מדיניות פרטיות

כמעט כלום נשמר אצלנו. הטיול, השיחה עם הסוכן וההעדפות יושבים ב-localStorage של הדפדפן שלכם. מה שכן מגיע לשרת:

• מזהה דפדפן אקראי - מחרוזת אקראית שנוצרת במכשיר שלכם ומשמשת למכסות שימוש. אין בה שום פרט אישי, והיא נמחקת עם ניקוי נתוני האתר.
• כתובת IP - כשאין מזהה דפדפן תקין, המכסה מזוהה לפי כתובת ה-IP. במקרה כזה הכתובת נשמרת אצלנו במסד הנתונים בטבלאות המכסה והעלות, לא רק מעובדת לרגע.
• מונה שימושים לא מזוהה - כמה הדפסות, שיתופים או ניווטים היו ביום מסוים. בלי משתמש, בלי טיול ובלי שעה.

הכניסה היא בקוד חד-פעמי למייל, או עם חשבון Google. אין סיסמאות, ולכן אנחנו לא מחזיקים סיסמה שלכם בשום צורה. מה שנשמר:

• כתובת המייל, אצל שירות ההזדהות של Supabase. שימו לב שהקלדת מייל בתיבת ההתחברות כבר יוצרת חשבון, גם אם לא הזנתם את הקוד.
• אם נכנסתם עם Google: Google מוסרת לנו את כתובת המייל, השם ותמונת הפרופיל שלכם ב-Google ואת מזהה החשבון שלכם אצלה, והם נשמרים אצל שירות ההזדהות של Supabase. אין לנו גישה לשום דבר אחר בחשבון ה-Google שלכם - לא לאנשי קשר, לא למיילים ולא ליומן.
• פרופיל: שם תצוגה, מספר טלפון ותמונת פרופיל - כולם אופציונליים ורק אם מילאתם אותם - וכן רשימת המדינות שסימנתם ב״דרכון המדינות״.
• הטיולים שלכם, במלואם: שם הטיול, התאריכים, הימים והעצירות, ההערות החופשיות שכתבתם לכל יום, וכן סיכות שהוספתם - שם המלון או המסעדה, הכתובת, הקואורדינטה, וההערה החופשית שצירפתם (למשל מספר הזמנה או שעת צ׳ק-אין).
• ההעדפות של הטיול: מי נוסע, קצב, תקציב, שופינג, תחומי עניין, וכן כשרות ושמירת שבת.
• תאריך אישור תנאי השימוש ומדיניות הפרטיות וגרסתם - נשמר פעם אחת, בכניסה הראשונה שבה עוד לא נרשמה הסכמה עבור החשבון.
• אם רכשתם מנוי או בדיקה לפני הנסיעה - מזהה ההזמנה או המנוי שלכם אצל PayPal, הסכום והמצב (שולם, בוטל). פרטי כרטיס אשראי לעולם לא מגיעים אלינו.

שימו לב לשני דברים. ראשית, כשרות ושמירת שבת הן מידע על אמונה דתית, וזה מידע רגיש - בחרתם אותו בעצמכם בכפתור, והוא נשמר עם הטיול. שנית, סיכת מלון עם תאריכים היא, בפועל, המידע איפה תישנו ומתי לא תהיו בבית. אם זה מפריע לכם, אפשר להשתמש באתר בלי חשבון ואז שום דבר מזה לא נשמר אצלנו.

נכון להיום אין באתר טופס הרשמה לרשימת תפוצה, ואיננו מפעילים דיוור. מה שכתוב בהמשך הוא איך זה יעבוד אם וכאשר נפתח את ההרשמה - ומה שכבר נכון היום לגבי מי שכתובתו נמצאת אצלנו מסיבה כלשהי.

אם תירשמו לעדכונים, תישמר כתובת המייל בלבד, בנפרד מהחשבון. אפשר יהיה להירשם גם בלי חשבון.

