מדיניות פרטיות

תחולה ותפקידי הצדדים. ביחס למבקרי האתר, לפונים ולנציגי לקוחות — החברה פועלת כבעלת שליטה במידע (Controller), ומדיניות זו חלה במלואה.

ביחס למידע אישי של לקוחות הקצה של לקוחותינו, המעובד במערכות שהחברה מפתחת ומפעילה עבורם — הלקוח העסקי הוא בעל השליטה במידע, והחברה פועלת כמעבדת מידע (Processor) מטעמו ולפי הוראותיו המתועדות, בכפוף להסכם עיבוד נתונים.

פניה של נושא מידע ביחס למידע כאמור בסעיף תחולה ותפקידי הצדדים תופנה ללקוח העסקי הרלוונטי; החברה תסייע ללקוח במענה, כמתחייב מסעיף 28 ל-GDPR.

מתי החברה בעלת שליטה ומתי מעבדת מידע. החברה פועלת כבעלת שליטה ביחס למידע האישי של מתעניינים מטעמה, נציגי לקוחותיה, מתכתבים עמה ומבקרי אתרה: פרטי הקשר של האנשים שעמם היא מתנהלת, תיעוד ההתנהלות עמם, פניות שנשלחו דרך אתר זה, והמידע הטכני הנוצר בעת ביקור בו. במעמד זה היא קובעת את מטרות העיבוד ואמצעיו ואחראית ישירות כלפי נושא המידע.

החברה פועלת כמעבדת מידע ביחס למידע האישי הכלול במערכת שהיא בונה ומפעילה עבור לקוח עסקי: לקוחותיו, מטופליו, פניותיו, עובדיו והצדדים שעמם הוא מתקשר, ותוכן התקשורת עמם. במעמד זה הלקוח העסקי הוא בעל השליטה, הוא הקובע מדוע וכיצד יעובד המידע, והחברה פועלת אך ורק לפי הוראותיו המתועדות.

האבחנה חשובה לנושא המידע משום שהיא קובעת מי חייב להשיב לפנייתו. פנייה הנוגעת למידע המצוי במערכת של לקוח היא עניינו של אותו לקוח, והחברה תאמר זאת ותעביר אליו את הפנייה במקום להשיב בעצמה. פנייה הנוגעת להתנהלות החברה עצמה תיענה על ידה.

מקום שהחברה פועלת כמעבדת מידע, היא עושה זאת מכוח הסכם עיבוד נתונים הכולל את התנאים הנדרשים בסעיף 28 ל-GDPR, ובכללם החובה לעבד אך ורק לפי הוראות, להחיל חובת סודיות על עובדיה, ליישם את האמצעים הנדרשים בסעיף 32, להתקשר עם מעבד משנה רק בתנאים מקבילים, לסייע לבעל השליטה בפניות נושאי מידע ובחובותיו לפי סעיפים 32 עד 36, ולמחוק או להשיב את המידע בתום ההתקשרות.

סוגי המידע הנאסף. מידע שנמסר ביוזמת הפונה: שם, מספר טלפון, כתובת דואר אלקטרוני ותוכן הפנייה. נוסח ההסכמה שאושר על ידי הפונה נשמר כלשונו כראיה להסכמה.

מידע טכני ונתוני שימוש הנאספים באמצעות עוגיות וטכנולוגיות דומות, בהיקף ההעדפות שנקבעו על ידי המשתמש בממשק ניהול העוגיות. עוגיות שאינן חיוניות אינן נטענות בהיעדר הסכמה.

מלקוחות עסקיים: פרטי התקשרות וחיוב עסקיים, לרבות שם חוקי, מספר רישום או מספר עוסק לצורכי מס, כתובת ופרטי איש קשר — לצורך הפקת חשבוניות וניהול ההתקשרות.

החברה אינה אוספת ביודעין קטגוריות מיוחדות של מידע אישי כמשמעותן בסעיף 9 ל-GDPR, ואינה מייעדת את שירותיה לקטינים.

