מדיניות הפרטיות של Toddl

עודכן לאחרונה: 2026-10-21

מדיניות זו זמינה גם באנגלית. אם אתם נמצאים בישראל וקיים הבדל בין הנוסח העברי לנוסח האנגלי, הנוסח העברי גובר; בכל מקום אחר, הנוסח האנגלי גובר.

מי אנחנו

Toddl מופעלת על ידי נועם סטולרו (Noam Stolero), אדם פרטי ("אנחנו"), המחליט כיצד ייעשה שימוש במידע האישי המתואר כאן (בעל השליטה במאגר המידע). אתם יכולים לפנות אלינו בכתובת hello@toddl.family.

איזה מידע אנחנו אוספים

נתוני חשבון

• כתובת דוא"ל (מ-OAuth של Apple/Google או מהרשמה ישירה)
• מזהה משתמש מספק האימות
• שם תצוגה / כינוי הורה (אופציונלי, מוזן על ידי המשתמש)
• תמונת פרופיל (אווטאר) — תמונה שאתם מעלים, או אות ראשונה שנוצרת אוטומטית על גבי עיגול צבעוני

תוכן משפחתי שאתם יוצרים

• שם המשפחה
• שמות הילדים ותאריכי לידה (אופציונלי)
• מילים שתועדו: המילה, המשמעות, ההקשר, אופן התיעוד, התאריך וכל שורות דיאלוג
• מועדפים, סימוני "מילה ראשונה"

נתונים טכניים

• סוג המכשיר וגרסת מערכת ההפעלה (כאשר מדווחת קריסה של האפליקציה)
• מיקום (רק כאשר אתם מתייגים זיכרון במקום): שם המקום, ואם תבחרו "השתמש במיקום הנוכחי" (use my location) — גם קו הרוחב/קו האורך. באייפון ובאנדרואיד, המכשיר שלכם שולח את הקואורדינטות האלה לשירות הגיאוקודינג שלו (של Apple או של Google) כדי להציע את שם המקום; באתר האינטרנט לא נעשה שימוש בשירות גיאוקודינג
• כתובת IP (מעובדת באופן חולף על ידי ספק האחסון שלנו לצורך קישוריות)

רשימת המתנה באתר

אם Toddl עדיין אינה זמינה במדינה שלכם, אתר toddl.family מציע טופס להצטרפות לרשימת המתנה. אם תשלחו אותו, אנחנו שומרים את כתובת הדוא"ל שלכם, את המדינה שנגזרת מהחיבור שלכם ואת מועד ההרשמה. אנחנו משתמשים בהם רק כדי לעדכן אתכם כש-Toddl תהיה זמינה במדינה שלכם, ומוחקים אותם לפי בקשתכם או לאחר שעדכנו אתכם. ספק הדוא"ל שלנו, Resend, מוסר לנו הודעה על כל הרשמה; היא כוללת את כתובת הדוא"ל שלכם, את מקור הטופס, את המדינה, את כתובת ה-IP שלכם ואת ה-user agent של הדפדפן שלכם. ההודעה נמחקת יחד עם ההרשמה, לפי בקשתכם או לאחר שעדכנו אתכם.

מה אנחנו לא אוספים

• מזהי פרסום (IDFA/AAID)
• עוגיות (cookies) מעקב של צד שלישי
• אנשי קשר, תמונות, מצלמה או מיקרופון (למעט תכונות שאתם מפעילים באופן יזום)
• מיקום GPS מדויק מחוץ לתכונה שבחרתם להפעיל

למה אנחנו אוספים את המידע

• נתוני חשבון — כדי לאמת את זהותכם ולקשר את התוכן שלכם למשפחה שלכם
• תוכן משפחתי — זהו לב המוצר שאתם יוצרים; הוא נשמר כדי שתוכלו לראות אותו
• נתונים טכניים — כדי לאבחן קריסות (באמצעות Sentry) ולוודא שהשירות פועל

איננו מוכרים, משכירים או סוחרים במידע שלכם עם איש.

מסירת מידע אישי לנו היא מרצונכם; אין חובה חוקית למסור אותו. אנחנו זקוקים לנתוני החשבון שלכם כדי ליצור את החשבון, ותכונות המסתמכות על מידע אחר (תמונות, קול, מיקום, גיבוי ל-Google Drive, Toddl Plus) אינן פועלות בלעדיו.

ניתוח שימוש במוצר

אנחנו משתמשים ב-PostHog, שירות לניתוח שימוש במוצר, כדי להבין כיצד נעשה שימוש באפליקציה וכדי להחליט אילו תכונות להפעיל או לכבות עבורכם (feature flags). נתוני הניתוח מקושרים למזהה המשתמש של החשבון שלכם.