ההרשמה היא בשני שלבים, וזה לא נוהל אלא החלטה. הקלדת כתובת בטופס אינה שומרת אותה אצלנו - היא רק שולחת לאותה כתובת מייל עם קישור אישור. רק הלחיצה על הקישור ההוא מכניסה את הכתובת לרשימה. המשמעות המעשית: אם מישהו הקליד את הכתובת שלכם בטופס שלנו, לא נשאר אצלנו שום זכר לכך.

בכל מייל שנשלח יש קישור הסרה, והוא עובד בלחיצה אחת - בלי חשבון, בלי התחברות ובלי להסביר למה. הקישור אינו פג תוקף, כך שהוא יעבוד גם ממייל ישן. אם אתם משתמשים ב-Gmail או ב-Outlook, כפתור ״ביטול הרשמה״ שלהם ליד שם השולח עובד גם הוא. נתקלתם בבעיה - אפשר תמיד לפנות אלינו ונסיר ידנית תוך עד 7 ימי עסקים.

הסרה מרשימת התפוצה אינה מפסיקה מיילים שהם חלק מהשירות עצמו - קבלה על רכישה, אישור מנוי או קוד התחברות. אלה אינם דיוור פרסומי ואי אפשר להסיר מהם בנפרד, אלא בסגירת החשבון.

המסלול בלבד: מספר הימים, הערים, והעצירות מתוך הקטלוג שלנו, וכן החודש שבו נסעתם. כל מה שמופיע בעמוד - שמות מקומות, תיאורים, תמונות ומפה - נשלף מהקטלוג שלנו בזמן ההצגה, ולא מהטיול שלכם.

• השם שנתתם לטיול - זה טקסט חופשי, ולא פעם יש בו שם משפחה. כותרת העמוד נבנית אצלנו מתוך המסלול.
• ההערות שכתבתם לכל יום, לרבות מספרי אישור, שעות צ׳ק-אין ושמות של אנשים.
• הסיכות שלכם - המלון, הדירה או כל כתובת שסימנתם. זו הנקודה הרגישה ביותר, ולכן היא לא נשמרת בעותק הציבורי בכלל.
• התאריכים המדויקים. נשמר החודש בלבד, בלי שנה ובלי ימים - כדי שלא יתפרסם מתי בדיוק הבית שלכם ריק.
• ההעדפות שלכם, ובכללן כשרות ושמירת שבת, גיל וסוג הנוסעים והתקציב.
• כל מה שחברים כתבו או הצביעו בטיול משותף, והשמות שלהם.
• מי אתם. בעמוד אין שם, אין מזהה חשבון ואין דרך לקשר בינו לבינכם.
• עצירה שאינה מקום מהקטלוג - למשל מקום שהוספתם בעצמכם - יורדת מהעותק הציבורי.

ברגע הפרסום נשמר עותק מופשט של המסלול, והעמוד הציבורי מציג אותו. עריכות שתעשו בטיול אחר כך אינן מתפרסמות מאליהן - צריך ללחוץ שוב על עדכון. כלומר ההסכמה שנתתם היא למסלול כפי שהיה באותו רגע, ולא לכל מה שתכתבו בו בעתיד.

באותו מקום במסך הטיול יש ״הסרה מהאתר״, והיא פועלת מיד: העמוד מפסיק להציג תוכן ומחזיר לדפדפנים ולמנועי החיפוש תשובת 410 Gone - הסימון שאומר ״הדף הזה הסתיים, הסירו אותו״ - והכתובת יוצאת ממפת האתר. העותק המופשט נמחק באותה פעולה; מה שנשאר הוא רק רישום שהכתובת הזאת הייתה קיימת ואיננה, כדי שאפשר יהיה להחזיר את התשובה הזאת.

מה שאנחנו לא יכולים להבטיח, ולכן כתוב כאן: כל עוד העמוד היה פומבי, ייתכן שגורמים חיצוניים - מנועי חיפוש, ארכיונים, או מי שפשוט שמר צילום מסך - החזיקו עותק. ההסרה אצלנו מיידית; מה שכבר נשמר אצל אחרים אינו בשליטתנו.

