Psycholog-it בנויה על עיקרון Zero-Knowledge — המפעיל לא רואה ולא יכול לראות את הנתונים שלכם. מסמך זה מסביר בדיוק מה זה אומר, מה כן ומה לא נשמר, ולמי יש גישה למה.
Psycholog-it מופעלת על ידי עוסק מורשה יחיד בישראל ("המפעיל", "אנחנו"). השירות הוא תוכנת ניהול קליניקה ורשומה רפואית עבור פסיכולוגים עצמאיים. ליצירת קשר בענייני פרטיות: psychologitapp@gmail.com.
בניגוד לתוכנות SaaS רגילות שבהן הנתונים שלכם נשמרים בשרת של ספק התוכנה, Psycholog-it בנויה כך שהמפעיל אינו רואה את הנתונים לעולם:
המפעיל אינו רואה, אוסף או מאחסן את הפרטים הבאים בשום שלב:
מה כן יודעים על קיומכם? אם רכשתם רישוי שנתי, יש לנו את כתובת הדוא"ל שלכם (לשליחת המפתח) ואת פרטי החשבונית. גם זה הוא קשר עסקי בלבד — לא דרך לראות את הנתונים בקליניקה.
האפליקציה משתמשת בשני סוגי אחסון מקומי בדפדפן שלכם:
כל הנתונים הקליניים (מטופלים, פגישות, רשומות, קבלות, יומן רופא, מסמכים) נשמרים ב-IndexedDB של הדפדפן — מוצפנים. ללא הסיסמה שלכם, התוכן בלתי קריא גם למי שיש לו גישה למכשיר. אם ביקשתם במפורש (תיבת "שמור פרטי תשלום") — נשמרים כך, מוצפנים, גם פרטי אמצעי התשלום הקבועים של מטופל/ת (שם משלם, בנק/סניף/חשבון, סוג כרטיס — לעולם לא סכומים); ניתן לשכוח אותם בכל עת מכרטיס המטופל.
בנוסף, האפליקציה שומרת ב-localStorage מספר ערכים תפעוליים שאינם מכילים מידע על מטופלים:
clinic_auth_mode — איזו שיטת התחברות בחרתם
(Microsoft / Google). הערך "מקומי" מופיע רק בכספות ותיקות שנוצרו
במצב המקומי (ללא ענן), שאינו מוצע עוד לחשבונות חדשים.clinic_last_provider — הספק (Microsoft / Google) שבו
התחברתם בפעם האחרונה במכשיר הזה — רק כדי לסמן אותו בחלון הכניסה
ולהציג "כניסה" במקום "הרשמה".google_login_hint — כתובת חשבון Google שבו התחברתם
לאחרונה במכשיר הזה. נשלחת ל-Google בלבד, כדי לדלג על בחירת החשבון
בכניסה הבאה; ניתן לבחור חשבון אחר בכל כניסה.clinic_last_sync — מועד הסנכרון האחרון, להצגה
בממשק.clinic_local_pass — סיסמה מקומית ב-hash בלבד — לא
הסיסמה עצמה. קיים רק בכספות ותיקות מהמצב המקומי שהוסר; חשבונות
חדשים נפתחים תמיד עם חיבור לחשבון ענן פרטי (סעיף 02).clinic_security_q, clinic_security_a —
שאלת שחזור ותשובה, שתיהן ב-hash (כנ"ל — כספות ותיקות מהמצב המקומי
בלבד).clinic_therapist_name, clinic_license_num,
clinic_saved_signature — שם המטפל, מספר רישיון, וחתימה
דיגיטלית — לשימוש בכותרת PDFs ובמסמכים.clinic_templates — תבניות ניסוח של רשומה קלינית
(JSON). תוכן התבניות בלבד — אינו מכיל תוכן רשומות מטופלים.clinic_show_cancelled, clinic_show_holidays
— העדפות תצוגה ביומן (האם להציג פגישות מבוטלות / חגי ישראל).google_client_id — מזהה Client ID של Google Cloud,
רק אם השתמשתם באשף "Client ID משלכם" לחיבור Google Drive. ריק אם
השתמשתם בכפתור "כניסה עם חשבון Google" המובנה.recovery_seed_optin_dismissed_v1 — דגל "אל תציע
שוב" עבור ההזמנה להגדיר קוד שחזור.install-prompt-never,
install-prompt-snoozed-until — דגלי "אל תציג שוב" /
"לא עכשיו" לחלון ההמלצה להתקין את האפליקציה כ-PWA.pwa-sw-ever-installed — דגל האם Service Worker
הופעל אי-פעם במכשיר זה (לאבחון). אינו מזהה משתמש.clinic_session_persist_v1 — (אופציונלי, בנייד בלבד)
מצביע לסשן הצפנה מתמשך — רק אם הפעלתם "📱 שמירת חיבור בנייד"
בהגדרות. TTL של 15 דקות; מצביע ל-IndexedDB — לא חומר מפתח.זה לא Cookies של מעקב. אלה ערכים שהאפליקציה צריכה כדי לפעול. הם אינם משותפים עם אף צד שלישי, ואינם משמשים למעקב או פרסום.
