Kimda

מדיניות פרטיות

עדכון אחרון: 27 באוקטובר 2026

הנוסח הצ'כי של מדיניות זו הוא הנוסח המחייב. תרגומים לשפות אחרות נועדו לידיעה בלבד; בכל מקרה של סתירה, הנוסח הצ'כי הוא הקובע.

מסמך זה מתאר אילו נתונים אפליקציית Kimda ("האפליקציה", "אנחנו") והאתר kimda.app מעבדים, למה ובאיזה בסיס חוקי, למי אנחנו מעבירים אותם, לכמה זמן אנחנו שומרים אותם ואילו זכויות יש לכם ולילדיכם. האפליקציה מיועדת לשימוש של כל המשפחה, כולל ילדים – ולכן אנחנו מקפידים במיוחד על הגנת הנתונים.

1. מי הוא בקר הנתונים

בקר הנתונים הוא Mgr. Ivo Slávka, המפעיל את אפליקציית Kimda כעוסק יחיד הרשום בפנקס המסחר המנוהל על ידי ÚMČ Praha 8, מספר זיהוי IČO 30070929, שכתובתו Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, הרפובליקה הצ'כית. כתובת אימייל לפניות בנושאי פרטיות ולמימוש זכויותיכם: privacy@kimda.app.

2. אילו נתונים אנחנו מעבדים ולמה

• פרטי החשבון: שם פרטי, שם משפחה, מספר טלפון, תפקיד (הורה/ילד), השפה וערכת הנושא שנבחרו, תמונת פרופיל אופציונלית, גרסת מדיניות זו והזמן שבו הסכמתם לה, עבור הורה הזמן שבו אישר את בגרותו, ועבור ילד הזמן, גרסת המדיניות וההורה שנתן הסכמה עבור הילד (סעיף 5). השם ותמונת הפרופיל שלך גלויים לחברים אחרים במשפחה שלך באפליקציה (הורה רואה את כל החברים, ילד רואה את הוריו ואחיו).
• מספר הטלפון משמש אותנו לאימות זהות (קוד SMS) ולהתחברות וטביעת האצבע הבלתי הפיכה שלו גם להגנה על תקופת הניסיון Premium (סעיף 6), לאחר שינוי מספר לאימות בקשה להחזרת חשבון שהשתלטו עליו (רשומות אבטחה להלן) ולאחר שחזור מסד הנתונים מגיבוי לעיכוב התחברות למספר שהחשבון עזב בעבר (יומן שינויי טלפון להלן) - האפליקציה לא שולחת למספר הודעות ולא משתפת אותו עם צדדים שלישיים, למעט ספק אימות ה-SMS (Twilio, ראו סעיף 4).
• נתוני המשפחה: שם המשפחה, מי שייך אליה, מה התפקיד וההגדרות של כל אחד (אחוזי חלוקת דמי הכיס, מטבע, שפת המשפחה ואזור הזמן) והיסטוריית השינויים בכללים הפיננסיים (מי שינה ומתי למשל את הריבית, אחוזי החלוקה, המטבע או אזור הזמן ומאיזה ערך לאיזה ערך).
• בקשות הצטרפות: שם פרטי, שם משפחה, תפקיד ומספר טלפון של האדם שרוצה להצטרף למשפחה, וזמן הבקשה - כדי שההורה יראה את מי הוא מאשר.
• בקשות להסכמת הורים: סוג הבקשה (הסרת הורה או מחיקת המשפחה כולה), מי הגיש אותה, במי היא נוגעת ומי אישר, דחה או ביטל אותה (מזהים פנימיים), זמנים (הגשה, מועד אחרון, תזכורת, טיפול) ותוצאה (אושר, נדחה, בוטל, בוצע לאחר חלוף המועד או בוטל תוקפו); איננו שומרים שמות, מספרי טלפון או טקסט חופשי. הבקשות גלויות להורי המשפחה באפליקציה.
• נתוני משימות: שם המשימה, נקודות, מתי בוצעה/אושרה/נדחתה, ותמונות, אם המשימה דורשת תמונה, כולל טביעת האצבע הטכנית של התמונה (ראו סעיף 3).
• תוכניות, שגרות ותזכורות: למי הוקצתה המשימה, היום והשעה המתוכננים, מצב הביצוע, איחור, סדר התורנות והאם נשלחה תזכורת.
• פרסים ויעדים: קטלוג הפרסים המשפחתי, בקשות לפרסים, יעדי חיסכון והסכומים שהילד העביר ליעד. תמונת המצב להורים גוזרת מנתונים אלה את שיעור הביצוע הכולל, העמידה בזמנים וההוגנות בחלוקת המשימות; היא לא יוצרת טבלת דירוג פומבית של הילדים.
• נתונים פיננסיים באפליקציה: נקודות, דמי כיס וירטואליים והחלוקה שלהם, בקשות תשלום, הלוואות וריביות בתוך המשפחה - מדובר ברישומים פנימיים של האפליקציה, לא בנתוני בנק או תשלום אמיתיים. לאפליקציה אין גישה לשום חשבון בנק או כרטיס תשלום. הסיכום החודשי של ילד (מספר המשימות שאושרו, נקודות, ועם Premium גם הסכום לחודש הנוכחי; לא יתרות הקופסאות) גלוי גם לילדים אחרים באותה משפחה, אלא אם כן הורה מכבה זאת בהגדרות המשפחה.
• רשומות תשלומים ישירים והחזרים ידניים: כאשר הורה משלם באפליקציה לילד חלק מיתרתו ישירות (ללא בקשת הילד) או רושם ידנית החזר של הלוואתו, השרת שומר עבור כל פעולה כזו רשומה נפרדת שאינה משתנה עוד. היא כוללת מזהים פנימיים של המשפחה, הילד וההורה שביצע את הפעולה, סוג הפעולה (תשלום ישיר, החזר ידני), סכום, בתשלום את הקופסה שממנה שולם, ופירוט הסכום (בתשלום לחלק מההפקדות העצמיות ולחלק מהריבית שנצברה, בהחזר לקרן ולריבית), זמן הפעולה ומזהה אקראי של הבקשה. הרשומה נועדה לאפשר הוכחה של מה שההורה רשם באפליקציה ומתי, וכדי שסכסוך אפשרי במשפחה יוכל להיבחן על פי הרשומה ולא רק על פי היתרה הסופית. מדובר בתיעוד פנימי של האפליקציה - האפליקציה עצמה אינה מעבירה כספים. הרשומות הן חלק מייצוא הנתונים (סעיף 7) ונשמרות בהתאם לסעיף 6.
• מנוי: מצב המנוי של המשפחה (תקופת ניסיון, Premium, תוקפו וחידושו) וגישה חינמית אפשרית מקוד קידום; קודי הקידום עצמם נשמרים בשרת רק כטביעת אצבע HMAC וניהול הקודים מתועד (מי, מתי, איזו פעולה). איננו רואים את פרטי התשלום - התשלום מעובד על ידי Apple או Google. מסמך ההסכמה לתחילת Premium מיידית, שאותו אנו שומרים כהוכחה להסכמה זו, מתואר בסעיף 6.
• התחברות ואבטחה: הפעלות התחברות של מכשירים בודדים (מתי נוצרו, מתי נעשה בהם שימוש לאחרונה ועד מתי הם תקפים). ההורה רואה בפרופיל סקירה של המכשירים המחוברים שלו (רק זמן ההתחברות והשימוש האחרון, ללא כתובת IP ושם המכשיר) ויכול לנתק אותם בנפרד. השרת שומר אסימוני רענון רק כטביעות אצבע SHA-256, כולל טביעות אצבע של אסימונים שכבר הוחלפו, כדי לזהות שימוש לרעה באסימון שנגנב. בעת בקשת קוד SMS, הוא שומר טביעת אצבע עם מפתח (HMAC-SHA-256) של מספר הטלפון וטביעת אצבע SHA-256 של האתגר החד-פעמי יחד עם מספר הניסיונות, ובשינוי מספר ובאישור מחיקת המשפחה גם את מטרתו ואת המזהה הפנימי של החשבון. הוא מחשב מגבלות על מספר הבקשות, כולל המגבלה היומית של הודעות SMS שנשלחו, על פי טביעת האצבע עם מפתח (HMAC-SHA-256) של כתובת ה-IP או הרשת שלה (IPv4 /24, IPv6 /56), מספר הטלפון, צמד של מספר טלפון ורשת או החשבון, או לפי מדינה או קידומת מספר טלפון. השרת גוזר את המפתח לטביעות אצבע אלו ממפתח סודי הנשמר מחוץ למסד הנתונים, כך שלא ניתן להמיר בחזרה את טביעת האצבע למספר טלפון או לכתובת IP בלעדיו. רשומות אבטחה על אירועים חשובים (למשל התחברות, בקשת הצטרפות, אישור, דחייה או הסרה של חבר, קוד הזמנה חדש, התנתקות מכשיר, שינוי מספר טלפון, אישור המדיניות, הסכמת הורה עבור ילד או חשד לשימוש לרעה באסימון) מכילות את סוג האירוע, הזמן ומזהים פנימיים; בהסרת חבר גם את תפקידו (הורה/ילד), באישור המדיניות והסכמת הורה את גרסת המדיניות ובמחיקת חשבון של ילד שהיה לו חוב, יתרה או בקשות ממתינות, גם את המטבע, הסכומים שנמחקו ומספר הבקשות הממתינות. בנוסף, רשומה על שינוי מספר טלפון מכילה טביעת אצבע בלתי הפיכה של המספר המקורי (HMAC עם מפתח סודי), כדי שהתמיכה תוכל לאמת שבקשה להחזרת חשבון שהשתלטו עליו מוגשת על ידי הבעלים האמיתי של המספר המקורי. שמות, מספרי טלפון וכתובות IP אינם נכללים בהן. שינויים במספר הטלפון והסרה או שחזור של בן משפחה נרשמים בנוסף ביומן נפרד, המתואר בסעיף ”יומן שינויי טלפון וסטטוס חבר“ להלן.
