מה אנחנו יודעים עליך,
ומה אנחנו לא יכולים לדעת

מי אחראי למידע

חנן וייס, מעצמון-שגב, ישראל. לפניות בנושא פרטיות: hello@perek.app.

העיקרון

פרק נבנה כך שגם אנחנו לא נוכל לקרוא את השיחות שלך.

כל הודעה מוצפנת בנפרד לפני שהיא נשמרת, עם מפתח אישי שקיים רק עבורך. המפתח האישי עצמו שמור כשהוא עטוף במפתח-אב שנמצא במערכת ניהול המפתחות של Google, ולא אצלנו. מי שישיג גישה למסד הנתונים יראה טקסט מוצפן בלבד, ולא יוכל לפתוח אותו.

איזה מידע נשמר

• מזהה כניסה: מספר טלפון או כתובת מייל. זה המזהה היחיד שאנחנו מבקשים. אנחנו לא מבקשים גיל, כתובת או אמצעי תשלום.
• פרופיל: השם שביקשת שפרק יפנה אליך בו, ולשון הפנייה. שמור אצלנו לא מוצפן, כי פרק צריך לקרוא לך בשמך בכל הודעה. אין חובה לתת שם אמיתי, ואפשר לשנות אותו בהגדרות.
• תוכן השיחות: מה שכתבת ומה שפרק ענה. מוצפן.
• תקציר זיכרון: תקציר קצר שפרק כותב לעצמו כדי ללוות אותך לאורך זמן. מוצפן. אפשר לראות אותו ולמחוק אותו מההגדרות, במסך "מה פרק זוכר עליי".
• התקדמות: לאיזו דרך נרשמת ואילו פריטים סימנת כהושלמו. לא מוצפן, ואינו תוכן.
• שימוש: כמה הודעות שלחת ביום, לצורך המכסה ולניטור עלויות.
• אירועי בטיחות: רמה ותאריך בלבד, בלי שום תוכן. נשמר כדי שפרק יתנהג נכון בימים שאחרי, ולא כדי לתעד אותך.
• מנוי: אם המנוי פעיל ועד מתי. החיוב עצמו נעשה בחנות ולא אצלנו, ואנחנו לא רואים ולא שומרים פרטי תשלום.
• תזכורות: מוגדרות ונשמרות במכשיר שלך בלבד. אין לנו טוקן מכשיר ואיננו שולחים התראות מהשרת.
• משוב על תשובה: דירוג של אגודל למעלה או למטה, ולצדו סימון באיזו שיחה ובאיזה שלב בה. בלי תוכן. ואם בחרת לכתוב לנו מה היה חסר, גם הטקסט שכתבת שם, עד 500 תווים. זהו החומר היחיד באפליקציה שאנחנו קוראים בעצמנו, הוא נמסר מרצון בלבד, והשדה אינו חובה. מוצפן כמו כל תוכן אחר, נכלל בייצוא, ונמחק עם השיחה או עם החשבון.

אין באפליקציה כלי אנליטיקה של צד שלישי, אין פרסומות, ואין מזהי פרסום.

למה אנחנו משתמשים בו

כדי לספק את השירות, לאמת את הכניסה, לנהל את המנוי ואת המכסה, לשמור על בטיחות המשתמשים, ולשפר את המוצר. אנחנו לא מוכרים מידע ולא משתמשים בו לפרסום.

שיפור המוצר נעשה בלי לקרוא שיחות. אנחנו מסתכלים על הדירוגים ועל הנתונים שמסביבם (באיזו דרך, באיזה שלב בשיחה, האם התשובה נחסמה), ועל הטקסט שמשתמשים בחרו לכתוב לנו במפורש בשדה המשוב. את השיחות עצמן איננו קוראים לצורך הזה ולא לשום צורך אחר.

הבסיס החוקי לקריאת הטקסט הזה הוא אינטרס לגיטימי בשיפור השירות (סעיף 6(1)(f) ב-GDPR), יחד עם כך שהמסירה יזומה: השדה אינו חובה, ואפשר פשוט לא לכתוב בו.

אנחנו לא משתמשים בתוכן השיחות שלך כדי לאמן מודלים.

