מדיניות פרטיות

1. מבוא ומי אנחנו

שקל (“השירות”, “אנחנו”) הוא פרויקט עצמאי המפעיל אתר ואפליקציה דיגיטלית לעצמאים ובעלי עסקים קטנים בישראל. השירות מספק כלי חישוב מס, התראות דדליין, ניהול נתונים פיננסיים וחיבור לתוכנות הנהלת חשבונות — חינם לחלוטין וללא מסלול בתשלום.

מצב משפטי:נכון לתאריך עדכון מסמך זה, שקל אינו ישות עסקית רשומה — אין חברה בע"מ, אין מספר עוסק מורשה ואין כתובת פיזית רשמית. לכל פנייה הנוגעת לפרטיות (כולל מימוש זכויות נושא מידע) — דוא"ל בלבד: shekelfinance@gmail.com.

מדיניות פרטיות זו נכתבת בהתאם לחוק הגנת הפרטיות, תשמ"א-1981 ותקנותיו, ולתקנות GDPR (ככל שחלות על משתמשים שמיקומם במדינות האיחוד האירופי). שימוש בשירות מהווה הסכמה למדיניות זו.

2. מידע שאנחנו אוספים

א. מידע שאתה מספק בעת הרשמה:

• כתובת אימייל ושם מלא
• מספר טלפון (אופציונלי)
• סיסמה (מאוחסנת כ-hash בלבד — לא נשמרת בפשוטה)
• אפשרות כניסה דרך Google — במקרה זה נקבל ממנה את כתובת האימייל ושמך בלבד

ב. מידע פיננסי ועסקי שתזין לכלים:

• הכנסה שנתית משוערת וסוג עסק (עוסק פטור / מורשה / חברה)
• מדרגת מס, אזור מגורים, מעמד פריפריה
• מספר ילדים, ימי מילואים, פרטי רכב, אחוז עבודה מהבית
• הכנסות והוצאות — ידניות או מיובאות מתוכנת הנהלת חשבונות

ג. פרטי גישה לתוכנות הנהלת חשבונות (אם חיברת):

אם בחרת לחבר את חשבון שקל לאחת מתוכנות הנהלת החשבונות הנתמכות (כיום: חשבונית ירוקה / Green Invoice, iCount) — תצטרך למסור את פרטי ה-API שלך (מפתח API או שם משתמש וסיסמה). פרטים אלה מוצפנים ונשמרים בהצפנה בשרת ומשמשים אך ורק לשליפת נתוניך מהתוכנה הרלוונטית. אנחנו לא מעבירים אותם לצדדים שלישיים נוספים.

ד. תמונות קבלות שאתה מעלה (OCR):

כאשר אתה מעלה תמונת קבלה לזיהוי אוטומטי, התמונה נשלחת לשירות Google Gemini (Google LLC) לצורך חילוץ פרטי הקבלה (סכום, תאריך, ספק). התמונה אינה נשמרת אצלנו או אצל Google מעבר לזמן הקצר הנדרש לעיבוד. רק התוצאה המוחזרת (טקסט) נשמרת בחשבון שלך.

ה. מידע טכני הנאסף אוטומטית:

• כתובת IP — נרשמת בלוג ביקורת (audit log) לכל פעולה רגישה (כניסה, שינוי סיסמה, גישה לנתונים)
• סוג דפדפן ומערכת הפעלה (User-Agent)
• תאריך ושעת פעולות
• עמודים שביקרת וכלים שהפעלת (לצורכי שיפור השירות)

3. לוג ביקורת (Audit Log)

השירות שומר רישום מלא של פעולות רגישות — כניסות לחשבון, שינויי סיסמה, חיבור תוכנת חשבונות, גישה לנתונים פיננסיים ועוד. כל רישום כולל: מזהה משתמש, סוג הפעולה, תאריך ושעה, כתובת IP וסוג דפדפן.

לוג הביקורת משמש לאבטחת החשבון (זיהוי גישות חשודות) ולעמידה בדרישות חוקיות. הרישומים נשמרים כל עוד החשבון פעיל, ולאחר מחיקת החשבון — לתקופה נוספת של עד 12 חודשים לצורכי אבטחה.

