פרטיות וקובצי Cookie

מי מפעיל את האתר ואיך יוצרים קשר

האתר מופעל בידי רועי קריסטל ליבהבר, אדם פרטי בישראל. הוא בעל השליטה במידע (Controller) לעניין תקנת ה־GDPR, ובעל המאגר לעניין חוק הגנת הפרטיות הישראלי. כתובת הקשר לכל עניין פרטיות היא royecr@gmail.com.

אין באתר חשבון משתמש, טופס הרשמה, עגלת קנייה, פרסום ממוקד או פרופיל אישי של גולשים. הקטלוג ניתן בחינם ואינו פעילות מסחרית.

לא נדרש למנות ממונה על הגנת הפרטיות (DPO) ולא מונה כזה. סעיף 37 ל־GDPR מחייב מינוי רק בגוף ציבורי, כשמתבצע ניטור שיטתי ורחב היקף של אנשים, או כשמעובד בהיקף גדול מידע מסוגים מיוחדים. אף אחד מהתנאים אינו מתקיים כאן. אפשר לפנות ישירות לרועי בכל שאלה או בקשה.

היכן האתר מתארח ומה מעובד כדי להגיש אותו

האתר רץ כ־Cloudflare Worker בחשבון Cloudflare של בעל האתר ובדומיין שלו. Cloudflare היא ספקית האחסון והאבטחה היחידה, והיא פועלת כמעבדת מידע (Processor) בשם בעל האתר ובהתאם להוראותיו.

כדי להגיש עמוד ולהגן עליו, Cloudflare מעבדת נתוני בקשה טכניים: כתובת IP, סוג דפדפן, מועד הבקשה וכתובת העמוד המבוקש. בעל האתר אינו בונה מהם פרופיל, אינו מקבל מהם זהות של גולש ואינו שומר עותק נפרד שלהם. הבסיס החוקי הוא אינטרס לגיטימי לפי סעיף 6(1)(ו) ל־GDPR, והאינטרס הוא להגיש את האתר בפועל ולהגן עליו מפני תעבורה זדונית.

Cloudflare עשויה להציב עוגיית אבטחה חיונית וקצרת מועד לצורך סינון תעבורה אוטומטית והגנה מפני ניצול לרעה. עוגייה מסוג זה היא חלק מהגנת התשתית, היא נדרשת להפעלת השירות ואינה משמשת לשיווק, לפרסום או למעקב. שמה, הדומיין שלה ומשך חייה נקבעים בידי Cloudflare ועשויים להשתנות, ולכן אין כאן הצהרה על ערכים מסוימים.

• תיעוד העוגיות של Cloudflare
• מרכז ההתאמה ל־GDPR של Cloudflare

מה נמדד באתר

האתר מפעיל נקודת מדידה משלו, על אותו מקור (same-origin), שרצה על ה־Worker של האתר עצמו. אין כאן ספק אנליטיקה חיצוני, אין סקריפט של צד שלישי ואין פיקסל.

המדידה הזאת אינה כותבת דבר למכשיר שלכם ואינה קוראת ממנו: אין עוגיית מדידה, אין localStorage, אין sessionStorage ואין טביעת אצבע של דפדפן.

אלה הפריטים שנרשמים בכל אירוע:

• נתיב העמוד שנצפה.
• שפת העמוד (עברית או אנגלית).
• איזו פקודה הועתקה, כשלוחצים על כפתור ההעתקה.
• איזו קטגוריה סוננה, כשבוחרים קטגוריה.
• כמה תוצאות החזיר חיפוש, כמספר בלבד.

מה לא נרשם, בשום מצב

אלה הדברים שהמדידה אינה אוספת:

• מילות החיפוש שהקלדתם. נשמר מספר התוצאות בלבד, לא הטקסט.
• שם, כתובת דוא״ל או כל מזהה אישי אחר.
• תוכן שיצרתם ב־ChatGPT או בכל כלי אחר. האתר אינו נוגע בו ואינו רואה אותו.
• כתובת ה־IP הגולמית שלכם.
• היסטוריית גלישה באתרים אחרים, או כל מעקב חוצה־אתרים.

