עודכן ב-23 באוקטובר 2026

מדיניות פרטיות

בקצרה: הארנק שלכם נשמר מוצפן במכשיר שלכם. אנחנו לא שומרים את הקופונים אצלנו, לא מוכרים מידע ולא עוקבים אחריכם. מה שכן מגיע אלינו כתוב כאן — מה, למה, לכמה זמן, מי עוד מעורב, ואילו זכויות עומדות לכם.

מצב הגרסה הנוכחית (3.9, אוקטובר 2026): הארנק, התזכורות והקופה פועלים גם בלי חשבון — בהפעלה הראשונה נוצר מזהה אקראי בלבד (סעיף 5). חשבון (התחברות דרך Apple, Google או Facebook) נדרש רק לפרסום ובקשה בלוח, להתכתבות, לחברים ולהודעות ביניכם, לשליחת שובר לשם משתמש, לעדכוני הלוח ולארנק המשותף. חדש בגרסה 3.9: במסך הפתיחה אין יותר שורות לכיבוי: הקריאה החכמה, בדיקת היתרה כשמוסיפים שובר, מדידת השימוש, ולבעלי חשבון הודעות השירות במייל — כולן דלוקות כברירת מחדל, חוץ ממה שכבר כיביתם — והקריאה החכמה נדלקת עם אישור גרסה זו גם למי שכיבה אותה בעבר — ואפשר לכבות כל אחת בהגדרות ← פרטיות בכל רגע; ההתראות נשאלות אחרי שמירת השובר הראשון (סעיף 7). מגרסה 3.8: מסך אישור המסמכים מאחד את הבחירות: קריאה חכמה, בדיקת יתרה מיד כשמוסיפים שובר, מדידת השימוש, ולבעלי חשבון גם הודעות השירות במייל — כולן מופיעות דלוקות, חוץ ממה שכבר בחרתם לכבות; אפשר לכבות כל אחת שם לפני האישור ובהגדרות (סעיפים 4, 6.1 ו-6.2); הקורא שרץ בטלפון ב-Android הוסר (סעיפים 4, 7 ו-9); ובדיווח השימוש היומי כבר אין בחירת תצוגה, כי יש תצוגה אחת לכולם (סעיף 6.2); שובר ב-Apple Wallet, עם ה-PIN וה-CVV בגב הכרטיס, ועדכונו והסרתו האוטומטיים (Google Wallet — כשתיפתח האפשרות) (סעיפים 6.1, 6.2 ו-9); השוברים של החנות שאתם לידה, בראש הארנק (סעיף 7); הצעת צילום המסך האחרון בשאלה במסך ההוספה (סעיף 7); תזכורת אחת להוסיף שובר ראשון (סעיף 8); גרסת האפליקציה ומערכת ההפעלה גם בתשובות לפניות (סעיף 6.2); למה משמשת מדידת השימוש (סעיף 6.2); הקריאה החכמה נמשכת גם אחרי שיוצאים מהמסך, והשובר מחכה בארנק (סעיפים 4 ו-8); מה עובר דרך השרת שלנו בקריאה החכמה (הפסקה הראשונה); הודעות שירות במייל גם על הפסקת השירות (סעיף 6.2); מתי נשאלת הרשאת ההתראות (סעיף 7); שמות ספקי הקריאה החכמה, מה כל אחד מקבל, היכן ולכמה זמן, והבסיס להעברה אליהם (סעיפים 4, 9 ו-10); עם אילו ספקים יש הסכם עיבוד נתונים, ועל מה נשענת ההעברה לספקי האירוח, ההתראות והעדכונים (סעיפים 9 ו-10); בדיקה מלאה מול האפליקציה: הלוח סגור כרגע, Google Wallet כשתיפתח האפשרות, מה נשמר כשנמחק חשבון שדווח, הקופה ב-Android, Siri, והעברת המידע לחו"ל סעיף אחר סעיף. ומגרסה 3.7: ספק נוסף לקריאה המדויקת — Anthropic, מגרסה 1.0.3 של האפליקציה, לכל פריט מלבד קבלות (סעיף 9); בבדיקת יתרה האפליקציה ממלאת לבד את פרטי השובר כשהטופס מופיע; בדיקת יתרה מיד כשמוסיפים שובר, רק בהסכמה; קישור לשובר, ויתרה שנבדקה מהקישור מוצגת לכם לאישור (סעיפים 2, 4 ו-6.1); מפתח המכשיר של השולח עובר בתוך השובר הנעול, לספרות הביטחון, ומסירה פנים אל פנים בלי חיבור נרשמת כשהחיבור חוזר (סעיף 6.2); תשובות לפניות ששלחתם מהאפליקציה, ובחשבון מחובר גם התראה עליהן (סעיפים 6.2, 8 ו-14); ובמדידת השימוש — רשימה ריקה, נגיעה אחרי גלילה ונגיעה שלא נענתה, תוצאות חיפוש בלי המילים, ושמות הכפתורים (סעיף 6.2). ומגרסה 3.6: מה עוד יוצא מהמכשיר (סעיף 2); פעילות חיה והצעות בקופה (סעיף 3); שליחה לקריאה רק באישור — לפני כל פריט, או פעם אחת ב"לשלוח לקריאה בלי לשאול" — ושם הנותן והברכה בקריאה (סעיף 4); לוח ההעתקה (סעיף 6.1); מה נרשם על שובר שמסרתם — מתי נפתח לראשונה, "קיבלתי" בעמוד הקישור, תזכורות והודעה שעוד לא נוסף, ובמסירה פנים אל פנים גם החשבון שמחזיק בו עד שהוא נוסף, לצורך תזכורת; פרטי החיבור, פרטי המוסר אחרי מכירה, פניות בטופס באתר, יומן פעולות הניהול, ושמירה כשיש פנייה, תלונה או הליך; אין גיבויים בשרת, ומדידת השימוש מוצגת כהודעה עם כפתור "לכבות" (סעיף 6.2); מיקום בדף של בית עסק (סעיף 7); ספק הדואר ותמונת הפרופיל מספק ההתחברות (סעיף 9); תשובה לבקשת עיון בתוך 21 יום (סעיף 14); הוראות לפי מדינה (סעיף 15). ומגרסה 3.5: מסך אישור המסמכים קוצר — מאשרים בו את תנאי השימוש ואת מדיניות הפרטיות, ולצדם מוצגת מסומנת מדידת השימוש האנונימית, שאפשר לכבות שם לפני שנשלח דבר. הסכם המסירה, מסמך ההסכמה להצעות ממומנות ועמוד מחיקת הנתונים זמינים בהגדרות ובאתר, והסכם המסירה מוצג לאישור גם לפני כל פרסום או בקשה במחיר. רישום התגובה שלכם להצעות ממומנות על החשבון נעשה רק אם הדלקתם בעצמכם את המתג "רישום תגובה להצעות ממומנות" בהגדרות — הוא כבוי עד אז, והשרת שלנו דוחה רישום כזה מחשבון שלא הסכים. הודעות שירות במייל דלוקות לבעלי חשבון, ואפשר לכבות אותן בהגדרות ובכל הודעה; מי שכבר ענה שאינו רוצה בהן — נשאר כך. אלה הודעות שירות בלבד, לעולם לא פרסום (סעיפים 6.2, 8 ו-14). ומגרסה 3.2: הגיבוי האוטומטי המוצפן נשמר גם מחוץ לאפליקציה — ב-iPhone ב-iCloud Drive ובאנדרואיד בתיקייה שבוחרים — עם התמונות, הקבלות, ההעדפות ופרטי התשלום; "מחק הכל" מוחק גם אותו, והסרת האפליקציה משאירה אותו (סעיפים 3, 6.1 ו-7). ומגרסה 3.1: מסירה בקישור חד-פעמי — השובר נשמר אצלנו נעול, במפתח שנמצא רק בקישור, עד שמישהו מוסיף אותו; קבלות של שובר בארנק משותף נשמרות אצלנו נעולות, לחברי הארנק, ובהיסטוריה של שובר משותף רשום מי מימש; מי שקיבל שובר יכול להחזיר אותו לשולח; קבלה נקראת אצל כמה ספקי עיבוד, עם פרטי הקנייה; ויומן טכני של הקריאה, בלי תוכן ובלי מזהה. במדידת השימוש: קוד המדינה שבחרתם, נתוני יציבות וביצועים, ודרך מה הגעתם לאפליקציה; ובאתר — ספירת ביקורים מצטברת, בלי עוגיות ובלי מזהה — סעיפים 3, 4, 6, 10, 12 ו-14. לוח המסירה סגור כרגע ואינו מוצג באפליקציה: אין בה כרגע לשונית לוח, פרסום מודעה או התכתבות בלוח, ודבר אינו נשלח אלינו דרכו. אנו רשאים לפתוח את הלוח או לסגור אותו שוב, כולו או חלקו (צפייה, פרסום, התכתבות), מעת לעת וגם בלי עדכון של האפליקציה. כשהוא פתוח, חלים עליו סעיף 7א בתנאי השימוש וסעיף 6.2 (מה שנשלח אלינו כשמפרסמים). מידע שנשמר בזמן שהלוח היה פתוח ממשיך להישמר, ונמחק לפי התקופות שבסעיף 6.2. הארנק המשותף פעיל — מה שנשמר אצלנו בעבורו מפורט בסעיפים 3 ו-6.2, מוצפן במפתח שאין לנו. הצעות ממומנות מופיעות, והתגובה שלכם להן נרשמת על החשבון רק אם הסכמתם לכך בנפרד — סעיף 6.2 ומסמך ההסכמה. האפליקציה אינה מסנכרנת ארנק אישי בין מכשירים, ואין בה מנוי בתשלום או רכישה כלשהי. כל תמונה, כל הודעה וכל עמוד של קובץ שאתם מוסיפים נשלחים לקריאה מדויקת — רק באישור שלכם: באישור מסך הפתיחה, שבו כתוב שהשוברים נקראים בקריאה חכמה (גם אם בעבר בחרתם שלא לשלוח בלי לשאול); אפשר לכבות אותה בהגדרות בכל רגע; וכשהיא כבויה — לפני כל פריט. ראו סעיף 4. תוכן הארנק עצמו — הקודים, הברקודים, ה-PIN, מספרי הכרטיס וה-CVV — נשמר במכשיר ואינו נשמר אצלנו בצורה קריאה בשום מצב. תמונה או הודעה שנשלחת לקריאה חכמה (סעיף 4), וכל קוד שכתוב בה, עוברת דרך השרת שלנו אל ספק הקריאה, והשדות שנקראו חוזרים דרכו לטלפון — בלי שנשמר אצלנו עותק. מה שכן מגיע אלינו הוא מה שאתם עצמכם בוחרים לפרסם בלוח, מה שאתם כותבים בהתכתבויות, ושובר שאתם מוסרים לאדם אחר או משתפים בארנק משותף, עם הקבלות שצירפתם לו — נעול כך שאין לנו מפתח לפתוח אותו. האפליקציה מוצעת בחנויות האפליקציות גם מחוץ לישראל, למעט האזור הכלכלי האירופי, בריטניה ומדינות נוספות המפורטות בסעיף 15. המדינה של הארנק מזוהה במכשיר — לפי הגדרות הטלפון, לא לפי מיקום — כדי להציע את קטלוג המנפיקים של אותה מדינה; קוד המדינה שנבחרה נשלח אלינו רק בדיווח השימוש היומי, כשמתג "שיפור המוצר" דלוק, ובשם הקובץ שהאפליקציה מבקשת מהאתר (סעיפים 6.1 ו-6.2).

1. מי אחראי למידע

בעל השליטה במאגר המידע (כהגדרתו בחוק הגנת הפרטיות) הוא Click Coupon — מתן יהושע, עוסק פטור מס' 318439098, ישראל ("אנחנו"). המאגר אינו נמנה עם המאגרים שהחוק מחייב למנות להם ממונה הגנת פרטיות, ולכן לא מונה ממונה; מסמך הגדרות המאגר לפי תקנות הגנת הפרטיות (אבטחת מידע) נערך ומעודכן מדי שנה. מדיניות זו חלה על אפליקציית Click Coupon ועל אתר clickcoupon.co.il, והיא חלק בלתי נפרד מתנאי השימוש.

לפניות בנושא פרטיות, לרבות מימוש זכויות: טופס הפנייה, clickcoupon.co.il/contact.

הודעה לפי סעיף 11 לחוק הגנת הפרטיות: אין חובה חוקית למסור לנו מידע. בלי חשבון אפשר להשתמש בארנק, בתזכורות ובקופה; בלי פרטי חשבון (מזהה, דוא"ל ושם מספק ההזדהות) לא ניתן לפרסם או לבקש בלוח, להתכתב, לקבל עדכוני לוח או להצטרף לארנק משותף — וזו תוצאת אי-המסירה. המטרות שלשמן המידע נאסף מפורטות בסעיף 6, ומי שהמידע עשוי להימסר לו — בסעיף 9. המידע נשמר במאגר שבבעלות המפעיל, ואינו נמסר לצדדים שלישיים למטרות שיווק. עומדות לכם זכות לעיין במידע שעליכם לפי סעיף 13 לחוק, וזכות לבקש את תיקונו לפי סעיף 14 לחוק; דרך המימוש מפורטת בסעיף 14 למסמך זה.

2. העיקרון שממנו הכול נגזר

תוכן הארנק אינו מגיע אלינו בצורה קריאה. אלה הדברים שכן יוצאים מהמכשיר: תמונה, הודעה או צילום קבלה שאתם מוסיפים, לקריאה מדויקת (סעיף 4); פנייה מהמכשיר לדף של שובר שנשמר עם קישור (סעיף 6.1); פנייה לאתר שלנו לעדכון רשימת הרשתות המכבדות שוברים, בלי שום פרט מהארנק (סעיף 6.2); ופרטי כרטיס שממולאים בעמוד תשלום שבחרתם ואישרתם או בעמוד בירור יתרה שפתחתם, ואם הסכמתם — גם בבדיקת יתרה מיד כשמוסיפים שובר — לאתר ההוא בלבד (סעיף 6.1); ושובר שאתם בוחרים למסור לאדם אחר או לשתף בארנק משותף, עם הקבלות שצירפתם לו — נעול במכשיר שלכם, כך שהוא עובר דרכנו ונשמר אצלנו בלי שיש לנו מפתח לפתוח אותו (סעיפים 3 ו-6.2); ב"אני כאן" ובדף של בית עסק ב-iPhone: המיקום, ואיתו שמות החנויות והרשתות של השוברים הפעילים או שם בית העסק, לחיפוש המקומות של Apple (סעיף 7); וגם בדיקות אוטומטיות של האפליקציה — עדכון גרסה, ועדכון הרשימות הציבוריות שבאתר שלנו (רשתות, סניפים, בתי עסק וקניונים) — בלי שום פרט מהארנק (סעיף 6.2). כברירת מחדל נשלחים אלינו גם אירועי שימוש ותקלות בלי תוכן ואימות המכשיר (סעיף 6.2), ואפשר לכבות זאת בהגדרות. שאר הפונקציות הדורשות רשת — הלוח, הארנק המשותף, החברים וההודעות, ההתראות — פועלות רק כשאתם מפעילים אותן.

3. מה נשמר באפליקציה, ואיפה

הקופונים, השוברים והזיכויים שלכם — כולל שמות חנויות, קודים, ברקודים, סכומים, יתרות, מספרי אסמכתא, תמונות מקור והערות — נשמרים על המכשיר שלכם בלבד, מוצפנים. מפתח ההצפנה נשאר במכשיר ואינו ידוע לנו. שדות רגישים במיוחד — PIN, קוד שובר, מספר כרטיס ו-CVV — נחשפים כברירת מחדל רק לאחר זיהוי ביומטרי או קוד המכשיר; אפשר לכבות זאת בהגדרות ← פרטיות, באישור זיהוי.

הווידג'ט. אם הוספתם ווידג'ט למסך הבית או למסך הנעילה, הוא מציג שם בית עסק, סכום, תאריך וכמה ימים נותרו, ולעיתים גם את סך היתרות בארנק — ולא קוד, PIN, מספר כרטיס או CVV. הוא אינו פונה לרשת. שימו לב שווידג'ט במסך הנעילה נראה בלי לפתוח את המכשיר (סעיף 8.8 בתנאי השימוש).

