מדיניות פרטיות
כיסים בנויה כך שהנתונים הפיננסיים שלכם נשארים בטלפונים שלכם. המדיניות הזו מסבירה מה נשמר ואיפה, מה עובר דרך שירותים חיצוניים, ומה לא נאסף בכלל.
מי אנחנו
האפליקציה "כיסים - ניהול תקציב הבית" (Kisim) והאתר kisim.co.il מופעלים על ידי גיא ירדני ("אנחנו"). ליצירת קשר: [email protected].
העיקרון: איננו אוספים את הנתונים הפיננסיים שלכם
- אין לנו שרת שיכול לקרוא עסקאות, סכומים, בתי עסק, קטגוריות או תקציבים. במשק בית משותף הם עוברים בין הטלפונים דרך ממסר, מוצפנים במפתח שקיים רק בטלפונים שלכם, ונמחקים ממנו אחרי שהטלפונים קיבלו אותם (ראו "סנכרון בין בני משק הבית").
- אין חשבונות משתמשים. איננו שומרים מייל, סיסמה, שם או מספר טלפון לצורך שימוש באפליקציה.
- האפליקציה לא מתחברת לבנק או לחברת האשראי, ולא מבקשת פרטי התחברות אליהם.
- איננו שומרים מספרי כרטיס. האפליקציה שומרת לכל היותר את 4 הספרות האחרונות, כפי שהן מופיעות בהתראה או בקובץ פירוט שייבאתם, ובתשלום דרך הארנק גם את שם הכרטיס כפי שקבעתם אותו בארנק. הם נשמרים בטלפון שלכם, ובמשק בית משותף גם בטלפונים של בני הבית.
מה נשמר בטלפון שלכם
העסקאות (סכום, מטבע, בית עסק או שם המקבל בהעברה, קטגוריה, תאריך, 4 ספרות אחרונות ומקור הקליטה), הקטגוריות, התקציבים, ההוצאות הקבועות, תוכניות התשלומים וההגדרות נשמרים במסד נתונים מוצפן על המכשיר. מפתח ההצפנה מוגן במנגנון המאובטח של מערכת ההפעלה (Android Keystore באנדרואיד, Keychain באייפון) ולא יוצא מהמכשיר.
- נשמר גם רישום טכני של התראות שנקלטו: מאיזו אפליקציה, מתי, ומה הייתה תוצאת הפענוח. אחרי שהעסקה נוצרת, הסכום, בית העסק, הספרות ושם הכרטיס נמחקים מהרישום הזה.
- עם כל עסקה שנקלטה נשמר גם רישום של מה שנקלט: המקור, הסכום, המטבע, השעה, ובתשלום דרך הארנק גם שם הכרטיס. הרישום לא משתנה כשעורכים את העסקה. הוא משמש כדי שרכישה אחת שמגיעה משני מקורות, למשל מהארנק ומחברת האשראי, תיספר פעם אחת. הוא נמחק כשהעסקה נמחקת.
- לכל כרטיס בארנק נשמר לאיזו חברת אשראי הוא שייך: שם הכרטיס והחברה. כרטיס ששמו מזכיר חברה משויך אליה לבד. באייפון, על כרטיס אחר כיסים שואלת פעם אחת לאיזו חברה הוא שייך. אפשר לבחור או לשנות בהגדרות ← כרטיסים בארנק. השיוך נשמר עד שתמחקו אותו שם, גם אחרי שהעסקאות בכרטיס נמחקו. מחיקה מוחקת את השם ואת החברה מכל הטלפונים במשק הבית. כרטיס שיש בו עסקאות ושהשם שלו מזכיר חברה נשאר משויך אליה, ואפשר למחוק אותו כשאין בו עסקאות.
- ייבוא קובץ פירוט: אפשר לייבא קובץ פירוט עסקאות שהורדתם בעצמכם מחברת האשראי (כאל, מקס או ישראכרט). הקובץ נקרא ומעובד בטלפון בלבד. הוא לא נשמר באפליקציה ולא נשלח לשום מקום. מהקובץ נשמרות רק העסקאות שבחרתם לייבא: תאריך, בית עסק, סכום, 4 הספרות האחרונות של הכרטיס, ובעסקה בתשלומים גם מספר התשלומים, ובעסקה במטבע חוץ גם הסכום המקורי (כהערה). בהעברה בפירוט של מקס נשמרים שם הנמען והתיאור כהערה, במכשיר, ובמשק בית משותף גם בטלפונים של בני הבית. שאר מה שבקובץ, כמו תחום העסק, לא נשמר, ושם בעל הכרטיס ומספר תעודת הזהות שבקובץ לא נקראים בכלל. עם כל עסקה מיובאת נשמרת טביעה חד-כיוונית של השורה, מוגנת במפתח סודי, כדי שייבוא חוזר של אותו קובץ לא ירשום אותה פעמיים.
- ייצוא לקובץ CSV: אפשר לייצא עסקאות לקובץ שנפתח באקסל (הגדרות ← ייצוא עסקאות). הקובץ לא מוצפן. יש בו התאריך, בית העסק, הסכום, הקטגוריה, המקור, 4 הספרות וההערה של כל עסקה בטווח שבחרתם. כיסים לא שולחת אותו לשום מקום: הוא נפתח בחלון השיתוף של הטלפון, ואתם בוחרים לאן לשלוח או איפה לשמור אותו. מאותו רגע הוא אצלכם, וכל מי שיקבל אותו יוכל לקרוא את העסקאות. העותק הזמני שנוצר לשיתוף נמחק מהאפליקציה בייצוא הבא או בפתיחה הבאה שלה.