שם הטיול, התאריכים, הימים והעצירות, ההערות החופשיות שכתבתם, שמות הסיכות שהוספתם, ההעדפות שהגדרתם (כולל כשרות ושמירת שבת), וכתובת המייל של בעל החשבון.

הקואורדינטות של הסיכות (רק האם המיקום אותר), הכתובת המלאה של הסיכה, וההערה החופשית שבתוכה. והשיחה עם הסוכן לא נגישה בכלל - היא לא נמצאת אצלנו.

המסך הזה הוא לקריאה בלבד: אין בקוד שום דרך לערוך או למחוק טיול של מישהו אחר, ואין אפשרות ״להתחזות״ למשתמש ולהשתמש בחשבון שלו. זה לא חסום, זה פשוט לא קיים.

כל פתיחה של טיול נרשמת ביומן - מי פתח, של מי, מתי - והרישום נעשה לפני שהתוכן מוצג. גם חיפוש משתמש לפי מייל, שינוי הרשאה והענקת מנוי נרשמים. חיפוש טיול לפי שם אינו נרשם, כי הוא מחזיר שמות בלי תוכן.

הנתונים המצטברים בלוח הבקרה (כמה טיולים, לאילו מדינות, אורך טיפוסי) אינם מכילים שם, מייל או מזהה של אף אחד.

אנחנו שירות ישראלי שמנהל מידע על אנשים מזוהים, ולכן החוק והתקנות מכוחו חלים עלינו במלואם: חובת יידוע בעת האיסוף, זכות עיון, זכות תיקון ומחיקה, וחובות אבטחת מידע. מימוש הזכויות מתואר בסעיף 8.

חלק מהמידע שאנחנו מחזיקים הוא מידע שהחוק מתייחס אליו כרגיש - בעיקר כשרות ושמירת שבת, שהן אינדיקציה לאמונה דתית. זה כתוב גם בסעיף 1, והוא נאסף רק כשבחרתם בו בעצמכם בכפתור.

התיקון נכנס לתוקף באוגוסט 2026 והוא מרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, מחדד את ההגדרה של מידע רגיש, ומחיל חובות נוספות - ובהן חובת מינוי ממונה על הגנת הפרטיות על סוגי גופים מסוימים, וחובת דיווח על אירועי אבטחה חמורים.

מינוי ממונה על הגנת הפרטיות נבדק ואינו נדרש בהיקף הפעילות שלנו. הפנייה בכל נושא פרטיות היא לכתובת שבעמוד יצירת קשר, ואנחנו מתחייבים לטפל תוך עד 7 ימי עסקים.

גם חובת רישום המאגר נבדקה ואינה חלה עלינו בהיקף ובסוג הפעילות שלנו, אחרי השינויים שתיקון 13 הכניס לחובה הזאת.

שתי הבדיקות האלה נכונות למצב היום. אם היקף הפעילות או סוג המידע שאנחנו מחזיקים ישתנו מהותית - נבדוק אותן מחדש ונעדכן כאן.

חל על רשימת התפוצה, כי מייל עדכונים הוא דבר פרסומת. לכן ההרשמה היא בשני שלבים ורק לחיצה שלכם על קישור אישור מכניסה כתובת לרשימה, כל מייל נושא את שמנו ודרך ליצור איתנו קשר, ובכל מייל יש קישור הסרה חינמי שעובד בלחיצה אחת ואינו פג תוקף. הפירוט בסעיף 1.

מייל תפעולי אינו דבר פרסומת ולכן אינו נכנס למנגנון הזה: קוד התחברות, קבלה על רכישה, אישור או ביטול מנוי. אלה חלק מהשירות שביקשתם.

