מדיניות פרטיות

מי אנחנו

Finbox היא מערכת לאיתור מסמכים בתיבת המייל של העסק. המפעיל הוא משה דרוויש, ופנייה בכל נושא שקשור למידע שלכם אפשרית בכתובת שבסוף המסמך.

הרשאת Gmail: מה בדיוק אנחנו מבקשים

כשאתם מתחברים עם Google, אנחנו מבקשים הרשאה אחת לנתונים: gmail.readonly. זו הרשאת קריאה בלבד. אין לנו אפשרות טכנית לשלוח מייל בשמכם, לשנות הודעות, לסמן אותן או למחוק אותן. ההרשאה פשוט לא מאפשרת זאת.

בנוסף אנחנו מקבלים את הפרטים הבסיסיים של חשבון Google שלכם: כתובת המייל, השם והמזהה הייחודי. אלה משמשים לזיהוי שלכם במערכת ולשום דבר אחר.

מה נקרא בתיבה, ומה לא

הסריקה מוגבלת לטווח תאריכים שאתם בוחרים, ואינה נוגעת בדואר שנשלח, בטיוטות ובצאטים. בתוך הטווח הזה היא עוברת על הודעות שיש בהן קובץ מצורף, ובנוסף — במעבר נפרד — על הודעות שהנושא או הטקסט שלהן מזכיר חשבונית או קבלה, גם כשאין בהן קובץ מצורף כלל.

המעבר השני הוא הכרחי, וזה שינוי לעומת גרסאות קודמות של המסמך הזה: חלק גדול מהספקים בישראל אינם מצרפים את החשבונית אלא שולחים קישור אליה, או מדפיסים אותה בגוף ההודעה עצמו. בלי המעבר הזה המערכת מפספסת אותם.

מכל הודעה שנכנסת לטווח נקראים: תאריך הקבלה, כתובת השולח ושמו, שורת הנושא, רשימת הקבצים המצורפים (שם, גודל וסוג), והטקסט הגלוי של גוף ההודעה. הגוף נקרא לשלושה דברים: לאתר קישורים למסמכים, לאתר שם ספק כשהכתובת גנרית, וכדי להכריע אם ההודעה היא בכלל חשבונית או קבלה.

קבצים מורדים רק כשאפשר לקרוא אותם: PDF ותמונות. כן, גם תמונות — קבלה מצולמת היא מסמך לכל דבר, ומערכת שמתעלמת ממנה מפספסת את הדרך שבה אנשים באמת שומרים קבלות. צרופה מסוג אחר מופיעה ברשימה לפי שמה ואינה מורדת כלל. לוגו בחתימה מזוהה ומושלך.

כשהחשבונית נמצאת מעבר לקישור, השרת שלנו פותח את הקישור כדי להוריד את המסמך. הבקשה נשלחת בלי עוגיות ובלי שום פרטי הזדהות שלכם, ורק לכתובות https ציבוריות. ⚠️ שווה שתדעו: פתיחת קישור מגלה למי ששלח אותו שההודעה נפתחה.

כשהחשבונית מודפסת בגוף ההודעה ולא מצורפת כקובץ, גוף ההודעה כולו מומר למסמך PDF בשירות משלנו, על אותה תשתית. השירות הזה חוסם כל פנייה החוצה, כך שתמונה מרוחקת בהודעה אינה נטענת ואינה מדווחת לאף אחד.

מה שאנחנו לא עושים: אין לנו אפשרות לשלוח, לענות, לשנות, לסמן או למחוק דבר בתיבה — ההרשאה היא קריאה בלבד. איננו נוגעים בדואר שמחוץ לטווח שבחרתם, בדואר ששלחתם, בטיוטות ובצאטים, ואיננו מורידים קבצים שאינם PDF או תמונה.

שלוש דרכים נוספות שבהן מסמך מגיע אלינו

העברה במייל. לכל עסק מוקצית כתובת קליטה אקראית בדומיין finbox.co.il. מה שתעבירו אליה נקלט ונקרא כמו כל מסמך אחר. הדואר עובר דרך Cloudflare, שמעבירה אותו אל השרת שלנו.

וואטסאפ. אם קישרתם מספר טלפון, מסמך שתשלחו לבוט נקלט באותו אופן. ההודעה עוברת דרך Meta (WhatsApp Business), ואנחנו שומרים את מספר הטלפון כדי לדעת לאיזה עסק לשייך את מה שנשלח. מספר שאינו מקושר מקבל הסבר ושום דבר ממנו אינו נשמר.

העלאה ידנית מתוך המערכת.

