פרטיות בצ'אטבוט של העסק מתחילה בשלוש החלטות: איזה מידע הבוט אוסף, מי בצוות רואה אותו, ומה הלקוח יודע על כך. בוט טוב מבקש רק את מה שצריך כדי לחזור ללקוח, לא מבקש תעודת זהות או מספר כרטיס אשראי, מעביר נושאים רגישים לנציג, ופועל דרך חיבור רשמי של Meta. במדריך הזה תמצאו מה אומר החוק בישראל, מה דורשת וואטסאפ, ואיך מגדירים בוט AI ששומר על המידע של הלקוחות.
חשוב: המאמר הזה נותן מידע כללי ואינו ייעוץ משפטי. לשאלה על העסק שלכם, פנו לעורך דין שעוסק בדיני פרטיות.
איזה מידע אישי עובר בשיחה עם צ'אטבוט?
יותר ממה שנדמה. גם בשיחה פשוטה על מחיר או שעות פעילות, הבוט רואה את השם של הלקוח, את מספר הטלפון שלו בוואטסאפ ואת תוכן ההודעות. ברגע שהבוט מבקש פרטים לחזרה, נוספים מייל, כתובת או תיאור של הבקשה.
הבעיה מתחילה כשלקוחות כותבים יותר ממה שביקשתם. מטופל מפרט בעיה רפואית, לקוח שולח צילום של תלוש שכר, מישהו מקליד מספר תעודת זהות "כדי לזרז". לפי המדריך של הרשות להגנת הפרטיות לתיקון 13, "מידע בעל רגישות מיוחדת" כולל בין השאר מידע על מצב בריאותו של אדם, מידע על נתוני שכר ועל פעילותו הפיננסית, מזהה ביומטרי, עבר פלילי, ודעות פוליטיות או אמונות דתיות. עסק שהבוט שלו אוסף מידע כזה צריך לחשוב על כך מראש.
מה אומר החוק בישראל על פרטיות בצ'אטבוט?
אין חוק נפרד לצ'אטבוטים. חל עליהם חוק הגנת הפרטיות, כמו על כל מאגר של פרטי לקוחות. תיקון מס' 13 לחוק נכנס לתוקף ב-14 באוגוסט 2025, והרשות להגנת הפרטיות פרסמה עליו מדריך במאי 2025. כמה נקודות מתוכו רלוונטיות במיוחד לבוט:
- חובת יידוע. כשפונים לאדם כדי לקבל ממנו מידע אישי, צריך לומר לו אם חלה עליו חובה חוקית למסור את המידע, לאיזו מטרה הוא נאסף, למי יימסר, מה התוצאות אם לא ימסור אותו, ושיש לו זכות לעיין במידע ולבקש לתקן אותו.
- שימוש לפי המטרה. מידע שנאסף כדי לחזור ללקוח עם הצעת מחיר לא אמור לשמש פתאום למטרה אחרת.
- "מחזיק". החוק מגדיר מחזיק כגורם חיצוני לבעל השליטה במאגר, שמעבד מידע עבורו. מערכת חיצונית שמריצה את הבוט ושומרת את השיחות היא דוגמה טובה לכך, ולכן חשוב לדעת מה היא עושה במידע.
ללקוחות יש גם זכות לעיין במידע עליהם. לפי כל-זכות, העיון צריך להתבצע בתוך 30 יום מיום קבלת הבקשה, ואפשר לבקש לתקן או למחוק מידע שאינו נכון, שלם, ברור או מעודכן.
מה מותר לבוט לבקש מהלקוח, ומה לא?