• אירועי שימוש — אנחנו שולחים אירועים המתארים מה קרה באפליקציה, למשל שתיעוד נשמר או שתכונה נפתחה, יחד עם פרטים שאינם מזהים, כגון באיזו תכונה מדובר והאם הפעולה הצליחה. אירועים מצד השרת עשויים לכלול גם את המזהה הפנימי של המשפחה שלכם.
• אירועי מחזור החיים של האפליקציה — כאשר האפליקציה נפתחת, הופכת לפעילה או עוברת לרקע. אם האפליקציה נפתחה באמצעות קישור הזמנה, אסימון הגישה שבקישור מוסתר לפני שליחת האירוע.
• הערכת feature flags — השרתים שלנו שואלים את PostHog אילו feature flags חלים על החשבון שלכם.
• מזהה חשבון ומאפיינים — מזהה המשתמש שלכם מקבץ אירועים מאותו חשבון, ואנחנו מגדירים בפרופיל הניתוח שלכם קבוצה קטנה של מאפיינים שאינם מזהים, כגון סביבת האפליקציה (development, preview או production), גרסת האפליקציה הפועלת ומספר ה-build, והשימוש בווידג'ט במסך הבית. איננו שולחים את כתובת הדוא"ל, שם התצוגה או תמונת הפרופיל שלכם.
• נתוני מכשיר ורשת — ערכת הפיתוח (SDK) של שירות הניתוח מצרפת שדות טכניים סטנדרטיים כגון סוג המכשיר ומערכת ההפעלה, ו-PostHog מקבלת את כתובת ה-IP שבה המכשיר שלכם משתמש כדי להגיע אליה, ועשויה להשתמש בה כדי להסיק מיקום כללי (ברמת מדינה או עיר).

איננו שולחים אף פעם ל-PostHog את התוכן שאתם יוצרים — המילים, המשמעויות, התמונות או קטעי הקול. נתוני הניתוח אינם משמשים לפרסום, אינם משותפים עם סוחרי מידע, ואינם משמשים למעקב אחריכם באפליקציות או באתרים אחרים. איננו מקליטים את המסך שלכם ואיננו משחזרים את הפעילות בו.

מחזיק (מעבד מידע מטעמנו): PostHog, המתארחת בארצות הברית (us.i.posthog.com). PostHog מעבדת את נתוני הניתוח לפי התנאים שלה, לרבות הגדרות שמירת המידע שלה.

ייחוס פרסומי ב-iOS

ב-iOS, Toddl משתמשת בייחוס הפרסומי של Apple השומר על הפרטיות (AdAttributionKit ו-SKAdNetwork). אם התקנתם את Toddl לאחר שראיתם מודעה, Apple עשויה לדווח מאוחר יותר לרשת הפרסום, בעיכוב ומבלי לזהות אתכם או את המכשיר שלכם, שההתקנה התבצעה ועד כמה נעשה שימוש באפליקציה, למשל שנוצרה משפחה או שהחל מינוי Toddl Plus. את הדיווח הזה שולחת Apple, לא Toddl. Toddl עצמה אינה משתפת דבר עם רשתות פרסום, אינה משתמשת במזהי פרסום ואינה עוקבת אחריכם באפליקציות או באתרים אחרים.

מינויים וחיובים

ב-Toddl יש תוכנית חינמית ותוכנית בתשלום אופציונלית, Toddl Plus. רכישות מתבצעות ומשולמות דרך Apple App Store או Google Play, כך שאיננו רואים לעולם את פרטי הכרטיס או פרטי תשלום אחרים שלכם. אנחנו משתמשים ב-RevenueCat, שירות לניהול מינויים, כדי לאמת רכישות מול החנות וכדי לשמור על סנכרון התוכנית של המשפחה שלכם. כאשר אתם מוחקים את החשבון שלכם, אנחנו גם מבקשים מ-RevenueCat למחוק את רשומת המנוי שלכם, בין אם רכשתם אי פעם Toddl Plus ובין אם לא.

