מה נשמר, מי יכול לקרוא,
ומה קורה כשמוחקים.

מה נשמר, ואיפה

הנתונים שמורים בשרתים באיחוד האירופי, תחת כללי הגנת הפרטיות האירופיים. אלה הדברים שנשמרים, וזה הכול:

מי יכול לקרוא

לכל משתמש יש מפתח הצפנה משלו, שנשמר במקום נפרד מהשיחות עצמן. את השיחות שלכם אנחנו לא קוראים.

זה לא ניסוח שיווקי, זו הסיבה שבנינו את זה ככה: מי שמסתכל על מסד הנתונים רואה בליל תווים. כדי לפענח הודעה צריך את המפתח האישי, וכל שימוש במפתח נרשם ביומן ביקורת. מפתח של משתמש אחד לא פותח הודעה של משתמש אחר, גם לא בטעות.

מה כן גלוי לנו, ביושר: המידע שמסביב, ולא התוכן. מתי נכנסתם, כמה שיחות יש, כמה הודעות בכל אחת, כמה עלתה כל בקשה. אנחנו צריכים את זה כדי להפעיל את השירות ולדעת שהוא לא נשבר. אנחנו לא צריכים בשביל זה לדעת מה כתבתם, ולכן גם לא יודעים.

ויש דבר אחד שאנחנו כן קוראים, כי אתם בוחרים לשלוח אותו: כשתשובה של פרק לא עוזרת ואתם מסמנים אותה, נפתח שדה שבו אפשר לכתוב לנו מה היה חסר. מה שנכתב שם נקרא על ידינו, ומשמש רק כדי לשפר את פרק. במסך עצמו כתוב את זה במפורש לפני שכותבים, השדה אינו חובה, ואפשר לדרג בלי לכתוב מילה. ההערה נשמרת מוצפנת כמו כל תוכן אחר, היא חוזרת בייצוא הנתונים שלכם, והיא נמחקת יחד עם השיחה או עם החשבון.

הרגע שבו הטקסט יוצא החוצה

זה החלק שרוב השירותים לא כותבים בעמוד כזה, ולנו הוא נראה החשוב ביותר.

כדי שפרק יענה, השיחה צריכה להגיע למודל השפה שמנסח את התשובה. באותו רגע הטקסט אינו מוצפן במפתח שלכם: הוא נשלח בערוץ מוצפן לספק המודל, ושם הוא נקרא כטקסט. הצפנת המפתח האישי מגנה על מה ששמור אצלנו, לא על השנייה שבה המילים עוברות למודל.

מה כן מוגן שם: לפי תנאי ה-API של הספקים, השיחות אינן משמשות לאימון מודלים, ונמחקות אצלם בתוך כשלושים יום. אנחנו עובדים על הסכם מחמיר מזה, ללא שמירה כלל ועם עיבוד באירופה, ונעדכן כאן ביום שייחתם.

מה שנשלח הוא ההודעות של השיחה הנוכחית והסיכום שפרק זוכר, ולא כל ההיסטוריה שלכם.

מה פרק זוכר עליכם

הזיכרון של פרק הוא סיכום מוצפן אחד שנבנה מהשיחות, וזה מה שמאפשר לו לחבר בין משהו שאמרתם היום למשהו שאמרתם לפני שלושה שבועות. הוא לא תמליל, הוא תמצית.

באפליקציה יש מסך אחד בשם "מה פרק זוכר עליי". אפשר לפתוח אותו בכל רגע, לקרוא מילה במילה מה כתוב שם, ולמחוק. מחיקה היא מחיקה: הסיכום לא נבנה מחדש מהחומר שנמחק, ולא חוזר בהודעה הבאה.

יש נושאים שפרק לא מכניס לזיכרון הקבוע מלכתחילה, גם אם עלו בשיחה, ובהם בריאות ומצוקה. הבחירה הזאת מכוונת: לא כל דבר שנאמר פעם אחת ראוי שיישאר.

לקחת הכול, או למחוק הכול

ייצוא: מתוך ההגדרות אפשר להוריד את כל המידע שלכם כקובץ אחד, בלי לבקש רשות ובלי לחכות לאישור.

מחיקה: מחיקת חשבון מוחקת את השורות עצמן, בכל הטבלאות, יחד עם המשתמש שמחזיק את המייל ואת הטלפון ואת יומן הכניסות. במקביל מושמד מפתח ההצפנה האישי, כך שגם אם שרד איפשהו עותק מוצפן, אין בעולם דרך לקרוא אותו. הכול קורה בפעולה אחת: או שהכול נמחק, או שכלום לא נמחק והחשבון נשאר חסום עד שהמחיקה מושלמת.

