Carli ("האפליקציה", "אנחנו") היא מלווה אישית לאנשים שעוברים אשפוז והחלמה. המידע הרפואי שנשמר כאן שייך למי שרשם אותו. המדיניות הזו מסבירה בשפה פשוטה מה נאסף, למה, ומה לעולם לא נעשה איתו.
פרטי חשבון. כתובת אימייל וסיסמה (נשמרת אך ורק בצורה מוצפנת חד-כיוונית אצל ספק האימות), ופרטי פרופיל שנבחר להוסיף (שם, מצב רפואי, העדפות טיפול).
מידע על בריאות ורווחה שנרשם באפליקציה. זה ליבת האפליקציה, והכול בהתנדבות: רישומי מצב רוח, דיווחי תסמינים, תרופות ואישורי נטילה, אירועים ותורים בלוח השנה, רשומות ביומן, שינה / שתייה / תזונה / הליכה / נשימה / מדיטציה / יוגה / יצירה, שאלות לרופא, אנשי קשר תומכים וחברי מעגל הטיפול, ומסמכים רפואיים שהועלו או נסרקו (תוצאות מעבדה, דוחות הדמיה, מרשמים וכדומה).
שיחות עם Carli (עוזרת ה-AI). ההודעות שנשלחות ל-Carli, והזיכרון ש-Carli שומרת כדי לעזור (למשל לוח הזמנים של התרופות). ניתן לראות יומן פעילות של מה ש-Carli עשתה, ולמחוק את הזיכרון שלה בכל רגע, בהגדרות ← פרטיות.
מיקום, רק בשימוש בתכונות מבוססות מיקום. באישור מפורש, מיקום המכשיר משמש לאיתור נותני שירות בקרבת מקום (בריכות, סטודיו, מטפלים) ולמדידת מפגשי הליכה. המיקום משמש לתכונות האלה בלבד ואינו משותף עם צדדים שלישיים לשום מטרה אחרת. כשיש הרשאת מיקום, מיקום מקורב (ברמת קילומטר) נשלח לשרת שלנו יחד עם ההודעות ל-Carli. הוא משמש רק לחיפוש מקומות קרובים, נשלח ל-Google רק בחיפוש כזה, ולא נשמר.
מצלמה, תמונות ותנועה, רק בשימוש בתכונות האלה. המצלמה סורקת מסמכים לתוך הרשומות הרפואיות וברקודים של מזון; ספריית התמונות משמשת בבחירה לצרף תמונה; חיישן התנועה סופר צעדים במהלך מפגשי הליכה.
מה איננו אוספים. אין מזהי פרסום, אין פרופיל פרסומי, אין העלאה של רשימת אנשי הקשר, אין מעקב מיקום ברקע, ואיננו מוכרים את הנתונים לאף אחד.
אך ורק כדי לספק את תכונות האפליקציה: להציג את הנתונים לבעל החשבון, להפעיל תזכורות שהוגדרו, ולאפשר ל-Carli לעזור. תכונות ה-AI מופעלות על ידי ספק מודל שפה גדול (Anthropic); ההודעות שנשלחות ל-Carli מעובדות כדי לייצר תשובות, ואינן משמשות לאימון המודל.
אנחנו מודדים איך נעשה שימוש באפליקציה, כדי לראות מה עוזר ומה מפריע. המדידה מתבצעת דרך PostHog.
מה נרשם: שנעשה שימוש בתכונה, ומתי — למשל שנפתח "זמן לעצמי", שנשלחה הודעה ל-Carli, שנרשם תסמין או שהועלה מסמך. הרישומים האלה מקושרים למזהה הפנימי של החשבון, לא לשם ולא לכתובת האימייל.
מה לא נרשם: שום דבר מהתוכן עצמו. רישום מצב רוח נספר בלי הערך; אירועים של תסמינים, תרופות, מסמכים ויומן נשלחים בלי שום פרט — בלי שם התסמין, בלי מינון, בלי שם הקובץ, ובלי טקסט מהיומן או מהשיחות עם Carli. זה נאכף בקוד, לא רק במדיניות: אירוע שנושא טקסט חופשי או פרט אישי נחסם לפני השליחה.
