מדיניות הפרטיות של עמנואל

מפעילת שירות עמנואל היא רחל בונן, עוסק פטור. הממונה על הפרטיות בעמנואל היא מפעילת השירות, והפנייה אליה נעשית בכתובת privacy@myemanuel.co.il.

המסמך מיועד לשני סוגי אנשים: בעלי עסקים בתחומי היופי שמנהלים את העסק בעמנואל, ולקוחות של עסקים אלה שמידע עליהם נשמר במערכת. כלפי הלקוחות, בעלי העסק הם בעלי השליטה במידע ועמנואל מעבדת אותו בשמם. בעלי העסק אחראים להודיע ללקוחותיהם שמידע עליהם נשמר במערכת, שעוזרת דיגיטלית מבוססת בינה מלאכותית עשויה לענות להם בשם העסק, ושההודעות עוברות דרך WhatsApp.

עמנואל מסייעת לבעלי עסקים בתחומי היופי והקוסמטיקה לנהל לקוחות, תורים ופעילות עסקית. המידע הנשמר תלוי בשימוש ובייכולות שהופעלו עבור העסק.

בעלי העסק יכולים לשמור בתיק המקצועי של כל לקוח תמונות לפני ואחרי טיפול, מסמכים, וטופסי הסכמה שהלקוח חותם עליהם בקישור (השם שהוקלד והחתימה). התמונות והמסמכים מוצפנים לפני שהם נשמרים במאגר הקבצים, בלי נתוני מיקום ומכשיר; הטופס החתום והחתימה מוצפנים במסד הנתונים. רואים אותם רק בעלי העסק, ההנהלה והצוות המטפל בעסק, וכל פתיחה נרשמת ביומן; הם לא נמסרים לגורם אחר ולא נשלחים לבינה מלאכותית. תמונה משמשת להשוואה מול לקוחות אחרים או לפרסום רק אם הלקוח הסכים לכך בטופס, וכל הסכמה אפשר לבטל: ביטול השמירה בתיק מוחק את התמונות שאינן חלק מרשומת טיפול חתומה. כשלקוח נמחק מהמערכת, תמונות שאינן חלק מרשומה חתומה נמחקות, תמונות של רשומה חתומה נשמרות איתה 7 שנים מהחתימה האחרונה, וטופס חתום 7 שנים מהחתימה עליו. אישור סקיצה חתום (לקעקוע או לאיפור קבוע) והגרסה שאושרה בו נשמרים כמו טופס הסכמה חתום: 7 שנים מהחתימה, עם השם שהוקלד; הקישורים לאישור נמחקים מיד. בסגירת חשבון הכול נמחק עם מידע העסק.

כשנקבע תור לטיפול מסוג שנוגע לפרטים בהצהרת הבריאות (למשל לייזר, פילינג, שעווה, עיסוי או איפור קבוע), המערכת קוראת את התשובות של הלקוח בהצהרה, בזיכרון השרת בלבד, ומשווה אותן לרשימה קבועה של כללים שנשענים על מקורות ציבוריים. אם פרט שסומן נוגע לטיפול, התור לא מאושר מעצמו: הוא נשמר כבקשה שממתינה, ובעלי העסק או ההנהלה מחליטים. בקשה שאיש לא החליט עליה משתחררת מעצמה (48 שעות אחרי הבקשה, ולא אחרי שעתיים לפני התור), ושעה קרובה מדי, שאין לפניה זמן להחליט, נדחית מעצמה באתר לכל מי שמבקש אותה. המערכת אינה מחליטה על טיפול, אינה נותנת עצה רפואית ואינה בונה פרופיל של הלקוח; ללקוח מוצג רק שהבקשה ממתינה לאישור, והסיבה מוצגת רק לבעלי העסק, להנהלה ולצוות המטפל שרשאי לקרוא הצהרות בריאות. התשובות נשארות מוצפנות, אינן נשלחות לבינה מלאכותית, ותקופת השמירה שלהן לא משתנה. ההצהרה נחתמת בשם מלא ובחתימה באצבע, והחתימה מוצפנת כמו ההצהרה.

הגישה למסכי העסק דורשת התחברות. לחשבון בעלי העסק, לצוות ולניהול השירות מסלולי הרשאה נפרדים. עוגיות התחברות משמשות לזיהוי החיבור לחשבון; עוגיות זמניות משמשות גם במהלך חיבור שירותים חיצוניים.

הסיסמה נשמרת כגיבוב ולא כסיסמה גלויה. אין לשמור סיסמאות או מפתחות גישה בשדות התיעוד של העסק.

