איפה יושב המידע של המתקשרים שלכם, ומי יכול לגעת בו

מה שאין לנו — לפני מה שיש

אנחנו לא מחזיקים תעודת SOC 2, לא ISO 27001, ולא הסמכת HIPAA או GDPR. אין דבר כזה ״תעודת GDPR״ מלכתחילה, ו-HIPAA היא רגולציה אמריקאית שלא רלוונטית לרוב הקוראים כאן — אבל הן מופיעות בכל כך הרבה עמודי אבטחה עד שראוי לומר במפורש שאצלנו הן לא מופיעות. במקום להצטייר כמוסמכים, אנחנו מתארים למטה בדיוק אילו בקרות קיימות במוצר, ומזמינים אתכם לבדוק כל אחת מהן בהדגמה חיה מול המערכת. אם התקן שאתם חייבים לעמוד בו מחייב ספק מוסמך — נאמר את זה בשיחה הראשונה ולא בשלב הרכש.

זיהוי ומיסוך פרטים אישיים

תמלול של שיחה בעברית מלא בדיוק בדברים שאסור להשאיר פתוחים: שם מלא, מספר תעודת זהות שהוכתב ספרה-ספרה, כתובת, מספר טלפון, שם של רופא או של מוסד. המערכת מריצה על כל תור בשיחה שכבת זיהוי ישויות שמאומנת על עברית, ולא הסתפקנו במנוע כללי שמתייחס לעברית כאל שפה משנית. מה שזוהה נשמר כמיקומים בתוך הטקסט, כך שאפשר להציג את התמלול ממוסך למי שלא אמור לראות את המקור — בלי לאבד את היכולת לנתח את השיחה.

• כל מחלקה מגדירה בעצמה אילו סוגי ישויות ממוסכים אצלה — שם, מספר זהות, טלפון, כתובת ועוד
• סוג ישות שאינו מוכר למערכת ממוסך כברירת מחדל, ולא נחשף בטעות
• אפשר להריץ מחדש את שכבת הזיהוי על שיחות היסטוריות אחרי שינוי הגדרות, כדי שהעבר ייראה כמו ההווה
• המיסוך חל על התמלול והייצוא כאחד — קובץ CSV שיוצא החוצה יכול לצאת ממוסך

בקשת מחיקה — התהליך המלא

אזרח שמבקש שיימחק המידע שלו לא אמור לקבל הבטחה בעל פה. בקשת מחיקה במערכת היא פעולה מתועדת שרצה על שיחה בודדת, על כל השיחות ממספר טלפון מסוים, או על טווח תאריכים ומזהה פנייה — ומה שהיא עושה בפועל מפורט כאן:

• מזהי המתקשר — מספר טלפון, מספר פנייה, שם — מאופסים ברשומת השיחה
• כל קטע שזוהה כמידע אישי בתמלול מוחלף בחסימה, ולא נשאר בטקסט
• מיקומי הזיהוי עצמם נמחקים, כדי שלא יהיה אפשר לשחזר מהם את מה שהוסתר
• ההפניה להקלטה מנוטרלת, כך שנגן ההאזנה נכשל סגור ולא משמיע כלום
• השיחה מסומנת כמעובדת, עם חותמת מי ביצע, מתי, ומספר האסמכתא

בסוף התהליך מוטבע מספר אסמכתא בפורמט קבוע. זה המספר שנמסר לאזרח, וזה גם המספר שמאפשר לכם להוכיח בדיעבד שהבקשה טופלה, מתי ועל ידי מי. במקביל נכתבת שורת ביקורת לכל שיחה שהושפעה — לא שורה אחת לבקשה, אלא שורה לכל רשומה שנגעו בה.

מי רואה מה

הרשאות במערכת הן לפי תפקיד, לא לפי אמון. הקלטות הן המקרה החד ביותר: אין בהן מיסוך — הקול הוא הקול — ולכן הגישה אליהן מוגבלת לתפקידים שצריכים אותה, ומחלקה שרוצה לפתוח האזנה גם לצופים צריכה להדליק את זה במפורש. כל פעולה רגישה נכתבת ליומן ביקורת שאפשר לסקור.

• תפקידים נפרדים למנהל, לבודק איכות ולצופה — ולא כולם רואים את אותו הדבר
• האזנה להקלטות פתוחה למנהל ולבודק; פתיחתה לצופים היא הגדרה נפרדת ומודעת ברמת המחלקה
• פעולות רגישות — מחיקה, ייצוא, שינוי הגדרות — נרשמות ביומן ביקורת עם מבצע וחותמת זמן
• ייצוא נתונים עובר את אותה בקרת הרשאות ואת אותו תיעוד כמו צפייה במערכת