מדיניות פרטיות ואבטחת מידע

מדיניות פרטיות ואבטחת מידע – Clinicraft AI

מדיניות פרטיות זו מפרטת את האופן שבו Clinicraft AI (להלן: "החברה", "אנו" או "המערכת") אוספת, מעבדת, שומרת ומאבטחת מידע במסגרת השימוש בפלטפורמה.

אנו מבינים כי המערכת משמשת אנשי מקצוע בתחום הטיפולי והחינוכי, וכי המידע המעובד בה הוא בעל רגישות גבוהה. לכן, אבטחת המידע ושמירה על פרטיות המשתמשים ומטופליהם מהווים ערך עליון בפעילותנו.

מדיניות זו מהווה חלק בלתי נפרד מתנאי השימוש של המערכת. כל האמור במסמך זה בלשון זכר מתייחס גם ללשון נקבה במשמע, ולהיפך.

1. הבהרת מעמד משפטי: בעלות ושליטה במאגרי מידע

על פי חוק הגנת הפרטיות, התשמ"א-1981 (להלן: "החוק"):

• המשתמש כ"בעל המאגר": המידע הקליני, הרפואי, החינוכי או האישי המוזן על-ידי המשתמש למערכת הנוגע למטופליו, הוא בבעלותו הבלעדית ובשליטתו המלאה של המשתמש. המשתמש (המטפל/ת או הקליניקה) מוגדר משפטית כ"בעל מאגר המידע".
• החברה כ"מחזיקת המאגר": Clinicraft AI פועלת אך ורק כ"מחזיקה" וכמעבדת מידע מטעמו של המשתמש. אין לנו כל זכות בעלות על נתוני המטופלים, והם אינם נחשבים לחלק ממאגרי המידע המסחריים של החברה.
• באחריות המשתמש לוודא כי הוא פועל כדין, מנהל את מאגרו כנדרש בחוק, ומחזיק בכל ההסכמות הנדרשות מן המטופלים או מאפוטרופוסיהם להזנת המידע ועיבודו באמצעות שירותי ענן.

2. איזה מידע נאסף על ידינו?

אנו מבחינים בין שני סוגי מידע עיקריים:

• מידע משתמש (Account Data): מידע הנמסר על-ידך בעת ההרשמה והתשלום למערכת (כגון: שם, דוא"ל, מספר טלפון, מקצוע טיפולי). מידע זה נשמר במאגר המידע של החברה ומשמש ליצירת קשר, גבייה, תמיכה טכנית ושליחת עדכונים.
• מידע קליני/מטופלים (Clinical Data): מידע המוזן על-ידך באופן יזום אל תוך מחוללי התוכן, היועץ הקליני (TheraPI), או היומן במערכת (כגון: יעדים טיפוליים, נתוני ABC, ותיאורי מקרה). מידע זה מעובד אך ורקלמטרת הפקת התוצרים המבוקשים על-ידך (סיפורים חברתיים, חומרים ויזואליים, סיכומים וכו').

3. עיבוד מידע מבוסס בינה מלאכותית (AI) ושירותי ענן

כדי לספק את יכולות הליבה של המערכת, Clinicraft AI משתמשת בתשתיות ענן מתקדמות ובמודלי בינה מלאכותית של צדדים שלישיים, ובראשם תשתיות Google Cloud Platform (GCP) ושירותי Vertex AI.

אנו מתחייבים בזאת להוראות הבאות הנוגעות לעיבוד מידע בבינה מלאכותית:

• אפס שימוש לאימון מודלים (Zero Data Retention for Training): המידע הקליני המועבר דרך ה-API של המערכת למנועי הבינה המלאכותית מוגדר טכנולוגית ומשפטית תחת חוזי Enterprise. המידע לעולם לא ישמש לאימון, כיוונון (Fine-tuning) או שיפור מודלי השפה הציבוריים של ספקיות הענן (כדוגמת מודלי הליבה של Google).
• עיבוד זמני: נתוני המטופלים נשלחים למודל ה-AI באופן מוצפן לצורך הפקת הפלט המבוקש, ואינם נאגרים במאגרי מודל השפה לאחר סיום עיבוד הבקשה (Inference).

