אבטחה ב-Spun
איפה הנתונים שלכם מאוחסנים, אילו ספקים יכולים לראות אותם, ומה בנינו בפועל כדי להפריד אותם מהנתונים של כל אחד אחר. הדף נכתב כדי שתבדקו אותו, לא כדי שתעברו עליו ברפרוף.
נסקר לאחרונה: 16 באוגוסט 2026
איפה הנתונים שלכם נמצאים
גרמניה תחילה, עם תא אחד בארצות הברית
Spun מפעילה שני תאי נתונים. eu-1 נמצא בנירנברג, גרמניה, על תשתית של Hetzner; בו נמצאים מישור הבקרה והרוב הגדול של הארגונים. us-1 נמצא במנאסס, וירג׳יניה, על תשתית של netcup. כיום שני ארגונים משויכים אליו; כל שאר הארגונים נמצאים בגרמניה.
המיקום אינו מנוחש לפי המקום שבו הייתם במקרה כשנרשמתם. אף מדינה אינה ממופה לתא, ולכן ארגונים חדשים נוצרים בתא של האיחוד האירופי. הארגון שלכם משויך לתא אחד בדיוק, והנתונים שלו נשארים בתא הזה עד שמישהו מעביר אותם במכוון.
מדיה (תמונות, וידאו, אודיו ומסמכים מצורפים) מאוחסנת ב-Cloudflare R2 ומוגשת רק דרך קישורים חתומים המוגבלים לאובייקט בודד, אף פעם לא מכתובת של דלי ציבורי.
הגבול של כל הבטחה למיקום הנתונים (data residency)
נתונים שמאוחסנים על ידי Spun נשמרים באזור שלכם. זה הגבול הכן, ולא נמתח אותו רחב יותר. ערוץ וואטסאפ הוא לקוח וואטסאפ: תוכן ההודעות קיים גם בגייטוויי הוואטסאפ שמפעיל אותו, והוא עובר דרך התשתית של Meta. אף אחד מהם אינו בשליטתנו, ואף ספק בקטגוריה הזו אינו יכול להסיר את ההסתייגות הזו. בנפרד, שיחות שמתנהלות בין שני ארגונים בתוך Spun מאוחסנות באופן מרכזי בגרמניה, בלי קשר למקום שאליו משויך הארגון של כל משתתף.
שמירת הנתונים נקבעת לפי התוכנית שלכם. כל תוכנית מציינת בדף התמחור את חלון היסטוריית ההודעות שלה (90 ימים ב-Starter, שנה אחת ב-Pro, ללא הגבלה ב-Max), והודעות ישנות יותר מהחלון הזה נמחקות; שדרוג מרחיב את החלון ומאפשר לייבא בחזרה היסטוריה ישנה יותר. בתוך החלון שלכם, הנתונים נשמרים עד שאתם מוחקים אותם, או עד שהגדרת שמירת נתונים קצרה יותר שהגדרתם מסירה אותם. כלי המחיקה והייצוא שמתוארים בהמשך הם המנגנון לכך.
AI
האם נתוני הלקוחות שלי נשלחים ל-OpenAI?
בחלק מהתכונות, כן, ואתם יכולים לראות בדיוק באילו, ולהוריד את הרמה של כל אחת מהן או לכבות אותה. שום דבר לא נשלח לספק AI אלא כחלק מתכונה שאתם משתמשים בה. ההודעות שלכם אינן משמשות לאימון המודלים של אף ספק.
| תכונה | מה נשלח | ספקים | השליטה שלכם |
|---|---|---|---|
| כתיבה, שיפור, סיכום, תשובות חכמות | טקסט ההודעה (או הגרסה שלו אחרי הסתרת מידע אישי) מהשיחה שבה אתם עובדים | OpenAI - Sarvam AI לשפות הודו | רמת ההסתרה של צ׳אטבוט ה-AI |
| סיכום שרשור אימייל וטיוטת תשובה | שרשור האימייל שבו אתם עובדים, או הגרסה שלו אחרי הסתרת מידע אישי, וגם שמות הקבצים שצירפתם, אף פעם לא הקובץ המצורף עצמו | OpenAI | מתג הסתרת מידע אישי ב“הגדרות ← בטיחות ופרטיות”, ותצוגה מקדימה בחלון הכתיבה שמראה את השרשור בדיוק כפי שהמודל מקבל אותו |
| העוזר Weave / שאלו כל דבר | קטעי השיחה שדרושים כדי לענות על השאלה שלכם | OpenAI | רמת ההסתרה של Weave |
| סיכומי אנשי קשר | תמליל השיחה שמסוכמת | OpenAI | רמת ההסתרה של סיכומי אנשי הקשר |
| סיווג כוונה ועניין | ההודעה הנכנסת הבודדת שמסווגת | OpenAI | רמת ההסתרה של סיווג הכוונה |
| תמלול הודעות קוליות ושיחות | קובץ השמע | OpenAI (Whisper), Sofer.ai לעברית, Speechmatics, Deepgram, AssemblyAI, Google Cloud, Microsoft Azure, Sarvam AI לשפות הודו - הספק שנבחר תלוי בשפה ובתוכנית שלכם | אפשר לכבות את התמלול לגמרי |
| תרגום | הטקסט שמתורגם: תרגום הודעות בדואר הנכנס ותרגום שמות של תוויות ב-CRM | OpenAI - Sarvam AI לשפות הודו | אפשר לכבות אותו לגמרי, לכל ארגון בנפרד |
