מדיניות פרטיות

מדיניות פרטיות זו ("המדיניות") מסבירה כיצד Ordex אוספת, משתמשת, שומרת ומשתפת מידע במסגרת השירות המקוון לניהול משרדי עורכי דין ("השירות"), הזמין בכתובת ordex.co.il ובתתי-הדומיינים שלו.

השירות מופעל על ידי דן שירן, עוסק מורשה מס׳ 206843922 ("Ordex", "אנחנו").

השירות מיועד לשימוש עסקי (B2B) על ידי עורכי דין, משרדי עורכי דין וצוותיהם ("המשתמש" או "המשרד"), ואינו מיועד לשימוש צרכני פרטי. מדיניות זו חלה הן על מידע שהמשתמש מוסר לנו בעצמו, והן על מידע לגבי צדדים שלישיים — כגון לקוחות הקצה של המשרד — שהמשתמש מזין או מעלה לשירות במהלך השימוש הרגיל בו.

היה וקיים הסכם התקשרות חתום בין המשתמש לבין Ordex המסדיר את תנאי השימוש בשירות, ובמקרה של סתירה בין אותו הסכם לבין מדיניות זו בנוגע לעיבוד מידע — הוראות ההסכם החתום גוברות.

לחלק גדול מהבלבול סביב מדיניות פרטיות של תוכנה עסקית יש שורש אחד: לא כל המידע העובר דרך המערכת "שייך" לאותו גורם מבחינה משפטית. מדיניות זו מבחינה אפוא בין שני סוגי מידע, בהתאם למונחים שנקבעו בחוק הגנת הפרטיות, התשמ"א-1981 (כנוסחו לאחר תיקון מס׳ 13):

• מידע על המשתמשים בשירות — שמות, פרטי התקשרות, תפקיד והרשאות במשרד, נתוני התחברות ונתוני החיוב של המשרד עצמו. ביחס למידע זה Ordex היא "בעלת השליטה במאגר", כלומר הגורם הקובע את מטרות עיבוד המידע, והיא אחראית לעיבודו בהתאם למדיניות זו.
• מידע על תיקי המשרד ולקוחותיו — פרטי לקוחות, מסמכים, תוכן תיקים ורשומות אחרות שהמשרד או מי מטעמו מזין לשירות ("מידע התיקים"). ביחס למידע זה המשרד הוא בעל השליטה במאגר, ו-Ordex פועלת כ"מחזיק" מטעמו בלבד — כלומר גורם חיצוני המעבד את המידע עבורו, על פי הוראותיו ולצורך אספקת השירות, ולא למטרותיה העצמאיות של Ordex. האחריות לחוקיות איסוף המידע ולעמידה בחובות כלפי לקוחות הקצה נותרת אצל המשרד.

המשמעות המעשית: לקוח של משרד עורכי דין המבקש לממש זכות ביחס למידע שלו (עיון, תיקון, מחיקה וכיו"ב) — יפנה ישירות לאותו משרד, שהוא בעל השליטה במאגר ביחס לאותו מידע והגורם המוסמך להשיב לפנייתו. Ordex תסייע למשרד למלא בקשות כאמור, בהתאם להתחייבויותיה כמחזיק.

לפניות בנושא פרטיות: dan@danshiran.co.il, טלפון 052-6446261.

מידע חשבון

• שם מלא, כתובת דוא"ל, מספר טלפון, שם המשרד ופרטי התקשרות של המשתמש הנרשם.
• פרטי הרשאות וסטטוס המשתמש בתוך המשרד (עורך דין, מזכירה, מנהל מערכת וכיו"ב).

מידע תיקים ולקוחות המשרד

במסגרת השימוש הרגיל בשירות, המשתמש מזין ומעלה מידע על תיקי משפט, פרטי לקוחותיו, מסמכים משפטיים, התכתבויות ותוכן נלווה. מידע זה עשוי לכלול מידע בעל רגישות מיוחדת כמשמעותו בחוק, ואף מידע החסוי מכוח חיסיון עורך דין–לקוח. Ordex אינה בודקת, קוראת או עושה שימוש במידע התיקים, למעט ככל שנדרש לצורך אספקת השירות עצמו (אחסון, הצגה, גיבוי ותמיכה טכנית), ולא תעשה בו כל שימוש אחר.

מידע יומן Google Calendar

משתמש הבוחר לחבר את חשבון Google Calendar שלו לשירות מעניק לנו גישה לנתוני היומן שלו — כגון כותרות אירועים, תאריכים, שעות, מיקומים ורשימת משתתפים — לצורך הצגה, יצירה ועדכון של אירועי יומן מתוך השירות. החיבור אופציונלי לחלוטין ומתבצע ביוזמת המשתמש. הפרק "שימוש בנתוני Google" להלן מפרט את מדיניות השימוש המוגבל (Limited Use) שלנו בנתונים אלה.

