מדיניות פרטיות

עדכון אחרון: 23 באוקטובר 2026

מדיניות פרטיות זו מסבירה אילו נתונים אישיים אוספת אפליקציית המשפחה We ("We", "השירות", "אנחנו"), לאילו מטרות, מי מעבד אותם עבורנו, כמה זמן הם נשמרים, ואילו זכויות יש לך לגביהם. השירות מופעל על ידי TZ Develop Team (תומר זגורי), ישראל ("המפעיל"), בעל השליטה בנתונים האישיים המתוארים כאן. יצירת קשר: info@wefamilyapp.com.

המדיניות נכתבה כך שתתאר את מה שהאפליקציה עושה בפועל — לא פחות ולא יותר. במקרה של סתירה בין תרגום של מדיניות זו לבין הגרסה האנגלית — הגרסה האנגלית גוברת.

1. תחולה ודין חל

מדיניות זו חלה על אפליקציית We לנייד (Android ו-iOS), על גרסת הווב ועל האתר wefamilyapp.com. אנו מעבדים נתונים אישיים בהתאם לחוק הגנת הפרטיות, התשמ"א-1981 (לרבות תיקון 13), ובמקרים שבהם היא חלה עליך — גם בהתאם לתקנות הגנת המידע האירופיות (GDPR). לעניין ה-GDPR, המפעיל הוא בעל השליטה במידע (Data Controller).

הודעה לפי סעיף 11 לחוק הגנת הפרטיות. אין עליך חובה חוקית למסור לנו נתונים אישיים; מסירתם תלויה ברצונך. בלי פרטי חשבון לא נוכל לפתוח לך חשבון, ובלי הרשאת מכשיר (אנשי קשר, מיקום, מצלמה, מיקרופון, תמונות, לוח שנה) היכולת האחת שזקוקה לה לא תהיה זמינה, ושאר האפליקציה תמשיך לעבוד. הנתונים מעובדים למטרות המפורטות בסעיף 3, נמסרים רק לנמענים המפורטים בסעיף 5 (ובמקרים המפורטים בסעיף 7), וניתן לעיין בהם ולתקנם כמתואר בסעיף 10.

אם את/ה מתגורר/ת במדינה שאינה מוזכרת כאן, ייתכן שעומדות לך זכויות נוספות לפי הדין המקומי — פנו אלינו ונכבד אותן היכן שהן חלות.

2. אילו נתונים אנחנו אוספים

חשבון וזהות

• כתובת אימייל וסיסמה, או מספר טלפון מאומת — אחד מהם הוא הדרך שלכם להתחבר. חשבון שנפתח עם מספר טלפון הוא ללא אימייל וללא סיסמה; המספר מאומת בקוד שאנו שולחים ב-SMS בכל התחברות. ההזדהות מנוהלת בשרת זהויות עצמאי שלנו (Keycloak); הסיסמאות נשמרות שם בלבד, מגובבות (hash), ולעולם אינן גלויות לנו כטקסט.
• התחברות עם Google או Apple — אם בחרת בהתחברות חברתית, נקבל מהספק את השם, כתובת האימייל ותמונת הפרופיל. כשפותחים חשבון עם Google ומאשרים זאת במסך ההסכמה של Google, נקבל גם את המגדר, תאריך הלידה ומספר טלפון מפרופיל ה-Google שלך ש-Google אימתה; הם ממלאים את השדות המתאימים בפרופיל החדש שלך.

פרופיל

• שם פרטי ושם משפחה, תמונת פרופיל, מגדר, תאריך לידה, ומדינה ועיר מגורים — הכול רשות מלבד השם.
• מספר טלפון מאומת — רשות. מאמתים אותו פעם אחת באמצעות קוד שאנו שולחים ב-SMS, או שהוא מגיע מפרופיל ה-Google שלך כשפותחים חשבון עם Google (ראו למעלה); המספר נשמר בשרת ההזדהות שלנו, מוצג בפרופיל רק לך, ומוצע ככפתור חיוג לבני המשפחה שאיתם יש לך צ'אט. אנו שומרים גם hash שלו, כדי שקרובים שיש להם אותך באנשי הקשר יוכלו למצוא את החשבון שלך (ראו "אנשי קשר" בהמשך). אפשר להשתמש ב-We בלי לאמת מספר כלל.
• hash של האימייל — לכל חשבון עם כתובת אימייל מאומתת (כולל כתובת שהתקבלה מ-Google או Apple) אנו שומרים hash של הכתובת, כדי שקרובים שיש להם אותה באנשי הקשר יוכלו למצוא את החשבון שלך (ראו "אנשי קשר" בהמשך).
• פרופילי הנצחה עשויים לכלול תאריך פטירה של קרובים שהלכו לעולמם.
• אינדקס חיפוש של גרסאות כתיב של שמך (כולל תעתיקים בין שפות) שאנו מייצרים כדי שחיפוש בני משפחה יעבוד בכל שפה. ראו "יכולות AI" בהמשך.

