מדיניות פרטיות

מי אנחנו

השירות MyCardly הוא מוצר של MJGroup, עסק בבעלות יחיד של מוסא יעקוב. מספר עוסק: 200656858. כתובת: בורג׳ א-סוכר 1, שפרעם 20200.

המדיניות חלה על האתר mycardly.me, על הדשבורד ועל הכרטיסים הציבוריים של העסקים.

איזה מידע אנחנו שומרים

החוק לא מחייב אתכם למסור לנו מידע, אבל בלי אימייל ושם מלא אי אפשר לפתוח חשבון.

• פרטי חשבון: אימייל, שם מלא, טלפון וסיסמה. הסיסמה נשמרת כגיבוב (hash) ולא כטקסט קריא.
• חיבור לחשבון: עוגיית התחברות, ורשומה בשרת עם כתובת IP וסוג הדפדפן.
• תוכן עסקי: מה שאתם מכניסים לכרטיס, כמו טקסטים, פרטי קשר, שירותים, שעות והמלצות.
• תמונות: התמונות שאתם מעלים. אנחנו מקודדים אותן מחדש ומוחקים מהן מידע על המיקום ועל המצלמה. הקובץ המקורי לא נשמר.
• יומן אירועי אבטחה: כניסות, ניסיונות כניסה שנכשלו, יציאות, שינויי סיסמה ופעולות בחשבון ובעסק, עם המשתמש, הזמן וכתובת IP.
• פניות, אם התכונה מופעלת: טופס הפנייה קיים במערכת ועדיין לא מוצג בכרטיסים. אם יופעל, יישמרו שם, טלפון, אימייל והודעה אם נכתבו, מועד ההסכמה וגרסת ההודעה שהוצגה. כתובת IP לא נשמרת עם הפנייה.
• ביקור באתר או בכרטיס: אנחנו לא מפעילים כלי אנליטיקה, מעקב או פרסום. כתובת IP משמשת להגבלת קצב בקשות. ביומני השרת נרשמים כתובת IP, הזמן, סוג הבקשה והנתיב שלה בלי מחרוזת השאילתה (query string), סטטוס התשובה, מספר הבייטים שנשלחו וסוג הדפדפן (user agent). היומנים נשמרים 24 חודשים (730 ימים). כשבקשה נכשלת, למשל בהעלאה גדולה מדי או כשהשרת לא מצליח לענות, יומן השגיאות יכול לשמור לאותה תקופה את הבקשה המלאה, כולל מחרוזת השאילתה והדף שממנו היא הגיעה (referrer).

למה אנחנו משתמשים במידע

אנחנו משתמשים במידע רק למטרות האלה, ולא לפרסום או לבניית פרופילים:

• לפתוח לכם חשבון ולהכניס אתכם אליו.
• להציג ולפרסם את הכרטיס של העסק.
• להגן על החשבונות ולאתר שימוש לרעה.
• לענות לכם כשאתם פונים אלינו.
• לשמור פניות עבור העסק שקיבל אותן, אם התכונה מופעלת.

בסיס חוקי לפי GDPR

הסעיף הזה רלוונטי לאנשים שה-GDPR חל עליהם. בפניות, הבסיס החוקי נקבע על ידי העסק שמקבל אותן.

בשאר המידע אלה הבסיסים לפי סעיף 6 לתקנה:

• ביצוע חוזה: פתיחת החשבון, שמירת התוכן ופרסום הכרטיס.
• אינטרס לגיטימי: אבטחה, יומן אירועים ומניעת שימוש לרעה.
• הסכמה: דיוור שיווקי ועוגיות לא הכרחיות, אם יהיו כאלה. אפשר לחזור בכם מהסכמה בכל רגע.
• חובה חוקית: שמירה או מסירה של מידע כשהחוק מחייב.

מי אחראי על המידע

על פרטי החשבון, החיבורים ויומן האבטחה, MJGroup הוא בעל השליטה במאגר המידע (controller).

על פניות, ועל מידע של אנשים אחרים שאתם מכניסים לכרטיס, כמו שם בהמלצה, העסק הוא בעל השליטה (controller) ו-MJGroup הוא המחזיק שמעבד את המידע עבורו (processor).

השארתם פרטים בכרטיס של עסק ואתם רוצים לעיין בהם, לתקן אותם או למחוק אותם? תפנו לעסק הזה. אפשר גם לכתוב לנו, ונפנה אתכם אליו.