פירוט:
document.cookie.לצורך אימות מנוי/רישיון, האפליקציה מבצעת "צ'ק-אין" בעת הכניסה: היא שולחת לשרת של המפעיל את כתובת האימייל של החשבון שאיתו התחברתם (Microsoft/Google), יחד עם חותמת זמן, גרסת האפליקציה וסטטוס הרישיון (ניסיון/בתשלום). כך המפעיל יודע אילו חשבונות רשומים ופעילים, ומתי כל חשבון נכנס — לצורך ניהול מנויים, רישוי ותמיכה. המפעיל אינו רואה מה אתם עושים בתוך האפליקציה — לא אילו מטופלים יש לכם, לא תוכן הרשומות, לא דרך הניווט, ולעולם לא נתונים קליניים. אין Google Analytics, אין cookies, אין מעקב צד-שלישי — רק הצ'ק-אין הראשוני ברמת החשבון.
מה בדיוק נשלח בצ'ק-אין:
המטרה: אימות מנוי/רישיון, מעקב אחר חשבונות פעילים, ואפשרות לביטול גישה מרחוק. הנתונים נשמרים אצל המפעיל (שרת מנויים נפרד), משמשים לניהול המנויים בלבד ואינם מועברים לצד שלישי, ולעולם אינם כוללים תוכן קליני — לא מטופלים, לא רשומות, לא אבחנות.
לפי חוק הגנת הפרטיות, התשמ"א-1981, ותקנותיו (לרבות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017), מי שמחזיק במאגר של נתונים אישיים נדרש להירשם, להגדיר מנהל מאגר, ולעמוד בחובות אבטחה מסוימות.
במודל Zero-Knowledge, המפעיל אינו מחזיק במאגר — אתם מחזיקים בו. משמעות הדבר:
Psycholog-it היא "מעבד" (Processor) בלבד — היא הכלי שאתם משתמשים בו לנהל את המאגר שלכם. אנו לא קובעים מטרות עיבוד, לא בוחרים אילו נתונים לשמור, ולא ניגשים לתוכן.
גם שבמודל Zero-Knowledge המפעיל אינו רואה את הנתונים, האפליקציה בעצמה רצה בדפדפן ולכן מעורבים כמה צדדים שלישיים. הנה רשימה מלאה ומה כל אחד מהם רואה:
| שירות | דומיין | מה הוא רואה |
|---|---|---|
| Google Fonts | fonts.googleapis.com fonts.gstatic.com |
כתובת ה-IP שלכם בעת טעינת הגופנים (Assistant, Heebo). זה מאפשר ל-Google לדעת שמישהו מאותו IP טען עמוד שמשתמש בגופנים האלה. |
| jsDelivr CDN | cdn.jsdelivr.net | IP בעת טעינת ספריית Microsoft Authentication (msal-browser). משמש לנגישות מהירה של הקוד. |
| SheetJS CDN | cdn.sheetjs.com | IP בעת טעינת ספריית קריאה/כתיבה של אקסל. |
טעינות אלה מבוצעות פעם אחת, נשמרות ב-cache של הדפדפן, ולא חוזרות בכל שימוש. הן אינן משדרות מידע על המטופלים שלכם — רק את העובדה שטענתם את הקובץ.
