איך שומרים על מידע של לקוחות ומטופלים כשעסק משתמש בבוט וואטסאפ ובמערכת CRM?

נכון ליום 21 באוקטובר 2026. המידע מבוסס על מקורות רשמיים כפי שהופיעו ביום הבדיקה, ועשוי להשתנות. לפני החלטה, בדקו את המקורות המקושרים.

התשובה הקצרה (לפי מקורות רשמיים, לא ייעוץ משפטי): כשעסק שומר פרטים של לקוחות במערכת CRM (מערכת לניהול לקוחות) ומדבר איתם דרך בוט וואטסאפ, יש לו "מאגר מידע". לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, בעל המאגר צריך לקבוע מי מקבל גישה, לתעד אירועי אבטחה ולחתום הסכם עם הספקים שמחזיקים את המידע בשבילו (תקנות אבטחת מידע, נוסח ברשומות). מאגר עם מידע רפואי חייב לעמוד לפחות ברמת אבטחה בינונית (שם, התוספת הראשונה). ההצפנה של WhatsApp וההגנות של מערכת ה-CRM עוזרות, אבל הן לא מעבירות את האחריות מהעסק לספק.

הכתבה הזאת מרחיבה את החלק על אבטחת מידע מהכתבה שלנו על מידע של מטופלים בוואטסאפ וב-CRM. היא מיועדת לבעלי עסקים קטנים, לקליניקות ולמטפלים עצמאיים.

כמה מילים שכדאי להכיר

• מאגר מידע. אוסף מסודר של פרטים על אנשים, שנשמר במחשב. רשימת לקוחות במערכת CRM היא דוגמה טובה.
• בעל המאגר (או "בעל השליטה"). העסק שמחליט מה לשמור ולמה. זה אתם, לא הספק.
• מחזיק. מי שמחזיק את המידע בשבילכם, כמו חברת התוכנה או ספק הבוט.
• בעל הרשאה. אדם שקיבל מכם גישה למידע במאגר או למערכות שלו (תקנות אבטחת מידע, תקנה 1).
• הצפנה. "נעילה" של הודעה או קובץ, כך שרק מי שיש לו מפתח יכול לקרוא אותם.
• הצפנה מקצה לקצה. הודעה שנפתחת רק אצל השולח ואצל המקבל, ולא בשום מקום באמצע.
• אימות דו-שלבי. כניסה למערכת עם סיסמה ועוד קוד חד-פעמי, למשל מאפליקציה בטלפון.

מה החוק בישראל דורש מעסק שמחזיק מידע על לקוחות?

תקנות אבטחת המידע (2017)

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 פורסמו ברשומות ב-8 במאי 2017 (קובץ התקנות 7809). הן נכנסו לתוקף ב-8 במאי 2018 (המדריך לתקנות, אתר הממשלה). לפי המדריך, הן חלות על כל המשק הישראלי (שם).

התקנות מחלקות מאגרים לארבעה סוגים (תקנות אבטחת מידע, תקנות 1 ו-21):

• מאגר שמנהל יחיד. יחיד (או חברה בבעלות יחיד), ולכל היותר עוד שני בעלי הרשאה. אבל זה לא חל, למשל, על מאגר עם מידע על 10,000 אנשים ומעלה, או על מאגר עם מידע שבעליו חייב בו בסודיות מקצועית.
• רמת אבטחה בסיסית. כל מאגר שלא נכנס לסוגים האחרים.
• רמת אבטחה בינונית. למשל מאגר שיש בו מידע רפואי או מידע על המצב הנפשי של אדם, מידע ביומטרי (כמו טביעת אצבע), או מידע על המצב הכלכלי של אדם (התוספת הראשונה).
• רמת אבטחה גבוהה. סוגי מאגרים שמפורטים בתוספת השנייה לתקנות. בדקו את הרשימה המלאה בנוסח התקנות.

לכל רמה יש רשימה אחרת של תקנות שחלות עליה (תקנה 21). כדי לדעת מה חל עליכם, צריך קודם לבדוק לאיזו רמה המאגר שלכם שייך.

תיקון 13 לחוק הגנת הפרטיות

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025 (הרשות להגנת הפרטיות, מדריך מקצועי לתיקון 13). לפי הרשות, הוא כולל בין השאר צמצום של חובת רישום מאגרים, חובת הודעה על מאגרים גדולים עם מידע בעל רגישות מיוחדת, חובה למנות ממונה הגנת פרטיות (DPO) בחלק מהגופים, ומנגנון של עיצומים כספיים (קנסות שהרשות מטילה) (שם).

