1. מבוא ומטרת המדיניות

מדיניות פרטיות זו מתארת כיצד מערכת Work Safety אוספת, מעבדת, שומרת ומגנה על מידע אישי של משתמשים, עובדים, קבלנים ולקוחות.

מדיניות זו נכתבה בהתאם לדרישות תיקון 13 לחוק הגנת הפרטיות, התשמ"א–1981, שנכנס לתוקף ב-14 באוגוסט 2025.

2. הגדרות מרכזיות

• מידע אישי — כל מידע המאפשר זיהוי של אדם: שם, תעודת זהות, טלפון, מייל, מיקום.
• מידע בעל רגישות מיוחדת — מידע רפואי (תוקף בדיקות), ביומטרי (חתימות דיגיטליות), ותעודות זהות.
• נושא מידע — כל אדם שמידע אישי אודותיו מעובד במערכת: עובד, קבלן, מנהל אתר.
• לקוח — חברת בנייה או קבלן ראשי שרכש שירותי WorkSafety.
• עיבוד מידע — כל פעולה עם מידע: איסוף, קריאה, שמירה, שינוי, הפקת דוחות, מחיקה.

3. פרטי בעלת השליטה במאגר

4. איזה מידע אנו אוספים ולמה

4.1 משתמשי המערכת

• שם מלא, שם משתמש, דוא"ל, טלפון — זיהוי והתחברות
• תפקיד ורמת הרשאות — בקרת גישה
• היסטוריית פעולות (Audit Log) — אבטחה וציות
• כתובת IP ונתוני התחברות — אבטחת חשבון

4.2 עובדים וקבלנים

• שם מלא, תעודת זהות, תאריך לידה — זיהוי לצורכי בטיחות
• טלפון ודוא"ל — תקשורת והתראות
• מקצוע ותפקיד — שיוך הדרכות
• תוקף בדיקה רפואית (מידע רגיש) — עמידה בתקנות הבטיחות
• תוקף הדרכות ורישיונות — ציות רגולטורי
• חתימות דיגיטליות (ביומטרי) — אימות נוכחות בהדרכות

5. הבסיס החוקי לעיבוד המידע

• חובה חוקית — עיבוד מידע בטיחות לעמידה בתקנות תשע"ג-2013.
• הסכם חוזי — עיבוד מידע משתמשים לאספקת השירות.
• הסכמת נושא המידע — לגבי מידע שאינו חובה חוקית (תמונה, מיקום מדויק).
• אינטרס לגיטימי — ניהול אבטחת מידע, מניעת תרמיות.

6. מידע בעל רגישות מיוחדת

הקטגוריות הבאות מטופלות ברמת הגנה גבוהה:

• מידע רפואי — שמור מוצפן, נגיש רק לממונה בטיחות ומנהל מערכת.
• מידע ביומטרי (חתימות) — מאוחסן מוצפן, לא ניתן לשחזור.
• תעודות זהות — אחסון מוצפן, מוצגות ב-4 ספרות אחרונות בלבד.

7. העברת מידע לצדדים שלישיים

WorkSafety לא מוכרת ולא משתפת מידע לצורכי שיווק. העברת מידע מתבצעת רק למקרים הבאים:

• ספק אחסון (VPS) — חוזה DPA בתוקף, אחסון בישראל.
• Green-API (WhatsApp) — שליחת התראות בטיחות בלבד.
• SMTP Provider — שליחת התראות ודוחות.
• רשות מוסמכת — בהתאם לדרישה חוקית מפורשת בלבד.

8. משך שמירת המידע

9. זכויות נושאי המידע

בהתאם לתיקון 13, לכל אדם שמידע אישי אודותיו מוחזק במערכת:

פנייה: privacy@worksafety.io | יש לציין שם מלא, תעודת זהות ותיאור הבקשה.

10. אבטחת מידע

אמצעים טכניים

• HTTPS/TLS 1.2+ על כל תקשורת
• הצפנת שדות רגישות AES-256 במסד הנתונים
• סיסמאות — bcrypt + מלח אקראי
• RBAC — גישה לפי תפקיד בלבד
• Rate limiting, CSRF tokens, הגנת XSS ו-SQL Injection
• Audit Trail — תיעוד כל פעולה ניהולית
• גיבוי יומי מוצפן, שמור 30 יום

אמצעים ארגוניים

• עובדי WorkSafety מחויבים לסודיות מוחלטת
• גישה למידע לקוחות מוגבלת לפי תפקיד
• ספקים חיצוניים חתומים על הסכמי DPA

11. אירועי אבטחת מידע

במקרה של פרצה, דליפה, או גישה בלתי מורשית:

• דיווח לרשות להגנת הפרטיות תוך 72 שעות
• הודעה אישית לנושאי המידע שנפגעו
• תיעוד מלא של האירוע, הגורמים ותוצאות החקירה

לדיווח על חשד לאירוע: security@worksafety.io

12. הסכמה ויידוע בהזנת מידע

בכל הזנת עובד חדש — המנהל מאשר כי העובד קיבל הסבר על שמירת מידעו. מידע שאינו חובה חוקית מסומן "אופציונלי" בממשק. בעת יצירת חשבון משתמש — נשמר תיעוד האישור עם תאריך וגרסת המדיניות.

13. אחריות לקוחות WorkSafety

לקוחות המערכת (חברות הבנייה) הם בעלי שליטה משותפים במידע שהם מזינים, ומחויבים לפי תיקון 13 לעמוד בחובות הבאות:

• לידע את עובדיהם על שמירת מידעם ב-WorkSafety
• לוודא הסמכה לאיסוף מידע בעל רגישות מיוחדת
• לא להזין מידע עודף שאינו נדרש
• לטפל בבקשות עיון ומחיקה של עובדיהם

WorkSafety מספקת לכל לקוח הסכם עיבוד מידע (DPA). הסכם זה הכרחי לציות בחוק.

14. עוגיות (Cookies)

המערכת לא משתמשת בעוגיות שיווקיות, מעקב, או ניתוח (אין Google Analytics, Meta Pixel).

15. עדכון המדיניות

בכל עדכון מהותי: הודעה למנהלי החשבונות 30 יום מראש, פרסום הגרסה החדשה בממשק, תיעוד מספר גרסה ותאריך. המשך שימוש לאחר פרסום גרסה מעודכנת יהווה הסכמה לתנאיה.

16. פנייה לרשות להגנת הפרטיות

אם אינך מרוצה מהטיפול בפנייתך, זכותך לפנות לרשות להגנת הפרטיות:

• כתובת: רח' ירמיהו 39, ירושלים 9446722
• אתר: gov.il/privacy
• דוא"ל: ppa@justice.gov.il
• טלפון: 02-5196666