דילוג לתוכן הראשי
אבטחה ואמון · THE PROOF

אמון לא מבקשים. מוכיחים.

כל עובדה בעמוד הזה מנוסחת בזהירות: הסמכה שקיימת, בדיקה שעדיין בעיצומה, ותשתית כפי שהיא באמת רצה בכל מוצר — לא כפי שנעים להגיד. ליד כל עובדה — הסטטוס והמקור שלה.

ISO/IEC 27001:2022SOC 2 · בתהליךme-west1 · תל אביבDPA לפי בקשה
הסמכות ובדיקות · THE SEAL

מה מאושר. ומה עדיין לא.

שני דברים נבדקים על-ידי גורם חיצוני. אחד הסתיים בתעודה; השני בעיצומו, וזה בדיוק מה שנגיד עליו — לא יותר.

מאומת

ISO/IEC 27001:2022

ISO/IEC 27001:2022 · תעודה 1126333 · IQNet & IQSR

ההסמכה חלה על כל החברה — LeonAI LTD — כארגון אחד, ולא על מוצר בודד. הונפקה על-ידי מכון התקנים הישראלי (SII–QCD), בתוקף עד 26/10/2028. התעודה עצמה — כאן:

התעודה (SII)תעודת IQNet (PDF)

בתהליך

SOC 2

SOC 2 Type II examination underway with Ernst & Young (Security — Common Criteria), commenced August 2026; report expected Q1 2027.

הבדיקה נמצאת בעיצומה; הדוח הרשמי טרם התקבל, ולכן זה כל מה שנגיד עליה — לא יותר. מכתב הגישור שלמטה מתעד את סטטוס הבדיקה ואת הבקרות שבתוקף בתקופת הביניים.

מכתב הגישור — SOC 2 Type II (PDF)

המרשם · THE REGISTER

עובדה, סטטוס, מקור. שורה אחרי שורה.

זה לא עמוד שיווק — זה מרשם. כל שורה אומרת מה נכון היום, מה מעמדה של הטענה, ומאיפה אפשר לוודא אותה.

מרשם עובדות האבטחה: העובדה, הסטטוס שלה והמקור שלה
העובדהסטטוסהמקור
MCP for Priority · LeonAI Priority — הנתונים של מוצרי ה-Priority נשארים בישראלמאומתGCP me-west1 · תל אביב — התשתית של שני המוצרים עצמם
ישראל מוכרת על-ידי האיחוד האירופי כמדינה עם רמת הגנה נאותה (adequacy)מאומתהחלטת ה-adequacy של האיחוד האירופי
התשתית ב-me-west1 יוצאת מכתובות IP קבועות, שאפשר להוסיף לרשימת ההיתרים (allowlist) שלכםמאומת34.165.219.216 · 34.165.236.22 · 34.165.106.6
SignFlow · Links · Secrets — רצים על רשת הקצה הגלובלית של Cloudflare — ניתוב לפי קרבה גיאוגרפית, בלי הצמדת הנתונים למדינה מסוימתמאומתהתשתית של שלושת המוצרים עצמם
לוגים תפעוליים נשמרים 30 יום; גיבויים יומיים מוצפנים עם PITR לשחזור לנקודת זמן מדויקתמדיניותנהלי התפעול של LeonAI
תהליך התגובה לאירועים פועל לפי חוק הגנת הפרטיות, כולל תיקון 13, ולפי GDPRמדיניותנהלי התגובה לאירועים של LeonAI
הסכם עיבוד נתונים (DPA) זמין לפי בקשהמדיניותכתבו לנו — הפרטים בתחתית העמוד
חמישה ספקי משנה מעבדים בשמנו את המידע של המוצרים — כולם רשומים כאן, בעמוד הזה (ספקי האתר עצמו מפורטים במדיניות הפרטיות)מאומתמרשם ספקי המשנה, למטה
הבקרות · THE CONTROLS

לא הבטחות כלליות. הבקרות של כל מוצר.

הרשימות האלה הן אותן רשימות בדיוק שמופיעות בעמוד של כל מוצר — אותו מקור, אותן מילים — כך שהעמוד הזה לא יכול להגיד משהו שעמוד המוצר לא אומר.

MCP for Priority

  • רץ על Cloud Run באזור me-west1 — תל אביב.
  • TLS 1.2 ומעלה בכל קפיצה — לקוח, בסיס נתונים, מטמון ו-ERP.
  • OAuth 2.1 עם PKCE חובה ורישום לקוחות דינמי; אימות דו-שלבי ב-TOTP בכל המסלולים; כניסה מאוחדת (SSO) ב-SAML 2.0 / OIDC במסלול הארגוני.
  • AES-256 באחסון מנוהל; פרטי ההתחברות ל-ERP מוצפנים נוסף לכך ב-Fernet.
  • אישורי הדיירים נשמרים מוצפנים ב-PBKDF2 עם 480,000 סבבים.
  • רשימת כתובות IP מותרות ברמת הדייר.
  • כל שאילתה, כל מפתח מטמון וכל אובייקט אחסון משויכים למרחב השם של הלקוח.
  • מיסוך אישורים ופרטים מזהים בכל מטפלי הלוג — סיסמאות, מפתחות API ואסימונים לעולם לא נרשמים ללוג.
  • יומן ביקורת של כל קריאה לכלי.
  • יומני גישה נשמרים 24 חודשים, בהתאם לדרישת רישום הגישה שבתקנות הגנת הפרטיות (אבטחת מידע).
  • כתיבה כבויה כברירת מחדל, ומאושרת פעם אחת לכל פעולה באסימון חתום בתוקף 90 שניות.
  • אין כלל כלי מחיקה ל-ERP.
  • מוסמכים ISO 27001 — ההסמכה חלה על החברה כולה, לא על מוצר בודד.
  • SOC 2 Type II בתהליך.
לעמוד המוצר

