הודעת פרטיות

שני סוגי אנשים, שני תפקידים שונים

בית עסק נרשם ל-LoyalX ומפעיל מועדון לקוחות. לגבי פרטי החשבון של אותו עסק, LoyalX היא שקובעת מה נאסף ולשם מה.

הלקוחות של אותו עסק מצטרפים למועדון שלו. הפרטים שלהם שייכים לעסק ולא ל-LoyalX: העסק מחליט מה לאסוף ומה לעשות בזה, ו-LoyalX שומרת ומעבדת את זה לפי הוראות העסק. אם אתם לקוחות ורוצים לשנות או להסיר פרטים, נכון לפנות קודם לעסק — אבל אפשר לפנות גם אלינו ונפעל.

מה אנחנו שומרים על חשבון עסקי

כשמישהו פותח חשבון LoyalX אנחנו שומרים:

• כתובת דוא״ל, שם תצוגה ושפה שנבחרה.
• גיבוב של הסיסמה, אם לחשבון יש סיסמה. הסיסמה עצמה אינה נשמרת ואיננו יכולים לקרוא אותה.
• אם נעשה שימוש בכניסה עם Google: המזהה של חשבון Google והדוא״ל והשם ש-Google מוסרת לנו. אנחנו מבקשים מ-Google זיהוי בלבד.
• הפעלות (sessions), כל אחת עם מחרוזת הדפדפן וגיבוב עם מפתח של כתובת ה-IP. כתובת ה-IP עצמה אינה נכתבת למסד הנתונים.
• פרטי העסק שהוזנו בהקמה: שם, שם משפטי, מספר עוסק, סניפים, כתובות ליצירת קשר ולפניות פרטיות, הגדרות תוכנית הנאמנות והמיתוג.

כל זה משמש להפעלת החשבון, לכניסה למערכת, לשמירה על אבטחת החשבון וליצירת קשר עם העסק בענייני השירות שלו.

מה הלקוחות של העסק מוסרים

כשלקוח מצטרף למועדון, הטופס מבקש:

• שם פרטי.
• מספר טלפון או כתובת דוא״ל, לפי מה שהעסק בחר כמזהה. לפחות אחד מהם נדרש כדי שאפשר יהיה למצוא את הכרטיס בדלפק.
• השפה שנבחרה, והאם הסכימו להודעה ולתנאים — עם הגרסה של אותו טקסט והרגע שבו הסכימו.
• האם אישרו קבלת דיוור, בנפרד מהתנאים, עם גרסה וחותמת זמן משלו.
• פעילות הנאמנות: חותמות, ביקורים, הטבות שנצברו ומומשו, באיזה סניף ומי מהצוות שירת אותם.

אין שדה שם משפחה, אין כתובת, אין תאריך לידה, אין הערה חופשית ואין פרופיל. LoyalX אינה מוסיפה שדות בגלל שאולי יהיו שימושיים יום אחד.

דיוור שיווקי, ומה המשמעות של אישור לקבלו

כשלקוח מצטרף למועדון של עסק, הטופס שואל שאלה אחת שאינה חובה: האם הוא מעוניין לקבל מבצעים מיוחדים, הטבות ועדכונים מאותו עסק. התיבה לעולם אינה מסומנת מראש, היא לעולם אינה מאוחדת עם ההסכמה להצטרף, והמועדון פועל בדיוק אותו דבר בשני המקרים.

כרגע דוא״ל הוא הערוץ היחיד שבו LoyalX שולחת דיוור שיווקי. אין שליחת SMS ואין שליחת WhatsApp: לא מחובר ספק, והמערכת מסרבת לשלוח בערוצים האלה במקום לנסות.

אם יתווסף בעתיד ערוץ שליחה חדש, הסכמה שניתנה תחת ההודעה הזו אינה עוברת אליו. אישור שניתן היום הוא אישור למה שההודעה הזו מתארת, וערוץ שלא היה קיים כשאדם ענה אינו יכול להיכלל בתשובתו. עבור ערוץ חדש תוצג שאלת הסכמה נפרדת.

