מדיניות פרטיות

מדיניות זו מסבירה כיצד אפליקציית לימוד האנגלית MilaMeow והאתר milameow.app, המופעלים בידי עוסק יחיד בישראל הפועל בשם המסחרי Naor Dev ("אנחנו"), מטפלים במידע. מזהה חבילת Android הוא com.milaquest.vocab_quest. האפליקציה מיועדת לילדים בגילאי 6–13 תחת ניהול מבוגר. הבדיקה הנוכחית היא תצוגה מקדימה משפחתית מוגבלת; ההשקה הציבורית והשיווק המתוכננים הם בישראל בלבד.

בקצרה לילדים: אפשר ללמוד בלי חשבון, בלי ליגה ובלי מיקרופון. אין באפליקציה צ׳אט ואיננו מבקשים את שמכם האמיתי. בכל יום האפליקציה שולחת ספירה אנונימית שמתעדכנת במהלך היום: כמה זמן היא הייתה פתוחה וכמה תחנות ושיעורים סיימתם, בלי שם, בלי תשובות ובלי מה שאמרתם. רק מבוגר יכול להפעיל מדידת שימוש מפורטת יותר; גם היא אינה שולחת מה אמרתם, קול או מיקום. אם בוחרים במשחק דיבור, Android ו־iPhone בודקים בתוך האפליקציה רק אם נאמרה מילת היעד. הקול אינו נשלח, ולא נוצרים הקלטה או תמליל. בקשו ממבוגר לעזור בבחירות האלה.

אתר ההורים ואפליקציית הילדים

האתר milameow.app הוא אתר להורים: הוא מציג את המוצר ומפנה לחנויות האפליקציות. PostHog פועל בדף הבית של האתר. באפליקציה אין SDK של אנליטיקה. מדידת השימוש המפורטת, עם מזהה התקנה, כבויה כברירת מחדל, ומבוגר יכול להפעיל אותה באזור הורים. בלי קשר לבחירה הזו, האפליקציה ב־Android וב־iOS שולחת דיווח יומי אנונימי על השימוש, ואפליקציית Android שהותקנה מ־Google Play שולחת הודעת התקנה אנונימית אחת, כמתואר בהמשך.

באתר אנו משתמשים ב־PostHog כדי להבין באופן מצטבר מאיפה מגיעים הורים, אילו כפתורים מובילים לחנויות האפליקציות ואילו תכנים מעניינים אותם, וכדי לשפר את דף ההורים. נשלחים רק אירועי טעינת דף, יציאה מדף, מדדי ביצועים מצומצמים (LCP, CLS, FCP ו־INP) והפעלת צליל ההדגמה. נמדדים גם הגעה לחלקים בדף, תחילת צפייה והתקדמות צפייה בסרטונים כשהם גלויים, תקלות ניגון, בחירת עולמות בקרוסלה, פתיחת שאלות נפוצות ולחיצה על קישורי תוכן מוגדרים. שמות האירועים הטכניים הם $pageview, $pageleave, $web_vitals ו־landing_demo_sound_enabled. האירועים יכולים לכלול את שם האירוע, מזהה זמני שאינו מקושר אצלנו לחשבון, לכתובת דוא״ל או לילד, ושדות טכניים מצומצמים: מארח האתר, נתיב השורש ללא שאילתה או עוגן, hostname של האתר המפנה, סיווג דפדפן/מערכת/מכשיר, ערכי UTM שהוגדרו מראש, ערכים מספריים של מדדי הביצועים האלה, וערכי עומק גלילה מספריים באירוע היציאה מדף. בקשות המדידה נשלחות דרך נתיב באתר עצמו שמעביר אותן ל־PostHog (פרוקסי הפוך) כדי לצמצם חסימה בידי חוסמי פרסומות. אירועי התוכן כוללים רק מזהים מתוך רשימות קבועות: חלק בדף, סרטון, מספר עולם, שאלה או יעד קישור ומיקומו. בלחיצה על קישור ל־Google Play נוסף לאירוע ולקישור עצמו גם מקור ההגעה לאתר, כשם מתוך רשימה קבועה (למשל chatgpt.com, google, facebook, direct או other) לפי ערך ה־UTM של הדף או האתר המפנה. כך Google Play מעבירה אותו לאפליקציה לאחר ההתקנה. יכולים להישלח גם אבן דרך של צפייה (25%, 50%, 75% או 100% ממשך הסרטון שנצפה במצטבר כשהוא גלוי, כולל צפייה חוזרת), מצב צליל, אופן בחירה בקרוסלה, סוג תקלה מוגדר מראש וגרסת דף המדידה. הגעה לחלק בדף נמדדת כשהכותרת או טקסט הפתיחה שלו גלויים למשך שנייה לפחות; היא אינה מעידה על קריאת כל התוכן.

