תלושים ונוכחות הם מידע רגיש.
לכן הם לא נשמרים בענן.

קבצי המקור אינם נשמרים. הקובץ מועבר לעיבוד ומוחזר כנתונים מפוענחים, ואינו נכתב לאחסון קבוע בשום שלב. במערכת אין מאגר קבצים כלל — התלושים ודוחות הנוכחות נשארים בידיך.

שמירה היא בחירה שלך. נתוני עבודה נשמרים אך ורק כאשר המשתמש בוחר, בפעולה יזומה, לשמור פרויקט. שמירה אינה מתבצעת כברירת מחדל. אפשר לעבוד במערכת, לקבל את הדוחות ולסיים — מבלי שנשמר מידע אישי כלשהו. למי שמעדיף לא לשמור בענן כלל, המערכת מאפשרת ייצוא הפרויקט לקובץ מקומי במחשב וייבואו בחזרה — כך שהנתונים נשארים אצלך בלבד.

אין בינה מלאכותית גנרטיבית. מנוע החישוב דטרמיניסטי ומבוסס קוד. אין במערכת שום שירות בינה מלאכותית גנרטיבית: נתוני הלקוח אינם נשלחים לשירות כזה, ואינם משמשים לאימון מודלים.

המערכת אינה אוספת ואינה דורשת פרטי חשבון בנק או אמצעי תשלום — אין במסד הנתונים שדה כזה. סיסמאות משתמשים מנוהלות במערכת האימות של ספק התשתית ואינן נראות לאקסלנט.

מספר זהות של עובד, כשהוא מודפס במסמך, נקרא ממנו ומשמש לזיהוי העובד בתיק בלבד — כדי להצליב בין התלוש לבין דוח הנוכחות של אותו אדם. הוא נשמר רק כשבוחרים לשמור פרויקט, ונמחק איתו.

פרויקט שנשמר מכיל שמות עובדים, מספרי עובד ומספרי זהות, נתוני נוכחות, רכיבי שכר וניכויים, יתרות חופשה ומחלה, והגדרות החישוב שהוגדרו על ידי המשתמש.

הייצוא הרגיל לאקסל כולל את שמות העובדים ומספרי הזהות, ומיועד לדוח הסופי. בנוסף, המערכת מאפשרת לייצא את נתוני התיק לקובץ אקסל שבו שם העובד ומספרו מוחלפים בקוד קבוע, וכל הופעה של שם עובד בטקסט חופשי מוחלפת בקוד שלו. פרטים אישיים (תאריך לידה, מגדר, הערות), פרטי המעסיק ושמות הקבצים המקוריים אינם נכללים. הקובץ נבנה ונבדק בדפדפן המשתמש בלבד ואינו מועבר לשום שרת.

לפני ההורדה הקובץ נסרק לרצף של מספר זהות, מספר טלפון, כתובת מייל, שם או מספר של עובד, מספר תיק המעסיק ושם הפרויקט — וההורדה נחסמת עד שהממצא מטופל. טבלת המפתח, שמקשרת כל קוד לעובד, יורדת בקובץ נפרד ונשמרת אצל המשתמש בלבד.

מדובר בהסרת פרטים מזהים ישירים ולא באנונימיזציה מלאה: מי שמחזיק בטבלת המפתח יכול לזהות את העובדים, ושילוב של תאריכים, שעות וסכומים עשוי במקרים מסוימים לזהות עובד גם בלעדיה.

פענוח המסמכים ואחסון הפרויקטים מתבצעים בשטח האיחוד האירופי.

קבצים דיגיטליים — אקסל וקובצי PDF בפורמט מוכר מפוענחים מקומית בדפדפן המשתמש, והקובץ אינו יוצא מהמחשב. קובץ דיגיטלי בפורמט שעדיין אין לו תבנית מקומית מפוענח כמו מסמך סרוק — באותו מסלול ובאותה מחיקה יזומה.

מסמכים סרוקים — מפוענחים בשירות OCR ארגוני באזור אירופה. המערכת אינה מסתפקת במחיקה האוטומטית של הספק (24 שעות): מיד עם סיום הפענוח נשלחת פקודת מחיקה יזומה, המוחקת לצמיתות הן את הקובץ שהוגש והן את תוצאת הפענוח — בתוך שניות, וגם כאשר הפענוח נכשל. מנגנון המחיקה מעוגן בתיעוד הרשמי של הספק, והמחיקה האוטומטית בת 24 השעות נותרת כרשת ביטחון בלבד. הנתונים אינם משמשים לאימון מודלים או לכל מטרה אחרת.

פרויקט שנשמר — נשמר במסד נתונים באיחוד האירופי, ומכיל נתונים מפוענחים בלבד.

התעבורה בין הדפדפן לשרתי העיבוד עוברת מוצפנת ברשת ההגשה של האתר, ואינה נשמרת בה. ההעברה מתבצעת בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מחוץ לגבולות המדינה), התשס"א-2001, למדינות שבהן הדין מבטיח רמת הגנה נאותה.

כל טבלה במערכת מוגנת במנגנון בידוד ברמת השורה, הנאכף בשכבת מסד הנתונים ולא בקוד היישום. המשמעות המעשית: גם אם רכיב בתוכנה יבקש רשומות שאינן שייכות למשתמש, מסד הנתונים לא יחזיר אותן.