מי עוד מעורב

כדי להפעיל את השירות אנחנו נעזרים בספקים. כל אחד מהם מקבל את המינימום הדרוש לו:

• Supabase (מסד נתונים ואימות, שרתים באיחוד האירופי): מזהה הכניסה והשורות המוצפנות.
• Google Cloud (הרצת השרת וניהול מפתחות, אזור europe-west1): הרצת השירות והמפתח העטוף.
• Cloudflare: שכבת הגנה בכניסה לשירות, וגם ספירת הצפיות בעמודים השיווקיים (Cloudflare Web Analytics), שמקבלת את כתובת ה-IP ואת סוג הדפדפן של כל מבקר בעמודים האלה בלי להציב קובצי Cookie ובלי לבנות מזהה אישי.
• Twilio: שליחת קוד האימות ב-SMS. מקבל את מספר הטלפון בלבד.
• OpenAI, ספק המודל שמייצר את התשובות: מקבל את תוכן השיחה כדי לייצר תשובה, תחת תנאי ה-API שאוסרים שימוש בתוכן לאימון מודלים. אם נחליף ספק, נעדכן כאן לפני המעבר.
• RevenueCat, Apple ו-Google: ניהול המנוי והחיוב. אנחנו לא רואים פרטי תשלום.
• Resend (שליחת דואר, אזור אירלנד): מקבל את כתובת המייל ואת גוף ההודעה שאנחנו שולחים, למשל קוד כניסה או הזמנה. לא מקבל את תוכן השיחות.
• Apple (קישורי ההורדה ל-App Store בעמודים השיווקיים): מיום ההשקה יופיעו בעמודים קישורים לאפליקציה בחנות. מי שהגיע לעמוד מקישור קמפיין, נוסף לקישור לחנות אסימון קמפיין בשם ct, ו-Apple מקבלת אותו ברגע הלחיצה. האסימון הוא שם הקמפיין שהיה בכתובת העמוד, כלומר utm_campaign, ובהיעדרו utm_source, מנוקה לאותיות לועזיות, ספרות, מקף וקו תחתון ומקוצר ל-40 תווים. הוא נשלח כדי שנדע איזה קמפיין הביא הורדה. אין בו מייל, טלפון, שם או מזהה אישי, ואין בו שום דבר מהאפליקציה או מהשיחות. מי שהגיע לעמוד בלי קישור קמפיין, הקישור לחנות נשאר כפי שהוא ולא נשלח כלום. כמו בכל מעבר לאתר אחר, Apple רואה גם את כתובת ה-IP ואת סוג הדפדפן. בעמוד ההרשמה לבטא, מי שבחר אייפון מקבל אחרי השליחה קישור להצטרפות לבטא דרך TestFlight של אפל. זהו קישור רגיל ללחיצה, בלי אסימון קמפיין ובלי שום פרט נוסף, וכמו בכל מעבר לאתר אחר Apple רואה את כתובת ה-IP ואת סוג הדפדפן.
• Netlify: אירוח העמודים השיווקיים של perek.app בלבד. אינו נוגע באפליקציה, בחשבונות או בתוכן השיחות.
• Formspree (קליטת טפסים בעמודים השיווקיים): מקבל את מה שנשלח בטופס. בטופס ההרשמה אלה כתובת המייל ושדה junction שמציין מאיזה עמוד נשלח הטופס. בטופס שבעמוד הראשי מצורף גם שדה source, ובטופס בקשת צומת חדש גם הטקסט החופשי שנכתב בו (שדה wanted). בטופס שבסוף מסלול השאלות מצורפות גם שלוש התשובות שנבחרו במסלול, ושמות השדות משתנים לפי העמוד: topic בכל ארבעת עמודי הצמתים, ולצידו with_whom ו-blocker בעמוד ההורות, או pattern ו-goal בעמודי הניהול, הזוגיות והלימודים. מי שסימן את הבחירה לקבל עדכון על גרסת אנדרואיד שולח גם שדה platform בערך android. מי שהגיע מקישור קמפיין שולח גם utm_source, utm_medium ו-utm_campaign, כפי שהופיעו בכתובת העמוד. בטופס ההרשמה לבטא, שבעמוד ההרשמה לבטא, נשלחים כתובת המייל, שדה junction עם הצומת שנבחר בטופס עצמו (manager, parents, couples או students), שדה device בערך ios או android, שדה age18 בערך yes שמציין שהנרשם אישר שהוא בן 18 ומעלה, ושדה source בערך beta. כמו כל שירות שמקבל שליחת טופס, Formspree רואה גם את כתובת ה-IP ואת סוג הדפדפן של השולח. אינו נוגע באפליקציה, בחשבונות או בתוכן השיחות.

איפה המידע יושב

באיחוד האירופי. חלק מהספקים עשויים לעבד מידע גם מחוץ לאיחוד, ובמקרה כזה ההעברה נעשית תחת המנגנונים המקובלים בדין, לרבות תניות חוזיות סטנדרטיות.