בשורה התחתונה: אנחנו רואים שנעשה שימוש בתכונה בריאותית ומתי, אבל לעולם לא מה נרשם בה. אפשר לבקש עותק של המידע הזה, או את מחיקתו, בכתובת help@carli.support.
לפעמים Carli מחפשת באינטרנט כדי לענות טוב יותר — כשמדובר במשהו שהתעדכן, בתרופה שמוכרת בעיקר בישראל, או כשעדיף לקבל תשובה עם מקור שאפשר לקרוא.
מה נשלח: המונח הרפואי שעליו נשאלה השאלה — שם של תרופה, של בדיקה או של מצב רפואי.
מה לא אמור להישלח: שם ופרטים אישיים אחרים. Carli מקבלת הנחיה מפורשת לא לכלול אותם בחיפוש, וכל חיפוש שהיא מריצה נבדק אצלנו אוטומטית באותו הרגע. אם בכל זאת מופיע פרט אישי — הוא מסומן, נרשם, ומגיע לבדיקה שלנו.
נאמר בכנות: זו הנחיה שנאכפת בבדיקה, לא מנעול טכני. בדיוק בגלל זה אנחנו בודקים כל חיפוש.
מה הבדיקה יודעת לזהות: הבדיקה משווה את החיפוש מול הפרטים ששמורים כבר בחשבון — השם, המצב הרפואי, התרופות, שמות אנשי המעגל והנושאים האחרונים. פרט אישי שנכתב בשיחה ושאיננו מחזיקים עליו מידע לא ייתפס בבדיקה הזו.
מי מריץ את החיפוש: Anthropic, ספק ה-AI שמפעיל את Carli, מבצעת את החיפוש בעצמה כחלק מאותה בקשה. כמו בכל חיפוש באינטרנט, המונח מגיע גם למנוע חיפוש.
מה נשמר אצלנו: נוסח החיפוש, כשהפרט האישי עצמו מוסתר מתוכו, יחד עם סוג הפרט (שם / מצב רפואי / תרופה / איש מעגל / נושא) ומיקומו בטקסט. כך אפשר לבדוק שהכלל נשמר בלי לשמור את הפרט עצמו.
כשמשהו רפואי משתנה — מינון של תרופה, רשימת האלרגיות, תור, איש צוות — נשמר גם הערך שהיה לפני השינוי, לא רק המצב הנוכחי.
למה: כדי שאפשר יהיה לענות על "מה השתנה מאז הביקור הקודם?" — שאלה שרופא שואל, ושבלי הרישום הזה אין עליה תשובה. עד עכשיו, שינוי של מינון פשוט דרס את המינון הקודם והוא נעלם.
מה נשמר: הערך הקודם והערך החדש של אותה שורה, התאריך, והאם השינוי הגיע מהחשבון עצמו או מתהליך אוטומטי של המערכת.
מי רואה את זה: רק בעל החשבון. ההיסטוריה נעולה לחשבון באותו מנגנון שמגן על שאר המידע הרפואי. גם בעל החשבון עצמו אינו יכול לערוך או למחוק ממנה רשומה — היסטוריה שאפשר לשנות לא שווה כלום כמקור מידע רפואי.
כמה זמן: 24 חודשים. שני דברים נשמרים לכל אורך חיי החשבון, כי בדיוק עליהם שואלים שנים אחרי: שינויים ברשימת האלרגיות, והפסקה של תרופה.
מחיקת חשבון: מוחקת גם את ההיסטוריה הזו, במלואה, יחד עם כל השאר.
כשמבקשים מ-Carli לפעול באתר של כללית — לקרוא שם מידע, לשמור מסמכים ברשומות, או לקבוע או לבטל תור לרופא משפחה — ההתחברות נעשית על ידי בעל החשבון עצמו: עם תעודת הזהות שלו, קוד שנשלח אליו ב-SMS, ואם האתר מבקש, גם קוד מתוך תמונה. קוד ה-SMS והקוד מהתמונה אינם נשמרים.
מה Carli יכולה לקרוא שם, כשמבקשים. תורים, תוצאות בדיקות מעבדה והפניות לבדיקות, מרשמים ותרופות קבועות, הפניות לרופאים והמסמכים שלהן, אבחנות ומדדים, חיסונים ורגישויות.