פעילות חיה והצעות בקופה. כשמסך הקופה פתוח, אם הפעלתם "תזכורת לפי מיקום" והטלפון נמצא ליד בית עסק או בקניון ששילמתם בו, הטלפון עשוי להציג את שם בית העסק, שם השובר, הסכום והזמן שנותר — לעולם לא קוד. לשם כך האפליקציה קוראת את המיקום פעם אחת, במכשיר, כשמסך הקופה נפתח, ואינה שומרת אותו. ב-iOS הכרטיס מופיע במסך הנעילה, ב-Dynamic Island ובשעון המחובר ("פעילות חיה"). ב-Android הוא מופיע כהתראה קבועה במגירת ההתראות ובמסך הנעילה, עם הכפתורים "הצג בקופה" ו"סיימתי"; ב-Android 16 גם כהתראה מקודמת בראש המגירה, והסכום מופיע בשורת המצב. כדי להציע לכם את השובר בפעם הבאה שתגיעו לקופה, האפליקציה מוסרת למערכת ההפעלה של הטלפון את שם בית העסק, הסכום, המנפיק או שם השובר, כמה ימים נשארו והרשתות שמכבדות אותו — לעולם לא קוד — והטלפון שומר זאת אצלו, ועשוי להציע את השובר במסך הנעילה או בחיפוש. ב-iOS, Siri וקיצורי הדרך עשויים לענות מהרשימה הזו על "כמה יש לי ב-…" ו"מה נגמר השבוע", גם בקול. הרשימה נמחקת ביציאה מהחשבון, באיפוס הארנק וב"מחק הכל". דבר מזה אינו מגיע אלינו. אפשר לכבות זאת בהגדרות ← תזכורות ("השובר על מסך הנעילה בזמן הקנייה"), וב-Android גם בהגדרות ההתראות של הטלפון, ואת ההצעות בהגדרות Siri של הטלפון.

תזכורת לפי מיקום. אפשרות כבויה כברירת מחדל (הגדרות ← תזכורות). אם תפעילו אותה, האפליקציה תבקש הרשאת מיקום — ב-iOS "בזמן שימוש"; ב-Android, אחרי הסבר במסך, "כל הזמן", כי רק כך מערכת ההפעלה מעירה את האפליקציה כשמגיעים — ותזכור, אחרי תשלום במסך הקופה, את שם בית העסק ואת נקודת המיקום שבה שילמתם — במכשיר בלבד, עד 40 בתי עסק — ובנוסף קניונים מהקטלוג שקרובים למקומות האלה. מתוכם היא מוסרת למערכת ההפעלה (ב-Android: לשירותי המיקום של Google Play שבמכשיר) עד 20 אזורים עם התראה מוכנה מראש, ומערכת ההפעלה היא שמזהה את ההגעה ומציגה את ההתראה, גם כשהאפליקציה סגורה. האפליקציה אינה קוראת מיקום ברקע בעצמה, אינה עוקבת אחריכם ואינה יודעת היכן הייתם, אלא אם הקשתם על ההתראה. ההתראה נושאת שם בית עסק, שם השובר וסכום — לא קוד. המיקומים אינם נשלחים אלינו ולא לאף אחד אחר, ונמחקים כשמכבים את האפשרות, כשמתנתקים מהחשבון או במחיקת כל הנתונים.

הארנק המשותף. שובר שבחרתם לשתף עם ארנק משותף — ובתוכו היסטוריית השימוש בו, עם שם המשתמש של מי שמימש — קבלה שצירפתם לו או למימוש שלו, וכל הודעה בשיחת הארנק, נשמרים גם אצלנו — מוצפנים, במפתח שיש רק לחברי הארנק ואין לנו. איננו יכולים לקרוא אותם, גם לא לבקשת רשות. מה שכן גלוי לנו: מי חבר באיזה ארנק, מתי משהו התעדכן, מי קרא עד היכן, ולאיזה שובר ולאיזו תנועה שייכת כל קבלה ומי העלה אותה. ראו סעיף 7ב בתנאי השימוש.

שובר שנשלח לאדם אחר, והודעות לחברים. שובר ששלחתם לחבר, לשם משתמש או בשיחת הלוח נחתם במכשיר שלכם למפתח המכשיר של המקבל, ונשמר אצלנו בצורה המוצפנת הזו בלבד — עד שהמקבל מוסיף אותו, מסרב לו או מחזיר אותו — ואיננו יכולים לפתוח אותו. שובר שמסרתם בקישור נשמר אצלנו נעול במפתח שנמצא רק בקישור עצמו — לא אצלנו — עד שמישהו מוסיף אותו, מחזיר אותו או שאתם מבטלים את הקישור, ולכל היותר 30 יום. מי שמחזיק בקישור יכול לפתוח את השובר עד אז, ולכן שלחו אותו רק למי שהתכוונתם. הודעות שאתם כותבים לחברים, לעומת זאת, אינן מוצפנות מקצה לקצה: הן נשמרות אצלנו כפי שנכתבו (אחרי הסתרת רצפים הנראים כקוד), כדי להעבירן ולהציגן לשניכם. ראו סעיפים 7ד ו-8.7 בתנאי השימוש.

הגיבוי האוטומטי. האפליקציה שומרת עותק גיבוי מוצפן של הארנק — עם התמונות, הקבלות, ההעדפות ופרטי התשלום — ומעדכנת אותו אחרי כל שינוי, ולפחות פעם ביומיים גם כשהאפליקציה סגורה. העותק נשמר בטלפון, בתיקייה שגיבוי המכשיר שלכם (Apple או Google) נושא איתו, וגם מחוץ לאפליקציה: ב-iPhone בתיקייה של האפליקציה ב-iCloud Drive שלכם (אפשר לכבות בהגדרות ← גיבוי ושחזור), ובאנדרואיד בתיקייה שבחרתם בעצמכם. לכן העותק המוצפן עשוי להישמר אצל Apple, אצל Google או אצל מי שמחזיק את התיקייה שבחרתם, לפי מדיניות הפרטיות שלהם; העותק שמחוץ לאפליקציה נשאר שם גם אחרי הסרתה, עד שתמחקו אותו. הוא נפתח רק במפתח השחזור שלכם, שנשמר במכשיר (וב-iOS, אם לא כיביתם זאת בהגדרות ← גיבוי ושחזור, גם בחשבון Apple שלכם). העותק והמפתח אינם מגיעים אלינו, ואיננו יכולים לפתוח אותם.

מה שנובע מזה: מכיוון שאין ברשותנו מפתח, איננו יכולים לקרוא את הארנק שלכם — וגם לא לשחזר אותו עבורכם. אובדן המכשיר, איפוסו או הסרת האפליקציה עלולים לגרום לאובדן בלתי הפיך של הנתונים. הפעילו גיבוי. ראו סעיף 8.4 בתנאי השימוש.

4. זיהוי אוטומטי של קופונים

כשאתם משתפים הודעה, מצלמים או מדביקים טקסט, האפליקציה קוראת את הפריט במכשיר. כדי להשלים ולאמת את הקריאה — בעיקר בעברית — כל תמונה, כל הודעה וכל עמוד של קובץ שאתם מוסיפים נשלחים גם לקריאה אצל ספקי עיבוד חיצוניים (סעיף 9). השליחה נעשית רק באישור שלכם. מסך הפתיחה אומר שהשוברים נקראים בקריאה חכמה, והלחיצה על הכפתור שבו היא האישור, גם למי שבחר בעבר שלא לשלוח בלי לשאול. אפשר לכבות אותה בהגדרות ("לשלוח לקריאה בלי לשאול") בכל רגע. כשהיא דלוקה, כל פריט שהמכשיר לא קרא עד הסוף נשלח לקריאה מיד. כשהיא כבויה, האפליקציה עוצרת לפני כל פריט, מראה מה יישלח ומה לא, ואינה שולחת דבר עד שתאשרו — וכשמוסיפים כמה תמונות יחד, בשאלה אחת שמראה את כולן; ואפשר להדליק אותה שוב בהגדרות, או בשאלה שמופיעה בכל פעם שאתם מוסיפים שובר או קבלה, כל עוד לא אישרתם. בזמן הקריאה אפשר לעצור אותה ולשמור עם מה שהמכשיר קרא, או לצאת — והשובר יישמר כשהקריאה תסתיים.

נשלח אותו פריט בלבד — התמונה, עמוד הקובץ והטקסט שחולץ ממנו, או טקסט ההודעה, כולל מי נתן את השובר וברכה, אם הם כתובים בו — לא הארנק, לא תמונות אחרות ולא היסטוריה. התמונה או ההודעה מעובדת לצורך הקריאה בלבד. היא אינה נשמרת אצלנו; אצלנו נרשמים רק מונה שימוש ויומן טכני של אופן הקריאה — בלי תוכן ובלי מזהה (סעיף 6.2). הספקים — Google, OpenAI ו-Anthropic — מקבלים אותו מהשרת שלנו, בלי שמכם ובלי מזהה החשבון. הם אינם משתמשים בפריט לאימון, ועשויים לשמור עותק לתקופה קצובה, לזיהוי שימוש לרעה ולפי הדין בלבד. מי מקבל מה, היכן ולכמה זמן — בסעיף 9. מה שחוזר הוא שדות — שם חנות, סכום, תאריך, קוד, וקישור לשובר כשהוא מודפס בתמונה (סעיף 6.1). הקריאה נמשכת גם אם יצאתם מהמסך — ובחלק מהטלפונים גם מחוץ לאפליקציה — והתמונה נשמרת בינתיים במכשיר כטיוטה. כשהקריאה ברורה, השובר נשמר ומחכה לכם בארנק עם תמונת המקור, כדי שתבדקו ותתקנו; כשהיא לא ברורה, הוא מחכה לכם לבדיקה לפני השמירה. קריאה שלא הושלמה, למשל בלי רשת, נשלחת שוב פעם אחת.

כך גם צילום קבלה שאתם מצרפים לשובר או לרישום מימוש: אחרי הקריאה במכשיר הוא נשלח, באותם כללים (שאלה לפני כל קבלה, אלא אם אישרתם "לשלוח לקריאה בלי לשאול"), לספקי העיבוד שבסעיף 9, שקוראים ממנו את פרטי הקנייה — בית העסק והסניף, התאריך והשעה, הסכומים והפריטים, ופרטי התשלום המודפסים עליה (למשל ארבע הספרות האחרונות של הכרטיס ומספרי האישור והקבלה). הסכום מוצג לכם לאישור. הקבלה ופרטיה נשמרים מוצפנים במכשיר, לצד השובר או התנועה (סעיף 6.1), ובשובר של ארנק משותף גם אצלנו, נעולים לחברי הארנק (סעיף 6.2); אצלנו נרשמים מונה שימוש ויומן טכני בלבד.

5. חשבון וסנכרון

הארנק אינו מחייב חשבון. בהפעלה הראשונה נוצר עבורכם במערכת ההזדהות שלנו מזהה אקראי בלבד — בדרך כלל עוד לפני שהמסמכים מוצגים, כדי שאישורם יירשם מיד. כשאין חיבור, או שהשרת אינו עונה תוך שניות ספורות, הארנק נפתח בטלפון בלי מזהה, ואישור המסמכים נשמר בטלפון יחד עם שעת האישור לפי שעון הטלפון; כשהחיבור חוזר נוצר המזהה (או שאתם נכנסים לחשבון), והאישור נרשם עליו אצלנו — בלי שם, בלי דוא"ל ובלי טלפון — כדי שהקריאה המדויקת, רישום ההסכמה, ההתראות והצפייה בלוח יעבדו. מזהה שלא נעשה בו שימוש 90 יום נמחק מעצמו. חשבון נדרש לפרסום ובקשה בלוח, להתכתבות, לחברים ולהודעות, לשליחת שובר לשם משתמש ולקבלתו, לחיפוש GIF, לעדכוני הלוח ולארנק המשותף; ההתחברות מתבצעת דרך Sign in with Apple, Google או Facebook; איננו מנהלים סיסמאות ואיננו מקבלים אותן. לאחר ההתחברות, הארנק והקופה פועלים ברוב המצבים גם בלי חיבור לאינטרנט.

בלי חשבון נשמרים אצלנו המזהה האקראי, ולצדו פרטי החיבור (ראו "חיבור לשירות" בסעיף 6.2). עם פתיחת חשבון נשמרים מזהה משתמש, כתובת דואר אלקטרוני ושם התצוגה שמסר ספק ההזדהות; מה שנרשם על המזהה האקראי (אסימון התראות, אימות המכשיר, אישור המסמכים והפניות ששלחתם) עובר לחשבון והמזהה נמחק. תוכן הארנק — קופונים, שוברים, כרטיסי חבר מועדון, קודים, ברקודים ויתרות — נשמר במכשיר ואינו מגיע אלינו. הקודים, הברקודים, ה-PIN, מספרי הכרטיס וה-CVV השמורים בארנק אינם נשלחים אלינו בצורה קריאה בשום מצב, גם לא כשמפרסמים בלוח (תמונה או הודעה שאתם מוסיפים נשלחת לקריאה לפי סעיף 4); כששולחים שובר לאדם אחר הוא עובר דרכנו מוצפן למכשיר שלו, ואין לנו מפתח לפתוח אותו. מה שכן מגיע אלינו הוא מה שאתם עצמכם בוחרים לפרסם בלוח המסירה ומה שכרוך בו, והחברים וההודעות שלכם — סעיף 6.2. מי שמשתמש ב-Sign in with Apple ובוחר בהסתרת כתובת הדוא"ל יקבל כתובת ממסר של Apple, ורק היא תישמר אצלנו.

