מה אנחנו יודעים עליך,
ומה אנחנו לא יכולים לדעת

מי אחראי למידע

חנן וייס, מעצמון-שגב, ישראל. לפניות בנושא פרטיות: hello@perek.app.

העיקרון

השיחות שלך מוצפנות, ואיננו קוראים אותן כחלק מהפעלת השירות.

כל הודעה מוצפנת בנפרד לפני שהיא נשמרת, עם מפתח ייעודי לך. המפתח נוצר בשרת שלנו ונשמר עטוף במפתח-אב שבמערכת ניהול המפתחות של Google. מי שישיג גישה למסד הנתונים בלבד יראה טקסט מוצפן ולא יוכל לפתוח אותו.

מה שלא נכתוב כאן הוא שאיננו יכולים. המפתח מוחזק אצלנו, והגישה אליו מוגבלת לניהול התפעולי של השירות. מי שיש לו את הגישה הזאת יכול טכנית לפענח הודעות. ההגנה היא הצפנה יחד עם הגבלת גישה, לא חוסר יכולת.

וכדי שפרק יענה, תוכן השיחה נשלח לספק AI חיצוני שמריץ את המודל. הוא נשמר אצלו זמן מוגבל לצורך ניטור שימוש לרעה, ובתקופה הזאת גורמים מורשים אצלו יכולים לגשת אליו. הוא אינו משמש לאימון מודלים.

איזה מידע נשמר

• מזהה כניסה: מספר טלפון או כתובת מייל. זה המזהה היחיד שאנחנו מבקשים. אנחנו לא מבקשים גיל, כתובת או אמצעי תשלום.
• פרופיל: השם שביקשת שפרק יפנה אליך בו, ולשון הפנייה. שמור אצלנו לא מוצפן, כי פרק צריך לקרוא לך בשמך בכל הודעה. אין חובה לתת שם אמיתי, ואפשר לשנות אותו בהגדרות.
• תוכן השיחות: מה שכתבת ומה שפרק ענה. מוצפן.
• תשובות ששמרת: אם סימנת תשובה של פרק בכוכב, נשמר סימון שמצביע עליה ומתי סימנת אותה. בלי עותק של הטקסט. הסימון שלך בלבד: פרק לא יודע מה שמרת, והוא אינו משמש אותנו כמשוב. נכלל בייצוא, ונמחק עם השיחה או עם החשבון.
• תקציר זיכרון: תקציר קצר שפרק כותב לעצמו כדי ללוות אותך לאורך זמן. מוצפן. אפשר לראות אותו ולמחוק אותו מההגדרות, במסך "מה פרק זוכר עליי".
• התקדמות: לאיזו דרך נרשמת ואילו פריטים סימנת כהושלמו. לא מוצפן, ואינו תוכן.
• שימוש: כמה הודעות שלחת ביום, לצורך המכסה ולניטור עלויות.
• פתיחות: לכל יום, כמה פעמים פתחת את האפליקציה ומתי בפעם הראשונה והאחרונה באותו יום. בלי מזהה מכשיר, בלי מזהה התקנה, בלי איזה מסך ובלי משך שהייה. זה נועד לדבר אחד: לדעת אם אנשים פותחים את פרק ואינם מוצאים מה לכתוב, כדי שנוכל לתקן את זה. הספירה נשארת אצלנו ואינה נשלחת לאיש.
• אירועי בטיחות: רמה ותאריך בלבד, בלי שום תוכן. נשמר כדי שפרק יתנהג נכון בימים שאחרי, ולא כדי לתעד אותך.
• מנוי: אם המנוי פעיל ועד מתי. החיוב עצמו נעשה בחנות ולא אצלנו, ואנחנו לא רואים ולא שומרים פרטי תשלום.
• תזכורות: מוגדרות ונשמרות במכשיר שלך בלבד. אין לנו טוקן מכשיר ואיננו שולחים התראות מהשרת.
• משוב על תשובה: דירוג של אגודל למעלה או למטה, ולצדו סימון באיזו שיחה ובאיזה שלב בה. בלי תוכן. ואם בחרת לכתוב לנו מה היה חסר, גם הטקסט שכתבת שם, עד 500 תווים. זהו החומר היחיד באפליקציה שאנחנו קוראים בעצמנו, הוא נמסר מרצון בלבד, והשדה אינו חובה. מוצפן כמו כל תוכן אחר, נכלל בייצוא, ונמחק עם השיחה או עם החשבון.
• מספר נייד שהוזמן: אם מישהו מצוות פרק הזמין אותך לפי מספר הנייד שלך, נשמר המספר, מספר ימי הגישה שהוצעו ומי הזמין. לא נשלחת אליך הודעה. כניסה לאפליקציה עם המספר הזה הופכת את ההזמנה לגישה ומוחקת אותה. אחרת היא נמחקת לכל המאוחר 28 יום אחרי ההזמנה האחרונה. אפשר לבקש מחיקה מוקדמת בכתובת hello@perek.app.

