חזרה לעמוד הבית

מדיניות פרטיות

עדכון אחרון: אוקטובר 2026

1. כללי

מדיניות פרטיות זו מתארת כיצד נאסף, נשמר ומעובד מידע אישי במסגרת השימוש באתר EventKal ("האתר" או "השירות"), המשמש לאישור הגעה לאירועים פרטיים (חתונה, בר/בת מצווה, ברית, אירוסין וכיוצ"ב). המדיניות מנוסחת בהתאם להוראות חוק הגנת הפרטיות, התשמ"א-1981 ותיקוניו (לרבות תיקון 13 שנכנס לתוקף באוגוסט 2025), תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ובהתאם לעקרונות יסוד של תקנות הגנת המידע האירופיות (GDPR), ככל שהן רלוונטיות למוזמנים השוהים בשטחה של האיחוד האירופי.

השימוש באתר ובהגשת אישור הגעה מהווה הסכמתכם המודעת לתנאי מדיניות זו.

2. בעל המאגר ומפעיל האתר

בעל המאגר ומפעיל האתר הוא בעל האירוע אשר הזמין אתכם לאירועו, אשר מסר את שמכם לצורך ניהול רשימת המוזמנים. שירותי הטכנולוגיה והאחסון מסופקים על ידי חברת XtendedTechs (להלן: "ספק השירות").

לפנייה בכל עניין הנוגע למדיניות פרטיות זו, לרבות מימוש זכויותיכם כנושאי מידע:

3. איזה מידע נאסף?

השירות תוכנן באופן המצמצם את איסוף המידע למינימום ההכרחי לצורך מתן השירות (עיקרון minimization). המידע הנאסף כולל:

  • שם מלא: כפי שהוזן ידנית על ידי בעל האירוע בעת יצירת רשימת המוזמנים
  • מספר טלפון נייד (אופציונלי): נאסף רק אם בעל האירוע בוחר לשלוח את ההזמנה האישית באמצעות WhatsApp. מספר הטלפון מנורמל לפורמט בינלאומי (E.164), נשמר במאגר עד למחיקה האוטומטית של נתוני האירוע (סעיף 8), ומועבר ל-Meta Platforms Ireland Ltd. אך ורק לצורך משלוח ההודעות (ראו סעיף 6.4 על מעבד המשנה של WhatsApp)
  • סטטוס אישור הגעה: אחד מבין מגיע / לא מגיע / אולי, כפי שמסרתם בקישור האישי, או כפי שעודכן על-ידי בעל האירוע בהתאם למה שמסרתם לו ישירות (למשל בשיחת טלפון)
  • מספר מלווים: כמה מלווים (עד 10, למשל בני משפחה) יגיעו עמכם לאירוע (במידה שאופציה זו הותרה לכם על ידי בעל האירוע). לא נאסף מידע על זהות המלווים
  • שיבוץ לשולחן וכיסא: ככל שבעל האירוע יבחר לשבץ אתכם למקום ישיבה במסגרת תכנון הסידור באולם
  • חותמת זמן ומזהה טכני (wamid) של הודעות WhatsApp שנשלחו (הזמנה ו/או תזכורת): נשמרים לצורך מניעת כפילויות ותיעוד
  • אסימון גישה אקראי (Token): מזהה אקראי ייחודי וקבוע המקשר בין הלינק האישי שלכם לבין הרשומה במאגר; הקישור נשאר פעיל עד למחיקת נתוני האירוע, ולכן מומלץ שלא להעבירו לאחרים
  • תמונת הזמנה (אופציונלי): ככל שבעל האירוע העלה תמונת הזמנה, היא מאוחסנת באחסון קבצים פרטי (לא ציבורי) אצל ספק התשתית, מוצגת למוזמנים באמצעות קישור חתום קצר-מועד בלבד, ונתוני מיקום ומטא-דאטה (EXIF) מוסרים ממנה אוטומטית לפני ההעלאה. התמונה נמחקת אוטומטית בסמוך לאחר מחיקת נתוני האירוע

4. איזה מידע אינו נאסף?

