מדיניות פרטיות

עודכן לאחרונה: 2026-10-15

מדיניות זו מסבירה כיצד BENJO Sign ("השירות", "אנחנו"), שירות חתימה אלקטרונית הזמין בכתובת sign.bybenjo.com, אוסף, משתמש, משתף ומגן על מידע אישי. היא חלה על העסקים והאנשים שפותחים חשבון ("בעלי חשבון" וחברי הצוות שלהם) ועל האנשים שמקבלים מסמכים לחתימה ("חותמים"). גרסה באנגלית זמינה בכתובת /en/privacy; התוכן בשתי הגרסאות זהה. המדיניות מנוסחת בלשון זכר מטעמי נוחות בלבד ומתייחסת לכל המגדרים.

1. מי אנחנו

השירות מופעל על ידי BENJO Sign ("החברה"). לכל שאלה או בקשה בנושא פרטיות: office@ehud-golan.com.

2. התפקיד שלנו: בעל מאגר ומחזיק

• מידע על החשבון (מי אתם, פרטי הכניסה, החיוב ואופן השימוש בשירות): אנחנו בעל המאגר (Controller).
• מסמכים ומידע על חותמים (הקבצים שבעל החשבון מעלה, האנשים שהוא שולח אליהם, מה שחותמים ממלאים וחותמים, ותיעוד הביקורת): אנחנו מעבדים מידע זה עבור בעל החשבון, שמחליט מה לשלוח, למי ולמה. לגבי מידע זה בעל החשבון הוא בעל המאגר, ואנחנו מחזיק (Processor) מטעמו. חותם שמבקש לממש זכויות לגבי מסמך שקיבל מתבקש לפנות לעסק ששלח לו אותו; אנחנו נסייע לעסק להשיב.

3. איזה מידע אנחנו אוספים

3.1 מבעלי חשבון וחברי צוות

• פרטי חשבון: שם, כתובת דוא"ל, שם הארגון, שפה ואזור זמן, התפקיד בארגון וחברי הצוות שהוזמנו.
• נתוני כניסה: קודי כניסה חד-פעמיים בדוא"ל, ואם הוגדרה — סיסמה; כולם נשמרים רק כגיבוב (Hash) עם מלח; רשומות התחברות (מועד יצירה ותפוגה).
• תוכן שאתם מוסיפים: מסמכים (PDF / DOCX) ותבניות, מיקומי שדות ו-{placeholders}, שמות, כתובות דוא"ל ומספרי טלפון של נמענים, הודעות לחותמים, לוגו, חותמת ומיתוג, ואם הועלתה — תעודת החתימה של הארגון.
• הגדרות חיבור: מפתחות API (נשמרים כגיבוב; מוצגת רק קידומת קצרה), כתובות Webhook ו-Callback, סודות Webhook וערכי כותרות מותאמות (נשמרים מוצפנים), ויומן המשלוחים של ה-Webhooks (זמן, קוד תגובה, משך).
• חיבור לחשבון Google (לבחירתכם): כתובת הדוא"ל של חשבון Google המחובר ואסימוני ה-OAuth ש-Google מנפיקה — ראו סעיף 6.
• מידע טכני: כתובת IP, מזהה הדפדפן (User Agent) וזמני בקשות ביומני אבטחה ושרת; מוני הגבלת קצב (נשמרים כגיבוב חד-כיווני של כתובת ה-IP).
• נתוני חיוב (כשיוצעו מסלולים בתשלום): מסלול, חשבוניות ואיש קשר לחיוב. פרטי כרטיס האשראי מטופלים אצל ספק התשלומים ואינם נשמרים אצלנו.