מייל שיווקי נושא את שני הסימונים שהחוק דורש. הוא מציין במפורש שהוא דבר פרסומת, והוא נושא את פרטי המפרסם בגוף ההודעה עצמה - שם מלא וכתובת - ולא רק באתר. הפרטים המלאים מופיעים גם בתנאי השימוש.

הסימון הזה מופיע רק על דיוור שיווקי. מייל תפעולי - קוד התחברות, קבלה, אישור או ביטול מנוי, תזכורת לטיול שביקשתם - אינו דבר פרסומת, ולסמן אותו ככזה היה פשוט לא נכון.

מכירה באינטרנט היא עסקת מכר מרחוק, והמנוי החודשי הוא עסקה מתמשכת. לשתיהן יש בחוק הוראות שאי אפשר להתנות עליהן בחוזה - ובהן זכויות ביטול והחזר, וכן הסדרים מיוחדים לאזרחים ותיקים ולאנשים עם מוגבלות. מדיניות הביטולים שלנו כתובה בעמוד ביטולים והחזרים והיא חלה רק ככל שהדין מתיר זאת: זכות שהחוק מקנה לכם גוברת עליה.

התקנה חלה על גוף מחוץ לאיחוד האירופי בשני מצבים: אם הוא מציע שירותים לאנשים הנמצאים באיחוד, או אם הוא עוקב אחרי התנהגותם שם. לפי הבדיקה, אף אחד מהשניים אינו מתקיים אצלנו:

• האתר כולו בעברית, המחירים בשקלים, והתוכן נכתב במפורש עבור מטיילים ישראלים - אלה בדיוק הסימנים שהתקנה עצמה מונה כדי לקבוע למי שירות מכוון. העובדה שהיעדים עצמם נמצאים באירופה אינה הופכת את השירות למכוון לתושבי אירופה.
• החלופה השנייה - ניטור התנהגות - דורשת בדיקה מחודשת מאז שהוספנו Google Analytics. עד אז הסעיף הזה נשען על כך שאין באתר שום כלי מדידה, וזה כבר לא נכון. מה שכן נכון: המדידה מותנית באישור, כבויה כברירת מחדל, ה-IP מקוצץ, החלק הפרסומי של גוגל כבוי לצמיתות, ואיננו בונים פרופיל ואיננו עוקבים אחריכם באתרים אחרים. החלופה הראשונה - הצעת שירותים - עדיין אינה מתקיימת מהנימוקים שלמעלה.

מה היה משנה את זה: גרסה באנגלית או בשפה אירופית, מחירים ביורו, או שיווק שמכוון לקהל באיחוד.

[לבירור] האם הוספת Google Analytics - מותנית-אישור, בלי פרסום ובלי פרופיל - מפעילה את סעיף 3(2)(ב) לתקנה לגבי מבקרים שנמצאים פיזית באיחוד. אנחנו מציינים כאן שהשאלה פתוחה במקום להכריע בה לבד, ומעדכנים ברגע שתיבדק.

בלי קשר לשאלה הזאת: חלק מהספקים שלנו יושבים מחוץ לישראל, ולכן יש כאן העברת מידע לחו״ל. ההעברה כפופה לדין הישראלי - לא ל-GDPR - ומפורטת בסעיף 4.

החוק הקליפורני חל על עסק שעומד באחד משלושה תנאים: מחזור שנתי מעל 25 מיליון דולר, עיבוד מידע של 100,000 צרכנים או משקי בית בקליפורניה ומעלה, או הפקת מחצית מההכנסות ומעלה ממכירה או שיתוף של מידע אישי. איננו עומדים באף אחד מהשלושה, ובפרט איננו מוכרים ואיננו משתפים מידע אישי כלל - כך שגם התנאי השלישי אינו יכול להתקיים אצלנו.

למרות זאת, שתיים מהזכויות המרכזיות שם - לדעת מה מוחזק עליכם ולבקש מחיקה - עומדות לכם כאן ממילא מכוח הדין הישראלי, בסעיף 8.