4. כיצד אנחנו משתמשים במידע

• הפעלת הכלים — חישובי מס, ביטוח לאומי, רכב ושאר הסימולטורים
• שליחת התראות מס ותזכורות דדליין שביקשת לקבל
• ייבוא וסנכרון נתונים מתוכנות הנהלת חשבונות שחיברת
• שמירת הגדרות וסנכרון בין מכשירים
• זיהוי ומניעת גישה לא מורשית ופעילות חשודה
• שיפור השירות על בסיס דפוסי שימוש מצטברים ואנונימיים
• עמידה בדרישות חוקיות ורגולטוריות

אנחנו לא מוכרים את המידע שלך לאף גורם שלישי, ולא משתמשים בו לצורכי פרסום ממוקד.

5. שיתוף מידע עם צדדים שלישיים

המידע שלך עשוי להיות מועבר אך ורק לספקי שירות חיוניים הבאים:

• Supabase — מסד הנתונים הראשי. כל המידע האישי והפיננסי שלך מאוחסן ב-Supabase תחת Row Level Security (גישה מוגבלת לנתוניך בלבד). שרתים ממוקמים באיחוד האירופי.
• Vercel — אירוח האפליקציה. מקבל בקשות HTTP כולל כתובת IP, אך אינו שומר מידע אישי נוסף.
• Google — רק אם בחרת להתחבר דרכה (OAuth). היא מעבירה לנו אימייל ושם בלבד. אנחנו לא שולחים לה מידע על פעילותך בשקל.
• תוכנות הנהלת חשבונות — כיום נתמכות: חשבונית ירוקה / Green Invoice, iCount. אם חיברת תוכנה, פרטי ה-API שלך (מוצפנים) נשלחים ישירות לשרתי התוכנה המתאימה לצורך שליפת הנתונים בלבד. כל תוכנה כפופה למדיניות הפרטיות שלה.
• Google Gemini (Google LLC) — שירות מודל שפה לזיהוי טקסט בקבלות שמועלות (OCR). מקבל את תמונת הקבלה ומחזיר את הפרטים המחולצים. התמונה אינה נשמרת אצל Google מעבר לזמן הקצר הנדרש לעיבוד. מדובר בהעברת מידע אל מחוץ לאיחוד האירופי.
• Sentry— שירות מעקב שגיאות (ארה"ב). מקבל error traces ו-breadcrumbs לצורך זיהוי תקלות. מידע מזהה (PII) מנוקה אוטומטית לפני השליחה. מדובר בהעברת מידע אל מחוץ לאיחוד האירופי.
• PostHog — שירות ניתוח מוצר המתארח ב-EU Cloud (Frankfurt). מקבל אירועי שימוש (page views, פעולות מצטברות), רק לאחר שאישרת זאת מפורשות בבאנר העוגיות. שדות PII (מייל, טלפון, סכומים) מסוננים לפני שליחה. ניתן לבטל בכל עת מתוך הגדרות החשבון או על ידי ניקוי אחסון הדפדפן.
• Cloudflare Turnstile — שירות בדיקת בוטים (global edge). מקבל את כתובת ה-IP שלך ברגע ההתחברות כדי לאמת שאתה אדם ולא בוט.
• Resend— שירות שליחת מיילים תפעוליים (ארה"ב). מקבל את כתובת המייל הנמען ואת תוכן ההודעה לצורך משלוח התראות ותזכורות מס.

ספקים אלה מחויבים לפעול בהתאם למדיניות הפרטיות שלהם ולא לעשות שימוש במידע לכל מטרה אחרת. אנחנו לא נעביר מידע לגורמים נוספים אלא אם מחויבים לכך בצו חוקי.

6. שמירת מידע

• נתונים פיננסיים ומיסויים — נשמרים 7 שנים בהתאם לחוק הישראלי (חוק עסקאות גופים ציבוריים, תקנות מס הכנסה), גם לאחר מחיקת החשבון, לצורך עמידה בדרישות חוקיות.
• מידע אישי ופרופיל — נמחק תוך 30 יום ממחיקת החשבון, למעט מה שנדרש לפי דין.
• לוג ביקורת — כתובת IP ו-User-Agent — נמחקות מלוג הביקורת לאחר 30 יום.
• לוג ביקורת — שאר הרשומות — נשמרות 180 יום (365 יום לאירועי אבטחה).
• לוג שליחת התראות (notification_log)— נשמר עד 24 חודשים לצורך הוכחת משלוח, בהתאם לחוק התקשורת (בזק ושידורים) — תיקון מס' 40, התשס"ח-2008 ("חוק הספאם").
• פרטי API של תוכנות חשבונות — נמחקים מיידית עם ניתוק החיבור או מחיקת החשבון.