| המרת טקסט לדיבור | הטקסט שמוקרא | OpenAI, ElevenLabs, Google Cloud, Microsoft Azure, Speechify, Sarvam AI | פועלת רק עבור תכונות קוליות שאתם משתמשים בהן |
| embeddings (וקטורי הטמעה) לחיפוש | טקסט של הודעות ושל אנשי קשר, כשנתונים פיננסיים ופרטי גישה תמיד מוסרים ממנו קודם | OpenAI | אפשר לכבות אותם לגמרי ולמחוק את האינדקסים הקיימים |
ברירות המחדל, במילים פשוטות
ארגון שאף פעם לא פותח את הגדרות הפרטיות פועל כשההסתרה במצב כבוי בצ׳אטבוט, ב-Weave, בסיכומי אנשי הקשר ובסיווג הכוונה: השירותים האלה מקבלים את טקסט ההודעות כפי שנכתב. התרגום וה-embeddings לחיפוש מוגדרים כברירת מחדל להסרת הנתונים הפיננסיים ופרטי הגישה שמתוארת בהמשך. ארגונים חדשים שבסיסם באיחוד האירופי או באזור הכלכלי האירופי (EU/EEA) הם היוצא מן הכלל: הם מתחילים בהגדרה מאוזן (הסתרה מלאה לכל שירותי ה-AI, כשהחיפוש והתרגום ממשיכים לעבוד) באופן אוטומטי, ולא במצב “כבוי”. זה חל רק על ארגונים שנוצרו אחרי השינוי; זה לא מוחל רטרואקטיבית על הגדרות קיימות. תהליך ההצטרפות מציע את ההגדרה הזו גם לכל השאר, לפני חיבור הוואטסאפ הראשון. אם אתם רוצים ברירת מחדל מחמירה יותר, הגדירו אותה ב“הגדרות ← בטיחות ופרטיות” כבר ביום הראשון.
הסתרת מידע אישי
מה מוסר, ומתי
ההסתרה רצה בשרת שלנו לפני שהבקשה יוצאת ממנו. ערכים שזוהו מוחלפים במצייני מקום אטומים, והמיפוי ממציין המקום בחזרה לערך המקורי לעולם אינו נשלח לדפדפן או לספק.
כבוי
הספק מקבל את ההודעה כפי שנכתבה.
מלא
כל קטגוריה שזוהתה מוחלפת במציין מקום לפני שהבקשה יוצאת מהשרת שלנו: שמות המוכרים מאנשי הקשר שלכם, מספרי טלפון, כתובות אימייל, מספרי זהות לאומיים, מספרי כרטיסי תשלום, פרטי בנק ו-IBAN, מוטבים, מספרי דרכון, תאריכי לידה, כתובות מגורים, כתובות URL עם פרמטרים, קישורי הזמנה לוואטסאפ, ומפתחות API או טוקנים.
חלקי
קבוצת הנתונים הפיננסיים ופרטי הגישה מוסרת תמיד (מספרי כרטיסי תשלום, פרטי בנק, IBAN, מוטבים, מספרי זהות לאומיים, מספרי דרכון, מפתחות API וטוקנים), בעוד שטקסט רגיל נשמר כך שהחיפוש והתרגום ממשיכים לעבוד.
מושבת
התכונה לא רצה בכלל, ולכן שום דבר לא נשלח לאף ספק.
כלל אחד חל בכל הגדרה: מספרי כרטיסי תשלום, פרטי בנק ו-IBAN, מוטבים, מספרי זהות לאומיים, מספרי דרכון, מפתחות API וטוקנים מוסרים מכל דבר שמשמש לבניית אינדקסים לחיפוש. הזיהוי מכסה 10 קבוצות שפה ומאמת את מה שאפשר: מספרי כרטיסי תשלום ומספרי תעודת זהות ישראליים נבדקים לפי ספרת ביקורת, ולא רק לפי התאמה לתבנית.
מציין מקום שייך לבקשה הבודדת שיצרה אותו. כל הרצה מתייגת את מצייני המקום שלה בערך אקראי, ורק מצייני מקום שנושאים את התג של אותה הרצה מוחזרים אי פעם לטקסט אמיתי. כך, טוקן שהועתק משרשור של תשובות מצוטטות, או טוקן שמודל ממציא, לא מתאים לשום דבר ונשאר כמו שהוא, במקום להתמלא במספר האמיתי של מישהו.
כשתכונת AI כותבת משהו שאתם עומדים לשלוח, הערכים האמיתיים מוחזרים בשרת שלנו אחרי שהמודל עונה: טיוטת אימייל מגיעה לחלון הכתיבה שלכם שלמה, כי מציין מקום בתיבת הדואר של לקוח הוא פגם. כשהיא כותבת משהו שאתם רק קוראים, למשל סיכום של שרשור אימייל, הערכים לא מוחזרים. מצייני המקום נשארים גלויים, כי אין שום תועלת בכתיבת מידע אישי אמיתי בשורה שרק מוצגת על המסך. בחלון כתיבת האימייל אתם יכולים לפתוח את “מה ה-AI רואה” לפני שאתם מבקשים משהו, ולקרוא את השרשור בדיוק כפי שהספק מקבל אותו, עד לכל מציין מקום ולסוג הפרט שהוא מייצג.
ההסתרה מצמצמת את מה שספק רואה. היא לא מבטלת את השליחה של שום דבר שכבר עובד, ואנחנו אומרים זאת בחלון האישור ולא בהערת שוליים.