אנשי קשר

• חיפוש משפחה באנשי הקשר — רק לאחר שאישרת את הרשאת אנשי הקשר במכשיר מתוך חיפוש המשפחה. מאז, בכל פעם שפותחים את חיפוש המשפחה, ספר הטלפונים נקרא בטלפון שלך; המספרים וכתובות האימייל שבו עוברים hash בטלפון, וה-hash-ים נשלחים אלינו כדי לענות אילו מהם שייכים לחשבונות We. שמות אנשי הקשר נשארים בטלפון: שמות שמקלידים בחיפוש המשפחה מושווים שם לאנשי הקשר. איננו שומרים את ה-hash-ים, את המספרים או את הכתובות, ואיש קשר שלך אינו מתווסף לשום דבר.

עץ המשפחה

• קשרי המשפחה שהגדרת (הורה, בן/בת זוג, ילד/ה), קבוצות משפחתיות והזמנות.
• פרופילים מנוהלים ("מקושרים") — פרופילים שאת/ה יוצר/ת ומנהל/ת עבור קרובים שאין להם חשבון משלהם — בעיקר מי שאין לו טלפון משלו, כמו ילדים צעירים, קרובים מבוגרים, קרובים שנפטרו וחיות מחמד. פרופיל כזה עשוי לכלול שם, תמונה, תאריך לידה, מגדר ועיר. אם את/ה מזמינ/ה את אותו אדם לקחת את הפרופיל לבעלותו כחשבון משלו (ראו סעיף 11), אנחנו אוספים גם את כתובת המייל שאת/ה מוסר/ת עבורו, לצורך שליחת ההזמנה. האחריות לוודא שיש לך סמכות ליצור פרופיל כזה מוטלת עליך (ראו תנאי השימוש).

תוכן שאת/ה משתפ/ת

• הודעות צ'אט, כולל תמונות, סרטונים, מסמכים והודעות קוליות, וכן תגובות, אישורי קריאה, תיוגים, תצוגות מקדימות של קישורים, סקרים והצבעות (גלויות למשתתפי הצ'אט בשמך) והזמנות למשחק.
• תמלול הודעות קוליות — הודעות קוליות מתומללות אוטומטית (ראו "מעבדי משנה" בהמשך) והתמלול נשמר עם ההודעה.
• מיקום — כשאת/ה בוחר/ת לשתף מיקום בצ'אט או לצרף מקום לאירוע משפחתי, נשמרות הקואורדינטות המדויקות ששיתפת. המיקום נקרא רק ברגע שבו את/ה מצרפ/ת מקום, ורק לצורך אותה פעולה.
• פוסטים בפיד, תגובות, ריאקציות, סקרים והצבעות (ההצבעות גלויות למשפחה בשמך), אירועים, חופשות ופוסטים מתוזמנים.
• סטטוס — סטטוס קצר שמפרסמים מוצג בפרופיל ובעץ המשפחה למשך 24 שעות, והמשפחה מקבלת עליו התראה. הוא נשמר עד שמחליפים או מסירים אותו, או מוחקים את החשבון.
• סטורי (זיכרונות משפחתיים), כולל מי צפה בכל סטורי, מי מתויג בו, ותגובות פומביות עליו (גלויות לקהל של הסטורי). בתום חלון 24 השעות הסטורי נשאר חלק מסיפור החיים בפרופיל שלך, גלוי לקהל שבחרת עבורו; ניתן להסתיר כל סטורי מהפרופיל או למחוק אותו.
• משימות משפחתיות, הקצאות וטבלאות ניקוד, ותמונה שצירפת למשימה; תזכורות שיחה שהגדרת.
• משחקים משפחתיים שאת/ה משחק/ת עם קרובים — המהלכים שעשית, תוצאות המשחקים, טבלאות המובילים ותוצאות האתגר היומי.

