מדיניות פרטיות

המסמך חל על שני סוגי משתמשים:

• בעלי עסקים שנרשמים לחשבון ב-Talbot ועושים שימוש בלוח הבקרה, בסוכן ה-AI ובשאר רכיבי השירות. ביחס אליהם Talbot פועלת כבעלת שליטה במאגר (controller) במשמעות חוק הגנת הפרטיות.
• לקוחות הקצה שמדברים עם הסוכן בעמוד הציבורי של העסק (/c/<handle>). ביחס לתוכן השיחות שלהם, בעל העסק הוא בעל השליטה במאגר, ואילו Talbot פועלת כמחזיקה (processor) של המידע בשמו ולפי הוראותיו בלבד.

המסמך אינו חל על אתרים או שירותים של צד שלישי שמקושרים מתוכו — אלה כפופים למדיניות הפרטיות שלהם.

השירות מופעל על-ידי Shalhevet software solutions (להלן: ״Talbot״ או ״אנחנו״).

• איש קשר לפניות פרטיות: contact@shalhevet.tech
• אתר השירות: talbot.run

לפי תיקון 13, חובת היידוע (§11) כוללת גם את זהות בעל השליטה ופרטי הקשר אליו, וכן את זכויות העיון והתיקון של נושא המידע (להלן בסעיף 11).

אנחנו אוספים את המידע הבא, בהיקף הנדרש לתפעול השירות:

אנחנו איננו אוספים מידע ביומטרי, מידע גנטי, מידע רפואי, נטייה מינית, השקפה פוליטית או דתית, ומידע פלילי — אלה קטגוריות ״מידע בעל רגישות מיוחדת״ לפי תיקון 13, ואינן רלוונטיות לפעילות Talbot.

לפי §11 לחוק הגנת הפרטיות, להלן מטרות העיבוד והבסיס המשפטי לכל אחת מהן:

איננו מבצעים פרופיילינג שיווקי, לא יוצרים פרופילים חוצי-עסקים, ולא מוכרים מידע לצדדים שלישיים בשום מקרה.

חלק מהשדות נדרשים לתפעול השירות; בלעדיהם לא נוכל לספק לך את הסוכן:

• ללא פרטי הזיהוי מ-Google אין אפשרות להיכנס לחשבון.
• ללא פרטי העסק והשירותים הסוכן לא יוכל לענות ללקוחות.
• ללא אמצעי תשלום בתום תקופת הניסיון, המנוי יסתיים והעמוד הציבורי של העסק יושבת זמנית.

שדות רשות (כתובת, קישור לאתר, לוגו, צבע ראשי, פרסונה מותאמת) ניתן לדלג עליהם — והשירות ימשיך לעבוד.

Talbot מציעה סוכן צ׳אט מבוסס בינה מלאכותית. בהתאם להנחיות הרשות להגנת הפרטיות (טיוטת אפריל 2025 בנושא AI ותיקון 13):

• גילוי מפורש: בכל שיחה עם הסוכן, הלקוח מוצג כמדבר עם מערכת אוטומטית, לא עם בן אדם.
• ספקי ה-AI: הודעות הצ׳אט מועברות ל-Anthropic (Claude) להפקת תגובה. טקסטים קצרים מועברים ל-OpenAI לצורך יצירת embeddings (וקטורי חיפוש סמנטי בתוך ידע העסק).
• תמלול קולי: כשלקוח משתמש בכפתור המיקרופון בצ׳אט, ההקלטה הקצרה (עד דקה) נשלחת ל-OpenAI Whisper לתמלול. ההקלטה אינה נשמרת בשרתים שלנו — היא מועברת לתמלול ונמחקת מיידית. הטקסט המתומלל בלבד נכנס לשיחה.
• אי-אימון מודלים: לפי תנאי ה-API העסקיים של Anthropic ו-OpenAI שאנחנו פועלים תחתיהם, השיחות שלך אינן משמשות לאימון מודלים. Anthropic שומרת את התוכן זמנית (כ-30 ימים) לצורכי בקרת שימוש לרעה בלבד.
• אין החלטות אוטומטיות בעלות השפעה משפטית על הלקוח — הסוכן רק מאסף בקשת פגישה ומציג אותה לבעל העסק לאישור ידני.
• זכות תיקון: אם הסוכן ענה תשובה שגויה לגביך, ניתן לבקש תיקון או הסרה (ראה סעיף 11).

הספקים הבאים פועלים בתפקיד מחזיק (processor) לפי תיקון 13. מולם חתומים הסכמי DPA המחייבים אותם לרמת הגנה שאינה נופלת מזו של הדין הישראלי.

חלק מהמעבדים שלעיל ממוקמים מחוץ לישראל. ההעברה נעשית בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001, על שני בסיסים חלופיים:

• תקנה 2(4) — הגנות חוזיות: עם כל ספק חתומים הסכמי DPA שמחילים על המידע רמת הגנה שאינה נופלת מזו הנדרשת בדין הישראלי, לרבות איסור העברה הלאה ללא הסכמתנו ושמירה על זכויות נושא המידע.
• תקנה 2(2) — הסכמתך: באישור תנאי השימוש ומדיניות הפרטיות אתה מאשר את ההעברה לספקים המפורטים בסעיף 7.

העברות לאיחוד האירופי (Supabase) מותרות גם מכוח תקנה 2(8) — האיחוד נכלל ברשימת היעדים שהוכרו ככאלה שרמת ההגנה בהם תואמת. ארצות הברית אינה נכללת ברשימה זו; ההעברה אליה מתבצעת בהסתמך על תקנות 2(2) ו-2(4) בלבד, ללא הסתמכות על מסגרת ה-EU-US Data Privacy Framework (שלא הוכרה רשמית על-ידי הרשות להגנת הפרטיות).