• התראות אבטחה: כאשר הורה מתחבר באמצעות קוד SMS, הורים אחרים במשפחה מקבלים התראה כללית ללא שם ומספר טלפון; בכל התחברות באמצעות קוד SMS (של הורה ושל ילד) תתקבל התראה כללית על התחברות חדשה גם במכשירים המחוברים כעת של אותו חשבון. בעת שינוי מספר טלפון (המספר החדש מאומת באמצעות קוד SMS), השרת מנתק את שאר המכשירים המחוברים של החשבון, והתראה כללית נשלחת למכשירים הקיימים של החשבון ולהורים במשפחה; המספר המקורי אינו נשמר עוד – תישאר רק טביעת האצבע הבלתי הפיכה שלו ברשומת האבטחה על השינוי (30 ימים, ראו סעיף 6), טביעות אצבע בלתי הפיכות של המספר המקורי והחדש ביומן שינויי הטלפון (60 ימים, ראו להלן וסעיף 6) ועבור הורה שהיה חבר במשפחה במהלך תקופת הניסיון שלה, גם טביעת אצבע לפי סעיף 6. כאשר המספר משוחזר על ידי התמיכה לבקשת בעל החשבון, היא מאמתת תחילה את זהותו: באמצעות קוד SMS שנשלח למספר המקורי, שטביעת האצבע שלו חייבת להיות תואמת לטביעת האצבע ברשומה על שינוי המספר. כאשר אימות כזה אינו אפשרי (רשומת השינוי כבר אינה קיימת או שלבעלים אין את המספר המקורי), היא תאמת את זהותו באמצעות אישור מהורה אחר במשפחה (המאומת באמצעות קוד SMS שנשלח למספר של הורה זה) ובאמצעות תשובות לשאלות שתשאל התמיכה; במקרה כזה היא שולחת תחילה התראה למכשירי החשבון ולהורים במשפחה, ומחזירה את המספר לא לפני 72 שעות אם אף אחד לא מתנגד לכך; תראו התראה זו לאחר ההתחברות וגם ישירות באפליקציה לאורך כל התקופה. ללא אימות כזה התמיכה לא תשחזר את המספר ולא תבטל שום בקשה – היא יכולה רק לנתק את החשבון בכל המכשירים. אם התמיכה כבר החזירה את אותו חשבון פעם אחת ב-30 הימים האחרונים, היא רואה בבקשה הבאה סכסוך ולא תשחזר את המספר ללא בדיקה נוספת. לאחר השחזור השרת מנתק את החשבון בכל המכשירים, הורים במשפחה מקבלים התראה כללית והפעולה מתועדת (מי ביצע אותה, מתי, לאיזה חשבון היא נוגעת וקישור לבקשתכם – ללא מספר טלפון). הורים יקבלו התראה כללית גם בעת מחיקת חשבון של ילד, בעת הסרת הורה אחר (גם ההורה שהוסר) ובמקרה של חשד לשימוש לרעה באסימון התחברות; במקרה זה השרת מנתק את החשבון בכל המכשירים ומבטל את רישומיו להתראות. התראות אבטחה (למשל על התחברות או מכשיר חדש, שינוי מספר טלפון, שינוי כללים פיננסיים, הסרת חבר, מחיקת חשבון של ילד או חשד לשימוש לרעה באסימון) נשמרות על ידי השרת תחילה בתור (סוג ההתראה, הנמען - אסימון push של המכשיר או מזהה פנימי של המשפחה או החשבון ושפה - וסוג טכני כללי של האירוע) ורק משם הוא מוסר אותן; התראה בעת שחזור חשבון שהשתלטו עליו על ידי התמיכה (לעיל) נשלחת ישירות. אם התראה להורים או למכשירי החשבון של חבר משפחה לא נמסרה גם לאחר ניסיונות חוזרים ונשנים, השרת שומר רק את המזהה הפנימי של המשפחה, סוג ההתראה וזמן (ללא אסימון push וללא שם), כדי שההורה יראה באפליקציה לאחר ההתחברות הבאה איזו התראה זו הייתה, ויוכל לאשר אותה; אם לנמען אין אף מכשיר שאליו ניתן לשלוח התראה, רשומה כזו לא נוצרת. תקופות השמירה נקבעות בסעיף 6.
• יומן שינויי טלפון וסטטוס חבר: לצד רשומות האבטחה שלעיל, השרת מנהל עבור כל שינוי של מספר טלפון של החשבון (בין אם ביצעתם אותו בעצמכם בפרופיל ובין אם התמיכה ביצעה אותו לבקשתכם) ועבור כל הסרה או שחזור של בן משפחה רשומה נפרדת ביומן. הרשומה מכילה מזהה אקראי של הרשומה, מזהים פנימיים של החשבון והמשפחה, סוג האירוע (שינוי מספר, שחזור מספר על ידי התמיכה, הסרת חבר, שחזור חבר), זמן האירוע ו-רק בשינוי מספר- טביעות אצבע בלתי הפיכות של המספר המקורי והחדש (HMAC-SHA-256 עם מפתח סודי שנשמר מחוץ למסד הנתונים). בהסרה ובשחזור של חבר אין טביעות אצבע. מספרי טלפון, שמות וכתובות IP אינם מופיעים ביומן. לא ניתן להמיר את טביעת האצבע בחזרה למספר טלפון ללא המפתח הסודי, אך מכיוון שהיא מקושרת למזהה הפנימי של החשבון, מדובר בנתון פסאודונימי ולא בנתון אנונימי. היומן משמש אך ורק להגנה מפני השלכות של שחזור מסד הנתונים מגיבוי: כדי שלא יחזור לחשבון מספר שהחשבון עזב בינתיים (ושמישהו אחר יכול היה לקבל), וכדי להחיל מחדש הסרה של בן משפחה שאינה נכללת בגיבוי. לכן, בעת התחברות בקוד SMS ובאימות מספר טלפון, השרת משווה את טביעת האצבע של המספר שהוזן לרשומה האחרונה ביומן; אם אינה תואמת, הוא מעכב את ההתחברות ומפנה לתמיכה. הרשומה נשמרת במסד הנתונים ובדרך כלל תוך מספר דקות גם בעותק באחסון נפרד שאינו ציבורי ב-Cloudflare R2 (סעיף 4), כדי לשרוד אובדן של מסד הנתונים בין גיבויים. תקופות השמירה מוגדרות בסעיף 6.
• נתונים טכניים: אסימון push ומזהה מכשיר אקראי שהאפליקציה יוצרת למסירת התראות (זה אינו מזהה חומרה), זמן הרישום האחרון של המכשיר, ההתחברות שאליה שייך הרישום, וטביעת אצבע SHA-256 של סוד התקנה אקראי, שבאמצעותו המכשיר מוכיח שאסימון ה-push שייך לו. לאחר שחרור הרישום (התנתקות, הסרת חבר, חסימת אבטחה או ניקוי אוטומטי), השרת זוכר שתי רשומות מוגבלות בזמן, כדי שחשבון זר לא יוכל להשתלט על התראות המכשיר: (א) רשומה על אסימון push ששוחרר - טביעות אצבע SHA-256 של אסימון ה-push ושל סוד ההתקנה, מזהה משפחה פנימי וזמן השחרור (כך שאסימון ששוחרר לא יוכל להילקח על ידי חשבון ממשפחה אחרת); ו-(ב) רשומה על מכשיר ששוחרר - מזהה חשבון פנימי, מזהה מכשיר אקראי, אותן טביעות אצבע וזמן השחרור (כך שמכשיר ששוחרר לא יוכל, ללא הוכחה שמדובר באותה התקנה, להילקח מחדש על ידי הפעלת התחברות אחרת של אותו חשבון, למשל הפעלה שנגנבה). בנוסף, השרת שומר למשך 30 ימים רשומה על רישום המכשיר (מזהה פנימי של החשבון והמכשיר, טביעת אצבע של אסימון ה-push, סוג האירוע וזמן), שעל פיה הוא עוקב אחר מגבלת רישומי מכשירים חדשים ב-24 שעות. תקופות השמירה מוגדרות בסעיף 6; רשומה על מכשיר ששוחרר אינה מנוהלת בעת מחיקת חשבון. בנוסף, יומני תפעול של השרת (למשל מצבי שגיאה) ללא מספרי טלפון ותוכן הבקשות. בטלפון, האפליקציה שומרת אסימוני התחברות באחסון מאובטח וזוכרת את השפה וערכת הנושא שנבחרו; היא גם מוסרת את השפה שנבחרה לשרת כדי שהתראות יגיעו בשפה שלך. מה שהאפליקציה שולחת ישירות לשירותי Expo ו-Sentry מתואר בסעיף 4.

