אנחנו דורשים מלקוחות לבדוק את הספקים שלהם — אז הנה הבדיקה שלנו, פתוחה לכולם: סטטוס ציות, ביטוח, ספקי משנה, בקרות האתר, תשובות לשאלון הספק של הרשות להגנת הפרטיות ומדיניות גילוי אחראי. כל קביעה כאן נכונה היום; מה שלא פורסם — נמסר לפי בקשה, לא מנופח.
ממונה הגנת פרטיות מונה; מדיניות פרטיות שקופה; הודעה לפי ס׳ 11 בכל טופס
בקרות גישה, MFA, הצפנה בתעבורה, תיעוד פעילות, גיבויים, הסכמי מיקור-חוץ לפי תקנה 15
אחריות מקצועית בהיקף של מיליוני ₪ וביטוח סייבר עם שיפוי צד ג׳; אישור קיום ביטוח ללקוחות לפי בקשה
ללקוחות בהסכם; דיווח ללקוח ולרשות לפי הדין
כולם תחת DPA; תשתית האתר אצל ספקים עם SOC 2 / ISO 27001
ערוץ דיווח ייעודי לפגיעויות, התחייבות לאי-תביעה לחוקרים בתום לב
סטטוס כן לפי מסגרת, עם המקור. ״מיישמים כפרקטיקה״ פירושו שאנחנו עובדים לפי התקן בלי תעודה חיצונית — ואנחנו אומרים זאת במפורש.
| מסגרת | סטטוס | פירוט |
|---|---|---|
| חוק הגנת הפרטיות, התשמ״א-1981 (כולל תיקון 13, בתוקף מ-14.8.2025) Cybertis היא בעלת שליטה במידע שנמסר באתר ובפניות, ומחזיקה (לפי תקנה 15) במידע של לקוחות במסגרת פרויקטים. מונה ממונה הגנת פרטיות; מדיניות הפרטיות מפרטת מטרות, ספקי משנה, תקופות שמירה וזכויות; בכל טופס מופיעה הודעה לפי סעיף 11. | עומדים | Cybertis היא בעלת שליטה במידע שנמסר באתר ובפניות, ומחזיקה (לפי תקנה 15) במידע של לקוחות במסגרת פרויקטים. מונה ממונה הגנת פרטיות; מדיניות הפרטיות מפרטת מטרות, ספקי משנה, תקופות שמירה וזכויות; בכל טופס מופיעה הודעה לפי סעיף 11. |
| תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 בקרות גישה על עקרון הצורך-לדעת, אימות רב-שלבי, הצפנת תעבורה, תיעוד פעילות וגיבויים; התקשרות עם ספקי משנה בהסכם לפי תקנה 15; דיווח על אירוע אבטחה חמור לפי תקנה 11(ד). | עומדים | בקרות גישה על עקרון הצורך-לדעת, אימות רב-שלבי, הצפנת תעבורה, תיעוד פעילות וגיבויים; התקשרות עם ספקי משנה בהסכם לפי תקנה 15; דיווח על אירוע אבטחה חמור לפי תקנה 11(ד). |
| תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001 ספקי התשתית של האתר מעבדים מידע בארה״ב תחת הסכמי עיבוד (DPA) עם התחייבות לרמת הגנה הולמת. מידע של לקוחות בפרויקטים אינו מועבר לחו״ל אלא בהסכמת הלקוח ובכתב. | עומדים | ספקי התשתית של האתר מעבדים מידע בארה״ב תחת הסכמי עיבוד (DPA) עם התחייבות לרמת הגנה הולמת. מידע של לקוחות בפרויקטים אינו מועבר לחו״ל אלא בהסכמת הלקוח ובכתב. |
| GDPR (EU) 2016/679 כלפי מבקרים מהאיחוד האירופי — בסיס חוקי, זכויות ונתיב תלונה מפורטים במדיניות הפרטיות. ישראל נהנית מהחלטת נאותות (2011) שאושררה בדוח הסקירה של הנציבות מ-15.1.2024, כך שהעברת מידע מהאיחוד אלינו מוסדרת. | עומדים | כלפי מבקרים מהאיחוד האירופי — בסיס חוקי, זכויות ונתיב תלונה מפורטים במדיניות הפרטיות. ישראל נהנית מהחלטת נאותות (2011) שאושררה בדוח הסקירה של הנציבות מ-15.1.2024, כך שהעברת מידע מהאיחוד אלינו מוסדרת. |