המידע היחיד שנדרש כדי להשתמש בפרק הוא מזהה הכניסה. בלעדיו אי אפשר להשתמש בשירות. כל השאר הוא לא חובה: השם, המטרה והטקסט שבמשוב. השירות עובד גם בלעדיהם.

אין באפליקציה כלי אנליטיקה של צד שלישי, אין פרסומות, ואין מזהי פרסום.

מה שכן נספר, ונאמר כאן במפורש: השרת שלנו סופר לכל חשבון באילו ימים נפתחה האפליקציה וכמה פעמים בכל יום. זו ספירה שלנו, על השרת שלנו, ולא כלי של חברה אחרת: אין בה מזהה מכשיר, אין בה מזהה סשן, אין בה איזה מסך נפתח ואין בה כמה זמן שהית. פרק עצמו אינו קורא אותה. כשאתה מוחק את החשבון, השורות מנותקות ממנו ונשארות כמספר בלבד, בלי דרך לחבר אותן אליך.

למה אנחנו משתמשים בו

כדי לספק את השירות, לאמת את הכניסה, לנהל את המנוי ואת המכסה, לשמור על בטיחות המשתמשים, ולשפר את המוצר. אנחנו לא מוכרים מידע ולא משתמשים בו לפרסום.

שיפור המוצר נעשה בלי לקרוא שיחות. אנחנו מסתכלים על הדירוגים ועל הנתונים שמסביבם (באיזו דרך, באיזה שלב בשיחה, האם התשובה נחסמה), ועל הטקסט שמשתמשים בחרו לכתוב לנו במפורש בשדה המשוב. את השיחות עצמן איננו קוראים לצורך הזה ולא לשום צורך אחר.

הבסיס החוקי לקריאת הטקסט הזה הוא אינטרס לגיטימי בשיפור השירות (סעיף 6(1)(f) ב-GDPR), יחד עם כך שהמסירה יזומה: השדה אינו חובה, ואפשר פשוט לא לכתוב בו.

אנחנו לא משתמשים בתוכן השיחות שלך כדי לאמן מודלים.

מי עוד מעורב

כדי להפעיל את השירות אנחנו נעזרים בספקים. כל אחד מהם מקבל את המינימום הדרוש לו:

• Supabase (מסד נתונים ואימות, שרתים באיחוד האירופי): מזהה הכניסה והשורות המוצפנות.
• Google Cloud (הרצת השרת וניהול מפתחות, אזור europe-west1): הרצת השירות והמפתח העטוף.
• Cloudflare: שכבת הגנה בכניסה לשירות, וגם ספירת הצפיות בעמודים השיווקיים (Cloudflare Web Analytics), שמקבלת את כתובת ה-IP ואת סוג הדפדפן של כל מבקר בעמודים האלה בלי להציב קובצי Cookie ובלי לבנות מזהה אישי.
• Twilio: שליחת קוד האימות ב-SMS. מקבל את מספר הטלפון בלבד.
• OpenAI, ספק המודל שמייצר את התשובות: מקבל את תוכן השיחה כדי לייצר תשובה, תחת תנאי ה-API שאוסרים שימוש בתוכן לאימון מודלים. אם נחליף ספק, נעדכן כאן לפני המעבר.
• RevenueCat, Apple ו-Google: ניהול המנוי והחיוב. אנחנו לא רואים פרטי תשלום.
• Resend (שליחת דואר, אזור אירלנד): מקבל את כתובת המייל ואת גוף ההודעה שאנחנו שולחים, למשל קוד כניסה או הזמנה. לא מקבל את תוכן השיחות.
• Apple (קישורי ההורדה ל-App Store בעמודים השיווקיים): מיום ההשקה יופיעו בעמודים קישורים לאפליקציה בחנות. מי שהגיע לעמוד מקישור קמפיין, נוסף לקישור לחנות אסימון קמפיין בשם ct, ו-Apple מקבלת אותו ברגע הלחיצה. האסימון הוא שם הקמפיין שהיה בכתובת העמוד, כלומר utm_campaign, ובהיעדרו utm_source, מנוקה לאותיות לועזיות, ספרות, מקף וקו תחתון ומקוצר ל-40 תווים. הוא נשלח כדי שנדע איזה קמפיין הביא הורדה. אין בו מייל, טלפון, שם או מזהה אישי, ואין בו שום דבר מהאפליקציה או מהשיחות. מי שהגיע לעמוד בלי קישור קמפיין, הקישור לחנות נשאר כפי שהוא ולא נשלח כלום. כמו בכל מעבר לאתר אחר, Apple רואה גם את כתובת ה-IP ואת סוג הדפדפן. בעמוד ההרשמה לבטא, מסך ההתקנה לאייפון מציג שני קישורים של Apple: לאפליקציית TestFlight ב-App Store, ולהצטרפות לבטא של פרק דרך TestFlight. לכתובת העמוד נוסף #ios כדי שאפשר יהיה לחזור למסך, ושום דבר לא נשמר בדפדפן. שני הקישורים רגילים ללחיצה, בלי אסימון קמפיין ובלי שום פרט נוסף, וכמו בכל מעבר לאתר אחר Apple רואה את כתובת ה-IP ואת סוג הדפדפן.
• WhatsApp (שליחת העמוד לעצמכם, בעמוד ההרשמה לבטא): מסך ההתקנה מציע לשלוח לעצמך את כתובת העמוד בוואטסאפ או במייל. רק אם לוחצים, נפתחים וואטסאפ או אפליקציית המייל עם כתובת העמוד ומשפט קבוע, ואתה בוחר למי לשלוח. אין בזה מייל, טלפון, שם או שום פרט מההרשמה.
• Netlify: אירוח העמודים השיווקיים של perek.app בלבד. אינו נוגע באפליקציה, בחשבונות או בתוכן השיחות.
• Formspree (קליטת טפסים בעמודים השיווקיים): מקבל את מה שנשלח בטופס. בטופס ההרשמה אלה כתובת המייל ושדה junction שמציין מאיזה עמוד נשלח הטופס. בטופס שבעמוד הראשי מצורף גם שדה source, ובטופס בקשת צומת חדש גם הטקסט החופשי שנכתב בו (שדה wanted). בטופס שבסוף מסלול השאלות מצורפות גם שלוש התשובות שנבחרו במסלול, ושמות השדות משתנים לפי העמוד: topic בכל ארבעת עמודי הצמתים, ולצידו with_whom ו-blocker בעמוד ההורות, או pattern ו-goal בעמודי הניהול, הזוגיות והלימודים. מי שסימן את הבחירה לקבל עדכון על גרסת אנדרואיד שולח גם שדה platform בערך android. מי שהגיע מקישור קמפיין שולח גם utm_source, utm_medium, utm_campaign ו-utm_content, כפי שהופיעו בכתובת העמוד, ולא שום פרמטר אחר מהכתובת. בטופס ההרשמה לבטא, שבעמוד ההרשמה לבטא, נשלחים כתובת המייל, שדה junction עם הצומת (manager, parents, couples או students), שנבחר בטופס או מולא מראש לפי הקישור שממנו הגעתם (עמוד הצומת, או utm_content של המודעה) ומוצג בטופס עם אפשרות לשנות, שדה device בערך ios או android, שדה age18 בערך yes שמציין שהנרשם אישר שהוא בן 18 ומעלה, ושדה source בערך beta. כמו כל שירות שמקבל שליחת טופס, Formspree רואה גם את כתובת ה-IP ואת סוג הדפדפן של השולח. אינו נוגע באפליקציה, בחשבונות או בתוכן השיחות.

איפה המידע יושב

באיחוד האירופי. חלק מהספקים עשויים לעבד מידע גם מחוץ לאיחוד, ובמקרה כזה ההעברה נעשית תחת המנגנונים המקובלים בדין, לרבות תניות חוזיות סטנדרטיות.

כמה זמן

המידע נשמר כל עוד החשבון קיים. מחקת את החשבון, המידע נמחק.

זה חל גם על הטקסט שכתבת בשדה המשוב: אין לו תקופה קצובה מראש, והוא נמחק עם השיחה שאליה הוא שייך או עם מחיקת החשבון. שתי הפעולות בידיך ובכל רגע.

הזכויות שלך, ואיך להפעיל אותן באפליקציה עצמה

• לראות: מסך "מה פרק זוכר עליי" מציג את התקציר שפרק שומר עליך.
• לייצא: ההגדרות מייצאות קובץ JSON אחד ובו הפרופיל, כל השיחות המפוענחות, התשובות ששמרת, המטרות, תקציר הזיכרון, ההתקדמות והמשוב ששלחת.
• לתקן: את השם אפשר לשנות בהגדרות. בקשה לתקן מידע אחר אפשר לשלוח ל-hello@perek.app, ונשיב בתוך 30 ימים, כמו בשאר הזכויות.
• למחוק חלקית: אפשר למחוק שיחה בודדת, ואפשר למחוק את תקציר הזיכרון בנפרד.
• למחוק הכול: מחיקת החשבון מההגדרות. מפתח ההצפנה מושמד מיד, וכל התוכן המוצפן הופך לבלתי קריא באותו רגע. מיד אחר כך נמחקות השורות עצמן וגם משתמש האימות, כלומר מספר הטלפון או המייל שאיתם נכנסת. הפעולה בלתי הפיכה, ואיננו יכולים לשחזר אותה.

