betool מתוכננת לעמוד בדרישות GDPR ללא פתרונות עקיפין: כל גישה לתוכן משתמש על ידי סוכן השייך לארגון אחר נרשמת ביומן, וכל ארגון יכול לעיין ביומן שלו.
יומן הגישה
טבלה ייעודית מתעדת, עבור כל גישה cross-tenant:
- חותמת הזמן
- הארגון היעד (שתוכנו נקרא)
- הארגון הקורא (בדרך כלל ה-vendor)
- המשתמש שהפעיל את הקריאה
- ה-tool שדרכו עברה הקריאה
- סוג הישות (אוצר מילים סגור:
contextעבור שיחה,scenarioעבור benchmark) - מזהה הישות שנקראה (וה-exchange המדויק כאשר הקריאה מכוונת לתור בודד)
אוצר המילים של הישויות סגור ברמת מסד הנתונים (CHECK constraint) וסגור ברמת הקוד (whitelist אפליקטיבית). הוספת סוג = מיגרציה חדשה + עדכון whitelist. אין רשומות לא צפויות.
זכות הגישה (סעיף 15)
כל ארגון יכול לעיין בלוגי הגישה שלו בלבד, ב-הגדרות הארגון → פרטיות (מקטע יומן גישות) או דרך:
GET /api/admin/me/supervisor-reads
הנתיב מחזיר את הקריאות בסדר כרונולוגי יורד (עד 1,000 רשומות לקריאה).
אין גישה cross-org לביקורת: ה-vendor לעולם אינו רואה את לוגי הביקורת של הלקוח.
זכות המחיקה (סעיף 17)
הארכיטקטורה מאפשרת לבצע את המחיקה בצורה נקייה: כל הנתונים של ארגון משויכים ל-org_id שלו (טבלאות עסקיות, תיקיות קבצים, סודות), מה שמאפשר מחיקה ממוקדת — משתמש מסוים, שיחה מסוימת, או הארגון כולו — מבלי לגעת בשאר.
בקשות מחיקה (סעיף 17) מטופלות מול התמיכה שלנו: כתבו ל-contact@betool.fr מחשבון מנהל של הארגון הנוגע בדבר.
Opt-in ו-opt-out לקריאה cross-tenant
כברירת מחדל, ה-opt-in לקריאה cross-tenant הוא FALSE. מנהל הארגון יכול להפעילו — ולבטלו בכל עת — ב-הגדרות הארגון → פרטיות.
- מושבת — ברירת מחדל. ה-vendor אינו יכול לגשת לאף תוכן של ארגון זה. תוצאה: לא ניתן לקיים תמיכה cross-org בכל מה שנוגע לתוכן (התמיכה המבנית נשארת אפשרית).
- מופעל — המפקח יכול לקרוא את השיחות של הארגון לצורך אבחון, כאשר כל גישה מתועדת בביקורת וניתנת לעיון על ידי הארגון.
ה-vendor אינו יכול להפעיל opt-in זה עבור הלקוח. זהו מבחן יסודי: אם ה-vendor יכול לעשות toggle ללא פעולת לקוח — הארכיטקטורה שבורה.
מעקה בטיחות לפעולות הרסניות
כל פעולה שמשמידה או מחליפה תוכן (DELETE, REPLACE-IN-PLACE) נדחית בשלב הוולידציה אם הארגון היעד לא הפעיל את ה-opt-in לקריאה. הסיבה: ללא נראות, המפעיל מציע בעיוורון payload שעלול לדרוס את הקיים.
סירוב מדורג אם הביקורת אינה זמינה
אם מסד נתוני הביקורת אינו זמין (אירוע תשתיתי), כל קריאה cross-tenant נדחית. מדיניות מחמירה: אין קריאה ללא עקבה.
תוצאה בצד הקוד: caller שתופס חריגה חייב לזרוק מחדש את שגיאת הביקורת לפני כל טיפול עסקי. זהו אינווריאנט הנבדק על ידי benchmark האבטחה.
עוגיות הסכמה
האתר השיווקי (betool.ai) מודד את הקהל שלו באמצעות Google Analytics 4, ב-Consent Mode v2:
- כברירת מחדל, כל ההסכמות של Google (מדידה, פרסום) מוגדרות כנדחו: הסקריפט של Google Analytics אינו נטען ולא מוצבת שום עוגייה אנליטית.
- הסקריפט נטען, והמדידה מופעלת, רק לאחר הסכמתכם המפורשת למדידת הקהל בבאנר.
- ניתן לבטל הסכמה זו בכל עת (ניהול עוגיות, בתחתית העמוד): המדידה חוזרת אז למצב נדחה.
הסכמות הפרסום נשארות דחויות: האתר אינו מבצע טירגוט פרסומי.