7. אבטחת מידע

• כל התקשורת מוצפנת ב-TLS 1.2+ (HTTPS בלבד)
• סיסמאות מאוחסנות כ-hash עם bcrypt — לא ניתן לשחזרן
• פרטי API של תוכנות חשבונות מוצפנים בהצפנה סימטרית בשרת
• גישה למסד הנתונים מוגנת ב-Row Level Security — כל משתמש רואה נתוניו בלבד
• גישה ניהולית למסד הנתונים מוגבלת ומנוטרת
• שרתים ממוקמים באיחוד האירופי (Supabase Frankfurt)

למרות אמצעי האבטחה שאנחנו נוקטים, אין מערכת מוגנת לחלוטין. אנא השתמש בסיסמה חזקה וייחודית ואל תשתף פרטי גישה לחשבונך.

8. הודעה על פרצת אבטחה

במקרה של פרצת אבטחה שעלולה לפגוע במידע האישי שלך, אנחנו מחויבים להודיע לך בהקדם האפשרי — ולא יאוחר מ-72 שעות מגילוי האירוע — בכתובת האימייל הרשומה. ההודעה תכיל: מהות הפרצה, המידע שנחשף (אם ידוע), הצעדים שנקטנו ומה מומלץ לעשות.

9. עוגיות (Cookies) וניתוח שימוש

• אנחנו לא משתמשים בעוגיות פרסומיות או בפיקסלי מעקב פרסומי (כגון Facebook Pixel או Google Ads).
• אנחנו משתמשים ב-PostHog לניתוח מוצר (EU Cloud, Frankfurt) — אך ורק לאחר שאישרת זאת מפורשות בבאנר העוגיות. ניתן לבטל בכל עת על ידי ניקוי אחסון הדפדפן.
• שירותי תפעול בסיסיים (Supabase auth, Cloudflare Turnstile) משתמשים בעוגיות חיוניות בלבד — ללא צורך באישור מפורש, מכיוון שהשירות אינו יכול לפעול בלעדיהן.

תוכל למחוק עוגיות בכל עת דרך הגדרות הדפדפן שלך — הדבר עלול לנתק אותך מהחשבון.

10. הזכויות שלך

בהתאם לחוק הגנת הפרטיות, תשמ"א-1981 ו-GDPR (ככל שחל), יש לך זכות:

• לעיין במידע האישי שנשמר עליך ולקבל עותק
• לתקן מידע שגוי או לא מעודכן
• למחוק את חשבונך ואת המידע שלך (למעט מה שנדרש לפי דין)
• להתנגד לעיבוד המידע לצורכים שאינם חיוניים לשירות
• לבטל הסכמה לקבלת הודעות ותזכורות (מתוך הגדרות החשבון)
• לנייד את המידע שלך (ייצוא נתונים)

לממש זכויות אלה, פנה אלינו ל: shekelfinance@gmail.com — נענה תוך 30 יום.

11. ילדים

השירות מיועד לעצמאים ובעלי עסקים — לבני 18 ומעלה בלבד. אנחנו לא אוספים ביודעין מידע מקטינים. אם גילית שקטין רשם חשבון, צור קשר ונמחק אותו.

12. שינויים במדיניות

אנחנו עשויים לעדכן מדיניות זו מעת לעת. במקרה של שינוי מהותי (כגון: סוג מידע חדש, ספק שלישי חדש, שינוי בשמירת המידע) — נשלח הודעה לאימייל הרשום לפחות 14 יום מראש. המשך השימוש בשירות לאחר כניסת השינויים לתוקף מהווה הסכמה לנוסח המעודכן.

13. יצירת קשר

לשאלות, בקשות מימוש זכויות, או כל פנייה הנוגעת לפרטיות: shekelfinance@gmail.com