מדיניות פרטיות — אפליקציית "מעשר"

1. תקציר בשלוש שורות

2. מי אחראי למידע

מפתח האפליקציה, המפורט בסעיף יצירת קשר, הוא בעל השליטה במידע (Data Controller) לצורך תקנות הגנת הפרטיות.

אין לנו שרת משלנו. התשתית היחידה שבה נעשה שימוש היא שירותי Google (Firebase ו-Google Drive), כמתואר להלן.

3. איזה מידע נשמר, והיכן

3.1 במכשיר שלך (תמיד)

האפליקציה שומרת במסד נתונים מקומי (SQLite), בתוך אזור האחסון הפרטי של האפליקציה שאפליקציות אחרות אינן יכולות לגשת אליו:

• סכומי התרומות, שמות המקבלים והערות שהזנת
• תאריכי התרומות והוראות הקבע
• הגדרות היעד החודשי, לוח השנה (עברי/לועזי) ומצב גלגול היתרה
• העדפות תצוגה, שעת התזכורת ומצב האנימציות

מידע זה אינו נשלח לשום מקום כל עוד לא הפעלת גיבוי או סנכרון.

3.2 מה אנחנו לא אוספים — בשום מצב

• אין שם, אימייל, מספר טלפון או כל פרט מזהה. אין הרשמה ואין חשבון משתמש במובן המקובל.
• אין איסוף מיקום, אנשי קשר, יומן, גלריה או רשימת אפליקציות.
• אין כלי אנליטיקה, אין מדידת שימוש, אין דיווח קריסות אוטומטי.
• אין פרסומות ואין ערכות פרסום (SDK) של רשתות פרסום.
• אין מכירה של מידע ואין העברתו לצד שלישי לצורכי שיווק, פרופיילינג או החלטות אוטומטיות.

4. סנכרון בין מכשירים (אופציונלי — כבוי כברירת מחדל)

התכונה נועדה לאפשר לבני משפחה לנהל יחד את אותן תרומות משני מכשירים או יותר. היא פועלת רק לאחר שיצרת חשבון או הצטרפת לחשבון קיים.

4.1 מה מוצפן ומה לא — הפירוט המלא

זה החלק החשוב ביותר במסמך. לא כל השדות מוצפנים, ואנו מעדיפים לומר זאת במפורש:

המשמעות המעשית: מי שיקבל גישה למסד הנתונים — לרבות מפתח האפליקציה, לרבות Google, ולרבות מי שיפרוץ אליו — יוכל לדעת מתי ניתנו תרומות וכמה תרומות היו בכל חודש, אבל לא למי הן ניתנו ולא באיזה סכום.

זוהי פשרה מודעת: התאריכים נשארים גלויים כדי שהסנכרון יוכל למזג נתונים בין מכשירים בלי לפענח את כל מסד הנתונים בכל פעולה.

4.2 כיצד עובדת ההצפנה

ההצפנה מתבצעת על המכשיר שלך, לפני השליחה:

• אלגוריתם ההצפנה: XChaCha20-Poly1305.
• המפתח נגזר בשיטת Argon2id מסיסמה שנוצרת אקראית במכשיר שלך יחד עם מזהה החשבון.
• המפתח הנגזר נשמר במאגר המאובטח של המערכת (Android Keystore) ולעולם אינו נשלח לשום מקום.
• הסיסמה עצמה אינה נשלחת לשום שרת — לא שלנו ולא של Google.

המשמעות: מפתח האפליקציה אינו יכול לקרוא את הנתונים שלך, גם אם ירצה בכך.

4.3 מזהה אנונימי

להפעלת הסנכרון האפליקציה יוצרת מזהה אנונימי אקראי באמצעות Firebase Anonymous Authentication.

• המזהה אינו קשור לשמך, לחשבון Google שלך או לכתובת אימייל כלשהי.
• תפקידו היחיד הוא לאפשר לכללי האבטחה של Firestore לוודא שרק מכשירים השייכים לחשבון שלך יכולים לקרוא ולכתוב את הנתונים שלו.
• הוא מזהה התקנה ולא אדם: מחיקת האפליקציה משמידה אותו, והתקנה מחדש יוצרת מזהה חדש.

לפי הסיווג של Google Play, מזהה זה נחשב "מזהה מכשיר או מזהה אחר", ולכן הוא מוצהר ככזה בטופס "איסוף נתונים ואבטחה" בחנות.

4.4 מה Google רואה

הנתונים מאוחסנים בשרתי Google Firebase Firestore. Google פועלת כמעבדת המידע (Data Processor) עבורנו, ורואה את התוכן המוצפן ואת השדות הגלויים המפורטים בסעיף 4.1, וכן את כתובת ה-IP שממנה בוצעה הבקשה, כפי שקורה בכל תקשורת אינטרנט.