| ISO/IEC 27001:2022 מערך האבטחה שלנו בנוי לפי עקרונות התקן (ניהול סיכונים, בקרות נספח A, סקירה תקופתית) — זו גם המתודולוגיה שאנחנו מטמיעים אצל לקוחות. Cybertis עצמה אינה מחזיקה כיום בתעודת ISO 27001; ספקי התשתית שלנו מוסמכים. | מיישמים כפרקטיקה | מערך האבטחה שלנו בנוי לפי עקרונות התקן (ניהול סיכונים, בקרות נספח A, סקירה תקופתית) — זו גם המתודולוגיה שאנחנו מטמיעים אצל לקוחות. Cybertis עצמה אינה מחזיקה כיום בתעודת ISO 27001; ספקי התשתית שלנו מוסמכים. |
| SOC 2 דוח SOC 2 נועד לספקי שירות שמפעילים מערכות עבור לקוחות. Cybertis היא חברת ייעוץ ואינה מפעילה פלטפורמה שמאחסנת מידע של לקוחות; ספקי הענן שלנו מחזיקים בדוחות SOC 2 Type II. | לא רלוונטי | דוח SOC 2 נועד לספקי שירות שמפעילים מערכות עבור לקוחות. Cybertis היא חברת ייעוץ ואינה מפעילה פלטפורמה שמאחסנת מידע של לקוחות; ספקי הענן שלנו מחזיקים בדוחות SOC 2 Type II. |
| תקן ישראלי 5568 / WCAG 2.1 AA (נגישות) האתר נבנה ונבדק לפי ת״י 5568; הצהרת נגישות עם רכז נגישות ודרכי פנייה. | עומדים | האתר נבנה ונבדק לפי ת״י 5568; הצהרת נגישות עם רכז נגישות ודרכי פנייה. |
מערך הסייבר הלאומי ממליץ ללקוחות לדרוש מספקים ביטוח שכולל שיפוי לנזקי צד שלישי (״הגנת סייבר בשרשרת האספקה — דגשים לצד הלקוח״, אוגוסט 2020). אנחנו מגיעים להתקשרות עם זה מוכן.
פוליסה בתוקף. אישור קיום ביטוח (COI) על שם הלקוח נמסר לפי בקשה כחלק מההתקשרות; דרישות ביטוח ספציפיות בהסכם נבדקות מול המבטח לפני החתימה.
פוליסת סייבר בתוקף הכוללת שיפוי לנזקי צד שלישי — בהתאם להמלצת מערך הסייבר הלאומי ללקוחות לדרוש זאת מספקים.
אישור קיום ביטוח (COI) על שם הלקוח — בקשו כאן.
תקנה 15 לתקנות אבטחת מידע מחייבת אתכם לקבוע בהסכם עם כל ספק שניגש למידע אישי שמונה נושאים. אלה התשובות שלנו, לפני שביקשתם.
ברירת המחדל שלנו היא לעבוד בתוך המערכות של הלקוח (הרשאה מוגבלת בזמן ובהיקף) במקום לקבל עותקים של מידע אישי. עותק נמסר לנו רק כשאין דרך אחרת, לפי צורך מוגדר, ומתועד.
בסיס: המלצת הרשות במדריך תקנה 15: לבדוק אם חיוני להעביר מידע או שניתן להסתפק בגישה מוגבלת בזמן
המידע שאליו אנחנו נחשפים משמש אך ורק למטרות השירות שסוכמו בהסכם, ולא לשום מטרה אחרת — לא לשיווק, לא לאימון מודלים, לא לדוגמאות בפרסומים.
בסיס: תקנה 15(א)(2)(א)–(ג)
כל מי שניגש למידע של לקוח מטעמנו מזוהה בשם בהסכם, חתום על התחייבות לסודיות ולעמידה בהוראות האבטחה של הלקוח, ועובר הדרכת אבטחת מידע.
בסיס: תקנה 15(א)(2)(ו)
איננו מעבירים מידע של לקוח לקבלן משנה ללא אישור מראש ובכתב, ואם אושר — אותן חובות בדיוק מגולגלות אליו בהסכם.
בסיס: תקנה 15(א)(2)(ז)
אירוע שמעלה חשש לפגיעה במידע של לקוח מדווח ללקוח מיד עם גילויו, עם העובדות הידועות, הצעדים שננקטו ואיש קשר זמין — כדי שהלקוח יוכל לעמוד בחובת הדיווח שלו לרשות לפי תקנה 11(ד).