• מה RevenueCat מקבלת ומחזיקה: מזהה המשתמש שלכם ב-Toddl (המשמש כמזהה משתמש האפליקציה ב-RevenueCat), היסטוריית רכישות, מזהי עסקאות וקבלות של החנות, מצב המינוי ותאריכיו, המדינה או החנות המקומית (storefront) של הרכישה, ונתונים טכניים שה-SDK שלה שולח, כגון סוג המכשיר, מערכת ההפעלה, הגדרות אזור ושפה (locale) ומטבע. RevenueCat משתמשת בכתובת ה-IP שלכם רק כדי לקבוע את המדינה שלכם כאשר החנות אינה מספקת אותה, ואינה שומרת אותה. איננו מקשרים מזהי פרסום ל-RevenueCat. RevenueCat מעבדת מידע זה מטעמנו, לפי נספח עיבוד הנתונים שלה (data processing addendum), ומאחסנת אותו בארצות הברית.
• מה אנחנו שומרים במסד הנתונים שלנו: עבור כל תקופת Toddl Plus שחלה על משפחה, רשומת תוכנית (המשפחה, התוכנית, מקור התוכנית כגון רכישה בחנות או הצעת מייסדים, המוצר, אסמכתת העסקה בחנות, החשבון הרוכש, תאריכי ההתחלה והסיום, והאם בוצע בגינה החזר כספי או שהיא בוטלה); יומן של אירועי התראה של RevenueCat שעיבדנו, כדי שאף אירוע לא יוחל פעמיים (כל רשומה כוללת את מזהה האירוע, סוג האירוע ומזהה המשתמש שלכם); רשומה שלפיה לחשבון שלכם יש לקוח ב-RevenueCat; ולאחר מחיקת חשבון, רשומת המחיקה המתוארת להלן.
• הודעות דוא"ל על המינוי: כאשר אתם רוכשים Toddl Plus, אנחנו שולחים לכם בדוא"ל אישור הכולל את תנאי החידוש והביטול של התוכנית. בתוכנית שנתית אנחנו שולחים גם תזכורת 15 עד 45 יום לפני כל חידוש, ובתוכנית חודשית תזכורת אחת בשנה. ספק הדוא"ל שלנו, Resend, שולח הודעות אלה לכתובת הדוא"ל של החשבון שלכם ומקבל את הכתובת ואת תוכן ההודעה. עבור כל הודעה אנחנו שומרים רשומה במסד הנתונים שלנו: מזהה המשתמש שלכם, סוג ההודעה, אסמכתת העסקה בחנות, החידוש שאליו היא שייכת, הפרטים המוצגים בה (החנות, המוצר, חודשי או שנתי, המחיר והמטבע כאשר החנות מדווחת עליהם, תאריך הרכישה, תאריך סיום תקופת הניסיון או החידוש, ושפת האפליקציה ואזור הזמן שלכם), האם נשלחה, מספר ניסיונות השליחה והשגיאה האחרונה, מזהה ההודעה ב-Resend, ותאריכי היצירה והשליחה. הרשומה אינה כוללת את כתובת הדוא"ל שלכם; אנחנו קוראים אותה מהחשבון שלכם בעת השליחה. הרשומה נמחקת יחד עם החשבון שלכם.
• שימוש בתוכנית החינמית ורשימת ההמתנה ל-Plus: כדי להחיל את המגבלות החודשיות של התוכנית החינמית, אנחנו שומרים, לכל משפחה, ספירה של אירועי שימוש (תמונות, סרטונים, תיעודים וכרטיסי אמנות), כל אחד עם חבר המשפחה שגרם לו; מזהה המשתמש של אותו חבר משפחה נמחק כאשר החשבון שלו נמחק, והספירה נשארת אצל המשפחה. אם תלחצו כדי להצטרף לרשימת ההמתנה ל-Toddl Plus כשאתם מגיעים למגבלה, אנחנו שומרים רשומת רשימת המתנה (החשבון שלכם, המשפחה שלכם ובאיזו מגבלה נתקלתם) ושולחים ל-PostHog אירוע "pluswaitlistjoined" עם המגבלה ומזהה המשפחה.
• הצעת מייסדים ותקופות חינם אחרות: תקופת חינם שאנחנו מעניקים למשפחה נשמרת כרשומת תוכנית במסד הנתונים שלנו, בדיוק כמו רכישה, והיא נתוני חשבון רגילים. היא אינה כרוכה בפרטי תשלום כלשהם.
• למה: כדי לאשר שרכישה תקפה, כדי לקבוע באילו תכונות משפחה יכולה להשתמש, וכדי לטפל בחידושים, בהחזרים כספיים ובתפוגה.
• מי מקבל את Toddl Plus: רכישה חלה על המשפחה כולה. רשומת התוכנית נשארת מקושרת לחשבון הרוכש. אם הרוכש עוזב את המשפחה, הרשומה מסומנת כמנותקת מאותה משפחה החל מאותו מועד, ונשמרת בתיק כל עוד אותה משפחה קיימת.
• מחיקת החשבון שלכם: אנחנו מוחקים תחילה את נתוני החשבון שלכם. רשומות תוכנית כלשהן של רכישות שביצעתם מסומנות כמבוטלות, כדי שהתראה מאוחרת מהחנות לא תוכל לשחזר את התוכנית, ונשמרות במתכונת זו כל עוד המשפחה שעליה הן חלו עדיין קיימת; אם הייתם החבר היחיד במשפחה זו, המשפחה ורשומות התוכנית שלה נמחקות. הרשומה המבוטלת שומרת את החנות והמוצר, את אסמכתת העסקה בחנות (המועברת לשדה "אסמכתה שנמחקה"), את תאריכי התקופה, את המשפחה שעליה חלה ואת מזהה המשתמש הקודם שלכם. יומן אירועי RevenueCat שעובדו, הכולל את מזהה האירוע, סוג האירוע ומזהה המשתמש הקודם שלכם, אינו נמחק יחד עם החשבון שלכם. לאחר מכן אנחנו מבקשים מ-RevenueCat למחוק את רשומת המנוי של מזהה המשתמש שלכם. אנחנו שומרים רשומת מחיקה קצרה (מזהה המשתמש הקודם שלכם, תאריכי הבקשה וההשלמה, וכל שגיאה) בזמן שהמחיקה ממתינה ולאחר מכן, וכל עוד מערכת החיובים מופעלת אנחנו מנסים שוב לפי לוח זמנים חוזר עד ש-RevenueCat מאשרת. Apple או Google שומרות רשומת רכישה משלהן לפי התנאים שלהן, ומחיקת חשבון ה-Toddl שלכם אינה מבטלת מינוי בחנות; בטלו אותו תחילה בחנות.