נתוני מכשיר ונתונים טכניים

• אסימון (token) התראות, שם ודגם המכשיר, פלטפורמה, גרסת אפליקציה, שפה ואזור זמן.
• סטטוס נוכחות (מקוון/לא מקוון) המשותף עם המשפחה שלך.
• רישומים תפעוליים סטנדרטיים (מתי נוצר או שונה רשומה, ועל ידי מי).

רישומי שימוש ומחזור חיים של החשבון

• אירועי מחזור חיים של החשבון — אנחנו שומרים רישום משלנו של מועד פתיחת החשבון, כניסות ויציאות, חידוש הפעלה, רישום מכשיר ומחיקת חשבון, יחד עם סוג הפלטפורמה וגרסת האפליקציה. הרישומים האלה מקושרים למזהה המשתמש שלך בלבד: אין בהם שם, כתובת מייל, מספר טלפון, כתובת IP או תוכן כלשהו שלך.
• אנליטיקת שימוש באפליקציה (אפליקציות האייפון והאנדרואיד) — האפליקציה מדווחת ל-Google Firebase Analytics אילו מסכים פתחת, את הצעדים הראשונים שלך באפליקציה (התחברות, אישור התנאים, וההיכרות עם עץ המשפחה וההדרכות שלו), שהזמנת קרוב משפחה, הוספת פרופיל של בן משפחה או שיתפת עבורו קישור התחברות (שזה קרה בלבד, בלי למי), דרך איזו אפליקציה שיתפת הזמנה ל-We (למשל וואטסאפ), האם אישרת התראות, שהתראה הגיעה לאפליקציה כשהיא הייתה פתוחה (מזהה ההתראה ומועדה, לא התוכן שלה), מתי האפליקציה נתקלה בשגיאה (הודעת השגיאה לאחר הסרת מזהים, והמסך שבו קרתה), מתי מתחילות ההפעלות שלך וכמה זמן הן נמשכות, ובאנדרואיד — קישור הקמפיין בחנות שממנו הגיעה ההתקנה. האירועים האלה נושאים מזהה אקראי ש-Firebase מקצה להתקנת האפליקציה, יחד עם דגם המכשיר, מערכת ההפעלה, גרסת האפליקציה, השפה, ומדינה ואזור משוערים ש-Google גוזרת מכתובת ה-IP שלך. הם אינם מקושרים לחשבון ה-We שלך, לשמך או לפרטי הקשר שלך. גרסת הווב אינה שולחת אנליטיקה.
• אנחנו משתמשים ברישומים האלה כדי להבין כמה אנשים משתמשים ב-We, באילו יכולות הם משתמשים, איך השירות מתפקד והיכן הוא נכשל. הם אינם נמכרים, אינם משותפים לצורכי פרסום, ואינם משמשים לבניית פרופיל עליך או לפילוח.
• בנוסף אנחנו מייבאים נתוני הורדות והתקנות מצטברים מ-App Store של Apple ומ-Google Play. הדוחות האלה אנונימיים, מגיעים כסכומים כוללים, ואינם מקושרים לחשבון מסוים.

נתוני תמיכה

• משוב ודיווחי תקלות שאת/ה שולח/ת, כולל צילום מסך שבחרת לצרף.
• דיווחים שהגשת על משתמשים או תוכן (כותרת ותיאור הדיווח).

אנליטיקה ומעקב: נתוני השימוש הם רישומי מחזור החיים שנשמרים בשרתים שלנו ואנליטיקת השימוש באפליקציה שתוארה למעלה, המעובדת על ידי Google Firebase Analytics כשיכולות הפרסום שלה כבויות. האפליקציה אינה קוראת את מזהה הפרסום של המכשיר (IDFA באייפון, Advertising ID באנדרואיד) ואינה עוקבת אחריך באפליקציות או באתרים אחרים. אנשי הקשר שלך נקראים רק לאחר שאישרת את הרשאת אנשי הקשר (ראו "אנשי קשר" למעלה), ואפשרות "רק אם לא דיברנו" בתזכורות מתבססת על פעילות בצ'אטים של WE בלבד.