בסיס: תקנה 15(א)(2)(ח)
אחת לשנה לפחות אנחנו מגישים ללקוח דיווח על אופן קיום חובותינו לפי התקנות וההסכם, ועונים על שאלון הבקרה התקופתית שלו (נספח ב׳ למדריך הרשות).
בסיס: תקנה 15(א)(2)(ח)
בתום ההתקשרות המידע מושב ללקוח או נמחק מכל מקום שבו עובד — כולל תיבות דואר, תיקיות שיתוף וגיבויים — והלקוח מקבל אישור מחיקה חתום.
בסיס: תקנה 15(א)(2)(ד)
מידע של לקוחות בפרויקטים מאוחסן בסביבת העבודה הארגונית שלנו ואינו מועבר אל מחוץ לישראל ללא הסכמת הלקוח בכתב.
כל הבקרות בחלק הזה ניתנות לאימות מבחוץ — בכותרות התגובה של האתר, בקוד הטפסים ובמדיניות הפרטיות.
TLS בלבד, עם HSTS לשנתיים כולל תת-דומיינים ו-preload; בקשות HTTP מוגדרות לשדרוג אוטומטי (upgrade-insecure-requests).
מדיניות CSP עם nonce ייחודי לכל בקשה ו-strict-dynamic, frame-ancestors 'none', object-src 'none' — חוסמת הזרקת סקריפטים ו-clickjacking.
X-Content-Type-Options, Referrer-Policy, X-Frame-Options, Permissions-Policy (מצלמה/מיקרופון/מיקום חסומים), Cross-Origin-Opener-Policy.
טפסי האתר אינם נשמרים במסד נתונים. הפנייה נשלחת לתיבת הדואר שלנו ומטופלת שם; כלי האבחון (סקר הסיכונים, מחשבון DPO) מחשבים הכול בדפדפן ואינם שולחים תשובות אלינו.
Google Consent Mode v2: תגיות אנליטיקה ושיווק נטענות במצב denied עד לאישור בבאנר; ניתן לשנות בחירה בכל עת מקישור ״הגדרות עוגיות״ בפוטר. מדידת תנועה בסיסית ללא עוגיות (Vercel Analytics).
שדה פיתיון (honeypot), הגבלת קצב לפי כתובת, אימות שדות בשרת, ואישור הסכמה מפורש לפני שליחה.
האתר מוגש דרך Vercel עם Vercel Firewall — הגנת DDoS ו-WAF מנוהלים ברמת הרשת.
פניות שלא הבשילו להתקשרות — עד 24 חודשים; מידע של לקוחות — למשך ההתקשרות ועד 7 שנים אחריה לפי חובות שמירת רשומות; לוגים טכניים — תקופות קצרות בלבד.
עיון, תיקון, מחיקה ומשיכת הסכמה — בפנייה ל-privacy@cybertis.co.il, עם אימות זהות ומענה מתועד.
רשימה חיה: כל ספק שמעבד מידע שנמסר באתר, מה הוא מקבל, איפה, ואיזו הסמכה הוא מחזיק. שינוי ברשימה נרשם ביומן השינויים.
| ספק | תפקיד | איזה מידע | מיקום | הסמכות |
|---|---|---|---|---|
| Vercel Inc. | אחסון והגשת האתר, לוגים תפעוליים, מדידת תנועה ללא עוגיות | כתובת IP ונתוני בקשה, מדדים מצרפיים | ארה״ב / רשת CDN גלובלית | SOC 2 Type 2 (Security, Confidentiality, Availability), ISO/IEC 27001:2022 |
| Resend | שליחת הודעות הטפסים אלינו ואישורי קבלה אליכם | שם, אימייל, חברה, טלפון ותוכן הפנייה | ארה״ב | SOC 2 Type II |
| Google (Tag Manager, Analytics 4) רק לאחר הסכמה בבאנר | ניהול תגיות ומדידת שימוש | מזהי שימוש ואירועי ניווט | ארה״ב / גלובלי | ISO/IEC 27001, 27017, 27018, SOC 2/3 — לפי מרכז הציות של Google |
| Meta Platforms (Pixel) רק לאחר הסכמה בבאנר | מדידת קמפיינים ורימרקטינג | אירועי ניווט ומזהי דפדפן | לפי תנאי Meta | תנאי Meta Business Tools (Meta כמעבד/בעל שליטה משותף לפי התנאים) |
| WhatsApp (Meta) רק אם פניתם אלינו בערוץ זה | ערוץ פנייה ישיר | מספר טלפון ותוכן ההודעות שבחרתם לשלוח | לפי תנאי Meta | הצפנה מקצה לקצה; תנאי WhatsApp Business |
ספקים שמסומנים ״רק לאחר הסכמה״ אינם נטענים כלל עד שאישרתם אותם בבאנר העוגיות. ספקי משנה בפרויקטים של לקוחות — רק באישור הלקוח בכתב (ראו ״מידע של לקוחות בפרויקט״).