משך הזמן שבו אנחנו שומרים רשומות אלה מפורט בסעיף "שמירת מידע".

משוב מתוך האפליקציה

כאשר אתם שולחים משוב מתוך האפליקציה (הגדרות ← "שליחת משוב"):

• מה אנחנו אוספים: הקטגוריה שבחרתם (רעיון, בעיה או אחר) והטקסט שכתבתם, יחד עם מזהה המשתמש שלכם, מזהה המשפחה שלכם, גרסת האפליקציה, פלטפורמת המכשיר (iOS, Android או web) ושפת האפליקציה.
• למה: כדי להשיב לכם ולשפר את Toddl (תמיכה ומשוב על המוצר).
• לאן זה מגיע: אנחנו שומרים את המשוב במסד הנתונים שלנו ב-Cloudflare D1. אנחנו גם שולחים התראה לצ'אט התמיכה שלנו ב-Telegram, שמעבירה אותה אלינו. ההתראה כוללת את הקטגוריה, את 300 התווים הראשונים של ההודעה שלכם, את מזהה המשפחה שלכם ואת גרסת האפליקציה. Telegram אינה מקבלת את כתובת הדוא"ל שלכם, את שמכם או את מזהה המשתמש שלכם.
• שמירה: המשוב השמור נשמר עד שהחשבון שלכם או המשפחה שלכם נמחקים, ונמחק יחד איתם. ההתראות נשמרות בצ'אט התמיכה שלנו ב-Telegram עד שאנחנו מוחקים אותן; מחיקת החשבון שלכם אינה מוחקת אותן.

התראות דחיפה

אם תאפשרו התראות, האפליקציה מקבלת עבור המכשיר שלכם אסימון דחיפה (push token) משירות הדחיפה של Expo, ואנחנו שומרים אותו יחד עם החשבון שלכם. כשיש מה לספר לכם, למשל חבר משפחה הוסיף מילה, שיתף רגע או הגיב, או שמתקרב יום הולדת של ילד או הסיכום השבועי שלכם, השרת שלנו שולח את ההתראה אל Expo, שמעבירה אותה אל Apple Push Notification service (באייפון) או אל Firebase Cloud Messaging (של Google, באנדרואיד) כדי להעביר אותה למכשיר שלכם.

• מה כוללת התראה: אסימון הדחיפה של המכשיר שלכם; הכותרת והטקסט שאתם רואים, שיכולים לכלול את הכינוי המשפחתי או השם של חבר משפחה, את שמו של ילד או חיית מחמד, ואת המילה, אבן הדרך או תחילת ההודעה שההתראה עוסקת בהן; נתוני ניתוב שאומרים לאפליקציה מה לפתוח (סוג ההתראה, ומזהים פנימיים של המשפחה שלכם, של הילד או חיית המחמד, ושל המילה, הרגע, השיחה או אבן הדרך שההתראה עוסקת בהם); בתזכורות ליום הולדת ולימי שנה, שם הילד או חיית המחמד וגילם, ומגדר הילד; ובחלק מההתראות, קישור לתמונה ממוזערת של התמונה או הציור שההתראה עוסקת בהם.
• למה: כדי לעדכן אתכם על פעילות במשפחה שלכם ועל תזכורות שלא כיביתם.
• אפשר לכבות התראות בהגדרות המכשיר שלכם בכל עת.

היכן המידע מאוחסן

• מסד הנתונים של האפליקציה והאימות: Cloudflare D1 (SQLite) עם Better-Auth
• מדיה (תמונות וקטעי קול שאתם מצרפים לזיכרון): Cloudflare R2
• דוחות קריסה: Sentry
• התראות דחיפה: נשלחות דרך Expo, ולאחר מכן דרך Apple Push Notification service או Firebase Cloud Messaging
• ניתוח שימוש במוצר: PostHog (ארצות הברית)
• נתוני מינויים ורכישות: RevenueCat, יחד עם רשומות התוכנית במסד הנתונים שלנו ב-Cloudflare D1
• משוב שאתם שולחים מתוך האפליקציה: Cloudflare D1, עם התראה בצ'אט התמיכה שלנו ב-Telegram

כל ספק מפעיל תשתית מבוזרת גלובלית. המידע מוצפן במעבר ובאחסון.