3. מדוע אנו מעבדים את הנתונים

• לצורך מתן השירות (קיום חוזה): הפעלת החשבון, עץ המשפחה, הצ'אטים, הפיד, הסטורי, המשימות, התזכורות וההתראות.
• בהסכמתך: גישה למצלמה, למיקרופון, לספריית התמונות, למיקום מדויק, ללוח השנה ולאנשי הקשר נעשית רק לאחר שאישרת את ההרשאה במכשיר, ורק עבור הפעולה שיזמת (צילום, הקלטת הודעה קולית, הכתבה של הודעה או שאלה לעוזר ה-AI האישי, צירוף מיקום, הוספת אירוע ללוח השנה, חיפוש משפחה באנשי הקשר). אימות הטלפון מתבצע רק כשאת/ה מתחיל/ה אותו.
• אינטרס לגיטימי: אבטחת השירות, מניעת שימוש לרעה, טיפול בדיווחים ובחסימות, תיקון תקלות על סמך משוב ששלחת, ומדידת אופן השימוש באפליקציות כדי לשפר אותן.

הנתונים האישיים משמשים למטרות אלה בלבד: הם לעולם אינם נמכרים ואינם משמשים לפרסום, וספקי ה-AI המפורטים בסעיף 5 מעבדים את התוכן שלך בתנאים שאינם מאפשרים אימון מודלים עליו. אנחנו כן קוראים מדגם מצומצם ומבוקר-גישה של שיחות עם עוזר ה-AI האישי כדי לתקן ולשפר את עוזר ה-AI האישי עצמו — ראו סעיף 4.

4. יכולות AI

רוב יכולות ה-AI ב-We מבוססות על שירות Azure OpenAI של Microsoft (ראו "מעבדי משנה"). כשמשתמשים באחת מהן, נתונים רלוונטיים נשלחים לשירות זה לצורך הפקת התשובה:

• עוזר ה-AI האישי באפליקציה — כשאת/ה משוחח/ת עם עוזר ה-AI האישי, השיחה עמו מעובדת בשירות ה-AI יחד עם הקשר שהאפליקציה מספקת כדי שהתשובות יהיו מועילות: עץ המשפחה שלך (שמות, קשרים, תאריכי לידה), וכן — כשעוזר ה-AI האישי מאתר עבורך מידע לבקשתך — תוכן שהוא שולף בשמך, כמו פריטי פיד, סטורי או פרטי פרופיל, ולגבי צ'אטים — נתוני־העל: אילו צ'אטים יש לך, מי המשתתפים, כמה הודעות לא נקראו ומתי הצ'אט היה פעיל לאחרונה; וכשאת/ה מבקש/ת סיכום (אמ;לק) של צ'אט שאת/ה חבר/ה בו — ההודעות האחרונות בו (עד 50: הטקסט שלהן, שאלות סקרים ותמלולי הודעות קוליות וסרטונים), שמשמשות לכתיבת הסיכום; הסיכום נשמר כחלק מהשיחה עם עוזר ה-AI האישי. שלב הסתרה אוטומטי מנסה למסך פרטים מזהים בהודעות שהקלדת לפני שליחתן; הוא פועל בצורה הטובה ביותר בטקסט באנגלית, ואינו חל על ההקשר שהאפליקציה מספקת. אנחנו גם שומרים את השיחה שלך עם עוזר ה-AI האישי — ההודעות שלך והתשובות שלו — בשרתים שלנו, כדי שתוכל/י לחזור אליה ולהמשיך מהמקום שבו הפסקת. שיחות נשמרות עד 90 ימים מההודעה האחרונה בהן, ואז נמחקות אוטומטית. בתוך חלון הזמן הזה צוות הפיתוח שלנו עשוי לקרוא שיחות, בהיקף מצומצם ובגישה מבוקרת, כדי לאתר ולתקן תקלות בעוזר ה-AI האישי ולשפר את תשובותיו. זאת מכוח אינטרס לגיטימי בהפעלת שירות תקין — לעולם לא לצורך פרופיילינג ולא לפרסום. שמירת שיחה אינה אימון מודלים: לא אנחנו ולא Microsoft משתמשים בה לאימון מודלי AI. ניתן למחוק שיחה בכל עת מתוך היסטוריית השיחות בחלון עוזר ה-AI האישי, או את כולן בבת אחת מאותו מסך; מחיקת החשבון מוחקת את כולן מיד.
• חיפוש שמות — שמך הפרטי ושם משפחתך מעובדים בשירות ה-AI כדי לייצר גרסאות כתיב ותעתיק, כך שקרובים יוכלו למצוא אותך בכל שפה.
• הצעות לסטטוס — כשפותחים את חלון הסטטוס, נשלחים השם הפרטי, המגדר, המדינה, השפה, השעה המקומית ושמות החגים הקרובים (וגם, בלי לציין שם, שלקרוב/ה יש יום הולדת) כדי להציע סטטוסים שאפשר לפרסם.
• פותחי שיחה — כדי להציע פתיח חם בצ'אט שקט, נשלחים השמות הפרטיים של שני המשתתפים, המגדר, קשר המשפחה, השפה ושעת היום (לעולם לא היסטוריית ההודעות).
• תמלול קולי — הודעות קוליות מתומללות באמצעות Azure Speech של Microsoft.
• הכתבה — כשבוחרים להכתיב הודעה או שאלה לעוזר ה-AI האישי במקום להקליד, הדיבור מומר לטקסט על ידי שירות זיהוי הדיבור של הטלפון (Apple באייפון, Google באנדרואיד; בדפדפן — שירות הדיבור של הדפדפן). באייפון מועברים גם השמות הפרטיים והמלאים של בני המשפחה (בהכתבה לעוזר ה-AI האישי) או של משתתפי הצ'אט, כרמזים כדי שהמזהה יכתוב אותם נכון. האודיו והרמזים האלה נשלחים לספק הזה לצורך הזיהוי לפי תנאיו ואינם נשלחים אלינו; רק הטקסט שבחרת לשלוח מגיע לשירות.

