מדיניות פרטיות

מי אנחנו

את MiBA מפעילים שני אנשים פרטיים, שהם ביחד בעלי השליטה במידע (joint controllers) לפי דיני האיחוד האירופי (סעיף 26 ל־GDPR): דורון זבלבסקי (Doron Zavelevsky), שיושב בפורטוגל, ואסף שחף (Asaf Shachaf), שיושב בישראל. אין עדיין חברה מאחורי MiBA; אם תוקם, נעדכן את הסעיף הזה. לכל נושא שבמדיניות הזו אפשר לכתוב אל privacy@miba.my, כתובת ששנינו קוראים.

מי אחראי על מה

מכיוון ששנינו בעלי שליטה משותפים, החוק מבקש שנסכם בינינו מי עושה מה, ושנספר לך את עיקרי ההסדר (סעיף 26(2) ל־GDPR). הנה הם:

• שנינו. אנחנו מחליטים יחד מה MiBA שואלת, מה היא שומרת, ובאילו ספקים היא משתמשת. אף אחד מאיתנו לא פועל לפי הוראות של השני, וזה מה שהופך אותנו לבעלי שליטה משותפים ולא לבעל שליטה ולמעבד.
• דורון זבלבסקי. מפעיל את השירות ואת ספקי המשנה שלו, מחזיק את הרישום של מה שנאסף ולכמה זמן, עונה תוך חודש למה שמגיע לכתובת הקשר, מבצע מחיקות וייצוא נתונים, ומשמש איש הקשר מול הרשות הפורטוגלית (CNPD) ולדיווח על אירוע אבטחת מידע.
• אסף שחף. מחליט במשותף מה המוצר שואל ומה הוא מציג, וקורא תשובות דרך לוח התפעול רק כדי להפעיל את השירות ולאתר בו תקלות. כל פנייה שמגיעה אליו באופן אישי מועברת באותו יום לכתובת הקשר, כדי שכל פנייה תיענה ממקום אחד.
• שנינו. לא משנה מה כתוב בחלוקה שלמעלה, אפשר לממש את כל הזכויות שלך מול כל אחד מאיתנו. זו זכות לפי סעיף 26(3), ושום הסדר בינינו לא יכול לצמצם אותה.

מה אנחנו אוספים

• התשובות שלך. הבחירות בשאלון של מפגש: זמינות, העדפות, ודרישות קשיחות כמו צרכים תזונתיים. כל שאלה היא בחירה סגורה מתוך אפשרויות ש־MiBA מציעה. בשאלון אין תיבת טקסט חופשי, כך שאין הערות מוקלדות לאסוף.
• נתוני חשבון (צריך חשבון כדי לפתוח מפגש או להצביע): כתובת האימייל, שם התצוגה שבחרת, והצרכים התזונתיים שהזנת. את השניים האחרונים מספרים לנו פעם אחת, כדי שאף מפגש לא יצטרך לשאול שוב.
• משוב שאחרי המפגש. MiBA עשויה לכתוב כדי לשאול איך היה: פעם אחת אחרי שהשולחן הוזמן, על ההחלטה, ופעם אחת יום אחרי הארוחה, על המסעדה. זה הכול: שני אימיילים למפגש, ולא יותר. כל שאלה היא בחירה סגורה והמענה לגמרי רשות; מה שנבחר נשמר מול ההשתתפות שלך באותו מפגש ומטופל בדיוק כמו שאר התשובות.
• רישומים תפעוליים: המפגשים שפתחת או הצטרפת אליהם, יומן אירועים של מה שקרה בכל אחד מהם (דרוש להפעלה ולאיתור תקלות), תיעוד של האימיילים ש־MiBA שלחה כדי לא לשלוח אותו אימייל פעמיים, ומדידה של הוצאות ה־AI שלנו עצמנו (ספירת אסימונים ועלות, לעולם לא התוכן).
• מונים אנונימיים.כדי לראות איפה אנשים מוותרים, MiBA סופרת צעדים: ”הוצג מסך התחברות“, ”נענה מסך בשאלון“. שורת מונה שומרת את שם הצעד, תפקיד (מארחים או מצביעים) וחותמת זמן. בלי מזהה משתמש, בלי עוגייה, בלי כתובת IP; היא יודעת לומר כמה, ולעולם לא מי.

MiBA לא בונה עליך פרופיל ולא מסיקה העדפות מצפייה בהתנהגות: היא שומרת רק מה שהוזן במפורש, ואין במוצר שום רכיב מעקב פרסומי או אנליטי.

