אבטחה ופרטיות
האודיו של הראיונות שלכם
לעולם לא נשמר בשרתים שלנו.
SubcueAI נבנה כאפליקציה מקורית, מוצפן בהעברה ובאחסון, ובכוונה אינו שומר מצב בכל הנוגע לאודיו של הראיונות שלכם. הנה בדיוק איך.
עודכן לאחרונה: 10 באוקטובר 2026
טיפול באודיו
אודיו הראיון מתומלל בענן — ולעולם לא נשמר.
- נלכד מקומית: אפליקציית macOS / Windows משתמשת ב-ScreenCaptureKit (ב-Mac) וב-WASAPI loopback (ב-Windows) כדי ללכוד אודיו משיחת הווידאו שלכם. אפליקציית שולחן העבודה אינה דורשת תוסף דפדפן ואינה דורשת בוט פגישות.
- מוזרם לתמלול (STT): האודיו מוזרם (ולא נשמר) לספק המרת דיבור לטקסט לצורך תמלול בזמן אמת. מאגר האודיו נמחק מהזיכרון מיד כשקטע התמלול מתקבל.
- אפס שמירה בשרת: אנחנו אף פעם לא כותבים את גל האודיו לדיסק בצד השרת שלנו. R2 / D1 / KV מכילים תמלולים ומטא-נתונים בלבד.
- התמלול בידיכם למחיקה: מחיקה של רשומה בודדת מ-/dashboard/records מוחקת מיד גם את התמלול וגם את ניתוח ה-AI.
הצפנה
בהעברה ובאחסון
בהעברה
TLS 1.3
HTTPS מאולץ דרך Cloudflare. HSTS טעון מראש עם max-age=63072000 (שנתיים).
באחסון
AES-256
Cloudflare R2 (קורות חיים / תיאורי תפקיד / קובצי הפצה) משתמש כברירת מחדל בהצפנה בצד השרת SSE-256.
אימות
PBKDF2 + JWT
גיבוב סיסמאות: PBKDF2 עם 100,000 איטרציות. אסימוני סשן: JWT חתום ב-HMAC-SHA256.
ספקי משנה
מי נוגע בנתונים שלכם
Subcue AI LLC היא בקרית הנתונים. ספקי המשנה הבאים מטפלים בחלקים מסוימים מנתוני הלקוחות במסגרת חוזה. כל רשומה מפרטת מה הם רואים והיכן ממוקמת התשתית שלהם.
| ספק | מטרה | אזור |
|---|---|---|
| Cloudflare | אירוח, CDN, D1 (מסד נתונים), KV, R2 (אחסון אובייקטים), Vectorize (הטמעות), Workers AI (אינדקס חיפוש בתמלולים, זיהוי טקסט בתמונות של קורות חיים), AI Gateway (מעביר בקשות AI), Turnstile (הגנה מפני בוטים) | קצה גלובלי / ארה"ב-אירופה |
| OpenAI | הצעות לתשובות AI, שאלות לראיונות דמה, ניתוח ראיונות, פענוח וייעול של קורות חיים, תשובות בצ'אט התמיכה | ארצות הברית |
| xAI | קול לראיונות דמה (טקסט לדיבור); מודל AI חלופי לתכונות שלעיל (Grok) | ארצות הברית |
| Anthropic | פענוח קורות חיים מקובצי PDF סרוקים או כאלה שמכילים תמונות בלבד (Claude) | ארצות הברית |
| כניסה באמצעות Google, חיוב דרך Google Play, מודל AI חלופי לפענוח קורות חיים (Gemini) | ארצות הברית | |
| Alibaba Cloud (Qwen) | תכונות AI וקול לראיונות דמה עבור משתמשים במדינות שבהן ספקי ברירת המחדל שלנו אינם זמינים | סין |
| DeepSeek | מודל AI חלופי עבור משתמשים במדינות שבהן ספקי ברירת המחדל שלנו אינם זמינים | סין |
| ElevenLabs | המרת דיבור לטקסט (בזמן אמת) | ארצות הברית |
| Deepgram | המרת דיבור לטקסט במדינות שבהן ElevenLabs אינו זמין | ארצות הברית |
| Stripe | עיבוד תשלומים, חיוב וחישוב מס מכירות (Stripe Tax) | ארצות הברית |
| Apple | רכישות בתוך האפליקציה ב-App Store (משתמשי iOS/macOS), כניסה באמצעות Apple | ארצות הברית |
| Paddle | עיבוד תשלומים עבור רכישות שבוצעו לפני יולי 2026 | הממלכה המאוחדת |
| Resend | אימיילים עסקאותיים (קודי אימות, הודעות חשבון וחיוב, תשובות תמיכה) | ארצות הברית |
| Google Analytics | ניתוח נתוני אתר — מדדי שימוש אנונימיים (עם הסתרת IP) | ארצות הברית |
| Microsoft Clarity | ניתוח שימוש באתר (צפיות בדפים, לחיצות, גלילה; שדות קלט מוסתרים) | ארצות הברית |
עדכונים לרשימה הזו מוכרזים בעדכוני תנאי השימוש.