מטרות העיבוד והבסיס החוקי. החברה מעבדת מידע אישי לשם אספקת השירותים ולניהול ההתקשרות עם כל לקוח, והבסיס החוקי לעיבוד זה הוא ביצוע חוזה שנושא המידע צד לו או נקיטת צעדים לבקשתו טרם ההתקשרות, לפי סעיף 6(1)(ב) ל-GDPR. אותו בסיס חל על ניהול החיוב, על הוצאת החשבוניות ועל ההתכתבות הנלווית להתקשרות מטבעה.

בנוסף מעבדת החברה מידע אישי לשם מענה לפניות, לתפעול אתר זה ולאבטחתו, להגנה על מערכותיה מפני שימוש לרעה ומפני פעילות אוטומטית, ולביסוס תביעות משפטיות, מימושן או הגנה מפניהן. הבסיס החוקי לעיבוד זה הוא האינטרסים הלגיטימיים של החברה לפי סעיף 6(1)(ו) ל-GDPR, כאשר כל אינטרס כאמור אוזן מול זכויותיו וחירויותיו של נושא המידע בטרם בוצע העיבוד, ותוצאת האיזון זמינה לפי בקשה.

עוגיות שאינן חיוניות ודיוור שיווקי מעובדים על בסיס הסכמה לפי סעיף 6(1)(א) ל-GDPR. ההסכמה נדרשת בטרם יחל עיבוד כאמור, מתועדת, וניתנת לביטול בכל עת ובאותה קלות שבה ניתנה, ואז נפסק העיבוד; אין בביטול כדי לפגוע בחוקיות העיבוד שבוצע בהסתמך על ההסכמה עד למועד ביטולה.

מקום שהחברה מחויבת על פי דיני חשבונאות, מס או רגולציה אחרת לשמור מידע אישי או להציגו, הבסיס החוקי הוא קיום חובה חוקית החלה על החברה לפי סעיף 6(1)(ג) ל-GDPR, והמידע נשמר לתקופה שאותו דין קובע, ללא תלות בבקשה למחקו.

פרטי אמצעי תשלום. פרטי כרטיס האשראי נמסרים ישירות ל-Stripe Payments Europe, Ltd. ולחברות הקבוצה שלה, בדפי תשלום המאובטחים על ידה ובכפוף לתקן PCI-DSS.

פרטי אמצעי התשלום אינם עוברים בשרתי החברה ואינם נשמרים בהם בכל צורה שהיא. החברה מקבלת מספק הסליקה נתוני עסקה בלבד, לרבות סטטוס התשלום וארבע ספרות אחרונות.

מקבלי המידע וספקי משנה. החברה נעזרת בספקי תשתית ושירות מצומצמים, המעבדים מידע בשמה בכפוף להסכמי עיבוד נתונים ולהתחייבויות סודיות ואבטחה, ובכללם: Stripe, לצורך סליקת תשלומים, חיוב והפקת מסמכי חיוב; Supabase, לצורך מסדי נתונים ותשתית צד-שרת; Vercel, לצורך אירוח האתר ורשת הפצת תוכן; Twilio, לצורך תקשורת בערוץ WhatsApp והודעות; ו-Resend, לצורך משלוח דואר אלקטרוני תפעולי.

בנוסף נעשה שימוש בשירותי ניטור תקלות וניתוח שימוש בהיקף מוגבל. רשימה עדכנית ומלאה של ספקי המשנה תימסר לכל דורש בכתובת שבראש מסמך זה.

החברה אינה מוכרת מידע אישי ואינה מעבירה אותו לצדדים שלישיים למטרות שיווק שלהם.

מידע עשוי להימסר לרשות מוסמכת ככל שהדבר נדרש על פי דין או צו שיפוטי.

העברת מידע אל מחוץ לאזור הכלכלי האירופי. חלק מספקי המשנה מעבדים מידע במדינות שמחוץ לאזור הכלכלי האירופי, לרבות ארצות הברית.

העברה כאמור מתבצעת על בסיס מנגנון העברה חוקי לפי פרק V ל-GDPR — החלטת נאותות של הנציבות האירופית, או תניות חוזיות סטנדרטיות (SCCs) בצירוף אמצעי הגנה משלימים לפי הצורך.

עותק ממנגנוני ההעברה הרלוונטיים יימסר לכל דורש בכתובת שבראש מסמך זה.

