מדיניות הפרטיות

בקצרה

1מי אנחנו

קארטי מופעלת על ידי Banuel Dogayman, Harav Goren, Israel ("אנחנו"). המדיניות הזו חלה על האפליקציה קארטי ל־iPhone ול־Android ועל האתר הזה. האפליקציה מוצעת כרגע בישראל.

לכל שאלה על פרטיות: banueldogayman@gmail.com.

2מה נשמר אצלנו, ולמה

כמו בכל שירות באינטרנט, השרתים רושמים לזמן קצר פרטים טכניים על כל פנייה, כמו השעה וכתובת ה־IP, כדי להפעיל את השירות ולהגן עליו. מה שנכתב ברשימות לא נרשם ביומנים האלה.

3מי רואה מה

מה שנמצא בחשבון משותף נראה לאנשים באותו חשבון, לפי "מי רואה" של כל רשימה וקופון: "כל החשבון", "אנשים מסוימים" או "רק אני". רשימה או קופון של "רק אני" נשארים אישיים. אין שום תצוגה בין חשבונות.

מי שרואה קופון רואה גם את הקוד שלו. כדאי לבחור "מי רואה" בהתאם.

4ספירת שימוש אנונימית

האפליקציה סופרת כמה פעולות קבועות, כדי שנדע אילו חלקים עובדים. אין בספירה שום דבר שנכתב באפליקציה.

מה נספר. רשימה קבועה שכתובה בקוד של האפליקציה: פתיחת האפליקציה; כניסה (דרך Apple או Google) ויצירת חשבון; שליחת הזמנה והצטרפות לחשבון; יצירת רשימה (מכולת או כללית); הוספת פריטים (כמה, והאם הוקלדו, נבחרו מהצעה, הגיעו מתבנית או הודבקו); התחלת קנייה, סיום קנייה (כמה פריטים נקנו, כמה כוכבים התקבלו, והאם הגיע לתקרה היומית) וביטול סיום; פתיחת הארון, ניסיון, קנייה ולבישה של מראה (איזה מראה ומה מחירו בכוכבים) ובחירת דמות; פתיחה ושיתוף של "השנה בקארטי"; יצירת קופון; והגדרת תזכורת (לרשימה, לפריט או לקופון). שום דבר לא נוסף לרשימה הזו בלי עדכון של האפליקציה, ואז גם המדיניות הזו מתעדכנת.

מה אף פעם לא נספר. מה שנכתב: לא שמות של רשימות, פריטים או חנויות, לא קודים של קופונים ולא הערות. לא שמות של אנשים, לא כתובת מייל, ולא מזהה של משתמש, חשבון, רשימה או פריט. ברשימת הפעולות אין מקום לטקסט חופשי. האפליקציה לא מקליטה מסכים ולא סופרת נגיעות או מסכים מעצמה.

בלי שם. לכל התקנה נוצר בטלפון מזהה אקראי, שאינו השם, המייל, משתמש Apple או Google או המשתמש בקארטי, ואין לנו דרך לקשר אותו לאדם. עם כל פעולה נשלחים גם גרסת האפליקציה, מערכת ההפעלה והגרסה שלה, ומזהה אקראי של הפעלה, ולא דגם הטלפון, השפה או המיקום. כתובת ה־IP לא נשמרת, ולא מחשבים ממנה מיקום.

מי מקבל ואיפה. PostHog, שירות מדידה שפועל עבורנו, בשרתים באיחוד האירופי (פרנקפורט, גרמניה). הספירה נשמרת עד 12 חודשים, ואז נמחקת. מדיניות הפרטיות של PostHog.

אין כרגע מתג באפליקציה שמכבה את הספירה. הבסיס לה הוא האינטרס הלגיטימי שלנו להבין מה עובד באפליקציה, מול העובדה שהיא אנונימית ואין בה שום דבר שנכתב. מכיוון שהספירה נשמרת רק עם מזהה אקראי, אין לנו דרך לדעת אילו פעולות שייכות למישהו מסוים, ולכן אי אפשר למחוק אותן בנפרד; הן נמחקות מעצמן אחרי 12 חודשים.

5בדיקת עדכונים

עדכון של המסכים והטקסטים. בכל פתיחה, האפליקציה שואלת את Expo, השירות שדרכו היא מתפרסמת, אם יש גרסה חדשה של המסכים והטקסטים. אם יש, היא יורדת ברקע ונכנסת לתוקף בפתיחה הבאה. הבדיקה שולחת מזהה אקראי שנוצר בטלפון (אחר מזה שבסעיף 4), את סוג הטלפון, את גרסת האפליקציה ואת העדכון שרץ עכשיו; אם עדכון לא הצליח לעלות, גם את הודעת השגיאה. כתובת ה־IP מגיעה ל־Expo, כמו בכל חיבור לאינטרנט. Expo נמצאת בארצות הברית. מדיניות הפרטיות של Expo.