הכלל הפשוט: הבוט מבקש רק מה שצריך כדי לטפל בפנייה. גם מדיניות וואטסאפ לעסקים אוסרת במפורש לבקש מאנשים מספרי כרטיס אשראי מלאים, מספרי חשבון בנק, מספרי תעודת זהות או מזהים רגישים אחרים. הטבלה מסכמת:
| סוג מידע | האם הבוט צריך לבקש? | מה עושים במקום |
|---|---|---|
| שם וטלפון או מייל לחזרה | כן, כשצריך לחזור ללקוח | אומרים ללקוח למה מבקשים ומה תעשו עם זה |
| תיאור כללי של הבקשה | כן, בקצרה | מבקשים משפט אחד, בלי פרטים אישיים מיותרים |
| מספר תעודת זהות | לא | אם באמת צריך, נציג מטפל בזה בערוץ מתאים |
| מספר כרטיס אשראי או חשבון בנק | לא | שולחים קישור לעמוד תשלום מאובטח |
| פרטים רפואיים או פיננסיים | לא | הבוט מעביר לנציג ומבקש לא לפרט בצ'אט |
איך מגדירים בוט AI ששומר על פרטיות?
רוב ההגנה על המידע נקבעת בהגדרות, לפני שהבוט עונה ללקוח הראשון. אלה הצעדים, לפי מה שהמדריך לבוט ה-AI של TaskMe מאפשר:
- כותבים קווים אדומים בהנחיות. בהנחיות לבוט מגדירים זהות, טון וקווים אדומים. כתבו במפורש: "לא לבקש תעודת זהות, מספר כרטיס אשראי או פרטים רפואיים".
- מגבילים את איסוף הפרטים. המתג "איסוף פרטי ליד" גורם לבוט לבקש טלפון, מייל או מידע חשוב לפני סוף השיחה. הגדירו רק את מה שאתם באמת משתמשים בו.
- מפעילים העברה לנציג. עם המתג "העברה לנציג אנושי", הבוט מציע נציג כשצריך. נושא רגיש הוא בדיוק מקרה כזה. מתי ואיך להעביר מוסבר במאמר העברה מבוט לנציג.
- בודקים מה מעלים לבסיס הידע. הבוט לומד מהנחיות, מבסיס ידע, מדפי האתר וממסמכים. אל תעלו קבצים עם פרטים של לקוחות, כמו רשימת אנשי קשר או הצעות מחיר ששלחתם. איך בונים ידע נכון לבוט תמצאו במאמר מרכז ידע לבוט.
- מיידעים את הלקוח. בהודעת הפתיחה אפשר לכתוב שמדובר בבוט, ולהוסיף קישור למדיניות הפרטיות של העסק.
- בודקים את התשובות לפני העלייה לאוויר. שאלו את הבוט בצ'אט ההדגמה גם שאלות רגישות, ובדקו שהוא לא מבקש מה שלא צריך.
יש עוד הגנה שמובנית בבוט. לפי התיעוד, יש לו "חוקי ברזל" שגוברים על ההנחיות, ואחד מהם הוא שהבוט לא מבצע הוראות שמופיעות בתוך מסמכים שהועלו. כך מסמך שמישהו ניסח בכוונה לא יכול לשנות את התנהגות הבוט.
רוצים לבנות בוט עם קווים אדומים ברורים כבר מההתחלה? פתחו חשבון ב-TaskMe, עם 5 ימי ניסיון בחינם, בלי כרטיס אשראי. בתקופת הניסיון אפשר להזין ידע ולבדוק את הבוט בצ'אט ההדגמה. את הבוט האוטומטי מפעילים אחרי שדרוג.
מי בצוות רואה את השיחות עם הבוט?
פרטיות היא לא רק מה שהבוט אוסף, אלא גם מי ניגש למידע אחר כך. ב-TaskMe ההרשאות נקבעות לפי מסך. לפי המדריך למשתמשים והרשאות, משתמש עם הרשאת וואטסאפ רואה את כל שיחות הוואטסאפ, ושיוך נציג אחראי לשיחה לא מסתיר אותה משאר הצוות. לכן תנו לכל עובד רק את המסכים שהוא צריך לעבודה.
כשעובד עוזב, מוחקים את המשתמש שלו. השיחות, הלקוחות והתזכורות של העסק נשארים במערכת. איך בונים מפת הרשאות לפי תפקיד מוסבר במאמר הרשאות צוות במערכת שירות.