תנאי עיבוד מידע בין MJGroup ללקוחות: בתוכן ובפניות שעסק אוסף דרך הכרטיס שלו, העסק קובע מה נאסף, ו-MJGroup מעבד את המידע עבורו, רק כדי לתת את השירות. מי שיש לו גישה למידע מחויב לשמור עליו בסודיות. ספקי השירות הם Hostinger ו-Google Drive, כמו שמפורט בסעיף "מי רואה את המידע". המידע נמחק לפי הסעיף "כמה זמן המידע נשמר".

מי רואה את המידע

אנחנו לא מוכרים מידע אישי. המידע מגיע רק לגורמים האלה:

• הציבור: כל מה שמתפרסם בכרטיס גלוי לכל מי שנכנס אליו. מנועי חיפוש וכלי בינה מלאכותית יכולים לקרוא אותו, וברירת המחדל שלנו מאפשרת גם לסורקים שאוספים מידע לאימון מודלים לקרוא כרטיסים ציבוריים.
• מנועי חיפוש: כשכרטיס מתפרסם או משתנה, אנחנו יכולים לשלוח את הכתובת שלו דרך IndexNow. נשלחת הכתובת בלבד.
• מנהל המערכת: מוסא יעקוב יכול לפתוח כל עסק, כל תיקיית לקוח וכל פנייה, כדי לתת שירות ותמיכה ולבדוק תלונות. כניסה לעסק וקריאת פניות נרשמות ביומן. בשלב הזה לקוחות לא רואים את היומן.
• ספק האחסון: השירות פועל על שרת VPS של Hostinger.
• ספק הגיבויים: גיבויים מוצפנים נשמרים מחוץ לשרת, ב-Google Drive.
• רשויות: כשהחוק או צו מחייבים אותנו.
• שירותים אחרים: כפתורי וואטסאפ, Waze ורשתות חברתיות פותחים שירות של חברה אחרת, ושם חלה מדיניות הפרטיות שלה.

כמה זמן המידע נשמר

חוץ מגיבויים ויומני שרת, אין היום במערכת משימה שמוחקת מידע אוטומטית לפי זמן, ולכן בינתיים אנחנו מוחקים ידנית כשהתקופה נגמרת. כך המידע נשמר:

• חשבון ותוכן עסקי: כל עוד החשבון פעיל, ועוד 12 חודשים אחרי שהוא נסגר. אפשר לבקש מאיתנו למחוק אותם גם קודם.
• תמונות: עד שאתם מוחקים אותן מהדשבורד, או עד מחיקת החשבון.
• פניות: עד שהעסק מוחק אותן, ולכל היותר 24 חודשים מהיום שהתקבלו.
• רשומות חיבור: הכניסה תקפה עד 7 ימים. רשומות שפג תוקפן נמחקות בכניסה הבאה לחשבון.
• יומן אירועי אבטחה: 24 חודשים מיום האירוע.
• גיבויים: כל לילה אנחנו יוצרים גיבוי מוצפן של מסד הנתונים ושל הקבצים שהועלו. כל גיבוי נשמר 7 ימים בשרת, ו-30 ימים מחוץ לשרת ב-Google Drive. הוא מוצפן לפני שהוא עולה לשם. מידע שאתם מוחקים נשאר בגיבויים הקיימים עד שהם נמחקים, ולכל היותר 30 ימים.

העברת מידע לחו״ל

המידע נשמר על שרת VPS של Hostinger בצרפת. אם השרת נמצא מחוץ למדינה שלכם, המידע שלכם עובר לשם. גיבויים מוצפנים נשמרים גם מחוץ לשרת, ב-Google Drive.

הנציבות האירופית הכירה בישראל כמדינה עם הגנה מספקת על מידע אישי, וההכרה אושרה שוב בינואר 2024. צרפת חברה באיחוד האירופי וצד לאמנה האירופית להגנת הפרט בקשר לעיבוד אוטומטי של מידע רגיש. להעברה לשרת בצרפת אנחנו מסתמכים על תקנה 2(8)(1) לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001, שמתירה העברה למאגר מידע במדינה שהיא צד לאמנה הזאת. הגיבויים מוצפנים לפני שהם יוצאים מהשרת.

איך אנחנו מגינים על המידע

סיסמאות נשמרות כגיבוב. עוגיית ההתחברות היא httpOnly, כך שקוד בדף לא יכול לקרוא אותה. לקוחות רואים רק את העסקים שלהם.