הנדסה
איך Spun תוכננה לבטיחות
אלה מנגנונים במוצר, שמתוארים לפי מה שהם עושים ולא כתגי אמון.
האם לקוח אחר של Spun יכול אי פעם לראות את הנתונים שלי?
לטבלאות הלקוחות (tenant tables) ב-PostgreSQL יש מדיניות אבטחה ברמת השורה (Row Level Security), כך שמסד הנתונים עצמו מסנן כל קריאה וכל כתיבה לפי ארגון: שאילתה ששוכחת את הסינון לפי ארגון לא מחזירה כלום, במקום להחזיר שורות של מישהו אחר. מנגנון הגנה במאגר הקוד (npm run check:rls) קורא את הרשימה העדכנית של הטבלאות שבהן מופעל RLS ישירות ממסד הנתונים, ונכשל אם שאילתה גולמית כלשהי נוגעת באחת מהן מחוץ לעטיפה (wrapper) התחומה לארגון.
מה קובע מה מותר לי לעשות?
Firebase מאמת מי אתם ולא מספק דבר מעבר למזהה המשתמש ולאימייל שלכם. החברות שלכם בארגון, הארגון הפעיל שלכם והתפקיד האפקטיבי שלכם נבדקים במסד הנתונים בכל בקשה. טוקן לא יכול לקבוע תפקיד או ארגון, כי שום דבר בטוקן לא נחשב מהימן לצורך זה.
האם אפשר למנוע מההודעות שלי להגיע לספק AI?
ההסתרה מוגדרת לכל שירות AI בנפרד, ולא פעם אחת לכל המוצר, כך שאתם יכולים להשאיר את התמלול פעיל בזמן שהצ׳אטבוט רואה רק טקסט מוסתר. את התרגום ואת ה-embeddings לחיפוש אפשר לכבות לגמרי, ונתונים פיננסיים ופרטי גישה מוסרים מה-embeddings בכל הגדרה.
איך ייצוא ומחיקה עובדים בפועל?
בקשה מתוך האפליקציה שולחת אימייל אימות; רק אחרי שמשתמשים בטוקן שנשלח באימייל, הבקשה נכנסת לתוקף. האימות מתחיל ספירה של 30 ימים לביצוע הבקשה, ובקשת מחיקה כוללת תקופת חסד של 7 ימים שבמהלכה אתם יכולים לבטל אותה מאותו מסך. כל שלב (הוגשה, אומתה, בוטלה, בוצעה) נרשם ביומן הביקורת. בקשה חלה על הארגון שדרכו היא הוגשה; לאדם שמתנהל מול כמה ארגונים ב-Spun יש בקשה נפרדת לכל ארגון.
מה מונע מתקלה לשלוח הודעות בהיקף גדול לאנשי הקשר שלי?
כל קריאה יוצאת לוואטסאפ עוברת דרך רכיב לקוח אחד שכל פעולותיו נרשמות לביקורת. הוא רושם שורת ביקורת לכל ארגון עבור כל קריאה, עוקב אחר קפיצות בקצב בכל הפלטפורמה, ופותח מפסק זרם (circuit breaker) בערוץ שממשיך להיכשל, כך שערוץ תקול אחד לא יכול להפיל איתו את כל השאר. תווית DONOTSEND על איש קשר נאכפת על ידי השולחים האוטומטיים: קמפיינים, אוטופיילוט, רצפי טפטוף ותהליכים יזומים בודקים אותה לפני שהם שולחים.
האם יש תיעוד של מי עשה מה?
ניסיונות אימות, ייצואים, מחיקות, פעולות בהיקף גדול ופעולות ניהוליות נרשמים ביומן ביקורת מובנה, עם מבצע הפעולה, הארגון, הפעולה והתוצאה. הגישה ליומן תחומה לארגון, כמו כל השאר.
מה קורה כששולחים אימייל מ-Spun?
האימייל יוצא דרך חשבון ה-Gmail שלכם, שאתם מחברים בעצמכם דרך לקוח Google ייעודי שמבקש הרשאה (scope) לשליחה בלבד: הוא יכול לשלוח בשמכם, והוא לא יכול לקרוא את תיבת הדואר שלכם. הטוקנים מוצפנים לפני שהם נשמרים. השרת אוכף נמען אחד לכל שליחה, כך שטעות בחלון הכתיבה לא יכולה להפוך לשליחה בהיקף גדול, ומגבלות לכל משתמש מגבילות כמה אפשר לשלוח בפרק זמן נתון. כל שליחה בודקת קודם את רשימת ההסרה (opt-out). התשובות חוזרות לדומיין לקבלה בלבד, שאין לו יכולת לשלוח: כל הודעה נכנסת מאומתת לפי חתימה, נבדקת להתאמת השולח, ולעולם אינה מפעילה פעולה אוטומטית בעצמה.
אפשר לצאת מרשימת הדיוור שלכם לתמיד?
אימייל שיווקי כולל כותרות להסרה מרשימת הדיוור בלחיצה אחת (RFC 8058), כך שהכפתור המובנה ב-Gmail וב-Yahoo עובד. הקישור חתום, ההסרה נרשמת בצד השרת, ורשימת החסימה (suppression list) נבדקת לפני שליחה של כל אימייל שיווקי. התראות חשבון ואבטחה נפרדות וממשיכות לפעול.
מה קורה כשפגישה מוקלטת?