Azure OpenAI ו-Azure Speech מעבדים נתונים אלה לצורך מתן היכולת בלבד; על פי תנאי Microsoft, נתונים המעובדים בשירותים אלה אינם משמשים לאימון המודלים שלהם. Microsoft עשויה לשמור בקשות ותשובות עד 30 ימים לצורכי ניטור שימוש לרעה, בתוך אותו אזור נתונים אירופי ובגישה לצוות מורשה של Microsoft בלבד. תשובות עוזר ה-AI האישי עשויות להיות שגויות — אין להסתמך עליהן כייעוץ מקצועי.

הצעות לברכת יום הולדת פועלות אחרת: השם הפרטי של בעל/ת יום ההולדת, המגדר וקשר המשפחה אליך מועברים למודל AI המובנה במערכת ההפעלה של הטלפון. השלב הזה אינו שולח דבר מחוץ למכשיר — הברכה נכתבת מקומית ואנחנו לעולם לא מקבלים אותה.

5. מעבדי משנה וצדדים שלישיים

אנו משתפים נתונים אישיים רק עם ספקי השירות הבאים, ורק לצורך הפעלת האפליקציה:

ההזדהות (Keycloak) ושלב הסתרת הפרטים (Presidio) פועלים על תשתית שלנו. שרת הזהויות שומר יומן של אירועי התחברות, כולל כתובת ה-IP שממנה נעשתה ההתחברות, למשך 7 ימים, לצורכי אבטחה. מנגנון העדכונים של האפליקציה שואל את השרת שלנו מהי גרסת האפליקציה הנוכחית ושולח את גרסאות האפליקציה, מערכת ההפעלה ומנגנון העדכון, הפלטפורמה, האם המכשיר הוא אמולטור, ומזהה התקנה אקראי.

תצוגות מקדימות של קישורים. כשמישהו משתף קישור בצ'אט, בפיד או בסטורי, השרת שלנו מושך פעם אחת את כותרת העמוד ואת תמונת התצוגה שלו; תמונת התצוגה נטענת אחר כך באפליקציה ישירות מהאתר המקושר, ולכן אותו אתר רואה את כתובת ה-IP של המכשיר שלך, כמו בפתיחת הקישור.

חלק מהספקים מעבדים נתונים מחוץ לישראל ולאיחוד האירופי (כולל ארה"ב). בהעברות כאלה אנו מסתמכים על התחייבויות הגנת המידע הסטנדרטיות של הספקים (כולל סעיפים חוזיים סטנדרטיים של האיחוד האירופי, במקרים הרלוונטיים).

