מדיניות הפרטיות של Hugo

עודכן ב-2.10.2026 · נוסח זה טרם אושר סופית בבדיקה משפטית

1. על המדיניות

Hugo היא מערכת לניהול חוגים, בכתובת hugo.povpo.co.il, שמפעילה [שם החברה / ח.פ] ("אנחנו"). המדיניות מסבירה איזה מידע נשמר במערכת, למה, אצל מי ולכמה זמן, ואיך מממשים את הזכויות לפי חוק הגנת הפרטיות, התשמ״א-1981.

ל-Hugo שני תפקידים:

• לגבי מדריכים שפותחים חשבון, אנחנו אחראים למידע על החשבון שלהם.
• לגבי הורים, ילדים, משתתפים ושותפים שהמדריך מנהל ב-Hugo, המדריך הוא בעל השליטה במאגר, ואנחנו מחזיק שמעבד את המידע בשמו ולפי הוראותיו. לשאלות ולבקשות על המידע הזה כדאי לפנות קודם כול למדריך.

אין חובה חוקית למסור לנו מידע. בלי חלק מהפרטים אי אפשר לתת את השירות: למשל, בלי טלפון אי אפשר להשאיר פרטים בטופס ההרשמה, ובלי מייל אי אפשר לפתוח חשבון מדריך.

2. איזה מידע נשמר

על מדריכים:

• שם מלא, כתובת מייל, וסיסמה, שנשמרת רק כגיבוב (hash) חד-כיווני ולא כטקסט.
• בכניסה עם Google: השם, המייל ומזהה החשבון ש-Google מעבירה.
• פרטי העסק: שם, כתובת הדף, צבע המותג, שם השולח ומייל לתשובות, קישור תשלום ושם שולח ל-SMS.
• סוג המנוי, תקופות החיוב ומה שולם.
• לכל חיבור: מועד, כתובת IP ופרטי הדפדפן. ויומן פעולות (ראו סעיף 8).

על הורים ומשתתפים, כפי שנמסר בטופס ההרשמה, בפורטל או על ידי המדריך:

• איש הקשר: שם מלא, טלפון, מייל, כתובת ותאריך לידה, ערוץ מועדף להודעות, הסכמה לדיוור ומועדה, אישור התקנון ומועדו, ו"איך הגעת אלינו".
• המשתתפים (בדרך כלל ילדים): שם, תאריך לידה וקרבה, הערות, הערות רפואיות, ואנשי קשר לחירום ומורשים לאסוף (שם, טלפון וקרבה).
• רישומים, נוכחות, השלמות, היעדרויות שדווחו ורשימת המתנה.
• כרטסת: חיובים, תשלומים, הנחות וזיכויים, עם הסכום ואמצעי התשלום כפי שהמדריך רשם. Hugo לא שומרת פרטי כרטיס אשראי.
• טפסים: טופס שנחתם בפורטל נשמר כקובץ PDF עם החתימה, השם, התאריך והשעה, כתובת ה-IP וגרסת הטופס. נשמרים גם צילום או סריקה של טופס חתום, ואסמכתת תשלום, כשמעלים אותם.
• הודעות שנשלחו: התוכן, הערוץ, הנמען והאם נמסרו.
• מקור הפנייה: פרמטרי UTM, קוד שותף, הדף שבו נפתח הטופס, הדף שהפנה אליו והמועד.
• צ׳ק-אין: הקישור בין המכשיר של ההורה לאיש הקשר, ומועד כל צ׳ק-אין.
• כניסות לפורטל ההורים.
• כתובת IP: נשמרת ביומן הפעולות כששולחים את טופס ההרשמה, כשנכנסים לפורטל וכשמקשרים מכשיר לצ׳ק-אין. בכניסה לפורטל נשמרים גם פרטי הדפדפן. במחיקת משפחה הם מתאפסים.

על שותפים (מי שמפנה משפחות למדריך): שם, טלפון, מייל ואמצעי תשלום העמלה, כפי שהמדריך הזין. כניסה דרך קישור של שותף נשמרת עם הדף שנפתח וגיבוב של כתובת ה-IP, ולא הכתובת עצמה.

על כל מבקר: יומן השרת שומר כתובת IP, מועד, הדף שנפתח ופרטי הדפדפן. קישורים אישיים (איפוס סיסמה, פורטל, צ׳ק-אין וכדומה) נשמרים ביומן בלי הקוד שבהם.