מה במכוון לא נמדד

האתר אינו מחשב שום מזהה מבקר. לא עוגייה, לא טביעת אצבע ולא ערך גיבוב. רשומת מדידה אינה מכילה דבר שמאפשר לקשר בינה לבין רשומה אחרת או לבין אדם.

המשמעות המעשית, ונאמר אותה במפורש כדי שלא תהיה אי־הבנה: באתר אין ספירת "מבקרים ייחודיים" כלל. נספרים אירועים, לא אנשים.

כתובת ה־IP הגולמית אינה נשמרת ואינה נכתבת לשום מקום על ידי בעל האתר.

למה אין כאן באנר הסכמה, ומה הבסיס החוקי

סעיף 5(3) לדירקטיבת ה־ePrivacy דורש הסכמה כשמאחסנים מידע במכשיר הקצה או ניגשים למידע שכבר מאוחסן בו. המדידה כאן אינה עושה לא את זה ולא את זה, ולכן הסעיף אינו חל ואין חובת הסכמה. זו הסיבה שלא נדרש מכם ללחוץ על באנר עוגיות.

העיבוד שמתבצע בצד השרת נשען על אינטרס לגיטימי לפי סעיף 6(1)(ו) ל־GDPR. האינטרס, במפורש: להבין אילו חלקים בקטלוג החינמי באמת מועילים לאנשים, כדי לתחזק את הקטלוג, לתקן את מה ששבור, להסיר מה שאינו עובד ולהוסיף מה שחסר. בלי מדידה כלשהי אי אפשר לדעת אם עמוד או פקודה משרתים מישהו.

העיבוד צומצם במכוון למינימום שמשיג את המטרה הזאת. לכן נשמר מספר תוצאות החיפוש ולא מילות החיפוש, ולכן אין זיהוי מתמשך של מבקרים. יש לכם זכות להתנגד לעיבוד הזה, והיא מפורטת בנפרד בהמשך.

אחסון מקומי בדפדפן שלכם

העדפות הנגישות שבחרתם (גודל טקסט, ניגודיות גבוהה, גווני אפור, הדגשת קישורים, הפחתת תנועה) והסימון שסגרתם את הודעת הפרטיות נשמרים בדפדפן שלכם באמצעות localStorage.

הם נשמרים במכשיר בלבד. הם אינם נשלחים לבעל האתר, ל־Cloudflare או לכל גורם אחר, ואינם משמשים לזיהוי, למדידה או לפרסום. הם קיימים מסיבה אחת: לכבד בחירה שאתם עשיתם, כדי שלא תצטרכו לעשות אותה מחדש בכל ביקור.

ניקוי נתוני האתר בדפדפן, או לחיצה על ״איפוס״ בתפריט הנגישות, מוחק אותם מיד.

ההתחייבות לגבי כלים שאינם חיוניים

ההתחייבות שהופיעה כאן קודם עומדת בעינה, וכעת היא מנוסחת מדויק יותר: לא יופעל באתר שום כלי שכותב מידע למכשיר שלכם או קורא ממידע שמאוחסן בו, בלי שתוצג בפניכם בחירה ותינתן הסכמה לפני ההפעלה. זה כולל עוגייה שאינה חיונית, אחסון מקומי לצורכי מדידה, טביעת אצבע של דפדפן וכל מזהה מתמיד.

המדידה שנוספה כעת נבנתה במכוון כך שאינה עושה אף אחד משני הדברים האלה, ולכן היא אינה מפעילה את החובה הזאת. זו הסיבה שהיא נוספה בלי לבקש הסכמה, ולא מפני שההתחייבות בוטלה.

אם יתווספו בעתיד טופס, פרסום, כלי צד שלישי או מדידה שכן נוגעת באחסון שבמכשיר, יוצג מנגנון בחירה לפני ההפעלה, והמדיניות הזאת תעודכן קודם לכן.

