מדיניות הפרטיות של FITOPOLIS

1. בקצרה

• FITOPOLIS היא אפליקציה למאמנים אישיים ולמתאמנים שלהם. המאמן מנהל בה את הליווי, והמתאמן רושם בה מה הוא אוכל, איך הוא מתאמן וכמה הוא שוקל. הם גם קובעים בה פגישות ומדברים בה בצ'אט.
• אנחנו שומרים רק מה שהאפליקציה צריכה כדי לעבוד: את מספר הטלפון שלך כדי שתוכל להיכנס, ואת מה שאתה והמאמן שלך רושמים ושולחים זה לזה.
• חלק מזה הוא מידע על הבריאות שלך: משקל, היקפי גוף, מה אכלת ואיך התאמנת. אנחנו מתייחסים אליו כמידע רגיש.
• המאמן שלך רואה מה שאתה רושם ושולח לו. אתה לא רואה את ההערות הפרטיות שהוא כותב עליך, ולא את מעקב התשלומים שלו.
• מה שאתה כותב לעצמך נשאר בטלפון שלך: הערה בשקילה, הערה לעצמך על אימון, והסיבה שכתבת כשהסרת סימון. זה לא עולה לשרת, והמאמן לא רואה את זה.
• אין באפליקציה פרסומות ואין מדידת שימוש. כשהאפליקציה קורסת, נשלח לגוגל דיווח טכני על הקריסה (סעיף 7). אנחנו לא מוכרים מידע ולא משתפים אותו לשיווק.
• אפשר למחוק את החשבון מתוך האפליקציה בכל רגע.
• האפליקציה מיועדת לגיל 13 ומעלה. מתאמן בן 13 עד 17 מצטרף רק בהסכמת הורה, והמאמן אחראי לקבל אותה. מאמן חייב להיות בן 18 ומעלה.

2. מי אנחנו ואיך פונים אלינו

FITOPOLIS ("אנחנו"). אנחנו אחראים על המידע שנשמר באפליקציה. בכל שאלה על פרטיות, או כדי לממש את הזכויות שלך לפי חוק הגנת הפרטיות (סעיף 12 למטה), כתוב ל-support@fitopolis.co.il.

בשלב הזה האפליקציה בפיילוט. מאמנים ומתאמנים שהוזמנו מורידים אותה באנדרואיד, דרך מסלול הבדיקה הסגורה של Google Play.

המאמן שלך לא עובד אצלנו. הוא משתמש ב-FITOPOLIS כדי לעבוד איתך. הוא אחראי על מה שהוא בוחר לכתוב עליך, ועל קבלת הסכמת ההורים כשהיא נדרשת (סעיף 13).

3. מה נשמר, למה, ומי רואה

כמה זמן שומרים כל דבר כתוב בסעיף 10, ואיך מוחקים כתוב בסעיף 11.

3.1 החשבון והכניסה

נכנסים עם מספר טלפון ישראלי וקוד חד-פעמי שמגיע בהודעת SMS. הקוד בתוקף 5 דקות, ואפשר לנסות אותו 5 פעמים. אין אימייל ואין סיסמה, ואין כניסה עם גוגל או עם אפל.

מה נשמר אצל ספק השרת:

• מספר הטלפון שאימתת.
• שם החשבון.
• מזהה פנימי. הוא נרשם על כל דבר שאתה יוצר באפליקציה, כדי שנדע מי כתב אותו.
• מתי נפתח החשבון, ומתי השתמשת בו לאחרונה.
• כתובת ה-IP של כל פנייה לשרת. ספק השרת משתמש בה גם כדי להגביל כמה קודים אפשר לבקש מכל כתובת.

למה: כדי שתוכל להיכנס, כדי לחבר מתאמן לרשומה שהמאמן פתח לו, וכדי להגן על החשבונות.

בטלפון נשמרים מפתחות הכניסה, באחסון המוצפן של הטלפון. כשאתה יוצא מהחשבון הם נמחקים.

מי רואה: אתה, אנחנו וספק השרת. המאמן רואה, ברשימת מי שהצטרף בקוד שלו, את השם או את מספר הטלפון שאיתו הצטרפת, ואת התאריך.

אם אתה מתאמן, הטלפון שלך שומר בשרת גם את אזור הזמן שלו, כדי שהיום שלך באפליקציה יתחיל וייגמר בשעה הנכונה. המאמן לא רואה אותו.

3.2 מה המאמן שומר על עצמו

• מספר הטלפון שלו, השם, התמונה והלוגו.
• ההגדרות שלו: התראות ושעות שקט, סוגי האירובי שהוא עובד איתם, רשימת אמצעי התשלום שהוא מקבל (שמות בלבד, בלי שום חיבור אליהם), צבעים וגודל הלוגו, והגדרות הפגישות — מתי הוא זמין, מכסות, ימי חג ותזכורות.

מה המתאמנים שלו רואים מזה: השם, התמונה והלוגו, סוגי האירובי, הצבעים, והחלק של הפגישות שנועד להם — מתי אפשר לבקש פגישה, כמה בקשות מותר, ומתי הוא לא זמין, עם הכותרת שהוא נתן לזה. הם רואים גם את השעות שבהן הוא כבר תפוס, בלי שמות (סעיף 3.8). מספר הטלפון של המאמן, הגדרות ההתראות, התזכורות ואמצעי התשלום שלו לא מגיעים אליהם.