המדידה באתר מוגדרת ללא עוגיות וללא אחסון בדפדפן, עם אחסון בזיכרון בלבד, בלי מזהה מבקר מתמשך, יצירת פרופיל אדם, זיהוי, איסוף אוטומטי, הקלטת ביקור, heatmaps, surveys או feature flags. לצורך חישוב המזהה הזמני, PostHog מעבדת בשרת את כתובת ה־IP, ה־User-Agent, שם המארח ומלח שמתחלף מדי יום. אחסון כתובת IP גולמית מושבת בפרויקט. PostHog EU Cloud מציינת שאחסון הנתונים הוא בגרמניה; ה־DPA שלה פועל במסגרת מעבד מידע וכולל סעיפי חוזה תקניים (SCC), ורשימת קבלני המשנה כוללת AWS ו־PlanetScale בגרמניה וכן תעבורה ועיבוד גלובליים אחרים כפי שמפורט ברשימה המעודכנת. המדידה אינה משמשת לפרסום, למכירת מידע, למעקב בין שירותים או לפרופיל של ילדים.

אם מבוגר מפעיל מדידת שימוש באפליקציה, המכשיר יוצר מזהה התקנה אקראי בן 128 סיביות ושומר אותו מקומית כדי להבחין בין התקנות לאורך הפעלות. הוא אינו מזהה שם או חשבון ואינו משותף עם האתר. נשלחים האירועים app_opened, quest_started, quest_completed, lesson_completed ו־speech_assisted_advance, עם שדות מצומצמים מתוך מזהה שיעור פנימי, סוג הפעילות, תחנת מסלול, מספר פריטים, השלמה מושלמת, משך בשניות והאם השיעור הושלם. האירוע האחרון נשלח רק כשמשחק הדיבור משמיע את מילת היעד וממשיך אוטומטית אחרי שלושה ניסיונות שלא נקלטו; הוא כולל מזהה פנימי של מילת היעד, את סוג הכשל ואת מספר הניסיונות. לא נשלחים מזהה חשבון או פרופיל, תשובה, מה הילד אמר, קול, תמליל, טקסט חופשי, מזהה פרסום, פרטי מכשיר או מיקום. הבקשה עוברת דרך נתיב ראשון־צד באתר, שאינו מעביר ל־PostHog את כתובת ה־IP או ה־User-Agent של המכשיר ומורה ל־PostHog לא לבצע GeoIP ולא ליצור פרופיל אדם. Cloudflare עדיין מעבדת נתוני רשת רגילים כדי למסור את הבקשה. הכיבוי מפסיק אירועים עתידיים ומוחק את המזהה מהמכשיר; הוא אינו מוחק אוטומטית אירועים שכבר נשלחו.

אפליקציית Android שהותקנה מ־Google Play שולחת את האירוע app_install_attributed בפתיחה הראשונה של גרסה שכוללת אותו, גם כשמדידת השימוש כבויה. הוא נשלח פעם אחת, אלא אם נתוני האפליקציה נמחקו או שהיא הותקנה מחדש. הוא כולל רק את תגי הקישור ש־Google Play מסרה לאפליקציה (מקור, אמצעי, קמפיין ומקור ההגעה לאתר), כל אחד כשם מתוך רשימה קבועה, למשל milameow.app או google-play, וערך אחר נשלח כ־other. בנוסף נשלח יום ההתקנה. איתו נשלח מזהה אקראי חד־פעמי, כדי שניסיון שליחה חוזר לא ייספר פעמיים. המזהה הזה אינו מזהה ההתקנה של מדידת השימוש, נמחק מהמכשיר אחרי שליחה מוצלחת ואינו מקושר לחשבון, לפרופיל או לילד. לא נשלחים פרטי מכשיר, מזהה פרסום או מיקום, והבקשה עוברת באותו נתיב ראשון־צד שתואר למעלה.

האפליקציה ב־Android וב־iOS שולחת גם את האירוע app_day_active, גם כשמדידת השימוש כבויה, כדי שנדע כמה מכשירים משתמשים באפליקציה בכל יום, כמה זמן, כמה הם מתרגלים וכמה חוזרים אליה. הוא נשלח בכל יום שבו האפליקציה נפתחה, ושוב באותו יום כשהמספרים משתנים. הוא כולל רק את התאריך במכשיר, את מספר הימים מאז הדיווח היומי הראשון של המכשיר, שבהתקנה חדשה הוא יום ההתקנה, בטווחים קבועים (0, 1, 2, 3–6, 7, 8–13, 14–29, 30–59 או 60 ומעלה), את מספר הדקות שהאפליקציה הייתה פתוחה באותו יום, ואת מספר התחנות, החזרות, משחקי התרגול והשיעורים שהושלמו בו, לכל הילדים במכשיר יחד. איתו נשלח מזהה אקראי שנוצר מחדש לכל יום, כדי ששליחה חוזרת באותו יום תעדכן את אותו היום. המזהה הזה אינו מזהה ההתקנה של מדידת השימוש, אינו מקשר בין ימים שונים ואינו מקושר לחשבון, לפרופיל או לילד; הוא נמחק מהמכשיר בפתיחה הראשונה אחרי שהיום הסתיים ודווח, או כשעבר שבוע והדיווח לא הצליח. לא נשלחים מזהה שיעור או מילה, תשובות, שם, פרטי מכשיר, מזהה פרסום או מיקום, והבקשה עוברת באותו נתיב ראשון־צד שתואר למעלה.