3.2 מחותמים

• פרטים שמסר השולח: שם, כתובת דוא"ל ובמקרה הצורך מספר טלפון.
• מה שאתם ממלאים: ערכי שדות, החתימה ורשי התיבות שציירתם, הקלדתם או העליתם, תמונות או קבצים שצירפתם, הערות, בקשות לשינוי וסיבות לסירוב. תשובות שהתחלתם למלא ועדיין לא שלחתם נשמרות בשרת כדי שתוכלו להמשיך מאוחר יותר.
• אימות: אם השולח דורש זאת — קוד חד-פעמי שנשלח לדוא"ל או לטלפון (נשמר אצלנו רק גיבוב של הקוד ותוצאת הבדיקה).
• תיעוד ביקורת: בכל שלב (פתיחה, צפייה, הורדת עותק לעיון, חתימה, הערה, סירוב) נרשמים הזמן, כתובת ה-IP, מזהה הדפדפן, אזור הזמן של המכשיר, ואם המפעיל הפעיל מאגר מקומי של מיקום לפי IP — מיקום משוער (מדינה / עיר) שמחושב מכתובת ה-IP. לעולם אין בקשה למיקום מדויק (GPS). תיעוד הביקורת מודפס בדף האישור של ה-PDF החתום ומהווה חלק מראיית החתימה.
• קישורי חתימה ציבוריים: אם התחלתם מסמך מקישור חתימה ציבורי של עסק — הפרטים שהזנתם ועוגייה פונקציונלית שמאפשרת לאותו דפדפן לחזור לאותו מסמך.

4. למה אנחנו משתמשים במידע

• כדי לספק את השירות: הכנת מסמכים, שליחת הזמנות לחתימה, תזכורות ועותקים חתומים, איסוף חתימות, הפקת ה-PDF החתום עם תיעוד הביקורת והחתימה הדיגיטלית, ומשלוח Webhooks ו-Callbacks לכתובות שבעל החשבון הגדיר.
• כדי לאמת משתמשים וחותמים, למנוע הונאה ושימוש לרעה ולשמור על אבטחת השירות (הגבלת קצב, יומנים, קודי אימות).
• כדי לתת תמיכה כשתבקשו, ולשלוח הודעות שירות וחשבון (למשל Webhook שהושהה או הודעה על תקופת שמירה).
• כדי לעמוד בחובות חוקיות ולהגן על זכויות ותביעות משפטיות (למשל ערכו הראייתי של תיעוד הביקורת).
• כדי לתפעל ולשפר את אמינות השירות באמצעות מדדים מצטברים שאינם כוללים תוכן (כמו שיעורי שגיאות ומספר מסמכים).

אנחנו לא מוכרים מידע אישי, לא משתמשים בו לפרסום או לפרופיילינג, לא קוראים את תוכן המסמכים שלכם אלא כמתואר בסעיף 10, ולא משתמשים במסמכים, במידע על חותמים או במידע מ-Google כדי לאמן מודלים של בינה מלאכותית או למידת מכונה.

5. בסיס חוקי

לפי חוק הגנת הפרטיות, התשמ"א-1981 ותקנותיו (לרבות תיקון מס' 13), אנחנו מעבדים מידע אישי למטרות המפורטות במדיניות זו, שמובאות לידיעתכם בעת האיסוף. לגבי אנשים באזור הכלכלי האירופי, בבריטניה או בשווייץ, הבסיס החוקי שלנו לפי ה-GDPR הוא:

• חוזה — אספקת השירות לבעלי חשבון (סעיף 6(1)(b)).
• אינטרס לגיטימי — אבטחה, מניעת הונאה, שמירת תיעוד ביקורת של החתימה ושיפור האמינות (סעיף 6(1)(f)).
• חובה חוקית — למשל רשומות מס והנהלת חשבונות (סעיף 6(1)(c)).
• הסכמה — לחיבור חשבון Google ולכל תכונה אופציונלית שמבקשת הסכמה; אפשר לחזור בכם מההסכמה בכל עת (סעיף 6(1)(a)).

לגבי מידע על חותמים שאנחנו מעבדים עבור בעל חשבון — בעל החשבון אחראי לכך שיש לו בסיס חוקי תקף ולמסירת הודעה לחותמים.