גישה ואימות
אסימונים, סשנים וביטול
- אסימוני גישה מסוג JWT, בתוקף של שעה אחת.
- אסימוני רענון נשמרים בעוגיות HttpOnly Secure SameSite=Lax, ומגובבים בצד השרת לפני האחסון.
- רשימת ביטולים בצד השרת — יציאה מהחשבון מבטלת את האסימונים מיד בכל המכשירים.
- תהליכי OAuth (Google / Apple) מתבצעים משרת לשרת; אסימוני הגישה לעולם לא מגיעים ל-JavaScript של הדפדפן.
- אפליקציית שולחן העבודה משתמשת בפרוטוקול מותאם subcue:// עם החלפה של קוד אימות חד-פעמי — אותו מודל אבטחה כמו בתהליכי OAuth מקוריים ב-macOS / Windows.
כותרות אבטחה של HTTP
מה נושאת כל תגובה
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload X-Frame-Options: DENY X-Content-Type-Options: nosniff Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=() Content-Security-Policy-Report-Only: ...
עמידה בדרישות
תקנות אזוריות
GDPR (האיחוד האירופי / EEA / בריטניה)
אנחנו מעבדים מידע אישי של תושבי האיחוד האירופי על בסיס חוקי, ובהם הסכמה, ביצוע חוזה ואינטרסים לגיטימיים. זכויות נושאי המידע (עיון, תיקון, מחיקה, ניידות) מכובדות — שולחים בקשה באימייל אל contact@subcueai.com.
CCPA (קליפורניה)
לתושבי קליפורניה יש זכות לדעת, למחוק ולסרב למכירת מידע. אנחנו לא מוכרים מידע אישי. בקשות CCPA נשלחות לאותה כתובת כמו בקשות GDPR.
שמירת נתונים
מה אנחנו שומרים ולכמה זמן
- נתוני חשבון: נשמרים כל עוד החשבון פעיל.
- תמלולי ראיונות: נשמרים עד שתמחקו את הרשומה. מחיקה של רשומה בודדת זמינה ב-/dashboard/records.
- גלי אודיו: לעולם לא נשמרים.
- מחיקת חשבון: כל הנתונים האישיים נמחקים תוך 30 יום. סטטיסטיקות מצטברות אנונימיות (למשל, סך הראיונות שבהם סייענו) נשמרות ללא הגבלת זמן.
- אירועי טלמטריה: נשמרים 90 יום כברירת מחדל (ניתן להגדרה בממשק הניהול), ואז נמחקים אוטומטית על ידי משימה יומית מתוזמנת.
דיווח אחראי
מצאתם פגיעות?
שולחים אימייל אל contact@subcueai.com עם שורת הנושא [SECURITY]. אנחנו מתחייבים:
- לאשר קבלה תוך 48 שעות.
- לספק עדכון מיון תוך 5 ימי עסקים.
- לפעול לפי לוח זמנים של 90 יום לחשיפה אחראית לפני דיון פומבי.
- לתת קרדיט פומבי למדווחים (בהסכמתם) לאחר שהבעיה נפתרה.
מחוץ להיקף: הנדסה חברתית, התקפות פיזיות, התקפות על ספקי משנה של צד שלישי.
שאלות על הדף הזה? שולחים אימייל אל contact@subcueai.com.
ראו גם: מדיניות פרטיות · תנאי השימוש