הרשות הודיעה שלא תאכוף את חובת מינוי הממונה עד 31.10.2025 (הרשות להגנת הפרטיות, מדיניות אי-אכיפה זמנית). התאריך הזה כבר עבר.

דוגמה לאכיפה

ב-21.07.2026 פרסמה הרשות שהטילה עיצום כספי של 256,000 ש"ח על קופת חולים מאוחדת. הסיבה: הקופה לא דיווחה מיד על אירוע אבטחה חמור, שבו מבוטחים יכלו במקרים מסוימים לראות מידע רפואי של קרובי משפחה. לפי הרשות, זה העיצום הראשון מסוג זה מאז שתיקון 13 נכנס לתוקף (הרשות להגנת הפרטיות, הודעה מ-21.07.2026). הרשות כתבה שעמדה של "נחכה עד שנסיים לבדוק" מרוקנת מתוכן את דרישת המיידיות (שם).

מה התקנות דורשות בפועל?

הנה כמה מהחובות המרכזיות בתקנות, בשפה פשוטה. חלק מהן חלות רק על רמה בינונית וגבוהה, כמו שמצוין.

מי מקבל גישה

• גישה לפי תפקיד. בעל המאגר קובע לכל תפקיד גישה רק במידה שצריך לעבודה, ומנהל רשימה מעודכנת של התפקידים, ההרשאות והאנשים (תקנה 8).
• הדרכה. לפני שעובד מקבל גישה, מסבירים לו מה החובות שלו. ברמה בינונית וגבוהה עושים הדרכה חוזרת לפחות פעם בשנתיים (תקנה 7).
• עובד שעוזב. מבטלים לו את ההרשאות מיד כשהוא מסיים את התפקיד, ובמידת האפשר מחליפים סיסמאות שהוא היה יכול לדעת (תקנה 9(ג)).

איך מזהים מי נכנס

ברמה בינונית וגבוהה, הזיהוי צריך להיות ככל האפשר על בסיס אמצעי פיזי שרק המורשה מחזיק, כמו טלפון שמקבל קוד. אם הזיהוי הוא בסיסמה, נוהל האבטחה צריך לקבוע את חוזק הסיסמה, את מספר הניסיונות השגויים, והחלפה לפחות פעם בשישה חודשים. צריך גם ניתוק אוטומטי אחרי זמן בלי פעילות (תקנה 9(ב)).

תיעוד גישה

ברמה בינונית וגבוהה צריך תיעוד אוטומטי של כניסות למערכות המאגר: מי נכנס, מתי, לאיזה חלק, ואם הכניסה אושרה או נדחתה. את התיעוד שומרים לפחות 24 חודשים (תקנה 10).

אירועי אבטחה

• מתעדים כל אירוע שמעלה חשש לשימוש במידע בלי הרשאה או לפגיעה בו (תקנה 11(א)).
• מדווחים לרשות "באופן מיידי" על אירוע אבטחה חמור (תקנה 11(ד)). לפי הרשות, הכוונה היא "בסמוך ככל האפשר למועד הגילוי וללא דיחוי" (הרשות להגנת הפרטיות, שאלות ותשובות על התקנות).
• מה נחשב חמור. ברמה בינונית: שימוש בלי הרשאה בחלק מהותי מהמאגר, או פגיעה בחלק מהותי. הרשות מדגישה שגם הצפנה של המידע בידי תוקף, או מניעת גישה אליו, נחשבות פגיעה. ברמה גבוהה מספיקה כניסה שנתנה גישה למידע, גם אם עוד לא הוכח שימוש (הרשות להגנת הפרטיות, דיווח על אירוע אבטחה חמור).
• גם הספק חייב לדווח. לפי הרשות, חובת הדיווח חלה גם על המחזיק. בהסכם איתו אפשר לקבוע שהוא ידווח גם בשם בעל המאגר (שאלות ותשובות על התקנות).

ספקים חיצוניים

החובות בתקנות חלות גם על מחזיק המאגר, בשינויים המתאימים (תקנה 19(א)). בעל המאגר צריך לקבוע בהסכם עם המחזיק איך הוא מיישם את החובות לפי התקנות (שאלות ותשובות על התקנות). במילים פשוטות: גם ספק הבוט וגם חברת ה-CRM צריכים להופיע בהסכם כתוב.