ההקלטה כבויה כברירת מחדל, וארגון יכול לכבות אותה לגמרי. כשמארח מפעיל אותה, סימון הקלטה מוצג לכל המשתתפים בפגישה, ואורח שמצטרף דרך קישור צריך להסכים להקלטה לפני שמצלמה או מיקרופון כלשהם מחוברים; הקלדת שם לא נחשבת הסכמה. שיתוף הקלטה לאחר מכן נעשה באמצעות קישור נפרד שתוקפו פג, ולא באמצעות קישור הפגישה, כך שאפשר לבטל אותו בנפרד, וכל שימוש בו נרשם. הקלטות נמחקות אוטומטית בסוף תקופת השמירה שהארגון קובע, עד 30 ימים לכל היותר, וקישורי השיתוף מפסיקים לעבוד באותו רגע.
מה עומד בין האינטרנט לשרתים שלכם?
Cloudflare מסיים את ה-TLS ברשת הקצה ומצפין מחדש עד שרת המקור, עם WAF והגנת DDoS שפועלים תמיד, ותעודות מקור שמצמידות את הבקשות לשרתים שלנו. מדיה אף פעם לא מוגשת מכתובת URL של דלי ציבורי: כל הורדה עוברת דרך קישור חתום המוגבל לאובייקט אחד, עם תוקף קבוע.
גישה
מי יכול להגיע למה
הבידוד בין ארגונים נאכף על ידי מסד הנתונים, ולא על ידי קוד אפליקציה שזוכר לסנן. לטבלאות הלקוחות יש מדיניות אבטחה ברמת השורה שמבוססת על הארגון של הסשן הנוכחי, כך ששאילתה בלי ההקשר הזה לא מחזירה כלום.
על הצוות שלכם חלים שני תפקידים, מנהל ארגון ומשתמש ארגון, ולצדם תפקיד של מנהל פלטפורמה שמוחזק על ידי הצוות של Spun לצורכי תמיכה. הגישה לדואר הנכנס תחומה בנפרד: קריאה וכתיבה, קריאה בלבד, או גישה מוגבלת לפי מסנן, שבה חבר צוות רואה רק שיחות שתואמות את המסנן שהוגדר עבורו. לשיחות ששותפו עם ארגון אחר יש בנוסף תפקיד משלהן, מצופה, דרך חבר צוות ומנהל, ועד שליטה מלאה, כך ששיתוף של שרשור לא מוסר את החשבון.
שיחות תמיכה עם Spun, והפניות שנפתחות מתיבת דואר נכנס, גלויות לבעל החשבון ולחברי הצוות שבעל החשבון מאשר. חבר בתיבת דואר נכנס משותפת רואה את צ׳אט “תמיכה אנושית” רק כשהשיתוף שלו כולל את ההרשאה הזו, והשרת דוחה את הבקשה כשהוא לא כולל אותה, ולא רק מסתיר את הלשונית.
הזהות מגיעה מ-Firebase, ונעצרת שם. החברות בארגון, הארגון הפעיל והתפקיד נקבעים ממסד הנתונים בכל בקשה; שום דבר בטוקן לא נחשב מהימן כדי לקבוע אותם.
יש דברים ששייכים לאדם אחד ולא לארגון. יעדים אישיים והרפלקציות שנכתבות עליהם הם המקרה הברור ביותר: מדיניות האבטחה ברמת השורה שלהם מבוססת על חבר הצוות וגם על הארגון, כך שמנהל, עמית לצוות או עמית בתיבת דואר נכנס משותפת לא יכולים לקרוא אותם גם בתוך אותו חשבון, וזה נאכף על ידי מסד הנתונים ולא על ידי ממשק שבוחר מה להציג. כלי הניהול שלנו רואים ספירות, אף פעם לא את הטקסט. ייצוא ברמת הארגון משמיט לגמרי את תוכן הרפלקציות, ורק הייצוא האישי של האדם עצמו כולל אותו. מחיקת רפלקציה גם מסתירה את התוכן של העותקים שלה שנשארו ב-Spun Chat של אותו אדם, כך שהמילים לא שורדות במקום שני.
הנתונים שלכם
מחיקה וייצוא
מנהל ארגון יכול להגיש מתוך האפליקציה בקשה לייצוא נתונים או בקשה למחיקת חשבון. לא מטפלים בבקשה עד שהיא מאושרת דרך קישור שנשלח באימייל למגיש הבקשה, וכך אנחנו יודעים שמי שמבקש שולט בחשבון.
האישור מתחיל ספירה של 30 ימים לביצוע הבקשה. בקשת מחיקה גם מתזמנת את המחיקה הסופית בעוד 7 ימים, ואפשר לבטל את הבקשה מאותו מסך בכל שלב לפני כן. כל שינוי סטטוס נרשם ביומן הביקורת. הייצוא עצמו כולל את פרופיל הארגון וההגדרות שלו, את רשימת חברי הצוות, סיכום חיוב ואת היסטוריית הביקורת של מגיש הבקשה עצמו, ונמסר כקובץ JSON דרך קישור חתום מוגבל בזמן.
שני התהליכים תחומים לארגון אחד. בקשה שמוגשת דרך ארגון אחד חלה רק על החשבון של אותו ארגון: כל ארגון ב-Spun שולט ברשומות שלו, ובקשה של לקוח אחד לעולם לא מגיעה לנתונים של לקוח אחר. לאדם שהתנהל מול כמה ארגונים שמשתמשים ב-Spun יש בקשה נפרדת מול כל אחד מהם.