נספח א׳ למדריך הרשות ליישום תקנה 15 הוא השאלון שרוב הלקוחות שולחים לספק לפני התקשרות. 17 השאלות, כלשונן, עם התשובות. תשובה שלא פורסמה כאן נמסרת בשאלון חתום לפי בקשה.
כן. נוהל אבטחת מידע (לפי תקנה 4) מתוחזק ונסקר לפחות אחת לשנה ואחרי כל שינוי מהותי; תמצית הנוהל נמסרת ללקוחות לפי בקשה.
לא. Cybertis עומדת בחוק הגנת הפרטיות ובתקנות אבטחת מידע ומיישמת את ISO/IEC 27001:2022 כפרקטיקה, אך אינה מחזיקה כיום בתעודת ISO 27001 או בדוח SOC 2 משל עצמה. ספקי התשתית שלנו מוסמכים (ראו ספקי משנה).
כן. אין לנו שרתים משלנו; מצאי המערכות (שירותי ענן, תחנות קצה, חשבונות) מתועד במסמך הגדרות המאגר ובמיפוי מערכות שמתעדכן בסקירה השנתית.
הסביבה שלנו מבוססת-ענן ללא רשת ארגונית מסורתית. ההפרדה מתבצעת ברמת הזהות וההרשאות: סביבת עבודה נפרדת לכל לקוח, גישה לפי תפקיד, וללא גישה רוחבית בין לקוחות.
כן — הדרכה בקליטה ורענון שנתי, בדגש על דיוג, טיפול במידע של לקוחות ודיווח על אירועים. זהו גם תחום שאנחנו מעבירים ללקוחות.
כן. יומני ביקורת של סביבת העבודה הארגונית, ההזדהות וההגנה על תחנות הקצה נשמרים ונסקרים.
כן — בהתאם לתקנות 10(ד) ו-17 לתקנות אבטחת מידע.
כן. נוהל תגובה לאירועים (זיהוי, בלימה, הודעה ללקוחות ולרשות, הפקת לקחים) ותכנית המשכיות שמבוססת על שירותי ענן מנוהלים וגיבויים. הנוהל נבדק בתרגול שנתי.
אנחנו שואפים לא להחזיק עותקים של מידע לקוח כלל. כשמוחזק עותק — הוא מאוחסן בסביבת הענן הארגונית, מוצפן במנוחה, מגובה אוטומטית ונמחק בסיום ההתקשרות עם אישור בכתב.
כן. כל תחנות הקצה מנוהלות, עם הצפנת דיסק מלאה, עדכונים אוטומטיים ופתרון EDR פעיל.
כן. אימות רב-שלבי מופעל על כל החשבונות הארגוניים שלנו, וגישה למערכות של לקוח נעשית רק דרך הזהויות וההרשאות שהלקוח מקצה — עם MFA, מוגבלת בזמן, ומבוטלת בסיום.
האתר שלנו מוגש דרך Vercel עם Vercel Firewall (הגנת DDoS ו-WAF מנוהלים) ועם CSP נאכף. איננו מפעילים אפליקציות שמחזיקות מידע של לקוחות.
כן. סקר סיכונים ומבדק חדירה לאתר מבוצעים על ידי גורם חיצוני בלתי תלוי במחזוריות שנתית; מכתב אישור (attestation) נמסר ללקוחות לפי בקשה.
לא. בשלוש השנים האחרונות לא התרחש אצלנו אירוע אבטחה כמשמעותו בתקנה 11(א), ולא אירוע שחייב דיווח לרשות להגנת הפרטיות.
כן. כל חשד לאירוע נרשם ביומן אירועים (מועד, תיאור, טיפול, לקחים) גם אם לא הבשיל לאירוע.
לא.
לא.
מקור השאלון: מדריך פעולה ליישום תקנה 15 — הרשות להגנת הפרטיות. לשאלון חתום, או לשאלון במבנה של מערך הסייבר (שאלון שרשרת אספקה — צד הספק) — פנו אלינו.