כל רשומה משויכת לחשבון, וההרשאה נבדקת בנפרד לקריאה, לכתיבה, לעדכון ולמחיקה. בנוסף, שכבת מסד הנתונים דורשת שהגישה תגיע מחיבור שעבר אימות דו-שלבי — כך שגם פנייה ישירה לממשק ה-API, העוקפת את מסכי המערכת, נחסמת ללא האימות המלא. תקינות המנגנון נבדקה ואומתה בפועל, ולא רק בעיון בהגדרות.

גישת המפעיל: אקסלנט היא עסק בבעלות יחיד — אין עובדים, אין קבלני משנה, אין תחלופת כוח אדם ואין מערך הרשאות פנימי המתרחב עם הזמן. קיים גורם אנושי אחד בעל גישה, מזוהה ואחראי, והגישה מוגבלת לצורכי תפעול, תמיכה, איתור תקלות וגיבוי בלבד.

אימות דו-שלבי — חובה לכל משתמש. הכניסה למערכת מחייבת, בנוסף לסיסמה, קוד חד-פעמי מתחלף ממחולל קודים אישי (TOTP — תוסף דפדפן או אפליקציית אימות). משתמש חדש מלווה באשף הגדרה מודרך בכניסתו הראשונה, ואינו נכנס בלעדיו. המשמעות: סיסמה שדלפה — בדיוג, בהדלפת מאגר או בכל דרך אחרת — אינה מספיקה לבדה לכניסה לחשבון. השיטה אף עמידה בפני התקפות החלפת SIM, בניגוד לאימות מבוסס SMS.

ניהול זהויות. ניהול הסיסמאות מואצל למערכת האימות של ספק התשתית. אקסלנט אינה מנהלת, אינה מאחסנת ואינה רואה סיסמאות משתמשים. חשבון חדש מחייב אימות כתובת דואר אלקטרוני לפני הפעלה, והסשן מנוהל באסימון בעל תוקף מוגבל בזמן המבוטל בעת התנתקות.

הצפנה. כל התעבורה, ללא יוצא מן הכלל, מוצפנת בפרוטוקול TLS. אין נקודת קצה הזמינה בתעבורה שאינה מוצפנת, והמידע מוצפן גם במנוחה בתשתית ספקי הענן.

אבטחת נקודות קצה. כל נקודות הקצה לעיבוד מסמכים מחייבות אסימון הרשאה תקף, המאומת בטרם כל עיבוד. בקשה ללא אסימון תקף מוחזרת בשגיאה ואינה מבצעת פעולה. מפתחות הגישה לשירותי צד שלישי נשמרים בצד השרת בלבד ואינם חשופים בקוד הלקוח.

הרשאות לפי תפקיד. לכל משתמש מוגדר תפקיד הקובע אילו מסכים ופעולות זמינים לו.

פיתוח מאובטח. המערכת פותחה ונבדקה בהתאם לרשימת הבדיקות של ארגון OWASP ולמדריך בדיקות החדירות לאפליקציות WEB של אגף הסייבר במשרד התחבורה. בין הבקרות: ניקוי כל קלט שמקורו במסמכי המשתמש לפני הצגתו במסך, שאילתות מפורמטות שאינן מורכבות ממחרוזות משתמש, והודעות שגיאה גנריות שאינן חושפות פרטי מערכת.

מחיקה. המשתמש רשאי למחוק כל פרויקט שמור בכל עת ובאופן עצמאי. המחיקה מיידית ומסירה את הרשומה ממסד הנתונים — אין סימון לוגי של רשומה מחוקה שנותרת בפועל. לבקשת הלקוח יימחק מלוא המידע השייך לו בתוך 30 ימי עסקים.

גיבוי. מסד הנתונים מגובה באופן תקופתי, ועותקי הגיבוי משמשים לצורכי שחזור בלבד. מאחר שקבצי המקור אינם נשמרים במערכת, אובדן נתונים אינו גורר אובדן של מסמכי המקור.

אירוע אבטחה. בכל אירוע אבטחה יעודכנו הלקוחות הרלוונטיים ללא דיחוי ולא יאוחר מ-24 שעות ממועד היוודע האירוע, לרבות מהות האירוע, סוגי המידע שעלולים היו להיפגע והצעדים שננקטו.

המאגר מסווג ברמת אבטחה בינונית לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, בשל היותו כולל מידע על מצבו הכלכלי של אדם.

הלקוח הוא בעל המאגר ומנהלו; אקסלנט משמשת מחזיק בלבד ומעבדת את המידע אך ורק לפי הוראות הלקוח ולצורכי מתן השירות. חלוקת האחריות מוסדרת בנספח אבטחת מידע לפי תקנה 15, הנמסר ונחתם עם כל לקוח.

לא ייעשה במידע כל שימוש מסחרי, שיווקי, סטטיסטי או מחקרי. המערכת פועלת בהתאם לחוק הגנת הפרטיות, התשמ"א-1981, לרבות תיקון 13 שנכנס לתוקף באוגוסט 2025.