בנפרד מתהליך הבקשות, מנהל מערכת יכול למחוק את נתוני הארגון ישירות מההגדרות, וכיבוי ה-embeddings לחיפוש מוחק את האינדקסים הנגזרים (embeddings של אנשי קשר, מקטעי שיחות, מקטעי מאגר הידע ווקטורים של תשובות מוכנות), ולא רק מפסיק לבנות חדשים.
פרוקסי עצמי
מה זה פרוקסי עצמי, ומה הוא יכול לראות
כל סשן וואטסאפ מקושר מגיע לוואטסאפ מכתובת אינטרנט כלשהי. Spun אף פעם לא מקשרת מספר ישירות ממרכז הנתונים של הגייטוויי. לפני שקוד ה-QR מוצג, אתם מאשרים את המדינה שבה אתם משתמשים בוואטסאפ בדרך כלל, ואז חיבור חדש בלי פרוקסי עצמי משתמש באחד משני מסלולים מנוהלים. כשלגייטוויי הוואטסאפ יש חיבור אזורי באותה מדינה, הסשן עובר דרכו (מוצג כ“החיבור של Spun”); זה חלק משירות הגייטוויי שכבר מופיע ברשימת ספקי המשנה שלנו. כשאין לו חיבור כזה, הסשן עובר דרך כתובת IP ביתית באותה מדינה, שמסופקת על ידי רשת הפרוקסי ששמה מופיע באותה רשימה (מוצג כ“חיבור זמני”). Spun רושמת את המדינה שאושרה, ואי אפשר לערוך אותה אחרי הקישור. בחיבורים זמניים היא בודקת מדי פעם שהחיבור באמת יוצא מאותה מדינה, ועוצרת חיבורים חדשים אם בדיקה מראה אחרת. אם אף אחד משני המסלולים לא זמין במדינה שלכם, לא מוצג קוד QR ומוצע לכם פרוקסי עצמי במקום.
פרוקסי עצמי הוא החלופה האופציונלית: ערוץ הוואטסאפ שלכם מתחבר דרך כתובת IP שבשליטתכם. אתם מריצים תוכנת מנהרה קטנה על מחשב, או על Spun Box (נתב קטן שבבעלותכם, שמוגדר באותה תוכנה), שנמצאים אצלכם, וסשן הוואטסאפ של הערוץ שלכם יוצא משם לוואטסאפ. כל מה שמופיע בהמשך חל גם על Spun Box; סיסמת הנתב נשלחת רק לנתב, דרך הרשת המקומית שלכם בזמן ההגדרה, ולעולם לא ל-Spun.
בכל מסלול שבו משתמשים, רק סשן הוואטסאפ עצמו עובר דרכו. מדיה (תמונות, סרטונים, הודעות קוליות ומסמכים) מורדת ומועלית ישירות בין גייטוויי הוואטסאפ לבין וואטסאפ, אף פעם לא דרך המחשב שלכם, דרך “החיבור של Spun” או דרך חיבור זמני.
המסלול הוא כזה: גייטוויי הוואטסאפ מתחבר לפורט בשרת ממסר של Spun, שרת הממסר מעביר את החיבור הזה דרך מנהרת TLS שהמחשב שלכם פתח כלפי חוץ, והמחשב שלכם יוצר את החיבור הסופי לוואטסאפ. מכיוון שהמנהרה נפתחת כלפי חוץ, שום דבר ברשת שלכם לא צריך להיות חשוף: בלי העברת פורטים (port forwarding) ובלי כלל חומת אש לתעבורה נכנסת.
מה שרת הממסר מעביר
תעבורה של גייטוויי הוואטסאפ, מוצפנת ב-TLS ומועברת בזמן אמת. שרת הממסר הוא רכיב העברה: הוא לא שומר את התעבורה שעוברת דרכו.
איך הוא מאובטח
שלושה פרטי גישה נפרדים לכל תצורה (פרטי הפרוקסי שהגייטוויי משתמש בהם, פרטי המנהרה שהמחשב שלכם משתמש בהם, וטוקן heartbeat), כך שדליפה בצד אחד לא פוגעת באחרים. שרתי הממסר מזדהים מול הפלטפורמה עם טוקני bearer משלהם, שנשמרים כגיבוב (hash) ומושווים בזמן קבוע.
כדי שמנהלים יוכלו לראות למה ערוץ התנתק, תוכנת הפרוקסי העצמי מדווחת גם לאיזו רשת המחשב שלה מחובר: סוג החיבור, שם רשת ה-Wi-Fi כשמערכת ההפעלה מאפשרת לקרוא אותו, טביעת אצבע חד-כיוונית של הכתובת הפיזית של הנתב (הכתובת עצמה לא נשמרת) וכתובת האינטרנט הציבורית. Spun רושמת אירוע רק כשהרשת משתנה, ומציגה אותו למנהלי הארגון ב“היסטוריית פרוקסי” שבהגדרות. כשמנהל מריץ בדיקת חיבור, או כשהקישור נכשל, Spun גם פותחת חיבור בדיקה מאותו מחשב לאתר שלה ול-WhatsApp Web, ורושמת רק את התוצאה ואת השם של מוצר סינון כלשהו שענה במקום האתר. כשמסנן עונה במקום WhatsApp Web, Spun גם שומרת את שרשרת התעודות הציבוריות של המסנן (תעודות בלבד, אף פעם לא מפתח) כדי שתוכל לבקש מספק הוואטסאפ שלה לתת אמון במסנן הזה, ומודיעה לצוות שלה פעם אחת; המנהל רואה על המסך שהצוות קיבל הודעה. כשמוצר הסינון הוא מוצר ש-Spun מזהה, Spun עשויה לאפשר את הבדיקה הזו של המסנן עבור המחשב באופן אוטומטי, כדי שבדיקת המדינה תוכל לעבור; מנהל יכול לכבות זאת בכל עת תחת “בדיקת חיבור מאובטח” של המחשב בהגדרות. התוכנה לא אוספת רשתות שמורות, רשימות של רשתות קרובות או את הכתובות של המחשב עצמו, וטלפונים לא מדווחים שם רשת. כשהפרוקסי העצמי נכשל, Spun גם אוספת נתוני אבחון של התקלה לצורך תמיכה: נתוני החיבור של המחשב (סטטוס, כתובת יציאה ותוצאות בדיקות) והיומן של תוכנת הסוכן עצמה, שנשמרים 30 ימים וגלויים רק לצוות התמיכה של Spun.