אנחנו משתמשים במספר מצומצם של עוגיות:

• עוגיות חיוניות — Supabase Auth (סשן התחברות) ו-Stripe (תהליך תשלום). בלעדיהן השירות לא יעבוד.
• אנליטיקה — Vercel Analytics בתצורה ללא עוגיות וללא מזהים אישיים. נתונים אגרגטיביים בלבד (מבקרים, מסלולי עמוד, זמני טעינה).

אין שימוש בעוגיות פרסום של צד שלישי, אין מעקב חוצה-אתרים, ואין רימרקטינג. מאחר שאיננו מציבים עוגיות פרסומיות או עוגיות צד שלישי לצרכים שיווקיים, איננו מציגים באנר הסכמה כללי; האחריות לגילוי נאות מתבצעת באמצעות מסמך זה.

בעת ביטול חשבון: הנתונים נשמרים באחסון קר למשך 30 ימים, ובחלוף תקופה זו נמחקים מלבד רשומות שחובה חוקית לשמרן (חשבוניות).

סעיפים 13 ו-14 לחוק הגנת הפרטיות, התשמ״א-1981, מקנים לך את הזכויות הבאות, ללא תשלום:

• זכות עיון (§13) — לקבל עותק מהמידע שמוחזק עליך, בעברית, בערבית או באנגלית, לבחירתך.
• זכות תיקון (§14) — לבקש תיקון מידע שאינו נכון, אינו שלם, אינו מעודכן או אינו ברור.
• זכות מחיקה (§14) — לבקש את הסרת המידע, בכפוף לחובות שמירה לפי דין (חשבוניות, ראיות).
• חזרה מהסכמה — לחזור בך מהסכמה שניתנה לעיבוד שאינו חיוני לקיום השירות.
• התנגדות לדיוור — להפסיק לקבל מיילים שאינם תפעוליים, באמצעות קישור unsubscribe או פנייה אלינו.

אנחנו מתחייבים לתשובה תוך 30 ימים מקבלת הפנייה. הפנייה ב-contact@shalhevet.tech.

אם תשובתנו לא תספק אותך, ניתן להגיש תלונה להרשות להגנת הפרטיות במשרד המשפטים.

הערה: הדין הישראלי אינו כולל זכות ניידות נתונים כללית (Data Portability) או ״זכות להישכח״ כפי שהן מעוגנות ב-GDPR האירופי. אנחנו לא מבטיחים זכויות אלה כדי שלא נטעה אותך באשר להיקף ההתחייבויות החוקיות שלנו.

Talbot פועלת ברמת אבטחה בסיסית לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. אנחנו מקיימים בין השאר:

• הצפנת תקשורת מקצה לקצה ב-TLS.
• הפרדת נתונים בין עסקים באמצעות Row Level Security במסד הנתונים — בעל עסק רואה רק את הנתונים של העסק שלו.
• תשלומים מתבצעים באמצעות Stripe Elements (iframe מבודד); פרטי כרטיס מלאים אינם עוברים בשרתי Talbot. היקף ה-PCI שלנו הוא SAQ A.
• מפתחות API נשמרים בסביבת ניהול מאובטחת ואינם נחשפים בצד הלקוח.
• הסכמי DPA מול כל מעבד משנה (סעיף 7), כולל התחייבות לדיווח על אירועי אבטחה.
• נוהל אבטחת מידע ונוהל תגובה לאירועים מתועדים פנימית.

במקרה של אירוע אבטחה חמור (חשד לחשיפה בלתי-מורשית של מידע אישי), ננקוט בצעדים הבאים:

• דיווח לרשות להגנת הפרטיות בתוך 72 שעות מגילוי האירוע, בהתאם להנחיות הרשות.
• הודעה ישירה למשתמשים שנפגעו במקרה שהרשות תורה על כך, או ביוזמתנו אם נראה זאת לנכון בנסיבות העניין.
• תיקון מיידי של פרצת האבטחה ותיעוד פנימי של הפעולות שננקטו.
• דיווח על תוצאות התחקיר ועל אמצעי המנע שננקטו.

השירות מיועד לבעלי עסקים בגירים (בני 18 ומעלה). איננו מאמתים את גילם של לקוחות הקצה שמדברים עם הסוכן בעמוד הציבורי של העסק.

אם אתה הורה / אפוטרופוס וברצונך לבקש מחיקת תוכן שיחה של קטין, פנה ל-contact@shalhevet.tech ונפעל למחיקה תוך 30 ימים, בכפוף לזיהוי הסביר של הזיקה לקטין.

איננו מבצעים פרופיילינג של משתמשים, איננו מציגים פרסומות, ואיננו אוספים מידע מעבר לנדרש לפעולת הסוכן.

ייתכן שנעדכן את המדיניות הזו מעת לעת. שינוי מהותי (תוספת מטרה, הוספת מעבד משנה משמעותי, צמצום זכויות) ייכנס לתוקף לאחר 14 ימים מיום פרסומו, ויישלח ללקוחותינו בדואר אלקטרוני. שינויים שאינם מהותיים (תיקוני ניסוח, עדכוני קישורים) ייכנסו לתוקף עם פרסומם, מבלי להפחית מהזכויות שלך.

התאריכים ״עודכן לאחרונה״ ו״תאריך כניסה לתוקף״ מופיעים בראש העמוד.

לכל שאלה, בקשה לעיון/תיקון/מחיקה, או בירור בנושא פרטיות — כתבו לנו ל-contact@shalhevet.tech. אנחנו משיבים תוך 30 ימים, ובדרך כלל מהר בהרבה.