מדיניות פרטיות

1. מי אנחנו

מדיניות פרטיות זו ("המדיניות") מתארת כיצד Aploai Ltd (אפלו איי.אי בע"מ), הרשומה בישראל תחת מספר חברה ח.פ. 517348058, שמשרדה הרשום ברחוב החשמונאים 103, תל אביב-יפו 6713319, ישראל ("aploai", "אנחנו", "אנו" או "שלנו"), אוספת, משתמשת, חושפת ומגינה על מידע אישי.

אתר האינטרנט הראשי שלנו הוא https://app.aploai.com. המוצר שלנו ("השירות") הוא פלטפורמת תמיכת לקוחות מבוססת בינה מלאכותית המאפשרת לעסקים ("לקוחות") לתקשר עם משתמשי הקצה שלהם ("משתמשי קצה") בערוצי התקשרות הכוללים את WhatsApp, Telegram וצ'אט באתר.

ליצירת קשר בנושאי פרטיות: privacy@aploai.com.

2. תחולת המדיניות

מדיניות זו חלה על:

• מבקרים באתר app.aploai.com ובעמודי השיווק שלנו ("מבקרים").
• משתמשים באפליקציית הנציגים לנייד, בלוח הבקרה ובממשקי הניהול שלנו ("משתמשים") - בדרך כלל עובדים או נציגים של הלקוחות שלנו.
• משתמשי קצה שהודעותיהם מעובדות באמצעות השירות שלנו בשם הלקוחות שלנו.

הלקוחות שלנו פועלים כבעלי שליטה במידע (data controllers) לגבי מידע של משתמשי קצה הזורם דרך המופע שלהם בשירות; aploai פועלת כמעבדת מידע (data processor) בשם הלקוחות שלנו, הסכם עיבוד מידע זמין כמפורט בסעיף 7.3 לתנאי השימוש שלנו; ההסכם הרלוונטי חל לאחר חתימתו.

3. המידע האישי שאנו אוספים

3.1 מידע על מבקרים

• יומני שרת: כתובת IP, מזהה דפדפן (user-agent), עמודים שהתבקשו וכתובת ה-URL המפנה (referrer), הנאספים כחלק מתיעוד תשתית ואבטחה סטנדרטי.
• פניות באמצעות טופס יצירת קשר: שם, דוא"ל, שם חברה ותוכן ההודעה.
• עוגיות (cookies): ראו סעיף 10.

3.2 מידע על משתמשים (לוח הבקרה)

• מידע חשבון: שם, דוא"ל וזהות האימות שלכם המנוהלת באמצעות Google Firebase Authentication (איננו שומרים סיסמאות בעצמנו).
• מידע ארגוני / חיוב: שם חברה, כתובת לחיוב, מספר עוסק/ח.פ. (VAT ID).
• יומני שימוש: פעולות בלוח הבקרה, שימוש בתכונות וקריאות API.

3.3 מידע על משתמשי קצה המעובד בשם לקוחות

כאשר לקוח מחבר את חשבון ה-WhatsApp Business שלו ל-aploai באמצעות זרימת ההרשמה המוטמעת (Embedded Signup) של Meta, ומנהל שיחות עם משתמשי קצה, אנו מעבדים:

• מספרי טלפון של משתמשי קצה הפונים ללקוח.
• תוכן הודעות: טקסט, תמונות, אודיו, וידאו, מסמכים, מיקום, רכיבים אינטראקטיביים ותגובות (reactions) שנשלחו אל מספר ה-WhatsApp של הלקוח או ממנו.
• מידע פרופיל WhatsApp שנחשף על ידי Meta: שם תצוגה, תמונת פרופיל (כאשר היא משותפת על ידי משתמש הקצה), מזהה משתמש.
• מטא-נתונים: חותמות זמן, סטטוס הודעה (נשלחה, נמסרה, נקראה, נכשלה), קטגוריית תבנית ההודעה (שירותית, שיווקית, אימות), מזהי שיחה.
• רישומי הסכמה (opt-in): מקור ההסכמה (טופס באתר, קבלת רכישה, הרשמה בחנות וכד'), חותמת זמן, וחותמת זמן של ביטול הסכמה (opt-out) במידת הצורך.
• תוצרי עיבוד בינה מלאכותית: סיווגים, ישויות שחולצו והצעות לתשובות שנוצרו על ידי מעבדי המשנה שלנו מסוג מודלי שפה גדולים.