שרתי הממסר פועלים בנירנברג ובמנאסס, ונעשה שימוש בשרת הקרוב ביותר למחשב או לנתב שלכם. בדיקות תקינות דוגמות כל תצורה באופן רציף ומסמנות אותה כלא תקינה, ואחר כך כלא מקוונת, כשהיא מפסיקה להגיב; כששרת ממסר עצמו מושבת, המצב הזה מובחן ממצב שבו המחשב שלכם מושבת, כדי שלא תקבלו התראת שווא. Spun אף פעם לא מעבירה קו בין פרוקסי עצמי לבין החיבור המנוהל מיוזמתה: ארגון שנמצא על פרוקסי עצמי נשאר עליו, הקו שלו ממתין ולא עובר למסלול חלופי כשכל המחשבים לא מקוונים, ואי אפשר להסיר את המחשב האחרון שנושא סשן מקושר עד שמחשב אחר מחליף אותו או שמנתקים את וואטסאפ.
עוזרי AI
למה עוזר AI מחובר יכול להגיע
מנהל ארגון יכול לחבר עוזר AI חיצוני (Claude, Cursor או כל לקוח שתומך ב-MCP) לסביבת העבודה של Spun דרך נקודת קצה MCP מתארחת בכתובת api.spun.com. הגישה מאומתת בכל בקשה באמצעות מפתח API של הארגון, שנשמר רק כגיבוב (hash), וכל קריאה לכלי רצה תחת אותה אבטחה ברמת השורה של מסד הנתונים כמו שאר המוצר: מפתח שייך לארגון אחד בדיוק, ולעולם לא יכול לקרוא שורות של ארגון אחר.
היכולות נקבעות לפי ההרשאות (scopes) של המפתח: מפתח רואה רק את הכלים שההרשאות שלו מתירות, ויכולות קריאה, כתיבה, חישוב ושליחה הן הרשאות נפרדות. השליחה כפופה למדיניות ברמת הארגון: כברירת מחדל, הודעה שה-AI מציע ממתינה בתור אישורים בתיבת הצוות, שבו כרטיס האישור נוצר על ידי השרת מהתוכן בפועל, מערוץ השולח ומהנמען (אף פעם לא מהתיאור של ה-AI עצמו), ורק חבר צוות שהיה יכול לשלוח את ההודעה הזו מתיבת הדואר הנכנס יכול לאשר אותה. קיימים גם מצב מחמיר יותר של טיוטות בלבד, ומצב אוטונומי שמחייב הסכמה מפורשת (גם הגדרה ברמת הארגון כולו וגם הרשאה נפרדת לכל מפתח, שבנויה כך שתדרוש מאמץ מכוון).
דרך חיבור AI, הפעלת בוט או שינוי ההנחיות של בוט פעיל תמיד דורשים אישור של מנהל הארגון בתיבת הצוות: בוט שה-AI יוצר מתחיל כשהוא כבוי, ושליחה אוטונומית לא חלה על בוטים.
בלימה
הארגון יכול להסתיר מה-AI מספרי וואטסאפ שלמים (רשימת מספרים מאושרת), להגביל את הגישה לשיחות לפי תווית, כולל מצב של הכללה בלבד, להסיר צ׳אטים קבוצתיים במתג אחד, ולהגדיר שעות שקט שמחוץ להן שליחות מעוכבות או נדחות. מכסות קשיחות בצד השרת חלות על כל מפתח; שליחות למספר חריג של נמענים שונים בפרק זמן קצר משביתות את המפתח אוטומטית. קיימים שני מתגי השבתה: המתג הראשי של הארגון עצמו, ומתג ברמת הפלטפורמה בצד של Spun.
ביקורת וטלמטריה
כל בקשת MCP נרשמת עם המפתח שבו נעשה שימוש, הפעולה, המטא-דאטה של תוכנת הלקוח וכתובת ה-IP; החלטות אישור רושמות מי אישר. הרשומות האלה נשמרות 180 ימים, וכתובות IP מטופלות כמידע אישי. ביטול מפתח מפסיק את הגישה מיד ומבטל את השליחות שלו שעדיין ממתינות לאישור. MCP רץ על התשתית של Spun עצמה: הוא לא מוסיף ספקי משנה חדשים.
גבול אחד, במילים פשוטות: Spun חוסמת באופן מבני שליחות לא מורשות, וכל מה שלקוח כתב מסומן כתוכן לא מהימן לפני שהמודל קורא אותו, אבל אף שרת MCP לא יכול למנוע ממודל שהוזרקו לו הנחיות (prompt injection) לחזור על נתונים שמותר לו באופן לגיטימי לקרוא. בשביל זה קיימים ההרשאות, רשימת המספרים המאושרת והתיחום לפי תוויות: תנו לכל מפתח את המינימום שהוא צריך.