מה שנשאר אחרי מחיקה הוא ספירות שימוש ופתיחה ואירועי בטיחות, בלי מזהה שמקשר אותם אליך, לצורך ניטור עלויות ובטיחות בלבד.

מחיקת החשבון שולחת גם בקשה למחוק את רשומת המנוי ב-RevenueCat, שמנהלת עבורנו את המנויים ומחזיקה את היסטוריית הרכישות תחת המזהה שלך אצלנו. הבקשה נשלחת אחרי שהמחיקה אצלנו הסתיימה, וחוזרת עד שהיא נענית. המחיקה עצמה נכנסת אצלם לתור ומתבצעת אחריו. את רשומת הרכישה באפל או בגוגל איננו יכולים למחוק, והיא נשמרת אצלן לפי הכללים שלהן.

גיבויים אוטומטיים של מסד הנתונים מתחלפים ונמחקים סופית בתוך עד 14 יום.

לפניות בנושא זכויותיך: hello@perek.app. נשיב בתוך 30 ימים.

הבסיס החוקי והרגולציה

עיבוד המידע נעשה לצורך קיום ההתקשרות איתך ולצורך אינטרסים לגיטימיים של אבטחה ותפעול, ובכל מקום שנדרשת הסכמה, על בסיס הסכמתך.

אבטחה

הצפנה ברמת השדה עם מפתח לכל משתמש, מפתחות בניהול Google KMS, גישה לשרת דרך שכבת הגנה בלבד, ומינימום הרשאות לרכיבי המערכת. שום מערכת אינה חסינה, ולכן חשוב גם להפעיל את הנעילה הביומטרית באפליקציה.

קטינים

השירות מיועד לבני 18 ומעלה. איננו אוספים ביודעין מידע על קטינים. אם נודע לנו שנפתח חשבון על ידי קטין, נמחק אותו.

האתר

העמודים השיווקיים של perek.app אינם האפליקציה. כלי המדידה היחיד שהעמודים האלה טוענים הוא ספירת הצפיות של Cloudflare Web Analytics, שאינה מציבה קובצי Cookie ואינה בונה מזהה אישי למבקר. אנחנו רואים כמה אנשים ביקרו ובאיזה עמוד, לא מי הם.

אין בעמודים האלה פיקסלים של פרסום ואין בהם תגי מעקב של רשתות מודעות. תג Google Ads שפעל כאן בעבר הוסר, ואיננו מודדים המרות של מודעות.

מיום ההשקה יופיעו בעמודים קישורי הורדה ל-App Store. מי שהגיע לעמוד מקישור קמפיין, הקישור לחנות נושא עבורו אסימון קמפיין בשם ct, ו-Apple מקבלת אותו כדי שנדע איזה קמפיין הביא הורדה. האסימון הוא שם הקמפיין בלבד, כפי שהופיע ב-utm_campaign בכתובת העמוד ובהיעדרו ב-utm_source, ואין בו מייל, טלפון, שם או מזהה אישי. מי שהגיע לעמוד ישירות לא שולח כלום. הפירוט המלא בפרק ה׳ למעלה.

מי שמשאיר מייל באחד מטופסי ההרשמה, הטופס נשלח דרך Formspree. בטופס ההרשמה לבטא, כתובת המייל נשמרת גם אצלנו כהזמנה לבטא, עד שהגישה נפתחת או לכל המאוחר 44 יום אחרי ההרשמה האחרונה עם אותה כתובת. הבטא מוגבלת ל־50 משתתפים, ומי שנרשם כשהיא מלאה נשמר ברשימת המתנה במקום הזמנה: כתובת המייל ומועד ההרשמה בלבד, עד שהוא מוזמן, עד שהוא מבקש להימחק, או לכל המאוחר 44 יום. מה בדיוק נשלח כתוב במלואו בפרק ה׳ למעלה.

הכלים האלה קיימים באתר בלבד, ואינם קיימים באפליקציה. אין שום קשר בין ביקור באתר לבין תוכן השיחות שלך.

ייתכן שתשתית האירוח וההגנה מציבה קובצי Cookie טכניים לצורכי אבטחה ותפעול. אפשר לחסום קובצי Cookie מהגדרות הדפדפן. באפליקציה עצמה אין אנליטיקה, אין פרסומות ואין מזהי פרסום.

שינויים

נעדכן את המדיניות מעת לעת. שינוי מהותי יובא לידיעתך באפליקציה או במייל לפני שייכנס לתוקף.