אנו איננו מבקשים, שומרים או מעבדים מידע על כרטיסי אשראי של משתמשי קצה; מידע התשלום עבור עלויות התקשורת של הלקוח מטופל ישירות על ידי Meta.

נתוני Shopify. כאשר לקוח מחבר חנות Shopify, אנו מעבדים מזהי ומספרי הזמנות, סכומים, מטבע, סטטוס אספקה ומאפייני הזמנה המשמשים לקישור הזמנות לשיחות תמיכה ולדיווח על ביצועי מסחר.

ייבוא לקוחות ותהליכי טיפול בקופות שננטשו עשויים לעבד גם שמות תצוגה, כתובות דוא״ל, מספרי טלפון, מצב הסכמה לשיווק וקישורים לקופות שננטשו. באפליקציית Shopify הציבורית של aploai יכולות אלו מושבתות כברירת מחדל עד לאישור ולהפעלה של הגישה הנדרשת לשדות המוגנים. ניתן להשתמש בהן בחיבורים מותאמים אישית שאושרו בנפרד. אנו משתמשים במידע מטעם הלקוח לצורך תמיכה ותהליכים שהלקוח מגדיר.

בקשות גישה ומחיקה של נתוני Shopify מטופלות באמצעות ה-webhooks מסוג customers/data_request, customers/redact ו-shop/redact.

4. מקורות המידע האישי

• ישירות ממבקרים וממשתמשים בעת ההרשמה, יצירת קשר או שימוש בשירות.
• מפלטפורמת Meta / WhatsApp Business כאשר לקוח מחבר את חשבון ה-WhatsApp Business שלו באמצעות Embedded Signup וכאשר משתמשי קצה שולחים הודעות ללקוח.
• מ-Meta Login for Business כאשר משתמש מבצע אימות כדי לאשר את ה-Embedded Signup (אנו מקבלים מזהה משתמש של פייסבוק ואסימון גישה בהיקף עסקי).

5. הבסיסים החוקיים לעיבוד

הדין הישראלי. עיבוד המידע שלנו כפוף לחוק הגנת הפרטיות, התשמ״א–1981, על תיקוניו (לרבות תיקון 13), ולתקנות החלות. כאשר נדרשת הסכמה מדעת, תיאור מטרה עסקית או הפניה למדיניות זו אינם מחליפים הסכמה זו. מידע שמוסר לקוח עסקי חייב להיאסף ולהיות בשימוש כדין, במסגרת סמכותו והוראותיו של הלקוח.

מידע שבחרתם למסור. אלא אם נציין חובה חוקית מסוימת בעת בקשת המידע, אין חובה חוקית למסור פרטי חשבון, יצירת קשר או הקמת סביבת עבודה. ללא המידע הנחוץ לזיהוי ולאימות לא נוכל ליצור חשבון או לאפשר גישה אליו. ללא פרטי קשר ותוכן פניית תמיכה ייתכן שלא נוכל להשיב. ללא חיבור ערוץ תקשורת ומסירת ההודעות הרלוונטיות, תכונות התקשורת והבינה המלאכותית המתאימות לא יוכלו לפעול. ניתן להימנע ממסירת מידע אופציונלי; התכונות האופציונליות הקשורות אליו עשויות לא להיות זמינות.

מידע שנאסף ממשתמשי קצה. הלקוח העסקי קובע את מטרות ונסיבות איסוף המידע ממשתמשי הקצה שלו ואחראי למסור את הודעת היידוע הנדרשת, לרבות אם המסירה חובה או רצונית, תוצאות הסירוב, הנמענים ומטרות המסירה וזכויות העיון והתיקון. זהותה ופרטי הקשר של Aploai מופיעים בסעיפים 1 ו-16; בקשות לגבי מידע שבשליטת לקוח עסקי מפורטות בסעיף 11.1.

