מדיניות פרטיות

1. מבוא

Pausa היא מלווה לטיפול עצמי, לשים לב איך מרגישים: מסמנים את המצב על סולם, כותבים רשומות ביומן, ובוחרים תפקיד מקצועי וסיטואציה שמעצבים את מה שהאפליקציה מציעה.

מדיניות פרטיות זו מסבירה מה אפליקציית המובייל Pausa („האפליקציה“) עושה עם המידע הזה. היא נכתבה כדי לתאר מה האפליקציה עושה בפועל. אם מתגלה התנהגות שסותרת את הטקסט הזה — זו תקלה, ואפשר לספר לנו עליה (§12).

Pausa אינה שירות רפואי, אבחוני או טיפולי.

2. אפשר להשתמש ב-Pausa בלי חשבון

החשבון הוא רשות. בלי התחברות, כל מה שנוצר — רשומות יומן, סימוני מצב, התפקידים והסיטואציה שנבחרו, מה שמספרים מרצון על הסיטואציה, היסטוריית הפעילות וההגדרות — נשאר על המכשיר בלבד ואינו מועתק למסד הנתונים שלנו בענן. כדי להישאר מעודכנת, האפליקציה גם מושכת מהשרת שלנו (Cloud Firestore, §5) הגדרות משותפות, זהות לכולם: הגרסה המינימלית הנתמכת ואילו פונקציות מופעלות, הודעה למסך הבית ומספרים עדכניים של קווי סיוע למצבי משבר. בבקשות האלה אין שום מזהה שלך ושום נתון שלך; כמו בכל חיבור, הן חושפות בפני Google, שמפעילה את השרת, את הפרטים הטכניים של הבקשה, כמו כתובת ה-IP, והן מוגנות על ידי App Check (§5). מלבד הבקשות האלה, הדבר היחיד שיכול לצאת מהמכשיר בלי חשבון הוא נתוני האבחון, ורק אם מפעילים אותם (§3.4): אירועים גסים שעשויים לכלול את התפקיד המקצועי הראשי, אבל לעולם לא את שאר התפקידים, את הרשומות, את רמות הסימונים או את הסיטואציה או המוקד שנבחרו ואת התשובות עליה.

התחברות (Sign in with Apple, חשבון Google, או כתובת דוא"ל וסיסמה) מפעילה סנכרון לענן. מאותו רגע, הפריטים המסומנים כ„מסונכרנים“ ב-§3.1 מועתקים למסד הנתונים שלנו בענן תחת מזהה החשבון, כך שהם שורדים אובדן טלפון ומופיעים במכשירים האחרים.

התנתקות עוצרת את הסנכרון של כל מה שנוצר לאחר מכן. מחיקת החשבון מסירה את העותק בענן (§8).

נתוני האבחון (§3.4) הם החלטה נפרדת, עם חשבון או בלעדיו, והם כבויים עד שמפעילים אותם.

3. מה Pausa אוספת

הסעיפים שלהלן מונים את כל מה שהאפליקציה אוספת, לפי סדר החשיבות. שום דבר מחוץ לרשימה הזו אינו נאסף.

3.1 מה שנוצר באפליקציה (מידע על רווחה נפשית)

זה המידע שלמענו האפליקציה קיימת. כולו נשמר על המכשיר. כשמחוברים לחשבון, הפריטים המסומנים כ„מסונכרנים“ מועתקים גם למסד הנתונים שלנו בענן תחת מזהה החשבון:

• סימוני מצב — מסונכרנים: הרמות שנבחרות על הסולמות, לפני תרגול ואחריו, והשעה שבה נבחרו
• רשומות יומן והערות — מסונכרנות: הטקסט שנכתב, בדיוק כפי שנכתב
• היסטוריית הפעילות — מסונכרנת: אילו תרגולים, כלים וצעדי מסלול הושלמו ומתי, וגם המונים הנגזרים מהם
• התפקידים המקצועיים שנבחרים (למשל יוצר, מייסד, סטודנט — תפקיד אחד, או עד שלושה עם פרימיום; הראשון מהם הוא התפקיד הראשי), והסיטואציה או המוקד שנבחרים (למשל רילוקיישן, התאוששות, החלפת עבודה), וגם מה שמספרים מרצון על הסיטואציה (למשל אם נמצאים בחופשת מחלה או מה הכי קשה עכשיו) — הבחירות והתשובות האלה עצמן נשארות על המכשיר ואינן מועתקות לענן; אם מפעילים את נתוני האבחון, התפקיד הראשי נשלח גם יחד עם אירועי הסטטיסטיקה, כשקובעים אותו או הופכים תפקיד אחר לראשי (§3.4); שאר התפקידים, הסיטואציה, התשובות עליה והמוקד אינם נשלחים
• ההגדרות — מסונכרנות: שפה, ערכת נושא, פורמט תאריך ושעה, כינוי, אווטאר, אילו תזכורות מופעלות ובאיזו שעה, הישגים
• תוכניות לעבודה שלך, החדר, הכלים „שישה תחומים“, „שיחה על העומס“ ו„אם — אז“, והמדף „מה שמתאים לי“ — על המכשיר בלבד: אילו צעדים בתוכניות הושלמו, דולגו או סומנו כלא מתאימים, התשובות האופציונליות לשאלה של צעד, מה שנבחר לשמור בהישג יד, מה שנכתב או נבחר בכלים האלה, ומה שסומן כמתאים. אילו תוכניות אדם עובר יכול לומר הרבה על המצב שלו, ולכן שום דבר מזה אינו מועתק לענן, גם כשמחוברים לחשבון; הוא נכלל בהורדת הנתונים ונמחק מהמכשיר עם מחיקת החשבון (§8). אם מפעילים את נתוני האבחון, האפליקציה שולחת גם אירועים גסים על תוכניות, על הכלים האלה ועל המדף „מה שמתאים לי“ — לעולם לא דבר שנכתב ולעולם לא איזה פריט נשמר או סומן; §3.4 מפרט בדיוק מה הם מכילים. התוכניות על תקופה קשה אינן שולחות דבר — לא אירועי תוכניות ולא רישום של צעדים שהושלמו. צעדים של שאר התוכניות נספרים גם כתרגול שהושלם בקטגוריה „אחר“. טקסט מ„שיחה על העומס“ יוצא מהמכשיר רק אם מעתיקים אותו בעצמך.

המידע הזה מתאר את המצב הנפשי ואת נסיבות החיים. אנחנו מתייחסים אליו כאל מידע רגיש: לפי דין האיחוד האירופי הוא קטגוריה מיוחדת של מידע אישי (GDPR Art. 9), ה-App Store מסווג אותו כ„Health & Fitness“ ו-Google Play כ„Health information“. §6 מסביר מה זה אומר בפועל.

גרסה קודמת של מדיניות זו אמרה ש-Pausa אינה אוספת מידע אישי רגיש. זה לא היה נכון, והסעיף הזה מחליף אותה.

3.2 פרטי החשבון

אם נבחר ליצור חשבון, אנחנו מקבלים:

• כתובת הדוא"ל
• השם והמזהה שספק ההתחברות מעביר לנו (Apple או Google; Apple עשויה להעביר כתובת ממסר פרטית במקום הכתובת האמיתית)
• מזהה חשבון שנוצר עבורך (Firebase uid), שתחתיו נשמר כל המידע שלמעלה

סיסמאות להתחברות בדוא"ל מנוהלות על ידי Firebase Authentication: הן נשמרות בגיבוב (hash) ואנחנו לעולם לא רואים אותן.

כשבוחרים להתחבר עם Google, ההתחברות מתבצעת על ידי Google: ב-iPhone על ידי Google Sign-In, תוכנה של Google המובנית באפליקציה, וב-Android על ידי שירותי Google Play בטלפון, יחד עם מסכי ההתחברות של Google עצמה. מה ש-Google מקבלת בשלב הזה הוא מאפיין של שיטת ההתחברות הזו, ולא דבר ש-Pausa מבקשת. בגילוי הפרטיות שלה עבור Google Sign-In, Google מצהירה שהתוכנה הזו עשויה לאסוף שם, כתובת דוא"ל, מזהה משתמש, מספר טלפון, מיקום משוער, מזהה מכשיר, נתוני שימוש אחרים וסוגי נתונים אחרים, המקושרים לאדם, לצורך ביצוע ההתחברות ולצורכי ניתוח הנתונים של Google עצמה. Google מעבדת נתונים אלה כספקית של חשבון ה-Google, לפי מדיניות הפרטיות של Google.

Pausa אינה מבקשת מספר טלפון או מיקום, ואינה מקבלת או שומרת אותם. מהתחברות עם Google, Pausa מקבלת רק את מה שמפורט למעלה בסעיף הזה; פרופיל ה-Google עשוי לכלול גם קישור לתמונת הפרופיל, ש-Firebase Authentication שומר יחד עם החשבון והאפליקציה אינה משתמשת בו.

בהתחברות עם Apple או עם כתובת דוא"ל וסיסמה, וכן בשימוש ב-Pausa בלי חשבון (§2), Google Sign-In אינו משתתף. שתי שיטות ההתחברות האלה מפעילות את אותו סנכרון לענן.

3.3 התראות

הגרסה הנוכחית של Pausa אינה משתמשת בהתראות פוש מהשרת. התזכורות נוצרות ומתוזמנות על ידי האפליקציה במכשיר, ומוצגות על ידי מערכת ההתראות של המכשיר עצמו.

