Reach & Do — מדיניות פרטיות

עדכון אחרון: 22.10.2026

Privacy Policy in English →

1. מי אנחנו ולמה המסמך הזה

Reach & Do היא אפליקציית-שיחה קולית עם דמויות דיגיטליות (המשתמש בוחר עם מי לדבר), המבצעות עבור המשתמש פעולות אמיתיות: חיפוש ברשת, קריאה ויצירה של אירועים ביומן Google, שליחת מייל בשם המשתמש, והזמנת אנשי קשר לפגישה. מסמך זה מסביר אילו נתונים האפליקציה אוספת, למה, ועם מי הם משותפים.

2. מידע שאנחנו אוספים

• פרטי חשבון Google — שם, כתובת אימייל ותמונת-פרופיל, בעת ההתחברות (Google Sign-In).
• פרטי חשבון Apple — שם וכתובת אימייל, בעת ההתחברות (Sign in with Apple). Apple מאפשרת למשתמשים להסתיר את כתובת האימייל האמיתית שלהם מאחורי כתובת-ריליי פרטית — כתובת כזו, אם נמסרה, מתקבלת אצלנו ומטופלת בדיוק כמו כל כתובת אימייל אחרת.
• גישה ליומן Google — קריאת אירועים קיימים ויצירת אירועים חדשים, רק לפי בקשה מפורשת של המשתמש בתוך השיחה, ורק אחרי אישור-הרשאות מפורש מול Google עצמה.
• שליחת מייל בשם המשתמש (Gmail) — שליחת הודעה מכתובת ה-Gmail של המשתמש אל נמען שהמשתמש ביקש, רק אחרי שהדמות הקריאה בקול את הנמען ואת נוסח ההודעה המלא וקיבלה אישור מפורש. ההרשאה היא לשליחה בלבד (gmail.send): איננו קוראים, מחפשים, שומרים או מוחקים הודעות בתיבת הדואר.
• אנשי קשר ב-Google — כשהמשתמש מבקש לשלוח מייל למישהו או להזמין אותו לפגישה לפי שם, האפליקציה מחפשת את השם באנשי הקשר שלו ושולפת שם וכתובת מייל בלבד (לא טלפונים, כתובות מגורים או כל שדה אחר). ההרשאה היא לקריאה בלבד (contacts.readonly). הכתובת משמשת רק לשליחת אותה הודעה או הזמנה, ואינה נשמרת אצלנו. הדמות עצמה שומעת את שם איש הקשר בלבד, והכתובת נשארת בשרת.
• חתימה למיילים — טקסט קצר שנוסף בסוף מיילים שנשלחים בשם המשתמש. ברירת המחדל נגזרת משם המשתמש, והוא יכול לערוך או למחוק אותה במסך החשבון.
• מיקרופון וקול — האודיו של המשתמש נלכד בזמן שיחה חיה, ומועבר לעיבוד כדי שהדמות תוכל להבין ולהשיב.
• תוכן השיחה — מה שנאמר בשיחה (כולל שאילתות-חיפוש שהמשתמש מבקש) מעובד כדי לייצר תשובה ולבצע פעולות.
• זיכרון ("דמויות שמכירות אותי") — בסיום שיחה, האפליקציה כותבת מתוך תמליל השיחה סיכום מתמשך על המשתמש (מי הוא, מה מעסיק אותו, איך הוא אוהב שמדברים איתו) ומסמכים קצרים על נושאים שיש להם המשך (למשל תכנון טיול: איפה עצרנו, מה הוחלט). הזיכרון משותף לכל הדמויות, ונפרד לכל חשבון. הכותב מונחה לשמור רק מה שהמשתמש אמר על עצמו ועל ענייניו.
• תמלול הדיבור — כשהזיכרון דלוק, הדיבור של המשתמש מתומלל לטקסט בזמן השיחה, כדי שאפשר יהיה לכתוב את הזיכרון. בסיום השיחה התמליל נשלח לשרת שלנו לכתיבת הזיכרון, והשרת לא שומר אותו אחרי שהכתיבה מסתיימת.
• נתוני-שימוש טכניים — כמות השיחות החודשית לכל משתמש, לצורך אכיפת מכסת-שימוש הוגנת.
• נתוני-חיוב — יתרת דקות-השיחה שרכשתם וכמה נותר ממנה, ולמי שמחזיק מנוי שנרכש בעבר — האם הוא פעיל, תאריך החידוש, וכמות הדקות שנוצלה במחזור הנוכחי. לא כולל פרטי אמצעי-תשלום (מספר כרטיס וכדומה) — אלה נמצאים אך ורק אצל Apple או Google (לפי החנות שבה נרכשו), לא אצלנו כלל.
• כתובת-אימייל לרשימת-ההשקה — אם השארתם אימייל בעמוד השיווקי (לפני שנרשמתם בפועל לאפליקציה), הוא נשמר אך ורק כדי ליידע אתכם כשההרשמה הציבורית נפתחת. אינו מקושר לשימושכם באפליקציה, אלא אם תתחברו בעתיד עם אותו חשבון Google.
• הרשמה לבדיקת אנדרואיד — מי שנרשם בעמוד /testers מוסר שם, כתובת Gmail ומספר טלפון (ליצירת קשר במהלך הבדיקה ולקבוצת הוואטסאפ של הבודקים), ולא כחובה גם דגם מכשיר. הפרטים נשלחים במייל לבעלי האפליקציה בלבד (דרך Resend), אינם נשמרים במסד הנתונים, ומשמשים רק כדי להוסיף את הנרשם לרשימת הבודקים ב-Google Play.