3.3 מה המאמן כותב על המתאמן, ורק המאמן רואה

המאמן פותח לכל לקוח רשומה. את החלקים האלה בה המתאמן לא רואה:

• מספר הטלפון שהמאמן הקליד, ומשקל הפתיחה.
• מתי התחיל הליווי.
• הערות פרטיות ותזכורת פרטית. זה טקסט חופשי.
• השלב שהמתאמן נמצא בו (מסה, חיטוב, מיני-קאט או ניטרלי), וטקסט על התזונה שלו.
• קוד ההזמנה שנשלח, ומתי הוא פג.
• אם המתאמן בן 13 עד 17: התאריך שבו המאמן אישר שקיבל הסכמה של הורה (סעיף 13).
• תאריכי ארכוב, אילו תבניות שויכו ללקוח, ואם הוא כבר משתמש באפליקציה.
• כמה המתאמן משלם ובאיזו תוכנית, וההיסטוריה של זה.
• המזהה של חשבון המתאמן, כדי שהשרת ידע לאיזה טלפון לשלוח התראה.
• ההערות שהמאמן כותב לעצמו על פגישה ועל הצעת פגישה, והסימון שפגישה התקיימה.

למה: כדי שהמאמן ינהל את הליווי ואת התשלומים שהמתאמנים משלמים לו. FITOPOLIS לא גובה כסף ולא מעבירה כסף.

המאמן יכול לכתוב בהערות שלו גם מידע על הבריאות שלך, לפי מה שהוא בוחר לכתוב. הוא יכול גם לפתוח את הרשומה הזאת לפני שהצטרפת לאפליקציה. אתה יכול לבקש לראות מה נרשם עליך (סעיף 12).

3.4 מה המאמן והמתאמן רואים יחד

• השם, הגובה, הגיל, התמונה והצבע שלך באפליקציה. את השם, הגובה והתמונה שניכם יכולים לשנות, והשינוי האחרון קובע. את הגיל והצבע קובע המאמן.
• התפריט ותוכנית האימונים שהמאמן נתן לך, וההיסטוריה של השינויים בהם.
• מתי הצטרפת, ומתי הליווי הסתיים, אם הסתיים.
• הגדרות הליווי: אם מסמנים ארוחות, אם רושמים אימונים, איך מסמנים אימון, שעת קימה ושעת שינה. שניכם יכולים לשנות אותן, והמאמן רואה מה שינית. רק אתה קובע אם אתה מסמן ארוחות בשבת, והמאמן רואה מה בחרת.
• לוח המעקב: מתי נשקלים, אילו היקפים מודדים ומתי, ואם יש פגישה קבועה — היום, כל כמה שבועות, השעה, סוג הפגישה והמקום. המאמן קובע, ואתה רואה.

3.5 קוד ההזמנה

המאמן מזמין מתאמן בקישור או בקוד QR. הקוד עובד פעם אחת ובתוקף יום אחד. עד שהקוד מומש, בוטל או פג, מי שמחזיק בו יכול לראות בלי להיכנס לחשבון את השם של המאמן ואת השם הפרטי של המתאמן. הוא יכול גם להצטרף במקום המתאמן ולראות מה שהמאמן כבר רשם לו: גיל, גובה, תפריט ותוכנית. לכן שולחים את הקוד רק למתאמן עצמו.

הקישור נראה כך: fitopolis.co.il/invite/#c=.... הקוד נמצא אחרי הסימן #, ולכן הוא לא מגיע לשרת של האתר.

מרגע שמתאמן הצטרף, שום חשבון אחר לא יכול להצטרף לרשומה שלו בקוד הזמנה. כשמתאמן מחליף מספר טלפון, אנחנו מעבירים את הרשומה לחשבון החדש, לבקשתו.

3.6 שקילות ומדידות

• שקילה: המשקל ומתי נשקלת. אתה רושם, ושניכם רואים. הערה שכתבת בשקילה נשארת בטלפון שלך בלבד.
• מדידות היקפים: איזה היקף (בשם שהמאמן נתן לו), כמה סנטימטרים ומתי. המאמן רושם, ושניכם רואים.

זה מידע על הבריאות שלך (סעיף 6).

3.7 ארוחות, אימונים ואירובי

• סימון ארוחה: איזו ארוחה, באיזה יום, מתי סימנת אותה, ומתי הסרת את הסימון אם הסרת. שני הרגעים מגיעים לטלפון של המאמן, וארוחה שהסרת ממנה את הסימון מופיעה אצלו כארוחה שלא נאכלה. הסיבה שכתבת כשהסרת את הסימון נשארת בטלפון שלך.
• אימון שעשית: איזה אימון ומה שמו, מתי, כמה זמן, הנפח, והמשקל שהרמת בכל תרגיל.
• אירובי: כמה, באיזו יחידה ומתי.

אתה רושם, והמאמן רואה. ההערה שאתה כותב לעצמך על אימון נשארת בטלפון שלך. זה מידע על הבריאות שלך (סעיף 6).

