מדיניות פרטיות

1.1 מידע שאתם מוסרים

• • פרטי כניסה: שם, כתובת אימייל, ולעיתים תמונת פרופיל. בהרשמה עם אימייל וסיסמה הסיסמה נשמרת רק כגיבוב, לא כטקסט. בכניסה עם Google נשמרים השם, האימייל, מזהה החשבון אצל Google, ותמונת הפרופיל אם יש. אין לנו את הסיסמה של Google. דרכי הכניסה הן שלוש: Google, אימייל וסיסמה, או התחלה כאורח. כניסה עם Apple אינה קיימת בשירות כיום, ולכן אין לנו מזהה חשבון Apple שלכם ולא כתובת אימייל ממוסכת של Apple. אם היא תתווסף, הסעיף הזה יתעדכן לפני שהיא תעלה לאוויר.
• • הקלטת הכתבה: אפשר להכתיב הודעה בקול במקום להקליד. הכפתור קיים כיום באפליקציה לנייד, ובאתר הוא מוסתר. ההקלטה נשלחת מהמכשיר לשרת שלנו, ומשם לספק תמלול, וחוזרת כטקסט. ההקלטה עצמה אינה נשמרת — לא בדיסק, לא במסד הנתונים, ולא בלוגים. מה שנשמר הוא הטקסט שחזר, בתוך ההודעה שלכם, ושורת לוג טכנית עם גודל ההקלטה, שם הספק, זמן התגובה ואורך הטקסט. המיקרופון נפתח רק בלחיצה על כפתור ההכתבה, ואפשר לשלול את ההרשאה בהגדרות המכשיר.
• • פרטי הורה: שם, גיל, מגדר הורה (אמא או אבא, אם מילאתם), וסגנון הורות.
• • פרטי ילדים: שם, תאריך לידה, מין, ותיאור אופי קצר. אתם מוסרים את זה, לא הילד.
• • אתגרים: נושאים שבחרתם, למשל שינה או התפרצויות.
• • תוכן שיחות: מה שאתם כותבים לצ'אט, וגם תשובות לשאלות קצרות במסך "המסע" ודירוג שאתם נותנים לנושא.
• • ציון המלצה: אם מופיע סקר קצר, נשמרים הציון (1 עד 10) ותגובה חופשית אם כתבתם אחת.

1.2 מידע שנוצר מהשימוש

• • תשובות: הטקסט שהמערכת מנסחת לכם.
• • זיכרונות: פרטים שהמערכת שולפת מהשיחות, למשל משהו שסיפרתם על ילד, כדי שהתשובה הבאה תכיר את המשפחה. נשמרים עד 100 זיכרונות לחשבון.
• • ציון ביטחון פנימי: לכל תשובה יכול להישמר מספר שמתאר כמה המערכת בטוחה בתשובה. כשהציון נמוך מ-6, נשמר עותק של השאלה ושל התשובה לבקרת איכות, יחד עם השם שמופיע בחשבון.
• • ציוני המסע: לכל ילד, ולכל נושא, המערכת מחשבת ציון שמתאר איך המצב משתנה. פירוט בסעיף 5.
• • שאלות קצרות: שאלת מעקב שנכתבת עבור נושא של ילד, והתשובה שלכם עליה.
• • אירועי שימוש בלי תוכן: מתי התקיימה שיחה, מזהה השיחה, ותפקיד ההודעה (אתם או המערכת). בלי טקסט ההודעה. זה משמש לסטטיסטיקה פנימית.
• • נפח עיבוד: כמה טקסט נשלח למודל, כדי לעקוב אחרי עלות. בלי תוכן השיחה עצמו.
• • יומן בקשות בשירות חיצוני: לכל בקשה לשרת נרשם אירוע בשירות ניתוח חיצוני בשם Axiom, שרשומותיו יושבות בארצות הברית. נשמרים: סוג הפעולה והאם הצליחה, זמן התגובה, מזהה החשבון, האם הוא אורח או מנהל, מערכת ההפעלה, סוג המכשיר, אם הפנייה מהאתר או מהאפליקציה, גרסת האפליקציה, וכתובת ה-IP. טקסט השיחה אינו נשלח לשם, וגם לא שם הילד. גם ה-User-Agent המלא אינו נשמר, כי הוא מזהה מכשיר בפני עצמו — נגזרים ממנו רק סוג המכשיר ומערכת ההפעלה. פירוט בסעיף 6.
• • התראות: אם אישרתם, נשמר אסימון דחיפה נפרד לכל מכשיר. זה אסימון של Firebase Cloud Messaging. באייפון המסירה ממשיכה דרך שירות ההתראות של Apple‏ (APNs). האסימון משמש רק לשליחת התראה שביקשתם. בהתנתקות האסימון של המכשיר הזה מוסר מהחשבון. אם שירות ההתראות מדווח שהאסימון אינו תקף, הוא נמחק. אפשר לכבות את ההתראות גם בהגדרות המכשיר. תוכן ההתראה יכול לכלול את שם הילד ("שאלה קצרה על [שם]"), או משפט קצר שנוסח לפי מה שסיפרתם. שם הנושא עצמו לא נכתב בהתראה.
• • דיווח תקלה באפליקציה: אם המסך נופל, האפליקציה לנייד עשויה לשלוח לשרת שלנו שם מסך, טקסט שגיאה, ומזהה חשבון אם אתם מחוברים. זה נכתב ללוג של השרת, לא להיסטוריית השיחות.
• • ניסיונות כניסה: לזמן קצר נשמרים אימייל וכתובת רשת, כדי לחסום ניחוש סיסמה. הרשומה נמחקת אחרי כחצי שעה.