למה אנחנו מעבדים נתונים ובאיזה בסיס חוקי:

• חשבון משפחתי ופונקציות האפליקציה (הרשמה, משפחה, משימות ותמונות, תוכניות, תזכורות, פרסים, יעדים, דמי כיס כולל רשומות תשלומים ישירים והחזרים ידניים, התראות ומנוי): קיום חוזה, כלומר תנאי השימוש (Art. 6(1)(b) GDPR). רשומות תשלומים ישירים והחזרים ידניים והיסטוריית שינויים של כללים פיננסיים אנו מעבדים בנוסף על בסיס האינטרס הלגיטימי שלנו בהוכחת פעולות פיננסיות וכללים באפליקציה ובפתרון סכסוכים במשפחה (Art. 6(1)(f) GDPR). מסמך ההסכמה לתחילת Premium מיידית והעתק שלו מחוץ למסד הנתונים אנו מעבדים בנוסף על בסיס האינטרס הלגיטימי שלנו בהוכחת הסכמה זו ובהגנה על תביעות משפטיות (Art. 6(1)(f) GDPR). לגבי נתוני ילדים ראו סעיף 5.
• התחברות מאומתת בקוד SMS: קיום חוזה (Art. 6(1)(b) GDPR) - ללא מספר טלפון מאומת לא ניתן להתחבר לאפליקציה.
• אבטחה והגנה מפני שימוש לרעה (הפעלות וטביעות אצבע של אסימונים, אתגרי קוד SMS, מגבלות מספר בקשות ומגבלת SMS יומית, רשומות אבטחה, יומן שינויי טלפון וסטטוס חבר, זיכרון של אסימוני push ומכשירים ששוחררו, רשומת רישום מכשיר ומגבלת רישום מכשירים חדשים ב-24 שעות, תור של התראות אבטחה ותיעוד של התראות שלא נמסרו, יומני תפעול, טביעת אצבע של מספר טלפון למניעת ניצול חוזר של תקופת הניסיון, בקשות להסכמת הורים המגנות על המשפחה מפני הסרה חד-צדדית של הורה או מחיקה, ואימות זהות כאשר התמיכה מחזירה חשבון שהשתלטו עליו, כולל תיעוד של פעולות כאלה): האינטרס הלגיטימי שלנו בתפעול בטוח של השירות, הגנה על חשבונות הורים וילדים והגנה מפני שימוש לרעה באימות SMS (Art. 6(1)(f) GDPR).
• תיקון שגיאות ועדכוני אפליקציה (דיווחי שגיאות דרך Sentry, עדכונים דרך Expo): האינטרס הלגיטימי שלנו באפליקציה יציבה ובטוחה (Art. 6(1)(f) GDPR).
• טיפול בבקשותיכם לפי סעיף 7 ותיעוד של איך ומתי טיפלנו בהן (למשל מצב המחיקה שבוצעה, יומן מחיקות שבוצעו ומשימת מחיקה חיצונית): קיום חובה חוקית (Art. 6(1)(c) GDPR).
• מדידת פרסום באתר kimda.app (Meta Pixel): הסכמתכם (Art. 6(1)(a) GDPR), ראו סעיף 9.

אתם יכולים להתנגד לעיבוד המבוסס על אינטרס לגיטימי (סעיף 7). מספר הטלפון הכרחי להרשמה ולהתחברות; בלעדיו לא ניתן להשתמש באפליקציה. תמונת פרופיל היא רשות ותמונת משימה שבוצעה נדרשת רק עבור משימות שבהן ההורה דורש זאת. איננו משתמשים בקבלת החלטות אוטומטית או ביצירת פרופילים בעלי השפעות משפטיות או השפעות משמעותיות דומות (Art. 22 GDPR); מגבלות אבטחה אוטומטיות, שלמשל חוסמות זמנית ניסיונות נוספים לקוד SMS, משמשות רק להגנה על החשבונות והשירות.

3. תמונות של משימות

תמונות שהילד (או ההורה עבורו) מעלה למשימה גלויות רק לבני אותה משפחה (ההורים והילדים באפליקציה). הן אינן ציבוריות, והאפליקציה לא משתפת אותן עם שום אפליקציה אחרת או רשת חברתית. ניתן לצלם תמונה למשימה רק באמצעות המצלמה באפליקציה. האפליקציה ואחריה השרת מסירים מהתמונה מטא-נתונים (למשל מיקום GPS או נתוני מצלמה) לפני השמירה. התמונות נשמרות באחסון אובייקטים לא ציבורי (ראו סעיף 4) והשרת ימסור אותן רק לחבר מחובר מאותה משפחה. ההורה יכול לבקש את מחיקתן בכל עת.

עבור כל תמונה שמועלית, השרת מחשב טביעת אצבע טכנית (סכום ביקורת וטביעת אצבע חזותית פשוטה של 64 ביט). היא משמשת רק כדי שהאפליקציה תזהה מתי נעשה שימוש חוזר באותה תמונה או בתמונה כמעט זהה עבור משימה, וכדי לוודא שהתמונה שייכת למשימה שעבורה הילד צילם אותה זה עתה באפליקציה. לא ניתן להציג או לשחזר את התמונה מטביעת האצבע, והיא נמחקת יחד עם התמונה. הרישום של אתגר הזמן לתמונה (מי ביקש אותה באפליקציה, לאיזו משימה ומתי) נמחק על ידי השרת לאחר 7 ימים. ההורה רואה אזהרה ליד התמונה כאשר לתמונה אין בדיקת זמן חוקית של האפליקציה או שהיא דומה מאוד לתמונה קודמת, כעזר בעת האישור; הבדיקה אינה מבטיחה שלא ניתן לזייף את התמונה.