חשוב לנו להדגיש כי השירות אינו אוסף ואינו שומר את הפרטים הבאים:

  • כתובת אימייל, כתובת מגורים או מספר תעודת זהות
  • אמצעי תשלום או פרטים פיננסיים
  • נתוני מיקום גיאוגרפי
  • קבצי Cookies, מזהי מכשיר, פיקסלים שיווקיים או כלי אנליטיקה (כגון Google Analytics)
  • היסטוריית גלישה או דפוסי התנהגות
  • תוכן השיחות שלכם: ההודעות היחידות שאי-פעם נשלחות הן ההזמנה האישית, ובמידת הצורך תזכורת לאישור הגעה למי שטרם השיב; שתיהן נשלחות אך ורק ביוזמה אקטיבית של בעל האירוע, ואיננו מבצעים תקשורת דו-כיוונית ב-WhatsApp

5. מטרות העיבוד והבסיס החוקי

המידע נאסף ומעובד אך ורק לצורך המטרות הבאות:

  • ניהול רשימת המוזמנים לאירוע וקבלת אישורי הגעה
  • תכנון לוגיסטי של האירוע (הזמנת מנות, תכנון סידורי הישיבה)
  • תקשורת תפעולית הנוגעת לאירוע, במידת הצורך

הבסיס החוקי לעיבוד הוא הסכמתכם בעת שליחת אישור ההגעה, וכן אינטרס לגיטימי של בעלי האירוע בארגון אירועם.

6. רשימת מעבדי המשנה (Sub-Processors)

לצורך הפעלת השירות, אנו נעזרים בספקי שירות חיצוניים אשר עשויים לעבד את המידע האישי שלכם בשמנו:

6.1. Supabase Inc. (ספק תשתית בסיס נתונים וב-API)

  • פרטי הספק: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 (משרד רשום בארה"ב: 2261 Market Street #4280, San Francisco, CA 94114)
  • תפקיד בעיבוד: אחסון ועיבוד מאובטח של רשימת המוזמנים, סטטוס ההגעה, מספר המלווים, ושיבוץ שולחנות. גישה לנתונים מתבצעת באמצעות מפתח API ציבורי (publishable key) המוגן על-ידי מדיניות אבטחה ברמת השורה (Row-Level Security).
  • מיקום השרתים: שרתי הפרויקט מתארחים מחוץ לגבולות מדינת ישראל, ולפיכך המידע עובר העברה בינלאומית בהתאם לתקנות הגנת הפרטיות (העברת מידע למאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ולפרק V של ה-GDPR.
  • סוג הנתונים המועברים: שם מלא, מספר טלפון (ככל שהוזן על-ידי בעל האירוע), סטטוס הגעה, מספר מלווים (0-10), שיבוץ שולחן וכיסא, טוקן זיהוי ייחודי, חותמת זמן ומזהה טכני (wamid) של הודעות WhatsApp שנשלחו, ותמונת ההזמנה ככל שהועלתה.
  • מסמכי ציות: Supabase מצהירים על עמידה ב-SOC 2 Type II, GDPR ו-HIPAA. מדיניות הפרטיות של Supabase | הסכם עיבוד נתונים (DPA)

6.2. גופנים מקומיים (Self-hosted Fonts)

  • תיאור: גופני "Noto Sans Hebrew" ו-"Playfair Display" מאוחסנים מקומית על שרת האתר עצמו ולא נטענים מ-CDN חיצוני. הגופנים מורישים תחת רישיון SIL Open Font License 1.1.
  • השלכה לפרטיות: בעת טעינת הגופנים אין העברת מידע לצדדים שלישיים (לרבות Google): הקבצים מגיעים מאותו ספק האחסון שמגיש את האתר עצמו.

6.3. ספק אחסון האתר הסטטי

  • קובץ ה-HTML של האתר מתארח אצל ספק אחסון סטטי (נכון להיום: Cloudflare, Inc.). הספק עשוי לתעד באופן זמני כתובות IP, User-Agent ושעת בקשה לצורכי תפעול, אבטחה והגנה מפני התקפות (DDoS, bot protection). איננו מנתחים מידע זה; על עיבוד נתונים בשרתינו-אנו ראו סעיף 6.5 (יומני אבטחה).
  • זמן שמירה: בהתאם למדיניות הספק הנבחר (לרוב 7-30 יום).

