1. עיקרון יסוד — Omora אינה מוכרת מידע
Omora Technologies Ltd. (להלן: ״Omora״) אינה מוכרת, מחכירה, מחליפה בתמורה כספית, או מעבירה לצד שלישי כלשהו מידע אישי על משתמשים, מבקשי אשראי, או לקוחות פיננסיים — לכל מטרה שהיא.
שיתוף מידע מתבצע אך ורק:
- למטרת השירות הספציפית — ביצוע ניתוח חיתום, הצגת פרופיל מבקש לגוף פיננסי מורשה לצורך קבלת החלטת אשראי, תמיכה טכנית מוסמכת.
- בהסכמה מפורשת של המשתמש — שהתקבלה ותועדה לפני השיתוף.
- בהתאם לחובה חוקית או צו שיפוטי — כמפורט בסעיף 6 להלן.
2. נמענים מורשים
להלן הגורמים שאליהם Omora עשויה להעביר מידע, המטרה, ומה שאינו משותף בשום מקרה:
| נמען | מטרת השיתוף | מה משותף | מה אינו משותף |
|---|---|---|---|
| גופים פיננסיים מורשים (מלווים) | צפייה בפרופיל מבקש אשראי לצורך קבלת החלטה | נתוני חיתום, ציון אשראי, המלצה, תוצאת אימות זהות (KYC) | תמונות גולמיות, כתובת IP, נתוני הסכמות גולמיים, מידע על גופים פיננסיים אחרים |
| Anthropic Inc. — ספק AI | עיבוד אימות זהות (KYC) — ניתוח תמונת ת״ז וסלפי | תמונת ת״ז וסלפי לעיבוד בלבד; טקסט הסבר חיתום. התמונות אינן נשמרות על-ידי Omora לאחר העיבוד | נתוני זיהוי אישי נוספים; מידע פיננסי מפורט |
| ספקי תשתית (Supabase, Vercel) | אחסון, מסד נתונים, ריצת קוד | נתוני אפליקציה תחת הצפנה בשרתים באיחוד האירופי | אין לספקים גישה לוגית לנתוני משתמשים — מוגן ב-Row Level Security |
| ספק Open Banking (עתידי) | שאילתת נתוני חשבון בנק בהסכמת משתמש | נתוני עסקאות ויתרות לפי הסכמה בלבד | כלל נתונים ללא הסכמה פעילה. שירות זה אינו פעיל כרגע |
הערה בדבר Anthropic: שידור תמונות המכילות מידע ביומטרי לספק AI גלובלי (Anthropic Inc., ארה״ב) מחייב הסכם עיבוד מידע מפורש. אנו מתקשרים עם ספקים בהסכמי עיבוד מידע — ראה סעיף 5.
3. בקרות על גישת גוף פיננסי
3.1 הפרדה רב-דיירית
כל גוף פיננסי רואה אך ורק את הנתונים המשויכים אליו. הפרדה זו מאכפת ברמת מסד הנתונים — גוף פיננסי אחד אינו יכול לצפות בנתונים של גוף אחר.
3.2 הגבלת חשיפה — Matching
במנגנון ה-Matching, פרופיל מבקש האשראי חשוף לפרופיל של עד 5 גופים פיננסיים מתאימים בלבד, בהתאם לקריטריוני החיתום. אין חשיפת פרופיל לכלל הגופים הרשומים במערכת.
3.3 תיעוד גישה
כל פעולת צפייה, שאילתה, או הורדה על-ידי גוף פיננסי מתועדת בלוג-ביקורת פנימי. לוגים אלה אינם ניתנים לעריכה.
4. העברת מידע לחוץ-לארץ
נתוני משתמשים (ישראלים) מעובדים ואגורים על שרתי Supabase ו-Vercel באזור פרנקפורט, גרמניה (האיחוד האירופי). זאת העברת מידע לחוץ-לארץ.
בנוסף, עיבוד אימות הזהות (KYC) מתבצע דרך Anthropic Inc., שהיא חברה אמריקאית הפועלת גלובלית — כלומר חלק מנתוני ה-KYC עשוי לעבור עיבוד מחוץ לאיחוד האירופי.
אנו פועלים להבטחת עמידה בתקנות הגנת הפרטיות הישראליות בנוגע להעברת מידע לחוץ-לארץ, לרבות בחינת תקנות העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה, התשס״א-2001.
5. ספקי עיבוד מידע (Sub-Processors)
Omora מתקשרת עם ספקים המעבדים מידע אישי בשמה. אנו מתקשרים עם ספקים אלה בהסכמי עיבוד מידע (Data Processing Agreements), ומבטיחים שהם מחויבים לאמצעי אבטחה נאותים:
| ספק | תפקיד | מיקום עיבוד |
|---|---|---|
| Anthropic Inc. | עיבוד AI לאימות זהות (KYC) | גלובלי (ארה״ב ואחרות) |
| Supabase Inc. | מסד נתונים, אימות, Row Level Security | פרנקפורט, גרמניה (EU) |
| Vercel Inc. | אחסון, CDN, ריצת קוד | פרנקפורט, גרמניה (EU) |
| ספק Open Banking (עתידי) | נתוני חשבון בנק בהסכמת משתמש | טרם נקבע — שירות אינו פעיל |
רשימה זו תעודכן בעת הוספת ספק חדש שמעבד מידע אישי. משתמשים זכאים לפנות אלינו בשאלות בנוגע לספקים ספציפיים.
7. איסור שיתוף לא-מורשה
אין לשתף מידע אישי מחוץ לנמענים המורשים בסעיף 2, ללא הסכמה מפורשת חדשה של המשתמש, ומחוץ לחובות חוקיות כמפורט בסעיף 6. כל עובד, קבלן, ומפתח חיצוני בעל גישה לנתוני משתמשים מחויב לסודיות מלאה דרך הסכם מחייב.
שיתוף לא-מורשה, מכוון או בטעות, מהווה הפרה מהותית של מדיניות זו ועלול להוביל לדיווח לרשות להגנת הפרטיות בהתאם לחובות החוקיות.
8. יצירת קשר
שאלות בנוגע לשיתוף מידע, בקשות לעיין במידע, או בקשות להגביל שיתוף — privacy@omora.co.il · טלפון *8080.