מקורות, דיוק ומידע נגזר. המידע האישי שהחברה מעבדת מתקבל מנושא המידע במישרין, מן הלקוח העסקי שבשמו פועלת החברה, מאינטראקציה של נושא המידע עם מערכת שהחברה מפעילה, וממקורות פומביים מקום שהחברה מאמתת פרטי עסק. מקום שהמידע מקורו בלקוח עסקי, מצהיר אותו לקוח כלפי החברה כי יש לו בסיס חוקי למסירתו.

החברה מסתמכת על דיוקו של המידע האישי כפי שנמסר לה ואינה מאמתת אותו באופן עצמאי. נושא מידע הסבור כי המידע המוחזק אודותיו שגוי או חסר רשאי להודיע על כך, והחברה תתקן או תשלים אותו, או תעביר את הפנייה ללקוח העסקי השולט בו, ללא דיחוי בלתי סביר.

החברה גוזרת מן המידע שהיא מעבדת מידע מצטבר וסטטיסטי, לרבות ספירות, נפחים, זמני תגובה, שיעורי שגיאה ודפוסי שימוש. מקום שמידע כאמור צובר או עבר אנונימיזציה באופן שלא ניתן לזהות ממנו נושא מידע ולא ניתן לזהותו מחדש באופן סביר — חדל הוא מלהיות מידע אישי, והחברה עושה בו שימוש להפעלת שירותיה, לאבטחתם, למדידתם ולשיפורם ללא הגבלה לפי מדיניות זו.

החברה אינה מוכרת מידע אישי, אינה מוסרת אותו לצורכי שיווק עצמאיים של צד שלישי, ואינה משלבת מידע שהתקבל מלקוח עסקי אחד עם מידע שהתקבל מאחר, למעט בצורה מצטברת או אנונימית כמתואר לעיל.

דיוור ותקשורת שיווקית. החברה שולחת דברי פרסומת לאיש קשר עסקי רק מקום שאותו אדם ביקש זאת, מסר כרטיס ביקור או פנייה בנסיבות שבהן תקשורת כאמור מצופה, או מקום שהתקשורת נוגעת לשירותים דומים לאלה שכבר נדונו וניתנה לנמען הזדמנות להתנגד בעת איסוף פרטיו. כל פנייה כאמור כוללת אמצעי להסרה, ובקשת הסרה מבוצעת ללא דיחוי וללא בירור טעמיה.

החברה אינה שולחת דברי פרסומת ללקוחותיהם של לקוחותיה העסקיים על חשבונה שלה. מקום שמערכת שבנתה החברה שולחת הודעה לאדם כאמור, היא עושה זאת לפי הוראת הלקוח ובשמו; הלקוח הוא בעל השליטה באותה תקשורת והאחראי לבסיסה החוקי, לתיעוד ההסכמה ולטיפול בבקשות הסרה.

הודעות תפעוליות אינן שיווק. הודעה המאשרת תור, מודיעה על חשבונית, מדווחת על תקלה, משיבה לפניית תמיכה או נדרשת אחרת לקיום ההתקשרות נשלחת על בסיס הצורך החוזי, וממשיכה להישלח גם למי שהסיר עצמו מדיוור שיווקי.

החברה אינה עושה שימוש במידע אישי לצורכי פרסום, אינה בונה פרופילי פרסום, אינה מוכרת או משכירה רשימות תפוצה, ואינה מעשירה את רשומותיה ברכישת מידע אישי מסוחרי מידע.

תקופות שמירה. מידע אישי נשמר אך ורק כל עוד המטרה שלשמה נאסף מחייבת זאת. פנייה או ליד שלא הבשילו להתקשרות נשמרים עד עשרים וארבעה חודשים ממועד המגע האחרון ולאחר מכן נמחקים או עוברים אנונימיזציה בלתי הפיכה, כאשר תקופה זו משקפת את משכה הרגיל של שיחה עסקית בשוק זה ולא כוונה לשמור לצמיתות.

המידע האישי המצוי במערכת של לקוח נשמר למשך תקופת ההתקשרות, ועם סיומה חלות הוראות היצוא, המחיקה וטיהור הגיבויים שבתנאי השירות: המידע זמין לייצוא במשך שלושים יום, נמחק לאחר מכן מסביבות הייצור, ומטוהר מן הגיבויים במחזוריות שוטפת שלא תעלה על תשעים יום לאחר מכן.