6.4. Meta Platforms Ireland Ltd.: WhatsApp Business Cloud API

  • פרטי הספק: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland.
  • תפקיד בעיבוד: משלוח הודעת ההזמנה האישית שלכם באמצעות WhatsApp Business. ההודעה נשלחת מטמפלייט מאושר מראש על ידי Meta (Category: Utility) הכולל את סוג האירוע, שם בעלי האירוע, התאריך, המקום והקישור האישי שלכם. שמכם אינו נכלל בגוף ההודעה ואינו מועבר ל-Meta: הפנייה בהודעה היא כללית. שליחה זו מתבצעת אך ורק אם בעל האירוע יזם זאת בלחיצה אקטיבית בלוח הניהול ולאחר שמספר הטלפון שלכם הוזן ידנית על ידו.
  • תזכורת אישור הגעה: בנוסף להזמנה, בעל האירוע רשאי לשלוח באותה דרך (טמפלייט Utility מאושר מראש, אותם נתונים) תזכורת לאישור הגעה למוזמנים שטרם השיבו. אם אינכם מעוניינים בתזכורות: כל מענה בקישור האישי (כולל "לא מגיע/ה" או "אולי") מפסיק אותן, וכן ניתן לפנות לבעל האירוע או אלינו (סעיף 2) בבקשת הסרה.
  • הנתונים המועברים אל Meta: מספר הטלפון בפורמט E.164, שם בעלי האירוע, סוג האירוע, תאריך, מקום והקישור האישי שלכם.
  • מיקום השרתים: שרתי Meta ברחבי העולם, לרבות אירופה (איחוד אירופי), ארה"ב והודו.
  • שמירת הודעות אצל Meta: בהתאם להצהרת Meta, תוכן הודעות שהועברו דרך ה-Cloud API נשמר בשרתי החברה לתקופה מוגבלת לצורכי דיאגנוסטיקה ועמידה בדרישות החוק, ולאחר מכן נמחק. אנו, מצידנו, איננו שומרים את תוכן ההודעה אצלנו, רק את חותמת הזמן וקוד הזיהוי של ההודעה (wamid).
  • פטור מאחריות: ההודעה מתבצעת באמצעות תשתית WhatsApp ומוצגת באפליקציית WhatsApp המותקנת במכשירכם. הצפנת ההודעה, שמירתה, גיבויה וזמינותה אצלכם, כפופים לתנאי השימוש של WhatsApp ו-Meta.
  • קישורים: מדיניות הפרטיות של WhatsApp | WhatsApp Cloud API

6.5. יומני אבטחה (בשרתינו)

  • לצורכי אבטחת מידע בלבד, אנו מתעדים בצד השרת כתובת IP ומזהה דפדפן (User-Agent) במקרים הבאים: (א) דיווחי אבטחה אוטומטיים שהדפדפן של כל מבקר שולח כאשר מדיניות אבטחת התוכן (CSP) חוסמת משאב: נשמרים עד 90 יום; (ב) ניסיונות התחברות לפאנל הניהול: נמחקים בתוך 24 שעות; (ג) יומן ביקורת של פעולות ניהול (audit log), הכולל מטא-נתונים תפעוליים בלבד, ובמשלוח הודעת WhatsApp גם מספר טלפון במיסוך חלקי. רשומות תפעוליות ביומן נמחקות אוטומטית כ-30 יום לאחר מחיקת נתוני האירוע; רשומות אבטחה (כגון ניסיונות התחברות) נשמרות עד 5 שנים, לצורכי אבטחה, תחקור אירועים ועמידה בחובות תיעוד שבדין.
  • מידע זה אינו משמש לפרופיילינג, שיווק או כל מטרה אחרת מלבד אבטחה ותפעול.

אנו שומרים על הזכות להוסיף, להחליף או להסיר מעבדי משנה. שינוי מהותי יפורסם בסעיף זה לפחות 14 ימים מראש.

7. שיתוף מידע עם צדדים שלישיים

איננו מוכרים, משכירים או מעבירים את המידע האישי שלכם לצדדים שלישיים, למעט במקרים הבאים:

  • בעלי האירוע: אשר רואים את שמכם וסטטוס אישור ההגעה לצורך תכנון אירועם
  • ספקי שירות: כמפורט בסעיף 6 לעיל
  • על פי דין: ככל שנידרש לכך על פי צו שיפוטי או הוראת רשות מוסמכת

אנו איננו שולחים דברי פרסומת, הודעות שיווקיות או "ספאם" מכל סוג, ולא נשתמש בפרטיכם לצורך פנייה עתידית שאינה קשורה ישירות לאירוע.