לילד שהתקדמותו מגובה בענן, השרת מחשב פעם ביום ספירות מתוך הגיבוי: באילו ימים הילד סיים לפחות תרגול אחד, וכמה תחנות, חזרות ומשחקי תרגול סיים, כמה שיעורים ועולמות השלים וכמה מילים תרגל עד אותו יום. הספירות נשמרות במסד הנתונים שלנו תחת מפתח שנגזר מהמזהה הפנימי של הגיבוי בעזרת סוד של השרת, בלי שם, כתובת דוא״ל, מזהה חשבון, מילים, תשובות או שעות ביום, ומשמשות רק לסטטיסטיקה מצטברת כדי לשפר את המוצר. הן נמחקות מיד כשמבוגר מאפס או מוחק את הגיבוי, ובכל מקרה אחר של מחיקת הגיבוי בתוך יום.

לאחר אותה הפעלה בידי מבוגר נשלחים גם אירועי ההרפתקה היומית. הם מתארים צפייה, התחלה וסיום של משימה, הצגת התקדמות, שיעור עם מילים מוכרות בלבד, חזרה ללא התקדמות יומית, חסימת שיעור חדש, החלטה וקבלה של תגמול או כשל בקבלתו, רצף ימי משחק, מגן ואבן דרך. השדות מוגבלים למספרי משימות ומילים, מצב היעד והתגמול, אורך הרצף והפער בין ימים, מצב המגן, מקור הכניסה מתוך רשימה קבועה, סוג ונדירות התגמול, נקודות תגמול ובונוס, סוג אבן הדרך ושלב הכשל. בחירת פרס כוללת גם את הדמות מתוך הרשימה הקבועה, מספר האפשרויות והאם הבחירה מיועדת למחר. אין בהם רשימות מילים, שמות פריטים, שם משחק, תשובות או טקסט שנכתב בידי ילד.

כאשר מדידת שימוש מופעלת, אירוע app_error שולח רק את שם מחלקת התקלה, לצד מזהה ההתקנה האקראי. הודעת השגיאה, פרטי חשבון ונתוני הילד אינם נשלחים. במכשיר נשמרות עד 20 רשומות תקלה מצומצמות, הכוללות זמן, מחלקת תקלה, מקור טכני ומיקום בקוד האפליקציה. מבוגר יכול לשתף את הדוח עם התמיכה דרך אזור ההורים.

שמות אירועי ההרפתקה היומית

daily_adventure_viewed, daily_prize_offered, daily_prize_selected, daily_quest_lesson_started, daily_quest_completed, daily_quest_progress_shown, daily_known_only_lesson_completed, daily_due_review_completed_no_progress, daily_new_lesson_blocked, daily_reward_decided, daily_reward_claimed, daily_reward_claim_failed, daily_streak_advanced, daily_streak_broken, daily_shield_earned, daily_shield_consumed ו־daily_milestone_claimed.

כאשר מדידת שימוש מופעלת, מסכי המנוי שולחים גם חמישה אירועים. הם מציינים מתי מוצג לילד החלון של עולם נעול, מתי נפתח מסך המנוי באזור ההורים, מתי מבוגר מתחיל רכישה, ואיך הסתיימו רכישה או שחזור רכישות. השדות שלהם מוגבלים לסוג הרכישה ולתוצאה, מתוך רשימות קבועות. לא נשלחים מחיר, מזהה של מוצר, הצעה או עסקה, קוד הטבה, אסימון רכישה, פרטי חשבון בחנות או פרטי תשלום.

שמות אירועי המנוי

paywall_sheet_shown, paywall_offer_opened, purchase_started, purchase_result ו־restore_result.

תוסף הדפדפן ״מילה מיאו: מילה באנגלית בכל כרטיסייה״

התוסף ל־Microsoft Edge ול־Chrome מציג מילה באנגלית בכל כרטיסייה חדשה. הוא אינו מבקש הרשאות, אינו אוסף מידע אישי ואינו שולח מידע אלינו או לאף גורם אחר. הציורים וההקלטות נמצאים בתוך התוסף. הקול שנבחר והסדר שבו המילים מוצגות נשמרים רק בדפדפן שבמחשב, ונמחקים כשמסירים את התוסף. לחיצה על הקישור לאתר שלנו פותחת את האתר כרגיל, ועליו חלים הכללים שבמדיניות זו לגבי האתר.

מה נחוץ ומה נתון לבחירה

הלמידה הבסיסית וההתקדמות המקומית פועלות בלי חשבון הורה, ליגה או משחקי דיבור. חשבון הורה, ליגת חברים, ליגה עולמית ומיקרופון הם אפשרויות נפרדות. אפשר לסרב להן או לכבות אותן בלי לאבד את אפשרות הלמידה הבסיסית. חלק מחבילות המדיה דורשות חיבור לצורך הורדה ראשונה.