אם חל דין הגנת מידע של מדינה אחרת, יש לבחון את הבסיס המשפטי ואת הזכויות הנוספות לפי אותו דין. ביצוע חוזה או אינטרס לגיטימי לפי ה-GDPR אינם מוצגים כאן כהיתרים כלליים ועצמאיים לעיבוד מידע אישי לפי הדין הישראלי.

6. כיצד אנו משתמשים במידע האישי

• להפעיל, לתחזק ולאבטח את השירות.
• לנתב הודעות WhatsApp נכנסות למופע הנכון של הלקוח ולשלוח הודעות יוצאות באמצעות Meta Cloud API.
• ליצור תשובות והצעות מבוססות בינה מלאכותית, לרבות תשובות אוטומטיות בהתאם להגדרות הלקוח.
• לאכוף את חלון שירות הלקוחות של 24 שעות ב-WhatsApp, את כללי ההסכמה לתבניות ואת הטיפול בביטולי הסכמה הנדרשים על פי מדיניות WhatsApp Business.
• לזהות שימוש לרעה, ספאם והפרות של תנאי השימוש שלנו.
• לתקשר עם משתמשים בנוגע לחשבונם, חיוב, אבטחה ועדכוני מוצר.
• לעמוד בחובות חוקיות ולהיענות לבקשות כדין.

אנו איננו מוכרים מידע אישי. איננו משתמשים בתוכן הודעות WhatsApp כדי לאמן מודלי בינה מלאכותית כלליים; עיבוד הבינה המלאכותית משמש את סביבת העבודה של הלקוח, לרבות תשובות, סיכומים, אחזור מידע ואבחון והערכה תפעוליים.

6.1 עיבוד בינה מלאכותית וגישה לנציגים

מי משתמש באפליקציה. אפליקציית Aploai לנייד ולוח הבקרה באינטרנט הם כלי שירות לקוחות למנהלים ולנציגים מורשים של הלקוח העסקי. משתמשי הקצה מתקשרים עם העסק בערוצים המחוברים; אין צורך שיתקינו את אפליקציית הנציגים כדי שהמידע שלהם יעובד.

איזה מידע נשלח ולאיזו מטרה. לצורך יצירת תשובות, סיכום שיחות ואחזור מידע רלוונטי, השרתים שלנו שולחים לספקי בינה מלאכותית את ההודעה הנוכחית, היסטוריית שיחה או סיכומים רלוונטיים ומידע נבחר ממאגר הידע העסקי. בהתאם לתהליך הפעיל, ההנחיות ותוצאות הכלים עשויות לכלול גם פרטי לקוחות או הזמנות מאינטגרציות מחוברות. לכן שמות, כתובות דוא״ל, מספרי טלפון ומידע אישי אחר הנכללים בחומר זה עשויים להישלח לספק. תשובות עשויות להישלח אוטומטית או להיות מטופלות על ידי נציג, בהתאם להגדרות השיחה וסביבת העבודה.

מי מקבל את המידע. עיבוד הבינה המלאכותית משתמש ב-OpenAI וב-Google (Gemini). המודל ותהליך העבודה שנבחרו קובעים איזה ספק יקבל את הבקשה; לא כל בקשה נשלחת לכל הספקים. העיבוד מתבצע דרך השרתים שלנו גם כאשר הפעולה מתחילה באפליקציה לנייד.

אחריות העסק והרשאה. הלקוחות העסקיים אחראים למסור למשתמשי הקצה הודעות מתאימות ולהבטיח את ההרשאות או הבסיס החוקי האחר הנדרש למידע שהם מספקים. הרשאת מנהל להשתמש בשירות נפרדת מהסכמת משתמש קצה כאשר הסכמה כזו נדרשת. מדיניות זו מסבירה את העיבוד; קריאתה, התחברות לשירות או הסכמה לעוגיות אינן כשלעצמן הרשאה נפרדת לשיתוף מידע אישי עם ספק בינה מלאכותית.

לשאלות או לבקשות להגבלת עיבוד בינה מלאכותית, פנו ל-privacy@aploai.com. בקשה אינה משביתה אוטומטית עיבוד פעיל; יש לפנות אלינו לתיאום השינויים הנדרשים.