8. תקופת שמירת המידע

בהתאם לעיקרון הגבלת השמירה (storage limitation), המידע יישמר במאגר אך ורק לפרק הזמן הנדרש להגשמת המטרות שלשמן נאסף:

  • במהלך התקופה שעד לאירוע: לצורך ניהול שוטף של הרשימה
  • עד 7 ימים לאחר מועד האירוע, ולאחר מכן כלל נתוני המוזמנים (שמות, מספרי טלפון, סטטוסי הגעה ושיבוצי ישיבה) נמחקים באופן אוטומטי מהמערכת בתהליך מחיקה יומי
  • תמונת ההזמנה (ככל שהועלתה) נמחקת מאחסון הקבצים בסמוך לאחר מכן, בתהליך ניקוי יומי נפרד
  • רשומות יומן ביקורת תפעוליות (סעיף 6.5) נמחקות אוטומטית כ-30 יום לאחר מחיקת נתוני האירוע; רשומות אבטחה נשמרות עד 5 שנים. רשומות אלה כוללות מזהים טכניים בלבד, ללא שם המוזמן (ובמשלוח WhatsApp: מספר טלפון במיסוך חלקי)

ניתן לבקש מחיקה מוקדמת יותר בכל עת, באמצעות פנייה ישירה כמפורט בסעיף 12.

9. אבטחת מידע

אנו רואים באבטחת המידע ערך עליון, ונוקטים באמצעי הגנה התואמים את "רמת האבטחה הבסיסית" שנקבעה בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ובכלל זה:

  • תעבורת המידע מוצפנת באמצעות פרוטוקול HTTPS/TLS
  • הגדרת Content Security Policy (CSP) בכותרות האתר למניעת התקפות הזרקה
  • גישה לפאנל הניהול מוגנת בסיסמת אדמין
  • לכל מוזמן אסימון גישה (Token) אקראי ייחודי, המונע גישה הדדית של מוזמנים זה לפרטיו של זה. שימו לב: הקישור האישי שנשלח אליכם הוא אמצעי הזיהוי היחיד שלכם במערכת: כל מי שמחזיק בו יכול לצפות בשמכם ובסטטוס ההגעה ולעדכנו. הימנעו מהעברת הקישור לאחרים; אם הגיע לגורם לא מורשה, פנו לבעל האירוע
  • שמירת המידע אצל ספק אחסון בעל הסמכות אבטחה מקובלות בתעשייה (SOC 2 Type II)
  • גישה לבסיס הנתונים מבוצעת אך ורק דרך פונקציות RPC מבוקרות, ולא מאפשרת שאילתות חופשיות

על אף האמור, יובהר כי לא ניתן להבטיח חסינות מוחלטת מפני פריצה. במקרה של אירוע אבטחה מהותי, נפעל בהתאם לחובות הדיווח החלות עלינו על פי דין.

10. טיפול באירוע אבטחה ודיווח על דליפת מידע

במקרה של אירוע אבטחה ("Data Breach"), נפעל בהתאם להליך הבא, כנדרש בתיקון 13 לחוק הגנת הפרטיות ובסעיפים 33-34 ל-GDPR:

  • זיהוי וחקירה: מרגע גילוי האירוע, פתיחת חקירה פנימית בתוך 24 שעות.
  • הכלה: נקיטת צעדים מיידיים להגבלת הנזק: שינוי מפתחות API, איפוס סיסמת אדמין, השבתה זמנית של גישה מרוחקת.
  • דיווח לרשות להגנת הפרטיות: בהתאם לסעיף 17ה(א) לחוק (תיקון 13), נדווח לרשם הגנת הפרטיות על אירוע אבטחה חמור בתוך 72 שעות ממועד הגילוי.
  • דיווח לנושאי המידע: מאחר שאיננו אוספים אימייל/טלפון, ההודעה תועבר באחת הדרכים הבאות: (א) פרסום הודעת אבטחה בולטת בעמוד הראשי של ההזמנה למשך 30 יום לפחות; (ב) הודעה ישירה של בעל האירוע למוזמנים בערוץ ההזמנה המקורי.
  • תיעוד פנימי: ניהול יומן פנימי של כל אירועי האבטחה למשך 5 שנים לפחות, כנדרש בסעיף 17ה(ה) לחוק.