1.3 מה לא נאסף

• • מיקום גיאוגרפי. האפליקציה לא מבקשת הרשאת מיקום ולא קוראת GPS. כתובת ה-IP כן נרשמת ביומן הבקשות, כמתואר בסעיף 1.2, ומכתובת IP אפשר להסיק אזור כללי.
• • פרטי תשלום. אין באפליקציה גבייה של כרטיס אשראי.
• • מידע שהילד מוסר בעצמו. הילד אינו המשתמש.
• • עוגיות מעקב של רשתות פרסום. אין באפליקציה פרסומות.
• • גישה לאנשי קשר, לתמונות, ליומן או לקבצים. שתי ההרשאות היחידות שהאפליקציה מבקשת הן התראות ומיקרופון להכתבה, ושתיהן אופציונליות.
• • ההקלטה שהוכתבה. היא עוברת לתמלול ולא נשמרת, כמתואר בסעיף 1.1.

• • תשובה שמתאימה למשפחה: שם הילד, הגיל, האופי, האתגרים והזיכרונות נכנסים לבקשה, כדי שהתשובה לא תהיה כללית.
• • המשכיות: הזיכרונות מאפשרים לחזור לנושא בשיחה הבאה.
• • מסך המסע: הציונים מראים לכם מגמה לאורך זמן, ומזינים את השאלות הקצרות.
• • תזכורות שביקשתם: אם ההתראות דולקות, נשלחת שאלה קצרה או תזכורת. אפשר לכבות בהגדרות האפליקציה, להשהות שאלות, להשתיק שאלות על ילד מסוים, או לכבות התראות בהגדרות המכשיר.
• • בקרת איכות ובטיחות: תשובות שהמערכת פחות בטוחה בהן נשמרות לסקירה. מנהלים מורשים יכולים לקרוא שיחות כדי לעזור בתמיכה, לבדוק איכות, ולטפל במקרה רגיש. פירוט בסעיף 4.
• • תפעול: ספירת שימוש ועלות, בלי למכור את המידע ובלי דיוור שיווקי.

שיחות של חשבון רשום נשמרות עד שתמחק את החשבון. אין מחיקה אוטומטית אחרי חוסר פעילות. אפשר גם למחוק שיחה בודדת לפני כן.

את השיחות שלכם אתם רואים בחשבון. משתמשים אחרים לא רואים אותן.

למנהלים מורשים יש גישה לשיחות, כדי לתת תמיכה, לבדוק את איכות התשובות, ולטפל בשאלות של בטיחות. מנהל מורשה הוא חשבון Google שאושר מראש אצלנו. במסך הניהול הוא יכול לפתוח פרופיל, זיכרונות ושיחות מלאות, ולייצא את השיחות לקובץ Excel, ל-JSON, או ל-PDF להדפסה. הייצוא כולל שם, אימייל, כותרת שיחה ואת טקסט ההודעות.

מנהל מורשה יכול גם למחוק חשבון של משתמש, ואת נתוני המסע שלו, ממסך הניהול. זה אותו היקף מחיקה שמתואר בסעיף 3.

כל פתיחה של שיחות של משתמש, וכל ייצוא, נרשמים ביומן פנימי: מי נכנס, לאיזה חשבון, ומתי. היומן נשמר כשנתיים. הוא מתעד את הגישה, לא מעתיק לתוכו את טקסט השיחה.

עותק בקרת האיכות (שאלה ותשובה עם ציון ביטחון נמוך) גלוי גם הוא למנהלים, למשך עד 60 יום.