אבחון בינה מלאכותית. אנו משתמשים ב-Braintrust Data, Inc. לניטור ולהערכה של פעולות הבינה המלאכותית. רשומות האבחון עשויות לכלול הנחיות, תשובות, קלט ופלט של כלים ומזהי סביבת עבודה או שיחה. התוכן המתועד תלוי במסלול התיעוד ובהגדרות; אין להניח שרשומות אלה אנונימיות.

7. מעבדי משנה

אנו משתפים מידע אישי עם מספר מצומצם של מעבדי משנה המעבדים מידע בשמנו תחת חוזים בכתב:

רשימה עדכנית של מעבדי המשנה זמינה לפי דרישה בכתובת privacy@aploai.com; טבלה זו מעודכנת בטרם התקשרות עם מעבדי משנה חדשים.

8. העברות בינלאומיות

Aploai מבוססת בישראל. ספקי הענן, הבינה המלאכותית, התקשורת והאבחון שלנו עשויים לעבד מידע מחוץ לישראל, לרבות בארצות הברית. המקומות הרלוונטיים תלויים בספק ובהגדרות השירות; ראו סעיף 7.

העברות ממאגרי מידע בישראל חייבות לעמוד בתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א–2001. בכלל זה נדרש בסיס מתאים להעברה לפי התקנות, וכן התחייבות בכתב של מקבל המידע לפי תקנה 3 לנקוט אמצעים נאותים להבטחת פרטיותם של מי שהמידע נוגע אליהם. כאשר ההעברה כרוכה במיקור חוץ, חלות גם דרישות תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017. דרישות אלה עוסקות בעיבוד המותר, גישה, סודיות, אבטחה, ספקים נוספים וסיום ההתקשרות.

כאשר חלים בנוסף כללי העברה אירופיים או אחרים, יש לקיים גם את אמצעי ההגנה הנדרשים מכוחם. החלטת נאותות אירופית לגבי ישראל אינה כשלעצמה מתירה העברה נוספת מישראל למדינה אחרת.

למידע על אמצעי ההגנה החלים על סביבת העבודה שלכם, פנו ל-privacy@aploai.com.

9. שמירת מידע

• תוכן הודעות ומטא-נתונים: נשמרים למשך 24 חודשים ממועד ההודעה, ולאחר מכן נמחקים או הופכים אנונימיים. תקצירים שנוצרו על ידי בינה מלאכותית נמחקים לאחר שההודעות שעליהן הם מבוססים נמחקות. לקוחות רשאים להגדיר תקופת שמירה קצרה יותר בהגדרות סביבת העבודה שלהם.
• רישומי הסכמה (opt-in): נשמרים למשך תקופת המנוי של הלקוח בתוספת 24 חודשים, כדי להוכיח בסיס חוקי למשלוח הודעות.
• רישומי חיוב ומס (חשבוניות, תשלומים ונתונים רלוונטיים למע"מ): נשמרים למשך עד 7 שנים, כנדרש על פי דיני ניהול ספרים ומע"מ בישראל.
• מידע חשבון אחר: נמחק עם סיום ההתקשרות, כמתואר בתנאי השימוש שלנו.
• יומני סשן של Embedded Signup: 24 חודשים (כנדרש על ידי Meta).
• יומני אבטחה וביקורת: 12 חודשים.

המידע נמחק לצמיתות עם סיום חשבון הלקוח, בכפוף לתקופות השמירה הנדרשות על פי דין.

10. עוגיות (Cookies)

aploai משתמשת במערך קטן של עוגיות צד-ראשון ורשומות אחסון מקומי דומות:

• הכרחיות לחלוטין - ניהול סשן ואימות (Google Firebase Authentication). עוגיות אלו פעילות תמיד מכיוון שהן נדרשות כדי שתוכלו להתחבר ולהשתמש בשירות.
• העדפות - הגדרות שפה וערכת נושא שאתם בוחרים. עוגיות אלו נשמרות במכשירכם רק בהסכמתכם.
• שיווק - ה-Meta Pixel (של Meta Platforms), המשמש אותנו למדידת האפקטיביות של הפרסום שלנו בעמודי השיווק הציבוריים. הוא נטען רק בהסכמתכם ולעולם אינו נטען בתוך האפליקציה לאחר התחברות. מידע שנאסף על ידי ה-Meta Pixel מעובד על ידי Meta בהתאם למדיניות הפרטיות שלה.

