נבנתה כדי שאפשר יהיה להפקיד בידיה מידע רגיש.
מערכות משאבי אנוש ותפעול מחזיקות חוזים, משכורות, מספרי זהות והערכות ביצועים. כך אנחנו מגינים עליהם היום — בלי תגים שלא הרווחנו.
מסד נתונים נפרד לכל לקוח
ההפרדה נאכפת על ידי מבנה מסדי הנתונים, לא על ידי קוד שצריך לזכור תנאי WHERE.
מסד נתונים ייעודי לכל לקוח
כל לקוח מקבל מסד נתונים MariaDB משלו. האפליקציה מתחברת למסד נתונים אחר בכל בקשה, לפי תת-הדומיין. אין טבלה משותפת שבה מסנן חסר יכול לחשוף רשומות של לקוח אחר.
אין שאילתות בין לקוחות
נתוני לקוחות לא מופיעים אף פעם בצירופים בין לקוחות. אין באפליקציה מסך או דוח שמציג עובדים של כל הלקוחות.
נתוני הפלטפורמה בנפרד
מנויים, חיוב והגדרות הפלטפורמה נשמרים במסד נתונים מרכזי נפרד. הנתונים העסקיים שלכם לא מתערבבים עם נתוני הפלטפורמה.
ריכוז נתונים בין סניפים בלי לפגוע בהפרדה
חברות אם ורשתות זכיינות יכולות לראות סיכומים של כל הסניפים בלי להחליש את המודל של מסד נתונים נפרד לכל לקוח.
סיכומים בלבד, אף פעם לא ברמת הרשומה
לוח הבקרה הקבוצתי קורא קטלוג קבוע של ספירות וסכומים: מצבת עובדים, עלות שכר, שעות, הלוואות פתוחות. הוא אף פעם לא רואה שמות עובדים, משכורות או רשומות אישיות.
הסניפים מצטרפים קודם
שום מספר לא יוצא מסניף עד שהסניף מסכים. סניף יכול לחזור בו בכל עת, ואז הסיכומים שלו מוסרים מהריכוז.
הסתרה ויומן ביקורת
סניפים קטנים מוסתרים כדי שאי אפשר יהיה לזהות אנשים מתוך סיכום, וכל הרצת ריכוז מתועדת. כלול בתוכניות Complete ו-Enterprise.
מוצפן בתעבורה ובמנוחה
הצפנה מודרנית בכל חיבור ובשכבת האחסון.
TLS 1.2+ בכל מקום
כל החיבורים משתמשים ב-TLS מודרני, ו-Strict-Transport-Security מורה לדפדפנים להשתמש רק ב-HTTPS.
הצפנה במנוחה
הנתונים נשמרים על דיסקים מוצפנים אצל ספק האחסון שלנו, והגיבויים מוצפנים.
סיסמאות מגובבות
סיסמאות מגובבות ב-bcrypt. אנחנו אף פעם לא שומרים, רושמים ביומן או שולחים סיסמאות כטקסט גלוי, וסיסמאות חדשות נבדקות מול דליפות מידע מוכרות.
מאוחסן בגרמניה (האיחוד האירופי)
נתוני הלקוחות נשמרים באיחוד האירופי, שבו חלים כללי הגנת המידע האירופיים.
Hetzner Online GmbH, גרמניה
כל שרתי הייצור ומסדי הנתונים של הלקוחות נמצאים במרכזי הנתונים של Hetzner בגרמניה, שמוסמכים לתקן ISO 27001. כל הלקוחות מאוחסנים שם; אין אפשרות לבחור אזור.
ספקי שירות
כמה שירותים מעבדים מידע מוגבל בשמנו, למשל OpenAI עבור העוזרת Mia, Lemon Squeezy עבור תשלומים ו-Microsoft 365 עבור דואר. הרשימה המלאה נמצאת במדיניות הפרטיות.
הרשאות, הפעלות וכניסה אחידה
בקרות שצוות IT או צוות ציות יכולים לסמוך עליהן.
הרשאות מבוססות תפקיד
כל פעולה נבדקת מול הרשאה. לבעלים, למנהלים, למשאבי אנוש, לכספים ולעובדים יש תפקידים נפרדים שאפשר להגדיר.
אימות דו-שלבי בכל תוכנית
אימות דו-שלבי באפליקציית אימות עם קודי שחזור. מנהלים יכולים לחייב אותו לתפקידים שלמים או לכל הארגון.
כניסה אחידה (SSO) (Complete ו-Enterprise)
כניסה עם Microsoft Entra ID, Google Workspace או ספק זהויות אחר של SAML 2.0 / OIDC.
היסטוריית הפעלות וכניסות
כל משתמש יכול לראות מאיפה ומתי נכנסו לחשבון שלו. הפעלות פגות אחרי חוסר פעילות ואחרי משך מקסימלי קבוע.
יומן פעילות על כל רשומה
חקירות וביקורות קלות יותר כשלכל שינוי יש חותמת זמן ושם של מי שביצע אותו.