3. עם מי המידע משותף

המידע מעובד על-ידי ספקי-שירות חיצוניים, אך ורק כדי להפעיל את האפליקציה עצמה — לא נמכר ולא משותף למטרות שיווק:

• OpenAI — מעבד את קול/טקסט השיחה כדי לייצר את תשובות הדמות, וכן מתמלל את דיבור המשתמש וכותב את הזיכרון בסיום שיחה.
• Anam — מציג את פני הדמות בזמן-אמת (מקבל אודיו בלבד, לצורך סנכרון-שפתיים).
• LiveAvatar (HeyGen) — ספק-הפנים של אחת הדמויות, במקום Anam. מקבל אך ורק את הדיבור המסונתז של הדמות, לצורך סנכרון-שפתיים, ומחזיר וידאו. המיקרופון שלכם אינו מגיע אליו: האפליקציה קולטת מהערוץ בלבד ואינה משדרת אליו דבר.
• Fly.io — מארח את שרת-הממסר שלנו, שמעביר את קול השיחה בזמן-אמת בין האפליקציה ל-OpenAI. הממסר אינו שומר עותק של הקול.
• Tavily — מבצע חיפושי-רשת שהמשתמש מבקש בתוך השיחה.
• Google — לצורך ההתחברות, גישת-היומן, שליחת מייל בשם המשתמש (Gmail) וחיפוש באנשי הקשר, בהתאם למדיניות-הפרטיות של Google עצמה.
• Resend — רק אם המשתמש בוחר בפעולה מפורשת "שלח במייל", לצורך שליחת סיכום-השיחה לכתובת-המייל של אותו משתמש עצמו — לא לאף כתובת אחרת. גם משמש לשליחת התראה פנימית אלינו כשמישהו נרשם לרשימת-ההשקה.
• Supabase — שומר את הזיכרון (סעיף 2), את נתוני-החיוב, ואת כתובות-רשימת-ההשקה, עבור המשתמש הרלוונטי.
• Apple (App Store) — כאשר מבצעים רכישה באפליקציה, הרכישה עצמה מתבצעת ומאובטחת אצל Apple; אנחנו לא רואים ולא שומרים פרטי-תשלום כלל. ר' מדיניות הפרטיות של Apple.
• Google (Google Play) — כאשר מבצעים רכישה באפליקציית האנדרואיד, הרכישה עצמה מתבצעת ומאובטחת אצל Google Play; אנחנו לא רואים ולא שומרים פרטי-תשלום כלל. ר' מדיניות הפרטיות של Google.
• RevenueCat — מקבל את אותו מזהה-חשבון שכבר משמש בכל מקום אחר באפליקציה, כדי לקשר בין רכישה בפועל לחשבון הנכון ולדעת מהי הזכאות שלכם.