6. פירוט המידע, המטרה, הבסיס והתקופה

6.1 מידע שנשאר על המכשיר ואינו מגיע אלינו

תוכן הארנק — פריטים, קודים, ברקודים, PIN, מספרי כרטיס, CVV, יתרות, תמונות מקור, הערות, היסטוריית מימוש. תקופה: עד שתמחקו; בשובר שמסרתם לאדם אחר — פרטי השובר ותמונת המקור נמחקים מהמכשיר ברגע שהמקבל הוסיף אותו.
טיוטות — שובר שהתחלתם להוסיף ולא שמרתם, עם תמונת המקור שלו; טקסט שהדבקתם או ששיתפתם לאפליקציה; והודעה שכתבתם בשיחה ולא שלחתם — נשמרים מוצפנים במכשיר ובגיבוי המוצפן שלכם (סעיף 3), כדי שלא יאבדו. תקופה: עד שתשמרו, תשלחו או תמחקו אותם; הודעה שלא נשלחה — עד 30 יום.
העדפות ותצורה — שפה, ערכת נושא, נגישות, שעות שקט, מסננים שמורים. תקופה: עד הסרת האפליקציה; עותק בגיבוי שמחוץ לאפליקציה (סעיף 3) נשאר עד שתמחקו אותו שם.
המדינה של הארנק — כדי להציע את קטלוג המנפיקים, הרשתות ודפי היתרה של המדינה שהשוברים שלכם ממנה, האפליקציה קוראת במכשיר את הגדרת האזור של הטלפון, את אזור הזמן ואת שפת המכשיר — לא את מיקומכם, ובלי הרשאת מיקום — ומציגה לכם את הניחוש בהגדרות, שם אתם מאשרים אותו או בוחרים מדינה אחרת. הבחירה נשמרת כהעדפה במכשיר; אלינו מגיע רק קוד המדינה שנבחרה — אחת המדינות שיש להן קטלוג, או "אחרת" — בדיווח השימוש היומי, כשמתג "שיפור המוצר" דלוק (סעיף 6.2), ובשם קובץ הקטלוג שהאפליקציה מבקשת מהאתר. מדינת השובר נרשמת לצד כל פריט שנשמר, במכשיר, כדי שכרטיס שנקנה במדינה אחת ייפתח בדף היתרה הנכון גם אחרי מעבר. בסיס: אספקת השירות. תקופה: עד שינוי הבחירה או הסרת האפליקציה.
הכתבת מודעה — האודיו מומר לטקסט על ידי מערכת ההפעלה ואינו נשמר; בשפה שאינה נתמכת במכשיר ההמרה עשויה להיעשות אצל Apple או Google. אלינו מגיע רק הטקסט שתאשרו במודעה.
תזכורות — נבנות במכשיר ונמסרות למערכת ההפעלה.
מיקומי בתי עסק (תזכורת לפי מיקום) — שם בית העסק ונקודת מיקום, רק אם הפעלתם את האפשרות בהגדרות, ורק אחרי תשלום במסך הקופה. מטרה: להזכיר לכם שובר מתאים כשאתם חוזרים לאותו מקום. בסיס: הסכמתכם, הניתנת לביטול בכל עת. איפה: במכשיר בלבד; אינו מגיע אלינו. תקופה: עד כיבוי האפשרות, התנתקות או מחיקת כל הנתונים.
בדיקת יתרה באתר המנפיק — כשאתם לוחצים "עדכן יתרה", האפליקציה פותחת בתוכה את עמוד בירור היתרה של המנפיק וממלאת בו לבד את פרטי השובר כשהטופס מופיע (כשהמתג "נעילת קודים וכרטיסים" דלוק — אחרי זיהוי ביומטרי או קוד המכשיר); את הטופס שולחים אתם, בכפתור של האתר. הפרטים נמסרים ישירות לאתר המנפיק, לפי מדיניות הפרטיות שלו, ואינם מגיעים אלינו. היתרה — ורשימת העסקאות, אם הדף מציג כזו ובחרתם להוסיפה — נשמרות במכשיר ובגיבוי המוצפן שלכם (סעיף 3), ואינן מגיעות אלינו. על עצם השימוש במסלול נאספת מדידה ללא תוכן (סעיף 6.2).
בדיקת יתרה מיד כשמוסיפים שובר — רק אם הסכמתם (באישור מסך הפתיחה — דלוקה כברירת מחדל, אלא אם כבר עניתם שאינכם רוצים בה, ואפשר לכבות אותה בהגדרות; בהדלקת המתג "בדיקת יתרה מיד כשמוסיפים שובר" בהגדרות; או, אם השורה לא הוצגה לכם כי אזור הטלפון לא היה אז ישראל, בתשובה כן לשאלה "לבדוק יתרה מיד?" בשובר הראשון שמתאים), רק כשאזור הטלפון הוא ישראל, ורק בשובר שהוספתם לארנק האישי שלכם, אצל מנפיק שהקטלוג שלנו מאפשר אצלו את הבדיקה הזו: האפליקציה טוענת מהמכשיר, בלי להציג, את דף בדיקת היתרה של המנפיק, ממלאת בו את מספר השובר (ובדף שמבקש זאת גם את התוקף), שולחת את הטופס וקוראת את היתרה שהדף מציג. הפרטים נמסרים ישירות לאתר המנפיק, לפי מדיניות הפרטיות שלו, ואינם מגיעים אלינו. האפליקציה מציגה את היתרה שנמצאה, ומעדכנת את השובר רק באישור שלכם; עד שתענו היא שמורה רק במכשיר, ואחרי אישור היא נשמרת במכשיר ובגיבוי המוצפן שלכם (סעיף 3). בסיס: הסכמתכם, שאפשר לבטל בכל רגע בהגדרות. תקופה: מספר השובר והתוקף מוחזקים בזיכרון לזמן הבדיקה בלבד.
בדיקת יתרה מדף השובר — שובר בארנק האישי שנשמר עם קישור לדף שלו (כתובת https) — שהגיע כקישור, שהקישור נקרא ממנו, או שהוספתם לו קישור בהוספה או מדף השובר: האפליקציה פותחת את הדף הזה מהמכשיר וקוראת ממנו את היתרה והתוקף — בלי לחיצה ובלי לשלוח דבר אלינו — לכל היותר פעם בכעשרים שעות לכל שובר, מעצמה וכשאתם חוזרים לארנק, וגם כשאתם מרעננים את הארנק בעצמכם; ואם הסכמתם לבדיקת יתרה מיד כשמוסיפים שובר, גם ברגע שהשובר נשמר. כל זה רק כל עוד המתג "בדיקת יתרה מהקישור" בהגדרות דלוק, לא סירבתם לבדיקת יתרה מיד כשמוסיפים שובר ולא כיביתם אותה, ואזור הטלפון הוא ישראל. מעצמה האפליקציה פותחת רק קישור לאתר של מנפיק, או קישור שהגיע כטקסט — שהקלדתם, הדבקתם, או שהיה בהודעה או בקובץ שהוספתם — או במסירה; לא קישור מקוצר, קישור הפניה או קישור שנראה כמתחזה למנפיק. קישור אחר נפתח רק כשאתם מקישים עליו. דף באתר של חברת אשראי או של בנק, או באתר שביקש שלא נקרא ממנו, נקרא רק כשאתם מרעננים את הארנק בעצמכם. הפנייה מגיעה לאתר שבקישור בלבד, כפי שהייתה מגיעה אילו הקשתם על הקישור, לפי מדיניות הפרטיות שלו. את היתרה שנמצאה היא מציגה לכם, ומעדכנת רק מה שתאשרו; עד שתעברו עליה היא שמורה רק במכשיר. שינוי שאישרתם נשמר בשובר, ושינוי ביתרה של שובר שכבר רשום לו סכום נרשם גם בהיסטוריה שלו. קישור שנקראה ממנו יתרה שתאמה את הארנק או שאישרתם (קישור מאומת) עובר עם השובר כשאתם מוסרים אותו, כחלק מפרטי המסירה ובאותה הגנה שלהם; קישור שלא אומת נשאר אצלכם. תקופה: במכשיר ובגיבוי המוצפן שלכם (סעיף 3); אינו מגיע אלינו.
מסירת שובר בקוד QR או למי שעומד לידכם — השובר עובר חתום ישירות בין שני המכשירים — ב-iOS ברשת המקומית (Multipeer Connectivity), וב-Android דרך Nearby Connections של Google Play, בבלוטות' וב-Wi‑Fi — ואינו מגיע אלינו. כל עוד מסך הקבלה "לחבר לידי" פתוח, הטלפון שלכם גלוי לטלפונים סמוכים שפתוחים במסך המסירה, עם שם המשתמש שלכם (ואם עוד לא בחרתם שם משתמש — בלי שם) ותג של שלוש ספרות; החיפוש נעצר כשהמסך נסגר. אצלנו נרשם אישור המסירה בלבד (סעיף 6.2). תקופה: לא נשמר. (מסירה בקישור — סעיף 6.2.)
מילוי ב-Safari (iOS) — אם הפעלתם את התוסף של Click Coupon ב-Safari: כשעמוד תשלום מציג שדות כרטיס, התוסף מציע למלא אותם מהארנק. האפליקציה מציגה את הדומיין שביקש, מבקשת זיהוי ביומטרי, ומוסרת את מספר הכרטיס (או את קוד השובר), התוקף וה-CVV — ובעמוד שמבקש זאת גם את סוג הכרטיס, שנבחר ברשימה של העמוד לפי שם הכרטיס והמנפיק, ואת הסכום למימוש: היתרה שבארנק, ולא יותר מהסכום לתשלום שהעמוד מציג — לעמוד ההוא בלבד — לשלושים שניות, דרך אחסון משותף במכשיר שרק האפליקציה והתוסף שלה קוראים. אם שמרתם בהגדרות ("פרטים לתשלום") מספר תעודת זהות ומספר טלפון מאומת, הם נמסרים באותה פעולה — ורק אז — לשדות בעמוד שמבקשים אותם. לשם כך התוסף קורא מהעמוד את הסכום לתשלום ואת סוגי הכרטיסים שהוא מציע, ומעביר אותם לאפליקציה בתוך המכשיר בלבד; מלבד זאת הוא אינו שולח דבר לשום מקום מלבד שדות העמוד, ואלינו לא מגיע דבר. האפליקציה זוכרת במכשיר (ובגיבוי המוצפן שלכם, סעיף 3) את כתובת עמוד התשלום שאישרתם לכל חנות ואיזה כרטיס מילאתם בה לאחרונה, כדי להציע אותם בפעם הבאה. תקופה: נמחק מהאחסון המשותף בתום החלון.
המשך במכשיר אחר — כשעמוד תשלום או בירור יתרה פתוח באפליקציה, כתובת העמוד ושם בית העסק מוצעים למכשירי Apple האחרים שלכם באותו חשבון (Handoff), לפי הגדרות המכשיר; פרטי הכרטיס אינם עוברים בדרך זו, ואלינו לא מגיע דבר.
לוח ההעתקה — כשאתם מעתיקים קוד או מספר כרטיס (למשל כדי להעביר כרטיס לארנק התשלומים של הטלפון), הוא נשאר בלוח ההעתקה של הטלפון ונמחק ממנו אחרי כדקה, ברוב המכשירים. הוא אינו מגיע אלינו.
שובר בארנק של הטלפון (Apple Wallet או Google Wallet) — אם בחרתם להוסיף שובר לשם: נכנסים שם החנות; הסכום נכון לתאריך שכתוב עליו (ובשובר בלי סכום — שם השובר במקומו); התוקף, ובכרטיס בלי תאריך תוקף — החודש והשנה המודפסים עליו; והקוד או הברקוד. בשובר בלי קוד ובלי ברקוד נכנס במקומם מספר הכרטיס המלא, כברקוד וגם בכתב. ה-PIN וה-CVV, אם שמורים בשובר, נכנסים לגב הכרטיס בלבד — לא לחזית שלו ולא לברקוד. מיקום לא נכנס. ב-iPhone הכרטיס נבנה בטלפון, ואלינו נשלחת לחתימה רק טביעה מקוצרת שלו, שאי אפשר לשחזר ממנה את הקוד, את מספר הכרטיס, את ה-PIN או את ה-CVV; Apple שומרת עותק ב-iCloud שלכם, לפי מדיניות הפרטיות שלה. באנדרואיד האפשרות (Google Wallet) עדיין אינה זמינה בגרסה הנוכחית; כשתיפתח, הכרטיס יישמר אצל Google, שתראה גם את הקוד או את מספר הכרטיס, ואת ה-PIN וה-CVV אם נכנסו, לפי מדיניות הפרטיות שלה, ואלינו לא יגיע דבר. ב-iPhone, כשהסכום בארנק משתנה, האפליקציה בונה את הכרטיס מחדש עם הסכום והתאריך של אותו יום ומחליפה אותו מעצמה: בפעם הבאה שהקודים נפתחים מכל סיבה (הצגת קוד, קופה, מילוי), או, כשהאפליקציה פתוחה, אחרי השורה "לעדכן?" וזיהוי אחד; כשהמתג "נעילת קודים וכרטיסים" כבוי, העדכון נעשה מיד ובלי לשאול. כל עדכון נשלח שוב לחתימה כמתואר בסעיף 6.2. עד שהכרטיס מתעדכן, או אם העדכון לא הצליח, הוא מציג את הסכום שהיה בתאריך שכתוב עליו. האפליקציה מסירה את הכרטיס כשהשובר מומש, נמסר או נמחק, ביציאה מהחשבון וב"מחק הכל"; אחרי הסרת האפליקציה מסירים אותו בעצמכם. כל מי שפותח את הארנק של הטלפון רואה את הקוד או את מספר הכרטיס, ובגב הכרטיס גם את ה-PIN וה-CVV. תקופה: עד שהכרטיס מוסר מהארנק של הטלפון.
קבלות — צילום קבלה שצירפתם לשובר או לרישום מימוש נשמר מוצפן במכשיר (ובגיבוי המוצפן שלכם, סעיף 3), לצד השובר או התנועה, יחד עם הסכום שאישרתם והפרטים שנקראו ממנו, ונקרא לפי סעיף 4 (בשובר של ארנק משותף — גם אצלנו, סעיף 6.2). קבלה שצירפתם לתנועה שכבר נרשמה נקראת באותו אופן ומושווית לתנועה; ההבדלים מוצגים לכם, והתנועה משתנה רק באישורכם. תקופה: עד שתמחקו את התנועה או את הקבלה.
תנאים שתורגמו (Android) — כשאתם מתרגמים את תנאי השובר בדף השובר (סעיף 7), התרגום נשמר במכשיר יחד עם השפה שאליה תורגם, כדי שלא יתורגם שוב. הוא אינו נכלל בגיבוי ואינו מגיע אלינו. גם חבילות השפה שהורדו מ-Google נשמרות במכשיר, ואפשר למחוק אותן בהגדרות ← שפה ומדינה ("מחק חבילות תרגום"). תקופה: התרגומים נשמרים עד הסרת האפליקציה, גם אחרי מחיקת השובר או "מחק הכל". חבילות השפה נשמרות עד שתמחקו אותן או עד הסרת האפליקציה.
פרטים לתשלום — אם בחרתם לשמור בהגדרות מספר תעודת זהות ומספר טלפון, כדי שעמודי תשלום שמבקשים אותם ימולאו יחד עם הכרטיס: תעודת הזהות נשמרת מוצפנת במכשיר כמו מספר כרטיס ונפתחת רק בזמן המילוי, באותו זיהוי; מספר הטלפון נשמר במכשיר רק אחרי שאומת בקוד (סעיף 6.2). שניהם נמסרים רק יחד עם כרטיס שבחרתם, רק לשדות של העמוד שבחרתם, ואינם מגיעים אלינו. שניהם נכללים בגיבוי המוצפן שלכם (סעיף 3) — תעודת הזהות נעולה כפי שהיא — ונפתחים רק במפתח השחזור. בסיס: הסכמתכם — שמירה מרצון, וניתנת להסרה בכל עת. תקופה: עד שתסירו אותם או תמחקו את כל הנתונים.

6.2 מידע שמגיע אלינו — לפי הפונקציה שהפעלתם

זו הרשימה המלאה. רוב הפריטים נאספים רק אם השתמשתם בלוח המסירה או בארנק המשותף; מי שאינו משתמש בהם — נאספים עליו רק פרטי החשבון, המדידה ויומני התפעול.