אף מערכת לא חסינה לגמרי, ואנחנו לא מבטיחים אבטחה מוחלטת.

הזכויות שלכם לפי החוק הישראלי

לפי חוק הגנת הפרטיות, התשמ״א-1981, אתם יכולים:

• לעיין במידע עליכם שנשמר אצלנו.
• לבקש לתקן מידע שגוי, חסר, לא ברור או לא מעודכן, או למחוק אותו.
• להתלונן לרשות להגנת הפרטיות.

הזכויות שלכם לפי GDPR

לא מינינו נציג באיחוד האירופי, כי השירות מיועד לעסקים בישראל. קוראים באיחוד האירופי יכולים לכתוב לנו ל-info@m-j-group.co.il.

אם ה-GDPR חל עליכם, אתם יכולים:

• לקבל עותק של המידע עליכם.
• לתקן מידע שגוי.
• למחוק מידע.
• להגביל את השימוש במידע.
• להתנגד לשימוש שמבוסס על אינטרס לגיטימי.
• לקבל את המידע שמסרתם בפורמט שאפשר להעביר.
• לחזור בכם מהסכמה.
• להתלונן לרשות הפיקוח במדינה שלכם.

תושבי קליפורניה (CCPA)

הסעיף הזה רלוונטי לתושבי קליפורניה, ככל שה-CCPA חל עלינו. אנחנו לא מוכרים מידע אישי ולא משתפים אותו לפרסום ממוקד, ולא עשינו זאת ב-12 החודשים האחרונים.

אנחנו אוספים מזהים (שם, אימייל, טלפון, כתובת IP), מידע על פעילות ברשת (סוג דפדפן, סוג הבקשה והנתיב שלה, סטטוס התשובה, מספר הבייטים שנשלחו ואירועי אבטחה) ותוכן שאתם מעלים, כולל תמונות. המידע מגיע מכם, והשימוש בו מפורט בסעיף "למה אנחנו משתמשים במידע".

יש לכם זכות:

• לדעת איזה מידע אספנו עליכם, מאיפה הוא הגיע, למה השתמשנו בו ולמי מסרנו אותו.
• למחוק מידע שאספנו מכם.
• לתקן מידע שגוי.
• לפנות דרך נציג מורשה.
• לקבל את אותו שירות גם אחרי שמימשתם זכות.

ילדים

השירות לא מיועד לילדים מתחת לגיל 13, ואנחנו לא אוספים מהם מידע ביודעין (COPPA). חשבון אפשר לפתוח מגיל 18 בלבד.

כרטיסים ציבוריים פתוחים לכולם, ואין בהם בדיקת גיל.

נודע לכם שקיבלנו מידע מילדים מתחת לגיל 13? תכתבו לנו ל-info@m-j-group.co.il ונמחק אותו.

דיוור שיווקי

היום אנחנו לא שולחים מהמערכת דיוור שיווקי, ואין בה שירות לשליחת אימייל או SMS. הודעות על החשבון, כמו קישור לאיפוס סיסמה, הן לא דיוור שיווקי.

אם נתחיל לשלוח דיוור שיווקי, הוא יעמוד בסעיף 30א לחוק התקשורת (בזק ושידורים), התשמ״ב-1982 ובחוק CAN-SPAM האמריקאי:

• הסכמה: נשלח רק למי שהסכימו מראש ובמפורש, בסימון נפרד.
• זיהוי השולח: כל הודעה תציין את MJGroup, דרך ליצור קשר וכתובת פיזית: בורג׳ א-סוכר 1, שפרעם 20200.
• סימון: המילה "פרסומת" תופיע בתחילת ההודעה, ובאימייל בתחילת שורת הנושא.
• הסרה: בכל הודעה תהיה דרך פשוטה להסיר את עצמכם. נעצור את השליחה בהקדם, ולא יאוחר מ-10 ימי עסקים.

שינויים במדיניות

כשהמדיניות משתנה, אנחנו מעדכנים את התאריך בראש העמוד.

איך פונים אלינו

בכל שאלה או בקשה בנושא פרטיות: info@m-j-group.co.il, או בדואר לכתובת בורג׳ א-סוכר 1, שפרעם 20200.

לפני טיפול בבקשה נוכל לבקש מכם לאמת את הזהות שלכם. נענה בתוך הזמן שהחוק קובע.