רשומות חיוב, חשבוניות ומסמכים חשבונאיים נשמרים לתקופה שדיני המס והחשבונאות החלים מחייבים, שהיא ארוכה מן הצורך התפעולי בהם ואינה מתקצרת בשל בקשה למחיקה. רשומות הסכמה לעוגיות נשמרות לתקופה המספיקה להוכיח כי ההסכמה ניתנה, ולא מעבר לכך.

קטינים. שירותי החברה מכוונים לעסקים ואינם מיועדים לילדים. החברה אינה אוספת ביודעין מידע אישי מילד במעמדה כבעלת שליטה, ואתר זה אינו מעוצב כדי למשוך ילדים או לשמש אותם.

מקום שמערכת שבנתה החברה מעבדת מידע של אדם שטרם בגר — כפי שעשוי לקרות במרפאה, במוסד חינוכי או בעסק שירותים המטפל במשפחות — הלקוח העסקי הוא בעל השליטה במידע זה, והאחריות לביסוס הבסיס החוקי, לקבלת הסכמה מבעל האחריות ההורית מקום שהיא נדרשת, ולוודא כי סף הגיל החל בתחום שיפוטו מתקיים — מוטלת עליו. בקפריסין נקבע גיל ההסכמה לשירותי חברת מידע על ארבע עשרה.

נודע לחברה כי היא מחזיקה, כבעלת שליטה, במידע של ילד שנאסף ללא בסיס ראוי, תמחק אותו ללא דיחוי בלתי סביר.

אבטחת מידע. החברה נוקטת אמצעים טכניים וארגוניים מתאימים לפי סעיף 32 ל-GDPR, לרבות הצפנה בהעברה ובאחסון, בקרות גישה מבוססות הרשאה וצורך, הפרדה בין סביבות לקוחות, גיבויים ותיעוד וניטור שוטפים.

בהתרחש אירוע אבטחה המסכן זכויות וחירויות של נושאי מידע, תפעל החברה לדיווח לרשות המוסמכת בתוך 72 שעות ולעדכון בעלי השליטה או נושאי המידע הרלוונטיים, כמתחייב מסעיפים 33–34 ל-GDPR.

זכויות נושא המידע. לנושא המידע עומדות הזכויות הבאות, בכפוף לתנאי הדין: זכות עיון; זכות לתיקון; זכות למחיקה; זכות להגבלת עיבוד; זכות לניוד מידע; זכות להתנגד לעיבוד המבוסס על אינטרס לגיטימי; וזכות לחזור בו מהסכמה בכל עת.

למימוש הזכויות יש לפנות לכתובת ⁨hello@alcyone14.com⁩. החברה תשיב לפנייה בתוך 30 יום; במקרים מורכבים ניתן להאריך מועד זה בהתאם לדין, בהודעה לפונה.

נושא מידע רשאי להגיש תלונה לרשות הפיקוח המוסמכת — בקפריסין: Commissioner for Personal Data Protection — או לרשות הפיקוח במדינת מגוריו.

החברה אינה מקבלת החלטות המבוססות על עיבוד אוטומטי בלבד, לרבות פרופיילינג, שיש להן השפעה משפטית או השפעה משמעותית דומה על נושא המידע.

עיבוד אוטומטי ובינה מלאכותית. יכולות מסוימות במערכות שמפעילה החברה עושות שימוש בלמידת מכונה או במודלי שפה גדולים לשם סיווג, תמצות, ניסוח, תרגום או ניתוב של תוכן, ובכלל זה מידע אישי הכלול בהודעות, בפניות, במסמכים וברשומות עסקיות. מקום שהחברה פועלת כמעבדת מידע, היא עושה זאת אך ורק על פי הוראותיו המתועדות של הלקוח, שהוא בעל השליטה באותו מידע.

תוכן המועבר לספק מודלים נשלח אך ורק לספקים המחויבים חוזית שלא לעשות בו שימוש לאימון מודליהם, לכיולם או לשיפורם, וממשקי החברה מוגדרים בהתאם. החברה אינה עושה שימוש בתוכן זה לאימון מודל כלשהו מטעמה.