פרטי חשבון — מזהה משתמש, כתובת דוא"ל ושם תצוגה מספק ההזדהות, וקישור לתמונת הפרופיל, אם ספק ההזדהות מסר אותו (איננו משתמשים בו). מטרה: הזדהות, ומשלוח הודעות שירות — אלא אם כיביתם אותן (ראו "הודעות שירות במייל" להלן). בסיס: ביצוע ההתקשרות. תקופה: עד מחיקת החשבון. היום לשרת אין גיבויים. אם יתווספו, נעדכן כאן לכמה זמן.
בקשת מחיקה דרך Facebook — מי שהתחבר דרך Facebook יכול לבקש את מחיקת המידע שלו אצלנו גם מתוך הגדרות Facebook (הגדרות ופרטיות ← אפליקציות ואתרים ← Click Coupon). Meta מעבירה אלינו את הבקשה עם מזהה המשתמש שלכם אצלה, ואנו מוחקים את החשבון כולו ואת כל מה שקשור אליו בשרת, כמו במחיקת חשבון מתוך האפליקציה (סעיף 14), גם אם התחברתם אליו גם בדרך אחרת. הארנק שבמכשיר אינו נמחק בדרך זו. על כל בקשה כזו נשמרים אצלנו רק קוד אישור, מועד הבקשה והאם נמצא חשבון, בלי שם, בלי דוא"ל ובלי מזהה. מטרה: מענה ל-Meta ולמבקש על מצב הבקשה, בעמוד שהקישור אליו נמסר דרך Facebook. בסיס: חובה כלפי Meta ומימוש זכות המחיקה. תקופה: שנה, ואז הרישום נמחק מעצמו.
הודעות שירות במייל (דלוק לבעלי חשבון · אפשר לכבות) — לכתובת הדוא"ל של החשבון נשלחות הודעות שירות בלבד: שינוי במסמכים האלה, הודעת אבטחה, תקלה או שינוי שנוגעים לחשבון שלכם, והודעה על הפסקת השירות או על שינוי מהותי בו. לא פרסומות, לא הצעות ולא עדכונים על תכונות חדשות. ההודעות דלוקות כברירת מחדל לבעלי חשבון, ומתוארות במדיניות זו, שמאשרים במסך הפתיחה — אלא אם כבר כיביתם אותן — ואפשר לכבות אותן בהגדרות; מי שכבר ענה שאינו רוצה בהן — נשאר כך. אצלנו נרשמת כל תשובה כשורה חדשה, והתשובה האחרונה היא הקובעת. נרשמים: דלוק או כבוי, מתי, היכן ניתנה התשובה (מסך אישור המסמכים או ההגדרות), גרסת המסמכים, גרסת האפליקציה, והאם זו ברירת המחדל או בחירה שלכם; הכתובת עצמה אינה מועתקת לשום רשימה נפרדת, ונמסרת רק לספק הדואר שלנו לצורך המשלוח. בסיס: אספקת השירות — הודעות על החשבון ועל המסמכים שאישרתם — עם אפשרות לכבות בכל רגע בהגדרות, ובכל הודעה יש דרך להסרה. תקופה: המשלוח נמשך עד שתכבו. רישום התשובות נשמר עד מחיקת החשבון; רישום בלי שם, בלי דוא"ל ובלי מזהה החשבון — רק המצב, הגרסה והמועד — נשמר עד תום תקופת ההתיישנות, כמו רישום אישור המסמכים. אפשר לשייך אותו לחשבון רק מי שכבר יודע את מזהה החשבון.
ארנק בלי חשבון — מזהה אקראי בלבד, בלי דוא"ל ובלי שם. מטרה: קריאה מדויקת, רישום ההסכמה, התראות ומדידת השימוש. בסיס: אספקת השירות. תקופה: עד פתיחת חשבון (ואז הוא נמחק) או 90 יום מהשימוש האחרון.
חיבור לשירות — לכל חיבור, גם של ארנק בלי חשבון, שרת ההזדהות שומר כתובת IP וסוג מכשיר. מטרה: אבטחה וניהול החיבור. בסיס: אבטחת המאגר. תקופה: עד שתתנתקו או תמחקו את החשבון. ארנק בלי חשבון שלא היה בשימוש 90 יום נמחק יחד עם החיבור שלו.
עדכוני לוח — שמות המנפיקים (עד עשרה) שביקשתם לקבל התראה כשתעלה להם מודעה. בסיס: הסכמה — ביוזמתכם, וניתן להסרה בכל רגע. תקופה: עד שתסירו או עד מחיקת החשבון.
אימות מכשיר — לפני קריאה מדויקת, בחתימת שובר ל-Apple Wallet, ובבדיקת יתרה בלוח המסירה, המכשיר מוכיח, באמצעות מנגנון האימות של ספק מערכת ההפעלה (App Attest ב-iOS, Play Integrity ב-Android), שהוא מכשיר אמיתי שמריץ את האפליקציה המקורית. אצלנו נשמרים המפתח הציבורי שהמכשיר יצר לשם כך, תוצאת האימות שמסר ספק מערכת ההפעלה ומועדיה — לא מזהה מכשיר קבוע ולא תוכן. בסיס: אבטחת המאגר ומניעת הונאה. תקופה: עד מחיקת החשבון; אתגרי האימות עצמם פגים בתוך דקות ונמחקים בניקוי יומי.
פניות תמיכה — כתובת הדוא"ל ותוכן ההתכתבות. מטרה: מענה. בסיס: העיבוד נדרש למענה שביקשתם (סעיף 8(ב) לחוק). תקופה: עד 24 חודשים.
משוב מתוך האפליקציה — ההודעה שכתבתם, סוג הפנייה, גרסת האפליקציה, סוג המכשיר, השפה ומזהה החשבון; בדיווח על תקלה גם יומן תקלות שממנו הוסרו קודים ופרטים מזהים. נשלח רק כשאתם לוחצים "שלח". בסיס: הסכמה. תקופה: עד 24 חודשים.
פניות — מה שכתבתם, סוג הפנייה וכתובת המייל לתשובה, אם מסרתם; ובפנייה ובתשובה מהאפליקציה — גם גרסת האפליקציה ומערכת ההפעלה. מהאפליקציה או מטופס באתר. מטרה: לטפל בפנייה. נשמרות בשרת שלנו. רק המפעיל קורא את התוכן, וכל פתיחה ותשובה נרשמות. לפנייה ששלחתם מהאפליקציה אנחנו יכולים לענות: התשובה נשמרת עם הפנייה, ובחשבון מחובר שאישר התראות מגיעה גם התראה שאומרת רק שענינו, בלי תוכן התשובה. את התשובה קוראים באפליקציה, ב"הפניות שלי", ושם אפשר לענות לה — קודים ומספרים ארוכים אינם נשלחים — או לסגור את הפנייה. התשובות, שלנו ושלכם, נשמרות עם הפנייה ונמחקות איתה, ורק המפעיל ואתם קוראים אותן. לפנייה מטופס באתר עונים במייל. בטופס באתר נשמר גם hash של כתובת הרשת, ליומיים, רק כדי לחסום הצפה. תקופה: כמו שאר המשוב.
דיווח טכני על אתר של מנפיק — כשבדיקת יתרה לפני פרסום בלוח מילאה את מספר השובר באתר המנפיק ולא הצליחה לקרוא ממנו יתרה, נשלח אלינו מעצמו דיווח אחד ביום לכל אתר: מזהה המסלול והכתובת של האתר כפי שהם בקטלוג שלנו, כמה שדות מולאו, האם הטופס נשלח וכמה שניות המסך נשאר פתוח, עם גרסת האפליקציה, סוג המכשיר, השפה ומזהה החשבון. לא נשלחים: סכום, קוד, מספר כרטיס, כתובת עמוד מלאה או טקסט מהעמוד. המסך אומר שהדיווח נשלח. מטרה: לתקן את הקריאה מול אותו אתר. בסיס: אספקת השירות ותחזוקתו — חלק מהבדיקה שביקשתם. תקופה: עד 24 חודשים, כמו משוב.
שם המשתמש — השם שבחרתם. גלוי לכל מי שמשתמש באפליקציה, גם בלי חשבון — מי שרואה מודעה שלכם, מתכתב איתכם או מחפש אותו בשמו — ולצדו גם המזהה האקראי של החשבון; הדוא"ל והשם מספק ההזדהות אינם מוצגים לאיש. שם שוויתרתם עליו נעול לאחרים 30 יום כדי שלא ייתפס מיד; הרישום שלו נמחק בניקוי תקופתי, ובכל מקרה במחיקת החשבון. בסיס: ביצוע ההתקשרות. תקופה: עד מחיקת החשבון.
לוח המסירה — המודעה — המנפיק, סוג הפריט, הכותרת, היתרה, התוקף, הערה שכתבתם, מחיר משוער אם ציינתם, האם הפריט מקוון, המדינה והאזור הכללי, ואם סימנתם שבדקתם יתרה — מועד הבדיקה והסכום. לא נשלחים: הקוד, הברקוד, ה-PIN, מספר הכרטיס וה-CVV. בסיס: הסכמה — הפרסום ביוזמתכם, וניתן להסרה בכל רגע. תקופה: עד שתסירו את המודעה, ולאחר מכן עד 12 חודשים לטיפול בדיווחים.
בקשות והתכתבות — איזו מודעה ביקשתם ומתי, אם הבקשה אושרה, מה נקרא, ותוכן ההודעות שכתבתם. רצפי ספרות ארוכים הנראים כקוד או כמספר כרטיס מוסתרים ואינם נשמרים כפי שהם; קוד המורכב מאותיות בלבד אינו מזוהה, ולכן אל תשלחו קודים בהתכתבות. בסיס: ביצוע ההתקשרות. תקופה: עד מחיקת המודעה או החשבון; במחיקת חשבון — חוץ מעותק שנשמר כשיש דיווח ("שמירה בגלל פנייה" להלן).
דירוגים, חסימות ודיווחים — הציון וההערה שנתתם, מי שחסמתם, ודיווחים שהגשתם. הדירוג וההערה מוצגים בפומבי לצד שם המשתמש של מי שדורג וקריאים לכל מי שמשתמש באפליקציה, גם בלי חשבון, יחד עם שם המדרג; חסימה ודיווח אינם מוצגים לצד השני ואינו מקבל עליהם הודעה (מי שנחסם עשוי להסיק זאת מכך שהמודעות שלכם נעלמו לו). בסיס: העיבוד נדרש להפעלת לוח בטוח, שהוא השירות שביקשתם (סעיפים 2(9) ו-8(ב) לחוק). תקופה: עד מחיקת החשבון; דיווח — עד 12 חודשים.
דיווח על משתמש מתוך שיחה — מי דיווח, על מי, באיזו שיחה (עם חבר, או בלוח ועל איזו מודעה), סיבה מרשימה סגורה, מתי, ואיך טופל. הדיווח אינו מוצג לצד השני. לצורך הבחינה בלבד אנו מעיינים ב-12 השורות האחרונות של אותה שיחה. בסיס: העיבוד נדרש להפעלת שירות בטוח ולאכיפת התנאים (סעיף 8(ב) לחוק). תקופה: עד 12 חודשים; מחיקת חשבון המדווח מוחקת את הדיווח, חוץ מעותק שנשמר כשנמחק חשבון שיש עליו דיווח ("שמירה בגלל פנייה" להלן).
מזהה מכשיר בבקשה — כשאתם מבקשים פריט מהלוח, נשלח עם הבקשה מזהה של המכשיר שלכם, כדי שקישור המסירה ייפתח רק בו. המוסר מקבל אותו; איננו משתמשים בו מעבר לכך. בסיס: ביצוע ההתקשרות. תקופה: עד מחיקת הבקשה או החשבון.
מפתח המכשיר — מפתח ציבורי שהמכשיר האחרון שבו השתמשתם יצר, כדי שמי שמוסר לכם שובר יוכל לחתום אותו למכשיר שלכם בלבד. הוא נמסר רק למי ששולח לכם שובר, ולמי שאתם שולחים לו שובר — בתוך השובר הנעול, כדי ששניכם תראו את אותן ספרות ביטחון — ואינו מאפשר לקרוא דבר. בסיס: ביצוע ההתקשרות. תקופה: עד שמכשיר אחר מחליף אותו או עד מחיקת החשבון.
קישור מסירה חד-פעמי — השובר, נעול במכשיר שלכם במפתח שנמצא רק בקישור ולכן בלתי קריא לנו; המזהה של מי ששלח (חשבון או מזהה אקראי) ושל מי שהוסיף אותו, ומועדי ההוספה, ההחזרה, הביטול או הפקיעה; המועד שבו השובר נפתח לראשונה באפליקציה בידי מי שאינו השולח (בלי זהותו), המועד שבו מי שפתח אותו בדפדפן לחץ "קיבלתי", ומתי נשלחה לשולח הודעה שהשובר עוד לא נוסף. מי שמחזיק בקישור יכול לפתוח את השובר — גם בדפדפן, בעמוד שבאתר שלנו — עד שמישהו מוסיף אותו. מטרה: להעביר את השובר פעם אחת, להראות לשולח היכן השובר עומד, ולשאול אותו מה לעשות כשלא נלקח. בסיס: ביצוע ההתקשרות. תקופה: העותק הנעול נמחק ברגע שהשובר נוסף, הוחזר או בוטל, ולכל היותר אחרי 30 יום; שאר הרישום — עד 90 יום מיצירת הקישור.
שובר שנשלח לאדם אחר (לחבר, לשם משתמש, או לפי מודעת "מחפש") — השובר כפי שנחתם במכשיר השולח למפתח המכשיר של המקבל, ולכן בלתי קריא לנו; מי שלח, למי, מתי, והאם נוסף, סורב, התבקש בחזרה או שהשולח ביטל את השליחה; מתי המקבל פתח אותו לראשונה, מתי נשלחה לו תזכורת, ומתי נשלחה לשולח הודעה שהשובר עוד לא נוסף. מטרה: להעביר את השובר, להודיע לשני הצדדים ולהראות לשולח היכן השובר עומד. בסיס: ביצוע ההתקשרות. תקופה: העותק המוצפן נמחק ברגע שהשובר נוסף, סורב, הוחזר או שהשולח ביטל את השליחה; רישום המסירה עצמו (בלי השובר) נמחק 90 יום מיום השליחה. מסירה שעוד לא הסתיימה עד אז נמחקת בלילה שאחרי שהסתיימה. בכל מקרה הרישום נמחק כשהשולח או המקבל מוחקים את החשבון. שובר שלא נענה ממתין למקבל.
מסירה בשיחת הלוח — השובר חתום למכשיר המבקש, באותה צורה בלתי קריאה; במסירה "אחרי תשלום" הוא שמור כך שאיש אינו יכול לקבל אותו עד שהמוסר משחרר; מועדי השליחה, השחרור, ההוספה ובקשת ההחזרה. בסיס: ביצוע ההתקשרות. תקופה: העותק המוצפן נמחק כשהשובר נוסף או חזר; שובר שנשלח "אחרי תשלום" ולא נוסף 7 ימים אחרי שחרורו, או שבקשת החזרה עליו לא נענתה 7 ימים, חוזר למוסר; שובר שנשלח "מיד" ממתין למקבל; שאר הרישום — כמו ההתכתבות.
פרטי המוסר אחרי מכירה בלוח — אחרי מסירה במחיר שאושרה בלוח, נשמרים מזהה החשבון של המוסר, מספר הטלפון המאומת שלו, מזהה המודעה, המחיר שבוקש בה ומועד המכירה, גם אם מחק את החשבון. מטרה: לאפשר לקונה שנפגע לפעול נגד המוסר, ולהגן עלינו בהליך. בסיס: אינטרס לגיטימי ושמירת ראיות. הפרטים נשמרים בנפרד ונמסרים רק מול תביעה או צו. תקופה: שנה מהמכירה.
בדיקות יתרה בלוח — הסכום שנקרא מעמוד המנפיק במכשיר של מי שבדק, סוג הבדיקה (בפרסום, לבקשת הצד השני, בשחרור או אחרי קבלה), האם נחתמה באימות המכשיר, הפלטפורמה, המועד, ולאיזו מודעה ושיחה היא שייכת. הסכום מוצג לצד השני בשיחה, והבדיקה שבפרסום — גם במודעה. בדיקה אחרי קבלה שנמצאה נמוכה מהמפורסם נרשמת כמחלוקת ופותחת דיווח. מטרה: לוח בטוח ומניעת הונאה. בסיס: ביצוע ההתקשרות ואינטרס לגיטימי במניעת הונאה (סעיף 8(ב) לחוק). תקופה: עד מחיקת המודעה או החשבון.
אישור קבלה של שובר שמסרתם — מזהה אקראי שעובר בתוך השובר, בכל דרכי המסירה (קישור, קוד QR ומסירה למי שעומד לידכם); כשהמקבל מוסיף אותו — או מחזיר אותו אליכם — מכשירו מדווח על כך ומועד הדיווח נרשם, ואתם מקבלים הודעה כשהמסירה רשומה אצלנו. כשאין חיבור בזמן המסירה, המזהה נוצר בטלפון ונרשם אצלנו כשהחיבור חוזר. במסירה בקוד QR ולמי שעומד לידכם נרשם גם אם ביקשתם לדעת כשהשובר לא נוסף, ומתי נשלחה לכם על כך הודעה; וכשהשובר מגיע לטלפון של מקבל שמחובר לחשבון, נרשם גם החשבון שמחזיק בו — רק כדי שהתזכורת שתשלחו תגיע אליו — ומתי נשלחה תזכורת. החשבון הזה אינו מוצג לאיש, ונמחק כשהשובר נוסף או הוחזר. בלי פרטי השובר. עמוד האתר של קישור מגרסה קודמת שואל לפי אותו מזהה אם השובר כבר נוסף, כדי להפסיק להציג את הקוד. תקופה: עד 90 יום.
חברים — מי ביקש חברות ממי, מתי, והאם אושרה, סורבה או הוסרה. שם המשתמש שלכם גלוי למי שמחפש אותו כדי להוסיף אתכם. בסיס: ביצוע ההתקשרות. תקופה: עד הסרת החברות או מחיקת אחד החשבונות.
הודעות לחברים — תוכן ההודעות שכתבתם (עד 500 תווים; רצפי ספרות ארוכים הנראים כקוד או כמספר כרטיס מוסתרים במכשיר ובשרת ואינם נשמרים כפי שהם), GIF ששלחתם — כהפניה לקובץ אצל ספק ה-GIF בלבד — מי כתב למי ומתי, ועד היכן כל צד קרא. ההודעות אינן מוצפנות מקצה לקצה, וגלויות לשני הצדדים ולנו; נעיין בהן רק לטיפול בדיווח או לפי דין. בסיס: ביצוע ההתקשרות. תקופה: עד שאחד הצדדים מוחק את חשבונו — ואז נמחקת השיחה כולה, חוץ ממה שנשמר בגלל דיווח, כולל העותק שנשמר במחיקת חשבון שדווח ("שמירה בגלל פנייה" להלן) ("שמירה בגלל פנייה" להלן); אין מחיקה אוטומטית אחרת.
חיפוש GIF — המילים שחיפשתם עוברות דרך שרת שלנו אל ספק ה-GIF (KLIPY, סעיף 9), יחד עם שפת האפליקציה — בלי החשבון שלכם ובלי כתובת ה-IP שלכם; אנחנו לא שומרים אותן. קובץ ה-GIF עצמו נטען בטלפון ישירות מהשרת של הספק, ולכן הספק מקבל את כתובת ה-IP שלכם ואת הקובץ שנטען, לפי מדיניות הפרטיות שלו. אנו מבקשים מהספק קבצים בלבד, בסינון התוכן המחמיר ביותר שלו, ואיננו מציגים פרסומות שלו. בסיס: ביצוע ההתקשרות — החיפוש ביוזמתכם. תקופה: אצלנו — לא נשמר.
הסכם המסירה — מזהה החשבון, מזהה המודעה, הצד שאתם בו, גרסת הנוסח ומועד האישור. בסיס: ביצוע ההתקשרות והוכחתה. תקופה: עד שבע שנים או עד מחיקת החשבון — המוקדם; לאחר המחיקה נשאר רישום בלי שם, בלי דוא"ל ובלי מזהה החשבון — רק הגרסה והמועד — עד תום תקופת ההתיישנות.
אישור המסמכים — כשאתם מאשרים את המסמכים בכניסה לאפליקציה נרשמים מזהה החשבון, גרסת המסמכים, גרסת האפליקציה מועד האישור כפי שנמדד בטלפון, ומועד הרישום לפי שעון השרת. אישור שניתן בלי חיבור נשמר בטלפון עד שנוצר מזהה או שנכנסים לחשבון, ואז נרשם עליו; במקרה זה מועד הרישום בשרת הוא מועד החיבור, ומועד האישור הוא זה שנמדד בטלפון. בסיס: ביצוע ההתקשרות והוכחתה. תקופה: עד מחיקת החשבון; לאחריה נשאר רישום כמו בהסכם המסירה: בלי שם, בלי דוא"ל ובלי מזהה החשבון — רק הגרסה והמועד. אפשר לשייך אותו לחשבון רק מי שכבר יודע את מזהה החשבון.