מידע תשלום

סליקת התשלומים עבור המנוי מתבצעת באמצעות ספק סליקה חיצוני — קארדקום (Cardcom). פרטי כרטיס האשראי נמסרים ומאוחסנים ישירות אצל קארדקום ואינם נשמרים בשרתי Ordex. אנו מקבלים מקארדקום אישור עסקה, סכום החיוב ומזהה עסקה, לצורך הפקת חשבונית ומעקב תשלומים.

מידע טכני

• כתובת IP, סוג דפדפן ומכשיר, מערכת הפעלה, לוגים טכניים ונתוני שימוש בסיסיים — לצורך אבטחה, תפעול ושיפור השירות.

• אספקה ותפעול שוטף של השירות (ניהול תיקים, מסמכים, יומן, משימות).
• תמיכה טכנית ותקשורת עם המשתמש בנוגע לחשבונו.
• חיוב וניהול המנוי.
• אבטחת השירות, מניעת הונאות וזיהוי תקלות.
• שיפור השירות — ניתוח מצטבר של דפוסי שימוש, שאינו מזהה משתמש ספציפי.
• עמידה בדרישות הדין, ככל שנדרש.

אנו לא מוכרים ולא נמכור מידע אישי או מידע תיקים לצדדים שלישיים למטרות שיווק. איננו עושים שימוש במידע התיקים, במסמכים או בנתוני לקוחות המשרד לצורך אימון מודלים של בינה מלאכותית, ולא נעשה במידע זה כל שימוש שאינו נחוץ לאספקת השירות עצמו.

עיבוד המידע נעשה על בסיס ההתקשרות החוזית עם המשרד (הנדרש לאספקת השירות שהוזמן), הסכמה מפורשת במקרים הרלוונטיים (למשל חיבור יומן Google), אינטרס לגיטימי של Ordex בתפעול, אבטחה ושיפור השירות, וכן לצורך עמידה בחובות שבדין. עיבוד המידע נעשה למטרות המפורטות במדיניות זו בלבד, בהתאם לעיקרון צמידות המטרה הקבוע בחוק.

לצורך אספקת השירות אנו נעזרים בספקים החיצוניים הבאים, הפועלים כמחזיקים מטעמנו ומחויבים בהתחייבויות סודיות ואבטחת מידע מתאימות:

• Lovable (Lovable Cloud, מבוסס על Supabase) — אחסון בסיס הנתונים, הקבצים ותשתית האפליקציה. Lovable מחזיקה בתקני האבטחה ISO/IEC 27001:2022 ו-SOC 2 Type II.
• Resend — שליחת הודעות דוא"ל תפעוליות (הזמנות ליומן, התראות מערכת, איפוס סיסמה וכיו"ב).
• Google (Google Calendar API) — סנכרון יומן, בכפוף להסכמת המשתמש ולמדיניות המפורטת בפרק הבא.
• קארדקום (Cardcom) — סליקת תשלומים.

איננו משתפים מידע עם צדדים שלישיים מעבר לאמור לעיל, אלא אם הדבר נדרש על פי דין או צו שיפוטי, לצורך הגנה על זכויותינו המשפטיות, בהסכמת המשתמש, או במסגרת שינוי מבנה עסקי (כגון מיזוג או רכישה) — ובמקרה זה בכפוף להתחייבות הגורם הרוכש לפעול לפי הוראות מדיניות זו ביחס למידע שהועבר.

השימוש והעברת מידע המתקבל מ-Google APIs אל כל אפליקציה אחרת יעמדו ב-Google API Services User Data Policy, לרבות דרישות ה-Limited Use.

• אנו ניגשים לנתוני Google Calendar אך ורק לצורך הצגת אירועי יומן, יצירת אירועים חדשים ועדכון אירועים קיימים בתוך השירות, בהתאם לבקשת המשתמש.
• לא נעשה שימוש בנתוני היומן לצורך פרסום מכל סוג, ולא נעביר אותם לצדדים שלישיים למעט ספקי התשתית הנדרשים לתפעול השירות כאמור בפרק הקודם.
• לא נעשה שימוש בנתוני היומן לצורך אימון מודלים של בינה מלאכותית או למידת מכונה.
• גישה אנושית לנתוני היומן ניתנת רק לנציגי Ordex הזקוקים לכך לצורך תמיכה טכנית, בכפוף לחובות סודיות ובהסכמת המשתמש.
• המשתמש יכול לבטל את חיבור היומן בכל עת דרך הגדרות החשבון בשירות, ובכך לשלול גישה עתידית לנתוני היומן שלו. ניתן גם לבטל את ההרשאה ישירות דרך הגדרות חשבון ה-Google.

