מדיניות פרטיות

1. מי אחראי על המידע (Data Controller)

Kalfa RSVP (להלן: "אנחנו" או "החברה") היא הגוף האחראי (Controller) לעיבוד המידע האישי שנאסף במסגרת שירות kalfa.me. לפניות בנושא פרטיות:

2. מידע שאנו אוספים

2.1 מידע שאתה מספק ישירות:

• שם מלא וכתובת דוא"ל (הרשמה)
• מספר טלפון (לאימות OTP ושירותי קול)
• שם ארגון ופרטי קשר
• פרטי אירועים: שם, תאריך, מיקום, פרטי אורחים
• אמצעי תשלום (דרך שער תשלומים מאובטח — איננו שומרים פרטי כרטיס אשראי ישירות)

2.2 מידע שנאסף אוטומטית:

• כתובת IP ונתוני גישה לשרת
• סוג דפדפן ומערכת הפעלה
• נתוני שימוש בשירות (דפים שנצפו, פעולות שבוצעו)
• עוגיות ומזהי session

2.3 מידע שמתקבל מאורחי אירועים:

• שם אורח, טלפון, אישורי הגעה (RSVP)
• תגובות לשאלונים באירוע
• מספר מלווים

2.4 מידע המתקבל מ-Instagram / Facebook Login

כאשר אתה מחבר חשבון Instagram עסקי דרך Facebook Login, אנו מקבלים ושומרים את המידע הבא מפלטפורמת Meta:

• מזהה משתמש Instagram ו-Facebook (user ID)
• שם משתמש Instagram ושם תצוגה
• כתובת תמונת פרופיל
• מספר עוקבים (בעת החיבור)
• OAuth Access Token (לצורך פרסום תוכן בשמך)

הרשאות שאנו מבקשים: instagram_basic, instagram_content_publish, pages_show_list, business_management.

מידע זה משמש אך ורק לצורך פרסום תוכן ב-Instagram דרך הפלטפורמה. אנו לא מוכרים, מעבירים או משתמשים במידע זה למטרות פרסום. למחיקת נתוני Instagram שלך, ראה הוראות מחיקת נתוני Instagram.

3. מטרות עיבוד המידע

4. בסיס משפטי לעיבוד (תיקון 13 לחוק הגנת הפרטיות)

• הסכמה: עיבוד לצרכי שיווק, הודעות אופציונליות, קבלת ניוזלטר
• ביצוע חוזה: מתן השירות, עיבוד תשלומים, שליחת הזמנות
• עמידה בחוק: שמירת רשומות חשבונאיות, מניעת הלבנת הון
• אינטרס לגיטימי: אבטחת מידע, מניעת הונאות, שיפור השירות

5. שמירת מידע

• נתוני חשבון: נשמרים כל עוד החשבון פעיל + 30 יום לאחר מחיקה
• נתוני אירועים ואורחים: 3 שנים ממועד האירוע (לצרכי שירות לקוחות)
• רשומות תשלום: 7 שנים (דרישת חוק חשבונאות ישראלי)
• לוגי מערכת: 90 יום
• עוגיות: בהתאם לסוג (ראה סעיף 9)

6. שיתוף מידע עם צדדים שלישיים

אנו איננו מוכרים את מידעך. מידע משותף אך ורק עם הגורמים הבאים לצורך מתן השירות:

• SUMIT (עיבוד תשלומים): פרטי חיוב לצורך ביצוע עסקאות
• Telnyx / Voximplant (תקשורת): מספרי טלפון לשליחת SMS ושיחות קוליות
• Google (בינה מלאכותית): שירות Gemini Live לעיבוד שיחות RSVP קוליות
• Meta (Facebook / Instagram): אימות OAuth וגישה ל-Instagram Business API לצורך פרסום תוכן. מידע המתקבל מ-Meta כפוף לתנאי פלטפורמת Meta ואינו נמכר או משמש לפרסום.
• ספקי ענן (אחסון): שרתים מאובטחים לאחסון הנתונים
• רשויות חוק: כאשר נדרש על פי צו שיפוטי או חוק

7. זכויותיך (חוק הגנת הפרטיות, תיקון 13)

לממש את זכויותיך, פנה אלינו בדוא"ל privacy@kalfa.me. נשיב תוך 30 יום.

8. אבטחת מידע

• הצפנת TLS/HTTPS לכל התקשורת
• הצפנת מסד נתונים ב-rest
• בקרות גישה מבוססות תפקידים (RBAC)
• אימות דו-שלבי (OTP/Passkeys)
• ניטור ולוגים לזיהוי חריגות
• בדיקות אבטחה תקופתיות

במקרה של אירוע אבטחה שעלול לפגוע במידעך, נודיע לך ולרשות הגנת הפרטיות (PPA) בהתאם לחוק.

9. עוגיות (Cookies)

ניתן לחסום עוגיות בהגדרות הדפדפן שלך. חסימת עוגיות session עלולה לפגוע בתפקוד השירות.

10. העברת מידע לחו"ל

חלק מהשירותים שלנו (Telnyx / Voximplant, Google) מעבדים נתונים בשרתים מחוץ לישראל. העברות אלה מתבצעות בהתאם לאמצעי הגנה מתאימים:

• חוזים עם ספקים הכוללים סעיפי הגנה סטנדרטיים (SCCs)
• שימוש בספקים עם הסמכת adequacy (ארה"ב – EU-US Data Privacy Framework)

11. מידע על קטינים

השירות אינו מיועד לילדים מתחת לגיל 18. איננו אוספים ביודעין מידע מקטינים. אם נודע לנו שנאסף מידע כזה שלא כדין, נמחק אותו מיידית.

12. יצירת קשר ותלונות

לשאלות, בקשות מימוש זכויות, או תלונות:

אם לא קיבלת מענה מספק, יש לך הזכות לפנות לרשות להגנת הפרטיות (PPA) בכתובת gov.il.