מדיניות הפרטיות של האפליקציה Blink One

עודכן לאחרונה: 13.10.2026

תאריך תחילה: 13.10.2026

מי אנחנו: Blink One ("Blink", "אנחנו") היא אפליקציה ל-Shopify שמפעיל נועם דוד אלבז, עוסק מורשה, ע.מ 322313735, רמת מוצא 30, ירושלים. פניות: schoolblinkecom@gmail.com · פרטיות: schoolblinkecom@gmail.com.

המדיניות מסבירה איזה מידע Blink מעבדת כשסוחר מתקין אותה בחנות Shopify, למה, כמה זמן, ומי עוד מעורב. היא לא מחליפה את מדיניות הפרטיות של החנות עצמה — לכל סוחר מדיניות משלו כלפי הלקוחות שלו.

1. התפקיד שלנו

מידע על הסוחר (חשבון, הגדרות, פרטי עסק, חיוב): אנחנו קובעים איך משתמשים בו — בעל השליטה (Controller; לפי החוק הישראלי: בעל השליטה במאגר).
מידע על לקוחות החנות שעובר דרכנו (טופס ביטול, ביקורת, מזהה מבקר בניסוי, נתוני הזמנה): אנחנו פועלים מטעם הסוחר ולפי הוראותיו — מעבד / מחזיק (Processor). הסוחר אחראי כלפי הלקוחות שלו. התנאים מפורטים בנספח עיבוד הנתונים (DPA). (לפי תיקון 13 לחוק הגנת הפרטיות, בתוקף מ-14.08.2025: "בעל שליטה במאגר" ו"מחזיק".)

2. מה אנחנו מעבדים

2.1 מ-Shopify, על החנות והסוחר

זהות החנות וגישה: כתובת החנות, טוקן הגישה ש-Shopify מנפיקה בהתקנה, ההרשאות שאושרו, ואם Shopify מצרפת אותם לסשן של איש צוות — שם, מייל ושפת ממשק, רק כדי שהסשן יעבוד.
מידע על התבנית (read_themes): איזו תבנית פעילה ואילו רכיבי Blink מופעלים. קבצי התבנית לא משתנים.
מוצרים (read_products, רק כשכלי צריך): שמות, תמונות, מחירים ועלות ליחידה — לבוררים, לרווחיות, לביקורות ולעץ האופטימיזציה.
תוכנית: מזהה התוכנית ש-Shopify מחזירה אחרי בחירת תוכנית. פרטי תשלום לא מגיעים אלינו.

2.2 הזמנות — שדות כספיים בלבד (רווחיות, מדידת השפעה, עץ האופטימיזציה; אופציונלי)

רק כשהסוחר מפעיל כלי שצריך ומאשר read_orders (Shopify: Protected customer data — רמה 1, הזמנות בלבד; מטרות: App functionality + Analytics):

מזהה ומספר הזמנה, תאריכים, מטבע, סכומים, מס, החזרים, הנחות, שמות שערי תשלום, שורות (מוצר, וריאנט, מק"ט, כמות, מחיר, עלות), סימון בדיקה/ביטול, ומיקום ההזמנה בהיסטוריית הלקוח (מספר כמו "הזמנה ראשונה").
לעולם לא שם, מייל, טלפון, כתובת, הערות, כתובת IP או מזהה לקוח.
שמירה: כ-13 חודשים (רווחיות ומדידת השפעה), נמחק כשהכלי נכבה או בהסרה.

2.3 מידע שהסוחר מזין

פרטי העסק למילוי מסמכים: שם העסק והשם המשפטי, סוג עוסק ומספר, מע"מ, כתובת, אתר, מייל וטלפון שירות, WhatsApp, שעות, תנאי משלוח והחזרה, פרטי רכז נגישות וממונה פרטיות, שם הבעלים.
הגדרות הכלים, יומן פעולות הגדרה, עלויות לרווחיות, פרסומים משפטיים (מה פורסם ומתי).
פרופיל מותג לעץ האופטימיזציה: קהל, הבטחה, טון, מילים אסורות, וטקסט שחולץ מספר מותג שהועלה (עד ~60 אלף תווים). הקובץ עצמו לא נשמר — רק הטקסט.