6. עוגיות ואחסון מקומי

We משתמשת באחסון במכשיר שלך רק כדי שהאפליקציה תעבוד:

• באפליקציה ובגרסת הווב — אסימוני ההתחברות, השפה, העדפות תצוגה (רקעים, רטט, הצעות שנדחו), אסימון ההתראות ומצב האפליקציה (למשל איזו תצוגת עץ משפחה השתמשת בה לאחרונה) נשמרים באחסון המקומי של האפליקציה במכשיר. בגרסת הווב זהו האחסון המקומי של הדפדפן עבור wefamilyapp.com. אפליקציות האייפון והאנדרואיד שומרות גם את מזהה ההתקנה האקראי ש-Firebase Analytics משתמשת בו (סעיף 2).
• בשרת הזהויות שלנו (identity.wefamilyapp.com) — כשמתחברים דרך דפדפן, השרת מציב עוגיות סשן משלו (Keycloak: AUTH_SESSION_ID, KC_AUTH_SESSION_HASH, KC_AUTH_STATE, KC_RESTART, KEYCLOAK_IDENTITY, KEYCLOAK_SESSION, KEYCLOAK_REMEMBER_ME, KEYCLOAK_LOCALE, וזוג העוגיות KEYCLOAK_3P_COOKIE שבודק אם הדפדפן חוסם עוגיות צד שלישי) כדי שתישאר/י מחובר/ת וכדי לזכור את השפה שלך.

כל אלה הכרחיים להפעלת השירות, ולכן האפליקציה אינה מציגה באנר עוגיות: אין עוגיות אנליטיקה או פרסום ואין פיקסלי מעקב. הצד השלישי היחיד שעשוי להציב עוגיות בדומיין שלו הוא Google, כשפותחים מפה או שדה כתובת בגרסת הדפדפן (סעיף 5). ניקוי נתוני האפליקציה או אחסון הדפדפן מנתק אותך ומאפס את ההעדפות האלה.

7. מתי נמסור מידע

מעבר למעבדי המשנה שלעיל, נמסור נתונים אישיים רק במקרים הבאים:

• דרישות דין — כשהדבר נדרש על פי דין, צו שיפוטי או דרישה תקפה של רשות מוסמכת, או בתום לב כשהדבר נחוץ להגנה על ביטחון המשתמשים או הציבור, לבירור שימוש לרעה או הונאה הקשורים לשירות, או לביסוס והגנה על טענות משפטיות.
• העברה עסקית — אם השירות יהיה מעורב במיזוג, רכישה או העברת נכסים, נתונים אישיים עשויים לעבור כחלק מכך; נודיע לך לפני שהנתונים שלך יהיו כפופים למדיניות פרטיות אחרת.

קישורים שמשתמשים משתפים (בצ'אטים, בפיד או בסטורי) עשויים להוביל לאתרים חיצוניים שאיננו מפעילים; נוהלי הפרטיות שלהם כפופים למדיניות שלהם.

8. מי יכול לראות את התוכן שלך

• השירות בנוי סביב המשפחה שלך: הפרופיל, העץ, הפיד, הסטורי והמשימות גלויים לבני משפחתך. הודעות צ'אט גלויות רק למשתתפי אותו צ'אט.
• כל מה שאת/ה משתפ/ת גלוי לבני משפחתך בלבד, ובצ'אטים — למשתתפי הצ'אט בלבד. הדרכים היחידות שבהן מישהו מחוץ למשפחה יכול למצוא אותך הן חיפוש שמות והתאמת אנשי הקשר שתוארה למעלה (קרובים שיש להם את מספר הטלפון או כתובת האימייל שלך באנשי הקשר). תמונות הפרופיל הן החריג היחיד — ראו בסעיף הבא.
• תמונות פרופיל מאוחסנות באחסון ענן בכתובות אינטרנט שאינן מפורסמות — מי שמחזיק בקישור המדויק יכול לפתוח את התמונה. שאר המדיה (צ'אט, פיד, סטורי ותמונות משימות) דורשת קישור מאומת ומוגבל בזמן. צילומי מסך המצורפים למשוב נשמרים במערכת ניהול הפיתוח הפרטית שלנו, בגישה לצוות הפיתוח בלבד.
• צוות We אינו קורא את הודעות הצ'אט המשפחתיות שלך; שיחות עם עוזר ה-AI האישי עשויות להיקרא בהיקף מצומצם ובגישה מבוקרת לצורך תיקון ושיפור עוזר ה-AI האישי, כמתואר בסעיף 4. גישה תפעולית לנתוני ייצור מוגבלת לנדרש להפעלת השירות ולתיקון תקלות.