4. למי אנחנו מעבירים נתונים והעברה מחוץ לאיחוד האירופי

אנחנו מעבירים נתונים רק לספקים שמבטיחים עבורנו את תפעול האפליקציה (מעבדים), ורק בהיקף הדרוש להם לשם כך. המעבדים רשאים להשתמש בנתונים רק לאספקת השירות שלהם עבורנו ועל פי ההוראות שלנו. Apple ו-Google פועלות כבקרי נתונים עצמאיים ברכישות בחנויות.

• ספק האירוח (Railway) - מפעיל את שרת האפליקציה ואת מסד הנתונים שבו נשמרים נתוני האפליקציה.
• Cloudflare - אחסון האובייקטים הפרטי R2 שומר תמונות פרופיל ותמונות של משימות שבוצעו שהועברו בהצפנה, גיבויי מסד נתונים (שהוצפנו עוד לפני השליחה כך שניתן לפענח אותם רק באמצעות מפתח פרטי הנשמר מחוץ לענן), יומן של מחיקות שבוצעו (רק מזהים פנימיים, סוג המחיקה וזמן), יומן שינויי טלפון וסטטוס חבר (סעיף 2: מזהים פנימיים, סוג וזמן האירוע ובשינוי מספר טביעות אצבע בלתי הפיכות של המספרים) ועותק של ההוכחה להסכמה להתחלה מיידית של Premium (סעיף 6: מזהים פנימיים של המשפחה ושל המשתמש, זמן ההסכמה, התוכנית שנבחרה, תחילת התקופה ששולמה, מזהה עסקת החנות וגרסת הטקסט שהוצג) ב-buckets לא ציבוריים; הגישה לתמונות ממשיכה להיות מנוהלת על ידי ה-backend של Kimda הדורש התחברות. Cloudflare גם מפעילה את האתר kimda.app (סעיף 9).
• Twilio (אימות הטלפון בקוד SMS) - מקבל את מספר הטלפון ואת הקוד שאתם מזינים, רק לשם מסירת קוד ה-SMS ואימותו.
• Expo (650 Industries) - ראשית, מוסר התראות: מקבל את אסימון ה-push של המכשיר, מזהה ההתקנה להתראות, אסימון מקומי של Apple או Google, טקסט או אמוג'י כללי של ההתראה וסוג טכני כללי של האירוע. איננו שולחים מזהי מסד נתונים, שמות, שמות משימות או סכומים בהודעת ה-push. Expo מעבירה את ההודעה לשירות ה-push של Apple (Apple Push Notification service) או Google (Firebase Cloud Messaging). שנית, מוסר עדכוני אפליקציה (EAS Update): האפליקציה שואלת את שרתי Expo בכל הפעלה אם קיים תיקון. Expo מקבלת את כתובת ה-IP של המכשיר, הפלטפורמה, גרסת האפליקציה, מזהה העדכון המותקן, ואם יש, את טקסט השגיאה האחרונה שסגרה את האפליקציה, ומזהה התקנה אקראי EAS-Client-ID שהאפליקציה שומרת באופן קבוע בטלפון ושאינו משתנה גם לאחר התנתקות. איננו מקשרים אותו לחשבון שלכם והאפליקציה אינה שולחת אותו לשרת שלנו.
• Apple ו-Google - כבקרי נתונים עצמאיים מעבדים רכישה וניהול של מנויים ב-App Store וב-Google Play; כשירותי push (Apple Push Notification service, Firebase Cloud Messaging) מוסרים התראות למכשירים.
• RevenueCat (עיבוד מנויים דרך App Store / Google Play בחשבונות הורים בלבד) - מעבד את מזהה המשפחה, היסטוריית הרכישות, קבלת Apple או אסימון הרכישה של Google, מועד השימוש האחרון ונתונים טכניים של המכשיר (למשל סוג המכשיר ומערכת ההפעלה). הוא אינו מקבל מ-Kimda את השם או את מספר הטלפון של ההורה או של הילד. באפליקציה לא מופעלים שילובי הפרסום/הייחוס של RevenueCat, ואין איסוף ידני של מזהי פרסום.
• Sentry (דיווחי שגיאות טכניים של האפליקציה והשרת, לתיקון תקלות) - מקבל את סוג השגיאה, המיקום בקוד, גרסת האפליקציה ומערכת ההפעלה. האפליקציה והשרת מוגדרים כך שלא ישלחו אליו שם, טלפון, אסימון התחברות, תוכן בקשות או כתובת IP. הארגון Kimda ב-Sentry מנוהל באזור הנתונים של האיחוד האירופי (גרמניה).
• ספק אימייל (Spaceship, שירות Spacemail) - מוסר ושומר אימיילים שאתם שולחים אלינו ל-privacy@kimda.app או support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google ו-Meta (סעיף 9) הן חברות שממוקמות או בעלות רקע בארה"ב, ולכן עשויות לעבד נתונים גם מחוץ לאזור הכלכלי האירופי. בהעברות מחוץ לאזור הכלכלי האירופי אנחנו משתמשים במנגנון לפי פרק V של ה-GDPR, החל על הנמען והעיבוד הספציפיים - בדרך כלל הסמכה של הנמען במסגרת EU-USA Data Privacy Framework (החלטת נאותות של הנציבות האירופית, Art. 45 GDPR) או סעיפים חוזיים סטנדרטיים שאושרו על ידי הנציבות האירופית (Art. 46(2)(c) GDPR). מידע על המנגנון אצל נמען ספציפי ועל המקום שבו ניתן לקבל עותק של הערובות הרלוונטיות נספק לכם לפי בקשה ב-privacy@kimda.app.

איננו מוכרים נתונים מהאפליקציה, איננו משתפים אותם עם מפרסמים ואיננו משתמשים בהם לפרסום ממוקד. מדידת פרסום באתר kimda.app בהסכמת המבקר מתוארת בסעיף 9.

5. הסכמת ההורה ותפקיד הילדים

הקמת האפליקציה (תפקיד "הורה" ומשפחה חדשה) מותרת רק לאדם בגיר. חשבון בתפקיד "ילד" נוצר תמיד רק לאחר הצטרפות באמצעות קוד הזמנה שרק ההורה מכיר - כך שילד יכול להצטרף רק בידיעת ההורה שמשתף את הקוד ובהסכמתו. בנוסף, כל הצטרפות של ילד או הורה נוסף חייבת להיות מאושרת במפורש על ידי הורה באפליקציה; עד לאישור, החבר החדש רואה מהמשפחה רק את שמה. קוד ההזמנה של המשפחה תקף ל-48 שעות, בקשה שלא אושרה נמחקת אוטומטית לאחר 72 שעות ובקשה שנדחתה או בוטלה נמחקת מיד. בהרשמה בתפקיד "הורה" אתם מאשרים שאתם בגירים ושיש לכם זכות חוקית להסכים לעיבוד הנתונים של ילדיכם באפליקציה.

אנו מעבדים את נתוני הילד רק בהיקף הדרוש לתפקוד החשבון המשפחתי שההורה הקים ומנהל, כלומר לקיום החוזה עם ההורה (Art. 6(1)(b) GDPR). ההורה כאפוטרופוס חוקי מחליט על שילוב הילד: משתף את קוד ההזמנה, מאשר במפורש את הצטרפות הילד ויכול להסיר את הילד מהמשפחה בכל עת או לבקש למחוק את חשבונו. הילד בעת ההרשמה רק לוקח לתשומת לבו את המדיניות; ההסכמה לעיבוד נתוניו ניתנת על ידי ההורה כאשר הוא מאשר באפליקציה את הצטרפות הילד, והשרת מתעד את הזמן, ההורה וגרסת המדיניות. עבור ילדים שאושרו בגרסה ישנה יותר של האפליקציה, האפליקציה תבקש בדיעבד מההורה את ההסכמה החסרה. אם העיבוד דורש הסכמה והילד טרם מלאו לו 15 שנים (מגבלת הגיל בצ'כיה לפי Art. 8 GDPR ו-Section 7 of Act No. 110/2019 Coll., on personal data processing), ההורה נותן את ההסכמה עבור הילד. את זכויות הילד לפי סעיף 7 יכול ההורה לממש עבורו.