4. הגבלת מסירת מידע לצדדים שלישיים

החברה מתחייבת שלא למכור, לסחור או להעביר מידע מזהה (של משתמשים או מטופלים) לצדדים שלישיים לצרכים מסחריים או שיווקיים. מסירת מידע לצד שלישי תתבצע אך ורק במקרים הבאים:

• ספקי תשתית (Sub-processors): ספקי ענן ושרתים (כגון שרתי האחסון ושירותי הסליקה), ובלבד שספקים אלו מחויבים לסטנדרטים מחמירים של אבטחת מידע וסודיות.
• דרישה חוקית: אם יתקבל בידי החברה צו שיפוטי חלוט המורה לה למסור את המידע, או אם הדבר נדרש על פי כל דין.
• הגנה משפטית: בכל מקרה של מחלוקת, טענה, תביעה או הליכים משפטיים בינך לבין החברה שיחייבו את חשיפת המידע הרלוונטי.

5. אבטחת מידע ותקני ענן

אנו מיישמים אמצעי אבטחה טכנולוגיים וארגוניים מתקדמים לצמצום סיכוני חדירה בלתי מורשית:

• כל תקשורת הנתונים בין מחשב המשתמש לשרתי המערכת מוצפנת בפרוטוקול SSL/TLS.
• בסיסי הנתונים של המערכת מאוחסנים תחת סביבות מחשוב ענן סגורות ומנוטרות. ספקיות הענן שלנו עומדות בתקני אבטחה בינלאומיים מחמירים (לרבות SOC 2 ו-ISO 27001).
• היות והמערכת נמצאת בשלבי הרצה (Beta), החברה אינה מתחייבת לגיבוי מלא או רציף של תוצרי המשתמש. באחריות המשתמש לשמור עותק מקומי של החומרים והכרטיסיות המופקים במערכת (למשל, על ידי הורדתם למחשב האישי).
• עם זאת, ידוע למשתמש כי מערכות טכנולוגיות אינן חסינות באופן מוחלט. החברה אינה ערבה לכך שהמערכת תהיה חסינה לחלוטין מפני גישה בלתי מורשית, והיא אינה נושאת באחריות לחשיפת מידע הנובעת מפריצה לחשבון המשתמש עקב אי-שמירה על סודיות הסיסמה מצדו.

6. העברת מידע אל מחוץ לגבולות ישראל

ייתכן כי שרתי האחסון ו/או מנועי העיבוד (לרבות שירותי ה-AI של Google Cloud) ממוקמים בחוות שרתים מחוץ לגבולות מדינת ישראל (לדוגמה, באזור הכלכלי האירופי - EEA). בעצם השימוש במערכת, הנך נותן את הסכמתך המפורשת להעברת המידע ועיבודו מחוץ לגבולות ישראל, בכפוף לכך שהחברה תפעל בהתאם להוראות תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001.

7. אמצעי ניטור דיגיטליים (Cookies) וניתוח נתונים

לצורך תפעול תקין של המערכת, שיפור חוויית המשתמש ואבטחת הפלטפורמה, אנו עושים שימוש ב"עוגיות" (Cookies) ובטכנולוגיות ניטור אנליטיות (כדוגמת פיקסלים או שירותי Analytics). כלים אלו אוספים מידע טכני אוטומטי כגון: סוג הדפדפן, זמני התחברות, כתובת IP (מנוטרלת זיהוי מדויק), ודפוסי לחיצה. מידע זה משמש לצרכים סטטיסטיים ותפעוליים בלבד ואינו כולל גישה למידע קליני רגיש.

8. זכויות המשתמש: עיון, תיקון ומחיקת מידע (Right to be Forgotten)

• מחיקת נתוני מטופלים: למשתמש קיימת שליטה מלאה על הנתונים הקליניים שהוזנו למערכת. במידה ומשתמש ימחק כרטיס מטופל או תוצר מהמערכת, המידע יימחק מיידית מהממשק, ויוסר לחלוטין ולצמיתות משרתי החברה בתוך זמן סביר (לאחר מחיקתו ממחזור הגיבויים הטכניים המוצפנים).
• עיון וביטול מנוי: משתמש רשאי לעיין במידע האישי (Account Data) השמור אודותיו במאגרי החברה, ולבקש את מחיקתו או תיקונו במקרה של הפסקת השימוש בשירות, באמצעות פנייה לתמיכת המערכת.

9. שונות, הדין החל וסמכות שיפוט

החברה רשאית לעדכן או לשנות מדיניות פרטיות זו מעת לעת, בהתאם לשינויים טכנולוגיים או רגולטוריים. הודעה על שינוי מהותי תפורסם במערכת. המשך השימוש במערכת לאחר העדכון מהווה הסכמה לתנאי המדיניות המעודכנים.

על מדיניות זו חלים דיני מדינת ישראל בלבד. סמכות השיפוט הייחודית והבלעדית לדיון בכל מחלוקת או תביעה הנובעת ממדיניות זו נתונה לבתי המשפט המוסמכים בעיר תל אביב-יפו.