החיבור נעשה ביוזמת בעלי העסק ובמסך ההרשאה הרשמי של הספק. פרטי הכניסה לחשבון Meta מוזנים אצל Meta. זמינות כל ערוץ תלויה בהגדרתו ובהרשאות שניתנו.

במסגרת חיבור נתמך עשויים להישמר שם ומזהה דף Facebook, שם משתמש ומזהה חשבון Instagram, או מזהי חשבון ומספר WhatsApp Business. נשמרים גם פרטי הרשאה הנדרשים לחיבור, כגון היקף ההרשאות, תוקף וטוקן גישה. טוקני הגישה במרכז החיבורים נשמרים מוצפנים.

מידע זה משמש לקישור החשבון לעסק הנכון, להצגת מצב החיבור ולבדיקת הרשאה. בחירת חיבור אינה מפעילה מעצמה פרסום או משלוח הודעות. כאשר קליטת WhatsApp מופעלת, נשמרים גם הודעות, פרטי שולח, מזהי הודעות, זמני אירועים ומצבי מסירה.

הודעות WhatsApp ללקוחות נשלחות רק בתבניות שאושרו על ידי Meta, ורק ללקוחות שנתנו לעסק את מספרן והסכמתן.

עסק שלא חיבר מספר משלו שולח מהמספר המשותף של עמנואל, דרך 360dialog ו־Meta, ותשובות הלקוחות מנותבות לעסק האחרון ששלח להם הודעה. כדי להפעיל את העוזרת האישית, בעלי העסק שולחים הודעה עם קוד חד־פעמי מהטלפון שלהם למספר המשותף. נשמרים מזהה חשבון הוואטסאפ ומספר הטלפון שלהם לצורך זיהוי בלבד, ורק אחרי שאישרו באפליקציה שזה המספר שלהם. אפשר לנתק בכל רגע, ואז המזהים המלאים נמחקים.

הסכמה של לקוח לקבל הודעות ב־WhatsApp נרשמת רק מפעולה של הלקוח עצמו, ולעולם לא מסימון או מהצהרה של בעלי העסק. הפעולות שנחשבות הסכמה: לחיצה על "כן, שלחו לי" בבקשה שנשלחת בשם העסק; הודעה שהלקוח כתב לעסק; סימון שלו בדף ההזמנה (שני סימונים נפרדים שאינם מסומנים מראש: הודעות שירות, ובנפרד עדכונים והצעות); סימון שלו בטופס הצהרת הבריאות; ושליחת המילה "הצטרפות" (START) להודעות שיווק.

לכל הסכמה נרשמים המועד והמקור, ביומן שרק מוסיפים אליו. בעלי העסק רואים את ההסכמה בכרטיס הלקוח ואינם יכולים לכתוב אותה. הודעה שיווקית נשלחת רק ללקוח שהסכים במפורש לשיווק, ובכל שליחה ההסכמה נבדקת מחדש.

הסרה: "STOP" או "הסירו" מסירות את הלקוח מיד מהדיוור השיווקי של העסק. ההסרה גוברת על כל הסכמה קודמת, ורק הודעה חדשה של הלקוח עצמו יכולה להחזיר הסכמה לשיווק. מי שלחץ "לא תודה" לא נשאל שוב. החלפת מספר הטלפון בכרטיס הלקוח מאפסת את ההסכמות, והשאלה נשאלת מחדש על המספר החדש.

הסכמות שבעלי עסק סימנו בעצמם בגרסאות קודמות של המערכת נשמרות כהיסטוריה ומסומנות כך.

בתוכנית "חברה מביאה חברה" נשמר הקשר בין מי שהמליץ לבין לקוח חדש שהגיע בקישור שלו. מי שהמליץ מקבל רק עדכון על זיכוי, בלי פרטים על הלקוח החדש.

כאשר בעלי העסק מבקשים "הצעת תשובה של עמנואל" בשיחה, ההודעות האחרונות בשיחה הזו והמחירון של העסק נשלחים ל־OpenAI לניסוח הצעה — אחרי הסרת מספרי טלפון, כתובות מייל וקישורים. כאשר מועלה צילום של מחירון, התמונה נשלחת לקריאת הטיפולים והמחירים ואינה נשמרת אצלנו. רשומות בריאות והצהרות אינן נשלחות לעולם.