3. למה המידע משמש

• כדי לתת את השירות: ניהול לידים, רישום, לוח מפגשים, נוכחות, כרטסת, טפסים ופורטל ההורים.
• לזיהוי ולכניסה: סיסמה, כניסה עם Google, קוד חד-פעמי וקישורים אישיים.
• להודעות שירות: אישורים, תזכורות לפני מפגש, ביטולים, חובות, טפסים וזיכויים, וקודי כניסה.
• להודעות שיווקיות של המדריך, רק למי שהסכים, ועם קישור הסרה בכל הודעה.
• לחיוב המנוי של המדריך ב-Hugo.
• לאבטחה: מניעת שימוש לרעה והגבלת ניסיונות, ויומן פעולות לבירור מי שינה מה.
• לתמיכה, ולעמידה בדרישות הדין.

אנחנו לא מוכרים מידע, לא משתמשים בו לפרסום ולא בונים ממנו פרופילים. אין במערכת כלי מדידה או פרסום של צד שלישי.

4. ילדים ומידע רפואי

• רוב המשתתפים בחוגים הם ילדים. את המידע עליהם מוסר ההורה או האפוטרופוס, בטופס, בפורטל או למדריך. המערכת לא פונה לילדים ולא אוספת מהם מידע ישירות.
• בצ׳ק-אין, לפני שהמכשיר מזוהה, מוצגים רק שם העסק, המיקום ושמות הקבוצות של המפגש. אחרי הזיהוי מוצגת רק האות הראשונה של שם הילד, ליד שם הקבוצה.
• הערות רפואיות נשמרות מוצפנות, מוצגות רק למדריך, ולא נכנסות ליומן הפעולות. כדאי למסור רק מה שהמדריך צריך לדעת כדי לשמור על בטיחות הילד.
• שותף שהפנה משפחה רואה רק מספרים וסכומים, בלי שמות ובלי פרטי קשר.

5. עם מי המידע משותף

המידע נמסר רק לגורמים האלה, ורק במידה הנדרשת:

• המדריך: כל המידע על המשפחות שלו. מדריך אחד לא רואה מידע של מדריך אחר.
• DigitalOcean: אחסון השרת, מסד הנתונים והקבצים ([מיקום השרת]).
• Brevo: שליחת מיילים (כתובת הנמען ותוכן ההודעה).
• 019 (019sms): שליחת SMS (מספר הטלפון ותוכן ההודעה).
• Google: רק למי שבוחר להיכנס עם Google.
• ספקי תשלום: Hugo לא מעבירה אליהם מידע. קישור תשלום מוביל לאתר של הספק, והמדיניות שלו חלה שם.
• רשויות: כשהדין או צו שיפוטי מחייבים.

חלק מהספקים מעבדים מידע מחוץ לישראל. העברה כזו נעשית לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה).

6. לכמה זמן המידע נשמר

• מידע על משפחות נשמר כל עוד הסביבה של המדריך פעילה, או עד שהמדריך מוחק אותו.
• מחיקת משפחה:השמות מוחלפים ב"נמחק" ומספר קצר. טלפון, מייל, כתובת, תאריכי לידה, הערות, מידע רפואי, אנשי קשר לחירום ומורשים לאסוף נמחקים. הקבצים (טפסים חתומים ואסמכתאות) נמחקים מהשרת, וביומן הפעולות הפרטים המזהים מוחלפים. נשארים רק סכומים ותאריכים בכרטסת, בלי פרטים מזהים, כרישום כספי של המדריך.
• מחוץ לרשומות של המשפחה, השם המלא, הטלפון, המייל והכתובת שלה מוחלפים רק כשהם מופיעים במדויק, ורק בחלק מהטקסטים: ציר הזמן של משפחות אחרות, התראות למדריך, תיאורים בכרטסת, סיבות עזיבה, שמות הנחות, דוחות ייבוא ויומן הפעולות. טקסט חופשי אחר בסביבה (למשל הערה על משפחה אחרת, סיבת ביטול של מפגש או שם של קובץ ייבוא) לא מנוקה אוטומטית, וגם לא אזכור חלקי כמו שם פרטי בלבד. את אלה המדריך יכול לערוך בעצמו.
• גיבויים: עותק גיבוי של המערכת נשמר כל לילה ונמחק אחרי כ-31 יום, ולכן מידע שנמחק נעלם גם מהגיבויים בתוך כ-31 יום. [אם יתווסף גיבוי מחוץ לשרת: היכן הוא נשמר ולכמה זמן].
• קובצי אקסל שהועלו לייבוא נמחקים אחרי 7 ימים.
• יומני השרת נשמרים כשבועיים.
• קודים וקישורים חד-פעמיים פגים: קוד כניסה לפורטל אחרי 10 דקות, קישור כניסה לפורטל אחרי 7 ימים, איפוס סיסמה אחרי שעה ואימות מייל אחרי 24 שעות.
• חשבון מדריך שהסתיים: לפי סעיף 10 בתקנון.