| שירות | דומיין | מה הוא רואה |
|---|---|---|
| Microsoft Identity | login.microsoftonline.com | תהליך OAuth — אתם מתחברים לחשבון Microsoft שלכם ומאשרים לאפליקציה גישה ל-OneDrive שלכם. |
| Microsoft Graph | graph.microsoft.com | כתובת הדוא"ל ושם החשבון Microsoft שלכם (לזיהוי), ובעת
סנכרון — קבצי הנתונים המוצפנים נכתבים ל-OneDrive שלכם
תחת תיקיית /ClinicApp/. התוכן מוצפן —
Microsoft לא רואה אותו. |
| שירות | דומיין | מה הוא רואה |
|---|---|---|
| Google Identity | accounts.google.com | תהליך OAuth — אישור גישה ל-Google Drive. |
| Google Drive API | googleapis.com | שם וכתובת הדוא"ל של חשבון Google שלכם, וקבצי הנתונים המוצפנים בעת סנכרון. התוכן מוצפן — Google לא רואה אותו. |
| שירות | איך הוא מעורב | מה הוא רואה |
|---|---|---|
| פתיחת WhatsApp Web/App עם הקובץ והודעה. | הקובץ הוא תבנית ריקה מספריית התבניות שלכם — ללא נתוני מטופל. רק מספר הטלפון של המטופל ותוכן ההודעה שכתבתם נראים על ידי WhatsApp. שיגור על ידכם באופן ידני. בידיהם של WhatsApp/Meta מאז שלחתם. | |
| פתיחת לקוח הדוא"ל שלכם. | הקובץ + הודעה + כתובת המטופל. בידי ספק הדוא"ל שלכם (Gmail / Outlook / וכו') ושל המטופל. |
פעולות שיתוף אלה הן בידי המשתמש, יזומות במפורש, ולכל מסמך בנפרד. הספקים הללו פועלים תחת תנאי השימוש ומדיניות הפרטיות שלהם. המפעיל אינו צד להתקשרות.
האפליקציה מאפשרת, כאפשרות בלבד, להפיק קבלות ומסמכי חשבונאות ישירות בחשבון Morning (חשבונית ירוקה) הפרטי שלכם — במקום להקליד ידנית מספר קבלה שהופק בתוכנה חיצונית. התכונה כבויה כברירת מחדל ופועלת רק אם הזנתם בהגדרות מפתח API שיצרתם בחשבון Morning שלכם. ההזנה הידנית ממשיכה לעבוד תמיד.
| שירות | דומיין | מה הוא רואה |
|---|---|---|
| שרת התיווך של האפליקציה | psycholog-it.com/api/receipt-relay | Morning חוסמת קריאות ישירות מדפדפן, ולכן פרטי המסמך עוברים דרך פונקציית תיווך של המפעיל. הפונקציה אינה שומרת דבר — לא את המפתח ולא את פרטי המסמך — ואינה רושמת את תוכן הבקשה ביומני השרת. היא מעבירה את הבקשה ל-Morning ומחזירה את התשובה, ותו לא. |
| Morning (חשבונית ירוקה) | api.morning.co api.greeninvoice.co.il |
פרטי המסמך שאתם מפיקים (ראו פירוט מטה), יחד עם מפתח ה-API שלכם. המסמך שנוצר שמור בחשבון Morning שלכם, תחת תנאי השימוש ומדיניות הפרטיות של Morning. |
קריאת מסמכים מ-Morning (ייבוא): בלחיצה מפורשת על "ייבוא מסמך מ-Morning" בטופס התקבול, האפליקציה מבקשת מחשבון Morning שלכם — דרך אותה פונקציית תיווך, שאינה שומרת ואינה רושמת דבר — רשימת מסמכים לפי הסינון שהזנתם (טווח תאריכים, שם לקוח או מספר מסמך) ואת פרטי המסמך שבחרתם (מספר, תאריכים, סכומים, אמצעי תשלום, שורות פירוט ושם הלקוח כפי שהם רשומים ב-Morning). הפרטים ממלאים את הטופס בלבד; במכשיר נשמר רק מה שאתם מאשרים ברישום ובחתימה ביומן רופא, בתוספת מזהה המסמך, מספרו, תאריכו וסכומו לצורך התאמה בין היומן למסמך. הכיוון כאן הפוך להפקה — מ-Morning אל המכשיר — ותוכן קליני אינו מעורב באף אחד מהכיוונים.