לא מתקבלת החלטה בעלת תוצאה משפטית כלפי נושא מידע, או בעלת השפעה דומה עליו, באמצעים אוטומטיים בלבד. התוצר מוצג לבחינה אנושית, וכל החלטה הנגזרת ממנו מתקבלת בידי אדם.

נושא מידע המבקש לברר אם מידע אישי אודותיו עובד באופן זה רשאי לפנות לפי סעיף הזכויות שלהלן, והחברה תשיב בהתאם לו.

תביעות, אכיפה ומסירת מידע. החברה רשאית לעבד מידע אישי מקום שהדבר נדרש לביסוס תביעה משפטית, למימושה או להגנה מפניה, לרבות בהתכתבות עם יועציו של לקוח, בגביית חוב, במענה לערעור חיוב ובהליכים בפני בית משפט או טריבונל. הבסיס החוקי לעיבוד זה הוא האינטרס הלגיטימי של החברה בניהול ענייניה, ומידע כאמור נשמר כל עוד קיימת התביעה או תקופת ההתיישנות החלה עליה.

החברה מוסרת מידע אישי לרשות ציבורית רק מקום שהיא מחויבת לכך על פי דין, ומקום שהיא רשאית לעשות כן תיידע את בעל השליטה או את נושא המידע הנוגע בדבר, אלא אם נאסר עליה לעשות כן על פי דין או על פי תנאי הדרישה. החברה אינה מעניקה לרשות כלשהי גישה ישירה או בלתי מוגבלת למערכת שהיא מפעילה.

מקום שהחברה צד למיזוג, לרכישה, לארגון מחדש או למכירת נכסים, עשוי מידע אישי לעבור במסגרת אותה עסקה, ובלבד שהנעבר יחויב לקיים מדיניות זו או מדיניות שאינה מגנה פחות ממנה, ובלבד שנושאי המידע הנוגעים בדבר יקבלו על כך הודעה.

החברה מנהלת רישום של פעולות העיבוד שלה כנדרש בסעיף 30 ל-GDPR, ומעמידה אותו לרשות רשות פיקוח לפי בקשתה.

עוגיות. האתר עושה שימוש בעוגיות חיוניות הנדרשות לתפעולו, וכן — בכפוף להסכמה — בעוגיות אנליטיקה ושיווק.

שירותי המדידה אינם מופעלים כל עוד לא ניתנה הסכמה. ניתן לשנות או לבטל את ההסכמה בכל עת באמצעות הקישור 'הגדרות עוגיות' המופיע בתחתית כל עמוד.

תלונות ורשות הפיקוח. נושא מידע הסבור כי עיבוד המידע האישי אודותיו מפר את ה-GDPR רשאי להגיש תלונה לנציב הגנת המידע האישי בקפריסין, שהוא רשות הפיקוח המובילה של החברה, או לרשות הפיקוח במדינה החברה שבה הוא מתגורר דרך קבע או שבה מקום עבודתו.

החברה מבקשת, מבלי לגרוע מזכות זו, כי תינתן לה ההזדמנות לטפל בעניין תחילה, ומתחייבת להשיב לגופה של כל תלונה שתופנה אליה בתוך שלושים יום ממועד קבלתה.

החברה לא מינתה ממונה על הגנת הפרטיות, שכן עיבודיה אינם מסוג המחייב מינוי כאמור לפי סעיף 37 ל-GDPR, ולפיכך יש להפנות פניות לאיש הקשר המצוין במדיניות זו.

הדין החל. החברה מאוגדת בקפריסין, ועל עיבוד המידע על ידה חלים תקנת ה-GDPR והחוק הקפריסאי המשלים אותה, 125(I)/2018. רשות הפיקוח המוסמכת היא נציב הגנת המידע האישי בקפריסין.

לקוחות החברה עשויים להיות כפופים לדינים נוספים במדינתם, לרבות חוק הגנת הפרטיות הישראלי ותיקון 13 לו. חובות אלה חלות עליהם כבעלי מאגר המידע, והחברה פועלת כמעבדת מידע מטעמם בהתאם להסכם ההתקשרות.

עדכוני מדיניות. מדיניות זו מתעדכנת מעת לעת. הגרסה המחייבת היא המתפרסמת בעמוד זה, ומועד תחילתה מצוין בראשה. על שינוי מהותי תימסר הודעה מראש בערוצים המקובלים.