וגם כאן, ביושר על הגיבויים: למערכת יש גיבויים מתחלפים, כמו לכל שירות רציני, והם קיימים כדי שתקלה לא תמחק את הנתונים של אף אחד. חשבון שנמחק נעלם מיד מהמערכת החיה, והגיבויים שעדיין מכילים אותו מתחלפים ונמחקים סופית בתוך עד ארבעה עשר יום. אנחנו מעדיפים לכתוב את זה מאשר להבטיח "נמחק ברגע" ולא לדייק.

ורגע אחד על בטיחות

לפני שפרק עונה, רכיב נפרד בודק אם ההודעה מעידה על מצוקה חריפה. אם כן, האימון נעצר ופרק מפנה בחום לער"ן, 1201, זמין בכל שעה.

הרכיב הזה שומר תיעוד שקרה אירוע, כדי שנוכל לשפר אותו, בלי תוכן ההודעה עצמה. אנחנו רואים שמשהו קרה, לא מה נאמר.

האתר הזה

ספירת הצפיות באתר נעשית בכלי שאינו מציב עוגיות ואינו בונה מזהה אישי למבקר. אנחנו רואים כמה אנשים ביקרו ובאיזה עמוד, לא מי הם.

אין באתר הזה פיקסלים של פרסום ואין בו תגי מעקב של רשתות מודעות. תג Google Ads שפעל כאן בעבר הוסר, ואיננו מודדים המרות של מודעות. ספירת הצפיות היא כלי המדידה היחיד שהעמודים טוענים.

ומיום ההשקה יהיו כאן קישורי הורדה ל-App Store, וגם את זה נאמר מראש: מי שהגיע לעמוד מקישור קמפיין, הקישור לחנות נושא עבורו אסימון קמפיין קצר בשם ct, ו-Apple מקבלת אותו ברגע הלחיצה. זה שם הקמפיין שהיה בכתובת העמוד, כלומר utm_campaign, ובהיעדרו utm_source, מנוקה לאותיות לועזיות, ספרות, מקף וקו תחתון ומקוצר ל-40 תווים. הוא נשלח כדי שנדע איזה קמפיין הביא הורדה, ואין בו מייל, טלפון, שם או מזהה אישי, ואין בו שום דבר מהאפליקציה או מהשיחות. מי שהגיע לעמוד ישירות ולא מקישור קמפיין, הקישור לחנות נשאר כפי שהוא ולא נשלח כלום. כמו בכל מעבר לאתר אחר, Apple רואה גם את כתובת ה-IP ואת סוג הדפדפן. בעמוד ההרשמה לבטא, מי שבחר אייפון מקבל אחרי השליחה קישור להצטרפות לבטא דרך TestFlight של אפל. זהו קישור רגיל ללחיצה, בלי אסימון קמפיין ובלי שום פרט נוסף, וכמו בכל מעבר לאתר אחר Apple רואה את כתובת ה-IP ואת סוג הדפדפן.

מי שנרשם לרשימת הגישה המוקדמת משאיר מייל, ומשתמשים בו רק כדי לעדכן על פרק. הטופס עצמו נשלח דרך Formspree, שירות שקולט טפסים ומעביר אותם אלינו במייל. מה שנשלח אליו הוא כתובת המייל, שדה junction שמציין מאיזה עמוד נשלח הטופס, ולפי הטופס גם שדה source, הטקסט החופשי בבקשת צומת חדש (wanted), ושלוש התשובות שנבחרו במסלול השאלות, ששמות השדות שלהן משתנים לפי העמוד: topic בכל ארבעת עמודי הצמתים, ולצידו with_whom ו-blocker בעמוד ההורות, או pattern ו-goal בעמודי הניהול, הזוגיות והלימודים. מי שסימן את הבחירה לקבל עדכון על גרסת אנדרואיד שולח גם platform בערך android. מי שהגיע מקישור קמפיין שולח גם utm_source, utm_medium ו-utm_campaign מכתובת העמוד. בטופס ההרשמה לבטא, שבעמוד ההרשמה לבטא, נשלחים כתובת המייל, שדה junction עם הצומת שנבחר בטופס עצמו (manager, parents, couples או students), שדה device בערך ios או android, שדה age18 בערך yes שמציין שהנרשם אישר שהוא בן 18 ומעלה, ושדה source בערך beta. כמו כל שירות שמקבל שליחת טופס, Formspree רואה גם את כתובת ה-IP ואת סוג הדפדפן של השולח. Formspree אינו נוגע באפליקציה, בחשבונות או בתוכן השיחות.

שאלה, או משהו שנראה לא מדויק

אם משהו בעמוד הזה לא מסתדר לכם, או שאתם רוצים לדעת דבר שלא כתוב כאן, כתבו לנו: hello@perek.app. עמוד שמתיימר להיות כן נמדד בשאלות שהוא מזמין.