3.8 פגישות

• פגישה: יום, שעה, משך, סוג הפגישה, מקום ונושא; אם בוטלה, מתי ולמה; אם לא התקיימה; ואם אישרת שאתה מגיע. המאמן קובע את הפגישות, ואתה רואה אותן. ההערה שהמאמן כותב לעצמו על פגישה לא מגיעה אליך.
• בקשות והצעות לפגישה: מי ביקש, איזה זמן, משך וסוג, נושא ומקום, והתשובות — אישור, דחייה, הצעה אחרת או ביטול — עם הסיבה, אם כתבת אחת. כל מה שאתה כותב בבקשה מגיע למאמן, כולל הסיבה כשאתה לוחץ "לא אוכל להגיע". בשביל זה הבקשה קיימת.
• סימן בלי מילים: כשאתה עושה משהו בבקשה, הטלפון שלך משאיר בשרת סימן קצר בלי מילים. כתוב בו רק שמשהו קרה ובאיזו בקשה, כדי שהטלפון של המאמן יתעורר.
• השעות התפוסות של המאמן: כדי שלא תבקש זמן שכבר תפוס, הטלפון של המאמן שולח לכל מתאמן שלו רשימה של הזמנים התפוסים בשלושת החודשים הקרובים. יש בה רק יום, שעה ומשך, בלי שם, נושא או מקום. מהרשימה אפשר לדעת מתי המאמן עסוק, אבל לא עם מי.
• היומן של הטלפון: אם תבחר להוסיף פגישה ליומן של הטלפון, זה נשאר בטלפון בלבד. גם הגדרות התזכורות שלך לפגישות נשארות בטלפון.

3.9 צ'אט

• הודעות: מי שלח ומתי, הטקסט (עד 4,000 תווים), הודעה שעליה ענית, ואם ההודעה נערכה או נמחקה.
• תמונות וסרטונים: הטלפון מקטין תמונה לגודל מסך לפני שהיא נשלחת. סרטון מתכווץ בטלפון לפני השליחה, ונשלח רק אם הוא עד 50MB אחרי הכיווץ.
• הודעות קוליות: ההקלטה, האורך שלה (עד 10 דקות) וצורת הגל שמוצגת בבועה. האפליקציה מקליטה רק אחרי שאתה מתחיל הקלטה בעצמך: אתה לוחץ ומחזיק את כפתור המיקרופון, או נועל את ההקלטה כדי להמשיך בלי אצבע. ההקלטה נגמרת כשאתה שולח או מבטל. שום דבר אחר לא מוקלט.
• הערה למאמן בסוף אימון: אם תכתוב אותה, היא נשלחת אליו כהודעה בצ'אט, עם שם האימון. ההערה שאתה כותב לעצמך על אימון היא דבר אחר, והיא נשארת בטלפון.
• מי קרא (✓/✓✓): לכל צד נשמר עד איזו הודעה הוא קרא. הצד השני רואה ✓✓ על ההודעות שלו שכבר קראת, וכך הוא יודע בערך מתי פתחת את הצ'אט. זה עובד אותו דבר לשני הצדדים, ואף אחד אחר לא רואה את זה.
• עריכה ומחיקה: אפשר לערוך ולמחוק רק הודעה שלך, ורק ב-45 הדקות הראשונות. כשמוחקים הודעה, הטקסט והקובץ שלה נמחקים, ובמקומה נשאר "הודעה נמחקה". המאמן לא יכול למחוק הודעה שלך.
• איפה ומי רואה: הצ'אט הוא רק בינך לבין המאמן שלך. ההודעות נשמרות בשרת, והקבצים נשמרים באחסון הקבצים של ספק השרת. עותק של הקבצים נשמר גם בטלפון של מי ששלח ובטלפון של מי שקיבל.

3.10 תבניות ותשלומים — של המאמן בלבד

• תבניות תפריט (שם, מטרה, יעד קלוריות, ימים והחלפות), תבניות אימון ותבניות תשלום (סכום חודשי, תאריך ומרווח).
• רישומי תשלום: איזה לקוח, השם שלו ברגע התשלום, הסכום, התאריך, אמצעי התשלום, החודש והסכום שהיה צפוי.

אלה הרישומים של המאמן על כסף שהלקוחות שלו משלמים לו. האפליקציה לא מעבירה כסף, ולא שומרת פרטי כרטיס אשראי או חשבון בנק. המתאמן לא רואה את הרישומים האלה. הוא רואה רק אישור על תשלום שלו (סכום וחודש), אם המאמן בחר לשלוח אישור כזה.

3.11 התראות

• כדי שהטלפון יקבל התראות, האפליקציה רושמת אצל ספק השרת את מזהה ההתראות של הטלפון (מ-Google Firebase) ואת סוג הטלפון. כשאתה יוצא מהחשבון, הטלפון מבטל את המזהה אצל גוגל ומבקש מספק השרת למחוק את הרישום.
• ההתראה שעוברת דרך גוגל רק מעירה את האפליקציה. יש בה מילה קבועה וסימן טכני, בלי שם, סכום, טקסט או כל פרט שלך. את ההתראה שמופיעה לך על המסך הטלפון שלך מרכיב בעצמו, מהנתונים שכבר נמצאים אצלו.
• הטלפון של המאמן משאיר למתאמן בשרת הודעות קצרות בלי מילים: שההגדרות שלו עודכנו, שהתפריט או התוכנית השתנו, שמשהו השתנה בפגישה, ואישור תשלום (סכום וחודש) אם המאמן בחר בזה. הטלפון של המתאמן רק קורא אותן. הטלפון של המאמן מוחק אותן אחרי 30 יום.