2.4 מידע על לקוחות החנות (נאסף בחנות של הסוחר)

בקשות ביטול/החזרה — רק אם הסוחר הציב את טופס הביטול. נשמר: שם, מייל, טלפון, מספר הזמנה, פריטים, סיבה, 4 הספרות האחרונות של ת"ז (לעולם לא המספר המלא), סוג בקשה, סטטוס וזמן הסכמה. שמירה 24 חודשים ואז מחיקה אוטומטית.
ביקורות שלקוחות שולחים — שם תצוגה, דירוג, כותרת, טקסט ומדיה. בלי מייל ובלי IP. אם הלקוח מחובר לחנות, Shopify מעבירה מזהה לקוח מספרי, שנשמר בטבלת קישור נפרדת (לא על הביקורת המפורסמת) כדי להציג לסוחר את ביקורות הלקוח בעמוד הלקוח ב-Shopify. ביקורות מאושרות נשמרות בחנות של הסוחר (metaobjects של האפליקציה ב-Shopify), לא אצלנו. ממתינות — עד אישור/דחייה (ניקוי אחרי ~90 יום).
עמוד תודה — תשובת "איך שמעתם עלינו" וקוד הנחה, לפי מזהה הזמנה בלבד.
WhatsApp — ספירות יומיות לפי סוג עמוד ומוצר, בלי מזהים. ~13 חודשים.
סימונים נסתרים בעגלה (מדידת השפעה) — מאפיינים שמתחילים בקו תחתון שמכילים קוד קצר או תאריך בלבד.
עץ האופטימיזציה (ניסויי A/B) — רק אם הסוחר הפעיל אותו, ורק אחרי שהמבקר אישר עוגיות אנליטיקה (דרך Customer Privacy API של Shopify או באנר העוגיות של Blink). בלי הסכמה — המבקר רואה את החנות הרגילה ושום דבר לא נשמר עליו.
- עוגיות צד ראשון בדפדפן: _blink_vid (מזהה אקראי) ו-_blink_ab (איזו גרסה הוצגה), עד 180 יום; עותק של המזהה ב-localStorage. ביטול הסכמה מוחק אותן מיד.
- בשרת: המזהה מגובב (SHA-256 עם מלח), סוג מכשיר (נייד/מחשב), איזו גרסה הוצגה, האם הוסיף לעגלה / הגיע לקופה / השלים הזמנה. כדי לשייך הזמנה לגרסה נשמר מזהה ההזמנה והסכומים (בלי פרטי לקוח).
- Web Pixel של Blink (blink-opt-pixel) נטען על ידי Shopify רק בהסכמת אנליטיקה, ושולח שני אירועים בלבד: "התחיל קופה" ו"השלים הזמנה" (עם מזהה ההזמנה).
- ניסויי מחיר: יומן מחירי הגרסאות לכל מוצר (לא לכל לקוח), לצורך אזהרת "המחיר הנמוך ב-30 הימים".
- הגרסאות שהמבקר משויך אליהן (מזהה אקראי + מספרי גרסה, בלי פרטים אישיים) עוברות גם עם העגלה כמאפיין עגלה נסתר וכמאפיין שורה נסתר _blink_ab, כדי שהקופה תגבה את המחיר שהוצג; הם מופיעים בהזמנה באדמין של הסוחר.
- שמירה: שורות מבקרים נמחקות 30 יום אחרי שהניסוי הוכרע; שיוך הזמנה לניסויים נמחק ב-customers/redact; השאר נמחק בהסרה.
בדפדפן הקונה בלבד (לא נשלח אלינו): העדפות נגישות, בחירת העוגיות, פסים שנסגרו.
הגנה מפני ניצול לרעה: כתובות IP של בקשות טפסים בחנות משמשות בזיכרון בלבד להגבלת קצב ולא נשמרות.

2.5 ביקורות שהסוחר מייבא

מקובץ (CSV/Excel): שמות התצוגה של הכותבים, דירוגים, תאריכים, טקסטים ותמונות שבקובץ נכתבים לחנות של הסוחר.
מקישור לעמוד מוצר אצל ספק (תוכנית Max): רק דירוג, טקסט, תאריך, מדינה ותמונות (התמונות כבויות כברירת מחדל). שמות הקונים לא מיובאים — כל ביקורת כזו מוצגת בשם הכללי "קונה" ותמיד עם התווית "ביקורת מאתר הספק". האפליקציה פונה לאתר הספק רק לבקשת הסוחר, מזדהה בשמה (BlinkOne-ReviewImport), מכבדת robots.txt ומוגבלת בקצב.
הסוחר מאשר לפני כל ייבוא שיש לו זכות להשתמש בתוכן; האישור נשמר כרשומת ראיה (ראו סעיף 6).