עוזרת הקבלה: כשבעלי העסק מפעילים אותה, העוזרת עונה אוטומטית ללקוחות העסק בוואטסאפ בשם העסק, ופותחת שיחה בהצגה "העוזרת של" שם העסק. כדי לענות נשלחים ל־OpenAI הודעות הלקוח (אחרי הסרת מספרי טלפון, כתובות מייל וקישורים), הקלטות קוליות שהוא שולח, השם הפרטי שלו, והשירותים, השעות הפנויות והתורים שלו בעסק. הקלטה נשלחת לתמלול ואינה נשמרת אצלנו, והתמלול נשמר בשיחה כמו כל הודעה. העסק נשאר בעל השליטה במידע ועמנואל מעבדת אותו בשמו. העוזרת אינה נותנת ייעוץ רפואי. היא מציגה את עצמה כעוזרת הדיגיטלית של העסק ("העוזרת של" שם העסק), ובהנחיותיה מוגדר שהיא אומרת שהיא בינה מלאכותית כשנשאלת על כך. לקוח שמבקש לדבר עם בעלי העסק מועבר אליהם. הודעה שמזוהה כמכילה פרטים רפואיים, תלונה או בקשת הנחה מועברת לבעלי העסק בלי להישלח ל־OpenAI; הזיהוי מבוסס על מילים ואינו מושלם, ולכן לא כדאי לכתוב לעוזרת מידע רפואי.

מענה טלפוני: כשהעסק מחבר מספר טלפון ובעלי העסק מפעילים את עוזרת הקבלה, שיחה שאיש בעסק לא ענה עליה עשויה להיענות אוטומטית. בתחילת השיחה נאמר למתקשר שהשיחה נענית אוטומטית ומתומללת. כל תור דיבור של המתקשר מוקלט אצל ספק הטלפוניה, נשלח לתמלול ל־OpenAI ונמחק אצל הספק מיד אחרי התמלול; התמלול נשמר בשיחה כמו כל הודעה. ביומן השיחות נשמרים מספר המתקשר, מועד השיחה ואורכה ומה קרה בה. מתקשר שלא נענה יכול להקיש 1 כדי לקבל מהעסק הודעת וואטסאפ אחת עם קישור לקביעת תור, וההקשה נרשמת כהסכמה שלו, עם השיחה כהוכחה.

אם בעלי העסק מחברים את הוואטסאפ שלהם לעוזרת האישית של עמנואל, ההודעות הכתובות וההקלטות הקוליות שהם שולחים לעוזרת נשלחות ל־OpenAI לצורך מענה: ההקלטה לשירות התמלול (ואינה נשמרת אצלנו), והטקסט למודל השפה, יחד עם מה שהעוזרת קוראת מהעסק כדי לענות: שמות לקוחות, מועדי תורים, שמות טיפולים וסכומים. מספרי טלפון, כתובות דוא"ל, הערות על לקוחות, הצהרות בריאות ורשומות טיפול אינם נשלחים לעולם. הודעה כתובה שמכילה פרטים רפואיים אינה נשלחת ל־OpenAI ואינה נשמרת בטקסט; הקלטה נשלחת לתמלול לפני שאפשר לבדוק את תוכנה, אבל תמלול שמכיל פרטים רפואיים אינו נשלח למודל ואינו נשמר. שיחה עם העוזרת נשמרת 30 יום ואז נמחקת; יומן הפעולות של העוזרת (בלי תוכן) נשמר שנה. אפשר לנתק את החיבור בכל רגע, ואז מזהי החשבון נמחקים.

תרגום הודעות: כשלקוח כותב לעסק בשפה אחרת, ובעלי העסק בחרו לעבוד בשפה הזו (ערבית, רוסית או אנגלית), ההודעה עשויה להישלח ל־OpenAI לתרגום לעברית, כדי שבעלי העסק יוכלו לקרוא אותה. גם התשובות של העסק, ההודעות שהוא שולח והוראות הטיפול שלו עשויות להיות מתורגמות כך לשפה של הלקוח. לפני התרגום מוסרים מההודעה מספרים, מועדים, מחירים, מספרי טלפון, כתובות מייל וקישורים, והם חוזרים למקומם בדיוק כפי שהיו. הודעה שנראית כנוגעת בבריאות (הריון, מחלה, תרופות, אלרגיה, ניתוח, מצב העור או מצב נפשי), כל הודעה בשיחה שכבר הועברה לבעלי העסק כרגישה, והודעה בשפה שבעלי העסק לא בחרו, אינן נשלחות לתרגום: בעלי העסק קוראים אותן בשפה שבה נכתבו. הזיהוי מבוסס על מילים ואינו מושלם. תרגום של מודל עלול לטעות, ולכן הוא מסומן כתרגום וההודעה המקורית נשמרת לצדו.