יומן פעילות לכל רשומה
יצירה, עדכון ומחיקה נרשמים: מי, מתי ומה השתנה.
שמירה לפי תוכנית
שמירת יומן הפעילות: 90 ימים בתוכנית Attendance, שנה אחת בתוכנית Complete ו- 7 שנים בתוכנית Enterprise.
היסטוריית כניסות
כל משתמש יכול לעיין בכניסות האחרונות שהצליחו ושנכשלו, עם כתובת IP, דפדפן ומכשיר.
ייצוא לרואי חשבון ומבקרים
אפשר לסנן לפי תאריך ולייצא דוחות פעילות, חופשות, שכר ורכש.
גיבויים ושחזור
גיבויים בכל לילה וסל מחזור לטעויות היומיומיות.
גיבויים אוטומטיים בכל לילה
כל מסד נתונים של לקוח מגובה בכל לילה, ונשמרים עותקים יומיים, שבועיים וחודשיים.
סל מחזור
רשומות שנמחקו נשארות בסל המחזור 30 יום ואפשר לשחזר אותן בלחיצה אחת.
GDPR וחוק הגנת הפרטיות בישראל
תוכנן כך שלממונה הגנת המידע שלכם יהיו תשובות ברורות.
תפקידי מעבד ובעל מאגר
לגבי נתוני העובדים שלכם אנחנו המעבד ואתם בעלי המאגר (Controller). לגבי מבקרים באתר ובעלי חשבונות אנחנו בעלי המאגר. שני המצבים מתוארים במדיניות הפרטיות.
עיון וניידות
משתמשים יכולים להוריד את המידע האישי שאנחנו מחזיקים עליהם ממרכז הפרטיות.
מחיקה
אפשר לסגור חשבונות ולמחוק מידע אישי לפי בקשה.
בלי אימון על הנתונים שלכם
אנחנו לא משתמשים בנתוני לקוחות לאימון מודלים של AI, וגם ה-API של OpenAI (שבו Mia משתמשת) לא מתאמן עליהם.
הודעה על אירוע אבטחה
אם אירוע אבטחה משפיע על הנתונים שלכם, נודיע לכם ולרשויות הרלוונטיות בתוך המועדים שקובע החוק (72 שעות לפי GDPR).
תלויות מתוחזקות, גרסאות שנבדקות
סטאק Laravel ו-Filament שנשמר על גרסאות נתמכות.
ניטור תלויות
אנחנו עוקבים אחרי עדכוני אבטחה של התלויות שלנו ומתקנים בעיות קריטיות במהירות.
בדיקות אוטומטיות
חבילת בדיקות אוטומטיות רצה לפני כל שחרור גרסה.
בלי רכיבי מעקב פרסומיים באפליקציה
באפליקציית Momentumpro אין רכיבי מעקב פרסומיים. אתר השיווק שלנו משתמש בסטטיסטיקה ובמדידת פרסום רק אם אישרתם את העוגיות האלה.
מה יש לנו היום.
אנחנו לא מציגים תגי תאימות שלא הרווחנו. זה המצב הנוכחי.
| תקן / בקרה | סטטוס | הערות |
|---|---|---|
| GDPR (האיחוד האירופי) | פעיל | ייצוא ומחיקת נתונים, הסכם עיבוד מידע לפי בקשה, הודעה על אירועי אבטחה. |
| חוק הגנת הפרטיות | פעיל | חובות בעל מאגר ומחזיק, כולל השקיפות שנדרשת בתיקון 13. |
| הצפנה בתעבורה | פעיל | TLS 1.2+ בכל תתי-הדומיינים. |
| הצפנה במנוחה | פעיל | אחסון מוצפן אצל ספק האחסון שלנו; גיבויים מוצפנים. |
| מסד נתונים נפרד לכל לקוח | פעיל | חלק מהארכיטקטורה, לא מסנן. |
| יומן פעילות | פעיל | כל רשומה, כל שינוי. משך השמירה תלוי בתוכנית. |
| SAML / OIDC SSO | פעיל | כלול בתוכניות Complete ו-Enterprise. |
| SOC 2 | לא מוסמך | אנחנו פועלים לפי בקרות שתואמות SOC 2; ההסמכה עדיין לא התקבלה. |
| ISO 27001 | לא מוסמך | ספק האחסון שלנו (Hetzner) מוסמך ל-ISO 27001; אנחנו לא. |
מצאתם בעיית אבטחה?
אנחנו מעדיפים לשמוע על זה מכם ולא מתוקף. שלחו מייל ל-support@momentumpro.pro עם פרטים לשחזור. אנחנו מאשרים קבלה תוך 24 שעות ושואפים לתקן בעיות קריטיות תוך 7 ימים. אין לנו תוכנית Bug Bounty בתשלום, אבל אנחנו נותנים קרדיט על גילוי אחראי.
מוכנים כשצוות האבטחה שלכם מוכן.
הסכם עיבוד מידע, שאלון אבטחה, רשימת ספקי משנה: נשמח לספק את כולם.