מכשירים ניידים

בעל המאגר צריך להגביל או למנוע חיבור של התקנים ניידים (כמו דיסק און קי או טלפון) למערכות המאגר, לפי רמת האבטחה (תקנה 12).

מה הרשות ממליצה כשמשתמשים בוואטסאפ למידע רפואי?

במסמך מדיניות שעודכן ב-13.08.2025, הרשות מתייחסת לתוכנות שלא נועדו להעברת מידע רפואי, כמו וואטסאפ. אלה הנקודות המרכזיות שלה (הרשות להגנת הפרטיות, מסמך מדיניות על העברת מידע רפואי):

• לצמצם ככל האפשר את השימוש בתוכנות כאלה, ולא לשמור מידע רפואי במכשירים אישיים.
• להשמיט פרטים מזהים, כמו שם, מספר תעודת זהות ותמונת פנים, ולהעביר רק את המינימום הדרוש.
• לאבטח את המכשיר: חומת אש (תוכנה שחוסמת גישה לא רצויה), אנטי-וירוס, סיסמה חזקה ואימות דו-שלבי.
• להעביר ולמחוק: אחרי שהמטרה הושגה, להעביר את המידע למערכת המיועדת לכך, למחוק אותו מהמכשיר ומהתוכנה, ולוודא שהוא לא נשמר בגיבוי ענן פרטי כמו Google Drive או Dropbox.
• לקבוע מדיניות פנימית ברורה על מחיקה, סיסמאות והרשאות גישה.

איך עובדת ההצפנה ב-WhatsApp?

בצ'אט רגיל

לפי WhatsApp, בצ'אט עם הצפנה מקצה לקצה אף אחד מחוץ לשיחה, גם לא WhatsApp, לא יכול לקרוא, לשמוע או לשתף את ההודעות. ההצפנה פועלת אוטומטית (WhatsApp, About end-to-end encryption).

בצ'אט עם עסק

כאן יש כמה דברים שכדאי לדעת (שם):

• WhatsApp רואה בצ'אט עם עסק שמשתמש באפליקציית WhatsApp Business צ'אט מוצפן מקצה לקצה כברירת מחדל.
• אחרי שההודעה מגיעה לעסק, היא כפופה לנהלי הפרטיות של העסק עצמו. העסק יכול לתת לעובדים או לספקים לטפל בהודעות.
• כשעסק משתמש בשירותים אופציונליים של Meta, למשל כדי לשמור הודעות ולענות ללקוחות, WhatsApp מציגה את זה בצ'אט, ולא רואה בצ'אט הזה צ'אט מוצפן מקצה לקצה.

ב-WhatsApp Cloud API

WhatsApp Cloud API הוא החיבור הרשמי של Meta לעסקים, שדרכו בוטים שולחים ומקבלים הודעות. לפי Meta (Meta for Developers, Data Privacy & Security):

• הדרך של ההודעה. ההודעה עוברת מוצפנת בין הלקוח ל-Cloud API. שם היא נפתחת ומועברת לעסק. בכיוון ההפוך, Cloud API מצפין את ההודעה בפרוטוקול Signal לפני שהיא נשלחת ללקוח.
• מי מחזיק את המפתחות. Cloud API מנהל את מפתחות ההצפנה בשם העסק.
• התפקיד של Meta. במקומות שהחוק מכיר במושג "מעבד מידע" (מי שמטפל במידע בשביל מישהו אחר), Meta פועלת כמעבד מידע בשם העסק. Cloud API משתמש בהודעות רק בשם העסק ולפי ההוראות שלו, ולא משתמש בהן אוטומטית כדי לקבוע אילו פרסומות אדם רואה.
• כמה זמן נשמר. הודעות נשמרות לכל היותר 30 יום, למשל כדי לשלוח שוב הודעה שלא הגיעה. הודעות שנשמרות מוצפנות.
• איפה. ההודעות מעובדות בשרתים במרכזי הנתונים של Meta.
• הסמכות. לפי Meta, יש לה דוחות SOC 2 Type II ו-ISO 27001 (שני תקנים בינלאומיים לבקרת אבטחת מידע) עבור Cloud API.
• החובות שלכם. לפי Meta, לקוחות Cloud API צריכים לעמוד בעצמם בחובות שלהם לפי חוקי הגנת מידע.

המשמעות המעשית: אחרי שההודעה עוברת ל-CRM או לבוט, ההגנה עליה תלויה במערכות האלה ובהגדרות שלכם.

מה HighLevel (GoHighLevel) מפרסמת על אבטחה?