דרך מי זה עובר. כשמבקשים מ-Carli לפעול באתר קופת החולים, הבקשה עוברת דרך Browserbase, דפדפן מאובטח בישראל, רק לצורך הפעולה. דרכו עובר מה שהפעולה צריכה: פרטי ההתחברות שנמסרו לה, הבקשות לאתר, ומה שהאתר מחזיר. הקלטת הסשן ושמירת היומנים כבויות ב-Browserbase.
מה נשמר. מספר תעודת הזהות, מוצפן, כדי שבפעם הבאה לא יהיה צורך להקליד אותו שוב; וההתחברות הפעילה לאתר הקופה, מוצפנת, עד כ-30 דקות, כדי ש-Carli לא תבקש להתחבר מחדש בכל פעולה. אם מבקשים מ-Carli לשכוח את האתר, שניהם נמחקים; הם נמחקים גם עם מחיקת החשבון.
מה נעשה במידע. מה שנקרא מאתר הקופה משמש למענה על הבקשה. מסמכים שמבקשים מ-Carli לשמור נכנסים לרשומות, כמו כל מסמך שהוסף ידנית — ולכן חברי מעגל הטיפול שניתנה להם גישה לרשומות יכולים לפתוח אותם. יורד ונשמר רק המידע של בעל החשבון עצמו: מסמכים ופרטים של בני משפחה באותו חשבון קופה אינם יורדים ואינם נשמרים (לכל היותר מסומן בקבלה של המשימה כמה פריטים כאלה היו).
שום תור לא נקבע ולא מבוטל בלי אישור. Carli מציגה את התור שהיא עומדת לקבוע או לבטל, ואינה עושה דבר עד שמאשרים.
כשמבקשים מ-Carli לכתוב למרפאה או לעסק במייל, המייל יוצא מתיבת הג'ימייל של בעל החשבון עצמו. לשם כך מחברים את הג'ימייל פעם אחת, דרך המסך של Google עצמה.
מה Carli יכולה לעשות בתיבה. רק לשלוח. ההרשאה שמתבקשת מ-Google היא הרשאת שליחה בלבד, ולכן Carli אינה יכולה לקרוא אף מייל שנמצא בתיבה.
שום מייל לא יוצא בלי אישור. Carli מציגה את המייל המלא, הנמען, הנושא והטקסט, ושולחת אותו רק אחרי הקשה על אישור. במייל נכתב רק מה שהבקשה צריכה.
איך התשובה מגיעה. במייל יש כתובת לתשובה של Carli, נפרדת לכל משימה. כשהמרפאה עונה, התשובה מגיעה לתיבה של בעל החשבון כרגיל, ובדרך כלל גם לכתובת הזו. את המיילים שמגיעים לכתובת הזו מקבל Mailgun, ספק דואר עם שרתים באירופה, ומעביר אותם ל-Carli. Carli קוראת רק מיילים שנשלחו לכתובת של המשימה.
מה נשמר. המיילים של המשימה: מה ש-Carli שלחה ומה שחזר לכתובת שלה. הם נמחקים 30 יום אחרי שהמשימה נסגרת. ההרשאה לשליחה ש-Google נותנת נשמרת מוצפנת. ניתוק הג'ימייל מבטל את ההרשאה אצל Google ומוחק מיד את כל המיילים שנשמרו; גם מחיקת החשבון מוחקת אותם.
השימוש במידע מ-Google. השימוש של Carli במידע שמתקבל מממשקי Google והעברתו עומדים במדיניות נתוני המשתמש של שירותי ה-API של Google (Google API Services User Data Policy), כולל דרישות השימוש המוגבל (Limited Use).