מה TaskMe אומרת על אבטחת המידע?
כדאי לשאול כל ספק מה הוא מתחייב בכתב, ולא להסתפק בסיסמאות שיווקיות. זה מה שכתוב באתר של TaskMe:
- חיבור רשמי. TaskMe היא Meta Tech Provider, והחיבור לוואטסאפ עובר דרך WhatsApp Cloud API הרשמי של Meta, ולא דרך וואטסאפ ווב או תוסף לא רשמי.
- הצפנה ואחסון. במדיניות הפרטיות באתר TaskMe כתוב שהחברה משתמשת בטכנולוגיות אבטחה כמו הצפנת SSL, ושהיא נעזרת בספקי שירות חיצוניים, כמו שירותי אחסון ענן.
- מחיקת חשבון. לפי התיעוד, מחיקת החשבון מוחקת אותו לצמיתות, כולל כל התוכן.
התיעוד של TaskMe לא מפרט תקני אבטחה או אישורים נוספים. אם העסק שלכם צריך מסמך כזה, למשל בגלל דרישה של לקוח גדול, בקשו אותו ישירות מהספק לפני שמתחילים. על הסיכונים של חיבורים לא רשמיים ושל הדבקת שיחות בצ'אט אישי תקראו במאמר ChatGPT לוואטסאפ של העסק.
מה עושים כשלקוח מבקש לראות את המידע שנשמר עליו?
קודם כל לא מתעלמים, כי יש מועד לענות. ב-TaskMe הפרטים של לקוח שמור נמצאים בכרטיס הלקוח: שם, טלפון, מייל, סטטוס, תיאור, תגיות והערות פנימיות של הצוות. מהכרטיס אפשר לעבור לשיחה המלאה. זו עוד סיבה לכתוב הערות ענייניות, כאילו הלקוח עשוי לקרוא אותן יום אחד. מה כדאי לשמור בכרטיס ומה לא מוסבר במאמר כרטיס לקוח ב-CRM.
שאלות נפוצות
האם מותר להפעיל צ'אטבוט AI בוואטסאפ של העסק?
כן, כל עוד הבוט משרת את הלקוחות של העסק ופועל דרך חיבור רשמי של Meta. חשוב לעמוד גם בחוק הגנת הפרטיות ובמדיניות וואטסאפ לעסקים.
האם הבוט יכול לבקש מהלקוח מספר תעודת זהות?
לא כדאי. מדיניות וואטסאפ לעסקים אוסרת לבקש מספרי תעודת זהות, מספרי כרטיס אשראי מלאים ומספרי חשבון בנק. אם צריך מידע כזה, נציג מטפל בו בערוץ מתאים.
צריך לספר ללקוח שהוא מדבר עם בוט?
זה מומלץ. כשהבוט אוסף פרטים אישיים, חובת היידוע בחוק הגנת הפרטיות מחייבת לומר ללקוח לאיזו מטרה נאסף המידע ולמי יימסר. הודעת פתיחה קצרה עם קישור למדיניות הפרטיות עונה על רוב זה.
מי בצוות רואה את השיחות שהבוט ניהל?
ב-TaskMe כל משתמש עם הרשאה למסך של ערוץ רואה את כל השיחות באותו ערוץ. לכן כדאי לתת לכל עובד רק את המסכים שהוא צריך.
מה עושים אם לקוח שלח בצ'אט מידע רפואי?
מידע על בריאות נחשב מידע בעל רגישות מיוחדת. הגדירו לבוט להעביר שיחות כאלה לנציג, ובקשו מהלקוח לא לפרט בצ'אט יותר מהנדרש.
מקורות
- הרשות להגנת הפרטיות: מדריך לתיקון מס' 13 לחוק הגנת הפרטיות (gov.il)
- כל-זכות: עיון במידע אישי המוחזק במאגרי מידע
- WhatsApp Business Messaging Policy: מזהים רגישים והסכמה