3.12 כשהליווי מסתיים

המאמן יכול לסיים ליווי ולהעביר את המתאמן לארכיון. הפגישות העתידיות מתבטלות, והאפליקציה של המתאמן ננעלת ומציגה "הליווי הסתיים" עם התאריך. המאמן יכול גם להחזיר אותו מהארכיון, ואז האפליקציה שלו נפתחת שוב עם כל מה שהיה בה. על סיום הליווי ועל החזרה מגיעה למתאמן התראה. ארכוב לא מוחק כלום, והמאמן שומר את כל הנתונים. איך מוחקים כתוב בסעיף 11.

3.13 פנייה לצוות

אפשר לפנות אלינו מתוך האפליקציה על תקלה, רעיון או שאלה, בשתי דרכים:

• "פנייה לצוות" באזור החשבון: בוחרים נושא, כותבים במילים שלך, ואפשר לצרף עד שלוש תמונות מהגלריה או מהמצלמה. אפשר להוסיף לפנייה גם אחר כך.
• כפתור "דיווח לצוות" בהודעה על תקלה: כשמשהו לא יוצא מהטלפון, לחיצה אחת שולחת לנו פרטים טכניים בלבד. אין בדיווח הזה מילים שלך, תמונות או משהו ממה שרשמת.

מה נשלח בכל פנייה: מה שכתבת והנושא שבחרת; התמונות שצירפת, אם צירפת; אם אתה מאמן או מתאמן; גרסת האפליקציה, סוג הטלפון והשפה; מאיזה מסך שלחת; ומצב החיבור לשרת בקודים — כמה שינויים מחכים לצאת, איזה סוג נתונים נתקע, איזה קוד שגיאה חזר ומאז מתי. מעבר לזה, הנתונים שלך לא נשלחים: לא משקלים, לא סימונים, לא שמות ולא מספרי טלפון. הפנייה נשמרת בשרת וקשורה לחשבון שלך.

תמונות: תמונה של מסך מראה מה שהיה על המסך. אצל מאמן אלה יכולים להיות פרטים של לקוחות שלו, כמו שמות, משקלים, מדידות ותשלומים, גם של לקוחות בני 13 עד 17. מי שמצרף תמונה כזאת שולח לנו גם אותם, ולכן כדאי לצרף רק מה שצריך כדי שנבין. האפליקציה מזכירה את זה ליד הצירוף.

מי קורא: רק אנחנו. ספק השרת יכול לפתוח את הפנייה כמו כל מה שבשרת (סעיף 5). המאמן לא רואה פנייה של מתאמן, ומתאמן לא רואה פנייה של מאמן. כלי הבינה המלאכותית שלנו (סעיף 7) קורא את מה שכתבת ומסתכל בתמונות, כדי להבין במה מדובר ולהעביר את זה לתיקון. הוא קורא רק את הפנייה הזאת, ושום דבר אחר שלך. הוא פותח כל תמונה לרגע, מתאר במילים מה צריך לתקן בלי הפרטים שבה, ומוחק אותה מהמחשב שלנו באותה פעולה. התמונה עצמה נשארת רק בשרת, עם הפנייה.

מה קורה אחר כך: מיד מופיע אישור קצר. בתוך הפנייה רואים אם היא התקבלה, בעבודה או טופלה, ומתי. את הסטטוס כותבים רק אנחנו. אם צריך לענות לך, התשובה מגיעה בתוך הפנייה, וכל תשובה נכתבת באישור של אדם מהצוות שלנו. אנחנו שומרים גם רישום פנימי של הטיפול בפנייה — מתי הועברה ומתי טופלה — בלי התוכן שלה.

בלי רשת: הפנייה והתמונות נשמרות בטלפון, ונשלחות לבד כשיש רשת. בטלפון נשמר גם עותק של התמונות ששלחת, כדי להציג אותן בפנייה.

3.14 מה נשאר רק בטלפון שלך

הדברים האלה לא עולים לשרת, ואף אחד חוץ ממך לא רואה אותם:

• מה שאתה כותב לעצמך כמתאמן: הערה בשקילה, הערה לעצמך על אימון, והסיבה שכתבת כשהסרת סימון.
• ההעדפות שלך: סדר הארוחות, הבחירות שלך ב"בחר אחד", והגדרות ההתראות והתזכורות שלך, כולל התזכורות לפגישות.
• יומן פעולות: מתי סימנת ארוחה, פתחת את האפליקציה, נשקלת או סיימת אימון. האפליקציה משתמשת בו רק כדי להציג לך את ההיסטוריה שלך, ושום דבר לא מנתח אותו כדי ללמוד עליך.
• היסטוריית ההתראות, השפה והמראה, טיוטות, אימון שעוד לא סיימת, היומן שבחרת בטלפון, ופרטים טכניים כמו איזה חשבון השתמש בטלפון לאחרונה.

בטלפון נשמר גם עותק של מה שבשרת: אצל מאמן — הנתונים של הלקוחות שלו, ואצל כל אחד — הקבצים מהצ'אט. כך האפליקציה עובדת גם בלי רשת.

אם נרצה אי פעם להעלות לשרת משהו שאתה כותב לעצמך, נעדכן את המדיניות לפני כן.

