אבטחה ופרטיות: איפה נשמר המידע של לקוחות המשרד?

התשובה הקצרה: במחשב של המשרד, מוצפן, בשליטת המשרד. משרד שמנהל ב-CaseFlow את תיקי הלקוחות שלו זכאי לתשובה מדויקת היכן ואיך המידע נשמר, ומה יוצא מהמחשב ומתי. כל משפט בעמוד הזה מתאר מנגנון שקיים בתוכנה היום.

שלושה מקומות, ורק שניים מהם של המשרד

1. במחשב המשרד. בסיס הנתונים מוצפן, ומפתח ההצפנה נשמר במחזיק המפתחות של מערכת ההפעלה באותו מחשב. העתק של קובץ הנתונים במחשב אחר אינו נפתח.
2. בענן של המשרד, רק אם המשרד בוחר בכך. הגיבוי מוצפן ונשמר במחשב המשרד, ושחזור שלו דורש את ערכת השחזור של המשרד. סנכרון הגיבוי לענן של המשרד עצמו (Google Drive,‏ OneDrive או Dropbox) כבוי כברירת מחדל, ואם מפעילים אותו, הוא נשמר בחשבון של המשרד.
3. בשרתים של CaseFlow: אין תיקים. תיקי הלקוחות, המסמכים וההתכתבויות נשמרים במחשב של המשרד. כך המידע של כל משרד נשאר אצלו, בנפרד מכל משרד אחר.

מה יוצא מהמחשב, ומתי

• בדיקת רישיון. מפתח הרישיון, טביעת אצבע חד-כיוונית של המחשב (לא מספר סידורי), מספר הגרסה והתשובה לשאלת המדידה (כן, לא או טרם נענתה). לא נשלח שום פרט מתיק.
• עדכוני גרסה. התוכנה מורידה עדכונים ממקור אחד, והם חתומים בחתימת המפתח של היצרן ונבדקים לפני ההתקנה.
• AI מנוהל, רק אם המשרד הפעיל אותו. נשלח רק מה שנדרש למשימה שעורך הדין ביקש, דרך שרת של CaseFlow, לעיבוד באזור באיחוד האירופי. השרת רושם מונה שימוש ועלות בלבד, לא תוכן. פירוט מלא בהתחייבות לגבי AI.
• AI עם חשבון של המשרד. משרד שמחבר חשבון ספק משלו שולח ישירות לאותו ספק, לפי ההסכם ואזור העיבוד שהמשרד בחר. המידע אינו עובר דרך השרתים של CaseFlow.
• חתימה מרחוק, רק לפי בחירה. המסמך לחתימה נשמר בשרת מאחורי קישור חד-פעמי שאי אפשר לנחש, והמסמך החתום חוזר למחשב המשרד.
• תמיכה מרחוק, רק בתיאום מראש. שיתוף מסך שהמשרד אישר עובר בתקשורת מוצפנת דרך שרת ממסר של CaseFlow. התוכן אינו נשמר.
• דיווחי תקלות ונתוני שימוש. המנגנון כבוי כברירת מחדל ואינו שולח דבר.

מה בדיוק מעובד, איפה ולכמה זמן כתוב במדיניות הפרטיות ובהסכם עיבוד הנתונים.

בקרות ברמת המשרד

• נעילת אפליקציה בקוד אישי, עם אימות דו-שלבי בקוד מתחלף וקודי שחזור, לפי בחירת המשרד.
• תפקידים והרשאות במשרד עם כמה עמדות: מנהל מערכת, שותף, עורך דין, עוזר משפטי וצפייה בלבד. כל משתמש רואה את התיקים שהוקצו לו או שבפיקוחו.
• יומן ביקורת של הפעולות במערכת, עם ייצוא לקובץ ולדוח קריא.
• המשרד קובע כמה חופש יש לעוזר החכם. ברירת המחדל שמרנית. פעולה שיוצאת מהמשרד, כמו שליחת דואר, שליחה לחתימה או חיוב, דורשת תמיד אישור מפורש של אדם, בכל הגדרה.
• עדכונים חתומים לכל העמדות, ממקור אחד מזוהה.

איך מוגנים השרתים של CaseFlow

השרתים מתארחים בחוות שרתים באיחוד האירופי, מוגנים ומעודכנים, וכל התקשורת אליהם מוצפנת. גיבוי מוצפן יוצא בכל לילה לאתר אחסון נפרד, והשחזור ממנו נבדק.

AI ומידע

העוזר החכם עושה את העבודה היסודית, ועורך הדין מאשר. הוא אינו מגיש דבר לבית המשפט ואינו שולח דבר בשם המשרד בלי אישור. ההתחייבות המלאה, כתובה כך שעורך דין יכול להסתמך עליה מול גילוי הדעת של לשכת עורכי הדין מספטמבר 2026, נמצאת בהתחייבות לגבי AI.

מה העמוד הזה לא טוען

ל-CaseFlow אין תעודת ISO 27001 או SOC 2, ולא בוצע לה מבדק חדירה חיצוני. צוות CaseFlow מנהל הערכה עצמית, בקרה אחר בקרה, מול תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ומול נספח A של ISO 27001. משרד בעל רישיון יכול לקבל דוח על אמצעי האבטחה לפי סעיף 8 בהסכם עיבוד הנתונים.

דיווח על חולשה

מי שמצא חולשה מתבקש לכתוב ל-security@caseflow.co.il. צוות CaseFlow מאשר קבלה בתוך יום עסקים אחד, מטפל לפי חומרה, ומעדכן את המדווח כשהתיקון יצא.