6. מידע מחשבון Google

בעלי חשבון יכולים, לבחירתם, לחבר חשבון Google. אנחנו מבקשים רק את ההרשאות (Scopes) הבאות, וכל אחת למטרה המפורטת בלבד:

מה נשמר אצלנו

• אסימוני הגישה והרענון של OAuth, מוצפנים במנוחה (AES-256-GCM) במפתח שנשמר בנפרד מהנתונים; כתובת הדוא"ל המחוברת; ומזהה התיקייה שהשירות יצר ב-Drive.
• קובץ שבחרתם ב-Picker: תוכן הקובץ מועתק למסמכי הארגון שלכם, בדיוק כאילו העליתם אותו, בשם הקובץ. איננו שומרים קישור לקובץ ב-Drive שלכם.
• דוא"ל שנשלח דרך Gmail: אותה רשומת משלוח שתיעוד הביקורת שומר לכל דוא"ל (נמען, זמן, סטטוס ומזהה ההודעה ב-Gmail). Google שומרת עותק של ההודעה בתיקיית "דואר יוצא" שלכם, כמו בכל הודעה שאתם שולחים.

ניתוק ומחיקה

• אפשר לנתק את חשבון Google בכל עת בהגדרות לוח הבקרה. בעת הניתוק אנחנו מבטלים את האסימונים מול Google ומוחקים אותם מהמערכות שלנו מיד.
• אפשר גם לבטל את הגישה בכל עת בכתובת myaccount.google.com/permissions; מאותו רגע השירות לא יכול להשתמש בחשבון Google שלכם, ואנחנו מוחקים את האסימונים השמורים כשאנחנו מזהים את הביטול או כשאתם מנתקים.
• במחיקת החשבון נמחקים כל אסימוני Google וכל ההגדרות הקשורות ל-Google. קבצים שכבר נשמרו ב-Drive שייכים לכם ונשארים ב-Drive; איננו מוחקים אותם.

שימוש מוגבל (Limited Use)

BENJO Sign's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

בעברית: השימוש של BENJO Sign במידע המתקבל מממשקי Google, והעברתו לכל אפליקציה אחרת, יעמדו במדיניות נתוני המשתמש של Google API Services, לרבות דרישות השימוש המוגבל (Limited Use). בפרט:

• אנחנו משתמשים במידע מ-Google רק כדי לספק ולשפר את התכונות המתוארות לעיל, הגלויות בממשק השירות.
• אנחנו לא משתמשים במידע מ-Google לפרסום, לרבות פרסום מותאם אישית, פרסום חוזר או פרסום מבוסס תחומי עניין.
• אנחנו לא מוכרים מידע מ-Google, ואיננו מעבירים אותו לצדדים שלישיים אלא אם הדבר נדרש לאספקת התכונות לעיל, לעמידה בדין, או במסגרת מיזוג או רכישה בהודעה מוקדמת אליכם.
• אף אדם לא קורא מידע מ-Google, אלא אם נתתם הסכמה מפורשת לגבי מידע מסוים (למשל בפניית תמיכה), אם הדבר נחוץ לצורכי אבטחה (כמו חקירת שימוש לרעה), לעמידה בדין, או שהמידע מצטבר ואנונימי לצרכים תפעוליים פנימיים.
• אנחנו לא משתמשים במידע מ-Google כדי לפתח, לשפר או לאמן מודלים כלליים או לא-מותאמים-אישית של בינה מלאכותית או למידת מכונה.

7. שיתוף מידע וספקי משנה

אנחנו משתפים מידע אישי רק במידה הנדרשת להפעלת השירות:

• אחסון ותשתית: [HOSTING PROVIDER] — השרתים והאחסון שבהם השירות ונתוניו מאוחסנים.
• משלוח דוא"ל: [EMAIL PROVIDER] — שליחת קודי כניסה, הזמנות לחתימה, תזכורות ועותקים חתומים כשבעל החשבון לא חיבר Gmail.
• SMS (רק אם השולח משתמש באימות בטלפון): [SMS PROVIDER] — משלוח קודים חד-פעמיים.
• Google — רק כשבעל חשבון מחבר חשבון Google, לשליחת דוא"ל דרך Gmail ולשמירה או פתיחה של קבצים ב-Drive, כמתואר בסעיף 6.
• המערכות של בעל החשבון: Webhooks ו-Callbacks מעבירים אירועי מסמכים (ואם הוגדר — קישורי הורדה קצרי-מועד לקבצים) לכתובות שבעל החשבון קבע. המערכות האלה נשלטות על ידי בעל החשבון ולא על ידינו.
• צדדים אחרים למסמך: השולח והחותמים האחרים באותו מסמך רואים את המסמך המושלם ואת תיעוד הביקורת שלו.
• דין ובטיחות: רשויות או בתי משפט כשהדין מחייב, או כדי להגן על זכויות, בטיחות ושלמות השירות; וכן חליף במסגרת מיזוג או רכישה, בכפוף למדיניות זו.

ספקי המשנה מחויבים בהסכמים בכתב לסודיות ולאבטחה הולמת. איננו מוכרים או משכירים מידע אישי.

8. העברת מידע לחו"ל

השירות מופעל מישראל, שהנציבות האירופית הכירה בה כמדינה המעניקה רמת הגנה נאותה על מידע. השרתים שלנו ממוקמים ב-[HOSTING REGION]. חלק מהספקים (לרבות Google וספק הדוא"ל) עשויים לעבד מידע במדינות אחרות. כשמידע מהאזור הכלכלי האירופי, מבריטניה או משווייץ מועבר למדינה ללא החלטת הלימות, אנחנו מסתמכים על אמצעי הגנה מתאימים כגון הסעיפים החוזיים התקניים של הנציבות האירופית (SCC). העברת מידע מישראל לחו"ל נעשית בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001.

9. תקופת השמירה

• הקבצים של מסמכים חתומים (ה-PDF החתום, תעודת הביקורת, החתימות והקבצים המצורפים) נשמרים בשרתים שלנו 90 יום מהשלמת המסמך — או תקופה קצרה יותר של 30 יום לפחות שבעל החשבון בוחר — ואז נמחקים אוטומטית. לפני מחיקת קבצים שלא נשמרו ב-Google Drive נשלחות לבעל החשבון שתי הודעות בדוא"ל (14 ו-3 ימים לפני). נשאר רישום של המסמך (שמו, החותמים, מועד כל שלב, טביעות האצבע (hash) של הקבצים ויומן האירועים), כך שבעל החשבון עדיין יכול להראות מה נחתם, מתי ועל ידי מי. אם בעל החשבון חיבר את Google Drive, נשמר עותק גם ב-Drive שלו, ושם הוא נשאר בשליטתו. בעלי חשבון אחראים לשמור עותקים משלהם (הורדה, Drive או ה-API) למשך כל הזמן שהם צריכים.
• מסמכים שלא הושלמו (פג תוקפם, נדחו או בוטלו) — הקבצים שלהם נמחקים באותו לוח זמנים, מיום סגירתם (עם אותן שתי הודעות בדוא"ל); נשאר אותו רישום. בעל החשבון רשאי למחוק מסמכים מוקדם יותר בכל עת.
• מידע על החשבון נשמר כל עוד החשבון פעיל ונמחק בתוך [ACCOUNT DELETION PERIOD] מסגירת החשבון, למעט מה שחובה עלינו לשמור לפי דין (למשל חשבוניות).
• אסימוני Google נמחקים מיד בניתוק או במחיקת החשבון.
• יומני אבטחה ושרת נשמרים עד [LOG RETENTION PERIOD]; גיבויים מתחלפים בתוך [BACKUP RETENTION PERIOD].