GoHighLevel היא מערכת CRM שמשמשת עסקים לניהול לקוחות, תורים והודעות. בעמוד האבטחה הרשמי שלה, HighLevel כותבת (HighLevel, Security and Compliance Overview):

• הצפנה. כל המידע מוצפן בזמן מעבר ב-TLS 1.2 או 1.3, ומידע הפלטפורמה נשמר בהצפנת AES-256.
• איפה המידע. האירוח הוא אצל ספקי ענן כמו Google Cloud ו-AWS, והתשתית נמצאת בארצות הברית.
• גיבויים. גיבויים נשמרים שבעה ימים לכל מסד נתונים. אנשי קשר ופריטים נוספים שנמחקו אפשר לשחזר מסל המחזור עד 30 יום.
• הרשאות. הלקוח יוצר משתמשים, נותן להם הרשאות ומגביל גישה.
• כניסה. מדיניות סיסמה של לפחות 8 תווים עם אותיות גדולות וקטנות, מספרים ותווים מיוחדים. מנהלים יכולים לחייב את כל המשתמשים להפעיל אימות דו-שלבי.
• גישה של עובדי HighLevel. עובדי תמיכה יכולים לקבל גישה מוגבלת לחשבון לעד 24 שעות, וכל בקשה כזו מתועדת.
• מחיקה. המידע נשמר כל עוד אתם לקוחות. אפשר לבקש בכתב למחוק מידע מסוים.
• אירוע אבטחה. HighLevel כותבת שתודיע ללקוחות כנדרש בחוק אם תדע על פריצה שפוגעת במידע האישי שלהם.

עוד שני דברים חשובים מאותו עמוד:

• מידע רגיש. לפי HighLevel, אין להשתמש במוצרים שלה כדי לאסוף או לשמור מידע רגיש, כולל מידע בריאותי או פיננסי, "except as otherwise permitted" (אלא אם הותר אחרת). לפני שמכניסים מידע רפואי למערכת, בדקו עם עורך דין מה זה אומר במקרה שלכם.
• המסמך לא מחייב. HighLevel כותבת שהעמוד לא יוצר התחייבות חוזית.

HighLevel הודיעה שקיבלה הסמכת SOC 2 Type II בתחומי אבטחה, סודיות וזמינות (HighLevel, SOC 2 Type II). היא גם תומכת באימות דו-שלבי עם אפליקציה (כמו Google Authenticator), ונותנת עשרה קודי גיבוי חד-פעמיים (HighLevel, Authenticator App 2FA).

איך זה נראה אצלנו ב-Gitomate?

מניסיון שלנו ב-Gitomate (גיטומייט), הבוטים שאנחנו מקימים עובדים על WhatsApp Cloud API הרשמי, והעסק שומר על מספר הוואטסאפ שלו. הבוט עובד עם Google Calendar ועם היומן של GoHighLevel, הלקוח יכול להזיז או לבטל תור דרך הבוט, ותזכורות יוצאות בוואטסאפ, ב-SMS ובמייל. כשצריך, השיחה עוברת לאדם בצוות.

מבחינת אבטחת מידע, זה אומר שאפשר לבנות תהליך שבו הבוט מטפל רק בתור עצמו, ושאלות רגישות עוברות לאדם. זה תואם את ההמלצה של הרשות להעביר רק את המינימום הדרוש (מסמך המדיניות). זה הניסיון שלנו, ולא קביעה שזה מספיק כדי לעמוד בחוק.

רשימת בדיקה לבעלי עסקים

הרשימה מבוססת רק על המקורות שבכתבה. היא לא מחליפה בדיקה של עורך דין או ממונה הגנת פרטיות.

לפני שמתחילים

1. ☐ בדקו לאיזו רמת אבטחה המאגר שלכם שייך: יחיד, בסיסית, בינונית או גבוהה (תקנות אבטחת מידע).
2. ☐ אם יש לכם מידע רפואי, הניחו שזו לפחות רמה בינונית (התוספת הראשונה).
3. ☐ בדקו אם אתם חייבים למנות ממונה הגנת פרטיות (מדריך תיקון 13).
4. ☐ החליטו אילו פרטים הבוט באמת צריך לשאול, ואל תבקשו יותר (מסמך המדיניות).