9. שמירה ומחיקה

• מחיקת חשבון היא מיידית וסופית. עם מחיקת החשבון (הגדרות ← מחיקת חשבון, או בפנייה במייל), הזהות, הפרופיל ותמונת הפרופיל, הסטורי, המשימות, התזכורות, רישומי המכשירים, העדפות ההתראות וההשתקות, תיבת העדכונים והשיחות עם עוזר ה-AI האישי נמחקים מהמערכות שלנו מחיקה קשיחה, ואיתם פרופילים מנוהלים שרק את/ה ניהלת. הודעות ששלחת בצ'אטים, ופוסטים, תגובות ותגובות רגש ששיתפת בפיד המשפחתי, נשארים בצ'אטים ובפיד אצל בני המשפחה שהשתתפו בהם, יחד עם התמונות, הסרטונים והתמלולים שבהם. השם, תמונת הפרופיל ומספר הטלפון שלך מוסרים מהם ומוחלפים בכינוי אנונימי. אפשר למחוק כל פריט כזה בעצמך לפני מחיקת החשבון. אין חלון שחזור.
• ניתן גם למחוק פריטים בודדים (הודעות, פוסטים, תגובות, סטורי, משימות, תזכורות, בני משפחה, פרופילים מקושרים) בכל עת מתוך האפליקציה.
• שיחות עם עוזר ה-AI האישי נשמרות עד 90 ימים מההודעה האחרונה בהן ואז נמחקות אוטומטית. ניתן למחוק שיחה מוקדם יותר מתוך היסטוריית השיחות בחלון עוזר ה-AI האישי, או את כולן בבת אחת מאותו מסך, והן נמחקות יחד עם החשבון.
• תיבת העדכונים — רשימת ההתראות שקיבלת בתוך האפליקציה (טקסט ההתראה ועל מי או על מה היא) נשמרת עד 90 ימים ואז נמחקת אוטומטית; היא נמחקת יחד עם החשבון.
• חריגים: משוב ששלחת בעבר (כולל צילום המסך) נשמר במערכת ניהול הפיתוח שלנו ואינו נמחק אוטומטית עם מחיקת החשבון — ניתן לפנות אלינו במייל להסרת פריט משוב ספציפי. דיווחים על שימוש לרעה נשמרים כל עוד נדרש לטיפול בהם. עותקים בתורי ההודעות הפנימיים ובגיבויים נמחקים אוטומטית בטווח של ימים עד שבועות. אנליטיקת השימוש באפליקציה אינה מקושרת לחשבון שלך; Google מוחקת את הנתונים ברמת האירוע אחרי חודשיים. רישומי מחזור החיים של החשבון שתוארו בסעיף 2 — שחשבון עם מזהה המשתמש שלך נפתח בתאריך מסוים, נכנס למערכת ונמחק בהמשך — נשמרים גם אחרי המחיקה, כדי שהספירה שלנו של כמה אנשים הצטרפו ועזבו תישאר מדויקת לאורך זמן; אין בהם שם, פרטי קשר או תוכן. גם המהלכים שנרשמו במשחקים משפחתיים ששיחקת עם אחרים נשמרים כחלק מהיסטוריית אותם משחקים.
• ה-hash-ים של אנשי הקשר שנשלחים לחיפוש משפחה מושווים ונמחקים באותה בקשה; דבר מאנשי הקשר שלך אינו נשמר.
• סטורי נשמר בכוונה גם אחרי חלון 24 השעות — הוא הופך לחלק מסיפור החיים בפרופיל. מחיקת סטורי מסירה אותו לצמיתות.