ללקוחות בהסכם, בכל אירוע סייבר פעיל — עם איש קשר אחד שמוביל את הטיפול. תגובה לאירועים.
אירוע שנוגע למידע של לקוח מדווח ללקוח מיד עם גילויו. אירוע אבטחה חמור במאגר ברמת אבטחה בינונית או גבוהה מדווח לרשות להגנת הפרטיות מיידית לפי תקנה 11(ד) — ״דווח על מה שידוע, השלם אחר כך״.
אין לנו שרתים פיזיים שאפשר לאבד. סביבת העבודה, האתר והדואר פועלים על שירותי ענן מנוהלים עם יתירות וגיבויים; פרטי תכנית ההמשכיות והתרגול נמסרים לפי בקשה.
מדיניות גילוי אחראי (Responsible Disclosure) לאתר www.cybertis.co.il ולנכסים הדיגיטליים שלנו.
כל מה שלקוח, יועץ משפטי או מבקר עשוי לבקש — במקום אחד. בקשה מטופלת תוך שני ימי עסקים.
ציינו את שם הארגון, המסמכים המבוקשים ואם נדרש NDA — נחזור תוך שני ימי עסקים.
כי אנחנו לא ספק טכנולוגיה שמפעיל מערכת עבור לקוחות, אלא חברת ייעוץ שעובדת בעיקר בתוך המערכות של הלקוח. הסמכה חיצונית היא אמצעי להוכיח בקרות — ואנחנו מוכיחים אותן במסמכים שבעמוד הזה, בשאלון תקנה 15 החתום ובביקורת שהלקוח רשאי לערוך לפי ההסכם. אם לקוח דורש הסמכה כתנאי סף — נגיד זאת בכנות מראש.
הוא מושב או נמחק — מכל מקום שבו עובד, כולל תיבות דואר, תיקיות שיתוף וגיבויים — ואתם מקבלים אישור מחיקה חתום. זו דרישה של תקנה 15(א)(2)(ד), ואנחנו מקיימים אותה גם כשהלקוח לא ביקש.
לא על מידע אישי או סודי של לקוח, אלא אם הלקוח אישר בכתב כלי ספציפי וסביבה ספציפית. מידע של לקוחות לעולם אינו משמש לאימון מודלים.
אנחנו מחזיקים ביטוח אחריות מקצועית בהיקף של מיליוני ₪ וביטוח סייבר הכולל שיפוי לנזקי צד שלישי, ומנפיקים אישור קיום ביטוח על שם הלקוח. אם ההסכם שלכם דורש גבולות או הרחבות מסוימים — שלחו לנו את הנוסח ונבדוק מול המבטח לפני החתימה.
לכתוב לנו לפי הפרטים ב-security.txt. אנחנו מאשרים קבלה תוך יום עסקים, לא נוקטים הליכים נגד חוקרים שפועלים בתום לב ובמסגרת המדיניות, ומעדכנים את המדווח כשהתיקון נפרס.
סקירה מלאה פעמיים בשנה (תאריך הסקירה הבאה מופיע למעלה), ועדכון מיידי בכל שינוי בספק משנה, בביטוח או בסטטוס ציות. כל שינוי נרשם ביומן השינויים בתחתית העמוד.
האמור בעמוד זה משקף את מצב הדברים במועד הסקירה האחרונה ואינו מהווה ייעוץ משפטי או התחייבות חוזית; ההתחייבויות המחייבות הן אלה שבהסכם עם כל לקוח. מצאתם אי-דיוק? כתבו לנו.
Cybertis is an independent Israeli cybersecurity and privacy consultancy (Herzliya, est. 2015). We comply with the Israeli Privacy Protection Law incl. Amendment 13 and the Data Security Regulations 2017, have appointed a Data Protection Officer, and carry professional indemnity insurance in the millions of NIS plus cyber liability insurance with third-party indemnity (certificate of insurance available on request). We do not hold our own ISO 27001 certificate or SOC 2 report; we apply ISO 27001:2022 practices, and our infrastructure vendors (Vercel, Resend) hold SOC 2 Type II / ISO 27001. Client data in engagements is accessed in the client's systems by default, used only for the agreed purpose, never shared with subcontractors without written consent, and returned or deleted with written confirmation at the end. Security incidents affecting a client are reported without delay. Vulnerability reports: security.txt. Documents (DPA, COI, signed vendor questionnaire): request here. Last reviewed 2026-10-30.