מה בדיוק נשלח? אך ורק "פרוסת החיוב" של אותו מסמך, כפי שבחרתם להזין אותה (וכך גם בעת תצוגה מקדימה של מסמך — פעולה שאינה מפיקה ואינה שומרת דבר):
מה לעולם לא נשלח: תוכן קליני. רשומות, אבחנות, מטרות טיפול, הערות אישיות, מסמכים מצורפים — דבר מזה אינו חלק מהמסמך החשבונאי. בונה המסמך באפליקציה מעתיק שדות לפי רשימה סגורה וקבועה מראש, כך ששדה קליני אינו יכול "להתלוות" בטעות.
מפתח ה-API שלכם נשמר מוצפן בכספת המקומית (יחד עם שאר הנתונים) ונשלח רק בעת פעולה שיזמתם. שימו לב: מסמך שהופק ב-Morning הוא חלק מספר החשבונות שלכם אצל Morning — מחיקת מטופל באפליקציה (סעיף 09) אינה מוחקת מסמכים בחשבון Morning שלכם.
בכל הקשור לנתונים שלכם בשירות:
ביחס לנתונים שמטופל שלכם מסר לכם — חובות עיון, תיקון ומחיקה לפי חוק זכויות החולה וחוק הגנת הפרטיות חלות עליכם כבעלי המאגר.
המפעיל עצמו אינו מבצע העברה בינלאומית של מידע מטופלים — לא יש לנו את המידע כדי להעבירו.
אבל — אם בחרתם בסנכרון, הנתונים המוצפנים שלכם יישמרו במרכזי הנתונים של Microsoft או Google, שעשויים להיות מחוץ לישראל (האיחוד האירופי, ארה"ב, או אזורים אחרים בהתאם להגדרות החשבון שלכם). תנאי השימוש של Microsoft/Google מסדירים את העברת הנתונים אצלם.
מכיוון שהנתונים מוצפנים לפני שהם עוזבים את המכשיר שלכם, הסיכון המעשי בהעברה הוא נמוך — גם אם מישהו יקבל גישה לקבצים במרכז הנתונים, ללא המפתח הם בלתי קריאים.
השירות מיועד לאנשי מקצוע מורשים. אם הקליניקה שלכם מטפלת בקטינים, עליכם להבטיח שיש לכם הסכמה תקפה מהאחראי החוקי לפי חוק הכשרות המשפטית והאפוטרופסות, וכי הטיפול בנתוני קטינים תואם את הדינים החלים. המפעיל אינו מספק אבחנה אוטומטית של גיל המטופלים — הניהול הוא באחריותכם.
תקופת שמירה לרשומות של מטופלים קטינים: רשומה רפואית של מטופל קטין נשמרת לפחות עד הגיעו לגיל 25 (לפי הנחיות משרד הבריאות ומשרד החינוך). חובת קביעת תקופת השמירה והתאמתה לסוג הרשומה חלה עליכם כבעלי מאגר המידע.
מדיניות זו עשויה להתעדכן מעת לעת. הגרסה העדכנית תוצג תמיד בכתובת זו, עם תאריך עדכון אחרון. שינוי מהותי יובא לידיעת המשתמשים באמצעות הודעה באפליקציה או בדוא"ל.
שאלות, פניות בנושאי פרטיות, או דיווח על אירוע אבטחה — psychologitapp@gmail.com.
אנו נשתדל לחזור בתוך זמן סביר. שימו לב שבגלל אופי Zero-Knowledge, איננו יכולים לחפש או לראות מידע על הקליניקה שלכם — לפניה מועילה, צרפו פרטים רלוונטיים על המקרה.