גיבוי הטלפון: האפליקציה לא נכללת בגיבוי האוטומטי לחשבון הגוגל שלך. מה שנשמר רק בטלפון נשאר בו, ונמחק כשמסירים את האפליקציה. מה שבשרת נטען שוב כשנכנסים.

4. מה יתווסף בזמן הפיילוט

בזמן הפיילוט נוסיף עוד חלק אחד, בעדכון של האפליקציה דרך Google Play:

• תפעול: המאמן יקבל סיכום בוקר וסיכום יום, שהטלפון שלו מחשב מהנתונים שכבר נמצאים אצלו. ואנחנו נראה מספרים כלליים, כמו כמה משתמשים יש, בלי פרטים של אף אחד.

כבר מתחילת הפיילוט האפליקציה קוראת מהשרת רשימה קצרה, בלי שום מידע אישי: מתגים שמדליקים או מכבים מרחוק חלק באפליקציה, ומספר הגרסה הנמוכה ביותר שמותר להריץ. בטלפון שמותקנת בו גרסה ישנה מזה, האפליקציה מבקשת לעדכן, ומה שהוכנס בה נשמר בטלפון עד העדכון.

לפני כל עדכון כזה נעדכן את המדיניות ואת התאריך שבראשה.

5. מי רואה מה

מתאמן לא רואה שום דבר של מתאמן אחר, חוץ מהשעות התפוסות של המאמן, בלי שמות. מאמן לא רואה לקוחות של מאמן אחר.

"אנחנו כן" אומר שהמידע נמצא בשרת, ושאנחנו יכולים טכנית לפתוח אותו כבעלי החשבון אצל ספק השרת. ספק השרת יכול לפתוח אותו כמי שמפעיל את השרת. אבל אנחנו לא קוראים את מה שמשתמשים רושמים ושולחים. אנחנו מטפלים בחשבונות — חיבור לרשומה, החלפת מספר, כיבוי ומחיקה — רק כדי לטפל בבקשה שלך או בתקלה, וכל פעולה כזאת נעשית באישור של אדם מהצוות שלנו. יש שלושה חריגים: פנייה ששלחת לנו (סעיף 3.13); איתור השורות של מחיקה שביקשת — שם אנחנו מאתרים רק את מה שצריך למחוק, ולא מדווחים לאף אחד על מה שראינו; ובקשה שלך לראות את המידע שלך (סעיף 12) — שם אנחנו אוספים רק את המידע שלך, רק כדי לשלוח אותו אליך. בדיקות של האפליקציה נעשות בחשבונות בדיקה, לא בחשבונות של משתמשים.

6. מידע על הבריאות שלך

משקל, היקפי גוף, מה אכלת, אילו אימונים עשית, כמה הרמת ואירובי — כל אלה הם מידע על הבריאות שלך. גם ההערות של המאמן, ההודעות בצ'אט, התמונות וההקלטות יכולים לכלול מידע כזה. ב-Google Play האפליקציה מוצהרת כאפליקציה של כושר ופעילות.

אנחנו מתייחסים למידע הזה כמידע רגיש. אנחנו משתמשים בו רק כדי שאתה והמאמן שלך תעבדו איתו, ולא לפרסום, למכירה או לשיווק.

יש חריג אחד: פנייה אלינו (סעיף 3.13). אם תכתוב בה על משקל או על בריאות, או תצרף תמונה של מסך שרואים בה מידע כזה, אנחנו וכלי הבינה המלאכותית שלנו נראה אותו, ונשתמש בו רק כדי לטפל בפנייה. תמונה שמאמן מצרף יכולה להראות מידע כזה גם על לקוחות שלו.

7. עם מי המידע משותף

אנחנו לא מוכרים מידע ולא נותנים אותו למפרסמים. המידע עובר רק למי שהאפליקציה לא יכולה לעבוד בלעדיו:

• TaskLite — ספק השרת. עסק ישראלי. כל מה שבשרת, כולל הקבצים, שמור אצלו, על שרתים של Amazon Web Services באירלנד. לפי המדיניות שלו, יש לו ספקי משנה משלו, ובהם שירות לדיווח שגיאות ושירות בינה מלאכותית. אנחנו לא יודעים אם מידע של המשתמשים שלנו מגיע אליהם.
• ספק ה-SMS. הודעות הקוד יוצאות דרך החשבון של TaskLite, ומספר הטלפון שלך עובר לספק ההודעות שלו.
• Google Firebase Cloud Messaging. מעביר את ההתראות לטלפון. הוא מקבל את מזהה ההתראות של הטלפון, וההתראות עצמן בלי תוכן אישי (סעיף 3.11).
• Google Firebase Crashlytics. כשהאפליקציה קורסת, היא שולחת לגוגל דיווח טכני: איפה בקוד היא נפלה, דגם הטלפון וגרסת המערכת, גרסת האפליקציה, השעה, ומזהה אקראי של ההתקנה. אנחנו לא מצרפים לדיווח שם, מספר טלפון, מזהה חשבון או משהו ממה שרשמת. כשהקריסה היא של רכיב של מערכת הטלפון, הדיווח כולל גם את הודעת השגיאה של המערכת, ובמקרים נדירים היא יכולה לצטט טקסט שהיה באותו רגע באפליקציה. אנחנו משתמשים בדיווח רק כדי לתקן תקלות. גוגל שומרת את הדיווחים 90 יום.
• Google Play. דרכו מורידים את האפליקציה. בפיילוט מצטרפים לבדיקה עם חשבון גוגל, דרך קבוצה של גוגל שאתה מצטרף אליה בעצמך. כמנהלי הקבוצה אנחנו רואים את כתובת המייל שאיתה הצטרפת, ומשתמשים בה רק כדי לנהל את הבדיקה. היא לא מגיעה לאפליקציה ולא נשמרת בה. מה שגוגל אוספת שם כפוף למדיניות של גוגל.
• המייל שלנו. מייל שאתה שולח ל-support@fitopolis.co.il עובר בדרך אלינו דרך שירות להעברת מיילים, שיכול לראות את התוכן שלו.
• האתר fitopolis.co.il. מתארח אצל ספק אחסון אתרים, ואין בו מדידת כניסות.
• כלי הבינה המלאכותית שלנו — Claude של Anthropic. בעזרתו אנחנו מנהלים את השרת: הוא מקים לוחות והגדרות, ומטפל בחשבונות כשצריך — חיבור לרשומה, החלפת מספר, בקשת מחיקה — כל פעולה באישור של אדם מהצוות שלנו. לשם כך Anthropic מעבדת בשבילנו, כספק שירות, את מספר הטלפון, את השם ואת מזהה החשבון שלך. הכלי לא פותח את מה שנשמר בחשבון: משקלים, סימונים, הערות, תשלומים, פגישות, הודעות בצ'אט ומה שמצורף אליהן. יש שני חריגים. הראשון — בקשה שלך לראות את המידע שלך (סעיף 12): אז הכלי אוסף את המידע שלך בלבד, רק כדי שנשלח אותו אליך, באישור של אדם מהצוות שלנו. השני — פנייה ששלחת לנו (סעיף 3.13): את הפנייה הזאת הכלי קורא, כולל התמונות שצירפת, ואם רואים בתמונה פרטים — שלך, או של לקוחות של מאמן — הכלי רואה גם אותם. הכלי גם כותב על הפנייה את הסטטוס שלה, ואת התשובות שלנו באישור של אדם מהצוות שלנו.
• המאמן שלך. מקבל מה שכתוב בסעיף 5.
• כשהחוק מחייב. אם חוק או צו יחייבו אותנו למסור מידע, נמסור רק את מה שנדרש.

בהמשך: כשהאפליקציה תגיע לאייפון, ההתראות יעברו גם דרך Apple, וההורדה בזמן הבדיקה תהיה דרך TestFlight. לפני כל שינוי כזה, ולפני שנוסיף שירות חיצוני אחר, נעדכן את המדיניות.

8. איפה המידע שמור

• בשרת: אצל TaskLite, על שרתים של Amazon Web Services באירלנד, באיחוד האירופי, כלומר מחוץ לישראל. גם הקבצים — תמונות, סרטונים והקלטות — שמורים שם.
• בטלפון שלך: בתיקייה הפרטית של האפליקציה.
• לא בגיבוי של הטלפון: האפליקציה לא נכללת בגיבוי לחשבון הגוגל (סעיף 3.14).

9. איך אנחנו שומרים עליו

• החיבור בין האפליקציה לשרת מוצפן (HTTPS).
• בכל בקשה השרת בודק מי שואל, ומחזיר לכל אחד רק מה שמותר לו לראות.
• בצ'אט, השרת מרשה לכל צד לערוך ולמחוק רק הודעות שלו.
• קישור להורדת קובץ מהשרת תקף 15 דקות בלבד.
• מפתחות הכניסה שמורים באחסון המוצפן של הטלפון. אין סיסמאות.
• באפליקציה אין מפתחות סודיים של השרת. מזהה ה-Firebase שבתוך האפליקציה הוא ציבורי, והוא נעול לאפליקציה שלנו בלבד.
• ההתראות עוברות בלי תוכן אישי.
• קוד הכניסה בתוקף 5 דקות, ויש הגבלה על מספר הניסיונות והקודים.
• בטלפון, הנתונים שמורים בתיקייה הפרטית של האפליקציה, ואפליקציות אחרות לא יכולות להגיע אליה. הם לא מוצפנים בנפרד, ולכן חשוב שהטלפון שלך יהיה נעול בקוד.

אף שיטה לא מבטיחה הגנה מלאה. אם יקרה אירוע אבטחה שנוגע במידע שלך, נודיע לך, ונדווח לרשויות כפי שהחוק מחייב.

10. כמה זמן אנחנו שומרים

11. מחיקה

11.1 מחיקת חשבון מתוך האפליקציה

מאמן ומתאמן יכולים למחוק את החשבון שלהם מתוך האפליקציה, באזור החשבון. מתאמן יכול לעשות את זה גם ממסך "הליווי הסתיים". צריך חיבור לרשת, ונשלח קוד SMS חדש כדי לוודא שזה אתה.

לפני המחיקה, האפליקציה מוחקת מהשרת את התמונות שצירפת לפניות לצוות, ואת התמונות, הסרטונים וההקלטות ששלחת בצ'אט. ספק השרת לא מוחק קבצים יחד עם החשבון, ולכן האפליקציה עושה את זה קודם. לפני שאתה מאשר, היא אומרת לך כמה זמן זה ייקח. הקבצים נמחקים גם אם בסוף הקוד לא עובר.