המידע שאנו מטפלים בו

למידה במכשיר	קבוצת גיל, שם משחק (רעיון מוכן מרשימה שנבדקה מראש או כינוי שהילד/ה כתבו ושסונן במכשיר), הגדרות, התקדמות, תשובות וחזרות, תגמולים, ימי תרגול, בחירת מיקרופון ותוצאות משחקי דיבור. מידע זה נשאר במכשיר עד איפוס, ניקוי נתוני האפליקציה או הסרתה. ב־Android הגיבוי האוטומטי של מערכת ההפעלה והעברת נתוני האפליקציה מושבתים. בגרסאות התומכות בגיבוי בענן, מבוגר יכול להפעיל אותו בנפרד לאחר התחברות ואישור.
גיבוי התקדמות לבחירת המבוגר	לאחר אישור נפרד נשמרים בענן התקדמות במילים ובמשימות, תוצאות תרגול, קבוצת מסלול לימוד, כפות, מטבעות ופרסים, תחת מזהה אקראי לכל ילד המקושר לחשבון המבוגר. שם הילד, תמונות, הקלטות, תמלילים וטקסט של מילים ורשימות אישיות אינם נכללים בגיבוי; תוצאות תרגול אישיות נשלחות ללא הטקסט. אפשר לפתוח את השמירה במכשיר אחר דרך אותו חשבון, לייצא אותה או למחוק אותה באזור הורים. הגיבוי אינו מבטיח שחזור של משחק שטרם סונכרן.
שיתוף רשימת מילים	כשמבוגר בוחר לשתף רשימה, טקסט הרשימה — שם הרשימה, המסלולים והמילים (מזהה קטלוגי, אנגלית ועברית) — נשלח לשרת שלנו כדי שהמשפחה האחרת תפתח את הקישור. שיתוף רשימה דורש חשבון הורה: הרשומה נשמרת עם מזהה החשבון של המבוגר ששיתף, ונמחקת גם כשהחשבון נמחק. רשימות ששותפו לפני כן נשמרות בלי מזהה חשבון. הרשומה נשמרת עד שנה ואז נמחקת, והקוד נשמר מגובב. פתיחת הקישור אינה מוחקת אותו. מילים שהמבוגר הוסיף בעצמו נבדקות בסינון תוכן לפני השמירה, וההתקדמות, התמונות וההקלטות אינן נשלחות.
חשבון הורה אופציונלי	מזהה חשבון פנימי של MilaMeow, כתובת דוא״ל מאומתת של המבוגר, מצב אימות, הפעלות כניסה ותאריכי יצירה/עדכון. לצורך כניסה נשלח קוד חד־פעמי בן 6 ספרות לדוא״ל; הקוד תקף כ־10 דקות מהפעם האחרונה שנשלח; בקשה חוזרת בזמן הזה שולחת שוב את אותו קוד. הוא נשמר אצלנו מוצפן עד אימותו; קוד שלא אומת נמחק בתוך כשעה מפקיעתו. ב־iPhone וב־iPad אפשר להיכנס גם עם Apple: Apple מאמתת את המבוגר ומוסרת לנו מזהה קבוע שהיא מייחדת לאפליקציה הזו ואת כתובת הדוא״ל שהמבוגר בחר לשתף, שיכולה להיות כתובת העברה של Apple שמסתירה את הכתובת האמיתית. איננו מבקשים שם ואיננו שומרים אסימונים של Apple. כתובת ש־Apple אימתה ושכבר משמשת חשבון הורה מצטרפת לאותו חשבון; כתובת ש־Apple לא אימתה אינה מתקבלת. כדי לדעת אם המבוגר הפסיק בהמשך את הכניסה עם Apple, האפליקציה שומרת במכשיר את המזהה ש־Apple נתנה, עד ההתנתקות. החשבון מיועד למבוגר בלבד: אין להזין כתובת דוא״ל של ילד ואין להיכנס עם חשבון Apple של ילד. מידע מזהה של Google שנשמר בגרסת הבדיקה הקודמת נמחק במעבר לשיטת הקוד בדוא״ל.
רשימת המתנה	כתובת דוא״ל שמבוגר הזין בטופס ההרשמה שהיה באתר עד 15 באוקטובר 2026, מקור ההרשמה (landing) ומועד ההרשמה. אנו משתמשים בה רק כדי לנהל את רשימת ההמתנה ולכתוב כשמה שביקשו מוכן: עד 14 באוקטובר 2026 הטופס היה לגישה מוקדמת לבטא, ולאחר מכן להודעה על יציאת האפליקציה ל־iOS. ההרשמה אינה יוצרת חשבון הורה ואינה כוללת מידע על ילד.