2.6 שירותים מחוברים ובינה מלאכותית

Meta (פייסבוק): אם הסוחר מחבר — טוקן גישה מוצפן ב-AES-256-GCM, רשימת חשבונות המודעות, החשבונות שנבחרו והוצאה יומית. הרשאה ads_read בלבד — קריאה, בלי שינוי מודעות.
Anthropic (Claude API, בצד השרת, במפתח של Blink):
- *עץ האופטימיזציה:* שם המוצר, תיאור וטקסטים מעמוד המוצר, מספר ודירוג ביקורות מצטבר, ופרופיל המותג (כולל טקסט ספר המותג; קובץ PDF סרוק עשוי להישלח במלואו לחילוץ טקסט) — כדי לכתוב גרסאות.
- *תרגום ביקורות:* טקסטי הביקורות שמתרגמים, רק כשהסוחר לוחץ "תרגום".
- לא נשלחים פרטי לקוחות, הזמנות או נתוני מבקרים. לפי התנאים המסחריים של Anthropic, תוכן API לא משמש לאימון מודלים ונשמר לתקופה קצרה.
חיבור Claude (MCP, Blink Booster): אם הסוחר מחבר — קודי צימוד ואימות וטוקנים נשמרים רק כגיבוב SHA-256, ויומן ביקורת (שם הכלי, תוצאה, משך — בלי תוכן ובלי IP), 90 יום. מה ש-Claude עושה עם הנתונים שקרא כפוף להסכם של הסוחר עם Anthropic.

3. למה (מטרות ובסיס חוקי)

מטרה	בסיס (GDPR)
לספק את הכלים שהסוחר מפעיל	ביצוע חוזה עם הסוחר; עבור לקוחות — לפי הוראות הסוחר
אבטחה ומניעת ניצול לרעה	אינטרס לגיטימי
תמיכה	ביצוע חוזה
חיוב דרך Shopify	ביצוע חוזה
ניסויי A/B על מבקרים	הסכמת המבקר לעוגיות אנליטיקה (שהסוחר אוסף)
חובות חוקיות	חובה חוקית

Blink לא מוכרת מידע אישי, לא משתמשת בו לפרסום, לא בונה פרופיל של לקוח בין חנויות, ולא משתמשת במידע של סוחרים או לקוחות לאימון מודלים.

4. ספקי משנה ונמענים

נמען	מטרה	מיקום	מתי
Shopify	פלטפורמה, חיוב, הנתונים בחנות הסוחר	קנדה / ארה"ב / אירלנד (לפי Shopify)	תמיד
Render Services, Inc.	שרתי האפליקציה ומסד הנתונים (Postgres)	פרנקפורט, האיחוד האירופי	תמיד
Anthropic, PBC	כתיבת גרסאות לניסויים, חילוץ ספר מותג, תרגום ביקורות	ארה"ב	רק אם הכלי מופעל
Meta Platforms	קריאת הוצאות פרסום (Marketing API)	ארה"ב / אירלנד	רק אם הסוחר מחבר
Frankfurter / שערי הבנק המרכזי האירופי	שערי מטבע — בלי מידע אישי	האיחוד האירופי	המרת מטבע ברווחיות
אתר הספק שאת הקישור שלו הדביק הסוחר	אנחנו קוראים ממנו ביקורות ציבוריות של מוצר אחד; לא נשלח אליו מידע אישי (מלבד כתובת ה-IP של השרת שלנו)	—	ייבוא מקישור לעמוד מוצר
Google LLC (Gmail)	מייל תמיכה	ארה"ב (התשתית הגלובלית של Google)	כשהסוחר פונה

נעדכן את הרשימה לפני הוספת ספק משנה, ונודיע לסוחרים כמפורט ב-DPA.

5. העברה מחוץ לישראל ולאזור הכלכלי האירופי

המידע נשמר בפרנקפורט (האיחוד האירופי, שלו החלטת הלימות כלפי ישראל וישראל כלפיו). העברה לארה"ב (Anthropic, Meta, Shopify) נעשית על בסיס ההתחייבויות החוזיות של הספקים (למשל סעיפים חוזיים סטנדרטיים של האיחוד — SCCs, ו/או מסגרת EU-US Data Privacy Framework אם הספק מאושר בה) ועל בסיס תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001.

