מדיניות פרטיות

אין סיסמה ואין פרופיל ציבורי. ההתקדמות נשמרת מיד בדפדפן. אם מופעלת גישה מלאה, נשמרות גם תמונות מצב בחשבון נטול-סיסמה שמקושר לדוא״ל הרכישה, כדי שמפתח הגישה או קישור שחזור יחזירו את הלימוד במכשיר אחר. אין פרסומות, אין כלי ניתוח של צד שלישי ואין מעקב שיווקי. השרת סופר כמה פעולות של רכישה ושחזור תחת מזהה חד־כיווני, כמפורט למטה.

על המכשיר שלכם (localStorage): התקדמות בשאלות, תשובות נכונות ושגויות, מועדי חזרה, סטטיסטיקות, הגדרות, סימניות והערות, תוצאות של תרגילי מעבדת הנהיגה, תיעוד שיעורי נהיגה ומשוב מורה כפי שהזנתם אותו, וקוד הכיתה אם הזנתם אחד. ללא גישה מלאה המידע נשאר במכשיר בלבד. עם גישה מלאה נשלחות תמונות מצב מאותו מבנה ל-Cloudflare KV לצורך שחזור. ניקוי נתוני הדפדפן מוחק את העותק המקומי; יש גם ייצוא עצמאי לקובץ במסך הפרופיל. מצב סבב התרגול והפעילות שבחרתם לפני רכישה נשמרים בנפרד בדפדפן כדי לאפשר המשך, ואינם נשלחים כחלק מגיבוי ההתקדמות בענן.

אצלנו, כשמתחילים רכישה: נשמרת הזמנה עם כתובת הדוא״ל שהוזנה, כפי שהיא (לא מוצפנת), יחד עם סוג הגישה ומועד ההזמנה. אם התשלום לא הושלם או לא אומת, ההזמנה נמחקת אוטומטית אחרי 24 שעות.

אצלנו, אחרי רכישה: רשומת ההזמנה נשמרת עם כתובת הדוא״ל כפי שהיא, מזהה העסקה ב-Cardcom ומפתח הרישיון, ונמחקת אוטומטית שנה אחרי התשלום. היא נשמרת כדי שנוכל לאתר את העסקה כשפונים אלינו — בקשת ביטול, בירור על חיוב או מפתח שאבד — ולהתאים אותה למסמך העסקה של Cardcom. בנפרד נשמרים רשומת הרישיון (המפתח, סוג הגישה ותאריכי ההנפקה והתפוגה), תמונות מצב של ההתקדמות, ומפתוח שמקשר את הדוא״ל למפתחות שלו באמצעות מזהה חד־כיווני (HMAC) — בלי הכתובת עצמה — כדי שאפשר יהיה לשלוח קישור שחזור. לרשומת הרישיון ולמפתוח הזה אין מועד מחיקה אוטומטי; אפשר לבקש למחוק אותם (ראו "הזכויות שלכם"). פרטי הכרטיס מוזנים אצל Cardcom; הם אינם עוברים אלינו ואינם נשמרים אצלנו.

גישה במתנה: כשמפעיל השירות מעניק גישה במתנה, נשמרים המפתח, משך הגישה והערה פנימית קצרה, וגם כתובת הדוא״ל של מקבל המתנה כפי שהיא, אם נמסרה. הרשומה נמחקת אוטומטית שנה אחרי שהגישה פגה.

מי רואה את הכתובות: רק מפעיל השירות, בלוח ניהול פרטי שמוגן בסיסמה ומציג את הרכישות והמתנות האחרונות עם כתובות הדוא״ל שלהן.

ספירת פעולות בשרת: כשמתחיל תשלום, כשתשלום מאומת, כשהגישה נפתחת (אחרי רכישה, עם מפתח או בקישור שחזור), כשנשמרת תמונת מצב בענן, כשמתבקש קישור שחזור וכשאנחנו מעניקים גישה במתנה, השרת רושם אירוע: סוג הפעולה, מועד, ומזהה מקוצר בן 24 תווים. המזהה מחושב מכתובת הדוא״ל שהוזנה (או ממפתח הגישה, כשאין דוא״ל) בפונקציית HMAC-SHA256 עם מפתח סודי שנמצא רק בשרת. זה קורה גם כשתשלום לא הושלם, וגם כשכתובת שהוזנה לשחזור אינה מוכרת לנו. הדוא״ל עצמו אינו נשמר באירוע ואי אפשר לחלץ אותו מהמזהה, אבל מי שמחזיק במפתח הסודי יכול לבדוק אם כתובת מסוימת מתאימה למזהה — ולכן זה מידע בכינוי (פסאודונימי), לא מידע אנונימי. האירוע אינו כולל כתובת IP, דפים שנצפו, תשובות לשאלות או פרטי מכשיר. האירועים נשמרים ב-Cloudflare KV ונמחקים אוטומטית אחרי 400 יום. הם משמשים רק לספירות מצטברות בלוח ניהול פרטי של מפעיל השירות — כמה תשלומים התחילו והושלמו, כמה שחזורים ושמירות היו, וכמה משתמשים שונים בערך — כדי לדעת שהרכישה והשחזור עובדים. הם אינם נמכרים ואינם מועברים לאיש.