סריקה כשאינכם מול המסך

המערכת יכולה לסרוק את התיבה בשעה קבועה, גם כשאינכם מחוברים — זו כל הנקודה של מוצר שאוסף חשבוניות במקומכם. ההיקף זהה לחלוטין לסריקה שאתם מפעילים בעצמכם, וכל קריאה כזו נרשמת ביומן שאתם רואים.

ביטול ההרשאה — במערכת או אצל ספק התיבה — עוצר גם את זה, מיד.

למה זה נחוץ

המוצר כולו הוא איסוף החשבוניות שכבר נמצאות אצלכם בתיבה. בלי גישת קריאה לתיבה אין דרך למצוא אותן, ובלי הצרופות אין מסמך. הרשאה מצומצמת יותר, כזו שמחזירה רק כותרות בלי צרופות, לא מאפשרת את התכונה.

התחייבות לשימוש מוגבל (Limited Use)

השימוש שלנו במידע שמתקבל מממשקי Google, והעברתו, כפופים למדיניות נתוני המשתמש של Google API Services, לרבות דרישות השימוש המוגבל.

בפועל, ובאופן מפורש: המידע מתיבת הדואר שלכם משמש אך ורק להפעלת התכונות שאתם רואים במסך. הוא אינו נמכר, אינו מושכר, אינו משמש לפרסום או לפרופיילינג שיווקי, ואינו משמש לאימון מודלים של בינה מלאכותית, לא שלנו ולא של אף אחד אחר.

אף אדם אצלנו לא קורא את המסמכים שלכם, למעט שני חריגים צרים: אם ביקשתם מפורשות תמיכה בבעיה שמחייבת זאת, או אם חובה חוקית מחייבת. בשני המקרים הגישה מתועדת.

חילוץ הנתונים, וזיהוי ההודעות

אנחנו נעזרים בשירות עיבוד של ספק חיצוני בשני שלבים: כדי להחליט אילו הודעות בתיבה הן חשבוניות או קבלות, וכדי לקרוא מתוך המסמך את הסכום, המע"מ, סוג המסמך ומספרו. לשני אלה אין דרך לכתוב חוקים קבועים: הראשון נוגע בטקסט חופשי שכתבו אחרים, והשני בפריסה של דף שכל ספק מעצב אחרת.

מה שנשלח מוגבל במתכוון, וברוב המוחלט של המקרים זהו טקסט בלבד: נושא ההודעה וקטע מהטקסט הגלוי שלה, שמות הקבצים המצורפים וכתובות הקישורים, ומן המסמך עצמו, הכיתוב שעליו כפי שהוא מופיע בשכבת הטקסט של הקובץ. ההודעה המלאה אינה נשלחת.

מסמך שאין ממנו טקסט לקרוא, למשל קבלה שצולמה או חשבון שהגופן בו מוטמע כך שהטקסט יוצא ג׳יבריש, עובר קודם זיהוי תווים (OCR) ב-Google Cloud Vision, ואל שירות העיבוד נשלח הטקסט שהתקבל. גם במקרה הזה, אם כן, נשלח טקסט בלבד. כחמישית מהמסמכים עוברים במסלול הזה.

עד 10 בספטמבר 2026 המסמכים האלה נשלחו כקובץ, ולא כטקסט. זה השתנה, וזו הסיבה שגרסת המדיניות עלתה: מה שנשלח היום צר יותר ממה שהיה מותר לנו לשלוח אתמול.

התשובה שחוזרת אינה נרשמת כפי שהיא. כל מספר עובר בדיקות אצלנו לפני שהוא מוצג: סכום שאינו מופיע במסמך נדחה, מספר ח.פ נבדק לפי ספרת ביקורת, ובדיקה אריתמטית מוודאת שסכום לפני מע"מ ועוד המע"מ שווים לסכום הסופי. מסמך שאינו עובר את הבדיקות מסומן להזנה ידנית ואינו מוצג כאילו נקרא.

ואף שדה אינו נשמר בספרים מעצמו. מה שנקרא הוא הצעה על המסך; רק אישור שלכם הופך אותה לרשומה.

השימוש נעשה בחשבון בתשלום, שבו הספק מתחייב שאינו משתמש בתוכן שנשלח לשיפור המוצרים שלו ואינו מעביר אותו לבדיקה אנושית. זו אינה בחירה טכנית אלא תנאי: השכבה החינמית של אותו שירות כן עושה את שני הדברים, ולכן אינה בשימוש כאן. זהות הספק תימסר לכל מי שיבקש אותה בפנייה ל-privacy@finbox.co.il.