מי יכול לראות את התשובות שלך

תשובות אישיות הן פרטיות כברירת מחדל. משתתפים אחרים לעולם לא רואים אותן; הקבוצה מקבלת רק את התוצאה, עם הסבר קצר למה היא מתאימה לכולם.

ובשם השקיפות: שנינו, מפעילי MiBA, יכולים לקרוא תשובות דרך לוח תפעול, ואנחנו עושים זאת רק כדי להפעיל את השירות ולאתר תקלות (למשל, להבין למה מפגש קיבל הצעה גרועה). הגישה הזו מוגבלת לשני בעלי השליטה הנקובים למעלה ברשימת הרשאות מפורשת, שברירת המחדל שלה היא לחסום. לאף אחד אחר אין אותה.

על סמך מה אנחנו מעבדים נתונים (בסיס משפטי)

• הפעלת המפגש שלך (חוזה). איסוף תשובות, חישוב האפשרות הטובה ביותר לקבוצה, ושליחת ההודעות שהן חלק מהמפגש: התוצאה, והאם השולחן הוזמן.
• אינטרס לגיטימי שלנו. תזכורת ביום המפגש ושני אימיילי המשוב (בכל מפגש יש מתג שמכבה אותם), אבטחת השירות ואיתור תקלות, ומדידת המשפך במונים האנונימיים שתוארו למעלה.
• הסכמה: לא נדרשת ולא בשימוש. MiBA לא מסיקה דבר ולא עוקבת, כך שאין כאן דבר שדורש באנר הסכמה. אם זה ישתנה, נשאל קודם.

עיבוד AI

MiBA משתמשת במודל AI ”קלוד“ (Claude) של Anthropic לדבר אחד בדיוק במפגש חי: כשהניקוד הדטרמיניסטי לא מוצא מסעדה שעובדת מספיק טוב לכולם, המודל מתבקש לבחור אסטרטגיה, למשל אילו העדפות רכות כדאי לבקש מכמה משתתפים לשקול מחדש. הוא מקבל תקציר קומפקטי ומובנה: זמנים אפשריים, המועמדות שכמעט עברו, ואילו סוגי העדפות חוסמים. משתתפים מופיעים בו רק כמזהים פנימיים, לעולם לא כשמות או כתובות אימייל, ומכיוון שאין בשאלון טקסט חופשי, אין טקסט מוקלד שלך שאפשר לשלוח. אנחנו לא מאמנים מודלים על הנתונים שלך, ולפי ההסכם שלנו עם Anthropic גם הם לא. אף קריאת AI לא רצה בזמן שעונים על מסכים.

אימיילים, ואיך מכבים אותם

MiBA שולחת את קישור ההתחברות שביקשת, את תוצאת המפגש שבו לקחת חלק, תזכורת ביום המפגש, ואת שתי שאלות המשוב שאחריו. המתג ”בלי תזכורות ובלי הודעות המשך“ בעמוד של מפגש מכבה עבורו את התזכורת ואת אימיילי המשוב. את התוצאה, והאם השולחן הוזמן, עדיין מקבלים, כי זה המפגש עצמו ולא הודעה עליו. רשימת תפוצה שיווקית אין.

עוגיות ואחסון במכשיר שלך

MiBA מציבה ארבע עוגיות, כולן מטעם האתר עצמו. אף אחת מהן לא עוקבת, ואף גורם שלישי לא קורא אותן:

• miba_session שומרת אותך במצב מחובר (30 יום). הכרחית.
• miba_pt_<מפגש> זוכרת שזה אתה בתוך מפגש אחד, כדי שאפשר יהיה לחזור אליו (30 יום). הכרחית.
• miba_next זוכרת, בזמן ההתחברות, לאיזה עמוד להחזיר אותך (30 דקות). הכרחית.
• miba_locale זוכרת את השפה שנבחרה במפורש (שנה).

מעבר לעוגיות, MiBA שומרת דגל אחד ב־session storage של הדפדפן (שאנימציית הפתיחה של מפגש כבר הוצגה; הוא נעלם כשהלשונית נסגרת). ב־MiBA אין סקריפט אנליטיקה, אין הקלטת שימוש, ואין שום JavaScript של צד שלישי, ולכן אין באנר עוגיות: כל מה שלמעלה הוא או הכרחי או בחירה מפורשת שלך.