הגנה מניסיונות חוזרים: בקשות תשלום, הזנות מפתח ובקשות שחזור נספרות לפי כתובת ה-IP שממנה הגיעו, כדי לעצור ניסיונות אוטומטיים. הכתובת עצמה אינה נשמרת: נשמר מזהה חד־כיווני שמחושב ממנה עם מפתח סודי, יחד עם מונה, ושניהם נמחקים אוטומטית תוך שעתיים לכל היותר. מונים נוספים, שמחזיקים את אותו מזהה רק בזיכרון של השרת ולזמן קצר, מגבילים גם את הודעות אימות התשלום ואת דיווחי התקלות.

דיווחי תקלות: כשמשהו נשבר בדפדפן, הדף שולח לשרת דיווח טכני קצר: סוג השגיאה וההודעה שלה, כמה שורות ראשונות מערימת הקריאות, כתובת הדף בלי פרמטרים ובלי מה שאחרי הסימן #, ומשפחת הדפדפן (למשל Chrome בנייד). לפני השליחה, ושוב בשרת, מוסרים מהדיווח כתובות דוא״ל, מפתחות גישה ומספרים ארוכים. הדיווח אינו כולל כתובת IP, תשובות, התקדמות או מזהה כלשהו. הוא נכתב ליומן התפעול של הפונקציות ב-Cloudflare, ולא נשמר במאגר הנתונים של השירות.

ספקי תפעול: Cloudflare מארחת את האתר, הפונקציות ותמונות המצב; Cardcom מפעילה את דף התשלום ומפיקה את מסמך העסקה; Resend שולחת את קישורי הגישה והשחזור. הספקים מקבלים רק את המידע שנחוץ לביצוע הפעולה שלהם. Turnstile של Cloudflare מופעל רק לאחר רצף ניסיונות חריג כדי להגן על טופסי תשלום ושחזור.

קישור דוח למורה: כשאתם יוצרים קישור לשיתוף, תמונת המצב נמצאת בתוך הקישור עצמו, אחרי הסימן #. חלק זה של כתובת אינו נשלח לשרת כלל — לא אלינו ולא לאף אחד אחר. הדוח קיים רק אצלכם ואצל מי ששלחתם לו את הקישור, ואפשר להפסיק לשתף פשוט על ידי הפסקת השליחה.

אין Google Analytics ואין כלי ניתוח או מעקב של צד שלישי, ואין קוד שעוקב אחרי הגלישה בדפים. ספירת הפעולות שמתוארת למעלה נעשית בשרת של השירות בלבד. אין פרסומות. אין פיקסלים, אין קוקיז של פרסום, ואין שיתוף מידע עם צד שלישי לצרכים שיווקיים. השרת שמארח את האתר רושם בקשות כפי שכל שרת עושה (כתובת IP, זמן, כתובת הדף) לצורך תפעול ואבטחה.

לימוד לתיאוריה מתחיל בגיל שש-עשרה וחצי, כך שחלק מהמשתמשים הם קטינים. האפליקציה אינה דורשת סיסמה או פרופיל ציבורי. שימוש חינמי אינו דורש דוא״ל; רכישה דורשת דוא״ל לקבלה ולשחזור ואמצעי תשלום, ולכן צריכה להיעשות על ידי הורה או אפוטרופוס.

בית ספר שרוכש מושבים מקבל רשימת מפתחות בלבד. הוא אינו מקבל גישה להתקדמות של תלמיד, ואין לנו לוח בקרה שמציג לו אותה. הדרך היחידה שבה מורה רואה נתונים היא אם התלמיד יצר קישור דוח ושלח לו אותו — פעולה יזומה, מהמכשיר של התלמיד, שאפשר לא לעשות.

אפשר לייצא את ההתקדמות לקובץ בכל עת ולמחוק את העותק המקומי במסך הפרופיל. תמונות מצב של גישה קצובה נשמרות עד שישה חודשים לאחר פקיעת הגישה כדי לאפשר חידוש ושחזור. אפשר לפנות אלינו ולבקש מחיקת דוא״ל, תמונות מצב ורשומת רכישה; מחיקת רשומת הרישיון מבטלת את יכולת השחזור והסנכרון שלו.

לפניות בנושא פרטיות: cadensyn@pm.me
מפעיל השירות: Introspection Games, עוסק פטור מספר 201668001, הנשיא 1א׳, לוד