בביקורכם הראשון אנו מציגים באנר הסכמה לעוגיות. עוגיות העדפה ושיווק נשמרות רק אם תאשרו אותן; אם תדחו, בחירות השפה וערכת הנושא שלכם עדיין יפעלו במהלך הסשן הנוכחי אך לא יישמרו בין ביקורים, ולא יתבצע מעקב שיווקי כלשהו. תוכלו לשנות את בחירתכם בכל עת באמצעות הקישור הגדרות עוגיות בתחתית האתר, או על ידי צפייה, ניהול או מחיקה של עוגיות דרך הגדרות הדפדפן שלכם; חסימת עוגיות הכרחיות לחלוטין עלולה למנוע מכם להתחבר.

מלבד ה-Meta Pixel מבוסס-ההסכמה שתואר לעיל, איננו משתמשים בעוגיות פרסום, בעוגיות ניתוח (analytics) של צד שלישי או במעקב חוצה-אתרים מכל סוג.

11. הזכויות שלכם

זכויות לפי הדין הישראלי. בכפוף לתנאים ולחריגים בחוק הגנת הפרטיות, ניתן לבקש לעיין במידע אישי עליכם המוחזק במאגר מידע לפי סעיף 13. לפי סעיף 14 ניתן לבקש לתקן או למחוק מידע שאינו נכון, שלם, ברור או מעודכן. הוראות אלה אינן מקנות זכות בלתי מותנית למחיקת כל הרשומות או זכות כללית לניידות מידע.

זכויות נוספות למחיקה, להגבלה, להתנגדות, לניידות או לחזרה מהסכמה עשויות לחול לפי דינים אחרים החלים או בנסיבות מסוימות, לרבות התקנות הישראליות החלות על מידע שהועבר מהאזור הכלכלי האירופי, ככל שהן חלות. חזרה מהסכמה משפיעה על עיבוד המבוסס על אותה הסכמה; היא אינה מחייבת בהכרח מחיקת רשומות שחובה לשמור כדין.

יש לשלוח בקשות ל-privacy@aploai.com. אנו עשויים לבקש מידע הנחוץ באופן סביר לאימות זהותכם ולאיתור הרשומות הרלוונטיות. נטפל בבקשות במועדים הנדרשים לפי הדין החל ונסביר כל סירוב או הגבלה כדין. בקשות משתמשי קצה בנוגע ללקוח עסקי מפורטות בסעיף 11.1. ניתן לפנות גם לרשות להגנת הפרטיות בישראל או לרשות פיקוח מוסמכת אחרת.

11.1 בקשות של משתמשי קצה

משתמשי קצה המעוניינים לממש זכויות ביחס למידע המעובד על ידי aploai בשם לקוח, צריכים לפנות תחילה ללקוח. אם משתמש הקצה אינו יכול ליצור קשר עם הלקוח, או אם בקשתו נוגעת ישירות לפעילות העיבוד שלנו, הוא רשאי לפנות לכתובת privacy@aploai.com או להשתמש בטופס המחיקה העצמית שלנו בכתובת https://app.aploai.com/data-deletion.

11.2 מחיקה ביוזמת Meta (מנהלי עסקים)

aploai מיישמת את קריאת המחיקה של נתונים (Data Deletion Callback) של Meta בכתובת https://api.aploai.com/webhooks/meta/data-deletion. קריאה זו מופעלת על ידי Meta כאשר מנהל עסק שביצע אימות מול aploai באמצעות Meta Login for Business (כחלק מ-WhatsApp Embedded Signup) לאחר מכן:

• מסיר את אפליקציית aploai ממנהל העסקים שלו בפייסבוק (Facebook Business Manager),
• מבטל את אסימון השילוב העסקי שהונפק ל-aploai, או
• מוחק את חשבון הפייסבוק שלו.

