משתמשים רשומים ופעילים יש, ומתי כל חשבון נכנס. המפעיל אינו רואה מה אתם עושים בתוך האפליקציה — לא אילו מטופלים יש לכם, לא תוכן הרשומות, לא דרך הניווט, ולעולם לא נתונים קליניים. אין Google Analytics, אין cookies, אין מעקב צד-שלישי — רק הצ'ק-אין הראשוני ברמת החשבון.

מה בדיוק נשלח בצ'ק-אין:

• hash (חד-כיווני) של כתובת האימייל של החשבון — לא האימייל עצמו.
• חותמת זמן של הכניסה, גרסת האפליקציה, וסטטוס הרישיון (ניסיון / בתשלום).

המטרה: אימות מנוי/רישיון, ספירת משתמשים פעילים, ואפשרות לביטול גישה מרחוק. הנתונים נשמרים אצל המפעיל (שרת מנויים נפרד), ולעולם אינם כוללים תוכן קליני — לא מטופלים, לא רשומות, לא אבחנות.

06 "בעלי מאגר המידע" — אתם, לא אנחנו

לפי חוק הגנת הפרטיות, התשמ"א-1981, ותקנותיו (לרבות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017), מי שמחזיק במאגר של נתונים אישיים נדרש להירשם, להגדיר מנהל מאגר, ולעמוד בחובות אבטחה מסוימות.

במודל Zero-Knowledge, המפעיל אינו מחזיק במאגר — אתם מחזיקים בו. משמעות הדבר:

1. אתם בעלי מאגר המידע של המטופלים שלכם ("Data Controller" בלשון GDPR).
2. חובת רישום המאגר ברשם מאגרי המידע (אם נדרש לפי גודל המאגר ורגישות המידע) חלה עליכם.
3. חובת הודעה למטופל על איסוף המידע, חובות סודיות מקצועית (חוק זכויות החולה, חוק הפסיכולוגים), וזכויות עיון של מטופל — חלות עליכם.
4. במקרה של אירוע אבטחת מידע במכשיר שלכם או בענן הפרטי שלכם — חובת הדיווח, ככל שחלה, היא עליכם בלבד.

Psycholog-it היא "מעבד" (Processor) בלבד — היא הכלי שאתם משתמשים בו לנהל את המאגר שלכם. אנו לא קובעים מטרות עיבוד, לא בוחרים אילו נתונים לשמור, ולא ניגשים לתוכן.

07 צדדים שלישיים — מי נוגע במה

גם שבמודל Zero-Knowledge המפעיל אינו רואה את הנתונים, האפליקציה בעצמה רצה בדפדפן ולכן מעורבים כמה צדדים שלישיים. הנה רשימה מלאה ומה כל אחד מהם רואה:

7.1 בעת טעינת האפליקציה (תמיד)

טעינות אלה מבוצעות פעם אחת, נשמרות ב-cache של הדפדפן, ולא חוזרות בכל שימוש. הן אינן משדרות מידע על המטופלים שלכם — רק את העובדה שטענתם את הקובץ.

7.2 בעת התחברות עם Microsoft (אם בחרתם)

7.3 בעת התחברות עם Google (אם בחרתם)

7.4 כשאתם בחירה לשלוח מסמך למטופל

פעולות שיתוף אלה הן בידי המשתמש, יזומות במפורש, ולכל מסמך בנפרד. הספקים הללו פועלים תחת תנאי השימוש ומדיניות הפרטיות שלהם. המפעיל אינו צד להתקשרות.

08 אבטחה — איך אנחנו מגנים על הנתונים

1. הצפנת AES-GCM (AES-256) על כל נתון לפני שמירה.
2. גזירת מפתח ב-PBKDF2 עם 600,000 איטרציות (SHA-256), מה שמקשה משמעותית על ניסיונות פיצוח. (תואם להמלצת OWASP 2023.)
3. נעילת מסך אוטומטית לאחר 15 דקות של חוסר פעילות — ניתן להחזיר את האפליקציה למצב פעיל רק עם הסיסמה.
4. חתימה דיגיטלית על רשומות חתומות — לאחר חתימת רשומה היא הופכת לבלתי ניתנת לשינוי; תיקון יוצר גרסה חדשה תוך שמירת המקורית (Append-Only).
5. יומן ביקורת (Audit Log) — כל פעולה משמעותית מתועדת בלוג בלתי ניתן לעריכה.
6. HTTPS בלבד לטעינת האפליקציה ולכל תקשורת איתה.