ספקים

1. ☐ חתמו על הסכם בכתב עם כל ספק שמחזיק מידע בשבילכם, וקבעו בו מי מדווח לרשות על אירוע אבטחה (שאלות ותשובות על התקנות).
2. ☐ קראו את מסמכי האבטחה של Meta ושל HighLevel, ושימו לב איפה המידע נשמר וכמה זמן (Meta; HighLevel).

גישה וכניסה

1. ☐ תנו לכל עובד רק את ההרשאות שהוא צריך, ונהלו רשימה מעודכנת (תקנה 8).
2. ☐ הפעילו אימות דו-שלבי לכל המשתמשים ב-CRM (HighLevel).
3. ☐ קבעו חוקים לסיסמאות והחליפו אותן לפחות כל שישה חודשים ברמה בינונית וגבוהה (תקנה 9).
4. ☐ כשעובד עוזב, בטלו לו את הגישה מיד (תקנה 9(ג)).
5. ☐ הדריכו עובדים לפני שהם מקבלים גישה (תקנה 7).

טלפונים ומכשירים

1. ☐ שימו סיסמה חזקה ואימות דו-שלבי על כל טלפון שמשמש לוואטסאפ של העסק (מסמך המדיניות).
2. ☐ אל תשמרו מידע רפואי במכשירים אישיים, ובדקו שהוא לא נשמר בגיבוי ענן פרטי (שם).
3. ☐ העבירו מידע רפואי למערכת המיועדת לכך, ומחקו אותו מהצ'אט כשאין בו צורך (שם).

כשמשהו משתבש

1. ☐ כתבו נוהל קצר: מי מגלה, מי בודק, מי מדווח (תקנה 11(ב)).
2. ☐ תעדו כל אירוע אבטחה (תקנה 11(א)).
3. ☐ על אירוע חמור, דווחו לרשות מיד, ואל תחכו לסוף הבדיקה. אפשר להשלים פרטים אחר כך (טופס הדיווח; הודעת הרשות).

שאלות נפוצות

אם WhatsApp מוצפן, אני עדיין צריך לדאוג?

כן. לפי WhatsApp, אחרי שההודעה מגיעה לעסק, היא כפופה לנהלי הפרטיות של העסק (WhatsApp). ב-Cloud API ההודעה נפתחת ומועברת לעסק (Meta). מה שקורה אחר כך תלוי בכם.

Meta שומרת את ההודעות של הלקוחות שלי?

לפי Meta, ב-Cloud API הודעות נשמרות לכל היותר 30 יום, והן מוצפנות בזמן השמירה (Meta).

איפה נשמר המידע ב-GoHighLevel?

לפי HighLevel, התשתית שלה נמצאת בארצות הברית, אצל ספקי ענן כמו Google Cloud ו-AWS (HighLevel).

תוך כמה זמן צריך לדווח על פריצה?

התקנות אומרות "באופן מיידי". לפי הרשות, זה בסמוך ככל האפשר לגילוי וללא דיחוי (שאלות ותשובות על התקנות).

SOC 2 של הספק אומר שאני עומד בחוק הישראלי?

לא. Meta כותבת שהלקוחות צריכים לעמוד בעצמם בחובות שלהם (Meta). לפי התקנות, האחריות לאבטחת המאגר היא קודם כול של בעל המאגר (תקנות אבטחת מידע).

Gitomate עומדת בדרישות של חוק הגנת הפרטיות?

אנחנו לא מצהירים על זה בכתבה. העמידה בחוק תלויה גם במה שאתם שומרים, במי שמקבל גישה ובהגדרות שלכם. בקשו מעורך דין או מממונה הגנת פרטיות לבדוק את המקרה שלכם.

רוצים בוט וואטסאפ שמבקש רק את מה שצריך?

שלחו הודעה לגיל בוואטסאפ: ‎+66 82 160 5903, כתבו ל-Gitomateautomation@gmail.com, או היכנסו ל-gitomate.ai.