• איננו שומרים אסימון פוש עבור המכשיר, ואיננו מנהלים שום רישום של המכשיר לצורך התראות.
• אילו תזכורות הופעלו והשעה שנבחרה הן חלק מההגדרות (§3.1): הן נשמרות במכשיר, וכשמחוברים לחשבון — מסונכרנות יחד עם שאר ההגדרות.
• תזכורות חיוב: אם המנוי מוגדר להתחדש, האפליקציה מתזמנת במכשיר תזכורת אחת — 48 שעות לפני סיום תקופת ניסיון חינמית, או 7 ימים לפני חידוש של מנוי שנתי — עם התאריך והסכום של החיוב הקרוב, כפי שה-App Store או Google Play מדווחים עליהם. אם החידוש בוטל, אין תזכורת. אם המועד שלה נופל בתוך שלוש שעות אחרי סימון מצב באחת משתי הרמות הנמוכות ביותר או אחרי פתיחת „קשה לי עכשיו“, האפליקציה דוחה אותה למועד מאוחר יותר, בשלוש שעות לכל היותר; ההחלטה מתקבלת במכשיר. התאריך, הסכום והתזכורות עצמן נשמרים במכשיר ואינם נשלחים לשום מקום. אם התראות אינן מותרות, האפליקציה מציגה את אותה תזכורת בתוך האפליקציה כשפותחים אותה.

טקסטים של התראות נכתבים מראש והם זהים לכולם באותה שפה; היוצא מן הכלל היחיד הוא התאריך והסכום בתזכורת חיוב. שום דבר שנכתב ושום דבר שסומן אינו נכנס לתוך התראה.

3.4 נתוני אבחון — כבויים כברירת מחדל

סטטיסטיקת מוצר ודוחות קריסה כבויים עד שמפעילים אותם במפורש. זה לא רק מתג בממשק: שתי ערכות ה-SDK מושבתות בתצורת הבנייה של האפליקציה ב-iOS וב-Android, כך שדבר אינו נאסף לפני ההחלטה. מתג אחד שולט בשני הזרמים (הגדרות ← סטטיסטיקת שימוש ודוחות קריסה).

אם נתוני האבחון מופעלים, אנחנו מקבלים:

• שמות אירועים, כמו פתיחת מסך, השלמת תרגול או צעד במסלול, ביצוע סימון מצב (בלי הרמה שלו), הבאת סיטואציה לסיומה (בלי לציין איזו), פתיחת תוכנית או מתן תשובה לאחד מהצעדים שלה, שמירה של משהו מהצעד האחרון של תוכנית, פתיחת כלי, סימון של משהו ב„מה שמתאים לי“, בחירת מסלול חינמי, הרחבה של אחד מחלקי היום במסך התפקיד, הצגת מסך המנוי, תחילת רכישה, הפעלת נתוני האבחון
• רשימה קבועה ומפורסמת של פרמטרים גסים: מזהה הלשונית שנפתחת ומזהה הלשונית שממנה הגיעו אליה (או סימון שזו הלשונית הראשונה אחרי הפעלת האפליקציה); הקטגוריה של תרגול שהושלם (נשימה, כתיבה, טקס של תפקיד, כלי של סיטואציה, או אחר) ומשכו בשניות; היום של צעד במסלול, בלי שם המסלול; עבור תוכניות לעבודה שלך: איזו תוכנית זו (רק „ללמוד וגם לעבוד“, „להוביל אנשים ולהישאר עצמך“ ו„כשהעבודה חשופה לעין“ נשלחות בשמן; כל תוכנית אחרת נשלחת כ„אחר“, ו„כשהעבודה לקחה יותר מדי“, „אחרי משהו קשה בעבודה“ ו„כשאדם קרוב נפטר“ אינן שולחות שום אירוע תוכנית), האם היא נפתחה מהמדף או מקישור בתוכנית אחרת, מספר הצעד והתשובה עליו (בוצע, דולג או לא מתאים), האם הצעד נמצא בחלק החינמי והאם הוא האחרון, וסוג הדבר שנשמר מהצעד האחרון (כלי, תרגול נשימה או צעד); איזה כלי נפתח („שישה תחומים“, „שיחה על העומס“, „אם — אז“ או „הסף“); סוג הפריט שסומן ב„מה שמתאים לי“ (תרגול של תפקיד, תרגול נשימה, תרגיל, כלי או תוכנית), בלי הפריט עצמו; האם מסלול חינמי נבחר מהרשימה או מהכרטיס שלו; איזה משלושת חלקי היום (לפני, בין או אחרי) הורחב במסך התפקיד, והאם זה החלק שהאפליקציה ניחשה; הצעד שבו הסיור „להראות לי מה איפה“ הסתיים או הופסק (מזהה צעד) ומאיפה הוא הופעל (מההגדרות), בלי המספר הכולל של הצעדים בו; כמה ימים עברו מאז הביקור הקודם; השעה המקומית במכשיר (מספר בין 0 ל-23, בלי דקות) בזמן פתיחת האפליקציה, השלמת תרגול או פתיחת כלי; שלב בהיכרות; כמה דקות עברו בין ההפעלה הראשונה לבין התרגול הראשון שהושלם, והאם זה קרה בסשן הראשון; כמה שעות עברו בין ההפעלה הראשונה לבין הפעם הראשונה ש„הסף“ הושלם — רק כטווח, מ„פחות משעה“ ועד „שבוע ומעלה“, ולא כמספר מדויק; מאיפה נפתח מסך המנוי, איזה מסך מנוי זה היה, ואיך הוא נסגר; מזהה מוצר ואורך תקופת הניסיון החינמית בימים; התפקיד המקצועי הראשי, כשקובעים אותו או הופכים תפקיד אחר לראשי (שאר התפקידים אינם נשלחים); הסוג והשעה של תזכורת או הצעה של טיפול עצמי, ואיך נבחרה השעה הזו; עבור איזה סוג של התראות (מקומיות או push) נמשכה ההרשאה, והמצב החדש שלה; מאיפה התחילה פעולה (סמל האפליקציה, התראה, ווידג'ט, פעולה מהירה, המערכת, או מתוך האפליקציה); ואם משתתפים בניסוי מוצר — שם הניסוי והגרסה שלך בו
• גרסת האפליקציה, דגם המכשיר וגרסת מערכת ההפעלה
• דוחות קריסה: עקבות מחסנית ויומנים טכניים, מקושרים למזהה החשבון
• מזהה מופע של האפליקציה ש-Firebase Analytics מקצה להתקנה הזו של האפליקציה כדי לספור אירועים מאותה התקנה; הוא אינו מקושר לאדם: הסטטיסטיקה לעולם אינה מקבלת את מזהה החשבון או את הדוא"ל, ולאפליקציה אין מזהה פרסום
• מיקום משוער, כמו מדינה או עיר, ש-Google Analytics גוזר מכתובת IP ממוסכת; האפליקציה אינה משתמשת בשירותי המיקום של המכשיר
• אירועים ש-Firebase Analytics מתעד בעצמו, בלי שהאפליקציה מבקשת, כמו ההפעלה הראשונה, סשנים ועדכוני האפליקציה, וכן רכישות ומינויים כפי שה-App Store או Google Play מדווחים עליהם — עם מזהה המוצר, שם המוצר, המחיר והמטבע

הסטטיסטיקה לעולם אינה מקבלת את הטקסט של רשומות היומן, את רמת הסימונים, את הסיטואציה או המוקד שנבחרו, את מה שמספרים על הסיטואציה, את שם המסלול, שמות של רגשות, שמות של משימות שהוקלדו, או את כתובת הדוא"ל. שום דבר לגבי „קשה לי עכשיו“ אינו נאסף: לא הפתיחה שלו ולא המעבר בו יוצרים אירוע סטטיסטיקה כלשהו. האירועים שהאפליקציה בונה בעצמה נושאים רק פרמטרים מהרשימה הקבועה שלמעלה; כל השאר נזרק לפני שאירוע כזה נבנה, ובדיקות אוטומטיות שומרות על כך. האירועים ש-Firebase Analytics מתעד בעצמו (הפריט האחרון ברשימה שלמעלה) אינם מסוננים על ידי האפליקציה: אנחנו לא מוסיפים להם דבר והם אינם מכילים דבר מהיומן או מהסימונים, אבל הפרמטרים שלהם נקבעים על ידי Google, ולא על ידי הרשימה שלנו.

גם לדוחות קריסה אנחנו לעולם לא מכניסים את הרשומות, את רמות הסימונים או את הדוא"ל: דוח קריסה נושא את ההודעה הטכנית של התקלה ואת נתיב הקוד שיצר אותה. אנחנו לא יכולים להבטיח שהודעה טכנית לעולם לא תצטט קטע ממה שנכתב ברגע שהאפליקציה נשברה, ולכן אנחנו משאירים את דוחות הקריסה כבויים עד לאישור, ומוחקים אותם לפי לוח הזמנים של הפלטפורמה.

כיבוי נתוני האבחון עוצר את האיסוף, מוחק דוחות קריסה שטרם נשלחו, וזורק את כל מה שמוחזק בזיכרון. לפני ההחלטה, האירועים ממתינים בזיכרון המכשיר בלבד ונמחקים אם מסרבים או סוגרים את האפליקציה.