גרסה ישנה מדי. בפתיחה ובכל חזרה לאפליקציה, היא שואלת את השרת של קארטי מהי הגרסה הנמוכה ביותר שעדיין עובדת ומהי האחרונה. כל פנייה לשרת נושאת את מספר הגרסה ואת סוג הטלפון. כשהגרסה ישנה מדי, האפליקציה מבקשת לעדכן; כשיש גרסה חדשה יותר, מופיעה הודעה. "עדכון" פותח את דף האפליקציה בחנות, רק בנגיעה. האפליקציה לא שואלת את Apple או את Google בעצמה.

אף אחת מהבדיקות לא שולחת משהו שנכתב באפליקציה.

6התראות

• תזכורות לרשימה, לפריט, ולקופון לפני שהוא פג, בזמן שנבחר. הן נקבעות בטלפון עצמו.
• עדכונים על רשימה ("לקבל עדכונים" ברשימה): כשמישהו אחר מוסיף פריטים, ובסוף קנייה. השרת שולח אותם דרך שירות ההתראות של Expo, שמעביר אותם ל־Apple או ל־Google, ומשם לטלפון. לשם כך הוא מוסר להם את כתובת ההתראות של הטלפון ואת הטקסט של ההתראה.

מה רואים במסך הנעילה. ההתראות של קארטי מראות את מה שנכתב: שם הרשימה, שמות הפריטים שנוספו והשם של מי שהוסיף, או שם החנות של קופון ומתי הוא פג. כל מי שרואה את מסך הנעילה רואה אותן. קוד של קופון אף פעם לא מופיע בהתראה. אפשר להסתיר את תוכן ההתראות בהגדרות הטלפון.

ההתראות לא חובה: אפשר לא לאשר אותן, לכבות עדכונים ותזכורות באפליקציה, או לכבות את ההתראות של קארטי בהגדרות הטלפון.

7העותק שנשמר בטלפון

כדי שהאפליקציה תיפתח מהר ותעבוד גם בלי חיבור, הטלפון שומר עותק של מה שנטען לאחרונה: הרשימות והפריטים, התבניות, התזכורות והקופונים, כולל הקודים. כל עותק נשמר עד 30 יום מהטעינה האחרונה שלו.

• יציאה מהמשתמש ומחיקת המשתמש מוחקות את כל העותק מהטלפון.
• יציאה מחשבון, או חשבון שכבר אין אליו גישה, מוחקות את העותק של אותו חשבון.
• קופון שנמחק או שכבר לא משותף נמחק מהעותק, עם הקוד.

פרטי הכניסה נשמרים באחסון המאובטח של הטלפון. גיבוי של הטלפון (iCloud, Google, או מחשב) עשוי לכלול את העותק. הגיבוי נוצר ונשמר אצל Apple או Google לפי התנאים שלהן, ואין לנו גישה אליו.

8הרשאות בטלפון

• התראות: ההרשאה היחידה שהאפליקציה מבקשת, ורק אחרי נגיעה.
• מה שהועתק: האפליקציה קוראת אותו רק בנגיעה: "הדבק" בקופון חדש, ו"יש לי קישור הזמנה" בכניסה ובהחלפת חשבון. הטלפון עשוי לשאול לפני שהוא מעביר אותו.
• חלון השיתוף של הטלפון: לשליחת קישור הזמנה, רשימה או "השנה בקארטי", רק בנגיעה.

האפליקציה לא מבקשת מיקום, אנשי קשר, מצלמה, מיקרופון, תמונות או יומן.

9קישורים שיוצאים מהאפליקציה

• הקישור של קופון נפתח בדפדפן. נשמרים רק קישורים לאתרים (http או https).
• שיתוף: קישור הזמנה, רשימה או "השנה בקארטי" עוברים לאפליקציה שנבחרה בחלון השיתוף, כמו וואטסאפ.
• מייל לתמיכה: "יצירת קשר" בהגדרות פותח מייל חדש עם גרסת האפליקציה, דגם הטלפון והשפה, שאפשר לראות ולשנות לפני השליחה.
• החנות: "עדכון" פותח את דף האפליקציה ב־App Store או ב־Google Play.
• הגדרות הטלפון, להפעלת התראות, והמסמכים האלה, שנפתחים בדפדפן.

מרגע היציאה חלה המדיניות של השירות שנפתח. האפליקציה לא יודעת מה קורה שם.

10גרסאות בדיקה, ואבחון מ־Apple ו־Google

מי שמתקין גרסת בדיקה דרך TestFlight: Apple עשויה להעביר לנו דוחות קריסה, ומשוב אם נשלח, כולל צילום מסך שצורף, לפי התנאים של TestFlight. אפשר לכבות שיתוף דוחות קריסה בהגדרות הטלפון, תחת פרטיות ואבטחה, ניתוח ושיפורים. משוב שנשלח דרך Google Play על גרסת בדיקה כפוף לתנאים של Google.

בנפרד, מי שבחר בטלפון לשתף נתונים עם מפתחים: Apple או Google עשויות להעביר לנו נתוני קריסה וביצועים מסוכמים ואנונימיים. אנחנו לא מוסיפים קוד שאוסף אותם.