7. הזכויות שלכם

• עיון: לקבל את המידע שנשמר עליכם.
• תיקון: לבקש לתקן מידע לא נכון, לא שלם או לא מעודכן. בפורטל אפשר לעדכן חלק מהפרטים לבד.
• מחיקה: לבקש למחוק את המידע, בכפוף למה שהדין מחייב לשמור.
• הסרה מדיוור: בקישור ההסרה שבכל הודעה שיווקית, או בהעדפות בפורטל ההורים. הודעות שירות ממשיכות להגיע.

הורים ומשתתפים פונים קודם כול למדריך: המערכת מאפשרת לו לייצא את כל המידע על המשפחה לקובץ אקסל, לתקן אותו ולמחוק אותו. אפשר לפנות גם אלינו (סעיף 11), ונעביר את הבקשה למדריך ונסייע. נשיב לבקשה בתוך 30 יום.

8. אבטחת מידע

• כל התקשורת מוצפנת (HTTPS).
• הערות רפואיות, טפסים חתומים, אסמכתאות וסודות של ספקים נשמרים מוצפנים (AES-256-GCM). קבצים כאלה נמסרים רק למדריך או להורה שהם שייכים למשפחה שלו.
• כל סביבה מבודדת בקוד מסביבות של מדריכים אחרים.
• הגבלת ניסיונות בכניסה, בקודים ובצ׳ק-אין, ונעילת חשבון אחרי ניסיונות כושלים.
• עוגיות החיבור מאובטחות (Secure, HttpOnly, ושם עם הקידומת __Host-).
• יומן פעולות על שינויים בכרטסת, בנוכחות, בפרטי משפחות, ברישומים, בטפסים ובפעולות ניהול.
• גיבוי לילי.

אין מערכת שמוגנת לחלוטין. על אירוע אבטחה חמור נודיע למדריכים שנפגעו, ולרשות להגנת הפרטיות כשהדין מחייב.

9. עוגיות ואחסון בדפדפן

Hugo משתמשת רק בעוגיות שהשירות צריך כדי לעבוד. אין עוגיות פרסום או מדידה, והגופנים נטענים מהשרת שלנו.

• __Host-hugo_session: החיבור של המדריך. 30 יום.
• __Host-hugo_portal_…: החיבור של הורה לפורטל של מדריך מסוים. 90 יום.
• hugo_ci: מזהה המכשיר לצ׳ק-אין, רק בנתיב הצ׳ק-אין. שנה.
• hugo_ref: מקור ההגעה הראשון לדף של מדריך (UTM או קוד שותף), כדי לשייך את הפנייה למקור. 90 יום.
• __Host-hugo_google_state, __Host-hugo_google_next: בזמן כניסה עם Google. 10 דקות.
• hugo_theme: בחירה בין תצוגה בהירה לכהה. שנה.

טופס שמוטמע באתר של מדריך שומר את מקור ההגעה הראשון באחסון המקומי של הדפדפן באותו אתר, ל-90 יום, מאותה סיבה.

בנוסף, בדפדפן של המדריך בלבד:

• מסך "מפגש היום" בלי חיבור: עותק של המסך, כולל שמות הילדים, חובות וסימון שיש מידע רפואי, נשמר במטמון של הדפדפן, וסימוני נוכחות שעוד לא נשלחו נשמרים בתור (IndexedDB) עד שהחיבור חוזר. שניהם נמחקים ביציאה מהחשבון.
• מיקום וגודל של חלונות במסך, באחסון המקומי (localStorage).

10. שינויים במדיניות

נעדכן את המדיניות כשהמערכת או הדין משתנים. על שינוי מהותי נודיע למדריכים במייל, והתאריך בראש הדף יתעדכן.

11. יצירת קשר

לשאלות ולבקשות בנושא פרטיות: [שם החברה / ח.פ], [כתובת למשלוח דואר], מייל: [כתובת מייל לפניות בנושא פרטיות]. [הממונה על הגנת הפרטיות, אם מונה: שם ודרכי קשר].