אפשר לאשר בלי למסור כתובת דוא״ל — למשל בעסק שאוסף רק מספרי טלפון. האישור נרשם כפי שניתן, והלקוח אינו נכלל בשום קהל דיוור, מפני שאין לאן לשלוח.

כל תשובה נכתבת לרישום שאי אפשר לשנות או למחוק, ובו גרסת הנוסח המדויקת שאושרה, גרסת טופס ההרשמה שבו הוצגה, המועד, העסק, הלקוח והשפה שבה הוצגה. שינוי תשובה מוסיף רישום חדש; הוא לעולם אינו עורך או מוחק את הקודם.

אפשר לבטל את ההסכמה בכל עת מעמוד הכרטיס האישי, דרך אותו קישור שמציג את החותמות. הביטול עוצר את הדיוור מיד ואינו משפיע על הכרטיס, על החותמות או על הטבה שכבר נצברה.

כתובת חסומה היא עניין נפרד מהסכמה. אם דוא״ל חוזר או מתקבלת תלונה, LoyalX מפסיקה לשלוח לאותה כתובת בלי קשר למה שאושר, מפני שיכולת המסירה היא עובדה על תיבת הדואר ולא אמירה של האדם.

הדיוור יישלח על ידי העסק שאליו הצטרפתם, ו-LoyalX תשמש לו כשירות שליחה בלבד. ליתר דיוק לגבי המצב היום: אף עסק לא שלח מעולם קמפיין, ואין עדיין במוצר כלי לעשות זאת — מה שנבנה הוא ההסכמה, הזכאות וההסרה. LoyalX אינה משווקת ללקוחות של אף עסק למטרותיה שלה, ואין בקוד שום מסלול שבוחר את לקוחות המועדון של עסק כנמענים של קמפיין של LoyalX.

כרטיסים בארנק וקודי QR

אפשר להוסיף כרטיס נאמנות ל-Apple Wallet או ל-Google Wallet. הכרטיס נושא את השם הפרטי של הלקוח, קוד החבר שלו, מצב החותמות, ההטבה, והמיתוג ופרטי הקשר של העסק. הוא אינו נושא את מספר הטלפון או כתובת הדוא״ל של הלקוח.

קוד ה-QR שעל הכרטיס הוא מזהה אטום עם חתימה, לא הפרטים של הלקוח. אם כרטיס נסגר, המזהה מפסיק לעבוד והכרטיס בארנק מבוטל. עבור כרטיסי Apple אנחנו שומרים גם מזהה לכל מכשיר ואסימון דחיפה כדי שהכרטיס יתעדכן מעצמו; שניהם נמחקים שבעה ימים לאחר ביטול הכרטיס, ושניהם נשמרים כל עוד הכרטיס פעיל.

מעקב

LoyalX אינה מפעילה כלי אנליטיקה, פיקסלים למעקב, תגיות פרסום או כלי הקלטת הפעלות. אין באתר הזה Google Analytics, אין פיקסל של Meta, ואין שום סקריפט של צד שלישי.

נעשה שימוש בארבע עוגיות, כולן של LoyalX עצמה ואף אחת מהן אינה לפרסום:

• עוגיית ההפעלה, ששומרת משתמש עסקי מחובר. נוצרת בכניסה, נמחקת ביציאה, ותקפה לכל היותר שלושים יום.
• עוגייה שזוכרת באיזה עסק אתם עובדים כרגע, אם החשבון שלכם שייך ליותר מאחד. נשמרת שנה.
• עוגייה קצרת-מועד שמשמשת רק במהלך כניסה עם Google, כדי להגן על הכניסה מפני שיבוש. תקפה עשר דקות ונמחקת מיד בסיום הכניסה.
• עוגייה שזוכרת אם בחרתם ערבית, עברית או אנגלית. נשמרת שנה.

כתובות IP משמשות להגבלת קצב מול ניצול לרעה ונשמרות רק כגיבוב עם מפתח, שאי אפשר להפוך בחזרה לכתובת. אין במסד הנתונים טבלה שמחזיקה כתובת IP קריאה.