הבהרה משפטית

• מידע כללי בלבד. הכתבה נכתבה על ידי Gitomate (גיטומייט), שמוכרת שירותי CRM, בוטים וסוכני AI לוואטסאפ, ולכן יש לה עניין מסחרי בנושא. המידע בה כללי, ומבוסס על מקורות ציבוריים באינטרנט כפי שהופיעו ביום הכתיבה. הוא נכון ליום 21 באוקטובר 2026.
• לא ייעוץ ואין תוקף משפטי. המידע אינו ייעוץ משפטי, אינו ייעוץ מס ואינו ייעוץ מקצועי מכל סוג. אין לו תוקף משפטי, והוא לא תחליף לבדיקה של עורך דין, רואה חשבון או איש מקצוע אחר שמכיר את העסק שלכם.
• המידע יכול להשתנות. Meta, ‏WhatsApp, ‏HighLevel, ‏Google והמחוקק יכולים לשנות מחירים, כללים, תנאים וחוקים בכל זמן. לפני כל החלטה, בדקו את המקורות הרשמיים המקושרים בכתבה, בנוסח העדכני שלהם. הנוסח המקורי של כל מקור הוא הקובע.
• אין אחריות. Gitomate לא אחראית לכל פעולה, החלטה, נזק או הפסד שנובעים מהסתמכות על המידע בכתבה. כל החלטה על סמך המידע היא באחריות הקורא בלבד.
• אין קשר לחברות שמוזכרות. Gitomate היא עסק עצמאי. היא לא חלק מ-Meta, ‏WhatsApp, ‏HighLevel או Google, לא מדברת בשמן, והן לא אישרו את הכתבה. השמות שלהן הם סימנים מסחריים של בעליהם, ומוזכרים רק כדי לתאר את השירותים.
• ציטוטים, דעות וניסיון. ציטוטים מובאים בתרגום חופשי שלנו, עם קישור למקור. מה שמסומן "לדעתנו", "מניסיון שלנו" או "הדעה של גיל" הוא דעה או ניסיון של Gitomate ושל גיל, ולא עובדה מגובה במקור. דוגמאות וחישובים הם המחשה בלבד, ולא הצעת מחיר.
• הודעות שיווק. העסק ששולח הודעה שיווקית אחראי לקבל הסכמה כנדרש בסעיף 30א לחוק התקשורת ובמדיניות של WhatsApp.
• פרטיות. מידע על מצב בריאות הוא "מידע בעל רגישות מיוחדת" לפי חוק הגנת הפרטיות (תיקון 13). בעל המאגר אחראי לאבטחה שלו. מידע נוסף באתר הרשות להגנת הפרטיות.

עודכן לאחרונה: 21 באוקטובר 2026.

מקורות

• תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, קובץ התקנות 7809 (8.5.2017): https://www.law.co.il/media/computer-law/data_security_regulations_2017.pdf
• תקנות הגנת הפרטיות (אבטחת מידע), נוסח בנבו: https://www.nevo.co.il/law_html/law00/144811.htm
• המדריך המלא לתקנות אבטחת מידע (אתר הממשלה): https://mr.gov.il/ilgstorefront/he/p/attachment/005056BF4F1A1FE08BE61858095CB2E9/%D7%9E%D7%A2%D7%A0%D7%94%20%D7%9C%D7%A9%D7%90%D7%9C%D7%95%D7%AA%20%D7%94%D7%91%D7%94%D7%A8%D7%94
• הרשות להגנת הפרטיות, שאלות ותשובות על תקנות אבטחת מידע: https://www.gov.il/he/pages/data_security_fqa?chapterIndex=4
• הרשות להגנת הפרטיות, דיווח על אירוע אבטחה חמור: https://www.gov.il/he/service/report-of-data-breach
• הרשות להגנת הפרטיות, מדריך מקצועי לתיקון 13: https://www.gov.il/he/pages/guide_tikon13_professional
• הרשות להגנת הפרטיות, מדיניות אי-אכיפה זמנית למינוי ממונה: https://www.gov.il/he/pages/enforcement25
• הרשות להגנת הפרטיות, עיצום כספי על קופת חולים מאוחדת (21.07.2026): https://www.gov.il/he/pages/21072026-1
• הרשות להגנת הפרטיות, מסמך מדיניות על העברת מידע רפואי באמצעים דיגיטליים: https://www.gov.il/he/pages/medical_information_share
• WhatsApp Help Center, About end-to-end encryption: https://faq.whatsapp.com/820124435853543
• Meta for Developers, Data Privacy & Security (Cloud API): https://developers.facebook.com/documentation/business-messaging/whatsapp/data-privacy-and-security
• HighLevel, Security and Compliance Overview: https://help.gohighlevel.com/support/solutions/articles/155000000574-highlevel-security-and-compliance-overview
• HighLevel, Achieves SOC 2 Type II Certification: https://help.gohighlevel.com/support/solutions/articles/155000007495-highlevel-achieves-soc-2-type-ii-certification
• HighLevel, Authenticator App Support for 2FA: https://help.gohighlevel.com/support/solutions/articles/155000005534-authenticator-app-support-for-two-factor-authentication-2fa-