בינה מלאכותית עלולה לטעות, והצעות, טיוטות ותשובות שלה אינן ייעוץ. לפי תנאי ה־API של OpenAI, מידע שנשלח אליה אינו משמש לאימון מודלים כברירת מחדל, ויומני ניטור לשימוש לרעה נשמרים אצלה עד 30 יום, אלא אם נדרשת שמירה ארוכה יותר על פי דין. העיבוד אצל הספק כפוף לתנאיו.

ניתן לערוך או לרוקן את הזיכרון העסקי ולהשהות את העוזרת. תובנה או הצעת פעולה אינן אישור לכך שהודעה נמסרה או שתשלום התקבל, וכל הודעה ללקוחות יוצאת רק באישור בעלי העסק או בכלל אוטומטי שהם אישרו במפורש, כמתואר בסעיף הבא.

ברירת המחדל: עמנואל מציעה ובעלי העסק מאשרים בלחיצה. פעולה יוצאת בלי אישור חדש רק בתוך כלל שבעלי העסק אישרו בעצמם, שגלוי להם, ושאפשר לעצור בלחיצה אחת:

פרט למילוי חלון שהתפנה, כמתואר למעלה, כל הודעה שיווקית (בקשת ביקורת, "מתגעגעים", ברכות, הצעות חג, הפניית חברים, הנחות) יוצאת רק אחרי לחיצה של בעלי העסק. כללי ההסכמה וההסרה חלים גם על הודעה שיוצאת אוטומטית, וקודמים לה.

גם בכלל אוטומטי לעולם לא יתבצעו: חיוב, רישום תשלום או החזר; פעולה שנוגעת במידע רפואי; וביטול תור (חוץ מביטול שלקוח ביקש בעצמו מעוזרת הקבלה, בתוך מדיניות העסק). מחיקה ושינוי מחירון, צוות או הגדרות נעשים באפליקציה בלבד.

עמנואל אינה מוכרת מידע ואינה מעבירה אותו לצדדים שלישיים לצורכי פרסום. הספקים הבאים מעבדים מידע בשם עמנואל, כל אחד לתכלית שלו בלבד ובכפוף לתנאי העיבוד וההגנה על מידע שמחייבים אותו. ספק המסומן "רק כשמופעל" מקבל מידע רק אחרי שבעלי העסק הפעילו את היכולת בחשבון. החלפה של ספק, ובכלל זה ספק הבינה המלאכותית, תפורסם בעמוד הזה לפי סעיף "שינויים במדיניות".

Supabase: מסד הנתונים של השירות (PostgreSQL) ועותקי הגיבוי שלו. מידע: כל רשומות החשבון, הלקוחות, התורים, ההודעות והכספים; רשומות בריאות וטיפולים מוצפנות לפני השמירה. מיקום עיבוד: האיחוד האירופי (פרנקפורט, גרמניה).

Vercel: אירוח היישום, הגנה מפני התקפות ואחסון קבצים. מידע: כל תעבורת השירות; במאגר הקבצים: תמונות ומסמכים מהתיק המקצועי, מוצפנים לפני שהם נשמרים. מיקום עיבוד: השרת בפרנקפורט, גרמניה; רשת ההפצה עולמית.

360dialog: שליחה וקבלה של הודעות WhatsApp Business בשם העסק, רק כשמופעל. מידע: הודעות ללקוחות ומהן, מספרי טלפון, מזהי חשבונות עסקיים ותבניות הודעה. מיקום עיבוד: לפי תנאי 360dialog.

Meta Platforms: WhatsApp Cloud API, שדרכו 360dialog מוסרת את ההודעות, רק כשמופעל. מידע: הודעות ללקוחות ומהן, מספרי טלפון, מזהי חשבונות עסקיים ותבניות הודעה. מיקום עיבוד: לפי תנאי Meta.

Resend: דואר אלקטרוני מהשירות, רק כשמופעל. מידע: כתובת אימייל ותוכן ההודעה. מיקום עיבוד: ארצות הברית.

Cloudflare: ניהול הדומיין (DNS) וניתוב דואר נכנס לכתובות השירות. מידע: פניות שנשלחות לכתובות האימייל של עמנואל, בדרכן לתיבת מפעילת השירות. מיקום עיבוד: רשת עולמית.

