לפני הטכנולוגיה - לפני בחירת ספק, לפני אינטגרציה, לפני הטמעה - מנהלי תפעול ואחראי אבטחת מידע (CISO) שואלים שאלה אחת: האם זה בטוח לתמלל את השיחות שלנו עם לקוחות? התשובה הקצרה היא כן, אבל היא דורשת התייחסות מסודרת לחמש שכבות שונות של דרישות. המאמר הזה מסכם את החובות והפרקטיקות הנדרשות.
1. חוק הגנת הפרטיות הישראלי
חוק הגנת הפרטיות בישראל מגדיר "מידע אישי" באופן רחב, ושיחות שמכילות שם, תעודת זהות, כתובת או כל פרט מזהה אחר נכנסות להגדרה.
החוק מחייב:
- בסיס חוקי לעיבוד: לרוב הסכמה מהלקוח (לפעמים מסומנת ב-IVR), או "אינטרס לגיטימי" של בעל המוקד לאחר ניתוח מאזן זכויות
- שקיפות: ליידע את הלקוח שהשיחה מוקלטת ומתומללת לצרכי שירות ואיכות
- צמצום מידע: לעבד רק מה שנחוץ באמת
- תקופת שמירה מוגדרת: לא לשמור לנצח
המעבר ממדיניות הקלטה (שכבר קיימת ברוב המוקדים) למדיניות תמלול+ניתוח דורש עדכון מפורש של מדיניות הפרטיות וההסכמים מול נותני השירות.
2. GDPR (לעסקים עם לקוחות באירופה)
אם המוקד מטפל בלקוחות באיחוד האירופי - GDPR חל. הדרישות חופפות בחלקן לחוק הישראלי אבל קפדניות יותר בכמה נקודות:
- Data Processing Agreement (DPA) עם ספק התמלול
- זכות מחיקה: ללקוח זכות לדרוש מחיקת התמלול והאודיו שלו
- תיעוד פעילויות עיבוד (Article 30 records)
- התראה על הפרה תוך 72 שעות במקרה של breach
ספק תמלול AI שלא חתום על DPA ולא יודע להסביר בבירור את ה-data processing chain שלו - זה דגל אדום.
3. רגולציה ענפית
יש ענפים שבהם הדרישות חורגות מעבר לחוק הפרטיות הכללי:
- ביטוח ופנסיה: דרישות הרגולטור (רשות שוק ההון) לתיעוד שיחות מכירה לפוליסות מסוימות. כדאי לוודא שהמערכת תומכת ב-retention שתואם לתקופה שהרגולציה דורשת (לפעמים 7 שנים).
- בנקאות ופיננסים: דרישות בנק ישראל לתיעוד שיחות הזמנה ופעולות פיננסיות. כאן צריך לוודא שהמערכת יודעת לחפש ולהציג שיחה ספציפית כשהרגולטור מבקש.
- רפואה: שיחות עם מטופלים נופלות תחת חוק זכויות החולה. תמלול אוטומטי דורש הסכמה מפורשת.
4. אבטחת מידע טכנית
מעבר לדרישות החוק, יש דרישות טכניות בסיסיות:
- הצפנה באחסון (at rest): אודיו ותמלילים נשמרים מוצפנים, לא בטקסט פתוח
- הצפנה בתעבורה (in transit): TLS על כל תקשורת בין מערכות
- בידוד נתונים בין לקוחות (tenant isolation): הנתונים של חברה אחת לא נחשפים לחברה אחרת באותה פלטפורמת SaaS
- בקרת גישה: רק אנשים מורשים יכולים לקרוא תמלילים, עם תיעוד ב-audit log
- תקני אבטחה: SOC 2, ISO 27001 או דרישות מקבילות
Nivision פועלת לפי הסטנדרטים האלה - וכדאי לוודא שכל ספק שאתם בוחנים עומד בהם לפני שמתחילים.
5. שקיפות לנציגים
הנקודה שלפעמים נשכחת: הנציגים עצמם. כשהמוקד מטמיע מערכת שמנתחת את כל השיחות שלהם, צריך:
- לעדכן אותם מראש, לפני שהמערכת מתחילה לפעול
- להסביר למה המערכת קיימת (איכות, אימון, לא ענישה)
- לעדכן הסכמי עבודה במידת הצורך
- לקבוע מדיניות שקופה לגבי האופן שבו הנתונים משמשים בהערכת ביצועים
מוקדים שמטמיעים בלי שקיפות לנציגים נתקלים בבעיות יחסי עבודה. מוקדים ששקופים מההתחלה רואים קבלה הרבה יותר טובה.
אז זה בטוח?
כן - אם עוברים על חמש השכבות. תמלול שיחות AI הוא תהליך תקין מבחינה חוקית ואבטחתית, ובמקרים רבים אפילו מחזק את העמידה ברגולציה (כי הוא מאפשר חיפוש ותיעוד מסודר במקום ארכיון אודיו עיוור).
מה שלא בטוח: לעבוד עם ספק שלא יכול להציג DPA, לא חתום על תקני אבטחה, או שלא ברור איפה הנתונים מאוחסנים. כדאי לעבור על רשימת השאלות שלנו לספק לפני קבלת החלטה.
תקבלו תובנות על בינת שיחות
כתיבה מעשית על ביצועי מוקד, בקרת איכות ואימון - ישר לתיבה שלכם.