מספר טלפון מאומת — כשפרסום או בקשה מותנים באימות טלפון, המספר שתזינו מאומת בקוד חד-פעמי ב-SMS ונשמר במערכת ההזדהות שלנו בלבד. המספר אינו מוצג לאף משתמש אחר, בשום מסך ובשום שלב, ואינו נמסר לצד שלישי אלא לפי צו של בית משפט, כשהדין מחייב אותנו למסור אותו, או כשיש סכנה מיידית לחיי אדם. מי שאינו משתמש בלוח אינו נדרש למספר כלל. המנגנון קיים; הדרישה כבויה כיום ותופעל רק עם הודעה במסך שמבקש את המספר. בסיס: הודעה מפורשת במסך המבקש את המספר (סעיף 11 לחוק), לצורך הפעלת הלוח כשירות בטוח. תקופה: עד מחיקת החשבון.
אימות מספר לתשלום — כשאתם מאמתים בהגדרות מספר טלפון ל"פרטים לתשלום", המספר נשלח אלינו כשאתם מבקשים קוד, ושוב יחד עם הקוד שהקלדתם, כדי שספק ה-SMS (סעיף 9) ישלח אליו את הקוד וכדי שנבדוק אותו. אצלנו נשמרים, לצורך הבדיקה ולצורך הגבלת מספר הקודים לשעה וליום, רק המזהה של מי שביקש את הקוד (החשבון, או המזהה האקראי של ארנק בלי חשבון), גיבוב מפתוח של המספר, גיבוב של הקוד, מונה ניסיונות ומועדי השליחה, התפוגה והאימות — לא המספר עצמו ולא הקוד. הקוד תקף לעשר דקות. המספר עצמו נשמר במכשיר בלבד (סעיף 6.1) ואינו נרשם בחשבון. בסיס: הסכמה — הפעולה יזומה על ידיכם. תקופה: הרשומה נמחקת אוטומטית עד שלושה ימים מהשליחה, ובמחיקת החשבון — מיד.
חתימת שובר ל-Apple Wallet — כשאתם מוסיפים שובר ל-Apple Wallet, וכשהאפליקציה מעדכנת את הסכום על כרטיס שכבר נמצא שם (סעיף 6.1), השרת שלנו חותם על טביעה מקוצרת של הכרטיס (סעיף 6.1), ואינו רואה את הקוד, את מספר הכרטיס, את ה-PIN, את ה-CVV או את השובר. נרשם רק מי ביקש חתימה ומתי, כדי להגביל את מספר החתימות. בסיס: אספקת השירות ואבטחתו. תקופה: יומיים.
השעיה מהלוח — מזהה החשבון, הסיבה ומועד סיום ההשעיה. בסיס: אכיפת התנאים שאישרתם (סעיף 8(ב) לחוק). תקופה: עד 24 חודשים מתום ההשעיה.
יומן פעולות הניהול — איזו פעולה נעשתה, על איזה חשבון או מודעה, מתי ומדוע (למשל הסתרת מודעה או השעיה). מטרה: בקרה על פעולות המנהלים. בסיס: אבטחת המאגר. תקופה: עד 24 חודשים מהפעולה, גם אחרי מחיקת החשבון — חוץ מרשומות על חשבון שנשמר לגביו עותק בגלל דיווח, שנשמרות כל עוד העותק נשמר ("שמירה בגלל פנייה" להלן).
קריאה של תמונה או הודעה — כמתואר בסעיף 4: הפריט בלבד, אינו נשמר אצלנו, ומועבר לספקי העיבוד שבסעיף 9 (Google, OpenAI ו-Anthropic). אצלנו נשמרים מונה שימוש לכל חשבון (בלי תוכן), רישום עלות ללא מזהה חשבון, ויומן טכני לכל פריט — סוג הפריט, גרסת האפליקציה ומערכת ההפעלה, התוצאה, הזמן, ושמות שדות שהקוראים חלקו עליהם (לא ערכיהם) — בלי מזהה חשבון ובלי תוכן. בסיס: הסכמה — אישור מסך הפתיחה, שבו כתוב שהשוברים נקראים בקריאה חכמה, או "לשלוח לקריאה בלי לשאול" בהגדרות, וכשהיא כבויה — האישור לפני כל פריט; ניתנת לביטול בכל רגע. תקופה: התוכן — לא נשמר; מונים — עד שבעה ימים; רישום העלות והיומן — עד 90 יום. כשהקוראים הראשונים מסכימים על הקוד, הסכום והתוקף, התשובה חוזרת בלי לחכות לקורא האחרון, והוא ממשיך לקרוא אחריה; התוצאה של ההשוואה שלו — מסכים או לא, ושמות השדות שקרא אחרת, בלי ערכים — נשמרת אצלנו, מקושרת לחשבון, שבעה ימים, כדי שהאפליקציה תסמן "כדאי לבדוק" על שובר שקרא אחרת.
פריט משותף — שובר ששיתפתם עם ארנק משותף, מוצפן במפתח הארנק, ובתוכו היסטוריית השימוש בו ושם המשתמש של מי שמימש. בסיס: הסכמה, לפי פריט. תקופה: לקיחה בחזרה מסמנת את הרשומה המוצפנת כמוסרת, והיא נמחקת בניקוי תקופתי. כך גם ביציאה מהארנק כשבחרתם לקחת איתכם את מה ששיתפתם, וכשבעל הארנק הסיר אתכם. מה שבחרתם להשאיר לשאר החברים נשאר בארנק. מחיקת החשבון מוחקת את הרשומה אצלנו, אבל עותק שכבר נמצא בטלפונים של שאר החברים נשאר שם. אנחנו רואים: טקסט מוצפן בלבד.
קבלה בארנק משותף — צילום קבלה שצירפתם לשובר משותף או למימוש שלו, עם הסכום שאישרתם והפרטים שנקראו ממנו, נעול במכשיר במפתח הארנק ונשמר אצלנו כקובץ שאיננו יכולים לקרוא. גלוי לנו רק לאיזה ארנק, שובר ותנועה הוא שייך ומי העלה אותו. מי רואה: חברי הארנק בלבד. בסיס: הסכמה — השיתוף בארנק ביוזמתכם. תקופה: עד שחבר בארנק מוחק את הקבלה או את המימוש שלה, עד שהשובר נלקח בחזרה, או עד שהארנק נסגר. מחיקת החשבון אינה מוחקת אותה — היא נשארת אצל שאר החברים, כמו הודעה בשיחת הארנק.
הודעה בשיחת הארנק המשותף — תוכן ההודעה ושאלת הסקר — מוצפנים; התגובה (אמוג'י), ההצבעה שלכם בסקר ולמי ההודעה ממוענת — גלויים לנו; ומזהה הכותב. בסיס: הסכמה. תקופה: עד שחבר בארנק מוחק את ההודעה, ולכל המאוחר עד 30 יום אחרי שהארנק נסגר. ארנק נסגר כשהחבר האחרון יוצא ממנו או מוחק את חשבונו, ובתום 30 הימים הוא נמחק אצלנו עם כל השיחה. אם בעל הארנק בחר בהגדרות הארנק 'הודעות נעלמות' (יום, שבוע או 90 יום), הודעות טקסט וסקרים ישנים מהזמן שנבחר נמחקים אצלנו, עם התגובות וההצבעות שעליהם, בפעם הבאה שאחד החברים פותח את הארנק. שורות שימוש ושורות מערכת אינן נמחקות כך, כי הן הרישום של הארנק. מחיקת החשבון מנתקת את ההודעות משמכם אך אינה מוחקת אותן מהשיחה של שאר החברים.
דיווח על ארנק משותף — הסיבה, וקטע מהשיחה שבחרתם לצרף — בטקסט קריא. בסיס: הסכמה — הצירוף הוא בחירתכם. תקופה: עד 12 חודשים.
חברות בארנק משותף — מזהה הארנק, שמו (גלוי לנו — הוא מופיע בהתראות ובמסך ההצטרפות), תפקידכם, מי הזמין את מי, בקשות הצטרפות, ההשתקה שבחרתם, ועד היכן קראתם. בסיס: ביצוע ההתקשרות. תקופה: עד עזיבת הארנק או מחיקת החשבון.
מזהה התראות — מזהה שמערכת ההפעלה מנפיקה למכשיר לצורך שליחת התראות, קשור לחשבון, ושפת האפליקציה (כדי לנסח את ההתראה). נוצר לחשבון מחובר שאישר התראות, ומשמש להתראות הלוח, החברים וההודעות, השוברים שנשלחו אליכם, הארנק המשותף והתשובות לפניות שלכם (סעיף 8). בסיס: הסכמה. תקופה: עד כיבוי ההתראות, החלפת מכשיר או מחיקת החשבון. אינו משמש לפרסום או למעקב.
הצעות ממומנות (בהסכמה נפרדת · מקושר לחשבון) — אם הדלקתם בהגדרות את המתג "רישום תגובה להצעות ממומנות" (הוא כבוי עד שתדליקו אותו), ומתג "שיפור המוצר" דלוק, נרשם על החשבון שלכם מה קרה עם כל הצעה: איזו הצעה, באיזה מקום באפליקציה, מה נעשה בה (הוצגה, נפתחה, איזה פרט נלחץ, הוסתרה, קופון נשמר, דווחה — והסיבה שבחרתם), ומתי. בארנק בלי חשבון הרשומה קשורה למזהה האקראי בלבד ונמחקת איתו. אם נסיר הצעה מהצגה לחשבונכם בעקבות דיווח או תלונה, נרשמת אצלנו הסרה כזו עם הערה קצרה שלנו, עד מחיקת החשבון. איזו הצעה תוצג נבחר במכשיר בלבד לפי מה שיש בארנק, ולרישום מצורפת רק דרגת התאמה — "גבוהה", "בינונית" או "נמוכה". לא נשלח שום פרט מהארנק — לא מנפיק, לא בית עסק, לא סכום ולא קוד. מי רואה: אנחנו בלבד; בית העסק המפרסם מקבל ספירות בלבד, ולא שמות או פרטי קשר. בסיס: הסכמה מפורשת ונפרדת — מתג כבוי שרק אתם מדליקים, ואישור המסמכים אינו תלוי בו; מה שההסכמה כוללת מפורט במסמך "הסכמה למדידת הצעות ממומנות". בלי ההסכמה לא נרשם דבר מזה על החשבון, וגם השרת שלנו דוחה רישום כזה מחשבון שלא הסכים. אצלנו נרשמת התשובה שנתתם (כן או לא), מתי ובאיזו גרסה של המסמכים, ועותק בלי שם, בלי דוא"ל ובלי מזהה החשבון נשמר כמו רישום אישור המסמכים. ביטול בכל רגע באותו מתג בהגדרות, או בכיבוי "שיפור המוצר". תקופה: עד 24 חודשים; מחיקת החשבון מוחקת את הרישום כולו.
עדכון רשימת הרשתות המכבדות — האפליקציה בודקת בכל פתיחה אם הקובץ הציבורי באתר שלנו התעדכן. הבקשה אינה נושאת פרטי חשבון או דבר מהארנק; מה שמגיע אלינו הוא כתובת IP, כמו בכל בקשת אתר. כשנבחרה מדינה שאינה ישראל (סעיף 6.1), הבקשה מפנה לקובץ של אותה מדינה — שם הקובץ נושא את קוד המדינה — ולכן השרת רואה איזו מדינה נבחרה, ועדיין לא מי בחר אותה: בלי חשבון, בלי מזהה ובלי דבר מהארנק. בסיס: אספקת השירות.
בדיקת עדכוני קוד — בכל פתיחה האפליקציה בודקת מול ספק העדכונים שלנו אם יש גרסת קוד חדשה. נשלחים גרסת האפליקציה, סוג המכשיר ומזהה התקנה — לא פרטי חשבון ולא תוכן ארנק. בסיס: אספקת השירות.
אנליטיקה עצמית לשיפור המוצר (דלוק כברירת מחדל. מתואר במדיניות זו, שמאשרים במסך הפתיחה. אפשר לכבות בהגדרות, במתג 'שיפור המוצר', בכל רגע. אותו מתג מכבה גם את דיווחי התקלה שבשורה הבאה.) — אירועי שימוש ללא תוכן: איזה מסך נפתח, מאיזה מסך הגעתם אליו וכמה שניות נשארתם בו, והאם הרשימה שבו הייתה ריקה; באיזה אזור של המסך נגעתם — ברשת גסה, בלי מה שהיה כתוב שם ובלי מה שהקלדתם — האם זה היה אחרי שגללתם, והאם משהו במסך הגיב לנגיעה; ולחיצות מהירות חוזרות באותה נקודה; על איזה מכפתורי האפליקציה לחצתם ואילו הוצגו לכם — לפי שם קבוע שלנו, לעולם לא מה שהיה כתוב עליהם; כמה זמן חיכיתם למסך או לקריאה שנטענו; בחיפוש — כמה תוצאות נמצאו, אורך החיפוש בתווים, איזה סוג תוצאה נמצא (שובר בארנק, חנות, מנפיק, משהו אחר או כלום) והאם פתחתם אחת מהן, לעולם לא המילים שחיפשתם; איזה שלב הושלם או ננטש ואיזו פעולה נבחרה; איזה סוג התראה נפתח ובאיזה כפתור; איזה מתג בהגדרות הודלק או כובה (המצב בלבד); ספירות של פעולות בחברים, בהודעות, ב-GIF ובשליחת שוברים — כמה, ואורך ההודעה או החיפוש בתווים, לעולם לא התוכן ולא מי הצד השני; ולצד פעולה על שובר, סוגו ושם המנפיק כפי שהוא בקטלוג שלנו (לא שם חופשי שכתבתם); בשובר שנשמר מהצעה ממומנת — גם שם ההצעה, כשהוא מוצג בקופה או ממומש (בלי סכום ובלי קוד); ובפתיחה הראשונה — דרך מה הגעתם (קישור, הזמנה לארנק משותף, שובר שנשלח אליכם, שיתוף או החנות), וב-Android גם תג הקמפיין של הקישור שממנו הותקנה האפליקציה, כפי שמוסרת Google Play — מקור, ערוץ ושם קמפיין בלבד, בלי מזהי פרסום — עם גרסת האפליקציה, סוג המכשיר, השפה ומזהה התקנה קבוע, שמתאפס כשמכבים את המתג או ב"מחק הכל"; הוא אינו מזהה החשבון, אך נשלח מהחשבון המחובר ולכן מוצהר בחנויות כמקושר אליו. כשהאפליקציה והמסמכים מכנים את המדידה הזו 'אנונימית', הכוונה שאין בה שם, דוא"ל, טלפון או מזהה חשבון, ואין בה קודים, סכומים מדויקים או טקסט שכתבתם. עם זאת, היא נשמרת לצד מזהה ההתקנה הקבוע, ולכן אפשר לקשר זה לזה אירועים של אותה התקנה, עד שהמזהה מתאפס. לא נשלחים: קודים, ברקודים, PIN, מספרי כרטיס, CVV או טקסט חופשי שכתבתם (דיווח תקלה נושא הודעת שגיאה טכנית לאחר הסרת קודים ומספרים); סכומים נשלחים בטווחים בלבד; פעימה יומית אחת נושאת את מספר הפריטים, את ערך הארנק וכמה ממנו פג בקרוב — בטווחים, כמה ימים עברו מההתקנה, את גרסת הקטלוג, את קוד המדינה שנבחרה בהגדרות (סעיף 6.1), ואת מצב ההגדרות — יש חשבון, יש טלפון שמור לתשלום, גיל הגיבוי ושמירת מפתח השחזור, נעילת האפליקציה, התראות וכמה תזכורות מתוכננות, האם הוצב ווידג'ט, ומצב הגדרות הקריאה והנגישות (גודל טקסט באפליקציה ובמערכת, הדגשה, לחצנים גדולים, הקראה, הפחתת תנועה, גופן קריא, ניגודיות) — דלוק או כבוי, או מספר בלבד, כדי לדעת אילו התאמות נחוצות ולשפר את נגישות האפליקציה. האירועים הראשונים — לפני אישור המסמכים — נשמרים במכשיר ונשלחים רק אחרי האישור. בשימוש בבדיקת יתרה נמדד רק אם המילוי הצליח, לאיזה מנפיק וכמה — לעולם לא סכום, תאריך או שם בית עסק. אירועים מגרסאות פיתוח ובדיקה נשמרים בנפרד ל-30 יום. השליחה לקריאה מדויקת אינה תלויה במתג הזה, ויש לה אישור משלה (סעיף 4). המדידה משמשת לסיכומים מצרפיים — ובהם חלוקה של מכשירים לקבוצות שימוש, כדי להבין מה נוח ומה לא — לשיפור המוצר בלבד: לא לפרסום, לא לשיווק ולא להחלטה לגבי אדם. בסיס: הודעה לפי סעיף 11 לחוק — במדיניות זו, שמאשרים במסך הפתיחה, ובהגדרות — עם אפשרות לכבות בהגדרות בכל רגע; דבר אינו נשלח לפני האישור. תקופה: עד 24 חודשים; סיכומים יומיים מצרפיים, שאינם מאפשרים לזהות מכשיר או אדם, נשמרים גם אחר כך.
דיווחי תקלה, יציבות וביצועים (דלוק כברירת מחדל. הם חלק ממדידת השימוש שבשורה הקודמת: המתג 'שיפור המוצר' בהגדרות ('נתוני שימוש ותקלות'), מכבים גם אותם. כמו שאר אירועי המדידה, גם הם נשמרים במכשיר עד אישור המסמכים, ונשלחים עם מזהה ההתקנה המתואר בשורה הקודמת) — יומן התקלות מהמכשיר, שממנו הוסרו קודים ופרטים מזהים, עם גרסת האפליקציה וסוג המכשיר; ונתוני יציבות וביצועים: ספירת קריסות, תקיעות וחריגות שמערכת ההפעלה מדווחת לאפליקציה, סיבת הסגירה האחרונה וכמה זמן פעלה האפליקציה לפניה, זמן הפתיחה, זיכרון שיא, זמן השימוש היומי בחזית (ב-iOS, כפי שמערכת ההפעלה מדווחת), כמה זמן לקח למסך להיטען, ושם המסך שבו קרתה התקלה — בטווחים, בלי תוכן ובלי מזהה החשבון. בסיס: הודעה לפי סעיף 11 לחוק, עם אפשרות לכבות בכל רגע. תקופה: עד 24 חודשים.
יומני שרת תפעוליים — כתובת IP, סוג מכשיר, חותמת זמן, קוד תגובה. מטרה: אבטחה ותקינות. בסיס: אבטחת המאגר, חובה לפי תקנות אבטחת מידע. תקופה: יום אחד אצל Supabase (סעיף 9), ולפי מדיניות ספק האירוח (סעיף 9).
יומן תקלות בשרת — כשפעולה בשרת נכשלת (למשל שליחת קוד SMS או התראה): שם הפעולה, קוד וסיבה קצרה — בלי מספר טלפון ובלי תוכן. מטרה: תקינות השירות. בסיס: אבטחת המאגר ותחזוקתו. תקופה: עד 90 יום.
שמירה בגלל פנייה, תלונה, דיווח או הליך — כשיש פנייה, תלונה, דיווח פתוח או הליך משפטי שנוגעים לחשבון, למודעה, לשיחה או למסירה, נשמור את הרשומות שנוגעות להם, גם אם הגיע מועד מחיקתן וגם אחרי מחיקת חשבון. בנוסף, כשנמחק חשבון שיש עליו דיווח שטרם טופל, או שמודעה שלו דווחה בתוך תקופת שמירת הדיווחים, נשמר מעצמו, בנפרד, עותק עם מזהה החשבון שנמחק, של: הדיווחים שהחשבון הגיש ושהוגשו עליו; הדיווחים על המודעות שלו; וההודעות בשיחות הלוח ובשיחות עם חברים שהשתתף בהן — בכל השיחות, לא רק בשיחה שדווחה — ובהן גם הודעות של הצד השני. כל עוד העותק קיים, גם יומן פעולות הניהול על החשבון אינו נמחק. רק המנהלים שלנו יכולים לעיין בעותק, ורק כדי לברר את הדיווח, להגן על הזכויות של הצדדים, לפעול בהליך או למסור לרשות מוסמכת לפי דין. מטרה: לברר את הפנייה ולהגן על הזכויות של הצדדים. בסיס: אינטרס לגיטימי ושמירת ראיות. תקופה: עד סיום הטיפול בפנייה או בהליך. העותק שנוצר במחיקת חשבון נמחק מעצמו 12 חודשים אחרי המחיקה, גם אם הטיפול הסתיים קודם; אם הליך עדיין פתוח בתום התקופה, נאריך אותה עד סיומו.