ספקי שירות (מעבדי משנה)

MiBA רצה על קבוצה קטנה של ספקים, וכל אחד מקבל רק מה שתפקידו דורש:

• Supabase (האיחוד האירופי, אירלנד): מסד הנתונים, והוכחת הבעלות על כתובת האימייל בהתחברות.
• Resend (שולח מהאיחוד האירופי): מוסר את האימיילים של MiBA.
• Vercel (ספק אמריקאי): מארח ומגיש את האפליקציה.
• Anthropic(ארה”ב): קריאת ה־AI שתוארה למעלה; רואה מזהים פנימיים, לעולם לא שמות או אימיילים.
• Google Maps Platform(ארה”ב): חיפוש מסעדות וגיאוקודינג; מקבל אזורי חיפוש ושאילתות על מקומות, לעולם לא שם או אימייל.
• Overpass API (שירות קהילתי של OpenStreetMap): נתוני מפה; מקבל תיבת גבולות גיאוגרפית ושום נתון אישי.
• Inngest(ארה”ב): מתזמן עבודות רקע; מקבל מזהים פנימיים בלבד.
• Sentry (ספק אמריקאי, אזור נתונים באיחוד האירופי): ניטור שגיאות בצד השרת; אין סקריפט של Sentry בדפדפן שלך.

אנחנו לא מוכרים את הנתונים שלך, לא לספקים האלה ולא לאף אחד.

איפה הנתונים נמצאים (העברות בינלאומיות)

הנתונים שלך מאוחסנים באיחוד האירופי: מסד הנתונים באירלנד, וניטור השגיאות באזור הנתונים של Sentry באיחוד האירופי. הספקים האמריקאיים שלמעלה מעבדים את מה שמגיע אליהם תחת הסדרי ההעברה שלהם מול האיחוד (מסגרת EU-US Data Privacy Framework או סעיפים חוזיים סטנדרטיים). אחד משני בעלי השליטה עובד מישראל, שהנציבות האירופית מכירה בה כמדינה עם הגנת מידע נאותה, ולכן הגישה הזו לא דורשת אמצעי הגנה נוספים.

כמה זמן אנחנו שומרים (משך שמירה)

• החשבון שלך (אימייל, שם תצוגה, צרכים תזונתיים): עד שמוחקים אותו.
• מפגשים ותשובות: נשמרים כל עוד השירות פועל, כדי שעמוד הקבוצה והתוצאה ימשיכו לעבוד לכל מי שבה. במחיקת חשבון התשובות מנותקות מהזהות שלך והשם מוסר מהן (ראו בהמשך).
• מונים אנונימיים ויומנים תפעוליים: נשמרים לאיתור תקלות ולהיסטוריית השירות; הם לא מזהים איש, וביומן האימיילים, מפסיקים לזהות אותך כשהחשבון נמחק.

הזכויות והשליטה שלך

• לראות ולשנות מה MiBA יודעת. את השם והצרכים התזונתיים אפשר לערוך בכל רגע בעמוד החשבון.
• לייצא את הנתונים כקובץ JSON מעמוד החשבון: שדות החשבון, ההעדפות השמורות, וכל מפגש עם התשובות והמשוב שלך בו.
• למחוק את החשבון.המחיקה מיידית: כתובת האימייל, שם התצוגה, הצרכים התזונתיים וההעדפות השמורות נמחקים, רשומת ההתחברות אצל ספק האימות שלנו נמחקת, התשובות מנותקות מהזהות שלך, והשם במפגשי העבר מוחלף ב”משתתף לשעבר“.
• כל שאר הזכויות שה־GDPR מקנה (עיון, תיקון, מחיקה, הגבלה, התנגדות, ניידות): כותבים אל privacy@miba.my ואנחנו עונים בתוך חודש.
• להתלונן. אם לדעתך טיפלנו בנתונים שלך רע, אפשר להתלונן לרשות הפיקוח הפורטוגלית CNPD (cnpd.pt), ובישראל גם לרשות להגנת הפרטיות. נשמח להזדמנות לתקן קודם.

ילדים

MiBA לא מיועדת לילדים ולא נועדה לשימוש מתחת לגיל 16. אנחנו לא אוספים ביודעין נתונים מילדים; אם נראה לך שיש לילד או ילדה חשבון, כתבו לנו ונמחק אותו.

שינויים במדיניות הזו

כשהמדיניות משתנה, אנחנו מעדכנים את התאריך למעלה. שינוי מהותי (נתון חדש שנאסף, שימוש חדש, ספק חדש שרואה נתונים אישיים) נודיע עליו בתוך המוצר לפני שהוא חל עליך.