מדיניות פרטיות

שני תפקידים, שני סוגי מידע

מידע על המשתמשים במערכת. על פרטי החשבון של משרדים ושל העובדים בהם, Ledger Pilot היא בעלת השליטה במאגר.

מידע שהמשרדים מכניסים למערכת על הלקוחות שלהם. ספרים, מסמכים, שכר ופרטי עובדים של לקוחות שייכים למשרד, והמשרד הוא בעל השליטה במאגר שלו. Ledger Pilot מחזיקה את המידע הזה בשביל המשרד, לפי הסכם עיבוד מידע, ומשתמשת בו רק כדי לתת למשרד את השירות.

איזה מידע אנחנו אוספים

פרטי חשבון: שם, כתובת דואר אלקטרוני, שם המשרד, התפקיד במשרד.
תיעוד שימוש: מי פעל במערכת, מתי ואיזו פעולה, לצורך אבטחה ובקרה.
פרטי תשלום של המשרד על המנוי, כשהתשלום מופעל.

מסירת פרטי החשבון תלויה ברצונכם, אבל בלעדיהם אי אפשר לפתוח חשבון ולהשתמש במערכת.

למה אנחנו משתמשים במידע

כדי לפתוח ולנהל את החשבון ולתת את השירות.
כדי לאבטח את המערכת ולבדוק שימוש חריג בה.
כדי לגבות את דמי המנוי.
כדי לתת תמיכה ולתפעל את השירות. צוות Ledger Pilot רואה במסכי הניהול נתונים של המשרדים בלי לבקש אישור, ופעולה בתוך המידע של משרד נעשית רק לאחר שהמשרד אישר כניסת תמיכה, עם סיבה ותוקף.
כדי לקיים חובה לפי דין.

חיבור תיבת דואר (Gmail ו־Outlook)

משרד או לקוח יכולים לחבר תיבת דואר, כדי שהמערכת תאסוף ממנה חשבוניות, קבלות ומסמכים אחרים שהגיעו כקבצים מצורפים. החיבור נעשה רק ביוזמת בעל התיבה: ב־Gmail ובחשבון Microsoft דרך מסך ההסכמה של הספק, ובתיבה אחרת דרך IMAP עם סיסמת יישום שבעל התיבה יוצר לשם כך.

ההרשאה שמתבקשת. ב־Gmail ההרשאה היא קריאה בלבד (gmail.readonly), ואם Google מחזירה הרשאה רחבה יותר, החיבור נדחה. בחשבון Microsoft ההרשאה היא גישת IMAP לתיבה (IMAP.AccessAsUser.All), ההרשאה ש־Microsoft מציעה לקריאה דרך IMAP. בכל הדרכים המערכת רק קוראת: היא אינה שולחת, מוחקת, מעבירה, מסמנת או משנה הודעות, ואינה משנה הגדרות בתיבה.
מה נקרא. המערכת מחפשת הודעות עם קבצים מצורפים שנראים כמו מסמכים חשבונאיים, בטווח התאריכים שהמשרד בחר. כדי למצוא את הקבצים היא קוראת את ההודעה.
מה נשמר. קבצים מצורפים מסוג PDF, תמונה (JPEG, PNG, HEIC, WebP, TIFF), גיליון (CSV, Excel) ומסמך Word. לכל הודעה נשמרים רק כתובת התיבה שחוברה, השולח, הנושא ומזהה ההודעה, כדי לא לקלוט את אותה הודעה פעמיים ולהראות למשרד מאיפה הגיע המסמך. גוף ההודעה אינו נשמר.
למה. רק כדי להכניס את המסמכים לתיק של אותו לקוח ולעבד אותם במערכת: זיהוי טקסט, חילוץ שדות והצעת רישום. מסמכים עוברים לספקי המשנה שמעבדים מסמכים, כמפורט בעמוד ספקי משנה, רק לצורך הזה.
מה לא נעשה בו. המידע מהתיבה אינו משמש לפרסום, אינו נמכר ואינו נמסר לאחרים מעבר לנדרש לשירות. הוא אינו משמש לאימון מודלים כלליים של בינה מלאכותית. עובדי Ledger Pilot אינם קוראים אותו, אלא לאחר שהמשרד אישר כניסת תמיכה, לצורך אבטחה, או כשהדין מחייב.
שמירה. אסימון הגישה, או סיסמת היישום בחיבור IMAP, נשמרים מוצפנים ונמחקים כשמנתקים את התיבה. המסמכים שנקלטו הם חלק מהספרים של הלקוח, ונשמרים לפי הוראות המשרד ותקופות השמירה שהדין מחייב.
ביטול. אפשר לנתק את התיבה בכל עת ממסך החיבורים במערכת. בחיבור Gmail המערכת מבקשת מ־Google לבטל גם את ההרשאה. אם הבקשה נכשלת, החיבור נרשם כחיבור שההרשאה שלו לא בוטלה, ואפשר לבטל את ההרשאה ישירות בדף myaccount.google.com/permissions. בחשבון Microsoft מבטלים את ההרשאה בהגדרות החשבון, ובחיבור IMAP מוחקים את סיסמת היישום אצל ספק הדואר.