מי עוד רואה את הנתונים

LoyalX פועלת על מספר קטן של שירותים, שכל אחד מהם רואה חלק מוגדר:

• Vercel מארחת את היישום, בפרנקפורט. היא מעבדת כל בקשה, ולכן עקרונית רואה כל מה שמוקלד באתר.
• Supabase מספקת את מסד הנתונים המנוהל PostgreSQL, בפרנקפורט. שם נמצאים כל הנתונים שתוארו למעלה. LoyalX משתמשת בה כמסד נתונים בלבד — לא לזיהוי ולא לאחסון קבצים.
• Resend שולחת דואר תפעולי: אימות, איפוס סיסמה, הזמנות לצוות, תשובות תמיכה ואישורי מחיקה. היא מקבלת את כתובת הנמען ואת תוכן ההודעה.
• Apple מקבלת את תוכן הכרטיס בארנק ואת הודעות הדחיפה שמעדכנות אותו, אך רק כאשר לקוח בוחר להוסיף כרטיס.
• Google מקבלת את תוכן הכרטיס בארנק כשלקוח מוסיף אותו, ומטפלת בכניסה עם Google עבור חשבונות עסקיים שמשתמשים בה.

ותו לא. אין אחסון קבצים, אין ספק תשלומים מחובר, אין ספק SMS, ואין פלטפורמת פרסום או אנליטיקה.

האחסון ומסד הנתונים נמצאים באיחוד האירופי. Apple ו-Google מעבדות נתונים מחוצה לו. הבסיס החוקי להעברות האלה הוא אחת הנקודות שסומנו למעלה כדורשות בדיקה מקצועית.

כמה זמן דברים נשמרים

משימה יומית אוכפת את אלה אוטומטית:

• הפעלות שפג תוקפן נמחקות אחרי יום; כאלה שבוטלו אחרי שלושים יום.
• קישורי איפוס סיסמה תקפים שעה, קישורי אימות דוא״ל ארבעים ושמונה שעות, וקישורי אישור מחיקה שעתיים. קישורים שפג תוקפם נמחקים שבוע לאחר מכן.
• הודעות שנשלחו דרך טופס יצירת הקשר נמחקות אחרי שנים-עשר חודשים.
• ייצוא נתונים של עסק נמחק ברגע שהורידו אותו, ובכל מקרה לא יאוחר מריצת התחזוקה היומית הבאה לאחר פקיעתו — והוא פוקע עשרים וארבע שעות לאחר יצירתו.
• פעולות הנאמנות, רישומי ההסכמה ויומן הביקורת נשמרים ללא הגבלת זמן ואי אפשר לערוך או למחוק אותם, גם לא על ידינו. הם הרישום של מה שקרה, והם מה שמאפשר להכריע במחלוקת על יתרה.

לא לכל דבר יש טיימר, והצגת הדברים שיש להם בלבד הייתה מטעה. נשמרים ללא הגבלת זמן וללא מחיקה אוטומטית: רשומות לקוחות והיסטוריית הנאמנות שלהן; רישומי הסכמה; יומן הביקורת; אירועי אבטחה (מזהה משתמש וגיבוב עם מפתח של כתובת IP); הזמנות צוות ממתינות ושהתקבלו, הכוללות את שם המוזמן וכתובת הדוא״ל שלו; פרטי קשר של העסק והסניפים; ורישומי הסרה מדיוור. רישומי ההסרה נשמרים בכוונה ולטובת האדם עצמו: הדרך היחידה לכבד «אל תפנו אליי יותר» היא לזכור את הכתובת שביקשה זאת.

הוצאת הנתונים החוצה

בעל עסק יכול להוריד את כל מה ש-LoyalX מחזיקה על העסק שלו — פרטים, סניפים, תוכניות, לקוחות, כרטיסים, יתרות, כל היסטוריית הפעולות, הטבות, צוות, רישומי הסכמה ויומן הפעילות — כארכיון של קובצי CSV עם תיאור של כל אחד.

הארכיון אינו כולל, במכוון, שום דבר שהוא אמצעי הזדהות: סיסמאות, אסימוני הפעלה, סודות דו-שלבי, אסימוני כרטיסי ארנק ואסימוני כרטיס של לקוחות. קישור ההורדה מוצג פעם אחת, פועל פעם אחת, והקובץ נמחק ברגע שנמסר.