אנו נוקטים באמצעי אבטחה טכניים וארגוניים סבירים להגנה על המידע, בהשראת העקרונות הקבועים בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ובכללם:

• הצפנת תקשורת (HTTPS/TLS) בעת העברת מידע.
• בקרת הרשאות מבוססת-תפקיד, ותיעוד פעולות רגישות במערכת.
• הפרדת נתונים בין המשרדים המשתמשים בשירות במבנה רב-דיירים (Multi-Tenant) עם Row-Level Security, כך שמשרד אחד אינו יכול לגשת למידע של משרד אחר.
• תשתית האחסון וההרצה מסופקת על ידי Lovable Cloud, המחזיקה בתקני ISO/IEC 27001:2022 ו-SOC 2 Type II — תקנים החלים על תשתית Lovable ולא על Ordex עצמה כישות עצמאית.

חרף האמור, אין אפשרות להבטיח אבטחה מוחלטת בסביבה מקוונת, ואנו ממליצים למשתמשים לנקוט באמצעי זהירות סבירים מצדם — ובכללם שימוש בסיסמאות חזקות וייחודיות ושמירתן בסודיות.

במקרה של אירוע אבטחה חמור נפעל בהתאם להוראות הדין החל במועד הרלוונטי, ונדווח על כך לרשות להגנת הפרטיות ולמשרדים הנוגעים בדבר בהתאם ללוחות הזמנים הקבועים בדין — בין היתר כדי לאפשר לאותם משרדים למלא את חובותיהם שלהם, כבעלי השליטה במאגרי המידע של לקוחותיהם.

חלק מספקי המשנה שלנו (Lovable/Supabase, Resend, Google, קארדקום) עשויים לאחסן או לעבד מידע בשרתים הממוקמים מחוץ לגבולות מדינת ישראל. ככל שמתבצעת העברה כאמור, היא נעשית בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ותוך נקיטת אמצעים סבירים להבטחת רמת הגנה נאותה למידע המועבר, לרבות באמצעות תקני אבטחה מוכרים.

אנו שומרים מידע כל עוד קיים חשבון פעיל בשירות, ובהתאם לצורך הסביר לאספקת השירות. עם סיום ההתקשרות יישמר גיבוי של מידע התיקים לתקופה של 90 יום לצורך אפשרות שחזור, ולאחריה יימחק לצמיתות — אלא אם המשתמש ביקש אחרת בכתב, או שקיימת חובה חוקית לשמירתו לתקופה ארוכה יותר.

חלון הזמן שבמסגרתו רשאי המשרד לייצא את נתוניו מהשירות מפורט בתנאי השימוש ובהסכם ההתקשרות הפרטני, ככל שקיים.

השירות עושה שימוש בעוגיות טכניות הכרחיות לתפעולו הבסיסי בלבד — כגון שמירת ה-session של ההתחברות ואבטחת החשבון. איננו עושים שימוש בעוגיות למטרות פרסום או מעקב שיווקי. ניתן לחסום או למחוק עוגיות דרך הגדרות הדפדפן, אם כי הדבר עלול לפגוע בתפקוד השירות.

בהתאם לחוק הגנת הפרטיות, כל משתמש רשאי לפנות אלינו בבקשה לעיין במידע האישי הנשמר אודותיו, לתקנו או למחקו, וכן להתנגד לעיבוד מסוים — הכל בכפוף למגבלות הדין. פניות כאמור ניתן להפנות לכתובת המפורטת בפרק "מי אחראי על המידע" לעיל.

ככל שהמשתמש מבקש למחוק מידע תיקים הנוגע ללקוחות משרדו, עליו לוודא כי הדבר עולה בקנה אחד עם חובותיו המקצועיים והחוקיים כלפי אותם לקוחות, לרבות חובות שימור רשומות משפטיות.

כאמור לעיל — בקשות הנוגעות למידע על לקוח של משרד עורכי דין (להבדיל ממשתמש רשום בשירות) יש להפנות למשרד הרלוונטי, שהוא בעל השליטה במאגר ביחס לאותו מידע.

השירות מיועד לשימוש עסקי על ידי אנשי מקצוע בגירים בלבד, ואינו מיועד לשימוש על ידי קטינים.

אנו עשויים לעדכן מדיניות זו מעת לעת, בין היתר בעקבות שינויי חקיקה או שינויים בשירות. הגרסה המעודכנת תפורסם בעמוד זה יחד עם תאריך העדכון, והודעה על שינוי מהותי תימסר למשתמשים באמצעות הודעה בשירות או בדוא"ל. המשך השימוש בשירות לאחר עדכון המדיניות מהווה הסכמה לתנאים המעודכנים.

לכל שאלה בנוגע למדיניות פרטיות זו ניתן לפנות אלינו בדוא"ל dan@danshiran.co.il או בטלפון 052-6446261.