בנפרד מהמתג הזה, התוכנה של Firebase מבית Google מצרפת תווית טכנית לבקשות שלה בכל פעם שהאפליקציה פונה ל-Firebase — בהתחברות או בסנכרון, במשיכת ההגדרות המשותפות המתוארות ב-§2, ולצורך נתוני אבחון שאושרו: אילו גרסאות של רכיבי Firebase האפליקציה משתמשת בהן, באיזו פלטפורמה ובאילו ימים. Google משתמשת בתווית כדי לתחזק ולשפר את Firebase, ומצהירה שהיא לעולם אינה מקושרת למזהה משתמש או למזהה מכשיר.

3.5 מנויים ותשלומים

התשלומים מעובדים על ידי Apple App Store או Google Play. אנחנו לעולם לא רואים ולא שומרים את מספר הכרטיס, את כתובת החיוב או פרטי תשלום כלשהם.

האפליקציה מקבלת את מצב המנוי — מוצר, תקופה, תקופת ניסיון, חידוש, פקיעה, ביטול — מ-RevenueCat (§5) במכשיר, כדי שהיכולות בתשלום ייפתחו לחשבון ששילם עליהן. האפליקציה אינה כותבת את המצב הזה למסד הנתונים שלנו בענן.

כדי לדעת אם אפשר בכלל לרכוש מנוי, האפליקציה שואלת את ה-App Store או את Google Play, דרך התוכנה של RevenueCat במכשיר, לאיזו מדינה שייך חשבון החנות, ושומרת את קוד המדינה הזה במכשיר. השאלה נשאלת שוב בכל הפעלה, כדי שהאפליקציה תדע את המדינה לפני שהחנות עונה וגם בלי חיבור; קוד שלא אושר במשך 30 יום אינו משמש עוד. במקומות שבהם החנות אינה מקבלת תשלומים (כרגע רוסיה), פרימיום פתוח בלי רכישה. Pausa אינה שולחת את המדינה לסטטיסטיקה או למסד הנתונים שלנו בענן. כמו אישור של רכישה, היא שייכת לחשבון החנות ולא לחשבון ה-Pausa, ולכן מחיקת החשבון אינה מוחקת אותה מהמכשיר (§7).

3.6 משוב שנשלח אלינו

אם נשלח משוב מתוך האפליקציה, אנחנו מקבלים את הדירוג, את הדירוגים של סעיפים נפרדים אם ניתנו, את התשובה האופציונלית ל„אפשר לספר למה“ ואת ההערה האופציונלית כפי שנכתבו, את מזהה החשבון, וגם את גרסת האפליקציה, הפלטפורמה, השפה ומועד השליחה. כדאי להתייחס לשדות האלה כאל הודעה לאדם: בניגוד ליומן, הם נועדו להיקרא על ידינו. אנחנו קוראים אותם כדי לבדוק את הבעיה שמתוארת בהם, וכדי להבין אילו חלקים של האפליקציה עובדים בשביל אנשים ומה כדאי לשנות.

אם מנוי אינו בהישג יד כרגע, אפשר לבקש מאיתנו קוד חינמי במסך המנוי. הקשה על „לכתוב מייל“ פותחת את אפליקציית הדוא"ל עם מכתב מוכן לכתובת שב-§12, שמציין את החנות ואת גרסת האפליקציה; אנחנו מקבלים אותו, יחד עם כתובת הדוא"ל, רק אם הוא נשלח. באותה הקשה האפליקציה רושמת במכשיר את השעה, כדי להראות מתי אפשר לבקש שוב; הרישום הזה נמחק יחד עם שאר הנתונים במכשיר (§8). אם מחוברים לחשבון, האפליקציה רושמת את הבקשה גם במסד הנתונים שלנו בענן: רשומה עם מזהה החשבון, השפה, גרסת האפליקציה, הפלטפורמה והשעה, שנשמרת לצד המשוב, ומונה תחת החשבון עם המועדים של שתי הבקשות האחרונות, שמגביל את הבקשות לאחת ב-90 יום ולשתיים בשנה. באף אחד מהם אין מקום לסיבה או לשום דבר על המצב שלך. בניגוד למשוב אחר (§7), גם הרשומה וגם המונה נמחקים יחד עם החשבון (§8), ושניהם נכללים בהורדת הנתונים. הודעת הדוא"ל עצמה אינה נכללת: היא נשארת בתיבת הדואר שלנו — אפשר לכתוב לנו אם רוצים שתימחק גם היא.