ברגע המחיקה, הפרטים המזהים בחשבון נמחקים, כל הכניסות שלך בכל הטלפונים מתבטלות, ורישום הטלפונים להתראות נמחק. כל מה שיצרת בעצמך נמחק מהאפליקציה, ואף משתמש כבר לא יכול לראות אותו. הטלפון שלך מתרוקן וחוזר למסך הפתיחה, ונשארות בו רק השפה והמראה שבחרת. המחיקה הסופית מהשרת נעשית אצל ספק השרת, לפי המדיניות שלו (סעיף 10).

הסרת האפליקציה מהטלפון לא מוחקת את החשבון.

11.2 מתאמן שמוחק את החשבון שלו

מה שרשמת ושלחת בעצמך נמחק עם החשבון: השקילות, סימוני הארוחות, האימונים, האירובי, ההודעות שלך בצ'אט וסימני הקריאה שלך, הבקשות לפגישה שפתחת והסימנים שלך עליהן, והפניות שלך לצוות. אזור הזמן ובחירת השבת שלך נמחקים לפני כן.

מה שהמאמן רשם עליך: השם, הטלפון, הגיל, הגובה, התמונה, משקל הפתיחה, ההערות, ההגדרות, התפריט, התוכנית וההיסטוריה שלהם, המדידות, הפגישות העתידיות, הבקשות לפגישה, ההודעות שהמאמן שלח לך בצ'אט והקבצים שלהן. את כל אלה מוחק הטלפון של המאמן, בשרת ובטלפון שלו, בפעם הבאה שהאפליקציה שלו מתחברת לשרת. אם היא לא מתחברת, אנחנו מוחקים את זה ידנית בבדיקה השבועית שלנו, באישור של אדם מהצוות שלנו. עד אז זה נשאר בשרת, והמאמן עוד רואה את זה, כולל מה שכתבת בבקשות לפגישה שהוא פתח.

מה נשאר אצל המאמן — רשומה מינימלית: במקום השם כתוב "לקוח שמחק את חשבונו", גם ברישומי התשלום. נשארים מזהה פנימי, התשלומים, המחירים והתוכניות לאורך הזמן, מתי התחיל הליווי, תאריכי הארכיון, תאריך הסכמת ההורים אם היה, ומתי נמחק החשבון. מפגישות שהתקיימו נשארים היום, השעה, המשך, סוג הפגישה והסימון אם התקיימה, בלי נושא, מקום והערות. למה: אלה הרישומים של המאמן על הכסף שקיבל ועל הליווי שנתן. הם נשארים עד שהמאמן מוחק את הלקוח לצמיתות או את החשבון שלו.

אם החלפת מספר טלפון: מה שנוצר בחשבון עם המספר הקודם לא נמחק אוטומטית עם החשבון החדש. אנחנו מוחקים אותו ידנית בבדיקה השבועית שלנו, באישור של אדם מהצוות שלנו. עד אז המאמן עוד רואה את הרישומים הישנים.

11.3 מאמן שמוחק את החשבון שלו

לפני המחיקה, הטלפון של המאמן מוחק את הקבצים ששלח בצ'אט, את התמונה והלוגו שלו, ואת התמונות שצירף לפניות לצוות. הוא מוחק גם את בקשות הפגישה שהמתאמנים שלו פתחו ואת הסימנים עליהן.

אחר כך נמחק כל מה שהמאמן יצר: הפרטים שלו, רשומות הלקוחות, המדידות, התבניות, התשלומים, הפגישות, הבקשות שהוא פתח וההודעות ששלח. האפליקציה של כל מתאמן שלו תציג "הליווי הסתיים", ומשם המתאמן יכול למחוק את החשבון שלו.

מה שהמתאמנים רשמו ושלחו בעצמם — שקילות, סימונים, אימונים, אירובי וההודעות שלהם בצ'אט — נשאר אצל ספק השרת. אף משתמש באפליקציה לא יכול לראות את זה, גם לא המתאמן שרשם. אנחנו וספק השרת עדיין יכולים לפתוח את זה. כשהמתאמן מוחק את החשבון שלו, השורות האלה נמחקות. קבצים שהוא שלח בצ'אט עלולים להישאר באחסון של ספק השרת, כי אחרי שהרשומה נמחקה האפליקציה כבר לא יכולה להגיע אליהם. אנחנו עובדים עם ספק השרת על דרך למחוק את כל זה באותו רגע.

11.4 מאמן שמוחק לקוח לצמיתות

נמחקים הרשומה של הלקוח אצל המאמן, המדידות, הגדרות המעקב, רישומי התשלום, הפגישות והבקשות, וההודעות שהמאמן שלח לו בצ'אט והקבצים שלהן. האפליקציה של המתאמן תציג "הליווי הסתיים", ומשם הוא יכול למחוק את החשבון שלו. מה שהמתאמן רשם ושלח בעצמו נשאר אצל ספק השרת בדיוק כמו בסעיף 11.3.