העברות בינלאומיות. ספקי השירות שלנו (Cloudflare, Sentry, PostHog, RevenueCat, Google Gemini, Expo, Resend ו-Telegram) מאחסנים ומעבדים מידע עבורנו מחוץ למדינה שבה אתם גרים, בעיקר בארצות הברית. Apple ו-Google מעבירות התראות דחיפה למכשיר שלכם דרך שירותי הדחיפה שלהן. ההתחברות עם Google (Sign in with Google) מסופקת על ידי Google בכפוף לתנאי חשבון ה-Google שלכם. אם מנהל מפעיל את הגיבוי ל-Google Drive, הזיכרונות של המשפחה, לרבות זיכרונות של חברי משפחה אחרים, מועתקים ל-Google Drive של אותו מנהל בכפוף לתנאי חשבון ה-Google של המנהל. בשימוש ב-Toddl אתם מסכימים להעברות אלה.

תמלול קולי (עיבוד אוטומטי)

ב-Toddl יש שתי תכונות קוליות, והן מטפלות בשמע באופן שונה:

• תיעוד קולי (תהליך "לחיצה ארוכה להקלטה" שממלא עבורכם זיכרון): השמע שאתם מקליטים נשלח ל-Google Gemini לעיבוד אוטומטי. Gemini מחזיר תמלול וכן מטא-נתונים מובנים (איזה ילד דיבר, מי עוד היה נוכח, סוג הרגע, התאריך המשוער). אנחנו משתמשים בהם כדי למלא מראש את מסך התיעוד, כך שתוכלו לבדוק ולערוך כל שדה לפני השמירה. האפליקציה מוחקת את קובץ השמע מהמכשיר שלכם לאחר העיבוד. כשהקלטה מוכנסת לתור כדי שתעובד ברקע, היא נשמרת באחסון Cloudflare R2 שלנו עד שהשרת שלנו מעבד אותה, ונמחקת לאחר שעובדה או כשאתם מבטלים אותה; הקלטה בתור שטרם עובדה כעבור 7 ימים נמחקת בנקודה זו. אם מההקלטה נוצר רגע, היא נשמרת יחד עם אותו רגע כקטע הקול שלו עד שתמחקו את הקטע או את הרגע. הקלטה שמעובדת מיד מועברת ל-Gemini מבלי להישמר בשרתים שלנו. טקסט התמלול מוצג באפליקציה, והשדות שחולצו (מילה, משמעות, דיאלוג, מקום, תאריך) ניתנים לעריכה.
• קטעי קול המצורפים לזיכרון (הכפתור "+ הקלטת קליפ" לצד זיכרון שאתם שומרים): קובצי שמע אלה מועלים ונשמרים באחסון המדיה שלנו כדי שתוכלו להשמיע אותם מאוחר יותר. הם אינם נשלחים ל-Gemini. היוצא מן הכלל הוא שמע שאתם משתפים אל Toddl מאפליקציה אחרת: הוא נשלח ל-Gemini כדי למלא את הזיכרון, ונשמר כקטע הקול של הזיכרון אם תשמרו אותו.

Gemini מעבד גם תוכן אחר, כמפורט תחת "צדדים שלישיים": תמונות וטקסט שאתם מתעדים, אבני דרך שאתם מקלידים או אומרים, הזיכרונות שאתם הופכים לכרטיסי אמנות, שיחות שאתם מייבאים מ-WhatsApp, הודעות שאתם שולחים ל-Toddl ב-WhatsApp, והסיפורים של רגעים שנשמרו, שמהם אנחנו בוחרים ציטוט.

איננו משתמשים באף הקלטה קולית כדי לאמן את המודלים של Gemini — חלים תנאי העיבוד הסטנדרטיים של Google.

אתם יכולים להימנע לחלוטין מעיבוד קולי באמצעות תהליך התיעוד בהקלדה.

גיבוי ל-Google Drive (אופציונלי)

Toddl מציעה גיבוי אופציונלי של הזיכרונות של המשפחה שלכם ל-Google Drive שלכם, כך שהעותק שלכם יישמר גם אם Toddl תפסיק לפעול. הגיבוי כבוי כברירת מחדל, ורק מנהל (הורה) במשפחה יכול להפעיל אותו.