11. עוגיות (Cookies) וטכנולוגיות מעקב

האתר אינו עושה שימוש בעוגיות, אינו טוען סקריפטים של צד שלישי לצרכי מעקב, ואינו מפעיל כלי אנליטיקה. הזיהוי שלכם במערכת מתבצע באמצעות אסימון ייחודי המועבר בכתובת הלינק האישי שנשלח אליכם.

האתר עושה שימוש מצומצם באחסון מקומי בדפדפן (Local Storage / Session Storage) לשתי מטרות בלבד: (א) שמירת העדפות הנגישות שבחרתם בתפריט הנגישות (גודל טקסט, ניגודיות וכד'), נשמרות במכשירכם בלבד ואינן מועברות לשרת; (ב) עבור בעל האירוע: שמירה זמנית של אסימון ההתחברות לפאנל הניהול, הנמחק עם סגירת הלשונית. איננו עושים שימוש באחסון זה למעקב או לזיהוי בין אתרים.

12. זכויותיכם כנושאי מידע

בהתאם לחוק הגנת הפרטיות, התשמ"א-1981 ולתיקון 13 לחוק, עומדות לכם הזכויות הבאות ביחס למידע הנשמר אודותיכם:

  • זכות עיון: לקבל אישור האם מתנהל אודותיכם מידע, ולעיין בתוכנו
  • זכות תיקון: לבקש לתקן מידע שאינו נכון, אינו שלם או אינו מעודכן
  • זכות מחיקה: לבקש מחיקה של המידע מהמאגר ("הזכות להישכח")
  • זכות התנגדות לעיבוד: להתנגד להמשך עיבוד המידע אודותיכם
  • זכות לקבלת מידע: לקבל מידע בדבר אופן השימוש במידע ואפשרויות העיבוד

מוזמנים השוהים בשטח האיחוד האירופי זכאים בנוסף לזכויות הקבועות ב-GDPR, לרבות זכות לניידות המידע וזכות להגשת תלונה לרשות המפקחת המקומית.

למימוש כל אחת מהזכויות הללו, ניתן לפנות באימייל לפי הפרטים בסעיף 2. נשתדל להשיב לפנייתכם בתוך 30 ימים, בהתאם להוראות הדין.

13. פרטיות קטינים

השירות מיועד לשימוש עצמאי מגיל 16 ומעלה; מתחת לגיל 16, השימוש ייעשה באמצעות הורה או אפוטרופוס חוקי בלבד (בעלי אירועים חייבים להיות בגירים מעל גיל 18, ראו תנאי השימוש). איננו אוספים, מבקשים או מעבדים ביודעין מידע אישי של ילדים מתחת לגיל 16.

במקרה שבעל האירוע מוסיף שם של קטין מתחת לגיל 16 כמוזמן, בעל האירוע נושא באחריות בלעדית לקבלת הסכמה מודעת, מפורשת ובכתב מאת ההורה או האפוטרופוס החוקי של הקטין, לפני הוספת השם למערכת. אנו, כמפעילי המערכת, איננו צד להסכמה זו ואיננו נדרשים לאמתה טכנית.

הורה או אפוטרופוס חוקי של קטין שמידעו הוזן למערכת, רשאי לפנות אלינו בכל עת בבקשה לקבל מידע ולהסיר את המידע. הפנייה תטופל ללא דיחוי, ובכל מקרה לא יאוחר מ-7 ימי עסקים.

14. זכות תלונה לרשות להגנת הפרטיות

במידה שאינכם שבעי רצון מאופן הטיפול בפנייתכם, עומדת לכם הזכות להגיש תלונה לרשות להגנת הפרטיות במשרד המשפטים, בכתובת: www.gov.il/he/departments/the_privacy_protection_authority.

15. שינויים במדיניות הפרטיות

אנו רשאים לעדכן מדיניות זו מעת לעת, בהתאם לשינויים בחקיקה או בשירות עצמו. תאריך העדכון האחרון מצוין בראש המדיניות. שימוש מתמשך בשירות לאחר עדכון המדיניות מהווה הסכמתכם לנוסח המעודכן.

16. הדין החל וסמכות שיפוט

על מדיניות זו יחולו דיני מדינת ישראל בלבד. סמכות השיפוט הייחודית בכל מחלוקת הנוגעת למדיניות זו או לשירות נתונה לבתי המשפט המוסמכים במחוז תל אביב-יפו.