מדידת שימוש אופציונלית	PostHog מקבלת את אירועי האתר המצומצמים שתוארו לעיל. רק לאחר הפעלה בידי מבוגר היא מקבלת גם את מזהה ההתקנה האקראי ואת אירועי האפליקציה המצומצמים שתוארו לעיל. מהתקנת Android דרך Google Play היא מקבלת גם את הודעת ההתקנה האנונימית האחת, ומכל מכשיר Android או iOS את הדיווח היומי האנונימי, שנשלח גם בלי הפעלה. אין באפליקציה איסוף אוטומטי, replay, heatmaps, surveys, feature flags או פרופיל אדם.
ליגות אופציונליות	מזהה פרופיל אקראי, שם משחק (רעיון מוכן או כינוי שהילד/ה כתבו ושסונן במכשיר ובשרת), ניקוד כפות יומי/שבועי/חודשי/כולל, הניקוד של השבוע הקודם, רמת ליגה (מעץ ועד כתר), מועדי הסכמה, קשרי חברות, קודי הזמנה זמניים והרשאות מכשיר הנשמרות כגיבוב. ליגת החברים מופעלת תחילה בידי מבוגר; לאחר ההפעלה הילד יכול ליצור או לקבל קישור הזמנה מתוך מסך הליגה. הקישור אינו כולל שם אמיתי או פרטי קשר, אך מי שמקבל אותו יכול לחבר פרופיל כחבר. בליגת החברים רק פרופילים שחוברו רואים שם משחק וניקוד. הליגה העולמית כבויה כברירת מחדל: מבוגר מאשר אותה בנפרד, ואז מוצג לילד/ה הסבר קצר ובחירה אם להצטרף. רק לאחר בחירת ההצטרפות שם המשחק והניקוד גלויים לקהל הרחב יותר של כל משתתפי הליגה. בליגה העולמית כל משתתף מדורג מול משתתפים באותה רמת ליגה. בסוף כל שבוע שלושת הראשונים בכל רמה עולים רמה אחת, והרמה אינה יורדת. כינוי שהילד/ה כתבו מוצג כפי שנכתב, ולכן אין לכתוב בו שם מלא או פרטים אישיים. אין צ׳אט, טקסט חופשי אחר, העלאת תמונות או חיפוש משתמשים.
אבטחה והורדת מדיה	כתובת IP נכללת במפתחות הגבלת קצב של Cloudflare Workers ונמחקת לאחר כ־24 שעות. כדי למנוע הצפה של כתובת דוא״ל בקודי כניסה, נשמר במפתח הגבלת קצב גם גיבוב חד־כיווני של הכתובת למשך עד כ־24 שעות; המפתח אינו כולל את כתובת הדוא״ל עצמה. בהורדת חבילות תמונה וקול, Cloudflare R2 מקבלת נתוני בקשה רגילים ומפתח של חבילה בסיסית או עולם תוכן. בהפעלה המקוונת הראשונה נבחרים עולמות הפתיחה כברירת מחדל; לאחר מכן נבחרים העולם הנוכחי והבא לפי ההתקדמות המקומית. לכן ניתן להסיק בקירוב את שלב התוכן מתזמון הבקשה ומעולם התוכן; לא נשלחים שם הילד, פרופיל, תשובה או התקדמות ברמת כרטיס. Cloudflare מתעדת מדדי תפעול של R2, כגון שם האובייקט, זמן הבקשה והסטטוס, למשך 31 יום. יומני Workers, עקבות, יצוא ודגימה מושבתים בחשבון; אין Tail Worker, Logpush או Log Explorer. אם יומני Workers יופעלו בעתיד בחשבון החינמי, Cloudflare מציינת תקופת שמירה של עד 3 ימים. קוד השרת מצנזר כתובות דוא״ל, קודים ואסימונים לפני רישום.
משוב אופציונלי מאזור ההורים	כשמבוגר מציין באזור ההורים שיש מה לשפר: הסיבה שבחר מרשימה קבועה, מה שכתב במילים שלו אם כתב, גרסת האפליקציה וסוג המכשיר (iOS או Android). אם המבוגר מחובר לחשבון הורה, המשוב נשמר עם מזהה החשבון; אחרת הוא נשמר בלי מזהה. אנו משתמשים במשוב רק כדי לשפר את MilaMeow. הוא אינו כולל מידע על הילד, ואנו מבקשים לא לכתוב בו שמות או פרטים אישיים.
פנייה לתמיכה	כתובת הדוא״ל, תוכן הפנייה וקבצים שבחרתם לשלוח. אל תשלחו סיסמה, אסימון, קוד הזמנה פעיל, הקלטת ילד או מידע אישי מיותר על ילד.