מה נשמר, איפה, וכמה זמן

אסימון הגישה לתיבה נשמר מוצפן בהצפנת AES-256-GCM. הוא אינו מוחזר בשום ממשק ואינו קריא מתוך מסד הנתונים בפני עצמו.

המסמכים והנתונים החשבונאיים נשמרים במסד נתונים מנוהל של Supabase, בשרתים בפרנקפורט שבגרמניה (eu-central-1), בתוך האיחוד האירופי, תחת GDPR.

בידוד בין עסקים נאכף במסד הנתונים עצמו (Row Level Security), לא רק בקוד: כל שאילתה מסוננת לפי מזהה העסק, ואין מסלול שבו נתונים של עסק אחד מגיעים לאחר.

שתי שכבות מטמון, שקיימות כדי שסריקה חוזרת לא תקרא ולא תשלם על אותו דבר פעמיים. הראשונה שומרת את מעטפת ההודעות שנסרקו ואת השורות שהן הפיקו, עד 400 יום. השנייה שומרת את מה שנקרא מכל מסמך, כולל עד 2,000 תווים מהטקסט שעל הדף, עד 180 יום. שתיהן מתנקות מעצמן ומוחקות עם מחיקת החשבון.

גוף ההודעה שמועברת לכתובת הקליטה נמחק ברגע שהטיפול בה מסתיים, גם כשהחלטנו שאין בה מסמך. נשמרת המעטפה בלבד — מי שלח, מתי, ומה הוחלט — כדי שתוכלו לקבל תשובה על «העברתי וכלום לא קרה».

המידע נשמר כל עוד החשבון פעיל. מחיקת החשבון מוחקת אותו; ניתוק התיבה, בין אם Gmail ובין אם Outlook, מוחק מיד את אסימון הגישה ומפסיק כל גישה אליה.

מי עוד מעורב

ספקי התשתית שלנו: Railway (הרצת השרתים), Supabase (מסד הנתונים והאחסון), וספק התיבה שחיברתם (Google או Microsoft), שאצלו יושבת ההרשאה לקרוא את הדואר. כולם פועלים כמעבדי מידע עבורנו בלבד. חיברתם תיבה אחת בלבד? רק הספק שלה מעורב.

בנוסף, ספק עיבוד חיצוני מקבל את פרטי ההודעות ואת הכיתוב שעל המסמכים, טקסט בלבד. מה בדיוק נשלח אליו, ומה הוא מתחייב לגביו, מפורט למעלה תחת "חילוץ הנתונים, וזיהוי ההודעות".

מסמך סרוק עובר קודם Google Cloud Vision להמרת התמונה לטקסט. גוגל פועלת כמעבדת מידע עבורנו, אינה משתמשת בתוכן לשיפור המוצרים שלה, והמסמך אינו נשמר אצלה מעבר לזמן העיבוד.

כשאתם שולחים מסמכים לרואה החשבון, החבילה נשלחת בדואר דרך Resend, מאזור אירלנד (בתוך האיחוד האירופי). המסמכים עצמם עוברים דרכה כצרופות. השליחה היא מכתובת שלנו ולא מהתיבה שלכם — אין לנו אפשרות טכנית לשלוח בשמכם.

Cloudflare מעבירה את הדואר שנשלח לכתובת הקליטה, ו-Meta מעבירה הודעות ואטסאפ — כל אחת מהן רק אם השתמשתם בערוץ הזה.

אין לנו מפרסמים, אין כלי מעקב שיווקי באתר, ואיננו מוכרים מידע לאף גורם.

הזכויות שלכם

אתם רשאים לקבל עותק של המידע שלכם, לתקן אותו, למחוק אותו, ולמשוך את ההסכמה בכל רגע.

את ההרשאה לתיבה אפשר לבטל בשני מקומות: במסך "חיבורי חשבון" במערכת, או ישירות אצל ספק התיבה: ב-Google בעמוד ההרשאות בחשבון, וב-Microsoft בעמוד הרשאות היישומים. ביטול בכל אחד מהם עוצר את הגישה מיידית.

אבטחה

כל התעבורה מוצפנת ב-HTTPS. אסימוני הגישה מוצפנים במנוחה. הגישה למסד הנתונים היא דרך תפקידים נפרדים בעלי הרשאות מצומצמות, ותפקיד האפליקציה אינו יכול לעקוף את בידוד העסקים.

שום מערכת אינה חסינה. אם יתרחש אירוע אבטחה שנוגע למידע שלכם, נודיע לכם ולרשויות כנדרש בדין.

שינויים במדיניות

נודיע על שינוי מהותי לפני שייכנס לתוקף. גרסת המסמך מופיעה בתחתית העמוד, וזה מה שקובע על איזה נוסח ניתנה ההסכמה.