10. הזכויות שלך

• עיון ותיקון — צפייה ועריכה של הפרופיל בהגדרות ← פרופיל. לכל נתון אחר שאנחנו מחזיקים עליך — פנו אלינו במייל ונמסור או נתקן אותו. אנחנו עונים לבקשות בתוך 30 ימים, ועשויים לוודא קודם שהבקשה מגיעה מבעל/ת החשבון.
• מקור הנתונים — כל מה שאנחנו מחזיקים עליך נמסר על ידך, נוצר מהשימוש שלך בשירות, או הוזן על ידי בן משפחה (קשר משפחתי שהגדיר, פרופיל מנוהל שיצר, תיוג או אזכור). ניתן לשאול אותנו איזה מהם חל על פריט מסוים.
• הגבלה, התנגדות וביטול הסכמה — ניתן להתנגד לעיבוד המבוסס על אינטרס לגיטימי שלנו, לבקש הגבלת עיבוד, ולבטל בכל עת הסכמה שנתת (למשל על ידי ביטול הרשאה במכשיר).
• מחיקה — הגדרות ← מחיקת חשבון, או במייל מהכתובת שנרשמת איתה. ראו את עמוד מחיקת החשבון.
• קבלת עותק מהנתונים — אין כרגע ייצוא עצמאי מתוך האפליקציה; פנו אלינו ל-info@wefamilyapp.com ונספק עותק של הנתונים שלך בתוך 30 ימים, בפורמט מקובל וקריא למחשב.
• התנגדות ותלונה — ניתן לפנות אלינו בכל נושא עיבוד, וכן להגיש תלונה לרשות להגנת הפרטיות בישראל, או — אם ה-GDPR חל עליך — לרשות הגנת המידע המקומית.

11. ילדים ופרופילים מנוהלים

כל מי שמלאו לו 13 יכול לפתוח חשבון We משלו (ראו תנאי השימוש); במקום שבו הדין קובע גיל גבוה יותר לשימוש עצמאי בשירותים מקוונים (עד 16 בחלק ממדינות האיחוד האירופי), נדרשת הסכמת הורה או אפוטרופוס עד הגעה לגיל זה. חשבון של ילד/ה פועל כמו כל חשבון אחר: התוכן שלו/ה משותף עם המשפחה כמתואר בסעיף 8. ילדים צעירים יותר וקרובים אחרים שאין להם טלפון משלהם מופיעים באמצעות פרופילים מנוהלים (מקושרים), שמנהל בן המשפחה שיצר אותם. בן המשפחה הזה אחראי לכך שיש בידיו הסמכות (לרבות סמכות הורית) לשתף את פרטי אותו אדם, ויכול לערוך או למחוק את הפרופיל בכל עת.

העברת פרופיל לבעלות. יש חריג אחד: בן המשפחה שיצר פרופיל מנוהל יכול להזמין את האדם החי שהפרופיל מתאר לקחת אותו לבעלותו כחשבון משלו. האפשרות פתוחה ליוצר הפרופיל בלבד, ורק עבור פרופיל של אדם חי — לעולם לא עבור חיית מחמד או קרוב/ה שנפטר/ה. היוצר מוסר לנו כתובת מייל של אותו אדם, שאליה נשלחת ההזמנה, או מבקש קישור חד-פעמי שהוא מעביר בעצמו; בשני המקרים זהו קישור התחברות חד-פעמי שתוקפו פג אחרי 7 ימים, ומי שפותח קישור שהועבר מזין בו את כתובת המייל שלו; אנחנו שומרים רק גיבוב (hash) קריפטוגרפי של הקישור, לא את הקישור עצמו. כל מי שמחזיק בקישור יכול לראות את שמו הפרטי ושם המשפחה של הפרופיל לפני שהוא נתבע, ולכן יש לשלוח אותו רק לאדם שאליו הוא שייך. ברגע שהפרופיל נתבע הוא הופך לחשבון מלא בשליטת אותו אדם, והקרוב/ה שיצר/ה אותו אינו/ה יכול/ה עוד לערוך או למחוק אותו. לא ניתן לבטל זאת. עד לתביעת ההזמנה, היוצר יכול לבטל אותה בכל עת, והיא מתבטלת אוטומטית אם הפרופיל מסומן כנפטר.

12. אבטחת מידע

כל התעבורה מוצפנת במעבר (TLS). הנתונים נשמרים בבסיסי נתונים ובאחסון מבוקרי-גישה ב-Microsoft Azure, וההזדהות מנוהלת בשרת זהויות ייעודי. הגישה למערכות הייצור מוגבלת לצוות הפיתוח. אין מערכת מאובטחת באופן מושלם — אם ייוודע לנו על אירוע אבטחה שנוגע לנתוניך, נודיע לך כנדרש בדין.

13. שינויים במדיניות

כשנעדכן מדיניות זו נעדכן את התאריך שבראשה, ובשינויים מהותיים — נודיע גם באפליקציה. המשך שימוש בשירות לאחר שינוי משמעו שהמדיניות המעודכנת חלה.

14. יצירת קשר

TZ Develop Team — ישראל
info@wefamilyapp.com