עם קבלת בקשה חתומה מ-Meta, אנו מאתרים את חשבונות ה-WhatsApp Business והרשומות המשויכות לאותו מנהל עסק, הופכים לאנונימי או מוחקים את מידע שיחות ה-WhatsApp הנשמר בשם הלקוח העסקי, מודיעים ללקוח העסקי על הביטול, ומחזירים כתובת URL לאישור שבה ניתן לעקוב אחר סטטוס המחיקה.

קריאה זו אינה מופעלת כאשר משתמש קצה שולח הודעה לעסק באמצעות WhatsApp - למשתמשי קצה אין חיבור בין פייסבוק ל-aploai. משתמשי קצה המעוניינים לממש זכויות מחיקה צריכים להשתמש בערוצים הישירים המתוארים בסעיף 11.1.

11.3 תושבי קליפורניה

אם aploai תקבל לקוחות מקליפורניה, סעיף זה יורחב כדי לספק הודעה לתושבי קליפורניה כנדרש על פי חוק פרטיות הצרכן של קליפורניה (CCPA) וחוק זכויות הפרטיות של קליפורניה (CPRA) (Cal. Civ. Code §1798.100 ואילך), לרבות קטגוריות המידע האישי הנאסף, מקורות, מטרות, גילויי שיתוף, והזכות לסרב למכירה/שיתוף.

12. אבטחה

אנו מיישמים אמצעים טכניים וארגוניים בסטנדרט מקובל בתעשייה:

• הצפנה במעבר (TLS 1.2+) ובמנוחה (הצפנת מעטפת AES-256 לסודות, הצפנה ברמת מסד הנתונים).
• בקרת גישה מבוססת תפקידים עם אבטחה ברמת השורה (row-level security) לבידוד בין דיירים (tenants).
• עיקרון ההרשאה המזערית לגישת עובדים.
• תיעוד ביקורת של פעולות ניהוליות.
• סקירות אבטחה ובדיקות חדירה (penetration testing) באופן שוטף.
• נהלי תגובה לאירועים, לרבות הודעה על אירוע אבטחה במסגרת לוחות הזמנים הנדרשים על פי דין.

13. ילדים

השירות אינו מיועד לילדים מתחת לגיל 16. איננו אוספים ביודעין מידע מילדים. אם אתם סבורים שילד מסר לנו מידע אישי, פנו לכתובת privacy@aploai.com ואנו נמחק אותו.

14. גילויים ספציפיים ל-WhatsApp

בהקשר של פלטפורמת WhatsApp Business:

• אנו מעבדים מידע של משתמשי קצה אך ורק לצורך הפעלת שירותי התקשרות המבוקשים על ידי לקוחותינו, ולא למטרות שיווק או פרסום שלנו.
• אנו איננו מוכרים או מרשים מידע שמקורו ב-WhatsApp, ואיננו משתמשים בו לבניית פרופילי משתמשים בין עסקים שאינם קשורים.
• אנו איננו משתפים מידע של משתמשי קצה עם Meta מעבר לנדרש למסירת הודעות באמצעות ה-Cloud API.
• אנו מחייבים לקוחות לקבל הסכמה כדין (opt-in) ממשתמשי קצה לפני שליחת הודעות תבנית בקטגוריה שיווקית, ומתעדים אירועי הסכמה וביטול הסכמה כנדרש על פי מדיניות WhatsApp Business.
• לקוחות מחויבים חוזית לעמוד במדיניות WhatsApp Business ובמדיניות WhatsApp Commerce.

15. שינויים במדיניות זו

אנו עשויים לעדכן מדיניות זו. שינויים מהותיים יוכרזו בלוח הבקרה ובאמצעות דוא"ל למשתמשים לפחות 30 יום לפני כניסתם לתוקף. תאריך "עודכן לאחרונה" בראש העמוד משקף את הגרסה העדכנית ביותר.

16. יצירת קשר

• דוא"ל: privacy@aploai.com
• דואר: Aploai Ltd, רחוב החשמונאים 103, תל אביב-יפו 6713319, ישראל
• זמן תגובה: אנו מאשרים קבלת פניות בנושאי פרטיות בתוך 5 ימי עסקים ופותרים אותן בתוך 30 יום.