BiteSize — מדיניות פרטיות (הפסקות למידה לילדים)

טיוטה v0.17 · 2026-09-26 (רישום ההסכמה: פסאודונימי ב־HMAC-SHA-256, נשמר 7 שנים אחרי מחיקה — §4, §5.4, §7, §8) · טרם פורסמה, טרם נבדקה בידי יועץ משפטי. יש למלא כל «מציין מקום» לפני פרסום בכל מקום. הגרסה האנגלית: PrivacyPolicy-EN.md — אותה מדיניות; השתיים משתנות יחד (../PRD/Legal.md LN-06).

מדיניות אחת, שלושה משטרי דין (D152). ישראל, האיחוד האירופי/EEA וארצות הברית. גוף המסמך שלהלן אינו מותנה במדינה ומכויל לחמור מבין השלושה; כל מה ששונה באמת לפי מדינה נמצא ב**§14, "היכן אתם גרים"**, ובשום מקום אחר. אם כלל אזורי היה מחייב שינוי בגוף המסמך — נשנה את הגוף לכולם (../PRD/Legal.md LN-15).

בתוקף מיום: «טרם נקבע — תאריך תחילה (C8)» · גרסת המדיניות: 2.2 · חלה על: אפליקציית BiteSize לאנדרואיד (com.bitesizelearning.app), אתר ההורים של BiteSize ושרת BiteSize.

1. מי אנחנו

«טרם נקבע — הישות המשפטית (LQ-2, C1)», «טרם נקבע — כתובת רשומה (LQ-2, C1)», ישראל. בעלי השליטה בנתונים המתוארים כאן.

• איש קשר לפרטיות: «טרם נקבע — כתובת ליצירת קשר בענייני פרטיות (C2)»
• רכז תוכנית אבטחת המידע: «טרם נקבע — שם/תפקיד הרכז (LN-13)»
• הנציג באיחוד האירופי (GDPR סעיף 27): «טרם נקבע — שם וכתובת הנציג באיחוד האירופי (C3)» — הורים באיחוד וב־EEA רשאים לפנות אליו במקומנו, בשפתם.

אנחנו מחליטים מה נעשה בנתונים האלה. אף אחד אחר לא.

2. על מי המדיניות הזו

• ההורה או האפוטרופוס — המבוגר שמתקין את BiteSize, מגדיר אותה מאחורי קוד PIN, ואם בחר בכך פותח חשבון באתר ההורים.
• הילד — מי שמשתמש בטלפון. הילד לעולם אינו מתחבר, אינו מקליד דוא"ל, ואינו נשאל דבר על עצמו.

איננו שואלים לגילו של אף ילד, ולא נשאל. אין לנו צורך בכך: אנחנו מתייחסים לכל ילד כמי שנדרשת עבורו הסכמת הורה — בכל גיל ובכל מדינה. זה מחמיר יותר מכל אחד משלושת החוקים שתחתיהם אנו פועלים, ומשמעו שאיננו מחזיקים תאריך לידה, גיל, או הערכת גיל.

נדרש חשבון הורה כדי להשתמש ב־BiteSize. האפליקציה מתחברת לחשבון של הורה בשלב ההתקנה, ועד שזה קורה היא אינה פועלת. כך אנחנו יודעים שמבוגר עומד מאחוריה לפני שילד משתמש בה.

כל השאר הוא בחירת ההורה. חיבור הטלפון אינו שולח לנו דבר על יומו של הילד. זה נפרד, כבוי בעת ההתקנה, ומופעל רק על ידי ההורה לאחר קריאת §5 — והשרת שלנו לעולם אינו יכול להפעיל אותו.

3. אילו נתונים נאספים

3.1 בטלפון, תמיד (ולא נשלחים לשום מקום מעצמם)

BiteSize עובדת במלואה ללא רשת בין סנכרונים. אלה נשארים במכשיר אלא אם חל §3.2 או §3.3:

3.2 נשלח לשרת שלנו לאחר חיבור הטלפון — בלי לומר דבר על יומו של הילד

חיבור הטלפון פירושו שהטלפון והשרת שלנו מדברים זה עם זה. מה שהם מחליפים הוא מה שחיבור ותצורה הם — לעולם לא מה שהילד עשה:

שום דבר מזה אינו אומר דבר על האופן שבו הילד בילה את יומו. זה §3.3, והוא מחייב את הסכמתכם.

3.3 נשלח לשרת שלנו רק בהסכמתכם

רק מה שתפעילו, היקף אחר היקף (§5.2). כל אלה ממופתחים במזהים שב־§3.2 — לעולם לא שם בזרם — ונושאים את שעון הטלפון לכל אירוע, את זמן קבלתו אצלנו, ואת גרסאות האפליקציה והתצורה שיצרו אותו.

אם שני ההיקפים מסורבים, שום דבר בסעיף הזה לעולם לא נשלח — והאפליקציה אינה משתנה (§5.1).

3.4 חשבון ההורה

החשבון נמצא באתר BiteSize. הכניסה נעשית באמצעות Microsoft Entra External ID — עם כתובת דוא"ל וסיסמה, ושם שאתם נותנים בהרשמה — ומה שמגיע אלינו מהכניסה הזו הוא כתובת הדוא"ל המאומתת שלכם, מזהה קבוע ששירות הכניסה מוסר לנו, והשם הזה. איננו מקבלים ואיננו שומרים את הסיסמה שלכם, ואיננו שומרים את השם: הוא מגיע עם הכניסה, ושום רכיב שלנו אינו קורא אותו או שומר אותו. לצידם אנחנו מחזיקים את הילדים והמכשירים שבחשבון, ורישום של כל הסכמה שניתנה או בוטלה (§5.4).

3.5 מה לעולם איננו אוספים

BiteSize אינה אוספת, ואין בה קוד שיכול לאסוף:

• תמונות, וידאו, אודיו, צילומי מסך או הקלטות מסך — של הילד, של מסך הטלפון, או של כל דבר אחר.
• מה הילד צפה בו, קרא או הקליד — אין שמות תכנים, אין מזהי סרטונים, אין כתובות אתרים, אין היסטוריית גלישה, אין תוכן הודעות, אין הקשות מקלדת. שמות התכנים הוסרו מהמוצר ב־2026.
• מיקום מכל סוג — אין GPS, אין מיקום גס, ואין איכון לפי כתובת IP לצורכי פרופיל.
• אנשי קשר, יומן, יומן שיחות, מסרונים, קבצים או תמונות במכשיר.
• מזהי פרסום, עוגיות פרסום, או פרופיל התנהגותי כלשהו.
• ביומטריה — אין סריקת פנים, אין טביעת קול, אין הערכת גיל מתמונה.
• גיל, תאריך לידה, או כל סימן גיל אחר (§2).
• בריאות, דת, מוצא, דעה פוליטית או כל מידע רגיש מיוחד אחר.

4. לשם מה, ועל סמך מה

איננו משתמשים באף אחד מאלה לפרסום, לקבלת החלטות אוטומטיות בעלות תוקף משפטי, או לאימון מודלים של בינה מלאכותית. איננו מוכרים אותם ואיננו מקבלים תמורתם דבר בעל ערך.

5. הסכמה

5.1 ההסכמה נדרשת לפני שאנחנו אוספים דבר, וסירוב אינו עולה דבר

איננו אוספים דבר על יומו של ילד עד שהורה נתן הסכמה. סירוב אינו משנה דבר באופן שבו האפליקציה עובדת — כל הפסקה פועלת, כל שאלה נשאלת, כל נקודה וכל גביע ניתנים, וכל הגדרה ממשיכה לעבוד. ההבדל היחיד הוא שאנחנו לא מקבלים דבר, ולכן ללוח המחוונים של ההורה אין מה להציג. הורה רשאי לסרב מלכתחילה, לסרב בהמשך, ולדרוש מאיתנו למחוק את מה שכבר אצלנו (§8). שום דבר באפליקציה אינו נמנע, מואט או נעשה גרוע יותר משום שהורה אמר לא.

הדבר היחיד שאינו בחירה הוא חיבור הטלפון לחשבון הורה (§4) — האפליקציה אינה פועלת בלעדיו, אנחנו אומרים זאת לפני ההתקנה, ואיננו מלבישים זאת כמתג.

5.2 על מה אפשר להסכים, בנפרד

כל אחד מאלה הוא מתג נפרד. כולם מגיעים כבויים. הפעלת אחד אינה מפעילה אחר.

צימוד טלפון לחשבון (שמו הפרטי של הילד, כיתתו ומזהה המכשיר) אינו הסכמה נפרדת — זה מה שהורה עושה כשהוא בוחר שיהיה לו חשבון בכלל. הפסקת השיתוף (§5.5) משאירה את הטלפון מחובר; רק מחיקת נתוני הילד או מחיקת החשבון מנתקות אותו (§8).

5.3 כיצד ניתנת ההסכמה, וכיצד אנחנו בודקים שזה באמת ההורה

באותה דרך בכל מקום, לכל משפחה, בכל גיל של הילד:

1. ההורה פותח חשבון באתר BiteSize — במחשב או בדפדפן של הטלפון, לעולם לא בתוך האפליקציה של הילד — עם כתובת הדוא"ל שלו, ששירות הכניסה מאמת.
2. הוא קורא את ההודעה בטלפון של הילד — מה נשלח, מה לעולם לא נשלח, ולשם מה — לפני שמוצע מתג כלשהו.
3. הוא מאשר את ההודעה בטלפון — רצף הלמידה נדרש, יומן האנליטיקה הוא רשות — מאחורי קוד הורים שהוא בוחר בפעם הראשונה. הלחיצה הזו היא ההסכמה. את הקוד קובע ההורה שמחבר אחר כך את הטלפון (שלב 4), והוא פותח מעכשיו את לשונית ההורים — ולכן ילד שמחזיק בטלפון אינו יכול לתת אותה. הורה שמסרב משאיר את BiteSize פועל בטלפון הזה לבד: הוא לא מציג קוד, אי אפשר לחבר אותו, ושום דבר על הילד לא נשלח.
4. הוא מחבר את הטלפון של הילד בהקלדת הקוד בן שמונת התווים שהטלפון מציג, כשהוא מחובר לאותו חשבון. איש אחר אינו יכול: הקוד מתקבל רק מהורה מחובר, ורק עבור טלפון שההורה שלו אישר בשלב 3 את ההודעה בשלמותה — הטלפון לא מציג קוד לפני כן, והאתר מסרב לקוד של טלפון כזה.
5. הרישום של ההחלטה נושא את גרסת המדיניות ואת השפה שהוצגו במסך שבו נקראה (§5.4).

רק קוד ההורים יכול להדליק משהו. בזמן ההגדרה כל מי שמחזיק בטלפון יכול לסרב; אחר כך גם הפסקת השיתוף נמצאת מאחורי קוד ההורים (הורים ← הפסקת השיתוף). בטלפון של הילד האפליקציה מציעה להורה שתי תשובות להודעה — אישור או סירוב — והן אינן סימטריות, במכוון:

• סירוב הוא סופי ומיידי. הטלפון רושם את הסירוב בעצמו ומודיע לשרת שלנו, שמסרב לכל דבר נוסף מהטלפון הזה עבור אותם היקפים כבר מהבקשה הבאה. סירוב אינו זקוק להוכחה מי נתן אותו: איש אינו ניזוק מלא.
• אישור מבקש קודם את קוד ההורים. רק אז ההסכמה נרשמת ונשלחת לשרת שלנו, שמתחיל לקבל נתונים בדיוק עבור ההיקפים שסומנו. צוות התמיכה יכול לבטל הסכמה מצידנו; הוא לעולם אינו יכול לתת אותה.

טלפון שאינו מחובר לחשבון אינו מציג מתג הסכמה כלל, ואינו שולח דבר. החיבור נדרש כדי לסיים את ההתקנה, ולכן לפניו האפליקציה אינה שמישה (§4). לאחר שהטלפון מחובר הוא עובד בכוחות עצמו — ההפסקות, השאלות והפרסים אינם זקוקים לחיבור אלינו, ואף אחד מהם אינו נעצר אם הטלפון לא יגיע לשרת שלנו שוב.

אנחנו משתמשים בשיטה אחת לכולם ולא בשיטה חלשה יותר לחלק מהמדינות, משום שהחמור מבין שלושת המשטרים שתחתיהם אנו פועלים — כלל ה־COPPA האמריקאי — דורש שיטה מאומתת, ואנחנו מעדיפים נתיב אחד ישר על פני שלושה.

5.4 אנחנו שומרים רישום

כל החלטה — מתן הסכמה, סירוב, ביטול — נרשמת ברגע שהיא מתקבלת. כך נוכל להראות בדיעבד שההסכמה התקיימה, וכך הורה יכול לקרוא את הנוסח המדויק שאליו הסכים.

מה הרישום מחזיק, ולא יותר: איזו הסכמה (learning או analytics); הנוסחים המדויקים שהוצגו — המדיניות הזו והודעת ההסכמה, כל אחד לפי גרסה ושפה; ההחלטה (ניתנה או לא); כיצד ניתנה (בטלפון, בידי צוות התמיכה שלנו, או הסתיימה בשל שינוי במדיניות הזו); מתי; ואילו גרסאות אפליקציה ותצורה היו בתוקף.

מה הוא לעולם אינו מחזיק: את כתובת הדוא"ל שלכם, את שמכם, את שם הילד, את המזהה שאנחנו נותנים לילד, או דבר כלשהו על טלפון. במקומם הוא מחזיק שני קודים: אחד שנוצר מכתובת הדוא"ל שלכם (בלי רווחים ובאותיות קטנות) ואחד ממזהה הילד, כל אחד מחושב ב־HMAC-SHA-256 תחת מפתח סודי. בלי המפתח איש אינו יכול להפוך קוד בחזרה לכתובת או לילד, או לקשר אותו לאדם.

המפתח נשמר בנפרד. הוא נמצא בכספת מפתחות נפרדת (Azure Key Vault), לעולם לא במסד הנתונים; רק השרת שלנו קורא אותו, פעם אחת כשהוא עולה. הוא לעולם אינו מוחלף, כך שקוד שנוצר היום יתאים גם בעוד שבע שנים. לכן הרישום הוא מידע פסאודונימי (שעבר פסאודונימיזציה) כמשמעו בסעיף 4(5) ל־GDPR — לא אנונימי: אנחנו, שמחזיקים במפתח, עדיין יכולים לבדוק קוד.

כיצד בודקים רישום. כשצריך להוכיח הסכמה — לכם, לרשות פיקוח או בהליך משפטי — אנחנו לוקחים את כתובת הדוא"ל ואת מזהה הילד שהוצגו לנו, מחשבים את הקודים שלהם במפתח שלנו, ומחפשים רישומים הנושאים אותם. התאמה מראה למה הוסכם, תחת אילו נוסחים ומתי; היעדר התאמה מראה שאין רישום. איש אינו יכול לחפש ברישומים לפי שם.

איש אינו יכול לשנות אותו. רק מסד הנתונים שלנו כותב את הרישום, ברגע ההחלטה. איש אינו יכול לערוך או למחוק אותו אחר כך, כולל הצוות שלנו. הדבר היחיד שמתווסף אליו אי־פעם הוא תאריך מחיקת הילד.

הוא שורד מחיקה, למשך 7 שנים. כל עוד הילד אצלנו, הרישום נשאר איתו. כשאתם מוחקים את הילד או את החשבון, כל השאר על הילד נמחק (§8); הרישום נשאר, ועדיין אינו נוקב באיש, כדי שנוכל להראות שההסכמה התקבלה כדין ולהשיב לתביעה בעניינה. הוא נמחק אוטומטית 7 שנים אחרי מחיקת הילד (§7).

5.5 סיום הסכמה — הפסקת השיתוף

אפשר להפסיק את השיתוף בכל עת, בטלפון, וזה לעולם אינו קשה יותר ממתן ההסכמה. הורים (מאחורי קוד ההורים) ← הפסקת השיתוף ← אישור. השרת שלנו רושם את שני ההיקפים, learning ו־analytics, כמבוטלים, ומהקריאה הבאה שום דבר על ילדכם אינו יוצא מהטלפון. הטלפון שומר את השינוי לאחר שהשרת שלנו רשם אותו.

• רק היומן של האפליקציה עצמה: שינוי מה משותף ← ביטול הסימון של analytics ← אישור.
• כדי לשתף שוב: שינוי מה משותף ← אישור.

הפסקת השיתוף מסיימת את ההסכמה, לא את החיבור ולא את הנתונים. הטלפון נשאר מחובר לחשבון שלכם, ומה שכבר אצלנו נשאר עד שתמחקו אותו (§8). צוות התמיכה שלנו יכול גם לבטל הסכמה מצידנו; הוא לעולם אינו יכול לתת אותה.

סיום לעולם אינו שובר את האפליקציה. ההפסקות ממשיכות לפעול, השאלות ממשיכות להישאל, והגביעים ממשיכים להינתן — כל זה רץ בטלפון, איתנו או בלעדינו.

6. מי עוד רואה את זה

אף אחד. איננו משתפים, מוכרים, משכירים, מוסרים, סוחרים או מעבירים נתוני ילדים לצד שלישי כלשהו לכל מטרה. כדי שיהיה חד־משמעי בלשונו של כל אחד משלושת המשטרים: אין "מסירה" לצד שלישי (COPPA), אין "מכירה" ואין "שיתוף" (חוקי הפרטיות של מדינות ארה"ב, לרבות פרסום התנהגותי חוצה־הקשרים), ואין בעל שליטה צד שלישי בשום מקום (GDPR). לא רשת פרסום, לא ספק אנליטיקה, לא סוחר מידע, לא אימון בינה מלאכותית, ולא "שותפים". ב־BiteSize אין שום SDK של פרסום או אנליטיקה, ובנייה שתוסיף כזה תיכשל בבדיקת השחרור שלנו.

שלושה חריגים הכרחיים, ואף אחד מהם אינו שיתוף:

• Microsoft (Azure) מארחת את השרת ואת מסד הנתונים במערב אירופה (הולנד), כמעבדת מטעמנו — תחת נספח הגנת הנתונים של Microsoft למוצרים ולשירותים (Microsoft Products and Services Data Protection Addendum), מהדורת 22 במאי 2026, המשולב בהסכם הלקוח של Microsoft שתחתיו מוחזק המנוי שלנו והמצרף כנספח את סעיפי החוזה הסטנדרטיים של האיחוד האירופי (SCC). קבלני המשנה של Microsoft מפורטים ברשימה החיה שלה, Microsoft Online Services Subprocessor List — אנחנו מקשרים אליה ולא מעתיקים אותה, כדי שלעולם לא תתיישן כאן. היא מעבדת לפי הוראותינו המתועדות ולא לשום מטרה משלה, עם התחייבויות אבטחה בכתב.
• שירות ההודעות של Android עצמו (Google Firebase Cloud Messaging). הוא חלק ממערכת Android שכבר נמצאת בטלפון (Google Play services), ולא גורם שאנחנו מביאים: שום צד שלישי מחוץ למערכת Android אינו מעורב, בשום מקום. אחרי שהטלפון צומד ואישרתם learning, האפליקציה רושמת בו מזהה התקנה (token), והשרת שלנו משתמש בו לדבר אחד — אות ריק "בדוק עכשיו", כדי שהפסקה עכשיו שלחצתם תגיע לטלפון בתוך שניות. האות אינו נושא שם, תשובה, אפליקציה או פקודה; הפקודה עצמה עוברת רק בין הטלפון לשרת שלנו. Google רואה את המזהה ואת נתוני המסירה שיש לכל הודעת Android. המזהה נמחק יחד עם הילד.
• סמלי אפליקציות מ־Google Play. כדי להציג את הסמל של אפליקציה ליד שמה בעמוד של ההורה, השרת שלנו מבקש מ־Google Play את סמל החנות הציבורי של אותה אפליקציה, לפי שם החבילה בלבד — בלי מזהה ילד, בלי מזהה מכשיר, בלי חשבון, ובלי שום דבר על מי שמחזיק את האפליקציה. Google רואה שהשרת שלנו מבקש סמל של אפליקציה, כמו אצל כל מבקר בדף החנות. הסמל נשמר פעם אחת לכל אפליקציה, לא לכל ילד.
• חוק. אם ניאלץ אי פעם למסור נתונים מכוח חוק, נציית, ונודיע להורה הנוגע בדבר אלא אם נאסר עלינו.

אם זה ישתנה אי פעם, נבקש הסכמה חדשה ונפרדת תחילה. לא נטמיע זאת בשקט בגרסה חדשה של המדיניות ונסתמך על כך שקראתם.

7. מדיניות שמירת הנתונים שלנו, בכתב

הסעיף הזה הוא מדיניות השמירה שלנו, מפורסמת כאן כפי שהחוק דורש. לכל שורה למטה יש מטרה, סיבה לכך שנדרש דווקא הזמן הזה, ומועד מחיקה — או ההסבר למה אין לה מועד כזה.

מה אנחנו שומרים ללא תאריך סיום, ולמה. שני דברים, ואף אחד מהם אינו נוקב בילד או בהורה. המפתח של טלפון שמחקנו: קוד חד־כיווני שנוצר מאסימון האבטחה של אותו טלפון, כדי שטלפון שאיננו יכולים עוד להגיע אליו יידע שהילד שלו נמחק וימחק את עצמו. יומן השירות שלנו: השורות שמתעדות מה השירות עשה — הסכמה שנרשמה, ניקוי שרץ, חשבון שנמחק — כמספרים וגרסאות, לעולם לא שם, כתובת או ילד.

שני שעונים. רק שני דברים נמחקים לפי גיל: היומן של האפליקציה עצמה, 30 יום אחרי כל שורה, ורישום ההסכמה, 7 שנים אחרי מחיקת הילד. כל שורה שאנחנו שומרים נושאת את תאריך יצירתה, ופעם ביום רץ תהליך שמוחק את השורות שעברו את תקופתן ורושם כמה נמחקו. שום דבר אחר אינו נמחק אוטומטית.

יומני השרת. יומן הבקשות של פלטפורמת האחסון שלנו (Application Insights) שומר שורה אחת לכל בקשה לשרת — הנתיב, התוצאה, משך הזמן ואיזה טלפון או חשבון שלח אותה — לתקופת ברירת המחדל של הפלטפורמה.

8. הזכויות שלכם

הורה רשאי, עבור עצמו ועבור כל אחד מילדיו: לעיין במה שאנחנו מחזיקים, לקבל עותק בפורמט נייד, לבקש תיקון, לבקש מחיקה, להגביל או להתנגד לשימוש, לבטל כל הסכמה (§5.5), ולסרב לאיסוף נוסף לחלוטין. השתמשו בפקדים באפליקציה ובאתר ההורים, או כתבו אל «טרם נקבע — כתובת ליצירת קשר בענייני פרטיות (C2)».

אנחנו נותנים לכל הורה את אותן זכויות, בכל מדינה, ולא את הרשימה הקצרה יותר שחוק מדינתו במקרה דורש. אנחנו עונים תוך 30 יום.

מחיקה נפרדת מסיום ההסכמה. הפסקת השיתוף עוצרת את מה שנשלח; מחיקה מוחקת את מה שאצלנו. כל אחת מהן היא צעד אחד, עם כתובת הדוא"ל של החשבון שלכם מוקלדת לאישור:

• ילד אחד, בטלפון: הורים (מאחורי קוד ההורים) ← מחיקת נתוני הילד. הטלפון מתחיל אז את ההגדרה מחדש.
• ילד אחד, באתר ההורים: עמוד ההגדרות של הילד ← מחיקת נתוני הילד. החשבון וילדיכם האחרים נשארים.
• המשפחה כולה, באתר ההורים: עמוד החשבון ← מחיקת הכל.

זה נכנס לתוקף מיד. עבור כל ילד שנמחק, השרת שלנו מוחק בצעד אחד כל שורה שהוא מחזיק על הילד — השם, התשובות ורצף הלמידה, היומן של האפליקציה עצמה, הקישור של הטלפון לחשבון שלכם — לרבות מה שהיה בדרך ברגע הבקשה, ומסרב לכל דבר נוסף מהטלפון הזה גם אם הטלפון עדיין לא קיבל את ההודעה. נאשר רק אחרי שבדיקה לא מצאה דבר שנשאר; אם המחיקה נכשלת, דבר לא נמחק ונאמר לכם.

מה שמחיקה משאירה: רישום ההסכמה. הוא נשמר 7 שנים, ואינו מחזיק לא את כתובת הדוא"ל שלכם, לא שם כלשהו ולא את מזהה הילד — רק את שני הקודים הממופתחים (§5.4, §7). החוק מתיר לנו לשמור אותו כדי להראות שההסכמה ניתנה ולשם תביעות משפטיות (GDPR סעיף 17(3)(b) ו־(e)).

9. אבטחה

אנחנו מקיימים תוכנית אבטחת מידע כתובה לנתוני ילדים, עם רכז בשם (§1), הערכת סיכונים לפחות אחת לשנה, והתחייבויות אבטחה בכתב מכל צד שלישי שנוגע בהם (כיום: ספק האירוח, §6).

הנתונים מוצפנים במעבר ובמנוחה. מכשיר מזדהה באמצעות אסימון ולא סיסמה, והורה יכול לבטל טלפון שאבד כך שיפסיק להסתנכרן. גישה של אנשינו לנתוני ילדים נרשמת — לרבות קריאת תשובותיו של ילד מסוים — והיומן הזה זמין להורה לפי בקשה.

אם ייפרצו נתונים אי פעם, נודיע לרשות הרלוונטית תוך 72 שעות מרגע שנודע לנו, ונודיע להורים הנוגעים בדבר ללא דיחוי.

10. היכן הנתונים נשמרים

באיחוד האירופי — מערב אירופה (הולנד) — עבור כל משפחה בכל מדינה. בחרנו באזור אחד ולא במעקב אחרי כל משפחה, משום שמקום אחד מוגן היטב קל יותר לאבטח וקל יותר להסביר מכמה.

אנשינו ניגשים אליהם מישראל, שהנציבות האירופית מכירה בה כמספקת רמת הגנה נאותה. אם ההכרה הזו תבוטל אי פעם, נעמיד סעיפים חוזיים תקניים עבור הגישה הזו; שום נתון לא יזוז.

