פרטיות ואבטחה

1. מבוא

ShiftIt ("אנחנו", "שלנו") מפעילה את אפליקציית ניהול המשמרות ShiftIt ("השירות"). מדיניות פרטיות ואבטחה זו מסבירה אילו נתונים אישיים אנו אוספים, מדוע אנו אוספים אותם, כיצד אנו משתמשים בהם, כיצד אנו מגינים עליהם, ומהן הזכויות שלך בנוגע אליהם.

על ידי שימוש בשירות אתה/את מאשר/ת מדיניות זו. אם אינך מסכים/ה, אנא הפסק/י את השימוש בשירות.

2. נתונים שאנו אוספים

אנו אוספים את הקטגוריות הבאות של נתונים אישיים:

• נתוני חשבון: שם, כתובת דוא"ל, סטטוס אימות דוא"ל וכתובת URL של תמונת פרופיל.
• נתוני סשן: כתובת IP, מחרוזת סוכן הדפדפן, מזהה סשן וחותמת זמן תפוגת הסשן.
• נתוני Google OAuth (רק כאשר בוחרים להתחבר עם Google): טוקן גישה, טוקן רענון, טוקן זהות וההרשאות שניתנו. אנו מבקשים רק את ההרשאות openid, email ו-profile — אנו לא מבקשים גישה ל-Gmail, Drive, Calendar או כל שירות Google אחר.
• נתונים תפעוליים / משמרות: העדפות משמרות (זמין, מעדיף, מעדיף לא, לא יכול), שיבוצי משמרות, מספר משמרות רצוי וסטטוס הסכמה להתראות.
• העדפת שפה: נשמרת כעוגיית דפדפן ראשונית המכילה רק את קוד השפה (en / he / ar).

3. הבסיס המשפטי לעיבוד

• ביצוע חוזה: נתוני חשבון, סשן ונתוני משמרות תפעוליים מעובדים לשם מתן השירות שביקשת.
• הסכמה: טוקני Google OAuth מעובדים רק כאשר בוחרים במפורש להתחבר עם Google ומעניקים את ההרשאות המבוקשות.
• אינטרס לגיטימי: עוגיית העדפת השפה מוגדרת להצגת הממשק בשפה המועדפת עליך.

אנו לא מעבדים נתונים מקטגוריה מיוחדת (כגון נתוני בריאות או מידע רפואי). ניהול משמרות אינו מחייב מידע רפואי.

4. כיצד אנו משתמשים בנתונים שלך

• אימות וניהול הסשן שלך.
• הצגת שמך ותמונת הפרופיל שלך בתוך האפליקציה.
• חישוב והצגת לוחות משמרות ושיבוצים.
• שליחת הודעות דוא"ל עסקיות הקשורות למשמרות (לדוגמה: לוח הפורסם, העדפות פתוחות, בקשות להחלפת משמרת) דרך Resend.
• מתן אפשרות למנהלי ארגון לצפות ולנהל את נתוני לוח הזמנים של הצוות שלהם.
• הצגת הממשק בשפה המועדפת עליך.

אנו לא משתמשים בנתונים שלך לפרסום, פרופיילינג, או כל מטרה אחרת מעבר להפעלת השירות.

5. שירותי צד שלישי

• Resend — ספקית שירות הדוא"ל שלנו. כתובת הדוא"ל ושמך מועברים ל-Resend אך ורק לשם שליחת הודעות עסקיות בשמנו. מדיניות הפרטיות של Resend חלה על הטיפול שלהם בנתונים אלה.
• Google — אם אתה/את מתחבר/ת עם Google, האימות מנוהל על ידי פלטפורמת הזהות של Google. אנו מקבלים רק את הטוקנים ושדות הפרופיל המתוארים בסעיף 2. אנו לא מבקשים ולא מקבלים נתוני Google Calendar, Gmail או Drive.
• הטמעת Google Calendar — מנהלי ארגון עשויים להגדיר כתובת URL להטמעת Google Calendar עבור הארגון שלהם. פעולה זו מציגה <iframe> מאוחסן על ידי Google בתוך תצוגות לוח הזמנים. ShiftIt לא ניגשת, מאחסנת או מעבדת כל נתוני Google Calendar אישיים; נתונים העוברים דרך ה-iframe כפופים למדיניות הפרטיות של Google.
• Cloudflare — השירות פועל על Cloudflare Workers ו-Pages. Cloudflare עשויה לעבד מטאדאטה של בקשות (כתובת IP, סוכן משתמש, כותרות בקשה) כחלק מהפעלת התשתית שלה. ראה את מדיניות הפרטיות של Cloudflare לפרטים.

6. שמירת נתונים

• נתוני חשבון: נשמרים כל עוד חשבונך פעיל. לאחר בקשת מחיקה מאומתת, נתוני החשבון יימחקו תוך 30 יום.
• טוקני סשן: פגים אוטומטית (בדרך כלל תוך 30 יום מחוסר פעילות) או מיד עם ניתוק.
• נתוני משמרות / תפעוליים: נשמרים כל עוד הארגון ולוח הזמנים המשויך קיימים. מנהלי ארגון רשאים למחוק לוחות זמנים ואת הנתונים המשויכים אליהם בכל עת.
• לוגי תשתית: נשמרים על ידי Cloudflare בהתאם למדיניות הסטנדרטית שלהם; אין לנו שליטה על שמירת לוגי התשתית.