3.7 מה איננו אוספים

• שם אמיתי מעבר למה שספק ההתחברות מעביר לנו
• מיקום מדויק: האפליקציה אינה משתמשת בשירותי המיקום של המכשיר ואין לה הרשאת מיקום. מיקום משוער מופיע רק בשני המקרים שתוארו למעלה: Google Analytics גוזר אותו מכתובת IP ממוסכת אם מאשרים את נתוני האבחון (§3.4), והוא נכלל בנתונים ש-Google מצהירה עליהם עבור ההתחברות שלה אם בוחרים להתחבר עם Google (§3.2)
• אנשי קשר, יומן, תמונות, מדיה, קבצים או מיקרופון
• נתונים מ-Apple Health / HealthKit או Google Fit — Pausa אינה מתחברת אליהם
• מזהי פרסום: אין IDFA ב-iPhone (המודול שקורא אותו אינו נמצא באפליקציה) ואין Android Advertising ID ב-Android (האיסוף שלו כבוי וההרשאה עבורו הוסרה), אין בקשת App Tracking Transparency ואין באפליקציה ערכת SDK פרסומית

Pausa אינה עוקבת אחריך באפליקציות ובאתרים של חברות אחרות, אינה מוכרת מידע אישי, ואינה משתמשת בשום דבר שנכתב או סומן לצורכי פרסום או שיווק.

4. למה אנחנו משתמשים במידע הזה

• כדי לספק את מה שהתבקש: לשמור את היומן ואת הסימונים, לסנכרן אותם בין המכשירים, להציג את ההיסטוריה האישית בחזרה, ולהציג את התזכורות שהופעלו. בסיס חוקי: ביצוע ההסכם בינינו.
• כדי לשמור בענן את המידע שמתאר את הרווחה הנפשית (§3.1). בסיס חוקי: הסכמה מפורשת — היא ניתנת בהתחברות, שהיא מה שמפעיל את הסנכרון לענן, ונמשכת חזרה בהתנתקות או במחיקת החשבון (§8).
• כדי לאסוף נתוני אבחון (§3.4). בסיס חוקי: הסכמה נפרדת ומפורשת, שאפשר למשוך בכל רגע בהגדרות; המשיכה עוצרת את האיסוף.
• כדי לפתוח את היכולות בתשלום לחשבון שרכש אותן. בסיס חוקי: ביצוע ההסכם בינינו.
• כדי שהאפליקציה תמשיך לעבוד — לתקן קריסות, לבדוק בעיות שמדווחות לנו ובקשות שנשלחות אלינו (§3.6), לראות אילו מסכים נפתחים, להחליט מה לבנות אחר כך. רק מתוך נתוני האבחון שאושרו (§3.4) ומתוך המשוב והבקשות שנשלחו אלינו (§3.6).
• כדי להגן על מסד הנתונים שלנו בענן מפני ניצול לרעה אוטומטי (App Check, §5), וכדי שהקודים החינמיים המתוארים ב-§3.6 יישארו זמינים לאנשים שמבקשים אותם. בסיס חוקי: האינטרס הלגיטימי שלנו בשמירה על שירות פועל והוגן. שום דבר מהיומן או מסימוני המצב אינו משמש לכך.

איננו משתמשים במידע לצורכי פרסום, לפרופילי שיווק, או לכל החלטה אוטומטית לגביך. איננו מוכרים מידע אישי.

5. מי עוד מעבד את הנתונים

Pausa היא מוצר עצמאי קטן הבנוי על תשתית של צד שלישי. השירותים שלהלן פועלים כמעבדים מטעמנו לפי חוזה, ואינם רשאים להשתמש בנתונים למטרות שלהם:

• Firebase Authentication (Google) — הדוא"ל, מזהה הספק ומזהה החשבון; להתחברות בלבד.
• Cloud Firestore (Google) — המידע על הרווחה הנפשית שב-§3.1 יחד עם הפרופיל וההגדרות, נשמר תחת מזהה החשבון. כאן היומן גר לאחר ההתחברות. עם חשבון ובלעדיו, האפליקציה גם קוראת ממנו את ההגדרות המשותפות, ההודעה ומספרי קווי הסיוע למצבי משבר המתוארים ב-§2, שזהים לכולם; שום דבר עליך אינו נכתב לשם כך.
• Firebase Cloud Messaging (Google) — אינו בשימוש בגרסה הנוכחית: איננו שולחים התראות מהשרתים שלנו ואיננו שומרים אסימון פוש. התזכורות מתוזמנות במכשיר (§3.3).
• Firebase Analytics (Google) — רק לאחר הפעלת נתוני האבחון; שמות אירועים ופרמטרים מרשימת ההיתר, מזהה המופע של האפליקציה והמיקום המשוער המתוארים ב-§3.4, בלי מזהה החשבון מצורף.
• Firebase Crashlytics (Google) — רק לאחר הפעלת נתוני האבחון; עקבות קריסה ויומנים טכניים, מקושרים למזהה החשבון.
• RevenueCat — מצב המנוי. RevenueCat מקבלת את מזהה חשבון ה-Firebase (uid) כמזהה המשתמש שלה באפליקציה, כדי שרכישה תלווה את החשבון בין מכשירים, יחד עם נתוני הרכישה שהחנויות מדווחות. היא אינה מקבלת רשומות יומן, סימוני מצב, תפקיד או מצב.
• Apple ו-Google כספקיות של התחברות ותשלומים — בעת התחברות דרכן ובעת תשלום. כאן הן פועלות לפי מדיניות הפרטיות שלהן, ולא כמעבדים מטעמנו; לגבי התחברות עם Google, ב-§3.2 מתואר מה ש-Google מצהירה לגבי Google Sign-In.
• Firebase App Check (Google), עם App Attest ב-iPhone (Apple) ו-Play Integrity ב-Android (Google) — כשהאפליקציה מתחברת ל-Firebase Authentication או ל-Cloud Firestore (כדי למשוך את ההגדרות המשותפות המתוארות ב-§2, עם חשבון ובלעדיו; כדי להתחבר, לסנכרן, למחוק את החשבון או לשלוח משוב), היא מבקשת מהפלטפורמה של הטלפון לאשר שהבקשה מגיעה מעותק אמיתי של Pausa במכשיר אמיתי. האישור הוא אסימון קצר מועד שמצורף לבקשות האלה; הוא אינו מכיל שום דבר שנוצר באפליקציה. כדי להנפיק אותו, Apple או Google מקבלות מידע על האפליקציה ועל המכשיר לפי מדיניות הפרטיות שלהן; Pausa אינה מקבלת את המידע הזה.

הנתונים נשמרים בתשתית Google Cloud ועשויים להיות מעובדים בארצות הברית ובמדינות נוספות שבהן ספקים אלה פועלים, תחת אמצעי ההגנה להעברה שבתנאיהם, לרבות Standard Contractual Clauses של האיחוד האירופי.

איננו משתפים את הנתונים עם סוחרי מידע, רשתות פרסום או כל גורם אחר מעבר לרשימה שלמעלה.

6. מידע על רווחה נפשית: איך אנחנו נוהגים בו

• הוא לעולם אינו משמש לפרסום, לשיווק או להתאמה אישית של מודעות, ולעולם אינו משותף למטרות אלה.
• הוא אינו נמכר ואינו נמסר לאף גורם מעבר למעבדים המפורטים ב-§5.
• איננו קוראים את היומן. אף אחד מצדנו אינו סוקר או מפקח על רשומות, והן אינן משמשות לבניית פרופילים. ניגש אליהן רק אם החוק יחייב אותנו.
• הרשומות, רמות הסימונים והסיטואציה או המוקד שנבחרו לעולם אינם נשלחים לסטטיסטיקה, והאפליקציה אינה מכניסה אותם לדוחות קריסה (§3.4 מסביר היכן ההבטחה הזו נגמרת). מבין הבחירות המתוארות ב-§3.1, רק התפקיד המקצועי הראשי נשלח לסטטיסטיקה, ורק אם נתוני האבחון הופעלו; שאר התפקידים אינם נשלחים.
• האפליקציה מוגדרת כך שהוא יישאר מחוץ לגיבויי הענן של הפלטפורמה: ב-iOS האפליקציה מסמנת את התיקיות שבהן היא שומרת את המידע הזה כמוחרגות מ-iCloud Backup, וב-Android גיבוי הענן כבוי. Pausa אינה משתמשת ב-iCloud, ב-CloudKit או ב-Google Drive כדי לשמור רשומות. ההעברה הישירה מטלפון לטלפון ב-Android נשארת מופעלת במכוון, כדי שבמעבר לטלפון Android חדש ההיסטוריה תעבור מוצפנת מהמכשיר הישן לחדש, בלי לעבור דרכנו. בגלל ההחרגה ב-iOS, במעבר ל-iPhone חדש בלי חשבון, ייתכן שההיסטוריה לא תעבור ל-iPhone החדש.
• מחיקת החשבון מסירה אותו (§8).