Google user data (English)

An office or its client may connect a Gmail mailbox so that Ledger Pilot collects invoices, receipts and other accounting documents received as attachments. The connection is made only by the mailbox owner, through Google's consent screen.

Scope. Ledger Pilot requests only https://www.googleapis.com/auth/gmail.readonly. It never sends, deletes, moves, labels or modifies messages or mailbox settings. A grant broader than read-only is rejected.
What is accessed. Messages with attachments that look like accounting documents, within the date range the office selects. Messages are read in order to locate the attachments.
What is stored. Attachments of these types only: PDF, images (JPEG, PNG, HEIC, WebP, TIFF), spreadsheets (CSV, Excel) and Word documents. For each message, only the connected mailbox address, the sender, the subject and the message identifier, to avoid importing the same message twice and to show where a document came from. Message bodies are not stored.
Why. Only to add the documents to that client's file and process them in the product (text recognition, field extraction and a proposed bookkeeping entry). Documents are shared only with the processors listed on the subprocessors page, and only for that purpose.
Limited Use. Ledger Pilot's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The data is not used for advertising, is not sold, and is not used to train generalized artificial intelligence or machine learning models. Ledger Pilot staff do not read it, except with the office's explicit permission for support, for security purposes, or where the law requires.
Retention. The access token is stored encrypted and deleted when the mailbox is disconnected. Imported documents become part of the client's books and are retained according to the office's instructions and the record-keeping periods required by law.
Revocation. The mailbox can be disconnected at any time from the connections screen. Disconnecting deletes the stored token and asks Google to revoke the grant; if that request fails, the connection is recorded as not revoked, and access can be removed directly at myaccount.google.com/permissions.
Contact. support@ledger-pilot.org

למי המידע נמסר

לספקי המשנה שמפעילים בשבילנו את המערכת, ורק במידה הנדרשת לשירות שכל אחד מהם נותן. הרשימה המלאה, כולל מה כל ספק מקבל ובאיזו מדינה, נמצאת בעמוד ספקי משנה.

לרשות מוסמכת, כשהדין מחייב זאת.

העברה אל מחוץ לישראל

חלק מספקי המשנה מעבדים מידע מחוץ לישראל. ההעברה נעשית לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001, והבסיס לכל ספק מפורט בעמוד ספקי משנה.

כמה זמן המידע נשמר

פרטי החשבון נשמרים כל עוד החשבון פעיל.
תיעוד הגישה למערכת נשמר לפחות 24 חודשים, כפי שקובעות תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017.
המידע של הלקוחות נשמר לפי הוראות המשרד, בכפוף לתקופות השמירה שהדין מחייב את המשרד לשמור בהן ספרים ומסמכים.

אבטחת המידע

התקשורת עם המערכת מוצפנת, המידע של כל משרד מופרד ממידע של משרדים אחרים ברמת מסד הנתונים, וכל שינוי נרשם ביומן שאי אפשר לשנות בדיעבד. במשרדים שבהם התקנות מחייבות זאת נדרש אימות דו-שלבי וניתוק אחרי זמן ללא פעילות.

הזכות לעיין במידע ולבקש לתקן אותו

כל אדם זכאי לעיין במידע שעליו ולבקש לתקן או למחוק מידע שאינו נכון, שלם, ברור או מעודכן (סעיפים 13 ו-14 לחוק הגנת הפרטיות, התשמ״א-1981). אפשר לפנות אלינו בכתובת הדואר שבסוף העמוד.

מי שהמידע עליו נמצא במערכת בגלל שהוא לקוח של משרד, או עובד של לקוח, צריך לפנות אל המשרד, שהוא בעל השליטה במידע. אם תפנו אלינו, נאמר לכם אם אנחנו מחזיקים מידע עליכם ונמסור את שם המשרד ואת כתובתו.

עוגיות ואחסון בדפדפן

המערכת משתמשת בעוגיות רק כדי לשמור את ההתחברות, ובאחסון בדפדפן רק להעדפות תצוגה ולמדידת זמן ללא פעילות. אין שימוש בעוגיות פרסום או מעקב.

פנייה אלינו

לכל שאלה בנושא פרטיות: support@ledger-pilot.org.

שינוי במדיניות מתפרסם בעמוד הזה עם גרסה ותאריך חדשים.