• מה אתם מאשרים: אנחנו מבקשים את הרשאת drive.file של Google, המאפשרת ל-Toddl לגשת רק לקבצים שהיא יוצרת ב-Drive שלכם — ולעולם לא לשאר ה-Drive שלכם.
• מה מגובה: המילים, השיחות ואבני הדרך של המשפחה שלכם, והתמונות וקטעי הקול המצורפים אליהם, הנכתבים כתיקיות שניתן לעיין בהן וכן קובץ manifest.json קריא-מכונה, בתוך תיקייה בשם "Toddl Backup" ב-Drive של המנהל שחיבר את הגיבוי.
• כיצד הוא פועל: כל עוד הגיבוי מחובר, הוא מוסיף בלבד (append-only) — מחיקת זיכרון ב-Toddl אינה מסירה את העותק שכבר נמצא ב-Drive שלכם.
• ניתוק: כיבוי הגיבוי מבטל את הגישה של Toddl ל-Drive שלכם ומוחק את הרישום שלנו על החיבור; הקבצים שכבר כתבנו נשארים ב-Drive שלכם (הם שלכם), אלא אם תבחרו למחוק אותם: בעת הניתוק, Toddl שואלת אם למחוק גם את הגיבוי, ובחירה ב"ניתוק ומחיקת הגיבוי" מסירה את התיקייה "Toddl Backup" מה-Drive שלכם.
• אסימונים: הרשאת Google (אסימון רענון, refresh token) שאנחנו שומרים לצורך ביצוע גיבויים מוצפנת באחסון ומשמשת רק לכתיבת הגיבוי שלכם.

מידע משתמש של Google

Toddl ניגשת למידע משתמש של Google רק במסגרת מה שאתם מאשרים. ההתחברות עם Google משתמשת בהרשאות openid, email ו-profile. גיבוי ה-Drive האופציונלי משתמש בהרשאה drive.file. להלן מה שאנחנו עושים עם כל סוג של מידע מ-Google.

כתובת הדוא"ל ומזהה החשבון ב-Google

• משמשים ל: יצירת חשבון ה-Toddl שלכם, התחברותכם, וקישורכם למשפחה שלכם
• מאוחסנים: במסד הנתונים שלנו ב-Cloudflare D1
• שיתוף: אינם משותפים ואינם נמכרים, ואינם משמשים לשום דבר אחר
• תקופת שמירה: נשמרים כל עוד החשבון שלכם קיים
• מחיקה: נמחקים כאשר אתם מוחקים את החשבון שלכם (הגדרות ← "מחיקת חשבון")

שם ותמונת פרופיל

• משמשים ל: השם שלכם מוצג לחברי המשפחה שלכם כשם התצוגה שלכם (אתם יכולים לערוך אותו); כתובת ה-URL של תמונת הפרופיל שלכם משמשת כתמונת הפרופיל (אווטאר) שלכם. אם התמונה של Google היא אווטאר ברירת המחדל שנוצר מאות, אנחנו משליכים אותה. אנחנו בודקים זאת פעם אחת בעת ההתחברות באמצעות People API של Google, תוך שימוש באסימון הגישה של ההתחברות
• מאוחסנים: במסד הנתונים שלנו ב-Cloudflare D1
• שיתוף: מוצגים לחברי המשפחה שלכם, ונכללים בהודעות דוא"ל של הזמנה שאתם שולחים (הנשלחות באמצעות ספק הדוא"ל שלנו, Resend)
• תקופת שמירה ומחיקה: נשמרים כל עוד החשבון שלכם קיים ונמחקים יחד עם החשבון שלכם

אסימוני התחברות

• משמשים ל: באפליקציות לנייד, האסימונים ש-Google מעניקה לאפליקציה בעת ההתחברות משמשים רק לאימות זהותכם (ולבדיקת התמונה האחת שלעיל)
• מאוחסנים: אינם מאוחסנים

קובצי Google Drive ש-Toddl יוצרת (גיבוי אופציונלי)

• גישה: עם הרשאת drive.file, Toddl יכולה לראות ולנהל רק את הקבצים והתיקיות שהיא יצרה (התיקייה "Toddl Backup", קובצי הגיבוי ו-manifest.json). היא אינה יכולה לראות שום קובץ אחר ב-Drive שלכם. רק מנהל (הורה) יכול להפעיל את הגיבוי
• משמשים ל: כתיבת הגיבוי של המשפחה שלכם, וקריאה חוזרת של אותם קבצים אם אתם משחזרים משפחה מגיבוי
• מאוחסנים: ב-Google Drive שלכם, שבו Google מאחסנת אותם תחת החשבון שלכם. השרתים שלנו שומרים רק את מזהי ה-Drive של הקבצים והתיקיות שיצרנו, וכן רישום של התקדמות הגיבוי; אם אתם משחזרים משפחה מגיבוי, הזיכרונות המשוחזרים מועתקים בחזרה ל-Toddl ומאוחסנים כמו כל זיכרון אחר
• שיתוף: אינם משותפים עם איש, ואיננו קוראים אותם לשום מטרה אחרת
• תקופת שמירה ומחיקה: הקבצים שייכים לכם ונשארים ב-Drive שלכם עד שתמחקו אותם, לרבות לאחר שתנתקו את הגיבוי או תמחקו את חשבון ה-Toddl שלכם. כדי להסיר אותם, מחקו את התיקייה "Toddl Backup" ב-Drive, או בחרו "ניתוק ומחיקת הגיבוי" בעת הניתוק