11.5 אם כבר אין לך את האפליקציה

היכנס ל-fitopolis.co.il/delete-account.html. יש שם שתי דרכים:

• להתקין את האפליקציה שוב, להיכנס עם אותו מספר ולמחוק מאזור החשבון. זו מחיקה מלאה.
• לכתוב ל-support@fitopolis.co.il. נוודא שהבקשה באה ממך בהודעה למספר של החשבון. אחר כך נכבה את החשבון, ונמחק באישור של אדם מהצוות שלנו את מה שרשמת ואת מה שהמאמן רשם עליך. לבסוף נבקש מספק השרת למחוק את החשבון עצמו. עד שהוא מוחק, רשומת החשבון עצמה (המספר והשם) נשארת אצלו, כבויה.

הורה של מתאמן בן 13 עד 17 יכול לבקש מחיקה באותה דרך, או יחד עם הילד מתוך האפליקציה.

11.6 יציאה מהחשבון

יציאה מהחשבון מוחקת מהטלפון את מפתחות הכניסה ומבטלת את מזהה ההתראות. המידע שבשרת נשאר.

12. הזכויות שלך

לפי חוק הגנת הפרטיות, התשמ"א-1981, יש לך את הזכויות האלה:

• אין חובה חוקית למסור לנו מידע. מה שאתה מוסר, אתה מוסר בבחירתך. אבל בלי מספר טלפון אי אפשר להיכנס, ובלי הרישומים שלך המאמן לא יראה את ההתקדמות שלך.
• מי מקבל את המידע: המאמן שלך והספקים שבסעיף 7, למטרות שכתובות בסעיף 3.
• לראות את המידע עליך: אפשר לבקש לראות את המידע שיש עליך בשרת, כולל מה שהמאמן רשם עליך. אין באפליקציה ייצוא, ולכן נענה על בקשה כזאת ידנית, תוך 30 יום: נאסוף את המידע שלך בלבד, ונשלח אותו אליך.
• לתקן: את השם, הגובה והתמונה אפשר לתקן באפליקציה. כל דבר אחר — בקש מהמאמן שלך, או כתוב לנו.
• למחוק: סעיף 11.
• אם לא קיבלת מענה: אפשר לפנות לרשות להגנת הפרטיות.

כתוב ל-support@fitopolis.co.il.

13. קטינים

• FITOPOLIS מיועדת לגיל 13 ומעלה. מתחת לגיל 13 אסור להשתמש בה.
• מתאמן בן 13 עד 17 מצטרף רק בהסכמת ההורים. השגת ההסכמה היא באחריות המאמן. כשמאמן מוסיף לקוח, האפליקציה שואלת אם הלקוח מתחת לגיל 18. אם כן, אי אפשר להוסיף אותו בלי שהמאמן מאשר שקיבל הסכמה של הורה או של אפוטרופוס. האפליקציה שומרת את התאריך של האישור, ורק המאמן רואה אותו. ההסכמה עצמה נשארת אצל המאמן.
• האפליקציה לא בודקת גיל בעצמה, והיא סומכת על התשובה של המאמן. אם נגלה שמשתמש מתחת לגיל 13, נכבה את החשבון שלו ונמחק אותו כמו בסעיף 11.5.
• מאמן חייב להיות בן 18 ומעלה.
• תמונה שמאמן מצרף לפנייה אלינו יכולה להראות פרטים של לקוחות שלו, גם של בני 13 עד 17. אנחנו וכלי הבינה המלאכותית שלנו נראה אותם, ונשתמש בהם רק כדי לטפל בפנייה (סעיף 3.13).
• הורה שרוצה לראות מה שמור על הילד שלו, לתקן או למחוק, כותב ל-support@fitopolis.co.il.

14. מה אנחנו לא עושים

• לא אוספים מיקום או אנשי קשר.
• לא מקליטים שום דבר, חוץ מהודעה קולית שאתה מקליט בעצמך בצ'אט (סעיף 3.9).
• אין פרסומות ואין מזהי פרסום.
• לא מודדים איך אתה משתמש באפליקציה. אם נוסיף משהו כזה, נעדכן את המדיניות קודם. דיווח הקריסות (סעיף 7) הוא טכני, ואנחנו לא מצרפים אליו פרטים שלך. ספק השרת רושם, כמו כל שרת, את כתובת ה-IP של כל פנייה ומתי חשבון השתמש בו לאחרונה.
• לא מוכרים מידע ולא משתפים אותו לשיווק.
• אין תשלום בתוך האפליקציה, ואין שמירה של פרטי כרטיס אשראי או חשבון בנק.
• אין אימייל או סיסמה, ואין כניסה עם גוגל או עם אפל.
• לא קוראים את מה שאתה רושם ושולח, חוץ מפנייה אלינו ומבקשה שלך לראות את המידע שלך.
• מה שאתה כותב לעצמך כמתאמן, ויומן הפעולות, לא עולים לשרת.

15. ההרשאות בטלפון (אנדרואיד)

תמונות וסרטונים מהגלריה בוחרים דרך הבוחר של הטלפון, בלי לתת לאפליקציה גישה לגלריה.

אייפון: בתחילת הפיילוט האפליקציה רק באנדרואיד. כשהיא תגיע לאייפון, נעדכן את הרשימה.

16. שינויים במדיניות

לפני כל עדכון של האפליקציה שמוסיף סוג של מידע, נעדכן את המדיניות ואת התאריך בראשה, ונכתוב על השינוי בתיאור העדכון ב-Google Play.

17. יצירת קשר

FITOPOLIS · support@fitopolis.co.il