7. שמירה, תקופות אחזקה ואבטחה

• על המכשיר, הנתונים נשארים עד שמוחקים אותם באפליקציה, מוחקים את החשבון או מסירים את האפליקציה. מחיקת החשבון אינה מוחקת את מה שנבחר עבור המכשיר הזה ולא נמסר כמידע על עצמך — שפה, ערכת נושא, פורמט תאריך ושעה, האם ההיכרות הושלמה, וההחלטה לגבי נתוני האבחון — וגם לא את המצב הטכני של האפליקציה על המכשיר, כמו האם התראות מותרות והאם רכישה אושרה בו.
• בענן, הם נשארים כל עוד החשבון קיים.
• אירועי סטטיסטיקה ודוחות קריסה, אם אושרו, נשמרים אצל Google למשך תקופת האחזקה שהוגדרה לפרויקט ולאחר מכן נמחקים.
• משוב שנשלח אלינו (§3.6) נשמר בנפרד מנתוני החשבון ואינו נמחק עם מחיקת החשבון; אפשר לכתוב לנו אם רוצים שיימחק גם הוא. החריג היחיד הוא בקשה לקוד חינמי: היא נמחקת יחד עם החשבון (§3.6, §8).
• הנתונים עוברים בחיבורים מוצפנים (HTTPS/TLS). כללי הגישה במסד הנתונים בענן מתירים לחשבון לקרוא ולכתוב רק את הנתונים של עצמו.

אף מערכת אינה יכולה להבטיח אבטחה מוחלטת.

8. הבחירות והזכויות שלך

• הורדת הנתונים: הגדרות ← הורדת הנתונים שלי. מתקבל קובץ JSON עם הפרופיל, כל מה שסונכרן לענן, ומה שמוחזק על המכשיר.
• מחיקת החשבון: הגדרות ← חשבון ← מחיקת חשבון. לפני שמשהו נמחק, האפליקציה מבקשת לאמת את ההתחברות: תמיד, אם ההתחברות היא באמצעות Apple; עם Google או דוא"ל — רק אם ההתחברות האחרונה הייתה לפני יותר מכמה דקות. לאחר מכן האפליקציה מוחקת את כל מה שמאוחסן תחת מזהה החשבון במסד הנתונים שלנו בענן — יומן, סימוני מצב, היסטוריית פעילות, הגדרות, וכל רישום של מכשירים לצורך התראות שנשאר מגרסאות קודמות של האפליקציה — בודקת שלא נשאר שם דבר, ורק אז מוחקת את חשבון ההתחברות; אם ההתחברות היא באמצעות Apple, היא גם מבקשת מ-Apple לבטל את הגישה של האפליקציה ל-Apple ID שלך. אם שלב בענן אינו מסתיים, חשבון ההתחברות נשמר ואפשר להפעיל את המחיקה שוב; היא ממשיכה מהמקום שבו נעצרה. במכשיר שבשימוש, האפליקציה מוחקת את היומן, סימוני המצב, היסטוריית הפעילות, התפקיד והמצב שנבחרו וכל מה שנוצר בהם, את הפרופיל וההישגים, ומבטלת את התזכורות שכבר תוזמנו. מה שנשאר על המכשיר מפורט ב-§7. אי אפשר לבטל את הפעולה.
• אם אי אפשר לפתוח את האפליקציה, אפשר לבקש מאיתנו למחוק את החשבון ואת הנתונים בכתיבה לכתובת שב-§12.
• משיכת ההסכמה לנתוני אבחון: הגדרות ← סטטיסטיקת שימוש ודוחות קריסה. כיבוי עוצר את האיסוף מיד (§3.4).
• עצירת הסנכרון לענן: להתנתק. כל מה שנוצר לאחר מכן נשאר על המכשיר.
• למי שנמצא באיחוד האירופי, ב-EEA או בבריטניה יש גם זכויות גישה, תיקון, מחיקה, הגבלה, ניידות והתנגדות, וזכות להגיש תלונה לרשות להגנת מידע.

9. פרטיות ילדים

Pausa אינה מיועדת לילדים מתחת לגיל 13, ואיננו אוספים ביודעין מידע אישי מהם. במקום שבו הדין המקומי קובע גיל גבוה יותר להסכמה לעיבוד מידע, חל הגיל הגבוה יותר.

10. הבהרה

Pausa מיועדת להתבוננות עצמית ולטיפול עצמי בלבד.

היא אינה מספקת שירותים רפואיים, פסיכולוגיים או טיפוליים, אינה מאבחנת ואינה מטפלת בדבר, ואינה תחליף לטיפול מקצועי.

במצוקה משמעותית, כדאי לפנות לתמיכה של איש מקצוע מוסמך. באפליקציה יש גם רשימת קווי סיוע למצבי משבר.

11. שינויים במדיניות זו

אנחנו עשויים לעדכן מדיניות פרטיות זו. כל שינוי משתקף בתאריך „עודכן לאחרונה“ שלמעלה. אם נתחיל לאסוף משהו שאינו נזכר כאן, המדיניות תזכיר אותו לפני שהאיסוף יתחיל.

12. יצירת קשר

שאלות על מדיניות פרטיות זו, בקשות בנוגע לנתונים, או פער בין הטקסט הזה לבין מה שהאפליקציה עושה: bych2007@gmail.com