OpenAI: הבינה המלאכותית של עמנואל: קריאת מחירון מצילום, ניסוח הצעת תשובה בפניות, מענה אוטומטי ללקוחות העסק בוואטסאפ (כולל תמלול הודעות קוליות), ומענה לבעלי העסק בוואטסאפ בכתיבה ובהקלטה, ותרגום הודעות של לקוחות שכותבים בשפה אחרת ושל התשובות של העסק לשפה שלהם, רק כשמופעל. מידע: תמונת המחירון שבעלי העסק העלו; ההודעות האחרונות בשיחה שנבחרה, אחרי הסרת מספרי טלפון, כתובות מייל וקישורים, והמחירון של העסק; במענה האוטומטי ללקוחות: ההודעות וההקלטות הקוליות של הלקוחות (הקלטה נשלחת לתמלול ואינה נשמרת אצלנו), השם הפרטי שלהם, והשירותים, השעות הפנויות והתורים שלהם בעסק; בעוזרת האישית: ההודעות וההקלטות של בעלי העסק, ושמות לקוחות, מועדי תורים, שמות טיפולים וסכומים שהעוזרת קוראת בשבילם; בתרגום: הודעה של לקוח או לקוחה בשפה אחרת, או תשובה והוראות טיפול של העסק, בלי מספרים, טלפונים, כתובות מייל וקישורים, ובלי הודעה שנוגעת בבריאות; לא טלפונים, כתובות מייל, הערות על לקוחות, הצהרות בריאות או רשומות טיפול. מיקום עיבוד: ארצות הברית; לפי תנאי ה־API של הספק, מידע שנשלח אליו אינו משמש לאימון מודלים כברירת מחדל, ויומני ניטור לשימוש לרעה נשמרים אצלו עד 30 יום, אלא אם נדרשת שמירה ארוכה יותר על פי דין.

רשות מוסמכת עשויה לחייב מסירת מידע על פי דין; במקרה כזה נמסר רק מה שנדרש ומתועדת הדרישה.

המידע נשמר כל עוד הוא נדרש למטרה שלשמה נאסף, ולאחר מכן נמחק או הופך לאנונימי. תקופות השמירה:

גיבויי מסד הנתונים אצל ספק מסד הנתונים, כשגיבוי אוטומטי מופעל בתוכנית האחסון, נשמרים עד 7 ימים ומוחלפים. מחיקה אינה מוחקת מיד מידע מעותק גיבוי שכבר נוצר: המידע נעלם ממנו כשהעותק מוחלף. לכן כל מחיקה נרשמת ביומן מחיקות, בלי המידע עצמו, ואם משוחזר גיבוי, כל המחיקות שבוצעו אחריו מופעלות עליו מחדש לפני שהמערכת חוזרת לשירות.

עמנואל משתמשת בעוגיות הכרחיות בלבד: עוגיית התחברות לחשבון, ועוגיות זמניות במהלך חיבור שירות חיצוני. אין עוגיות פרסום ואין מעקב בין אתרים. עמודי ההזמנה הציבוריים רושמים מקור הגעה (למשל קישור מוואטסאפ) לצורך מדידת התורים שנקבעו, בלי זיהוי אישי.

ניתוק במרכז החיבורים מוחק את ההרשאה השמורה לאותו חיבור ואת נתוני בחירת הנכסים הזמניים הקשורים אליו, ומבטל ניסיונות חיבור שטרם הושלמו. ב־WhatsApp מושבת גם השיוך המקומי לפעילות דרך החיבור.

תיעוד הניתוק, היסטוריית הודעות ורשומות עסקיות אינם נמחקים בפעולה זו; הם נמחקים לפי תקופות השמירה שלמעלה או לפי בקשה. הניתוק בעמנואל אינו מוחק את חשבון Meta ואינו מבטל את ההרשאה בהגדרות Meta.

על פי חוק הגנת הפרטיות, התשמ"א־1981, כל אדם רשאי לבקש לעיין במידע שנשמר עליו, לתקן מידע לא מדויק, למחוק מידע שאינו נדרש עוד, ולהסיר את הסכמתו לקבלת הודעות שיווקיות. תשובה "STOP" להודעת WhatsApp שיווקית מסירה את המספר מיד מהדיוור של אותו עסק.

מה לא נמחק לפי בקשה: רישומים כספיים שחובה לשמור על פי דין, ורשומות בריאות בתוך תקופת השמירה החוקית. במקרים אלה המידע מוגבל לשימוש לצורך העמידה בחובה בלבד.

כל פנייה בנוגע למידע עוברת את אותו תהליך:

עדכון מהותי במדיניות יוצג בעמוד הזה עם תאריך תחולה חדש, ובעלי העסקים יקבלו הודעה לכתובת האימייל של החשבון לפחות 14 יום לפני כניסתו לתוקף. הפעלה של יכולת שמעבדת מידע באופן שלא תואר כאן, בעסק שכבר משתמש בעמנואל, תהיה כפופה לאותה הודעה מראש.