מיקרופון וזיהוי דיבור

משחקי הדיבור אופציונליים. אחרי בחירה במסך המיועד למבוגר והרשאת המיקרופון, Android ו־iPhone מעבדים את קול המיקרופון בתוך האפליקציה באמצעות גלאי מקומי. בכל ניסיון הגלאי בודק רק אם נאמרה מילת היעד באנגלית ומחזיר אירוע זיהוי; הוא אינו יוצר תמליל. הקול אינו נשלח לשרת או לספק זיהוי דיבור, ואיננו מקליטים, שומרים או מייצאים אותו.

תוצאת המשחק נשמרת במכשיר, ואם מבוגר הפעיל גיבוי ענן — גם בשמירה המסונכרנת. אפשר להמשיך בלי דיבור, לבטל את האפשרות באזור הורים ולבטל את הרשאת המיקרופון בהגדרות המכשיר.

מה איננו אוספים דרך האפליקציה

איננו מבקשים או אוספים היסטוריית גלישה, מיקום מדויק, אנשי קשר או פנקס כתובות, מספר טלפון של ילד, כתובת מגורים של ילד, מזהה פרסום, הודעות צ׳אט, טקסט חופשי של ילד מלבד כינוי משחק, תמונות או סרטונים שהילד העלה, הקלטות קול או תמלילי דיבור שנשמרים אצלנו. איננו מפעילים SDK לפרסום, פרופיל התנהגותי או מעקב בין אפליקציות ושירותים. הגרסה הנוכחית אינה כוללת רכישות או מנוי פעיל.

מטרות השימוש והבסיס להן

• להפעיל את הלמידה, לשמור התקדמות במכשיר, לגבות אותה בענן לאחר בחירת מבוגר ולהציג דוחות למבוגר.
• לנהל רשימת המתנה ולכתוב למבוגר שביקש עדכון: על הבטא, או למי שנרשם מ־14 באוקטובר 2026, על יציאת האפליקציה ל־iOS.
• להבין באופן מצטבר את מקורות ההגעה וההמרה באתר ההורים, וכמה מכשירים משתמשים באפליקציה בכל יום, כמה זמן, כמה הם מתרגלים וכמה חוזרים אליה (בדיווח היומי האנונימי ובספירות היומיות מגיבוי הענן), ולאחר בחירה נפרדת של מבוגר גם דפוסי שימוש מצומצמים באפליקציה, כדי לשפר את המוצר.
• לספק, לאחר בחירה נפרדת, חשבון הורה, משחקי דיבור, ליגת חברים או ליגה עולמית.
• להוריד חבילות מדיה מאומתות, לאבטח את השירות, להגביל שימוש לרעה ולפתור תקלות.
• לטפל בבקשות תמיכה, זכויות ומחיקה ולקיים חובה חוקית.

כאשר הדין דורש בסיס משפטי, אנו מסתמכים לפי העניין על אספקת השירות שביקש המבוגר, הסכמה נפרדת שניתן לבטל, אינטרס לגיטימי ומידתי באבטחת השירות, או חובה חוקית. איננו משתמשים בהסכמה כתירוץ לאיסוף שאינו נחוץ.

למי המידע מגיע

אנו משתמשים בספקים הדרושים להפעלה: Google Play להפצת Android; Apple לכניסה עם Apple ב־iPhone וב־iPad, כשהמבוגר בוחר בה; Cloudflare Workers, Durable Objects, Hyperdrive, R2, Pages ו־Email Routing להפעלת השרת, המדיה והאתר; Resend למשלוח קודי כניסה והודעות על מחיקת גיבוי לא פעיל; Brevo כניסיון גיבוי יחיד אם השליחה דרך Resend נכשלת או שהשירות אינו זמין; מסד הנתונים Neon; PostHog למדידה המצומצמת באתר ההורים, לדיווחים האנונימיים של האפליקציה ולמדידת האפליקציה האופציונלית; וספק תיבת הדוא״ל שמקבל פניות תמיכה. ספק הדוא״ל שמטפל בהודעה מקבל רק את כתובת הדוא״ל של המבוגר ואת קוד הכניסה או ההודעה על מחיקת גיבוי לא פעיל, בטקסט פשוט. איננו שולחים אליו שם ילד, פרופיל, התקדמות, ניקוד או מידע דיבור. הודעת הקוד כוללת קישור אחד לאתר שלנו, שפותח את האפליקציה ומשלים את הכניסה. הקוד נמצא בחלק של הקישור שדפדפנים אינם שולחים לשרת, והעמוד שהקישור פותח אינו מודד ביקורים. כדי שהקישור ישלים את הכניסה גם אם האפליקציה נסגרה בינתיים, היא שומרת באחסון המאובטח של המכשיר את הכתובת שאליה ביקשה את הקוד ומשתמשת בה עד 10 דקות. הכתובת נמחקת כשהכניסה מסתיימת, או בפתיחה הראשונה של האפליקציה אחרי 10 הדקות. כדי לחסוך הקלדה, בזמן שהאפליקציה ממתינה לקוד היא עשויה לקרוא במכשיר טקסט שהמבוגר העתיק אחרי שביקש את הקוד, ולוקחת ממנו רק קוד בן 6 ספרות; שום דבר אחר ממנו לא נשמר ולא נשלח. בחשבון Brevo מופעלים מעקב אנונימי וניהול הסכמה לפי נמען, והסכמה לא ידועה מוגדרת כ״לא״. בכל בקשת קוד אנו מציינים במפורש שהנמען לא הסכים למעקב פיקסל; לפי הגדרת הספק, פתיחת הודעה זו אינה נמדדת. כשחשבון שנכנס עם Apple נמחק, אישור המחיקה ב־Apple מוסר לנו קוד חד־פעמי, ואנו משתמשים בו כדי לבקש מ־Apple להפסיק את הכניסה של האפליקציה דרך חשבון ה־Apple; האסימון שמתקבל לשם כך אינו נשמר. כשהמחיקה אושרה בקוד בדוא״ל, או ש־Apple לא אישרה את הבקשה, האפליקציה מציגה איך להפסיק זאת בהגדרות של חשבון ה־Apple. כשהמבוגר מפסיק את הכניסה עם Apple בהגדרות של Apple או מוחק את חשבון ה־Apple, Apple מודיעה לנו על כך, ואנו מנתקים את חשבון ה־Apple מחשבון ההורה ומסיימים את הפעלות הכניסה שלו; החשבון עצמו נשאר, וכתובת שמקבלת דוא״ל יכולה להמשיך להיכנס בקוד. כל ספק מטפל במידע לפי התפקיד, ההגדרות והתנאים החלים עליו.