11מי עוזר לנו

• Supabase: מסד הנתונים, הכניסה והשרת של קארטי, בשרתים בפרנקפורט, גרמניה.
• Apple ו־Google: הכניסה עצמה, והעברת ההתראות לטלפון. בכניסה הן מוסרות לקארטי מזהה ומייל, ולא רואות את הרשימות.
• Expo: מעבירה את העדכונים על רשימות ל־Apple ול־Google, ומפרסמת את עדכוני האפליקציה (סעיף 5).
• PostHog: הספירה שבסעיף 4, בשרתים באיחוד האירופי.
• Cloudflare: מארחת את האתר הזה (סעיף 18).

אף אחד מהם לא מקבל את מה שנכתב ברשימות לשום מטרה משלו.

המדיניות שלהם: Supabase, Apple, Google, Expo, PostHog, Cloudflare.

12מידע שיוצא מישראל

מסד הנתונים והספירה נשמרים באיחוד האירופי, שדיני הגנת הפרטיות בו מוכרים בישראל. Expo, Apple ו־Google נמצאות בארצות הברית: דרכן עוברים הכניסה, ההתראות (כולל הטקסט שלהן) ובדיקת העדכונים.

13בלי פרסום ובלי מעקב

אנחנו לא מוכרים מידע ולא משתפים אותו לפרסום. אין באפליקציה פרסומות, אין בה כלי פרסום או ייחוס התקנות, והיא לא משתמשת במזהה הפרסום של הטלפון ולא עוקבת אחרי אף אחד בין אפליקציות ואתרים. לכן ב־iPhone היא גם לא שואלת אם מותר לעקוב: אין מעקב לשאול עליו.

14כמה זמן

• המידע נשמר כל עוד המשתמש קיים. מחיקת המשתמש באפליקציה מוחקת אותו מיד (איך מוחקים). בקשת מחיקה במייל מטופלת תוך שבוע.
• ברשימות משותפות שאנשים אחרים ממשיכים להשתמש בהן, הפריטים נשארים אצלם, בלי השם של מי שהוסיף אותם.
• אנחנו לא שומרים גיבויים של מסד הנתונים, ולכן מחיקה היא סופית.
• הספירה האנונימית נשמרת עד 12 חודשים. העותק בטלפון נשמר עד 30 יום (סעיף 7).

15הזכויות

אפשר לבקש לעיין במידע, לתקן אותו או למחוק אותו, בפנייה אל banueldogayman@gmail.com. עונים תוך 30 יום. את רוב הדברים אפשר לעשות ישר באפליקציה: לראות ולשנות כל מה שנוצר, לשנות שם ודמות, לעזוב חשבון, ולמחוק את המשתמש.

אפשר גם להתלונן לרשות להגנת הפרטיות במשרד המשפטים.

16ילדים

קארטי מיועדת לבני 13 ומעלה. מי שמתחת לגיל 13 לא יכול להשתמש בה, ומתחת לגיל 18 צריך רשות של הורה או אפוטרופוס (תנאי השימוש). אנחנו לא אוספים ביודעין מידע על ילדים מתחת לגיל 13. אם נודע לנו שמשתמש הוא מתחת לגיל 13, נמחק אותו ואת המידע שלו. אפשר לכתוב לנו על כך במייל.

17אבטחה

• כל המידע עובר מוצפן בין הטלפון לשרת, והשרתים נמצאים בפרנקפורט.
• רק השרת של קארטי ניגש למסד הנתונים, והוא בודק בכל פנייה מי רשאי לראות מה.
• מי שהוסר מחשבון מאבד מיד את הגישה לקופונים ולתזכורות שלו, ותוך 10 דקות לכל היותר גם לרשימות.
• בזמן שהאפליקציה ברקע, מסך הקופון מכוסה, כדי שהקוד לא יופיע בתמונה של מחליף האפליקציות. ב־iPhone זה תמיד, ב־Android ככל שהטלפון מאפשר.
• העותק בטלפון מוגן בנעילה של הטלפון. מומלץ לנעול את הטלפון בקוד, בטביעת אצבע או בזיהוי פנים: כל מי שפותח את הטלפון יכול לפתוח גם את קארטי.

18האתר הזה

האתר מתארח ב־Cloudflare Pages. הוא לא שומר עוגיות משלו ולא מריץ כלי מדידה. Cloudflare מקבלת את הפנייה של הדפדפן, כולל כתובת ה־IP, כדי להגיש את העמוד. הגופן נטען מ־Google Fonts, ולכן הדפדפן פונה גם ל־Google.

19שינויים במדיניות

כששינוי משנה מה נשמר או מי רואה, הוא יופיע כאן עם תאריך חדש לפני שייכנס לתוקף. גרסאות קודמות זמינות לפי בקשה.

20יצירת קשר

Banuel Dogayman
Harav Goren, Israel
banueldogayman@gmail.com