10. אבטחת מידע

• כל התעבורה מוצפנת בהעברה (HTTPS/TLS).
• הקבצים השמורים מוצפנים במנוחה (AES-256-GCM) במפתח נפרד לכל ארגון; המפתחות האלה, תעודות החתימה, ערכי כותרות ה-Webhook ואסימוני Google נשמרים בכספת מוצפנת.
• הנתונים של כל ארגון נשמרים במסד נתונים נפרד משלו; החשבונות נשמרים במסד נתונים נפרד.
• סיסמאות, קודי כניסה, קודי אימות ומפתחות API נשמרים רק כגיבוב חד-כיווני; ה-Webhooks חתומים (HMAC) כדי שהמקבל יוכל לאמת אותם.
• מדיניות אבטחת תוכן (CSP) מחמירה, בדיקות מקור, הגבלת קצב והגנה מפני בקשות לרשתות פנימיות.
• הצוות שלנו אינו ניגש לתוכן המסמכים שלכם, אלא אם העניקו לו במפורש גישת תמיכה, כשהדבר נחוץ לאבטחה (למשל חקירת שימוש לרעה), או כשהדין מחייב.

אין מערכת מאובטחת לחלוטין. אם ייוודע לנו על אירוע אבטחה שפוגע במידע האישי שלכם, נודיע לכם ולרשויות המוסמכות כנדרש בדין.

11. הזכויות שלכם

ישראל. לפי חוק הגנת הפרטיות, התשמ"א-1981 (לרבות תיקון מס' 13), זכותכם לעיין במידע אישי עליכם המוחזק במאגר מידע, לבקש לתקן או למחוק מידע שאינו נכון, שלם, ברור או מעודכן, ולבקש להימחק מכל רשימת דיוור ישיר. אפשר גם להגיש תלונה לרשות להגנת הפרטיות.

האזור הכלכלי האירופי, בריטניה ושווייץ. לפי ה-GDPR עומדות לכם גם הזכות למחיקה, להגבלת העיבוד, לניידות מידע, להתנגד לעיבוד המבוסס על אינטרס לגיטימי, לחזור בכם מהסכמה בכל עת, ולהגיש תלונה לרשות הפיקוח המקומית.

למימוש כל זכות כתבו ל-office@ehud-golan.com. ייתכן שנצטרך לאמת את זהותכם; נשיב בתוך 30 יום (או בתוך התקופה שהדין קובע). בעלי חשבון יכולים גם לצפות, לייצא ולמחוק את הנתונים והמסמכים שלהם ישירות בלוח הבקרה. חותמים מתבקשים לפנות לעסק ששלח את המסמך (ראו סעיף 2); אנחנו נסייע לעסק.

12. עוגיות (Cookies)

אנחנו משתמשים רק בעוגיות הכרחיות:

• עוגיית התחברות שמשאירה בעלי חשבון מחוברים ללוח הבקרה (HTTP-only, Same-site); וכן
• בקישור חתימה ציבורי של עסק — עוגייה פונקציונלית שמאפשרת לאותו דפדפן לחזור למסמך שהתחיל.

איננו משתמשים בעוגיות סטטיסטיקה, מעקב או פרסום, ואיננו טוענים רכיבי מעקב של צד שלישי. הדפים הציבוריים האלה אינם יוצרים עוגיות כלל.

13. קטינים

השירות מיועד לעסקים ואינו מכוון לילדים. רק מי שמלאו לו 18 רשאי לפתוח חשבון. איננו אוספים ביודעין מידע אישי מילדים מתחת לגיל 16 למטרותינו; אם אתם סבורים שילד מסר לנו מידע אישי, פנו אלינו ונמחק אותו. בעל חשבון ששולח מסמך לקטין אחראי לקבל כל הסכמה הנדרשת בדין.

14. שינויים במדיניות

אנחנו עשויים לעדכן מדיניות זו מעת לעת. התאריך "עודכן לאחרונה" בראש הדף מציין את הגרסה העדכנית. על שינויים מהותיים נודיע לבעלי חשבון בדוא"ל או בלוח הבקרה לפני שייכנסו לתוקף. כל שינוי באופן השימוש במידע מ-Google ייעשה רק בהתאם למדיניות של Google, ובמידת הצורך — בהסכמה מחודשת שלכם.

15. יצירת קשר

BENJO Sign
דוא"ל: office@ehud-golan.com