הרשאת Google לגיבוי ל-Drive

• מהי: אסימון הרענון (refresh token) של OAuth ש-Google מנפיקה כאשר אתם מחברים את הגיבוי
• מאוחסנת: מוצפנת באחסון במסד הנתונים שלנו. במהלך שחזור, עותק מוצפן נפרד של ההרשאה נשמר רק עד שהשחזור מסתיים או נכשל, או לכל היותר 24 שעות אם לא תאשרו אותו
• משמשת ל: ביצוע גיבויים ושחזורים בלבד
• מחיקה: ניתוק הגיבוי באפליקציה מבטל את ההרשאה מול Google ומוחק את האסימון המאוחסן ואת רשומות הגיבוי שלנו. מחיקת חשבון ה-Toddl שלכם מוחקת גם היא את האסימון המאוחסן, כך ש-Toddl לא תוכל עוד לגשת ל-Drive שלכם. אתם יכולים גם להסיר את Toddl מדף הגישה של צדדים שלישיים בחשבון Google שלכם (ראו להלן)

כיצד אנחנו משתמשים במידע משתמש של Google

• איננו משתמשים במידע משתמש של Google לפרסום
• איננו מוכרים מידע משתמש של Google
• איננו משתמשים במידע משתמש של Google לאימון מודלים של בינה מלאכותית (AI) או של למידת מכונה (ML)
• איננו מעבירים מידע משתמש של Google לצדדים שלישיים, אלא במידה הנדרשת לאספקת התכונות (ספק האחסון שלנו, Cloudflare, מאחסן אותו, וספק הדוא"ל שלנו, Resend, שולח הודעות דוא"ל של הזמנה הכוללות את שם התצוגה שלכם)
• בני אדם ב-Toddl אינם קוראים מידע משתמש של Google, אלא בהסכמתכם, לצורך בדיקת אבטחה או שימוש לרעה, או כדי לציית לדין

השימוש של Toddl במידע המתקבל מממשקי Google API והעברתו לכל אפליקציה אחרת יעמדו במדיניות Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), לרבות דרישות השימוש המוגבל (Limited Use).

ביטול הגישה של Google

• באפליקציה, מנהל פותח את הכרטיסייה "משפחה" ← "גיבוי ל-Google Drive" ← "ניתוק", וכך מבטל את הגישה של Toddl ל-Drive
• מחקו את החשבון שלכם בהגדרות ← "מחיקת חשבון"
• בכל עת, הסירו את הגישה של Toddl בכתובת https://myaccount.google.com/permissions

מידע על ילדים (COPPA / GDPR-K)

Toddl מיועדת למבוגרים (הורים ואפוטרופסים) המתעדים זיכרונות של ילדיהם. היא אינה מכוונת לילדים מתחת לגיל 13, ואסור לילדים להשתמש באפליקציה או להחזיק בה חשבונות. מידע על ילד, לרבות תמונות והקלטות קול של הילד, מוזן על ידי ההורה או האפוטרופוס, השולט בו ויכול למחוק אותו בכל עת. איננו אוספים ביודעין מידע אישי ישירות מילד. אם אתם סבורים שילד מסר לנו מידע ישירות, פנו אלינו ואנחנו נמחק אותו.

הזכויות שלכם

• עיון במידע: בקשו בדוא"ל עותק של המידע האישי שאנחנו מחזיקים עליכם. הורה או אפוטרופוס יכול לבקש בשם ילדו. אנחנו משיבים בעברית, באנגלית או בערבית.
• מחיקה: באפליקציה, דרך הגדרות ← "מחיקת חשבון". החשבון שלכם, רשומות ההתחברות והפרופיל שלכם נמחקים לצמיתות. אם אתם החבר היחיד במשפחה שלכם, גם המשפחה, הילדים שלה וכל הזיכרונות שלה נמחקים. אם נותרים חברים אחרים, המשפחה והזיכרונות שהוספתם נשארים אצלם: הזיכרונות שלכם משויכים לחבר אחר, ואתם מופיעים כחבר משפחה לשעבר, ללא שמכם. רשומות מינוי מטופלות כמתואר בסעיף "מינויים וחיובים". אין אפשרות שחזור.
• תיקון מידע: ערכו את התוכן ישירות באפליקציה, או בקשו מאיתנו בדוא"ל לתקן או למחוק מידע שגוי, חסר או לא מעודכן. אם אנחנו משנים מידע לבקשתכם, אנחנו מודיעים על כך לספקים שהעברנו אליהם את המידע.
• ניידות: ייצוא בפורמט JSON של התוכן של המשפחה שלכם, לפי בקשה
• ביטול הסכמה: הפסיקו להשתמש באפליקציה ו/או מחקו את החשבון שלכם