כמה זמן

המידע נשמר כל עוד החשבון קיים. מחקת את החשבון, המידע נמחק.

זה חל גם על הטקסט שכתבת בשדה המשוב: אין לו תקופה קצובה מראש, והוא נמחק עם השיחה שאליה הוא שייך או עם מחיקת החשבון. שתי הפעולות בידיך ובכל רגע.

הזכויות שלך, ואיך להפעיל אותן באפליקציה עצמה

• לראות: מסך "מה פרק זוכר עליי" מציג את התקציר שפרק שומר עליך.
• לייצא: ההגדרות מייצאות קובץ JSON אחד ובו הפרופיל, כל השיחות המפוענחות, המטרות, תקציר הזיכרון, ההתקדמות והמשוב ששלחת.
• למחוק חלקית: אפשר למחוק שיחה בודדת, ואפשר למחוק את תקציר הזיכרון בנפרד.
• למחוק הכול: מחיקת החשבון מההגדרות. מפתח ההצפנה מושמד מיד, וכל התוכן המוצפן הופך לבלתי קריא באותו רגע. מיד אחר כך נמחקות השורות עצמן וגם משתמש האימות, כלומר מספר הטלפון או המייל שאיתם נכנסת. הפעולה בלתי הפיכה, ואיננו יכולים לשחזר אותה.

מה שנשאר אחרי מחיקה הוא ספירות שימוש ואירועי בטיחות, בלי מזהה שמקשר אותם אליך, לצורך ניטור עלויות ובטיחות בלבד.

גיבויים אוטומטיים של מסד הנתונים מתחלפים ונמחקים סופית בתוך עד 14 יום.

לפניות בנושא זכויותיך: hello@perek.app. נשיב בתוך 30 ימים.

הבסיס החוקי והרגולציה

עיבוד המידע נעשה לצורך קיום ההתקשרות איתך ולצורך אינטרסים לגיטימיים של אבטחה ותפעול, ובכל מקום שנדרשת הסכמה, על בסיס הסכמתך.

אבטחה

הצפנה ברמת השדה עם מפתח לכל משתמש, מפתחות בניהול Google KMS, גישה לשרת דרך שכבת הגנה בלבד, ומינימום הרשאות לרכיבי המערכת. שום מערכת אינה חסינה, ולכן חשוב גם להפעיל את הנעילה הביומטרית באפליקציה.

קטינים

השירות מיועד לבני 18 ומעלה. איננו אוספים ביודעין מידע על קטינים. אם נודע לנו שנפתח חשבון על ידי קטין, נמחק אותו.

האתר

העמודים השיווקיים של perek.app אינם האפליקציה. כלי המדידה היחיד שהעמודים האלה טוענים הוא ספירת הצפיות של Cloudflare Web Analytics, שאינה מציבה קובצי Cookie ואינה בונה מזהה אישי למבקר. אנחנו רואים כמה אנשים ביקרו ובאיזה עמוד, לא מי הם.

אין בעמודים האלה פיקסלים של פרסום ואין בהם תגי מעקב של רשתות מודעות. תג Google Ads שפעל כאן בעבר הוסר, ואיננו מודדים המרות של מודעות.

מיום ההשקה יופיעו בעמודים קישורי הורדה ל-App Store. מי שהגיע לעמוד מקישור קמפיין, הקישור לחנות נושא עבורו אסימון קמפיין בשם ct, ו-Apple מקבלת אותו כדי שנדע איזה קמפיין הביא הורדה. האסימון הוא שם הקמפיין בלבד, כפי שהופיע ב-utm_campaign בכתובת העמוד ובהיעדרו ב-utm_source, ואין בו מייל, טלפון, שם או מזהה אישי. מי שהגיע לעמוד ישירות לא שולח כלום. הפירוט המלא בפרק ה׳ למעלה.

מי שמשאיר מייל באחד מטופסי ההרשמה, הטופס נשלח דרך Formspree. מה בדיוק נשלח כתוב במלואו בפרק ה׳ למעלה.

הכלים האלה קיימים באתר בלבד, ואינם קיימים באפליקציה. אין שום קשר בין ביקור באתר לבין תוכן השיחות שלך.

ייתכן שתשתית האירוח וההגנה מציבה קובצי Cookie טכניים לצורכי אבטחה ותפעול. אפשר לחסום קובצי Cookie מהגדרות הדפדפן. באפליקציה עצמה אין אנליטיקה, אין פרסומות ואין מזהי פרסום.

שינויים

נעדכן את המדיניות מעת לעת. שינוי מהותי יובא לידיעתך באפליקציה או במייל לפני שייכנס לתוקף.