• מדיניות הפרטיות של Google: policies.google.com/privacy
• פרטיות ואבטחה ב-Firebase: firebase.google.com/support/privacy

4.5 אין שחזור סיסמה

מזהה החשבון והסיסמה נוצרים במכשיר שלך ואינם נשלחים לאיש, כולל אלינו.

5. גיבוי לגוגל דרייב (אופציונלי — כבוי כברירת מחדל)

אם תבחר להפעיל גיבוי, האפליקציה תיצור קובץ גיבוי בפורמט JSON בחשבון Google Drive שלך, בתיקייה מוסתרת המיועדת לאפליקציה (appDataFolder).

• הקובץ מאוחסן בחשבון שלך, בבעלותך ובשליטתך המלאה. מפתחי האפליקציה אינם רואים אותו, אין להם אליו גישה, והוא אינו עובר דרך שום שרת שלנו.
• ההרשאה המבוקשת היא drive.appdata בלבד — הרשאה מצומצמת שאינה מאפשרת לאפליקציה לראות, לקרוא או לשנות אף קובץ אחר בדרייב שלך.
• הקובץ מכיל את התרומות, הוראות הקבע, היעדים וההגדרות שלך. הוא אינו מכיל את מפתח ההצפנה של הסנכרון — המפתח נשאר ב-Android Keystore בלבד.
• ניתן למחוק את הגיבוי בכל עת דרך הגדרות חשבון Google שלך.

בעת ההתחברות האפליקציה משתמשת ב-Google Sign-In כדי לקבל הרשאה לתיקייה זו. כתובת האימייל שלך משמשת אך ורק להצגת החשבון המחובר על המסך, ואינה נשמרת בשום מקום מלבד מכשירך.

6. הרשאות שהאפליקציה מבקשת

7. שמירת מידע ומחיקתו

7.1 כמה זמן נשמר המידע

• במכשיר: עד שתמחק את הנתונים או תסיר את האפליקציה.
• בענן (אם הפעלת סנכרון): כל עוד החשבון קיים. רשומות שנמחקו נשמרות כסימון מחיקה (tombstone) למשך 90 יום, כדי שהמחיקה תגיע גם למכשירים שהיו מנותקים, ולאחר מכן נמחקות.
• בדרייב: עד שתמחק את הגיבוי בעצמך.

7.2 כיצד למחוק את המידע

8. זכויותיך

בהתאם לחוק הגנת הפרטיות, התשמ״א-1981, ולתקנת GDPR (ככל שהיא חלה עליך), עומדות לך זכויות לעיין במידע, לתקנו, למחקו ולהתנגד לעיבודו.

בפועל, מבנה האפליקציה נותן לך את הזכויות האלה ישירות ובלי לפנות אלינו: כל המידע נמצא במכשירך וניתן לצפייה, לעריכה ולמחיקה בתוך האפליקציה עצמה. המידע היחיד שאינו בשליטתך הישירה הוא העותק המוצפן בענן, וגם אותו אנו מוחקים לבקשתך לפי סעיף 7.2.

הבסיס החוקי לעיבוד (ככל שנדרש) הוא הסכמתך המפורשת, הניתנת ברגע שאתה מפעיל את הסנכרון או את הגיבוי, וניתנת לביטול בכל עת על ידי כיבוי התכונה.

9. ילדים

האפליקציה אינה מיועדת במיוחד לילדים ואינה פונה אליהם. היא אינה אוספת מידע אישי מאף משתמש, ואינה מבקשת שם, גיל, אימייל או כל פרט מזהה אחר.

10. שינויים במדיניות ויצירת קשר

עדכונים למדיניות זו יפורסמו בעמוד זה, עם עדכון של תאריך "עודכן לאחרונה" שבראשו. שינוי מהותי באופן הטיפול במידע יוצג גם בתוך האפליקציה עצמה.

ליצירת קשר בכל שאלה, בקשת מחיקה או פנייה בנושא פרטיות:

📧 doveapp7@gmail.com

נספח — הצהרת "איסוף נתונים ואבטחה" בחנות Google Play

הטבלה שלהלן משקפת את מה שהוצהר בטופס Data Safety, כדי שניתן יהיה להשוות בין השניים:

• המידע מוצפן בהעברה: כן.
• ניתן לבקש מחיקת מידע: כן — ראה סעיף 7.2.
• כל האיסוף אופציונלי: כן — האפליקציה פועלת במלואה ללא סנכרון וללא גיבוי.

הגיבוי לגוגל דרייב אינו מוצהר כאיסוף מידע, מכיוון שהמידע עובר לאחסון הפרטי של המשתמש עצמו ואין למפתח כל גישה אליו — בהתאם להנחיות Google Play בנושא.