אם אתם מתגוררים מחוץ לישראל, עומדות לכם גם הזכויות שמעניק לכם דין הגנת המידע של המדינה שלכם, למשל LGPD של ברזיל, PIPEDA של קנדה, Privacy Act 1988 של אוסטרליה או LFPDPPP של מקסיקו. כדי לממש אותן, שלחו לנו דוא"ל לכתובת hello@toddl.family; אתם יכולים גם למחוק את החשבון שלכם בעצמכם באפליקציה (הגדרות ← "מחיקת חשבון"). כאשר הדין החל עליכם מאפשר לכם להגיש תלונה לרשות להגנת מידע, אתם רשאים לעשות זאת.

אנחנו מעניקים זכויות אלה לכל משתמש, בכל מקום שבו הוא מתגורר. איננו מוכרים או משתפים מידע אישי, כמשמעות מונחים אלה ב-California Consumer Privacy Act (חוק פרטיות הצרכן של קליפורניה, CCPA).

שמירת מידע

• חשבונות פעילים: כל עוד אתם משתמשים בשירות
• חשבונות שנמחקו: החשבון שלכם, רשומות ההתחברות והפרופיל שלכם, ואם הייתם החבר היחיד במשפחה שלכם — גם המשפחה והתוכן שלה, מוסרים לצמיתות ממסד הנתונים הפעיל שלנו כאשר אתם מוחקים את החשבון שלכם; אם נותרים חברים אחרים, הזיכרונות שהוספתם נשארים אצל המשפחה, כמתואר בסעיף "הזכויות שלכם". עותקי גיבוי נמחקים בתוך 30 יום. החריג הוא נתוני מינוי: רשומת תוכנית מבוטלת (החנות והמוצר, אסמכתת העסקה בחנות, תאריכי התקופה, המשפחה שעליה חלה ומזהה המשתמש הקודם) כל עוד אותה משפחה קיימת, רשומות יומן אירועי החיוב (מזהה האירוע, סוג האירוע ומזהה המשתמש הקודם) ורשומת מחיקה נשמרות כמתואר בסעיף "מינויים וחיובים", ו-RevenueCat מחזיקה ברשומת המנוי שלה עד שהיא מאשרת את המחיקה.
• רשומות תוכנית מינוי: נשמרות כל עוד המשפחה קיימת.
• רשומות חיוב לאחר מחיקת חשבון: רשומות יומן אירועי החיוב נמחקות 13 חודשים לאחר עיבודן, רשומות תוכנית מבוטלות 24 חודשים לאחר תום התקופה שעליה חלו, ורשומות מחיקה 30 יום לאחר ש-RevenueCat מאשרת את המחיקה.
• רשומות הודעות דוא"ל על המינוי: נמחקות 24 חודשים לאחר שההודעה נשלחה או שהשליחה נכשלה סופית, או מוקדם יותר יחד עם החשבון שלכם.
• משוב מתוך האפליקציה: נשמר עד שהחשבון שלכם או המשפחה שלכם נמחקים; ההתראות בצ'אט התמיכה שלנו ב-Telegram נשמרות עד שאנחנו מוחקים אותן.
• רשימת המתנה באתר: נשמרת עד שנעדכן אתכם על ההשקה במדינה שלכם או עד שתבקשו למחוק אותה.
• דוחות קריסה: 30 יום (ברירת המחדל של התוכנית החינמית של Sentry)

צדדים שלישיים

אבטחה

• הרשאות בשכבת האפליקציה מגבילות את הגישה למידע לחברי המשפחה שלכם בלבד
• כל התעבורה מוצפנת ב-TLS (HTTPS)
• האימות מתבצע באמצעות ספקי ה-OAuth של Apple ו-Google; איננו שומרים סיסמאות
• אנחנו פועלים לפי דרישות App Transport Security של Apple

שינויים

נפרסם כאן כל שינוי במדיניות זו, ואם מדובר בשינוי מהותי, נודיע לכם עליו באפליקציה לפני כניסתו לתוקף.

יצירת קשר

• דוא"ל: hello@toddl.family

כתובות לצורכי רגולציה

Toddl אינה מוצעת באיחוד האירופי, באזור הכלכלי האירופי, בבריטניה או בשווייץ, לא ב-App Store ולא ב-Google Play. אם נעמיד אותה לרשות המשתמשים שם, נמנה את הנציגים הנדרשים לפי GDPR (סעיף 27), UK GDPR וחוק הגנת המידע הפדרלי של שווייץ (Swiss Federal Act on Data Protection), ונעדכן סעיף זה.