ספקים
מי עוד נוגע בנתונים שלכם
34 ספקי משנה, שמפורסמים ברשימה אחת עם מה שכל אחד עושה, מה הוא יכול לראות והיכן הוא פועל. הקטגוריות:
תשתית ואירוח
3 ספקיםHetzner Online GmbH, Cloudflare, Inc., netcup GmbH
גייטוויי WhatsApp
ספק אחדWhapi.cloud
ספקי AI
12 ספקיםOpenAI, LLC, Anthropic, PBC, Sofer.ai, AssemblyAI, Deepgram, Groq, Inc., Speechmatics, Google Cloud (Speech-to-Text and Text-to-Speech), Microsoft Azure (Cognitive Services Speech), Sarvam AI, ElevenLabs, Speechify
קול ווידאו
שני ספקיםLiveKit Cloud, Cloudflare TURN
טלפון ו-SMS
4 ספקיםTextGrid, VitalPBX, BulkVS, Twilio (Programmable Voice)
אימות והתראות
3 ספקיםGoogle (Gmail send, your own account), Google (Sign-In with Google), Firebase Cloud Messaging (Google)
תשלומים וחיוב
ספק אחדStripe, Inc.
אימייל ותמיכה
שני ספקיםSendGrid (Twilio), Chatwoot
ניתוב WhatsApp (פרוקסי)
שני ספקיםSpun relay servers (Self Proxy), Infatica
ניטור ואמינות
ספק אחדAxiom, Inc.
אנליטיקס
שני ספקיםGoogle Analytics, PostHog
העשרת אנשי קשר
ספק אחדPeople Data Labs
אחת מהקטגוריות האלה ראויה לציון מיוחד, כי היא שולחת פרטי איש קשר אל מחוץ ל-Spun: העשרת אנשי קשר. כשארגון מפעיל אותה, משתמש יכול לבקש פרופיל מקצועי ציבורי עבור איש קשר שמור אחד בכל פעם. רק השם של איש הקשר, מספר הטלפון שלו והמדינה של המספר יוצאים מ-Spun, אף פעם לא תוכן הודעות ואף פעם לא רשימה של אנשי הקשר שלכם. התגובה הגולמית של הספק נמחקת תוך 7 ימים, נשמרים רק שדות מקצועיים מתוך רשימה מאושרת, ומנהל יכול למחוק בכל עת את כל מה שהספק החזיר על איש קשר. מספר שהוקצה בארצות הברית הוא סימן לזכאות לתכונה, לא ראיה למקום המגורים של מישהו.
Spun אף פעם לא פונה לוואטסאפ כדי לחפש מספר טלפון של אדם. היא רושמת רק את המזהים שמגיעים עם תעבורת ההודעות הרגילה, וצ׳אט בלי מספר עובד כמו כל צ׳אט אחר.
לרשימת ספקי המשנה המלאההסמכות
מה אנחנו לא טוענים
ל-Spun אין אישור (attestation) של SOC 2, אין תעודת ISO 27001 ואין הסמכת HIPAA, והיא אינה שותף עסקי (business associate) לפי HIPAA. לא תמצאו את התגים האלה באתר הזה, כי אין לנו אותם. מי שמציג לכם תג כזה אמור להיות מסוגל להציג לכם גם את הדוח שמאחוריו.
מה שקיים במקום זה מופיע בדף הזה: בידוד בין לקוחות שנאכף במסד הנתונים, עם מנגנון הגנה במאגר הקוד שנכשל כשעוקפים אותו; תפקידים שנקבעים ממסד הנתונים ולא מוצהרים בטוקן; שליטה, שירות אחר שירות, במה שמגיע לספק AI; תהליך ייצוא ומחיקה שמאומת באימייל, עם תיעוד ביקורת; נתיב אחד, שנרשם לביקורת, לכל קריאה יוצאת לוואטסאפ; ורשימה מפורסמת של כל ספק שיכול לראות את הנתונים שלכם.
אם יש לכם שאלון אבטחה, שלחו אותו ל-[email protected] ונענה עליו לפי מה שבאמת בנוי.
סטטוס לפי מסגרת
SOC 2
מה זה
מסגרת של AICPA שמכסה בקרות של אבטחה, זמינות, סודיות, שלמות העיבוד ופרטיות לארגוני שירות. Type I בודק נקודת זמן אחת; Type II בודק תקופה של 6 עד 12 חודשים.
העמדה שלנו
אין לנו אישור SOC 2 ואנחנו לא טוענים שיש לנו. מה שאנחנו מפעילים בפועל (בידוד בין לקוחות שנאכף במסד הנתונים, גישה ל-API של וואטסאפ שנרשמת לביקורת, ייצוא ומחיקה בשליטת הלקוח) מתועד באופן קונקרטי בדף הזה. אישור כזה נמצא במפת הדרך; נפרסם לוח זמנים כשתיקבע ביקורת, לא לפני כן.
GDPR (האיחוד האירופי וה-EEA)
מה זה
רגולציה של האיחוד האירופי שמסדירה מידע אישי של תושבי האיחוד האירופי וה-EEA. Spun פועלת בדרך כלל כמעבד המידע; הלקוח הוא בעל השליטה במידע של משתמשי הקצה שלו. GDPR היא חובה, לא הסמכה: אף רגולטור לא “מאשר” חברה כעומדת ב-GDPR.