LeonAI Priority

  • רץ על Cloud Run באזור me-west1 — תל אביב — עם VPC ויציאה פרטית וסודות ב-Secret Manager.
  • כתובות IP יוצאות קבועות, לרשימות היתר אצלכם: 34.165.219.216 · 34.165.236.22 · 34.165.106.6.
  • תעבורה מוצפנת ב-TLS 1.2 ומעלה, כולל TLS 1.3.
  • הצפנת AES-256 באחסון, עם גיבויים יומיים מוצפנים.
  • פרטי החיבור נשמרים ב-connection vault של Make — LeonAI לעולם לא שומרת אותם.
  • כותרות וגופי אימות מנוקים מהלוגים.
לעמוד המוצר

SignFlow

  • רץ על תשתית Cloudflare.
  • הקבצים יושבים מאחורי proxy מאומת שנכשל סגור — אין דלי אחסון ציבורי ואין קישורים חתומים מראש.
  • חותם PKCS#7 שנכשל סגור: מסמך לא מסתיים בלי חותם תקין.
  • חותמת זמן RFC-3161 מ-DigiCert על כל מסמך שהושלם.
  • שרשרת ביקורת SHA-256 עם עיגון מחוץ למערכת ונקודת קצה לאימות.
  • שמירת מסמכים לשבע שנים כברירת מחדל, עם סירוב למחיקה בתוך התקופה.
  • מצב תאימות למס בישראל.
  • התחברות Google/Microsoft, אימות דו-שלבי ב-TOTP ו-SSO ב-SAML/OIDC.
לעמוד המוצר

Links

  • רץ על רשת הקצה של Cloudflare.
  • כל קישור נסרק מול Google Safe Browsing ביצירה, בעדכון ובייבוא, ונסרק שוב כל עשר דקות — עם השעיה אוטומטית ועמוד אזהרה למבקר.
  • מדיניות CSP ו-HSTS מחמירות.
  • אימות דו-שלבי ב-TOTP והתחברות ארגונית עם Google או Microsoft.
  • אימות כתובת המייל לפני שאפשר ליצור קישור.
  • מפתחות ה-API נשמרים כ-hash ומוצגים פעם אחת בלבד, עם שמונה scopes להגבלת ההרשאה.
  • תאימות ל-GDPR ול-CCPA/CPRA מובנית — הסכמה, ייצוא ומחיקה של נתונים.
לעמוד המוצר

Secrets

  • רץ על רשת הקצה של Cloudflare.
  • השרת לעולם לא שומר את מפתח ההצפנה.
  • ההצפנה מתבצעת בדפדפן ב-AES-256-GCM דרך Web Crypto.
  • הסוד נמחק מהאחסון לפני שהתשובה נשלחת לנמען.
  • שלושה ניסיונות סיסמה שגויים משמידים את הסוד.
  • התוקף — בין חמש דקות לשלושים יום — נאכף בשכבת האחסון.
  • כתובות IP עוברות אנונימיזציה אחרי 30 יום, ויומני הביקורת נמחקים אחרי 90 יום.
  • מדיניות CSP עם nonce שנוצר מחדש לכל בקשה.
לעמוד המוצר
המשמורת · THE CUSTODY

מי נוגע במידע, ומה מובטח לכם.

החברות שמעבדות מידע בשמנו — ושלוש ההתחייבויות שאנחנו לוקחים על עצמנו.

מרשם ספקי המשנה

  • Google Cloud — Israel (me-west1)
  • Cloudflare
  • Make — EU (מחסן החיבורים)
  • SUMIT — ישראל (סליקה/תשלומים)
  • Resend (דוא״ל)
הסכם עיבוד נתונים

DPA (הסכם עיבוד נתונים) זמין לפי בקשה — כתבו לנו; פרטי הקשר בסוף העמוד.

תגובה לאירועי אבטחה

תהליך התגובה לאירועים פועל לפי חוק הגנת הפרטיות, כולל תיקון 13, ולפי GDPR.

שמירת לוגים וגיבויים

לוגים תפעוליים נשמרים 30 יום. הגיבויים היומיים מוצפנים, עם PITR (Point-in-Time Recovery) לשחזור לנקודת זמן מדויקת.

מהלכים חכמים — זה בטבע שלנו

מצאתם ממצא אבטחה?

נשמח שתדווחו לנו ישירות — לפני שמישהו אחר ינצל את זה. כתבו לנו, ונחזור אליכם מהר.

care@leonai.ioלבדיקת התאמה