מחיקת עסק, ומה זה אומר

בעל עסק יכול לבקש למחוק את העסק שלו. הבקשה חייבת אישור בדוא״ל ואז ממתינה ארבעה-עשר יום, שבמהלכם העסק במצב קריאה בלבד והבעלים יכול לבטל. שום דבר אינו נמחק לפני כן.

כדאי לדייק מה קורה אז, כי זה אינו מה ש״מחיקה״ בדרך כלל אומרת:

• השם, מספר הטלפון וכתובת הדוא״ל של כל לקוח נמחקים מרשומת הלקוח, וההסכמה שלו לדיוור מבוטלת.
• חריג אחד, והוא מכוון: אם אותו לקוח ביקש בעבר להסיר את עצמו מהדיוור או שכתובתו חזרה, הכתובת עצמה נשארת ברשימת החסומים של העסק. שכחתה הייתה אומרת שבפעם הבאה שהכתובת תיאסף לא יהיה דבר שימנע פנייה אליו שוב.
• פנקס הפעולות, רישומי ההסכמה ויומן הביקורת נשמרים. הם ניתנים להוספה בלבד ואי אפשר להסיר אותם. מה שנשאר הוא רישום שניתנה חותמת בזמן מסוים ללקוח שכבר אין לו שם.
• כל כרטיס נסגר, הקישור שלו מפסיק לעבוד, הטבות שלא מומשו מבוטלות והכרטיסים בארנק מבוטלים, כך שהכרטיס נעלם מהטלפון של הלקוח.
• חשבון העסק עצמו נסגר ומושעה ולא נמחק ממסד הנתונים.
• חשבונות הבעלים והעובדים עצמם אינם נמחקים בפעולה הזו. השם, כתובת הדוא״ל ופרטי ההתחברות שייכים לחשבון ה-LoyalX שלהם ולא לעסק, והחשבונות ממשיכים להתקיים. מי שמעוניין שחשבונו שלו יימחק — שיפנה אלינו ישירות.

אפשר להסיר לקוח יחיד באותה דרך בלי למחוק את כל העסק. פנו לעסק, או פנו אלינו.

איך זה מוגן

• הנתונים של כל עסק מופרדים ברמת מסד הנתונים, לא רק בקוד היישום. שאילתה ששכחה לסנן לפי עסק תחזיר כלום ולא את הלקוחות של מישהו אחר.
• סיסמאות מגובבות ב-argon2id. איננו יכולים לשחזר אותן, וגם לא מי שהשיג את מסד הנתונים.
• קישורי איפוס, קישורי אימות, קישורי הורדה ומזהי כרטיסים נשמרים כגיבוב. עותק של מסד הנתונים אינו מניב שום קישור פעיל.
• מנהלי הפלטפורמה משתמשים באימות דו-שלבי, והסוד המשותף מוצפן במנוחה במפתח שאינו נמצא במסד הנתונים.
• פעולות ניהוליות נכתבות ליומן שניתן להוספה בלבד, שליישום עצמו אין הרשאה לשנות.

הזכויות שלכם

אתם יכולים לשאול מה מוחזק עליכם, לבקש עותק, לבקש תיקון, לבקש מחיקה, ולבטל הסכמה לדיוור בכל רגע. ביטול הסכמה לדיוור אינו משפיע על כרטיס הנאמנות.

אם אתם לקוחות של עסק, פנו קודם לאותו עסק — הוא מחליט מה קורה לרישומי הלקוחות שלו. אפשר גם לפנות אלינו ישירות: יצירת קשר עם LoyalX

גיל

הצטרפות למועדון לקוחות דורשת אישור שאתם בני 16 ומעלה. LoyalX אינה מיועדת לילדים ואיננו אוספים ביודעין את פרטיהם.

שינויים

כשההודעה הזו משתנה באופן מהותי, הגרסה שלקוחות מאשרים בהצטרפות משתנה איתה, והגרסה החדשה נרשמת מול כל אישור. כך תמיד אפשר לדעת לאיזה טקסט אדם מסוים הסכים.

הגרסה הנוכחית של הודעת ההצטרפות: join-2026-09-v1