מעבר לשירותים שלמעלה, האפליקציה טוענת את הגופנים שלה מ-Google Fonts. כמו כל נכס שמתארח מחוץ לאתר, הבקשה הזו חושפת בפני Google את כתובת ה-IP ואת הדפדפן של מי שפותח עמוד. אין בה שום תוכן שיחה.

4. נתונים מ-Google — שימוש מוגבל

השימוש שלנו במידע המתקבל מממשקי Google, וההעברה שלו לכל יישום אחר, כפופים ל-Google API Services User Data Policy, לרבות דרישות ה-Limited Use.

Reach & Do's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

בפועל, זה אומר שנתונים מ-Google משמשים אך ורק כדי לבצע את מה שהמשתמש ביקש בתוך השיחה: קריאת אירועים ביומן לפי שאלה שנשאלה; יצירת אירוע, שליחת מייל או הזמנת מוזמנים — רק אחרי אישור מפורש בקול; וחיפוש שם באנשי הקשר רק כדי לאתר את הנמען או המוזמן שהמשתמש נקב בשמו. הם אינם משמשים לפרסום, אינם נמכרים, ואינם מועברים לאף גורם מלבד ספקי-השירות המפורטים בסעיף 3 שמפעילים את התכונה עצמה. איננו שומרים עותק של היומן, של אנשי הקשר או של תיבת הדואר, ואיננו קוראים אותם ברקע.

5. שמירת מידע

טוקן-הגישה המוצפן לחשבון Google, חתימת-המייל ומונה-השימוש החודשי נשמרים במסד-נתונים מוצפן (Upstash Redis). אנשי קשר ותוכן מיילים שנשלחו אינם נשמרים אצלנו. תוכן-שיחה גולמי אינו נשמר לטווח-ארוך על השרת — הוא קיים רק כל עוד השיחה פעילה, אלא אם המשתמש עצמו בוחר להוריד תמליל/סיכום או לשלוח אותו במייל, ואז הוא כמובן קיים באותו קובץ/מייל שהמשתמש יצר.

הזיכרון (סעיף 2) שונה: בניגוד לתוכן-השיחה הגולמי, הוא נשמר לטווח ארוך ב-Supabase, כדי שהדמויות יזכרו בין שיחה לשיחה — עד שהמשתמש מכבה אותו, מוחק אותו או מוחק את החשבון. הסיכום והנושאים מוצפנים במפתח נפרד שנמצא רק בשרת שלנו. נשמרות גם שלוש הגרסאות הקודמות של כל אחד מהם, מוצפנות, כדי לשחזר מידע אם כתיבה השמידה אותו.

6. אבטחת המידע

אלה אמצעי-ההגנה שמופעלים בפועל על המידע הרגיש, ובראשו הגישה ליומן Google:

• הצפנה במעבר. כל התקשורת בין המכשיר לשרתים ובין השרתים לספקים החיצוניים עוברת ב-HTTPS/TLS בלבד.
• הצפנה במנוחה, מעבר להצפנת הספק. טוקן-הרענון של יומן Google מוצפן אצלנו ב-AES-256-GCM לפני שהוא נכתב למסד-הנתונים — כלומר גם מי שמגיע לרשומה עצמה רואה טקסט מוצפן, ולא את הטוקן.
• מפתח ההצפנה מופרד מהמידע. הוא מוחזק כסוד סביבתי בצד-השרת, לא בתוך מסד-הנתונים, ואינו מגיע לדפדפן לעולם.
• תוכן היומן עצמו אינו נשמר. אירועים נקראים בזמן-אמת כדי לענות על השאלה שנשאלה באותה שיחה, ונזרקים. איננו מחזיקים עותק של היומן ואיננו קוראים אותו ברקע.
• גישה לפי חשבון. כל קריאה למסד-הנתונים מוגבלת לרשומה של המשתמש המחובר עצמו. מפתחות-הגישה לספקים החיצוניים הם סודות בצד-השרת, והדפדפן אינו מקבל אותם.
• הרשאת-המינימום. לכל יכולת אנחנו מבקשים את ההרשאה הצרה ביותר שמאפשרת אותה: ליומן — calendar.events, שמאפשרת לקרוא וליצור אירועים בלבד; לדואר — gmail.send, שמאפשרת לשלוח בלבד, בלי גישה לקריאת הודעות; ולאנשי הקשר — contacts.readonly, קריאה בלבד, ומתוכה אנחנו שולפים שם וכתובת מייל בלבד. איננו מבקשים גישה להגדרות היומן, לתוכן תיבת הדואר או לנתונים אחרים בחשבון Google.
• ניתוק בכל רגע. אפשר לבטל את ההרשאה מתוך עמוד החשבון באפליקציה, וגם ישירות מדף ההרשאות של חשבון Google שלכם.

7. מחיקת מידע

את הזיכרון (סעיף 2) אפשר לראות בכל רגע בעמוד /memory בתוך האפליקציה. יש שם מתג אחד, "דמויות שמכירות אותי": כיבוי מוחק את כל הזיכרון ועוצר אותו. כפתור "מחק את הזיכרון שלי" מוחק הכל ומתחיל מחדש. אפשר גם לבקש מכל דמות בשיחה "תמחקי את כל מה שאת יודעת עליי" — הדמות מונחית לשאול פעם אחת לפני שהיא מוחקת. שיחה שכבר פתוחה ממשיכה כמו שהיא; השינוי חל מהשיחה הבאה. למחיקת שאר המידע השמור (טוקן-Google, חתימת-מייל, נתוני-מכסה, נתוני-חיוב, כתובת ברשימת-ההשקה אם נרשמתם) יש לפנות לכתובת שבסעיף 9 ולבקש מחיקה, או למחוק את החשבון כולו דרך עמוד /delete-account, שמוחק גם את הזיכרון כחלק ממחיקת-החשבון.

שימו לב: רשומות-עסקה של רכישה (מה נרכש, מתי, ובאיזה מחיר) נשארות אצל Apple או Google (לפי החנות) גם לאחר מחיקת החשבון אצלנו — הן שומרות רשומות-עסקה בהתאם למדיניות ולחובות-הרגולציה שלהן-עצמן, ואין לנו יכולת למחוק אותן. גם אצל RevenueCat, שמנהלת עבורנו את הרכישות, הרשומה נשמרת כברירת מחדל, כי היא משמשת לשחזור רכישות ולטיפול בהחזרים; אפשר לבקש שנמחק גם אותה, בפנייה לכתובת שבסעיף 9.

גם אצלנו נשמרת רשומת-עסקה לכל חבילת דקות שנרכשה — מזהה-החשבון, איזו חבילה, מתי, מזהה-העסקה בחנות, וכמה דקות נותרו ממנה — גם לאחר מחיקת החשבון. היא אינה כוללת שם, כתובת מייל או תוכן שיחה. היא נשמרת משתי סיבות: כרשומה של עסקה כספית, וכדי שאם תחזרו עם אותו חשבון, הדקות שנותרו לכם יחזרו אליכם — ורכישה שכבר נוצלה לא תיזקף פעם שנייה.

8. קטינים

האפליקציה אינה מיועדת לילדים, ואינה אוספת ביודעין מידע מקטינים.

9. יצירת קשר

לשאלות על מדיניות זו או בקשות למחיקת-מידע: gonenya@gmail.com

10. עדכונים למדיניות זו

מדיניות זו עשויה להתעדכן ככל שיכולות האפליקציה משתנות. תאריך העדכון האחרון מופיע בראש המסמך.

תנאי השימוש המלאים ←