במסך "המסע" נבנית תמונה נפרדת לכל ילד. כששיחה נוגעת בנושא מוכר, כשאתם עונים על שאלה קצרה, או כשאתם מדרגים נושא בעצמכם, המערכת רושמת ציון לאותו נושא אצל אותו ילד. הציון מתאר עוצמה של קושי, ואחר כך מכויל מול מה שכבר נמדד לאותו ילד, כדי שהגרף יהיה עקבי.

אצלכם על המסך הכיוון הפוך בכוונה: קו שעולה אומר שהמצב נרגע. ליד הגרף מופיעות מילים פשוטות כמו "רגוע", "מאתגר" או "קשה". הציון עוזר להציג מגמה, ולהחליט מתי לשאול שאלה קצרה. הוא אינו אבחון ואינו ציון על הילד.

• • מי רואה: אתם, בחשבון שלכם. אין מסך ניהול נפרד שמציג את גרפי המסע. מנהל שקורא שיחה רואה את הטקסט שממנו ציון יכול להיגזר.
• • מי מחשב: חלק מהחישוב נעשה אצלנו, וחלק נשלח ל-OpenAI כדי לכייל ציון אחד מול ההיסטוריה של אותו נושא. בבקשה הזו יכולים להופיע גיל הילד, שם הנושא, וקטע קצר ממה שכתבתם.
• • מה לא נכנס למסע: נושאים רגישים במיוחד, כמו מצוקה נפשית חמורה, פגיעה או סמים, מקבלים מענה בצ'אט ואינם נרשמים כנושא עם ציון במסע.

המידע עובר לספקים שבלעדיהם השירות לא עובד. כל אחד מקבל רק את מה שצריך לתפקיד שלו.

• OpenAI, לניסוח התשובות. כדי לנסח תשובה, תוכן השיחה נשלח ל-OpenAI. מה שנעשה בתוכן אצלם מתואר במדיניות הנתונים של OpenAI. יחד עם השיחה יכולים להישלח גם פרטי הילדים הרלוונטיים והזיכרונות. אותו ספק מכייל ציוני מסע, מנסח שאלות קצרות, מסווג נושא, ומנסח תזכורת אם ההתראות דולקות. התשובה להורה נוצרת כיום במודל gpt-4.1, וחישובי העזר במודל gpt-4.1-mini.
• Google, לכניסה. בכניסה עם Google אנחנו מקבלים שם, אימייל, מזהה חשבון ותמונת פרופיל, ונשמרים אצלנו. אין לנו גישה לתיבת הדואר, לקבצים או לשאר חשבון Google. באייפון ובאנדרואיד הכניסה עוברת דרך רכיב הכניסה של Google במכשיר.
• Apple, להתראות באייפון. באפליקציית האייפון, התראה שאישרתם עוברת גם דרך שירות ההתראות של Apple‏ (APNs), ולכן טקסט ההתראה שמגיע למסך עובר דרכו. זה כל התפקיד של Apple כאן: כניסה עם Apple אינה קיימת בשירות, Apple אינה מאמתת אצלנו כניסה, ואין לנו מזהה חשבון Apple שלכם.
• Firebase Cloud Messaging, להתראות. Firebase (שירות של Google) משמש לשליחת התראות לדפדפן ולאפליקציה. אסימון הדחיפה של המכשיר נשמר אצלנו, כמתואר בסעיף 1, וההודעה עצמה (למשל "שאלה קצרה" ושם הילד) עוברת דרך Firebase. זה אינו Firebase Authentication: ההתחברות לחשבון אינה דרך Firebase. באייפון המסירה ממשיכה גם דרך שירות ההתראות של Apple, ולכן Apple רואה את טקסט ההתראה שמגיע למסך.
• ספק תמלול, להכתבה. אם הכתבתם הודעה בקול, ההקלטה נשלחת לספק תמלול חיצוני והטקסט חוזר. ההקלטה אינה נשמרת אצלנו, ומה שנשלח לספק הוא ההקלטה בלבד — בלי שם, בלי מזהה חשבון ובלי פרטי הילדים. הספק הפעיל נקבע בהגדרת השרת: ברירת המחדל בקוד היא ElevenLabs (מודל scribe_v2), והקוד תומך גם ב-Deepgram‏ (nova-3), ב-OpenAI, ובמודל של ivrit.ai שרץ על שרת שאנחנו מפעילים. אם לא הכתבתם, אף הקלטה לא נשלחת לאף ספק.
• Axiom, ליומן הבקשות. לכל בקשה לשרת נשלח אירוע כמתואר בסעיף 1.2, כולל כתובת ה-IP ומזהה החשבון. השרתים בארצות הברית. טקסט שיחה, שמות ילדים ותוכן הודעות אינם נשלחים לשם. תקופת השמירה נקבעת בחשבון שלנו אצל Axiom, ולא בקוד.
• MongoDB Atlas, לאחסון. הפרופיל, השיחות, הזיכרונות, המסע ושאר הרשומות שמתוארות כאן נשמרים במסד נתונים בשם Psihologit אצל MongoDB Atlas.
• Vercel, לאחסון האתר והשרת. האתר וכתובת ה-API רצים על Vercel. בקשות, כולל תוכן שיחה בדרך לשרת, עוברות דרך התשתית הזו. גם המשימות המתוזמנות שמפעילות את ההתראות והשאלות הקצרות (חמש כאלה כיום) יוצאות משם.
• Google Fonts, לגופנים. הדפדפן טוען גופנים משרתי Google כדי להציג את האפליקציה. בטעינה Google עשויה לראות את כתובת הרשת של הדפדפן.
• דרישה על פי דין. נמסור מידע אם נידרש לכך לפי דין, צו בית משפט או רשות מוסמכת.