6. לכמה זמן אנחנו שומרים נתונים

את נתוני החשבון והמשפחה אנחנו שומרים עד שהמשתמש מבקש למחוק את החשבון או את המשפחה כולה. חוסר פעילות באפליקציה כשלעצמו אינו מפעיל מחיקה אוטומטית. לכן אין צורך שהמשתמש יפתח את האפליקציה באופן קבוע כדי לא לאבד את היסטוריית המשפחה, והוא יכול להתחיל את המחיקה בכל עת ישירות באפליקציה או לבקש אותה בכתובת privacy@kimda.app. את היסטוריית השינויים בכללים הפיננסיים (סעיף 2) אנו שומרים לאורך כל זמן קיומה של המשפחה, ללא הגבלת זמן והגבלה כמותית כוללת (משפחה רשאית לשמור שינויים בכללים הפיננסיים לכל היותר 30 פעמים בשעה), מכיוון שהיא משמשת כהוכחה בלתי ניתנת לשינוי למי מתי שינה את הכללים, למשל בסכסוך בין הורים; לא ניתן לערוך או למחוק אותה באפליקציה. לאחר מחיקת המשפחה כולה (סעיף 7) השרת ימחק אותה בניקוי הקרוב; מחיקת חשבון של חבר בודד אינה משנה אותה ונשאר בה רק מזהה פנימי ללא שם.

עבור רשומות אחרות חלים המועדים הבאים:

• אתגרי קוד SMS (טביעות אצבע של מספר הטלפון והאתגר): תקפים ל-10 דקות; לאחר אימות מוצלח השרת מוחק אותם מיד, אחרת לכל המאוחר שעה לאחר פקיעתם.
• מגבלות מספר בקשות ומגבלת SMS יומית (טביעות אצבע): השרת מוחק אותן 24 שעות לאחר תום התקופה הנעקבת; מגבלת ה-SMS היומית מסתיימת תמיד בחצות UTC.
• הפעלות התחברות: אסימון ההתחברות תקף ל-15 דקות; ההפעלה מסתיימת לאחר 30 ימים של חוסר פעילות, לכל המאוחר לאחר 90 ימים, או קודם לכן על ידי התנתקות. השרת מוחק הפעלה שהסתיימה, כולל טביעות אצבע של אסימונים, 30 ימים לאחר סיומה.
• הזמנות ובקשות הצטרפות: קוד ההזמנה של המשפחה תקף ל-48 שעות והזמנה להורה נוסף ל-24 שעות; בקשת הצטרפות שלא אושרה נמחקת אוטומטית לאחר 72 שעות, בקשה שנדחתה או בוטלה נמחקת מיד. רישום על הזמנה להורה נוסף (קוד, מי יצר אותה ומי השתמש בה) נמחק על ידי השרת 30 ימים לאחר פקיעתה, השימוש בה או ביטולה.
• רשומות אבטחה במסד הנתונים (סעיף 2): השרת מוחק אותן בעצמו לאחר 30 ימים. יומן שינויי טלפון וסטטוס חבר כפוף לתקופה משלו המפורטת להלן.
• יומן שינויי טלפון וסטטוס חבר (סעיף 2): השרת מוחק רשומה במסד הנתונים לכל המוקדם 60 ימים לאחר יצירתה, וזאת רק לאחר שהעתיק אותה לאחסון נפרד (עותק נוצר בדרך כלל תוך מספר דקות). רשומה שהעתקתה לא צלחה, השרת אינו מוחק עד שההעתקה תצליח, ולכן היא תישאר במסד הנתונים גם יותר מ-60 ימים. עותק באחסון הנפרד שאינו ציבורי ב-Cloudflare R2 נמחק על ידי האחסון בעצמו לאחר 60 ימים ממועד שמירתו. בעת מחיקת חשבון או המשפחה כולה (סעיף 7), השרת מוחק ממסד הנתונים את רשומות היומן של החשבון או המשפחה שנמחקו; העותק שלהן באחסון יימחק לכל המאוחר 60 ימים לאחר שמירתו.
• תמונות: תמונות לא משויכות, שלא ניתן היה לקשר לפרופיל או למשימה, השרת מסיר לאחר 24 שעות; את הרישום של אתגר הזמן לתמונה הוא מוחק לאחר 7 ימים (סעיף 3) ורישום טכני על תמונה שנמחקה (רק מזהים פנימיים) 30 ימים לאחר מחיקת התמונה.
• אסימון push ומזהה מכשיר: עד להתנתקות המכשיר, הסרת החבר מהמשפחה או מחיקת החשבון, או עד ש-Apple או Google מסמנות אותו כלא חוקי. בנוסף, השרת מוחק אותם בעצמו כאשר האפליקציה לא חידשה את רישום המכשיר במשך 90 ימים (היא מחדשת אותו בכל התחברות והפעלה), או כאשר למשתמש אין הפעלת התחברות תקפה יותר מ-30 ימים. לאחר התנתקות המכשיר (גם מרחוק בפרופיל) או סיום ההתחברות שלו, שום דבר לא נמסר למכשיר. יוצאים מן הכלל הם רישומים מתקופה שלפני פריסת גרסה זו, שהאפליקציה לא חידשה מאז: התנתקות של מכשיר אחד מרחוק לא תנתק אותם, האפשרות התנתק מכל המכשירים כן; אחרת השרת ימחק אותם על פי התקופות שלעיל. השרת מוחק את הרשומה על אסימון push ששוחרר (טביעות אצבע, משפחה וזמן) לאחר 30 ימים, או מוקדם יותר אם המכשיר נרשם מחדש. רשומה על מכשיר ששוחרר (מזהה חשבון פנימי, מזהה מכשיר אקראי, טביעות אצבע וזמן) נמחקת על ידי השרת לאחר 91 ימים - כלומר רק לאחר תום התוקף האפשרי הארוך ביותר של הפעלת התחברות (90 ימים) - או מוקדם יותר אם מכשיר של אותו חשבון נרשם מחדש. רשומה על מכשיר ששוחרר אינה מנוהלת בעת מחיקת חשבון; אם היא כבר נוצרה בעת תחילת המחיקה, השרת מוחק אותה עם השלמתה. תקופת השמירה של רשומה על אסימון push ששוחרר נשארת בכך ללא שינוי. טביעת אצבע טכנית של אסימון push בתזכורת שנשלחה משמשת רק לאימות המסירה; השרת מוחק אותה לאחר הערכת המסירה, לכל המאוחר 30 ימים לאחר השליחה. רשומה על רישום המכשיר (מזהה פנימי של חשבון ומכשיר, טביעת אצבע של אסימון push, סוג האירוע וזמן; סעיף 2) נמחקת על ידי השרת לאחר 30 ימים מהיווצרותה, גם אם תמחקו את החשבון בינתיים.
• תור התראות אבטחה והתראות שלא נמסרו (סעיף 2): נתונים על נמען ההתראה (אסימון push של המכשיר או מזהה פנימי של המשפחה או החשבון ושפה) יוסרו על ידי השרת מרשומת התור השמורה מיד לאחר המסירה או לאחר ויתור על המסירה, אך לכל המאוחר 7 ימים לאחר היווצרות ההתראה; רק המזהה הפנימי של המשפחה (ובמקרה של שגיאת מסד נתונים חריגה, גם של החשבון באופן זמני) יכול להישאר בו עד לרישום רשומה על התראה שלא נמסרה (להלן). הרשומה שנותרה (סוג ההתראה, סוג טכני כללי של האירוע, זמן והודעת שגיאה טכנית) תימחק 30 ימים לאחר העיבוד. רשומה על התראה שלא נמסרה להורים (מזהה פנימי של המשפחה, סוג ההתראה וזמן, ללא אסימון push וללא שם) הוא שומר עד שההורה יאשר אותה באפליקציה; רשומה שאושרה תימחק ברגע שהיא ישנה מ-90 ימים. רשומה של משפחה שכבר אינה קיימת תימחק בניקוי הקרוב.
• תשובות שמורות של פעולות פיננסיות: כדי שבקשה חוזרת לאחר כשל ברשת לא תרשום תשלום, הלוואה או פעולה פיננסית אחרת פעמיים, השרת זוכר את התשובה אליה למשך 30 ימים. הרשומה עצמה של הפעולה (סוג הפעולה, המזהה האקראי שלה, מזהים פנימיים של המשפחה, הגורם המבצע והחבר הנוגע בדבר, טביעת האצבע SHA-256 של הבקשה והזמן) היא חלק מההיסטוריה הפיננסית ונשמרת עד למחיקת החשבון או המשפחה.
• רשומות תשלומים ישירים והחזרים ידניים (סעיף 2): בשונה מהתשובה השמורה שלעיל, שנמחקת לאחר 30 ימים, רשומות אלה נשמרות עד למחיקת הילד שהן נוגעות אליו או המשפחה כולה (סעיף 7).
• רשומות שמורות של בקשות חוזרות של המתכנן: כדי שבקשה חוזרת לאחר נפילת רשת לא תיצור את תוכנית המשימות פעמיים, השרת שומר למשך 60 ימים רשומה על היווצרותה (מזהים פנימיים של המשפחה וההורה, סוג הפעולה, מזהה אקראי של הבקשה, טביעת אצבע SHA-256 של פרמטרי התוכנית שהוזנו, קישור לתוכנית שנוצרה וזמן). השרת מוחק את הרשומה גם בעת מחיקת החשבון של ההורה שיצר את התוכנית, ובעת מחיקת המשפחה כולה (סעיף 7).
• בקשה למחיקת חשבון: בקשת מחיקה שלא אושרה פוקעת לאחר 45 ימים ונמחקת לכל המאוחר לאחר 400 ימים נוספים; את הרשומה על המחיקה שבוצעה (רק מזהים פנימיים ומצב, ללא שמות ואנשי קשר) אנו שומרים כהוכחה שטיפלנו בבקשתכם, וזאת ל-3 שנים מהטיפול. באותו היקף (מזהה אקראי פנימי של החשבון או המשפחה, סוג המחיקה וזמן) אנו מנהלים יומן של מחיקות שבוצעו, כדי שלאחר שחזור אפשרי של מסד הנתונים מגיבוי יוחלו מחדש כל המחיקות המאוחרות יותר. השרת מוחק את רשומת היומן במסד הנתונים לכל המוקדם 180 ימים לאחר היווצרותה, וזאת רק לאחר שהעתיק אותה לאחסון נפרד (העותק נוצר בדרך כלל תוך מספר דקות); השרת אינו מוחק רשומה שלא הצליח להעתיק עד שההעתקה תצליח. האחסון עצמו מוחק עותק באחסון נפרד לא ציבורי לאחר 60 ימים משמירתו. ייצוא מוצפן של היומן, שהוא חלק מגיבוי מסד הנתונים, יפוג יחד עם הגיבוי (לכל המאוחר לאחר 30 ימים).
• בקשות להסכמת הורים: בקשה פתוחה תקפה למשך 14 ימים; היא תוארך רק אם בינתיים נוסף הורה למשפחה (בבקשה למחיקת המשפחה יקבל ההורה החדש 14 ימים משלו, אך לכל היותר עד תום תקופת הגנה אפשרית לאחר הסרת הורה אחר), או לאחר שחזור מסד הנתונים מגיבוי (למעט בקשה למחיקת המשפחה, התקפה רק עד תום תקופת ההגנה). בקשה למחיקת המשפחה, שהייתה פוקעת במהלך תקופת 14 הימים לאחר הסרת הורה אחר, נמשכת עד תום תקופה זו ולאחר מכן פוקעת. במהלך תקופת 14 הימים לאחר הסרת הורה אחר לא ניתן למחוק את המשפחה; בקשה למחיקת המשפחה שהוגשה בתקופה זו תפקע לאחר סיומה. לאחר תום התקופה, ההורה היחיד שנותר יכול למחוק את המשפחה ישירות בפרופיל. השרת מוחק בקשה שטופלה לאחר 90 ימים.
• טביעת אצבע של מספר טלפון לאחר מחיקת חשבון או שינוי מספר: כדי שלא ניתן יהיה לקבל שוב ושוב את תקופת הניסיון של Premium על ידי מחיקת החשבון והרשמה מחדש, השרת שומר בעת מחיקת חשבון של הורה שהיה חבר במשפחה במהלך תקופת הניסיון שלה ובעת שינוי מספר של הורה כזה (גם אם המספר שונה על ידי התמיכה לבקשתו) רק את טביעת האצבע של מספר הטלפון הקודם (HMAC עם מפתח סודי) ואת הזמן – לא את המספר עצמו. רישום חדש עם אותו מספר לא יקבל את תקופת הניסיון. השרת מוחק את טביעת האצבע לאחר 12 חודשים.
• אימיילים שאתם שולחים אלינו: למשך הזמן הדרוש לטיפול בפנייתכם או בבקשתכם ולהוכחת האופן שבו טיפלנו בה.
• תיעוד פעולות התמיכה והניהול: רשומת הפעולה במסד הנתונים (סוג הפעולה, מי ביצע אותה, מתי, לאיזו משפחה היא נוגעת ומספר הבקשה – ללא שמות ומספרי טלפון; כך אנו מתעדים את שחזור המספר וניתוק המכשירים על ידי התמיכה, ייצוא נתוני המשפחה לפי בקשה וניהול קודי קידום וגישה חינמית) השרת מוחק אותה בעצמו לאחר 3 שנים. יומן בקשות התמיכה (מספר הבקשה, תאריך, מזהה פנימי של החשבון, אופן אימות הזהות והתוצאה – ללא מספר טלפון) אנו מנהלים אותו באופן מוצפן מחוץ למסד הנתונים ושומרים אותו גם כן למשך 3 שנים כהוכחה לאופן שבו טיפלנו בבקשה.

יומני תפעול ואבטחה בסביבת הייצור של האירוח מותר לשמור 30 ימים לכל היותר. Sentry שומרת דיווחי שגיאות טכניים של האפליקציה והשרת 90 ימים לכל היותר, כדי שנוכל לאתר ולתקן שגיאות שמתגלות רק לאחר שחרור גרסה חדשה של האפליקציה; גיבויים תפעוליים אפשריים של Sentry נמחקים לכל המאוחר 90 ימים לאחר יצירתם. גיבויי מסד נתונים מבוצעים מדי יום, מוצפנים עוד לפני שליחתם מסביבת הייצור ונמחקים 30 ימים לאחר יצירתם, כך שנתונים שנמחקו קודם לכן יישארו בהם לכל היותר 30 ימים; הם אינם משמשים לשחזור רגיל של חשבון שנמחק. אם נצטרך לשחזר את מסד הנתונים מגיבוי, נחיל מחדש מחיקות שבוצעו לאחר יצירת הגיבוי בהתאם ליומן המחיקות. הגדרות האירוח, מסד הנתונים והאחסון חייבות לאכוף טכנית את המועדים האלה, והמפעיל בודק אותן באופן קבוע.