| ספק | מטרה |
|---|---|
| Supabase | מסד נתונים, אימות ואחסון קבצים מוצפן עבור החשבון והנתונים הרפואיים |
| Fly.io | אירוח לשרת ה-AI של Carli |
| Anthropic | יצירת התשובות של Carli להודעות |
| Anthropic (חיפוש באינטרנט) | הרצת חיפוש כש-Carli צריכה מידע עדכני או תלוי-מדינה — נשלח המונח הרפואי; לא השם, לא מזהים, ולא הרשומה הרפואית |
| PostHog (US Cloud) | נתוני שימוש במוצר — באילו תכונות נעשה שימוש ומתי, מקושר למזהה הפנימי של החשבון; לעולם לא השם, האימייל, או תוכן שנרשם |
| RevenueCat | בדיקת סטטוס המנוי. מזהה החשבון נשלח בכל פתיחה של האפליקציה ב-iOS, גם בתקופת הפיילוט שבה איש אינו מחויב |
| Google (Places API) | איתור נותני שירות בקרבת מקום בעת חיפוש — נשלחים טקסט החיפוש ומיקום מקורב. טקסט החיפוש עצמו עשוי להיות חושפני (למשל "עיסוי אונקולוגי"), ולכן זה קורה רק בשימוש מפורש בתכונה. השם, החשבון והרשומות הרפואיות לעולם אינם נשלחים |
| Open Food Facts | בדיקת ערכים תזונתיים בסריקת ברקוד של מזון — נשלח מספר הברקוד בלבד |
| Expo | אספקת עדכוני אפליקציה, ואם הופעלו — התראות |
| OpenAI | המרה של מונחי חיפוש ושל הרשומות ש-Carli שומרת לצורה מספרית שמאפשרת למצוא אותן שוב — הטקסט נשלח להמרה ואינו משמש לאימון המודל |
| Sentry | איתור תקלות וקריסות, כדי שנוכל לתקן מה שנשבר. אינו מקושר לחשבון, ואינו נושא דבר מהתוכן שנרשם |
| MedlinePlus (NIH) / openFDA | חיפוש מונח רפואי או שם של תרופה, כדי שהתשובה של Carli תסתמך על מקור מוסמך — נשלח המונח בלבד, לא הזהות ולא הרשומות |
| Browserbase | דפדפן מאובטח שפועל מכתובת בישראל, לביצוע פעולה שביקשו מ-Carli באתר קופת החולים (כרגע: כללית). אליו מגיעות הבקשות ש-Carli שולחת לאתר הקופה, העמודים והנתונים שהאתר מחזיר במהלך הפעולה, וההתחברות הדרושה להשלמתה — רק כשמבקשים מ-Carli לפעול באתר קופת חולים, ולא לשום מטרה אחרת. הקלטת הסשן ושמירת היומנים כבויות |
| Google (Gmail) | שליחת המיילים ש-Carli כותבת בשם בעל החשבון, מתיבת הג'ימייל שלו ובהרשאת שליחה בלבד: רק אחרי שהג'ימייל חובר, ורק מייל שאושר |
| Mailgun (שרתים באירופה) | קבלת התשובות שנשלחות לכתובת התשובה של Carli במשימת מייל והעברתן ל-Carli. אליו מגיע תוכן התשובה, כולל מה שהמרפאה כתבה |
| YouTube / Spotify / Apple Music | ניגון תוכן רוגע שנבחר — התנאים שלהם חלים בזמן הניגון |
איננו מוכרים או משכירים מידע אישי לאף אחד, ואיננו משתפים מידע רפואי עם סוחרי מידע, מפרסמים, מבטחים או מעסיקים.
הנתונים מוצפנים בהעברה (TLS). קבצי רשומות רפואיות נשמרים באחסון פרטי ומוגשים דרך קישורים חתומים קצרי-מועד. הגישה למסד הנתונים מוגנת באבטחה ברמת השורה, כלומר רשומות של חשבון ניתנות לקריאה רק על ידי אותו חשבון מאומת.
למשתמשים באיחוד האירופי/EEA, בבריטניה או בישראל קיימות גם זכויות מכוח חוק לעיון, תיקון, מחיקה, הגבלה וניידות — והמנגנונים שלמעלה נועדו לממש אותן.
Carli אינה מיועדת לילדים מתחת לגיל 16. אם ידוע על ילד מתחת לגיל 16 שיצר חשבון ללא הסכמת אפוטרופוס, אפשר לפנות אלינו והחשבון יימחק.
Carli היא מלווה תומכת, לא מכשיר רפואי ולא תחליף לטיפול מקצועי. בכל החלטה רפואית חשוב להתייעץ עם הצוות המטפל.
אם המדיניות הזו תשתנה באופן משמעותי, נציין זאת באפליקציה ונעדכן את תאריך התחילה שלמעלה.
© 2026 Carli · help@carli.support