מה שאיננו עושים בשום מקרה: איננו מוכרים או משכירים מידע אישי, איננו מעבירים אותו למפרסמים, איננו מפעילים רשתות פרסום, איננו מבצעים מעקב חוצה-אפליקציות ואיננו בונים פרופילים שיווקיים. הצעות ממומנות, כשהן מופיעות, מגיעות מאיתנו ובלי ערכת פרסום חיצונית. אין באפליקציה כלי אנליטיקה של צד שלישי. נתונים מצרפיים שאינם מאפשרים לזהות אדם הם היחידים שנוכל לפרסם או למסור.

7. ההרשאות שהאפליקציה מבקשת

מצלמה — רק כשאתם מצלמים כרטיס או קבלה מתוך האפליקציה, או סורקים קוד QR מהטלפון של חבר — במסירה פנים-אל-פנים ובהצטרפות לארנק משותף. תמונה שצילמתם נקראת לפי סעיף 4; קוד QR נקרא במכשיר בלבד ואינו מגיע אלינו. האפליקציה אינה מפעילה סורק חי ואינה מצלמת מעצמה.
תמונות — כשאתם בוחרים בעצמכם צילום מסך מהגלריה; וב-iOS, אם הסכמתם לכך — בשאלה שמופיעה פעם אחת במסך ההוספה, או בהגדרות (כבוי עד אז) — כדי להציע לכם צילום מסך שצולם ב-15 הדקות האחרונות. ב-Android האפליקציה אינה מבקשת גישה לתמונות כלל: הבחירה נעשית בבורר התמונות של המערכת, שמוסר לה רק את התמונה שבחרתם, ואת צילום המסך אפשר לשלוח אליה מתפריט השיתוף. לשם ההצעה האפליקציה שואלת את מערכת ההפעלה, בכל כניסה למסך ההוספה, רק על צילום המסך האחרון מ-15 הדקות האחרונות. היא אינה עוברת על שאר הגלריה, ואינה מעתיקה, שולחת או שומרת ממנה דבר. לזה מתכוון המשפט "התמונות נשארות בטלפון" שבהגדרות. צילום שבחרתם להוסיף, מההצעה או מהגלריה, מטופל כמו כל תמונה שאתם מוסיפים: הוא נקרא במכשיר, נשלח לקריאה החכמה אצל ספקי העיבוד לפי סעיף 4 (בלי שאלה נוספת כש"לשלוח לקריאה בלי לשאול" דלוק), ונשמר מוצפן במכשיר כתמונת המקור של השובר (סעיף 6.1).
מיקרופון וזיהוי דיבור (אופציונלי) — רק כשאתם מכתיבים מודעה ללוח. ב-iOS נשאלת לשם כך גם הרשאת "זיהוי דיבור", בנפרד מהמיקרופון. ההקלטה אינה נשמרת ואינה מגיעה אלינו. ההמרה לטקסט נעשית על ידי מערכת ההפעלה: האפליקציה מבקשת שתיעשה במכשיר, וכשהשפה אינה נתמכת בו ההמרה עשויה להיעשות אצל Apple (iOS) או בשירות הדיבור של Google (Android), לפי התנאים שלהם (סעיף 6.1). אלינו מגיע רק הטקסט שתאשרו במודעה. אפשר תמיד להקליד במקום.
התראות — נשאלת אחרי שמירת השובר הראשון, אחרי משפט קצר שמסביר למה (כדי שהתזכורת לפני שהשובר פג תגיע). בנוסף, כל עוד לא נתתם הרשאה ומערכת ההפעלה עדיין מאפשרת לשאול (ב-iOS — רק עד שעניתם פעם אחת; ב-Android — גם אחרי סירוב אחד), השאלה עשויה לעלות כששומרים או עורכים פריט בטופס ההוספה, כשקובעים תזכורת לפריט או לטעינה חוזרת של כרטיס, וכשאתם לוחצים בעצמכם על כפתור להפעלת ההתראות — בכרטיס 'ההתראות כבויות' בארנק, בכרטיס הקופון הראשון, ב'כדאי להשלים', אחרי פרסום מודעה בלוח, או בשורת 'התראות' בהגדרות. אחרי סירוב שמערכת ההפעלה כבר לא מאפשרת לשאול אחריו, השאלה לא מוצגת שוב, ולחיצה על כפתור ההפעלה פותחת את הגדרות הטלפון. משמשת לתזכורות תוקף, ב-Android גם לשובר שבקופה (סעיף 3), ולחשבון מחובר גם ללוח, לחברים ולהודעות, לשוברים שנשלחו אליכם ולארנק המשותף (סעיף 8).
רשת מקומית (iOS) ומכשירים בקרבת מקום — בלוטות' ו-Wi‑Fi (Android) — רק במסכי "לחבר לידי", כדי ששני הטלפונים ימצאו זה את זה ויעבירו את השובר ישירות ביניהם (סעיף 6.1). בגרסאות Android ישנות מערכת ההפעלה מחייבת לשם כך הרשאת מיקום; האפליקציה אינה קוראת את מיקומכם במסכים אלה. החיפוש פועל רק כל עוד המסך פתוח.
תנועה (iOS) — רק בזמן צילום שובר, כדי לדעת איך הטלפון מוחזק ולסובב את התמונה נכון. דבר מהתנועה אינו נשמר ואינו נשלח.
מיקום (אופציונלי) — לארבעה שימושים בלבד, בהרשאת "בזמן שימוש" (ב-Android, לתזכורת לפי מיקום — "כל הזמן", ראו (ב)). (א) כשאתם לוחצים "אני כאן", כדי להציג אילו שוברים מהארנק עובדים בחנויות שסביבכם. ב-iOS המיקום עובר לחיפוש המקומות של מערכת ההפעלה (Apple) ולהצגת מפה של Apple סביבו. כדי למצוא גם את החנויות שהשוברים שלכם מתאימים להן, האפליקציה שולחת לאותו חיפוש, בכמה שאילתות ויחד עם המיקום, את שמות החנויות והרשתות שבהן השוברים הפעילים בארנק מתקבלים: עד שמונה שמות, בלי קוד, סכום, יתרה, תוקף או פרט אחר על השובר. כשמרחיבים את הטווח, נשלחים גם סוגי חנויות כלליים (למשל "סופרמרקט"). החיפוש כפוף לתנאים ולמדיניות הפרטיות של Apple. דבר ממנו אינו מגיע אלינו ואינו נשמר; הרשימה שהתקבלה נשמרת רק בזיכרון של האפליקציה, עד עשר דקות, כדי שתוכלו לחזור אליה.. ב-Android החיפוש נעשה במכשיר עצמו, מול רשימת בתי עסק מ-OpenStreetMap (© OpenStreetMap contributors, ברישיון ODbL — openstreetmap.org/copyright) שהאפליקציה מורידה מהאתר שלנו פעם בשבוע — המיקום אינו נשלח לאיש לצורך החיפוש; המפה מצוירת על ידי Google Maps, ולשם כך נטענים מ-Google אריחי המפה של האזור שסביבכם (סעיף 9). (ב) אם הפעלתם "תזכורת לפי מיקום": נקודת המיקום של בית עסק שבו שילמתם נשמרת במכשיר בלבד, כמפורט בסעיף 3; ב-Android ההרשאה לכך היא "כל הזמן". (ג) בדף של בית עסק, כשאתם מקישים "הקרוב אליי" — כדי להציג קודם את הסניף הקרוב אליכם. ב-iOS המיקום ושם בית העסק עוברים לחיפוש המקומות של מערכת ההפעלה, לשאילתה אחת, ואינם נשמרים; ב-Android המפה בדף מצוירת על ידי Google Maps (סעיף 9). (ד) בארנק, אם כבר נתתם הרשאה: האפליקציה בודקת במכשיר אם אתם ליד חנות שיש לכם שובר שלה, ומציגה אותו בראש הארנק; היא אינה מבקשת הרשאה לשם כך, והמיקום אינו נשמר. בכל המקרים המיקום אינו מגיע אלינו.
זיהוי פנים או טביעת אצבע — להצגת קודים ומסכי כסף ולנעילת האפליקציה. הנתון הביומטרי נשאר במערכת ההפעלה; אנחנו מקבלים תשובה של הצלחה או כישלון בלבד.
קבצים — כשאתם בוחרים "הוספה מקובץ", אתם מוסרים לאפליקציה קובץ אחד שבחרתם; אין לנו גישה לשאר הקבצים. הקובץ עצמו נקרא במכשיר ואינו נשלח אלינו; העמודים, התמונות והטקסט שחולצו ממנו נשלחים לקריאה לפי סעיף 4, באותם כללים כמו צילום מסך — לפי האישור שבסעיף 4.
שירות מילוי אוטומטי (Android, אופציונלי) — אם בחרתם ב-Click Coupon כשירות המילוי האוטומטי של הטלפון, מערכת ההפעלה מציגה לאפליקציה את מבנה הטפסים שעל המסך כדי שתזהה שדות של מספר כרטיס; טופס בלי שדה כזה אינו נענה, ודבר מהטפסים אינו נשמר או נשלח. הכרטיס נמסר למערכת ההפעלה — שממלאת את השדות בעצמה — רק אחרי שבחרתם אותו — וכשהמתג "נעילת קודים וכרטיסים" דלוק, גם אחרי אישור בזיהוי פנים, טביעת אצבע או קוד —, ומוחזק בזיכרון לרגעים ספורים בלבד. ב-iOS את אותו תפקיד ממלאת הרחבת Safari (סעיף 6.1).
תרגום תנאים — כשאתם מבקשים לתרגם את תנאי השובר, התרגום נעשה במכשיר על ידי מתרגם של מערכת ההפעלה (Apple) או של Google ML Kit (Android); הטקסט אינו נשלח אלינו ולא ל-Google. ב-Android חבילת השפה (כ-30 מגה-בייט) מורדת מ-Google בפעם הראשונה, אחרי שאישרתם (סעיף 9).
הקראה קולית — אינה דורשת הרשאה; משתמשת במנוע ההקראה של מערכת ההפעלה. ההשמעה נעשית ברמקול, ומי שנמצא בטווח שמיעה עשוי לקלוט אותה.
קוד אימות מ-SMS (Android) — אינו דורש הרשאת SMS, ולאפליקציה אין הרשאה לקרוא הודעות. כשהאפליקציה מחכה לקוד שנשלח אליכם (למשל באימות מספר טלפון), היא מבקשת מ-Google Play services שבמכשיר להציע לה את הודעת ה-SMS הבאה שיש בה קוד, למשך עד חמש דקות. המערכת מציגה לכם את ההודעה ושואלת אם לאפשר לאפליקציה לקרוא אותה; רק אם אישרתם, האפליקציה מקבלת את ההודעה ההיא בלבד ולוקחת ממנה רק את ספרות הקוד אל שדה הקוד, והן נבדקות כמו קוד שהקלדתם. שאר ההודעה אינו נשמר ואינו נשלח, לא אלינו ולא לאיש. אם סירבתם, מקלידים את הקוד בעצמכם. ב-iOS מערכת ההפעלה היא שמציעה את הקוד מעל המקלדת, והאפליקציה אינה ניגשת להודעות.

כל הרשאה נשאלת בהקשר שבו היא נחוצה, וניתן לסרב לה בלי לאבד את שאר האפליקציה.