פנייה בדואר אלקטרוני

פנייה בדוא״ל היא רצונית לחלוטין. אם תבחרו לפנות, כתובת הדוא״ל שלכם, שמכם אם ציינתם אותו, תוכן ההודעה וקבצים שצירפתם יישמרו לצורך מענה, טיפול בבקשת נגישות, תיקון תקלה, בירור בנושא פרטיות או הגנה על זכויות. הבסיס החוקי הוא אינטרס לגיטימי לפי סעיף 6(1)(ו) ל־GDPR, והאינטרס הוא לענות למי שפנה ולשמור תיעוד סביר של הפנייה ושל הטיפול בה.

אין חובה חוקית או חוזית למסור את המידע הזה, ואינכם נדרשים לספק אותו. הנפקות היחידה היא מעשית: בלי כתובת לחזרה לא נוכל להשיב לכם.

גילוי שחשוב שתדעו: כתובת הקשר היא כתובת Gmail. משמעות הדבר היא ש־Google פועלת כמעבדת מידע עבור הדואר הנכנס, וההתכתבות נשמרת בשרתי Google, לרבות בארצות הברית. ההעברה הזאת נשענת על מנגנוני ההעברה שגוגל מפרסמת עבור השירות. אם אינכם מעוניינים שתוכן הפנייה יעבור דרך Google, אל תשלחו בדוא״ל מידע רגיש: תארו את העניין בקצרה, ואפשר יהיה לסכם ערוץ אחר.

למי המידע נמסר

מידע אינו נמכר, אינו מושכר ואינו נמסר לצורכי פרסום או שיווק. אין באתר רשתות פרסום, פיקסלים, כפתורי שיתוף של רשתות חברתיות או כלי מעקב של צד שלישי.

יש שני מעבדי מידע בלבד: Cloudflare, לאחסון האתר, להגשתו ולאבטחתו, ו־Google, עבור הדואר הנכנס לכתובת הקשר.

מעבר לכך, מידע יימסר רק אם הדבר נדרש לפי דין, לפי צו של רשות מוסמכת, או לצורך ביסוס תביעה משפטית או הגנה מפניה.

העברות מידע בין מדינות

בעל האתר נמצא בישראל. לישראל יש החלטת נאותות של הנציבות האירופית: החלטה 2011/61/EU מ־31 בינואר 2011, שהנציבות אישרה מחדש ב־15 בינואר 2024. לכן העברת מידע מהאזור הכלכלי האירופי לישראל אינה מחייבת סעיפים חוזיים סטנדרטיים או אמצעי הגנה נוספים.

Cloudflare מפעילה רשת גלובלית, ולכן עשויה לעבד נתוני בקשה גם מחוץ לאזור הכלכלי האירופי. ההעברות האלה נשענות על הסעיפים החוזיים הסטנדרטיים של האיחוד האירופי (החלטת ביצוע (EU) 2021/914), ולגבי בריטניה על ה־International Data Transfer Addendum של ה־ICO.

דואר נכנס נשמר בשרתי Google, לרבות בארצות הברית, בהתאם למנגנוני ההעברה שגוגל מפרסמת עבור השירות.

• החלטת הנאותות 2011/61/EU בעניין ישראל
• הסעיפים החוזיים הסטנדרטיים (EU) 2021/914

כמה זמן המידע נשמר

אלה תקופות השמירה בפועל:

• נתוני בקשה ואבטחה אצל Cloudflare: נשמרים אצל Cloudflare לתקופות הקצרות שהיא מגדירה לשירותי האבטחה שלה. בעל האתר אינו מחזיק בהם עותק נפרד ואינו יכול לשלוף מהם גולש מסוים.
• רשומות מדידה: נכתבות ליומני הפלטפורמה של Cloudflare ונשמרות רק לחלון השמירה הקצר שהיא מגדירה ליומנים, שנמדד בימים. בעל האתר אינו מחזיק בהן עותק נפרד ואינו יכול לשלוף מהן גולש מסוים, משום שאין בהן מזהה.
• פניות בדוא״ל: נשמרות כל עוד הנושא בטיפול, ולאחר סגירתו עד 12 חודשים לתיעוד סביר. פנייה שקשורה להליך משפטי, לתביעה או לחובה חוקית תישמר עד תום הצורך ובהתאם לתקופות ההתיישנות הרלוונטיות.
• העדפות שנשמרו ב־localStorage: נשארות במכשיר שלכם עד שתמחקו אותן. בעל האתר אינו שולט בהן, אינו רואה אותן ואינו יכול למחוק אותן עבורכם.

הזכויות שלכם

בכפוף לדין החל עליכם, ובכלל זה תקנת ה־GDPR האירופית, הדין הבריטי וחוק הגנת הפרטיות הישראלי לרבות תיקון 13, עומדות לכם הזכויות האלה:

• זכות עיון וגישה: לדעת אם מוחזק עליכם מידע ולקבל עותק ממנו (סעיף 15 ל־GDPR).
• זכות תיקון: לתקן מידע שאינו נכון, שלם, ברור או מעודכן (סעיף 16).
• זכות מחיקה: לבקש מחיקת מידע כשאין עוד צורך חוקי בשמירתו (סעיף 17).
• זכות להגבלת עיבוד: לבקש שהעיבוד יופסק זמנית במקום שהמידע יימחק, למשל בזמן בירור נכונות המידע (סעיף 18).
• זכות לניידות מידע: לקבל מידע שמסרתם, במבנה מובנה, נפוץ וקריא במכונה, ולהעבירו לגורם אחר (סעיף 20).
• זכות התנגדות: להתנגד לעיבוד שנשען על אינטרס לגיטימי (סעיף 21). פירוט בסעיף הנפרד שלהלן.
• זכות להגיש תלונה לרשות פיקוח. פירוט בסעיף הנפרד שלהלן.

איך מממשים זכות

כדי לממש כל אחת מהזכויות, כתבו ל־royecr@gmail.com ותארו מה אתם מבקשים. אין אגרה. נשיב בתוך חודש; אם הבקשה מורכבת או שהצטברו בקשות, נודיע לכם על כך בתוך אותו חודש ונשלים בתוך שלושה חודשים לכל היותר.

ייתכן שנבקש פרט מזהה נוסף כדי לוודא שהבקשה אכן שלכם. פרט כזה ישמש לאימות בלבד וימחק לאחריו.

הערה כנה, כי היא רלוונטית: חלק מהמידע שמעובד באתר אינו מאפשר לזהות אתכם כלל, במיוחד רשומות המדידה. כשאין דרך לקשר רשומה אליכם, לא נוכל לשלוף אותה, לתקן אותה או למחוק אותה עבורכם, ולא נוכל להמציא לשם כך מידע מזהה חדש. במקרה כזה נאמר זאת במפורש במקום להעמיד פנים שבוצע חיפוש.

זכות ההתנגדות

יש לכם זכות להתנגד, בכל עת, לעיבוד מידע הנוגע אליכם שנשען על אינטרס לגיטימי. באתר הזה מדובר במדידה שתוארה למעלה ובטיפול בפניות דוא״ל.

ההתנגדות היא מטעמים הנוגעים למצבכם המיוחד, ואינה טעונה הנמקה משפטית או נוסח מסוים. די בהודעה קצרה ל־royecr@gmail.com. אם תתנגדו, העיבוד ייפסק, אלא אם נוכל להראות טעמים לגיטימיים משכנעים הגוברים על האינטרסים, הזכויות והחירויות שלכם, או שהעיבוד נדרש לביסוס תביעה משפטית או להגנה מפניה.

בפועל, מדובר במדידה של קטלוג חינמי שמופעל בידי אדם פרטי. אין כאן אינטרס כלכלי שיצדיק דחיית התנגדות, ולכן בקשת הפסקה תכובד.