ספקים עשויים לעבד מידע מחוץ לישראל. Resend מציינת שנתוני חשבון, תוכן הודעה, מטא־נתונים, לוגים ורשומות API נשמרים בארצות הברית ושנתוני דוא״ל רגילים נשמרים 30 יום; הסכם העיבוד שפרסמה כולל סעיפי חוזה תקניים ומסגרת פרטיות נתונים רלוונטית. Brevo מפרסמת הסכם עיבוד כחלק מתנאיה ומציינת שמסדי הנתונים שלה מתארחים באיחוד האירופי, ב־OVH בצרפת ובגרמניה וב־Google Cloud בבלגיה; בחשבון שלנו שמירת הלוגים מוגדרת לחודש אחד וללא שמירת תצוגת תוכן ההודעה. Cloudflare מפרסמת הסכם עיבוד החל על שירותי הענן שלה. מסד הנתונים הפעיל של Neon נמצא באזור AWS eu-central-1 בפרנקפורט, גרמניה; Neon משלבת הסכם עיבוד בתנאי הלקוח, מפרסמת רשימת קבלני משנה ומציינת הצפנה בתעבורה ובמנוחה וגיבויים מוצפנים. שיתוף דוח באמצעות גיליון השיתוף של המכשיר מתבצע רק לאחר פעולה יזומה של מבוגר וליעד שהוא בוחר; לאחר השיתוף, הטיפול בידי היעד כפוף לתנאיו.

איננו מוכרים מידע, משתפים אותו לצורך פרסום ממוקד, מציגים פרסומות או מעבירים מידע לסוחרי נתונים.

שמירה ומחיקה

• חשבון הורה נשמר עד מחיקתו; הפעלות כניסה פגות בדרך כלל לאחר כ־30 יום.
• כתובת ברשימת ההמתנה נשמרת עד שאינה נחוצה עוד לעדכון שביקשו או עד בקשת מחיקה; אפשר לבקש מחיקה בכל עת דרך support@milameow.app.
• נתוני המדידה המצומצמים של PostHog נבדקים לפחות פעם בשנה, והפרויקט יימחק כאשר לא יהיה עוד צורך במדידה. אירועי האתר והדיווח היומי של האפליקציה אינם כוללים מזהה מבקר או התקנה מתמשך. הספירות היומיות מגיבוי הענן נשמרות כל עוד הגיבוי פעיל ונמחקות כמתואר למעלה. אירועי האפליקציה האופציונליים כוללים מזהה התקנה מתמשך שאינו מקושר אצלנו לחשבון, לכתובת דוא״ל או לפרופיל ילד. כיבוי המדידה מוחק את המזהה מהמכשיר ולכן בדרך כלל לא נוכל לאחר מכן לאתר אירועים קודמים של התקנה מסוימת למחיקה ממוקדת. תקופת שמירה קבועה של PostHog אינה מובטחת במדיניות זו; תנאי הספק והגדרות הפרויקט בעתיד עשויים להשתנות.
• קוד כניסה פג כ־10 דקות לאחר הפעם האחרונה שנשלח ונמחק בתוך כשעה מפקיעתו; גיבוב כתובת המשמש להגבלת קצב נמחק לאחר כ־24 שעות.
• Resend שומרת את נתוני הודעת קוד הכניסה ולוג המסירה במשך 30 יום לפי תקופת השמירה הרגילה שלה; הקוד עצמו אינו שמיש לאחר כ־10 דקות מהפעם האחרונה שנשלח.
• אם השליחה דרך Resend נכשלת או שהשירות אינו זמין, Brevo עשויה לשמור את כתובת המבוגר ומטא־נתוני המסירה עד חודש אחד; תצוגת תוכן ההודעה מושבתת, ומחיקת הלוג לאחר תום התקופה עשויה להימשך עד 24 שעות.
• הזמנת חברות פגה לאחר 24 שעות והרשאת מכשיר לאחר 90 יום.
• שמירת ענן שלא נעשה בה שימוש במשך שנתיים עשויה להימחק לאחר הודעה למבוגר לפחות 30 יום מראש. עותקי גיבוי ישנים מוחלפים בתוך שבעה ימים; עותקי תשתית היסטוריים עשויים להישאר עד 30 יום לאחר מחיקה. מידע בקרת מחיקה שמונע ממכשיר ישן להחזיר שמירה שנמחקה נשמר 37 יום ועוד זמן טיפול מוגבל. לאחר מכן נשאר סימון טכני מצומצם שמונע שימוש חוזר במזהה השמירה שנמחקה, ללא פרטי חשבון או התקדמות.
• פרופיל ליגה שאינו פעיל נמחק אוטומטית לאחר כ־120 יום.
• מפתחות הגבלת קצב הכוללים IP נמחקים לאחר כ־24 שעות.
• מדדי התפעול של Cloudflare R2 נשמרים למשך 31 יום. לא הגדרנו Logpush או Log Explorer.
• יומנים, עקבות, יצוא ודגימה של Cloudflare Workers מושבתים בחשבון. אם יומני Workers יופעלו בעתיד בחשבון החינמי, Cloudflare מציינת שמירה של עד 3 ימים.
• Neon מציינת שגיבויי מידע מוצפנים נשמרים עד 30 יום; הרשומה הפעילה נמחקת בפעולת מחיקת החשבון.
• משוב מאזור ההורים נמחק שנה לאחר שליחתו, ומשוב שנשמר עם חשבון הורה נמחק גם עם מחיקת החשבון.
• פניות תמיכה נשמרות רק כל עוד הן נחוצות לטיפול, להגנה על השירות או לקיום חובה חוקית.
• משחקי הדיבור אינם שומרים אודיו או טקסט מזוהה; רק תוצאת המשחק המקומית נמחקת עם איפוס ההתקדמות או ניקוי נתוני האפליקציה.
• עותקי גיבוי מוגבלים של ספקי התשתית עשויים להימחק במחזור הגיבוי הרגיל. מידע שחובה לשמור לפי דין יישמר רק למטרה ולתקופה הנדרשות.