• • סיסמאות נשמרות כגיבוב bcrypt, לא כטקסט שאפשר לקרוא.
• • התקשורת עם השרת מוצפנת ב-HTTPS.
• • באתר ההתחברות נשמרת בעוגיית התחברות מאובטחת, שהדפדפן לא חושף לסקריפטים בעמוד. באפליקציה האסימון נשמר במחסן המוצפן של המכשיר.
• • הגישה למסד מוגבלת למפתח החיבור של השרת, ומסך הניהול פתוח רק לחשבונות Google שאושרו.
• • אלה אמצעים מקובלים. אף שיטה אינה חסינה לגמרי, ואי אפשר להבטיח הגנה מפני כל סיכון.

בתוך האפליקציה, ובפנייה אלינו, עומדות לכם הפעולות האלה:

לבקשות האלה כתבו אל horutbakis@gmail.com. נשתדל לחזור בהקדם, ובדרך כלל תוך 30 יום.

• • האפליקציה מיועדת להורים ולמטפלים מעל גיל 18. ילדים אינם נרשמים ואינם אמורים לשוחח עם הצ'אט בעצמם.
• • ההכוונה מיועדת לילדים עד גיל 15. השירות אינו מיועד למתבגרים בני 16 ומעלה.
• • בורר תאריך הלידה מציג את 19 השנים האחרונות, ולכן אפשר לסמן בו גם תאריך שנותן גיל 16 עד 18. השמירה עצמה נחסמת: גם האפליקציה וגם השרת דוחים הוספה או עדכון של ילד מגיל 16 ומעלה, ובמקום זה מופיעה הודעה שהשירות מלווה ילדים עד גיל 15.
• • ילד שנשמר בפרופיל לפני שהחסימה נכנסה לתוקף יכול להישאר שם, ועדכון פרטים שאינו נוגע לתאריך הלידה אינו נחסם. הפרטים נשמרים עם שאר החשבון עד שתסירו את הילד או תמחקו את החשבון.
• • מידע על ילד מגיע מכם: שם, תאריך לידה, מין ואופי, ומה שאתם מספרים בשיחה.
• • הסרת ילד מוחקת את נתוני המסע שלו. מחיקת החשבון מוחקת את פרטי כל הילדים, בכפוף למה שנשאר לזמן מוגבל בסעיף 3.
• • אם נודע לכם שנשמר מידע על ילד בלי שההורה מסר אותו, כתבו אלינו ונבדוק את זה.

• • באתר יש עוגיית התחברות חיונית. היא שומרת את החיבור לחשבון, והדפדפן לא חושף אותה לסקריפטים בעמוד. מי שכבר היה מחובר עובר אליה אוטומטית.
• • באחסון המקומי של הדפדפן נשמרים בחירה של מצב כהה, סימון שסיימתם את הסיור במסע, ומונה כדי לא להציג את אותה שאלה קצרה שוב ושוב. אסימון ההתחברות לא נשמר שם.
• • באפליקציה לנייד, אסימון ההתחברות נשמר במחסן המוצפן של המערכת. במחסן הרגיל של האפליקציה נשמרים עותק של הפרופיל לתצוגה בלי רשת, סימון הסיור, מוני שאלות, ותור קצר של דיווחי תקלה עד שהם נשלחים.
• • אנחנו לא שותלים עוגיות מעקב של צד שלישי. כניסה עם Google עשויה להשתמש בעוגיות של Google, לפי המדיניות שלהם.

המדיניות הזו תתעדכן כשהמוצר משתנה. שינוי מהותי יפורסם באפליקציה, ותאריך "עודכן לאחרונה" בראש העמוד יזוז. המשך שימוש אחרי עדכון הוא הסכמה לנוסח החדש. כדאי להציץ כאן מדי פעם.

לשאלות, לבקשת עיון או מחיקה, או לתלונה על פרטיות: