מדיניות פרטיות

מי אחראי על המידע

השירות מופעל בידי Shlav Bet, עסק של ליאור כהן (עוסק מורשה 305462848), רביבים 1, רביבים, והוא האחראי על המידע שנאסף בו. שאלות ובקשות לגבי המידע אפשר לשלוח באימייל שבתחתית העמוד.

למה המידע נאסף

כדי לנהל את החשבון והמנוי; כדי להפעיל את התרגול — לתמלל, לבדוק את התשובה, לתת משוב ולהציג את ההתקדמות; כדי לגבות תשלום ולפתוח את המנוי; כדי לאתר תקלות; וכדי להבין איך משתמשים בשירות ולשפר אותו. המידע לא משמש לפרסום ולא נמכר.

מה נשמר

• פרטי החשבון: שם וכתובת אימייל. ההתחברות (בסיסמה, בחשבון Google או, באפליקציה, בחשבון Apple) מנוהלת ב-Firebase Authentication של Google, שבודק את הסיסמה; הסיסמה נשמרת שם מוצפנת (hash) ואי אפשר לקרוא אותה, ואצלנו היא לא נשמרת. בחשבונות שנפתחו לפני המעבר ל-Firebase נשמר אצלנו גיבוב (hash) של הסיסמה הישנה, והוא נמחק בהתחברות הראשונה בסיסמה.
• התרגולים: התמליל של כל תשובה (ובתחנת מר״מ — השיחה כולה, שלך ושל המטופל המדומה), הציון, משך התשובה, מדדי ההצגה של כל חלק (הפסקות, מילות מילוי, זמן דיבור, ומתי הבוחן שאל שאלת המשך או עבר הלאה — אחרי כמה שניות שקט וכמה זמן לקחה התשובה לו, בלי המילים), המשוב שניתן עליה והנקודות לשיפור שעולות ממנו.
• כרטיסי EBM BEAST: איזה כרטיס ענית, מתי, והאם צדקת — לא התשובה שבחרת. מהם נקבעים הכרטיס הבא, הרמה בכל מיומנות והרצף. הכרטיסים נכתבו מראש, ושום תשובה שלך לא נשלחת לשירות AI.
• כרטיסי "ממוקד מטופל" (תרגול תקשורת): איזה כרטיס ענית, מתי, והאם צדקת — לא התשובה שבחרת ולא המשפט שאמרת או הקלדת. מהם נקבעים הכרטיס הבא והשורה שתחכה לך בפתיחה הבאה.
• כרטיסי הסיכום ("מה לוקחים מהשאלה"): איזה כרטיס הוצג לך בחזרה היומית בעמוד ההתקדמות, מתי וכמה פעמים — מזה נקבע מתי יחזור. אילו כרטיסים פספסת נקבע מהתרגולים שכבר שמורים.
• עלות השימוש: על כל פנייה ל-Gemini נשמרים סוג הפנייה, כמה טקסט עבר בה (במספר יחידות — טוקנים) או כמה שניות קול נוצרו, עם מזהה החשבון — כדי לדעת כמה עולה התרגול. לא נשמר בזה שום תוכן.
• הגדרות החשבון: האם לשמור את המבחנים האחרונים לסוף, קצב הדיבור שהמערכת למדה (אורכי ההפסקות האחרונות בדיבור, בלי המילים — כדי שהבוחן יידע כמה לחכות, בכל מכשיר), ומתי הסכמתם להעברת הקול והתשובות לשירותים שבהמשך (נשאל פעם אחת, לפני התרגול הראשון).
• המנוי: עד מתי הוא בתוקף, איך ניתן (בתשלום ב-Grow, או ידנית) ומספר העסקה או הערה על אופן התשלום ומי נתן אותו, וכן איזו שאלה נפתחה כשאלה החינמית ומתי, ולצדה גיבוב (hash) של כתובת האימייל, שממנו אי אפשר לקרוא את הכתובת — כדי שכל כתובת תקבל שאלה חינמית אחת בלבד. התשלום עצמו נעשה בעמוד של Grow, חברת סליקה מורשית: השם, הטלפון, האימייל ופרטי האמצעי לתשלום מוזנים שם ונשמרים אצלה, אחרי התשלום Grow שולחת לשרת שלנו הודעה על העסקה. ממנה אנחנו קוראים רק את מספר העסקה, הסכום, סטטוס התשלום והאימייל, כדי לפתוח את המנוי לחשבון הנכון, ושומרים רק את מספר העסקה. שאר פרטי ההודעה לא נקראים ולא נשמרים, ומספר כרטיס מלא לא מגיע אלינו. מדיניות הפרטיות של Grow: https://grow.business/privacy-policy/
• המכשירים שמשתמשים בחשבון: מזהה אקראי שהמכשיר שומר ושולח עם כל בקשה, סוג המכשיר והדפדפן (למשל iPhone · Safari), ומתי נראה לראשונה ולאחרונה — כדי לזהות חשבון שמשמש מכשירים רבים בשבוע, סימן לכך שהמנוי משותף. המזהה לא נגזר מפרטי המכשיר, וכתובת ה-IP לא נשמרת. מכשיר שלא נראה 30 יום נמחק.
• תחנות עבודת המשפחה ועבודת ארגון הפרקטיקה: העבודה עצמה לא מגיעה אלינו. במכשיר בלבד נשמר מה שבחרת מתוך רשימות קבועות (למשל סוג המשבר, שלב המשפחה, אופי המרפאה והגרפים). הקול שלך עובר לתמלול ב-Soniox כמו בכל תרגול, ולכן חשוב לדבר בתפקידים ובאותיות ולא בשמות. לפני שהתמליל נשלח ל-Gemini או אלינו, המכשיר מסמן בו שמות, יישובים, מוסדות, תאריכים ומספרים, והם מוסרים; התמליל נשמר רק אחרי שאישרת אותו, ואם בחרת ציון בלי AI — רק הציון נשמר.
• תרגול ביחד: כשבוחנים חבר, נשמרים השאלה, מי בחן ומי נבחן, מתי התחיל ונגמר, הסימונים של הבוחן והציון שעולה מהם. שני הצדדים רואים את המפגש בהיסטוריה שלהם, עם שם הצד השני. אצל הנבחן כל שאלה מהמפגש נשמרת גם כתרגול, מסומן "ביחד": הציון מהסימונים והנקודות שנאמרו. לא נשמרים קול או תמליל, ושום דבר מהמפגש לא נשלח לשירותי AI. מי שמוחק את החשבון — המפגשים שבחן נמחקים, ובמפגשים שבהם נבחן נשאר אצל הבוחן רק הציון, בלי השם. בשיחה הקולית שבתוך המפגש הקול עובר ישירות בין שני הדפדפנים (ואם הרשת לא מאפשרת זאת — דרך שרת ממסר של Cloudflare, מוצפן); אנחנו לא שומעים, לא מקליטים ולא שומרים אותו, ורק פרטי החיבור עוברים בשרת שלנו, וכן מתי כל צד נמצא בשיחה — כדי להראות לצד השני שמחכים לו.
• בלי חשבון: אפשר לעיין בשאלות ובאתר, אבל לא לתרגל, ולכן שום תשובה לא נשלחת לשירותים שבהמשך ולא נשמרת.

ההקלטה

כשעונים בקול, הקול עובר מהמכשיר ישירות לשירות התמלול Soniox, שהופך אותו לטקסט. ההקלטה עצמה לא נשמרת אצלנו, רק התמליל. מזהה החשבון נשלח עם הבקשה כדי לעקוב אחר עלות השימוש. אם Soniox לא זמין, התמלול נעשה בזיהוי הדיבור של המכשיר או הדפדפן עצמו (למשל של Google או Apple), לפי ההגדרות שלו.

הערכת התשובות

כדי לבדוק אילו נקודות נאמרו ולכתוב משוב, התמליל נשלח עם השאלה ותשובת המודל ל-Gemini של Google. בתחנת המפגש הרפואי המדומה (מר״מ), השיחה נשלחת ל-Gemini גם כדי שישחק את המטופל ויענה לך. השם והאימייל לא נשלחים. גם הקולות של הבוחן ושל המטופל המדומה נוצרים ב-Gemini, מטקסט השאלות, מהמשוב ומתשובות המטופל — לא מהקול שלך. קטעי הקול שנוצרו נשמרים בשרת כקבצי שמע שאינם מקושרים לחשבון, ונמחקים עם הזמן. בתחנות עבודת המשפחה ועבודת ארגון הפרקטיקה, הבדיקות של הבוחן במהלך התשובה מקבלות טקסט שהוסרו ממנו פרטים מזהים, והבדיקה והמשוב בסוף מקבלים רק את הטקסט שאישרת. בכרטיסי "ממוקד מטופל" שבהם עונים במשפט, המשפט שאמרת או הקלדת נשלח ל-Gemini עם הכרטיס כדי לקבל משוב. אצלנו הוא לא נשמר ולא נכתב ביומני השרת; ב-Google הוא מעובד לפי תנאי ה-API בתשלום — לא משמש לאימון, ועשוי להישמר לזמן מוגבל לאיתור שימוש לרעה. כשהמשפט נאמר בקול, הוא עובר קודם לתמלול כמו כל תשובה בקול.

איפה זה נשמר

המידע נשמר בשרת של האתר בענן של Oracle, באזור ירושלים, ועותק גיבוי מוצפן של מסד הנתונים נשמר כל לילה באחסון פרטי של Cloudflare, ל-30 יום. הגישה לאתר עוברת דרך Cloudflare, שמגינה עליו ומצפינה את התעבורה. אין פרסומות ואין מכירה של מידע.

אבטחת המידע

התעבורה בין המכשיר לשרת מוצפנת (HTTPS). הגישה לשרת ולמסד הנתונים מוגבלת למפעילי השירות ומוגנת במפתחות הצפנה, וההתחברות לשירות מנוהלת ב-Firebase. אף שיטה אינה חסינה לחלוטין; אם יתגלה אירוע אבטחה שפוגע במידע שלכם, נודיע לכם.

סטטיסטיקת שימוש

כדי להבין איך משתמשים באתר ולשפר אותו, האתר שולח ל-Google Analytics ול-PostHog (בשרתים שלו באיחוד האירופי) אילו עמודים נפתחו, על אילו כפתורים וקישורים לחצו ואיפה בעמוד, כמה מהעמוד נקרא וכמה זמן נשאר פתוח, יחד עם פרטי הדפדפן והמכשיר וכתובת ה-IP (שממנה נגזר מיקום משוער), איך נרשמתם או התחברתם (סיסמה, Google או Apple), ואת מהלך התרגול: איזו שאלה (מזהה וסוג) תורגלה, כמה זמן נמשכה, אם הבוחן שאל שאלת המשך, אם הגיע משוב, אם התמלול עבר לזיהוי הדיבור של המכשיר, אם הדפדפן לא השמיע משפט של הבוחן או המטופל (ומה מנע זאת), כמה זמן לקח למיקרופון להיפתח אחרי כל משפט של הבוחן (ואם מצב נהיגה היה דולק), אם המיקרופון לא נפתח (נחסם, לא נמצא, וההודעה של הדפדפן או המכשיר על כך), שלבי בדיקת המיקרופון שלפני השאלה (הוצגה, אושרה, סורבה או תוקנה), ומתי נפתחה השאלה החינמית, אם הוחזרה כי המיקרופון לא שמע, או הוצגו מסך ההרשמה או מסך המנוי. כשנפתח מנוי (בתשלום או בהענקה) או כשתשלום הוחזר, השרת שלנו שולח ל-PostHog את האירוע ואת מקור המנוי, תחת מזהה החשבון — בלי האימייל ובלי הסכום. בתרגול ביחד נשלח גם מהלך המפגש: מתי הופעל או כובה מצב ביחד (ומאיזה כפתור), מתי נפתח המפגש, אם התשובות הוסתרו עד שחבר/ה יצטרף/תצטרף, איך נשלח הקישור (וואטסאפ, העתקה או שיתוף), מי הצטרף ובאיזה תפקיד, מתי התחיל, עבר סעיף והסתיים, שסומנה נקודה ושנפתח המשוב, ואם הצד השני חיכה בשיחה, אם הצטרפו לשיחה הקולית ואם היא התחברה — עם מזהה המפגש ומזהה השאלה וסוגה, בלי הסימונים עצמם ובלי הציון. בתרגול EBM BEAST נשלחים הנושא שנבחר בעמוד שיפור המיומנויות, המיומנות וסוג הכרטיס של כל כרטיס שנענה, מתי הגיעו לסימן דרך (רצף, מספר כרטיסים או רמה), ומתי הגיע "בוס" ואם ניצחו בו — בלי התשובה שנבחרה. בכרטיסי "ממוקד מטופל" נשלחים מתי נכנסו לסבב כרטיסים (ואם הוצגה בפתיחה השורה מהפעם הקודמת), התחום וסוג הכרטיס של כל כרטיס שנענה, ואם המשפט נאמר בקול או הוקלד — בלי התשובה ובלי המשפט. נשלחים גם: מתי הופעל או כובה מצב נהיגה (ואם מהכפתור, מחיבור לרכב, מהיציאה או אחרי 3 שעות בלי תרגול), אם בבדיקת הפרטיות של עבודה התשובה נשלחה או נשמרו הציונים בלבד (בלי הטקסט), אם תרגול שנקטע בטעינה מחדש נמשך או התחיל מחדש, יציאה מהחשבון, מחיקת החשבון (ובאיזו דרך), בקשה לאיפוס סיסמה, שנשלחה פנייה ב״ספרו לנו״ (סוגה בלבד, לא תוכנה), ושינוי בהגדרות הנגישות (איזו הגדרה ולאיזה ערך). באתר נמדדת גם מהירות הטעינה של כל ביקור (זמן הציור ותזוזות בעמוד), מספרים על העמוד בלבד. האפליקציה שולחת את אותו מידע, כולל הלחיצות על כפתורים, ל-PostHog בלבד. לחיצות בתוך התשובה, המשוב ובדיקת הפרטים המזהים לא נספרות כלל. אחרי ההתחברות המידע ב-PostHog מקושר למזהה החשבון — לא לשם ולא לאימייל. לא נשלחים תמלילים, תשובות או ציונים, ואין הקלטה של המסך.

עוגיות ואחסון במכשיר

• באתר יש עוגייה של ההתחברות, שנגישה רק לשרת ונמחקת בהתנתקות. Google Analytics ו-PostHog שומרים בדפדפן מזהה אקראי של המבקר, כדי לספור ביקורים חוזרים.
• באפליקציה ההתחברות נשמרת במחזיק המפתחות המאובטח של המכשיר.
• במכשיר עצמו נשמרים גם מזהה אקראי של המכשיר (נשאר גם אחרי התנתקות), הגדרות התצוגה והתרגול, עותק של קצב הדיבור שהמערכת למדה (נמחק בהתנתקות), טיוטה של תשובה שעוד לא הסתיימה, השם והאימייל של החשבון המחובר (נמחקים בהתנתקות), הבחירות בתחנות העבודה, מצב נהיגה והשאלה הבאה שהוכנה לך. תרגול שהסתיים בלי קליטה נשמר במכשיר עד שהוא נשלח אלינו, ונמחק ממנו בהתנתקות.

תקלות והודעות לצוות

כשמשהו נכשל באתר, באפליקציה או בשרת, נשלחת לצוות הודעה בקבוצת Telegram: תיאור התקלה, היכן קרתה, סוג המכשיר ומזהה החשבון — לא השם, לא האימייל ולא תוכן התשובות. גם כל תשלום שמתקבל מדווח שם, עם מספר העסקה והסכום בלבד. הודעה שנשלחת בכפתור "ספרו לנו" מגיעה לקבוצת Telegram של הצוות, עם מה שכתבתם, העמוד שממנו נשלחה, סוג המכשיר ומזהה החשבון, וגם לתיבת האימייל שלנו (דרך שירות שליחת האימייל Resend), שם מצורפים גם השם והאימייל של החשבון כדי שנוכל לענות לכם. אם אינכם מחוברים והשארתם אימייל לתשובה, הוא מצורף לשתיהן. התקלות וההודעות האלה נשמרות גם בשרת, כדי שהצוות יוכל לעקוב אחריהן ולסמן מה טופל: תקלה נשמרת עם אותם פרטים (בלי השם, האימייל ותוכן התשובות) ונמחקת אחרי 90 יום; הודעת "ספרו לנו" נשמרת עם מה שכתבתם, העמוד, סוג המכשיר ומזהה החשבון (או האימייל שהשארתם, אם אינכם מחוברים), ונמחקת עם מחיקת החשבון אלא אם נשלחה בלי חשבון.

מי רואה את המידע

מנהל האתר רואה לכל משתמש את השם, האימייל ואת הציונים בתרגולים, וכן סיכום של הביקורים שלו מסטטיסטיקת השימוש (כמה ביקורים ועמודים, כמה זמן ומתי לאחרונה, סוג המכשיר ומיקום משוער), כדי לשפר את השאלות, את הבדיקה ואת האתר. המידע לא מועבר לאף אחד אחר, מלבד השירותים שצוינו למעלה ובמידה שהם צריכים.

מחיקה

אפשר למחוק את החשבון ואת כל התרגולים שבו בכל עת, מתפריט החשבון ("מחיקת החשבון"), באתר ובאפליקציה. המחיקה מיידית וסופית, וכוללת גם את חשבון ההתחברות ואת המנוי. נשאר רק הגיבוב של כתובת האימייל אם השאלה החינמית נוצלה, בלי שם, בלי הכתובת עצמה ובלי תרגולים — כדי שמחיקה ופתיחה מחדש לא יפתחו שאלה חינמית נוספת. מנוי שנמחק עם החשבון לא מוחזר אוטומטית, ולכן כדאי לבקש ביטול לפני המחיקה. רישומי התשלום נשארים אצל Grow, כמתחייב בדין (למשל לצורך חשבוניות). נתוני הסטטיסטיקה ב-Google Analytics וב-PostHog אינם מקושרים לשם או לאימייל, ונמחקים לפי מדיניות השמירה שלהם. אפשר גם לכתוב לנו מהאימייל של החשבון, ונמחק את הכול תוך 30 יום. אפשר לבקש גם עותק של המידע שנשמר עליכם, או לתקן מידע לא נכון.

עיבוד מחוץ לישראל ומשך השמירה

Soniox, Gemini ו-Firebase של Google, Google Analytics, PostHog (באיחוד האירופי), Grow, Cloudflare, Telegram ו-Resend מעבדים את המידע שהם מקבלים בשרתים שלהם, חלקם מחוץ לישראל. המידע אצלנו נשמר כל עוד החשבון קיים, עד שתמחקו אותו; מעותקי הגיבוי הוא נעלם תוך 30 יום מהמחיקה.

חובת מסירה וזכויות

אין חובה חוקית למסור את המידע. בלי שם ואימייל אי אפשר לפתוח חשבון, ובלי הסכמה להעברת הקול והתמליל אי אפשר לתרגל. אפשר לעיין במידע שנשמר עליכם ולבקש לתקן או למחוק אותו באימייל שבתחתית העמוד.

שינויים

אם המדיניות תשתנה, התאריך בתחתית העמוד יתעדכן, ושינוי מהותי יוצג באתר לפני שייכנס לתוקף.