8. התראות

התראות משמשות לדברים הבאים בלבד: תזכורות על פריטים שלכם, השובר שבקופה, כל עוד מסך הקופה פתוח (ב-iOS כ"פעילות חיה", ב-Android כהתראה קבועה; סעיף 3); ופעם אחת, כל עוד הארנק ריק, תזכורת מהמכשיר להוסיף שובר ראשון; שובר שסיימנו לקרוא אחרי שיצאתם מהאפליקציה (בלי פרטי השובר); פעילות בארנק משותף שאתם חברים בו; עדכון על מודעה חדשה בלוח למנפיק שביקשתם לעקוב אחריו; פעילות בלוח שאתם צד לה — בקשה, אישור, הודעה, בקשת בדיקת יתרה ותוצאתה, שובר שנשלח או שוחרר; בקשת חברות ואישורה, והודעה מחבר; שובר שנשלח אליכם, בקשה להחזירו ואישור שנמסר; תשובה לפנייה ששלחתם מהאפליקציה; ואם הפעלתם זאת — תזכורת לפי מיקום כשאתם מגיעים לבית עסק שבו שילמתם, או לקניון סמוך, ויש לכם שובר שעובד שם (סעיף 3). אין ולא יהיו התראות שיווקיות. תזכורות והשובר שבקופה נבנים במכשיר ואינם עוברים דרכנו. התראות הארנק המשותף נשלחות דרך שרתי Apple או Google, ונושאות את שם הארנק ואת סוג האירוע — ובשלוש התראות בלבד ("משתמש/ת עכשיו", "השתמשת?" והתשובה) גם את שם המשתמש של החבר שפעל — לא שם בית עסק, סכום או תוכן הודעה. התראת עדכון לוח נושאת את שם המנפיק שביקשתם ותו לא; התראה על פעילות בלוח נושאת את שם המשתמש של הצד השני ואת שם המנפיק; התראות החברים, ההודעות והשוברים שנשלחו נושאות את שם המשתמש של השולח — ובהודעה, רק אם נשלח GIF — ולעולם לא את תוכן ההודעה או את פרטי השובר. התראה על תשובה לפנייה אומרת רק שענינו לפנייה שלכם, בלי תוכן התשובה. קוד אינו נכתב בגוף שום התראה. אפשר להשתיק כל ארנק בנפרד, ולכבות התראות לגמרי בהגדרות מערכת ההפעלה. הודעות שירות במייל נשלחות לבעלי חשבון שלא כיבו אותן (סעיף 6.2), ובכל הודעה יש דרך להסרה; אלה אינן פרסומות ואין בהן פרסום. דיוור שיווקי, ככל שיהיה, יישלח רק למי שנרשם אליו במפורש ובנפרד, עם אפשרות הסרה בכל הודעה.

9. ספקי משנה

אלה הגורמים שעשויים לעבד מידע מטעמנו, כל אחד לפי הפונקציה שהפעלתם:

Supabase Inc. — הזדהות, מסד הנתונים, אחסון הקבצים ופונקציות השרת — זה "השרת שלנו" שבמסמך זה. אצלו נשמר כל מה שנשמר אצלנו לפי סעיף 6.2, ובכלל זה החשבונות והמזהים האקראיים, פרטי החיבור, רישומי ההסכמה, אימות המכשיר ומזהי ההתראות, המדידה ודיווחי התקלות, הפניות, התשובות והמשוב, שם המשתמש, נתוני הלוח, החברים וההודעות, השוברים שנשלחו או נמסרו, והפריטים והקבלות הנעולים של הארנק המשותף. המסד והקבצים נשמרים בשרתים בגרמניה (פרנקפורט, האיחוד האירופי). דרך פונקציות השרת שלו עוברים גם הפריט שנשלח לקריאה חכמה, מספר הטלפון וקוד האימות ב-SMS, מילות חיפוש GIF והטביעה לחתימת שובר (מה שנשמר מהם מפורט בסעיף 6.2). הפונקציות האלה עשויות לרוץ במרכז הנתונים של הספק הקרוב אליכם, גם מחוץ לאיחוד האירופי.
ספק אירוח — אירוח האתר והגנה מפני התקפות.
ספק דואר אלקטרוני — תיבת הדואר שבה מתקבלות הפניות שאתם שולחים אלינו במייל, ושממנה נשלחות הודעות השירות במייל.
Apple, Google ו-Meta (Facebook) — הפצת האפליקציה, הזדהות, מסירת התראות, ושמירת שובר בארנק של הטלפון אם בחרתם בכך (סעיף 6.1); ב-iPhone גם חיפוש המקומות והמפה ב'אני כאן' ובדף של בית עסק: Apple מקבלת את המיקום ושמות חנויות לחיפוש, כמפורט בסעיף 7(א) ו-(ג). בהתחברות דרך Facebook אנו מקבלים מזהה, שם, כתובת דוא"ל וקישור לתמונת הפרופיל (שבו איננו משתמשים), ואיננו מפרסמים דבר בשמכם. אם וכאשר יוצע מנוי, הם — ולא אנחנו — יהיו המוכר והגובה.
ספקי עיבוד תמונה וטקסט — שירותי עיבוד מבוססי בינה מלאכותית וזיהוי טקסט בתמונה, בתנאי שימוש עסקיים, לקריאת התמונות, הקבלות וההודעות שאתם מוסיפים (סעיף 4). אלה הספקים, ומה כל אחד מקבל: Google — בשני שירותים: Gemini, שקורא תמונות, עמודי קבצים, הודעות וקבלות, ו-Google Cloud Vision, שמזהה טקסט בתמונה ובעמוד קובץ בלבד. לפי התנאים של Google לשירות בתשלום, הפריט אינו משמש לאימון או לשיפור המוצרים שלה; Gemini עשוי לשמור את הבקשה ואת התשובה עד 55 יום, לזיהוי שימוש לרעה ולגילוי שהדין מחייב בלבד, ו-Google Cloud Vision מעבד את התמונה בזיכרון בלי לשמור אותה, ושומר זמנית רק נתונים על הבקשה, כמו המועד והגודל. OpenAI — קוראת תמונות, עמודי קבצים, הודעות וקבלות. לפי התנאים העסקיים שלה ולפי הסכם עיבוד נתונים שנחתם איתה, הפריט אינו משמש לאימון; אנו מבקשים שהתשובה לא תישמר אצלה, והיא עשויה לשמור את הבקשה עד 30 יום לזיהוי שימוש לרעה. Anthropic — מגרסה 1.0.3 של האפליקציה, קוראת תמונות, עמודי קבצים והודעות, לא קבלות. לפי התנאים העסקיים שלה הפריט אינו משמש לאימון, והיא מוחקת אותו בתוך 30 יום לכל היותר. כל ספק מקבל רק את הפריט עצמו — התמונה, עמוד הקובץ והטקסט שהמכשיר קרא ממנו, או טקסט ההודעה — עם הוראות הקריאה ושפת הטלפון. הפריט נשלח מהשרת שלנו, ולכן הספק אינו מקבל את שמכם, את הדוא"ל, את מזהה החשבון או את כתובת ה-IP שלכם. פריט עשוי להישלח לחלק מהספקים או לכולם, לפי סוגו ולפי מה שנדרש כדי לקרוא אותו. העיבוד נעשה בעיקר בארצות הברית, ועשוי להיעשות גם במדינות אחרות שבהן הספק מפעיל שרתים (סעיף 10). איננו שומרים עותק. ספק עשוי לשמור פריט זמן רב יותר רק כשהדין מחייב אותו, או כשהפריט סומן אצלו כחשוד בהפרת מדיניות השימוש שלו. התקופות והתנאים האלה הם של הספקים, כפי שפורסמו במועד גרסה זו; הם עשויים להשתנות, ונעדכן כאן כשנדע על שינוי מהותי. אנו רשאים להוסיף ספק קריאה, או להחליף ספק בספק אחר בתנאים דומים — שימוש עסקי, בלי אימון ובהסכם עיבוד נתונים — ונעדכן את הרשימה בעמוד זה לפני שיתחיל לקבל פריטים.
ספק מסירת התראות — מעביר את ההתראות שבסעיף 8 אל Apple ו-Google; רואה את מזהה ההתראות ואת נוסח ההתראה (שם ארנק, שם משתמש, שם מנפיק וסוג האירוע) — לא תוכן הודעה ולא פרטי שובר.
ספק ה-GIF (KLIPY) — חיפוש GIF ואחסון הקבצים (סעיף 6.2). מקבל את מילות החיפוש ואת השפה דרך השרת שלנו, בלי חשבון ובלי כתובת ה-IP שלכם; וכשקובץ נטען בטלפון — את כתובת ה-IP ואת הקובץ שנטען. אנו מבקשים ממנו קבצים בלבד, בסינון התוכן המחמיר ביותר שלו.
Google Nearby Connections (Android בלבד) — רכיב של Google Play services במכשיר, שמחבר בין שני הטלפונים במסירה "לחבר לידי"; השובר עובר ישירות בין המכשירים, חתום למכשיר המקבל.
Apple ו-Google, כספקי מערכות ההפעלה — אימות שהמכשיר אמיתי ומריץ את האפליקציה המקורית (App Attest ב-iOS, Play Integrity ב-Android), לפני קריאה מדויקת, בחתימת שובר ל-Apple Wallet ובבדיקת יתרה בלוח (סעיף 6.2). ב-iOS Apple מקבלת את המפתח הציבורי שהמכשיר יצר לשם כך ותמצית של אתגר אקראי מהשרת שלנו. ב-Android רכיב Google Play services שבמכשיר מוסר ל-Google את האתגר האקראי יחד עם אותות על המכשיר, על האפליקציה ועל רישיון ההתקנה מ-Google Play, ש-Google אוספת לפי תנאיה כדי לקבוע את התוצאה; השרת שלנו מעביר ל-Google את אסימון האימות שהמכשיר קיבל ממנה, לפענוחו, ומקבל ממנה את התוצאה בלבד (האם האפליקציה מקורית, האם המכשיר תקין ומצב הרישיון), שנשמרת כמפורט בסעיף 6.2. בשני המקרים הספק רואה גם את כתובת ה-IP של המכשיר. איננו מוסרים להם תוכן מהארנק, שם, דוא"ל או מזהה חשבון.
ספק שליחת SMS — שולח את קוד האימות בלבד (לחשבון בלוח, או למספר שבחרתם לשמור לתשלום), ורואה רק את המספר ואת הקוד.
ספק עדכוני קוד — בדיקת עדכוני קוד בכל פתיחה (סעיף 6.2); רואה גרסה, מכשיר, מזהה התקנה וכתובת IP.
Google Maps (Android בלבד) — המפות באפליקציה: ב"אני כאן" ובדף של בית עסק. כדי לצייר אותן, ערכת הפיתוח של Google שבאפליקציה טוענת מ-Google את אריחי המפה של האזור שעל המסך; Google מקבלת את אזור המפה, את כתובת ה-IP ומזהה אנונימי של הערכה — לא את הארנק, לא חשבון ולא את תוצאות החיפוש, שנעשה במכשיר. ב-iOS המפה היא של Apple, בתנאי מערכת ההפעלה.
הורדת חבילת תרגום (Android בלבד) — בפעם הראשונה שאתם מתרגמים תנאי שובר, חבילת השפה מורדת משרתי Google; הם רואים כתובת IP ואת השפה המבוקשת, לא את הטקסט. התרגום עצמו נעשה במכשיר.
רשויות מוסמכות — רק לפי צו של בית משפט, כשהדין מחייב אותנו, או כשיש סכנה מיידית לחיי אדם; ורק את המידע הנדרש.

עם ספק האימות והאחסון ועם ספקי עיבוד התמונה והטקסט מתקיים הסכם עיבוד נתונים המחייב אותם לעבד מידע לפי הוראותינו בלבד, לשמור על אבטחתו ולא לעשות בו שימוש עצמאי. שאר הגורמים ברשימה מקבלים רק את המידע שמפורט לצדם, והספקים שבהם פועלים לפי התנאים שהם מפרסמים או לפי הסכם המפתחים איתם. Apple, Google ו-Meta — בהפצת האפליקציה, בהזדהות, במסירת ההתראות למכשיר, באימות המכשיר, בגיבוי המכשיר, בארנק של הטלפון, בחיפוש המקומות ובמפות, ב-Google Nearby Connections ובחבילות התרגום — וכן ספק הדואר האלקטרוני וספק ה-GIF, מקבלים את המידע המתואר לצידם כגורמים עצמאיים, לפי התנאים ומדיניות הפרטיות שלהם, ואיננו שולטים באופן שבו הם מעבדים אותו. רשויות מוסמכות מקבלות מידע רק בנסיבות המתוארות לעיל. הרשימה מתעדכנת, ושינוי מהותי בה יפורסם בעמוד זה.

10. העברת מידע אל מחוץ לישראל

חלק מהגורמים שבסעיף 9 מפעילים שרתים מחוץ לישראל. זה מה שיוצא מישראל, לאן, ועל איזה בסיס. כל אחד מהבסיסים המפורטים כאן עומד בפני עצמו.

(א) השרת שלנו. המידע שנשמר בשרת לפי סעיף 6.2 נשמר אצל ספק האימות והאחסון (Supabase), בשרתים בגרמניה. זה כולל את החשבון, מספר הטלפון המאומת, הלוח, החברים וההודעות, הפריטים, הקבלות וההודעות המוצפנים של הארנק המשותף, שוברים שנשלחו או נמסרו בקישור (מוצפנים, בלי מפתח אצלנו), הפניות מתוך האפליקציה, המדידה והיומנים. גרמניה חברה באיחוד האירופי וצד לאמנה האירופית להגנת הפרט בעיבוד אוטומטי של מידע אישי (תקנה 2(8)(א) לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001). בנוסף, ההעברה נעשית במסגרת הסכם עיבוד הנתונים של הספק, הכולל סעיפים חוזיים תקניים להגנת המידע ולאי העברתו הלאה (תקנה 3). פונקציות השרת של הספק עשויות לרוץ גם במרכזי נתונים אחרים שלו, באותם תנאים.

(ב) הקריאה החכמה. פריט שנשלח לקריאה (סעיף 4) עובר מהשרת שלנו אל Google, OpenAI ו-Anthropic, שמעבדים אותו בעיקר בארצות הברית (סעיף 9). הבסיס הראשון הוא הסכמתכם (תקנה 2(1)). בסיס עצמאי נוסף הוא הסכם עיבוד הנתונים והתנאים העסקיים של כל ספק: לפיהם הוא מעבד את הפריט רק כדי לספק לנו את השירות, שומר על אבטחתו, לא מאמן עליו, ולא מעביר אותו הלאה אלא לספקי משנה שלו הכפופים להתחייבויות דומות (תקנות 2(4) ו-3). ביטול ההסכמה לקריאה החכמה עוצר שליחה של פריטים חדשים, ולא חל על פריט שכבר נשלח ונקרא.

(ג) התראות, עדכונים, האתר, הדואר והשירותים שבסעיף 9. כל אחד מאלה עובר בהתאם לתנאי ההתקשרות עם הספק:

מזהה ההתראות ונוסח ההתראות (סעיף 8), ופרטי בדיקת עדכוני הקוד (סעיף 6.2), עוברים אל ספק מסירת ההתראות ועדכוני הקוד (Expo) בארצות הברית. משם ההתראות עוברות אל Apple או Google. לגבי ההתראות, הבסיס הוא גם הסכמתכם לקבל אותן.
בקשות לאתר שלנו ולרשימות שהאפליקציה מורידה ממנו עוברות דרך ספק האירוח (Cloudflare), שמפעיל שרתים ברחבי העולם.
פניות שאתם שולחים במייל והודעות השירות במייל נשמרות אצל ספק הדואר האלקטרוני, בשרתים מחוץ לישראל.
מילות החיפוש והשפה של חיפוש GIF עוברות מהשרת שלנו, בלי מזהה, אל ספק ה-GIF (KLIPY). כשקובץ נטען בטלפון, הספק מקבל גם את כתובת ה-IP.
כשמפה נטענת ב-Android, Google Maps מקבלת את אזור המפה ואת כתובת ה-IP.
ב"אני כאן" ובדף של בית עסק ב-iPhone, חיפוש המקומות של Apple מקבל את המיקום ואת שמות החנויות והרשתות של השוברים הפעילים, או את שם בית העסק (סעיף 7(א) ו-(ג)).
באימות המכשיר, Apple או Google מקבלות אתגר אקראי ואת מה שמפורט בסעיף 9.

(ד) מה שאתם בוחרים להעביר. במקרים האלה המידע עובר ביוזמתכם לגורם עצמאי, נשמר אצלו לפי מדיניות הפרטיות שלו, ולעיתים מחוץ לישראל:

עותק הגיבוי המוצפן ב-iCloud Drive, בגיבוי המכשיר או בתיקייה שבחרתם (סעיף 3).
שובר שהוספתם ל-Apple Wallet (עותק ב-iCloud), וכשתיפתח האפשרות — ל-Google Wallet, שבו Google תראה גם את הקוד או את מספר הכרטיס, ואת ה-PIN וה-CVV אם נכנסו (סעיף 6.1).
ההתחברות דרך Apple, Google או Facebook.
הכתבה בשפה שהמכשיר לא תומך בה, והורדת חבילת תרגום ב-Android (סעיפים 6.1, 7 ו-9).
פרטים שממולאים בעמוד תשלום או בעמוד בירור יתרה שבחרתם. הם עוברים לאתר ההוא בלבד, גם כשהוא מחוץ לישראל (סעיף 6.1).

תוכן הארנק לא מגיע אלינו בצורה קריאה. הקודים, ה-PIN, מספרי הכרטיס וה-CVV שבארנק יוצאים מהמכשיר בצורה קריאה רק במקרים האלה: קוד או מספר כרטיס של שובר שבחרתם להוסיף לארנק של הטלפון, וה-PIN וה-CVV שלו אם שמורים בו; קוד שכתוב בתמונה או בהודעה ששלחתם לקריאה חכמה; פרטים שממולאים בעמוד שבחרתם; ושובר שמסרתם בקישור, שנפתח למי שמחזיק בקישור. מלבד זאת, ב-iPhone שמות החנויות והרשתות של השוברים הפעילים נשלחים, יחד עם המיקום, לחיפוש המקומות של Apple ב"אני כאן" (סעיף 7(א)).