העמדה שלנו
מה שפועל היום: אירוח ראשי באיחוד האירופי (גרמניה), רשימה מפורסמת של ספקי משנה, ייצוא ומחיקה בשליטת הלקוח עם תהליך בקשה מאומת, בקרות פרטיות ל-AI לכל תכונה, ובידוד נתונים ברמת הארגון שנאכף במסד הנתונים. הסכם עיבוד נתונים (DPA) זמין לפי בקשה ונמצא כרגע בבדיקה משפטית, ומסמכי ההעברה עבור ספקי המשנה שלנו בארצות הברית מושלמים יחד עם עורכי הדין שלנו; אנחנו אומרים זאת במקום לטעון שזה כבר נעשה.
ISO/IEC 27001
מה זה
תקן בינלאומי למערכות לניהול אבטחת מידע (ISMS). מוכר באופן רחב ברכש ארגוני ובינלאומי.
העמדה שלנו
במפת הדרך, אחרי SOC 2 Type II. רבות מהבקרות הבסיסיות חופפות לעבודת ההיערכות שלנו ל-SOC 2, ולכן המאמץ הנוסף משמעותי, אבל לא מתחיל מאפס.
EU AI Act (חוק ה-AI של האיחוד האירופי)
מה זה
רגולציה של האיחוד האירופי שבתוקף מאז 1 באוגוסט 2024, ורוב הכללים שלה חלים החל מ-2 באוגוסט 2026. חובות מדורגות לפי רמת סיכון: מערכות AI אסורות / בסיכון גבוה / בסיכון מוגבל / בסיכון מזערי.
העמדה שלנו
תכונות ה-AI של Spun (כתיבה, סיכום, תמלול, תרגום, תשובות חכמות, סיווג) הן בסיכון מוגבל כברירת מחדל: הן משמשות לתקשורת עסקית כללית, לא להחלטות רבות השלכות על אנשים. אנחנו מספקים גילוי על השימוש ב-AI, מתגים ללקוח לכל תכונה, מצבים עם אישור אנושי, גילוי של הספקים, והסתרת מידע אישי שניתנת להגדרה לכל תכונת AI (אתם בוחרים את הרמה; ראו את ההגדרות של “בטיחות ופרטיות”). ספקי המשנה שלנו בתחום ה-AI מצהירים בתנאי ה-API שלהם שתוכן של לקוחות אינו משמש לאימון מודלים. אם אתם משתמשים ב-Spun בתרחיש שימוש שנחשב בסיכון גבוה לפי החוק (החלטות גיוס, אשראי, בריאות, חינוך, ייעוץ משפטי, זיהוי ביומטרי), צרו איתנו קשר.
חוק הגנת הפרטיות (תיקון 13)
מה זה
חוק הגנת הפרטיות הישראלי, שעודכן ב-2024 (בתוקף מאוגוסט 2025) באופן שמקרב אותו לחובות בסגנון GDPR.
העמדה שלנו
הבקרות של Spun, המותאמות ל-GDPR, מכסות את רוב חובות הליבה לפי החוק הישראלי המעודכן. רישום מאגרי מידע: Spun שומרת נתוני אנשי קשר של לקוחות רק כדי לספק לכל לקוח את סביבת העבודה בשירות SaaS; אנחנו לא מוכרים, לא מתווכים, לא מעבירים ולא משתמשים באופן עצמאי ברשימות אנשי הקשר של לקוחות. נתוני אנשי הקשר נשארים מופרדים באופן לוגי לפי ארגון (הפרדה שנאכפת באמצעות RLS). Spun אינה גוף ציבורי. לפי תיקון 13, חובת הרישום חלה בעיקר על מאגרי מידע של גופים ציבוריים ועל מאגרי מידע של סוחרי מידע (data brokers) או של דיוור ישיר שכוללים יותר מ-10,000 רשומות; על סמך ההערכה הנוכחית שלנו, המודל שלנו, שבו אנחנו מעבדי מידע בלבד, אינו מחייב רישום בעת ההשקה, ואנחנו מוודאים זאת מול עורכי הדין שלנו. נבחן את הנושא מחדש אם Spun תציע שירותי דיוור ישיר או שידור בהיקף גדול, תשלב רשימות אנשי קשר בין לקוחות, או תעביר נתוני אנשי קשר מעבר לספקי המשנה המפורטים. חומרי פרטיות בעברית ומינוי ממונה על הגנת הפרטיות (DPO), אם יידרש בהיקף גדול, נמצאים בתהליך.
חוזים
הסכם עיבוד נתונים
לגבי הנתונים של הלקוחות שלכם, אתם בעלי השליטה במידע ו-Spun היא מעבד המידע. הסכם עיבוד נתונים (DPA) זמין לפי בקשה, ומכסה את רשימת ספקי המשנה שלמעלה, העברות בינלאומיות, ושני הגבולות שמפורטים בדף הזה: שהמחויבות למיקום הנתונים חלה על נתונים שמאוחסנים על ידי Spun, ולא על העותקים של גייטוויי הוואטסאפ או של Meta עצמם, ושיחות שמתנהלות בין שני ארגונים מאוחסנות באופן מרכזי בגרמניה.
משהו כאן לא מפורט מספיק?
לפרטי ההצפנה, לכללי פלטפורמת וואטסאפ ולרשימה המלאה של בקרות הפרטיות יש לכל אחד דף משלו. לכל דבר אחר, כתבו ל-[email protected].