מחיקת חשבון הענן אינה מוחקת התקדמות מקומית, ומחיקת האפליקציה אינה בהכרח מוחקת חשבון ענן. ראו את דף מחיקת החשבון והנתונים.

ילדים, בחירת המבוגר וזכויות

מבוגר אחראי רשאי לבקש גישה, עותק, תיקון, מחיקה או הגבלה של מידע הקשור לחשבונו ולפרופיל הילד, להתנגד לעיבוד במקום שבו קיימת זכות כזו, ולבטל בחירה או הסכמה לעתיד. נבצע אימות סביר כדי לא למסור מידע של משפחה לאדם אחר. ביטול הסכמה אינו הופך עיבוד קודם לחסר תוקף, ואינו מונע שמירה שמחויבת לפי דין. אפשר גם להתלונן לרשות המוסמכת להגנת הפרטיות במקום שבו הדין מקנה זכות כזו.

אין להזין שם מלא, טלפון, כתובת, דוא״ל או פרט קשר של ילד כשם משחק או בפנייה. אם נודע לכם שילד מסר לנו מידע אישי שלא תואר כאן או ללא אישור נדרש, כתבו אלינו כדי שנוכל להגביל או למחוק אותו כנדרש.

ישראל ומדינות אחרות

אנו מציעים ומשווקים את ההשקה הציבורית המתוכננת בישראל בלבד ואיננו מכוונים אותה ביודעין לתושבי ארצות הברית, האזור הכלכלי האירופי או בריטניה. הגבלה זו אינה מבטלת דין מחייב ואינה גורעת מזכויות שקמות למרות היקף ההשקה. אם GDPR, COPPA או דין פרטיות של מדינה או מדינת־משנה יחולו בפועל, נכבד את הדרישות והזכויות המחייבות לפני שנמשיך בעיבוד הרלוונטי. אם נקבל ידיעה מהימנה על שימוש של ילד במקום שבו נדרשים מנגנון הורי או תנאים נוספים שלא יושמו, נבחן, נגביל או נפסיק את העיבוד ונמחק מידע כנדרש. מדיניות זו אינה הצהרת הסמכה לפי דין כלשהו.

אבטחה

אנו משתמשים ב־HTTPS, בהרשאות מצומצמות, באסימוני גישה, בהפרדת מידע מקומי ממידע חשבון, בגיבוב הרשאות ובבקרות קצב. אנו מגבילים את המידע שאנו שולחים ואת משך שמירתו. שום מערכת אינה חסינה לחלוטין; לדיווח אבטחה כתבו “Security” בנושא ואל תצרפו סוד או מידע של ילד להודעה הראשונה.

שינויים ויצירת קשר

נעדכן מדיניות זו אם ישתנו התכונות, הספקים, הדין או נוהלי המידע. נציג מספר גרסה ותאריך תחילה. על שינוי מהותי נמסור הודעה מתאימה למבוגר; אם הוא מרחיב באופן שמחייב הסכמה את האיסוף, השימוש או הגילוי, נבקש הסכמה חדשה של מבוגר לפני שהשינוי יחול. לא נשתמש במידע למטרה חדשה הטעונה הסכמה רק משום שהמדיניות עודכנה.

לשאלות, בקשות פרטיות או מסירת הודעה למפעיל: support@milameow.app.