אם לא ניתן להשלים מיד את מחיקת הרשומה אצל ספק המנויים החיצוני, Kimda מבצע אנונימיזציה של הנתונים האישיים המקומיים לאחר הסרת המדיה, ללא כל דיחוי נוסף. לצורך חזרה בטוחה על הבקשה החיצונית הוא משאיר רק מזהה אקראי פנימי של המשפחה ואת המצב הטכני של המחיקה, ולא שמות או מספרי טלפון. השרת מוחק את הרשומה על משימת מחיקה חיצונית זו (מזהה פנימי של המשפחה, סימון הספק, מספר ניסיונות, זמנים וקוד השגיאה האחרונה, ללא שמות ומספרי טלפון) 90 ימים לאחר השלמתה; משימה שלא הושלמה נשמרת עד להשלמתה.

אנו שומרים את ההוכחה להסכמה להתחלה המיידית של Premium (מזהים פנימיים של המשפחה ושל המשתמש, זמן ההסכמה, התוכנית שנבחרה, תחילת התקופה ששולמה, מזהה עסקת החנות, מזהה פנימי של ניסיון הרכישה וגרסת הטקסט שהוצג) למשך התקופה הדרושה כדי להוכיח הסכמה זו בסכסוך אפשרי, כסטנדרט 3 שנים ממועד מתן ההסכמה. לאחר תום התקופה, ההוכחה נמחקת באופן מבוקר. ההוכחה אינה נמחקת יחד עם החשבון או עם המשפחה (סעיף 7). עותק שלה (ללא המזהה הפנימי של ניסיון הרכישה) אנו שומרים גם באחסון נפרד לא ציבורי Cloudflare R2 (סעיף 4), כדי שההוכחה תשרוד אובדן של מסד הנתונים בין גיבויים; האחסון עצמו מוחק אותה לאחר 1125 ימים משמירתה.

7. הזכויות שלכם

יש לכם זכות:

• לגישה לכל הנתונים שהאפליקציה שומרת עליכם ועל המשפחה שלכם (Art. 15 GDPR),
• לתיקון של נתונים לא מדויקים (Art. 16 GDPR) – תוכלו לשנות את מספר הטלפון בעצמכם בפרופיל לאחר אימות המספר החדש באמצעות קוד SMS; אם תאבדו גישה לחשבון (לדוגמה משום שמישהו אחר שינה את המספר ממכשיר מחובר), נשנה אותו לבקשתכם לאחר אימות זהות,
• למחיקת החשבון של בן משפחה מסוים (Art. 17 GDPR) - האפליקציה, ישירות בתוכה (הפרופיל שלי ← מחיקת חשבון), מוחקת או הופכת לאנונימיים באופן בלתי הפיך את השם, הטלפון, התמונה ואסימון ה-push, ומוחקת את כל התמונות שהעליתם; בחשבון של ילד גם תמונות למשימות שלו שההורה העלה עבורו. לא ניתן עוד להתחבר עם החשבון הזה ולא נשארים בו שם או איש קשר. בהיסטוריית המשימות והתשלומים נשארות רק העובדות החשבונאיות ההכרחיות לרצף של שאר המשפחה (נקודות, סכום, מצב וזמן); ההערה החופשית נמחקת ושמות המשימות והיעדים מוחלפים בערך ניטרלי. היסטוריה זו אינה נמחקת, משום שהיא נשארת מקושרת לשאר המשפחה (אחרת הרצף החשבונאי ההדדי שלהם לא היה מסתדר), אך היא קשורה רק לרשומה ללא שם ואיש קשר. רשומות תשלומים ישירים והחזרים ידניים של הילד (סעיף 2) יימחקו יחד עם הילד. רשומות של יומן שינויי טלפון וסטטוס חבר (סעיף 2) השרת מוחק ממסד הנתונים; העותק שלהן באחסון נפרד יימחק לכל המאוחר 60 ימים לאחר שמירתו. אם לילד יש חוב, יתרה או בקשות ממתינות, האפליקציה תראה לו לפני המחיקה אילו סכומים יאבד, והוא חייב לאשר את המחיקה במפורש; ההורים יקבלו לאחר מכן התראה כללית. חבר שההורה הסיר מהמשפחה יכול למחוק את חשבונו לצמיתות בעצמו לאחר אימות בקוד SMS באפליקציה, ובכך לשחרר את מספר הטלפון שלו,
• למחיקה מדורגת של המשפחה כולה - כשהורה מאשר במפורש את מחיקת המשפחה כולה, אנחנו הופכים לאנונימיים את כל בני המשפחה, מוחקים את התמונות שלהם, ובנוסף מחליפים טקסטים חופשיים ושמות של משימות, יעדים ופרסים מותאמים אישית בערכים ניטרליים; נמחק גם את רשומות התשלומים הישירים וההחזרים הידניים של המשפחה (סעיף 2), את היסטוריית שינויי הכללים הפיננסיים של המשפחה (בניקוי הקרוב) ואת רשומות יומן שינויי טלפון וסטטוס חבר של חבריה (עותק היומן באחסון נפרד יימחק לכל המאוחר 60 ימים לאחר שמירתו). הסרת הורה אחר דורשת את הסכמת ההורה הנוגע בדבר: דחייה מפורשת תעצור את הפעולה, וללא תגובה היא תבוצע לאחר 14 ימים. מחיקת המשפחה כולה שבה יש הורה נוסף דורשת את הסכמתו המפורשת של כל הורה נוסף; ללא הסכמת כולם, הבקשה תבוטל לאחר 14 ימים והמשפחה לא תימחק. משפחה שממנה הוסר הורה אחר במהלך 14 הימים האחרונים ניתן למחוק לכל המוקדם 14 ימים לאחר הסרתו. רשומות חשבונאיות של משפחה שנמחקה, כולל יתרות ומצבי הלוואות וחסכונות של ילדים, יוסרו ממסד הנתונים התפעולי לא יאוחר מ-30 ימים לאחר המחיקה; בגיבויים מוצפנים הן עשויות להישאר לכל היותר 30 ימים נוספים, לפני שהגיבוי יימחק. מסמך ההסכמה לתחילת Premium מיידית אינו נמחק עם מחיקת המשפחה (סעיף 6). רשומות אנונימיות על מימוש קודי שותפים, שאינן מכילות נתונים אישיים, נשמרות לצורך ניהול רישום שותפים והגנה מפני שימוש לרעה. לאחר הסרת המדיה מתבצעת האנונימיזציה המקומית גם כאשר RevenueCat אינו זמין באופן זמני; לאחר מכן הבקשה החיצונית נשלחת שוב באופן בטוח עם המזהה הפנימי של המשפחה בלבד. RevenueCat מבצע את המחיקה באופן אסינכרוני. אין בכך כדי לבטל מנוי המנוהל על ידי App Store או Google Play - את המנוי ההורה צריך לבטל בנפרד בהגדרות החנות הרלוונטית,
• להגבלת העיבוד (Art. 18 GDPR), למשל כאשר אתם מערערים על דיוק הנתונים, למשך הזמן שבו אנו בודקים זאת,
• לניידות (Art. 20 GDPR) - נתונים שסיפקתם לנו ואשר אנו מעבדים על בסיס חוזה, נמסור לכם בפורמט מובנה, נפוץ וקריא למכונה (למשל JSON), או לבקשתכם נעביר אותם לבקר נתונים אחר, אם הדבר אפשרי מבחינה טכנית,
• להגיש התנגדות (Art. 21 GDPR) לעיבוד המבוסס על האינטרס הלגיטימי שלנו (סעיף 2); אנו נפסיק את העיבוד, אלא אם נוכיח סיבות לגיטימיות משכנעות הגוברות על האינטרסים, הזכויות והחירויות שלכם, או שאנו זקוקים לו לביסוס, מימוש או הגנה של תביעות משפטיות,
• לבטל הסכמה בכל עת (Art. 7(3) GDPR) - את ההסכמה למדידת פרסום באתר תוכלו לבטל באמצעות הקישור "הגדרות עוגיות" בכותרת התחתונה של האתר (סעיף 9); הביטול אינו משפיע על העיבוד שבוצע לפניו,
• להגיש תלונה לרשות הפיקוח (Art. 77 GDPR) - בצ'כיה זוהי Office for Personal Data Protection (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, web uoou.gov.cz; תוכלו לפנות גם לרשות הפיקוח במדינה החברה באיחוד האירופי שבה אתם חיים או עובדים.