11. ילדים

BiteSize נבנתה לילדים ומשמשת אותם. אנחנו אוספים את המינימום שהפסקת למידה דורשת, שואלים את ההורה לפני שדבר על הילד יוצא מהטלפון שלו, שואלים בנפרד לכל מטרה, מאמתים את ההורה באותה דרך מחמירה בכל מקום, ולעולם לא שואלים ילד דבר על עצמו. ראו §14 להצהרה הספציפית שחלה במקום מגוריכם.

12. שינויים

אם נשנה מה אנחנו אוספים, לשם מה, או מי רואה — נאמר זאת באפליקציה ובאתר, ונבקש הסכמה מחדש במקום לראות בשתיקה הסכמה. הגרסה והתאריך בראש המסמך תמיד אומרים איזה נוסח בתוקף, וכל גרסה קודמת נשארת קריאה, כך שאפשר לבדוק רישום הסכמה מול הנוסח שהוצג בפועל.

שפות. המדיניות הזו קיימת בכל שפה שבה קיימת אפליקציית BiteSize — כיום אנגלית ועברית — והנוסחים אומרים את אותו הדבר. אף אחד מהם אינו גובר על השני: אם אי פעם ייווצר פער, תחול הקריאה הנוחה יותר עבורכם, ואנחנו נתקן את הנוסח השגוי.

היכן לקרוא. בתוך האפליקציה, מלשונית ההורים, ובאתר שלנו בלי להתקין דבר. האפליקציה מציגה את הגרסה והתאריך של מה שאתם קוראים; אם הטלפון אינו מקוון ייתכן שמוצג עותק שמור, והיא אומרת זאת.

13. תלונות

פנו אלינו קודם: «טרם נקבע — כתובת ליצירת קשר בענייני פרטיות (C2)». אם לא פתרנו, ראו §14 לרשות במקום מגוריכם.

14. היכן אתם גרים

כל מה שלמעלה חל על כולם. זה החלק היחיד ששונה.

ישראל

מידע על קטינים נחשב רגיש במיוחד לפי חוק הגנת הפרטיות, והעיבוד שלנו נשען על הסכמת האפוטרופוס. עומדת לכם זכות לעיין ולתקן מידע שאנו מחזיקים עליכם או על ילדכם (§8 נותן לכם יותר מזה). תלונות: הרשות להגנת הפרטיות, משרד המשפטים.

האיחוד האירופי / EEA

הבסיסים החוקיים מפורטים ב־§4. כאשר ילד מתחת לגיל ההסכמה במדינתו — 13 עד 16 לפי המדינה — ההסכמה שב־§5 היא הסכמת בעל האחריות ההורית; ומאחר שאנחנו דורשים הסכמת הורה עבור כל ילד בלי קשר לגיל, הדרישה מתקיימת בכל מדינה חברה בלי שנשאל אף אחד לגילו. זכויות ה־GDPR שלכם ב־§8, ואתם רשאים להגיש תלונה לרשות הפיקוח במדינתכם או במקום ההפרה הנטענת. הנציג שלנו באיחוד מופיע ב־§1. העברות: §10.

ארצות הברית

איננו אוספים ביודעין מידע אישי מילד מתחת לגיל 13 ללא הסכמת הורה מאומתת, המתקבלת כמתואר ב־§5.3. הורה רשאי לעיין במידע האישי שאספנו מילדו, לסרב לאיסוף או לשימוש נוספים, ולדרוש מאיתנו למחוק אותו — כתבו אל «טרם נקבע — כתובת ליצירת קשר בענייני פרטיות (C2)» או השתמשו באתר ההורים. מדיניות שמירת הנתונים הכתובה שלנו היא §7, ותוכנית אבטחת המידע שלנו מתוארת ב־§9. איננו מוסרים מידע אישי של ילדים לאף צד שלישי (§6), ולכן לעולם לא נדרשת ולא מתבקשת הסכמה נפרדת למסירה. תלונות: ה־FTC, והתובע הכללי של מדינתכם.