7. אבטחת מידע

תשתית וסביבת ריצה

• Cloudflare Workers ו-Pages: הפלטפורמה פועלת בסביבת ריצה ללא שרת (serverless) של Cloudflare, המספקת הגנת DDoS מובנית, TLS בגרסה 1.3 כברירת מחדל, ואיזון עומסים גלובלי.
• Cloudflare D1: מסד הנתונים (SQLite) מנוהל על ידי Cloudflare עם גיבויים אוטומטיים.
• HTTPS בלבד: כל התקשורת מוצפנת. אין תמיכה ב-HTTP.

אימות וניהול גישה

• ניהול סשנים: טוקני סשן נוצרים עם אנטרופיה גבוהה ומאוחסנים במסד הנתונים. טוקן הסשן בעוגייה חתום ומוצפן.
• גיבוב סיסמאות: סיסמאות מאוחסנות בצורה מוצפנת בלבד.
• Google OAuth: אפשרות להתחברות דרך Google — אנו לא רואים ולא מאחסנים את סיסמת Google שלך.
• מודל הרשאות מרובה שכבות: משתמש → חבר מחלקה → מנהל לוח זמנים → מנהל מחלקה → מנהל ארגון → מנהל מערכת. כל שכבה מוגבלת לנתוני הארגון שלה בלבד.

בידוד נתונים

• כל שאילתות מסד הנתונים מסוננות לפי מזהה ארגון. לא ניתן לגשת לנתוני ארגון אחד מתוך ארגון אחר.
• הפלטפורמה משתמשת ב-ORM (Drizzle) שמונע הזרקת SQL.

תקשורת דוא"ל

• שליחת דוא"ל מתבצעת דרך Resend, ספקית דוא"ל עם מוניטין גבוה התומכת ב-SPF, DKIM ו-DMARC.
• אנו שולחים רק הודעות עסקיות (לוחות שפורסמו, העדפות, אימות דוא"ל). אנחנו לא שולחים דוא"ל שיווקי ללא הסכמה מפורשת.

ספקי משנה

דיווח על פגיעויות אבטחה

גילית פגיעות אבטחה? אנא שלח/י פרטים ל- security@shiftit.me. נשיב תוך 48 שעות. אנא אל תחשוף פגיעויות בפומבי לפני שנסכים על תיקון.

8. עוגיות

מה הן עוגיות?

עוגיות הן קבצי טקסט קטנים שנשמרים בדפדפן שלך כאשר אתה/את מבקר/ת באתר. הן מאפשרות לאתר לזכור מידע מסוים בין בקשות.

העוגיות שאנו משתמשים בהן

אנו משתמשים בעוגיות חיוניות הנדרשות לתפעול השירות, וכן ב-Google Analytics למדידת השימוש באתר. איננו משתמשים בעוגיות פרסום או מעקב התנהגותי.

עוגיות של צד שלישי

אנו משתמשים ב-Google Analytics 4 למדידת השימוש באתר (צפיות בדפים, דפוסי ניווט). Google Analytics מגדיר את עוגיות _ga ו-_ga_* המתוארות לעיל. הנתונים מעובדים על ידי Google בהתאם למדיניות הפרטיות שלהם. איננו מפעילים תכונות פרסום או שיווק מחדש של Google.

בנוסף, אם מנהל ארגון הגדיר הטמעת Google Calendar בתוך הפלטפורמה, ייתכן שגוגל תגדיר עוגיות משלה דרך ה-iframe. עוגיות אלו כפופות למדיניות העוגיות של Google ואינן בשליטתנו.

ניהול עוגיות

ניתן למחוק או לחסום עוגיות דרך הגדרות הדפדפן. שים/י לב שחסימת עוגיות החיוניות (session_token) תמנע כניסה לשירות.

הוראות למחיקת עוגיות: Chrome · Firefox · Safari

9. הזכויות שלך

בהתאם לחוק החל (כולל ה-GDPR לתושבי האיחוד האירופי וחוק הגנת הפרטיות הישראלי), ייתכן שיש לך את הזכויות הבאות:

• גישה — לבקש עותק של הנתונים האישיים שאנו מחזיקים עליך.
• תיקון — לבקש תיקון של נתונים שגויים. אתה/את יכול/ה לעדכן שם והעדפת שפה ישירות בהגדרות החשבון.
• מחיקה — לבקש מחיקת חשבונך ונתוניך האישיים המשויכים.
• ניידות נתונים — לבקש את הנתונים האישיים שלך בפורמט קריא מכונה.
• התנגדות — להתנגד לעיבוד המבוסס על אינטרס לגיטימי.

לממש כל זכות, שלח/י דוא"ל אל contact@shiftit.me. נשיב תוך 30 יום. ייתכן שנצטרך לאמת את זהותך לפני פעולה על הבקשה.

10. שינויים במדיניות זו

אנו עשויים לעדכן מדיניות זו מעת לעת. כאשר נעשה זאת, נעדכן את תאריך "עודכן לאחרונה" בראש עמוד זה. לשינויים מהותיים נספק הודעה דרך הודעה באפליקציה או דוא"ל. המשך השימוש בשירות לאחר תאריך העדכון מהווה קבלה של המדיניות המעודכנת.

11. יצירת קשר

לשאלות הקשורות לפרטיות או אבטחה, או למימוש זכויותיך, שלח/י לנו דוא"ל אל contact@shiftit.me.