שלחו את הבקשה אל privacy@kimda.app. כדי שלא נמסור או נמחק נתונים של מישהו אחר, נוודא תחילה שהבקשה מוגשת על ידי בעל החשבון (למשל על ידי אישור ממספר הטלפון המשויך לחשבון); לעולם אל תשלחו אלינו קודי SMS להתחברות. החריג היחיד הוא קוד מ-SMS המסומן ”Kimda obnova účtu“, שהתמיכה תבקש מכם רק בתגובה לבקשתכם שלכם עצמכם להחזרת חשבון שהשתלטו עליו, או לאישור שלכם לבקשה כזו מהורה אחר במשפחתכם (סעיף 2); גם אז, מסרו את הקוד רק לתמיכה, לעולם לא לבן משפחה אחר. התמיכה מבקשת מכם קוד זה אך ורק בדוא״ל מהכתובת support@kimda.app עם מספר הבקשה שלכם, לעולם לא בטלפון או באמצעות בן משפחה אחר. בקשה לגישה או לניידות אנו ממלאים על ידי ייצוא נתוני המשפחה בפורמט JSON (ללא אסימוני התחברות וטביעות האצבע שלהם וללא טביעות אצבע של מספרי טלפון מקוריים מרשומות אבטחה, המשמשות רק לאימות הבקשה להחזרת החשבון, וללא יומן שינויי טלפון וסטטוס חבר, המשמש רק להגנה מפני השתלטות על המספר; הייצוא מכיל רשומות תשלומים ישירים והחזרים ידניים (סעיף 2); עבור תמונות הוא מכיל את טביעת האצבע הטכנית שלהן על פי סעיף 3, את התמונות עצמן נמסור בנפרד לפי בקשה); כל ייצוא אנו מתעדים (מי הכין אותו, מתי ועל סמך איזו בקשה). נתונים על אירועים מיומן שינויי טלפון וסטטוס חבר (סוג וזמן, ללא טביעות אצבע) נמסור לכם לפי בקשה. נשיב ללא דיחוי מיותר, לכל המאוחר תוך חודש אחד; במקרים מורכבים יותר נוכל להאריך את התקופה בחודשיים נוספים, ועל כך נודיע לכם בזמן. את זכויות הילד יכול לממש עבורו ההורה כאפוטרופוס חוקי.

8. אבטחה

האפליקציה אינה משתמשת בסיסמאות (ההתחברות היא רק באמצעות טלפון מאומת). הגישה מוגנת באסימון התחברות לטווח קצר בעל תוקף של 15 דקות ובאסימון רענון שהשרת שומר רק כטביעת אצבע; כאשר מוכח שימוש חוזר באסימון רענון שכבר הוחלף, השרת מנתק את החשבון בכל המכשירים, מבטל את רישומיו להתראות, כותב רשומת אבטחה ומתריע בפני הורים אחרים. בסביבת הייצור, התקשורת בין האפליקציה לשרת מתבצעת ב-HTTPS. התמונות נמצאות באחסון לא ציבורי, ולפני מסירתן ה-backend מוודא את החשבון ואת השיוך לאותה משפחה. גיבויי מסד נתונים מוצפנים עוד לפני ההעברה וניתן לפענח אותם רק באמצעות מפתח פרטי השמור מחוץ לענן; קודי קידום נמצאים במסד הנתונים רק כטביעת אצבע HMAC עם מפתח מחוץ למסד הנתונים, ואנו מתעדים את ניהול קודי הקידום. השרת אינו כותב מספרי טלפון, אסימונים או תוכן בקשות ליומני התפעול.

9. האתר kimda.app ועוגיות

סעיף זה חל רק על מבקרים באתר kimda.app, ולא על השימוש באפליקציה. האתר פועל ברשת של Cloudflare, המעבדת באופן טכני בכל ביקור את כתובת ה-IP ונתונים על הדפדפן, כדי שתוכל להעביר את הדף ולהגן עליו מפני מתקפות; רשומות לאבחון שגיאות באתר נשמרות על ידי Cloudflare לכל היותר 3 ימים. בהתאם לשפת הדפדפן (עבור קישור ההורדה גם בהתאם לסוג המכשיר) האתר יפנה אתכם לגרסה המתאימה של הדף. הבסיס החוקי הוא האינטרס הלגיטימי שלנו באתר בטוח ומתפקד (Art. 6(1)(f) GDPR). את ערכת העיצוב שנבחרה האתר זוכר רק בדפדפן שלכם (localStorage). ההחלטה שלכם לגבי עוגיות נשמרת ב-localStorage ובעוגייה טכנית הכרחית בשם kimda-consent-proof (תוקף 180 ימים), המכילה רק את סוג הבחירה ואת מועד ההחלטה, ללא כל מזהה של אדם או חשבון. הדפדפן שולח אותה מבחינה טכנית עם כל בקשה לאתר; השרת אינו מעריך אותה, היא משמשת רק את הסקריפט בדפדפן לוודא שההסכמה לא בוטלה. עוגייה זו אינה דורשת הסכמה ואינה משמשת למדידה או לפרסום.

רק אם תבחרו "מסכים/ה" בסרגל שבאתר, האתר טוען את Meta Pixel של חברת Meta Platforms Ireland Limited. הוא שומר בדפדפן עוגייה (למשל _fbp בתוקף של עד 90 ימים) ושולח ל-Meta נתונים על הביקור: הדף שבו ביקרתם, כתובת ה-IP, נתונים על הדפדפן ומזהה העוגייה. הדבר משמש אותנו למדידת האפקטיביות של מודעות בפייסבוק ובאינסטגרם. הבסיס החוקי הוא הסכמתכם (Art. 6(1)(a) GDPR ו-Section 89(3) of Act No. 127/2005 Coll., on electronic communications). לאיסוף נתונים אלה ולהעברתם אנו אחראים במשותף עם Meta; את העיבוד הנוסף שלהם, לרבות העברה אפשרית לארה"ב על בסיס מסגרת הגנת הפרטיות האיחוד האירופי-ארה"ב (EU-USA Data Privacy Framework), מבצעת Meta כבקר עצמאי בהתאם למדיניות שלה בכתובת facebook.com/privacy/policy. נתונים מהאפליקציה, מהחשבון או על המשפחה איננו שולחים ל-Meta לעולם.

ללא הסכמה, Meta Pixel אינו נטען כלל. תוכלו לבטל את הסכמתכם בכל עת באמצעות הקישור "הגדרות עוגיות" בכותרת התחתונה של האתר; האתר ימחק אז את עוגיית ה-Pixel ולא יטען אותו עוד.

אם תצטרפו לקבוצת הבודקים ב-Google Groups דרך דף הבודקים, מנהל הקבוצה יראה את האימייל של חשבון ה-Google שלכם; נשתמש בו רק לבדיקת האפליקציה ולגישה לגרסת הבדיקה שלה ב-Google Play. את גרסת הבדיקה ל-iPhone מפיצה Apple דרך TestFlight. Google ו-Apple מעבדות נתונים אלה כבקרי נתונים עצמאיים בהתאם למדיניות שלהן. הבסיס החוקי הוא בקשתכם להשתתף בבדיקה (Art. 6(1)(b) GDPR). האימייל יישאר בקבוצה עד שתבטלו את הרישום ממנה או עד שהבדיקה תסתיים.

10. שינויים במדיניות זו

על כל שינוי מהותי במדיניות זו נודיע לכם באפליקציה ובאתר kimda.app. האפליקציה מזהה לאיזו גרסה של המדיניות הסכמתם: היא תבקש מההורים לאשר את הגרסה החדשה (ובמידת הצורך הסכמה עבור הילדים), והילד ייקח אותה לתשומת לבו. אנו מתעדים את הזמן ואת גרסת האישור.

11. יצירת קשר

שאלות בנושא הגנת מידע אישי: privacy@kimda.app