09 זכויותיכם

בכל הקשור לנתונים שלכם בשירות:

• זכות גישה — אתם הבעלים היחידים והגישה בידיכם תמיד.
• זכות תיקון — אתם יכולים לערוך, לתקן או להוסיף הערה לכל רשומה (רשומה חתומה תיצור גרסה מתוקנת תוך שמירת הגרסה החתומה לפי דין).
• זכות מחיקה (לפי דין) — חוקי שמירת רשומה רפואית בישראל מחייבים שמירה למשך פרק זמן מינימלי (לעיתים 7 שנים, לעיתים יותר). בכפוף לכך, אתם רשאים למחוק נתונים מהמכשיר ומהענן הפרטי שלכם בכל עת.
• ניידות נתונים — ייצוא ל-PDF, Excel ו-JSON בכל עת, ללא נעילה בפורמט קנייני.

ביחס לנתונים שמטופל שלכם מסר לכם — חובות עיון, תיקון ומחיקה לפי חוק זכויות החולה וחוק הגנת הפרטיות חלות עליכם כבעלי המאגר.

10 העברה בינלאומית של מידע

המפעיל עצמו אינו מבצע העברה בינלאומית של מידע מטופלים — לא יש לנו את המידע כדי להעבירו.

אבל — אם בחרתם בסנכרון, הנתונים המוצפנים שלכם יישמרו במרכזי הנתונים של Microsoft או Google, שעשויים להיות מחוץ לישראל (האיחוד האירופי, ארה"ב, או אזורים אחרים בהתאם להגדרות החשבון שלכם). תנאי השימוש של Microsoft/Google מסדירים את העברת הנתונים אצלם.

מכיוון שהנתונים מוצפנים לפני שהם עוזבים את המכשיר שלכם, הסיכון המעשי בהעברה הוא נמוך — גם אם מישהו יקבל גישה לקבצים במרכז הנתונים, ללא המפתח הם בלתי קריאים.

11 מטופלים קטינים

השירות מיועד לאנשי מקצוע מורשים. אם הקליניקה שלכם מטפלת בקטינים, עליכם להבטיח שיש לכם הסכמה תקפה מהאחראי החוקי לפי חוק הכשרות המשפטית והאפוטרופסות, וכי הטיפול בנתוני קטינים תואם את הדינים החלים. המפעיל אינו מספק אבחנה אוטומטית של גיל המטופלים — הניהול הוא באחריותכם.

תקופת שמירה לרשומות של מטופלים קטינים: רשומה רפואית של מטופל קטין נשמרת לפחות עד הגיעו לגיל 25 (לפי הנחיות משרד הבריאות ומשרד החינוך). חובת קביעת תקופת השמירה והתאמתה לסוג הרשומה חלה עליכם כבעלי מאגר המידע.

12 שינויים במדיניות זו

מדיניות זו עשויה להתעדכן מעת לעת. הגרסה העדכנית תוצג תמיד בכתובת זו, עם תאריך עדכון אחרון. שינוי מהותי יובא לידיעת המשתמשים באמצעות הודעה באפליקציה או בדוא"ל.

13 שאלות פרטיות?

שאלות, פניות בנושאי פרטיות, או דיווח על אירוע אבטחה — psychologitapp@gmail.com.

אנו נשתדל לחזור בתוך זמן סביר. שימו לב שבגלל אופי Zero-Knowledge, איננו יכולים לחפש או לראות מידע על הקליניקה שלכם — לפניה מועילה, צרפו פרטים רלוונטיים על המקרה.