הגשת תלונה לרשות פיקוח

אם אתם סבורים שהעיבוד פוגע בזכויותיכם, אתם רשאים להגיש תלונה לרשות פיקוח. הזכות הזאת עומדת לכם בנוסף לכל סעד אחר, ואינכם חייבים לפנות אלינו קודם, אף שנשמח להזדמנות לתקן.

אלה הרשויות הרלוונטיות:

• תושבי האזור הכלכלי האירופי: כל רשות פיקוח לאומית, לפי בחירתכם, במדינת המגורים שלכם, במקום העבודה שלכם או במקום שבו לטענתכם אירעה ההפרה.
• בריטניה: משרד נציב המידע, ה־Information Commissioner's Office (ICO).
• ישראל: הרשות להגנת הפרטיות במשרד המשפטים.

• רשימת רשויות הפיקוח באיחוד האירופי
• הגשת תלונה ל־ICO הבריטי
• תלונות ופניות הציבור, הרשות להגנת הפרטיות

אין קבלת החלטות אוטומטית ואין פרופיילינג

האתר אינו מבצע קבלת החלטות אוטומטית ואינו יוצר פרופילים, לרבות מהסוג המתואר בסעיפים 22(1) ו־22(4) ל־GDPR.

אין דירוג של גולשים, אין ניקוד, אין החלטה אוטומטית בעלת תוצאה משפטית או השפעה דומה, ואין התאמה אישית של התוכן לפי התנהגות קודמת. כל מבקר רואה את אותו קטלוג.

מבקרים מארצות הברית

חוקי הפרטיות של קליפורניה, ה־CCPA וה־CPRA, אינם חלים על האתר. ההגדרה החוקית של ״business״ מחייבת גוף שפועל למטרות רווח, והאתר הוא קטלוג חינמי ולא מסחרי שמופעל בידי אדם פרטי. מכאן שספי ההכנסה והיקף הנתונים אינם מתקיימים ממילא.

לכן לא תמצאו כאן קישור ״Do Not Sell or Share My Personal Information״ ולא הודעת CCPA. הצהרה על חובות שאינן חלות היא בעצמה אי־דיוק, ואנחנו מעדיפים לומר את האמת.

מה שכן נכון לגבי כל מבקר, בלי קשר לשאלת התחולה: מידע אישי אינו נמכר, אינו משותף לצורכי פרסום התנהגותי חוצה־אתרים, ואין באתר רשתות פרסום. אות Global Privacy Control שנשלח מהדפדפן שלכם מכובד, אף שבפועל אין כאן פעילות שהוא נועד לעצור.

לחוקי פרטיות של מדינות אמריקאיות נוספות, ובהן קולורדו, קונטיקט, וירג׳יניה, יוטה וטקסס, יש ספי תחולה דומים, וגם הם אינם מתקיימים כאן.

אבטחה

האתר מוגש ב־HTTPS בלבד, עם HSTS, מדיניות אבטחת תוכן (CSP), הגבלת מסגור ורשימת שיטות HTTP מותרות. אין באתר טופס, אין העלאת קבצים ואין התחברות.

אין שיטת אבטחה מושלמת. ההגנה הטובה ביותר כאן היא שהיקף המידע קטן במכוון: מה שלא נאסף לא יכול לדלוף.

שינויים במדיניות

המדיניות תעודכן אם יתווספו לאתר טופס, פרסום, כלי צד שלישי, מדידה שנוגעת באחסון שבמכשיר או כל שירות אחר שמעבד מידע. תאריך העדכון בתחתית העמוד מסמן את הגרסה הנוכחית.

שינוי מהותי שנוגע לכלי שאינו חיוני יוצג לפני ההפעלה ולא אחריה.

מקורות רשמיים על הדין הישראלי

אפשר לקרוא את המקורות הרשמיים ישירות:

• שאלות ותשובות על תיקון 13 לחוק הגנת הפרטיות
• הנחיית הרשות בעניין חובת היידוע