6. שמירה ומחיקה

הסרת האפליקציה (app/uninstalled): כל נתוני החנות נמחקים ממסד הנתונים — הגדרות, נתוני כלים, הזמנות, עלויות, חיבורים, יומנים, ניסויים, פרופיל מותג ובקשות ממתינות. Shopify מסירה בעצמה את רכיבי החנות ואת ה-metaobjects של הביקורות.
shop/redact (48 שעות אחרי הסרה): מחיקה חוזרת של הכול, כביטחון שני.
חריג — רשומות הסכמה (ראיה): אישור תנאי השימוש (דומיין החנות, גרסת התנאים, שפה, טביעת אצבע (hash) של הטקסט שאושר, מועד, ומזהה המשתמש ב-Shopify אם נמסר) ואישורי הזכויות לפני ייבוא ביקורות (אותם שדות + מזהה המוצר) לא נמחקים בהסרה. הם מידע עסקי על הסוחר (לא על לקוחות) ונשמרים עד 7 שנים לצורך הוכחת ההתקשרות והגנה מפני תביעות, ואז נמחקים.
customers/redact: נמחקים נתוני עמוד התודה, מדידת ההשפעה, Blink Profit ועץ האופטימיזציה של ההזמנות שצוינו, כל בקשת ביטול שתואמת את המייל או הטלפון, וקישורי ביקורת-ללקוח. הביקורת עצמה נשארת תחת שם התצוגה, בלי קישור ללקוח.
customers/data_request: נרשם ביומן של הסוחר עם מספר בקשות הביטול של אותו לקוח, כדי שהסוחר יוכל למסור אותן.
תקופות קבועות: הזמנות ~13 חודשים · ספירות WhatsApp ~13 חודשים · ביקורות ממתינות ~90 יום · בקשות ביטול 24 חודשים · יומן חיבור Claude 90 יום · מבקרי ניסוי 30 יום אחרי הכרעה · קודים וטוקנים שפגו נמחקים.
גיבויים:

7. אבטחה

TLS בכל התקשורת; טוקנים של שירותים מחוברים מוצפנים במנוחה (AES-256-GCM); סודות חיבור Claude נשמרים כגיבוב בלבד; webhooks של Shopify מאומתים ב-HMAC; נקודות קצה בחנות עוברות דרך App Proxy חתום של Shopify ומוגבלות בקצב; מזהי מבקרים מגובבים; גישת צוות לייצור מוגבלת לצורכי תמיכה.

8. הזכויות שלכם

סוחרים: לעיין, לייצא (היכן שיש ייצוא), לתקן ולמחוק את המידע שלכם — באפליקציה או ב-schoolblinkecom@gmail.com. הסרת האפליקציה מוחקת אותו.
לקוחות של חנויות: פנו לחנות שבה קניתם — היא בעלת השליטה במידע ויכולה לפעול דרך כלי הפרטיות של Shopify; אנחנו מסייעים לה. אם תפנו אלינו, נעביר את הפנייה לחנות.
לפי חוק הגנת הפרטיות (כולל תיקון 13, בתוקף מ-14.08.2025): זכות לעיין במידע, לבקש לתקן או למחוק מידע לא נכון, שלם, ברור או מעודכן, ולפנות לרשות להגנת הפרטיות.
לפי GDPR (תושבי האיחוד / בריטניה): גישה, תיקון, מחיקה, הגבלה, ניידות, התנגדות, ביטול הסכמה בכל עת, ותלונה לרשות הפיקוח המקומית.
תושבי קליפורניה: איננו מוכרים או משתפים מידע אישי לפרסום התנהגותי (CCPA/CPRA).

נענה תוך 30 יום.

9. ילדים

האפליקציה מיועדת לעסקים. איננו אוספים ביודעין מידע על ילדים.

10. שינויים

נפרסם עדכונים כאן עם תאריך חדש, ועל שינוי מהותי נודיע לסוחרים באפליקציה.

11. יצירת קשר

נועם דוד אלבז (עוסק מורשה) · ע.מ 322313735 · רמת מוצא 30, ירושלים · schoolblinkecom@gmail.com