11. אבטחת מידע

אנו נוקטים אמצעי הגנה טכניים וארגוניים סבירים ומקובלים, לרבות הצפנה, בקרת גישה ובדיקות תקופתיות, בהתאם לרמת הסיכון ולמצב הטכנולוגי.

עם זאת, שום מערכת אינה חסינה לחלוטין. חלק מהותי מההגנה תלוי בכם — בקוד הגישה למכשיר, בעדכניות מערכת ההפעלה, בהימנעות מפריצת המכשיר ובזהות מי שרשום בזיהוי הביומטרי. איננו יכולים לקבל אחריות לאירוע שמקורו במכשיר שאינו מאובטח, במסירת פרטים לצד שלישי או בגישה פיזית של אחר למכשיר. אירוע אבטחה חמור ידווח לרשות המוסמכת ולנפגעים בהתאם לחובות שבדין ובלוחות הזמנים הקבועים בו.

12. האתר הזה

האתר הוא אתר סטטי. אין בו עוגיות מעקב, אין רשתות פרסום ואין כלי אנליטיקה של צד שלישי, והביקור שלכם אינו מדווח לאף צד שלישי. אנחנו סופרים ביקורים בעצמנו, בשרת האתר, כסיכום יומי: איזה עמוד נפתח, מאיזה אתר הגעתם (שם האתר בלבד), תג הקמפיין שבקישור, ולחיצה על כפתור ההורדה ולאיזו חנות. בלחיצה על קישור הורדה שהגיע מחוץ לאתר נרשם גם אם הוא נפתח בדפדפן הפנימי של Instagram או של Facebook, ואילו כותרות טכניות נשאה הבקשה. אלה סימנים על הבקשה, לא עליכם. טעינה מוקדמת של הקישור, שהדפדפן של Meta עושה לפני לחיצה, נספרת בנפרד ולא כלחיצה. גם הורדה של קובץ הרשתות בידי האפליקציה נספרת, לפי קוד המדינה שבשם הקובץ (סעיף 6.2). כל זאת בלי כתובת IP, בלי עוגיות ובלי מזהה, כך שאי אפשר לדעת מי ביקר. קישורי ההורדה לחנויות נושאים תג של העמוד שממנו לחצתם, כדי שהחנות תספור כמה הורדות הגיעו ממנו. מה שנשמר בדפדפן שלכם הוא העדפת התצוגה (בהיר או כהה) והגדרות הנגישות שבחרתם, באחסון מקומי שאינו עוגייה ואינו נשלח לשום מקום. אין צורך בבאנר הסכמה, משום שאיננו מציבים עוגיות שאינן חיוניות. אנחנו לא עוקבים אחריכם בין אתרים ואפליקציות, ולא מאפשרים לצד שלישי לעשות זאת. לכן אין הבדל באופן הפעולה כשהדפדפן שולח אות Do Not Track.

כמו כל שרת אינטרנט, שרתי ספק האירוח מקבלים את כתובת ה-IP ואת סוג הדפדפן לצורך העברת הדף ולצורך הגנה מפני התקפות, בהתאם למדיניות הפרטיות שלו. אם תכתבו אלינו בטופס הפנייה שבאתר או במייל, נשמור את הפנייה ואת ההתכתבות כדי לענות לכם (סעיף 6.2, 'פניות'). לא נצרף אתכם לרשימת תפוצה בלי שביקשתם, ולא נעביר את הכתובת שלכם לאף אחד. גם האפליקציה עצמה פונה לאתר הזה כדי לעדכן את רשימת הרשתות המכבדות — בלי פרטי חשבון ובלי מזהה משתמש. עמוד קבלת שובר באתר — הקישור שמישהו שלח לכם — פונה לשרת הנתונים שלנו עם מזהה הקישור בלבד, כדי לקבל את השובר הנעול ולדעת אם כבר נלקח; השובר נפתח בדפדפן שלכם, והמפתח שבקישור אינו נשלח לשום שרת. כמו בכל פנייה, השרת רואה את כתובת ה-IP.

13. תשלומים

אין רכישות בתוך האפליקציה, אין מנוי בתשלום ואין רכישה באתר. איננו גובים מכם תשלום ואיננו מחזיקים אמצעי תשלום. אם וכאשר תוצע רכישה באפליקציה, היא תתבצע דרך App Store או Google Play, והם — ולא אנחנו — יהיו המוכר והגובה. רכישה באתר, ככל שתוצע, תתבצע דרך ספק סליקה מורשה. פרטי אמצעי תשלום לא עוברים דרכנו ולא נשמרים אצלנו. פרטי כרטיס מתנה שאתם שומרים בארנק אינם אמצעי תשלום שלנו. הם נשמרים מוצפנים במכשיר ובגיבוי המוצפן שלכם (סעיף 3), ואינם מגיעים אלינו בצורה קריאה בשום מצב: בארנק משותף, ובשובר שמסרתם לאדם אחר או בקישור, הם עוברים דרכנו ונשמרים אצלנו נעולים, בלי מפתח אצלנו (סעיפים 3 ו-6.2). מחוץ לכך הם יוצאים מהמכשיר רק בדרכים המתוארות בסעיפים 2, 4 ו-6.1: מילוי בעמוד תשלום שבחרתם ואישרתם או בעמוד בירור יתרה, הוספת שובר ל-Apple Wallet (ול-Google Wallet, כשתיפתח האפשרות), תמונה שנשלחה לקריאה, והעתקה ללוח ההעתקה כדי להעביר כרטיס לארנק התשלומים של הטלפון (Apple Pay או Google Pay) — ושם מספר הכרטיס נמסר מארנק הטלפון אל המנפיק. תשלום בעמוד של בית עסק והוספת כרטיס לארנק התשלומים של הטלפון נעשים ביניכם לבין בית העסק, המנפיק, Apple או Google, לפי תנאיהם ומדיניות הפרטיות שלהם; איננו צד להם ואיננו גובים בהם דבר.

14. הזכויות שלכם

עיון — כל תוכן הארנק נמצא אצלכם במכשיר, ואפשר לשמור ממנו עותק גיבוי בכל רגע. לגבי מידע המוחזק אצלנו — תוכלו לבקש לעיין בו.
תיקון — לתקן מידע שאינו נכון, שלם או מעודכן.
מחיקה — "מחק הכל" בהגדרות מוחק את הארנק מהמכשיר (חוץ מהשוברים שבארנק משותף שאתם עדיין חברים בו, שנשארים במכשיר, אצלנו — נעולים — ואצל שאר החברים), ואת הגיבוי שבטלפון ומחוצה לו כשהטלפון הזה כתב אותו — האפליקציה אומרת זאת ושואלת לפני; הוא אינו מבטל שוברים ששלחתם ועדיין לא נלקחו, בקישור, לחבר או בשם משתמש (ראו מחיקת נתונים). מחיקת חשבון מוחקת את מה שקשור לחשבון בשרת — לרבות הפריטים המוצפנים בארנקים משותפים, רישום התגובה להצעות ממומנות, החברים, השיחות עם חברים (אצל שני הצדדים), שוברים ששלחתם או שנשלחו אליכם ועדיין ממתינים, קישורי מסירה ששלחתם ועדיין לא נלקחו, ובדיקות היתרה שלכם בלוח — ומנתקת מהשם הודעות שכתבתם בארנק משותף ומשוב ופניות ששלחתם, עם התשובות בהן, שנשארים ללא מזהה; קבלות שצירפתם לשובר בארנק משותף נשארות, נעולות, אצל שאר החברים; רישום בלי פרטי החשבון של אישור המסמכים נשמר (סעיף 6.2), וכך גם רשומות שקשורות לפנייה, לתלונה, לדיווח או להליך פתוחים — עד סיום הטיפול בהם; ואם בשעת המחיקה יש דיווח פתוח על החשבון, או דיווח על מודעה שלכם, נשמר עותק של הדיווחים ושל ההודעות בשיחות הלוח ועם חברים, ובהן גם הודעות של הצד השני, ל-12 חודשים, ואם נפתח בתוכם הליך — עד סיומו (סעיף 6.2, "שמירה בגלל פנייה"). נתונים מצרפיים שאינם מזוהים אינם נמחקים, משום שלא ניתן לשייכם אליכם. ראו מחיקת נתונים. מי שהתחבר דרך Facebook יכול לבקש את המחיקה גם מהגדרות Facebook (סעיף 6.2).
ניידות — לקבל את המידע בפורמט נפוץ וקריא. מידע שמוחזק אצלנו — לפי בקשה (ראו להלן). את הארנק שבטלפון אפשר לשמור בכל רגע כעותק גיבוי מוצפן שנפתח באפליקציה במפתח השחזור שלכם, או בסיסמה שבחרתם כששמרתם אותו, ואת הקבלות אפשר לייצא גם לקובץ קריא.
הסרת הסכמה — לכבות התראות, מיקום, הארנק המשותף, את "לשלוח לקריאה בלי לשאול", את "בדיקת יתרה מיד כשמוסיפים שובר", את "בדיקת יתרה מהקישור", ב-iPhone את "להציע צילום מסך אחרון" (את הגישה לתמונות עצמה מבטלים בהגדרות של iOS), את שמירת הגיבוי מחוץ לאפליקציה (ב-iPhone ב-iCloud Drive, ובאנדרואיד בתיקייה שבחרתם) ואת שמירת מפתח השחזור ב-iCloud Keychain או את מתג "שיפור המוצר" (ועמו את רישום התגובה להצעות ממומנות), או רק את "רישום תגובה להצעות ממומנות", וכן את הודעות השירות במייל — בכל רגע, בלי לאבד את הפריטים. הסרת הסכמה אינה פוגעת בחוקיות עיבוד שנעשה קודם לכן.
התנגדות והגבלה — להתנגד לעיבוד מסוים או לבקש להגבילו, בהתאם לדין החל.

למימוש כל אחת מהזכויות מול השרת, כתבו לנו בטופס הפנייה, clickcoupon.co.il/contact (סוג הפנייה: "פרטיות ומחיקה"). נאשר שקיבלנו את הפנייה, ובתוך 21 יום נשיב לכם — או נודיע לכם שאנחנו מסרבים ולמה. אם ביקשתם לעיין במידע, תקבלו אותו בתוך 30 יום. נבקש אימות זהות סביר, כדי שלא נמסור מידע לגורם שאינו אתם. אם פנייתכם לא נענתה כפי שציפיתם, אתם רשאים להגיש תלונה לרשות להגנת הפרטיות שבמשרד המשפטים. השירות אינו מבצע קבלת החלטות אוטומטית בעלת השלכה משפטית עליכם; הזיהוי האוטומטי הוא הצעת מילוי בלבד, ואתם יכולים לבדוק ולתקן כל שדה.

15. אם אתם מחוץ לישראל

השירות מופעל מישראל ומיועד בראש ובראשונה לקהל בישראל: הקטלוג הישראלי מובנה באפליקציה ופועל בכל מקום. לצדו האפליקציה מציעה קטלוגים של מנפיקים, רשתות ודפי יתרה במדינות נוספות — ארצות הברית, קנדה, אוסטרליה, ניו זילנד, איחוד האמירויות, ערב הסעודית, קטר, כווית, בחריין, עומאן, ברזיל, יפן, הודו, טורקיה, מקסיקו, ארגנטינה, שווייץ ואוקראינה — לפי המדינה שאישרתם בהגדרות (סעיף 6.1). האפליקציה מוצעת בחנויות האפליקציות גם במדינות נוספות מחוץ לישראל — למעט מדינות האזור הכלכלי האירופי (מדינות האיחוד האירופי, נורווגיה, איסלנד וליכטנשטיין), בריטניה, טורקיה, ארגנטינה וערב הסעודית (שבהן הדין מחייב רישום), וכן לבנון ועיראק (שהדין בישראל אוסר לסחור איתן), ומדינות נוספות שבהן הדין מחייב רישום, נציג מקומי או מסמכים בשפה המקומית — ביניהן יפן, קנדה, קוריאה, מצרים, תאילנד, וייטנאם ואינדונזיה, וכן מדינות שבהן ספקי הקריאה המדויקת אינם מציעים את שירותם: רוסיה, בלארוס, הונג קונג, מקאו, מיאנמר, אפגניסטן, ונצואלה, תימן, קוסובו, אנגווילה, ברמודה, איי הבתולה הבריטיים, איי קיימן, מונטסראט ואיי טרקס וקייקוס; וגם אוקראינה, משום שאחד מספקי הקריאה המדויקת אינו פועל בחלק משטחה, ובחנויות אי אפשר להחריג רק חלק ממדינה. הקטלוגים של טורקיה, ארגנטינה, ערב הסעודית ואוקראינה נשארים באפליקציה למי שנוסע אליהן. משפט הזכויות שהאפליקציה מציגה לצד מנפיק במדינה אחרת הוא מידע כללי שנאסף ממקורות פומביים — לא ייעוץ משפטי (תנאי השימוש, סעיף 8.2).

אם אתם משתמשים בשירות ממדינה אחרת, מדיניות זו חלה עליכם כלשונה, והמידע מעובד לפי הדין הישראלי כמתואר בה (סעיף 10 מסביר היכן הוא נשמר). ייתכן שדיני הגנת הפרטיות במדינתכם מקנים לכם זכויות נוספות או שונות — לרבות זכות עיון, תיקון, מחיקה, ניידות, הגבלה והתנגדות — וכן זכות להגיש תלונה לרשות הפיקוח במדינתכם. אנחנו מכבדים בקשות כאלה בדרך המתוארת בסעיף 14, בלי קשר למקום מגוריכם. איננו מוכרים מידע אישי ואיננו משתפים אותו עם צדדים שלישיים לצורכי פרסום ממוקד, בשום מדינה.

איננו מציעים את השירות באזור הכלכלי האירופי או בבריטניה ואיננו מכוונים אותו לתושביהם; לכן לא מונה נציג לפי סעיף 27 ל-GDPR או לפי הדין הבריטי המקביל. אם נציע בעתיד את השירות באזורים אלה, נמנה נציג ונעדכן מדיניות זו לפני כן. מי שבכל זאת משתמש בשירות מאזורים אלה זכאי לזכויות המפורטות לעיל, והבסיסים לעיבוד מפורטים בסעיף 6.

הוראות לפי מדינה. כשהדין של אחת המדינות האלה חל עלינו:

ברזיל — ערוץ הפנייה לנושאי מידע (Canal de comunicação, LGPD): processesplus1@gmail.com, או טופס הפנייה, clickcoupon.co.il/contact. ככל שאנו נחשבים "סוכן עיבוד קטן" (agente de pequeno porte), אנחנו פועלים לפי ההקלות שלו. בכל מקרה, הממונה על הגנת המידע (encarregado) הוא המפעיל.
סינגפור — ממונה הגנת המידע (DPO) הוא המפעיל, processesplus1@gmail.com, או טופס הפנייה, clickcoupon.co.il/contact.
דרום אפריקה — ה-Information Officer הוא המפעיל.
איחוד האמירויות, קטר, כווית, בחריין ועומאן — ממונה הגנת המידע הוא המפעיל. כשהדין שם מחייב, נדווח על אירוע אבטחה לרשות המוסמכת בתוך 72 שעות.

16. ילדים

השימוש בשירות מותר מגיל 18 (ראו תנאי השימוש, סעיף 2). איננו אוספים ביודעין מידע ממי שטרם מלאו לו 18; מידע כזה שיתגלה יימחק מיד. הורה או אפוטרופוס הסבור כי ילדו מסר לנו מידע מוזמן לפנות אלינו, ונמחק אותו ללא דיחוי.

17. תלונה

אם אינכם מרוצים מהאופן שבו טיפלנו בפנייתכם, אתם רשאים להגיש תלונה לרשות להגנת הפרטיות במשרד המשפטים. נשמח שתפנו אלינו קודם — לרוב אפשר לפתור את העניין ישירות ומהר.

18. שינויים במדיניות

אם נשנה משהו מהותי, נעדכן את התאריך בראש העמוד ונודיע באפליקציה לפני שהשינוי נכנס לתוקף — ולבעלי חשבון שלא כיבו את הודעות השירות במייל, גם שם. שינוי המרחיב עיבוד באופן הדורש הסכמה — יבוקש בהסכמה נפרדת. שינוי שאינו מהותי יפורסם בלי לבקש אישור מחדש. גרסאות קודמות נשמרות וניתן לקבלן לפי בקשה.

מסמכים נוספים: תנאי שימוש · מנוי, ביטולים והחזרים · מחיקת נתונים · אבטחה ודיווח על ליקוי · הצהרת נגישות