- כיסים שומרת בטלפון מונים טכניים לאבחון, למשל כמה התראות התקבלו מכל חברת אשראי, בלי שום תוכן מההתראות. המונים לא יוצאים מהטלפון.
- נשמר מזהה אקראי של המכשיר, שאינו קשור אליכם, לצורך מניעת כפילויות.
- מחיקת עסקה באפליקציה מוחקת את פרטיה. נשארים רק מזהה פנימי, תאריך המחיקה וטביעה חד-כיוונית מוגנת במפתח סודי, שלא מאפשרת לשחזר את הפרטים, כדי שהעסקה לא תחזור מטלפון אחר במשק הבית.
- מחיקת האפליקציה מוחקת את כל הנתונים מהמכשיר. באייפון, מערכת ההפעלה משאירה את מפתחות ההצפנה ב-Keychain גם אחרי מחיקת האפליקציה. הם לא פותחים שום נתון, כי המסד נמחק, וכיסים מוחקת אותם בהפעלה הראשונה אם היא מותקנת שוב. קובץ שייצאתם, או קובץ פירוט ששמרתם, נשאר במקום שבו שמרתם אותו, ונמחק רק כשאתם מוחקים אותו.
קריאת התראות
באנדרואיד, אחרי שתאשרו "גישה להתראות", מערכת ההפעלה מעבירה לכיסים את כל ההתראות שמגיעות לטלפון. כיסים בודקת רק מאיזו אפליקציה הגיעה כל התראה. התראה מאפליקציה שאינה נתמכת (כרגע נתמכות כאל, מקס, ביט, פייבוקס ו-Google Wallet) נזרקת מיד, בלי שהתוכן שלה נקרא. התראה מאפליקציה נתמכת מפוענחת בתוך הטלפון, במנוע JavaScript מבודד של רכיב המערכת Android System WebView, בלי חיבור לרשת. נשמרת רק התוצאה: סכום, מטבע, בית עסק, 4 ספרות אחרונות ושעה, ובהתראה של Google Wallet גם שם הכרטיס בארנק. בהעברה בביט או בפייבוקס, "בית העסק" הוא שם המקבל כפי שהוא בהתראה (למשל "פייבוקס · דנה כהן"), והוא נשמר בטלפון כמו כל פרט אחר של העסקה. כשאותה רכישה מגיעה גם מ-Google Wallet וגם מחברת האשראי, היא נרשמת פעם אחת. טקסט ההתראה עצמו לא נשמר ולא נשלח לשום מקום. אפשר לבטל את הגישה בכל רגע בהגדרות הטלפון.
באייפון, הקליטה פועלת דרך קיצור אחד באפליקציית קיצורים של Apple, שאתם מתקינים ומפעילים בעצמכם:
- התראה מכאל, ממקס, מביט או מפייבוקס: הקיצור מעביר לכיסים, בתוך הטלפון, את הכותרת, הטקסט, השעה ושם האפליקציה של ההתראה. הוא רץ רק על התראות מהאפליקציות שבחרתם בו, וכיסים מתעלמת מכל התראה אחרת שמגיעה אליה.
- תשלום ב-Apple Pay: הקיצור מעביר את הסכום, בית העסק ושם הכרטיס בארנק.
כיסים מפענחת את ההתראה בתוך הטלפון, בלי חיבור לרשת, ושומרת רק את התוצאה: סכום, מטבע, בית עסק, 4 ספרות אחרונות או שם הכרטיס, ושעה. טקסט ההתראה לא נשמר ולא נשלח לשום מקום. נשמרת רק טביעה חד-כיוונית שלו, בטלפון, כדי שאותה התראה לא תירשם פעמיים. אפשר להפסיק בכל רגע: מכבים את האוטומציה בקיצור, או מוחקים אותו.
סנכרון בין בני משק הבית
אם תצרפו כמה טלפונים למשק בית אחד, השינויים עוברים ביניהם דרך ממסר שמופעל על תשתית Cloudflare. לפני השליחה, כל שינוי מוצפן בטלפון במפתח שקיים רק בטלפונים של משק הבית. לכן:
- הממסר מקבל הודעות מוצפנות בלבד, ואין לנו ולא ל-Cloudflare אפשרות לקרוא את תוכנן.
- משק הבית מזוהה במזהה אקראי שאינו קשור לשם, למייל או לטלפון. הממסר שומר רק את המזהה הזה, מזהים אקראיים של הטלפונים במשק הבית, ומועדי קבלה של הודעות.
- הודעה נמחקת מהממסר אחרי שכל הטלפונים במשק הבית קיבלו אותה, ולכל המאוחר אחרי 30 יום. משק בית שלא היה בו שימוש 180 יום נמחק מהממסר.
- כדי למנוע הצפה, הממסר מגביל פתיחה של משקי בית לפי ערך מגובב של כתובת ה-IP, עם מלח שמתחלף כל יום. הכתובת עצמה לא נשמרת.
- לצורך העברת ההודעות, Cloudflare מעבדת נתוני תקשורת כמו כתובת IP, ומציגה לנו מונים מצטברים (כמו מספר בקשות). היומנים של הממסר כבויים, ואיננו שומרים כתובות IP.
מה רואים בני משק הבית: את העסקאות, הקטגוריות והתקציבים מכל הטלפונים, ואת הכינוי שבחרתם לטלפון. עם כל עסקה שנקלטה עובר גם הרישום של מה שנקלט, כולל שם הכרטיס בתשלום דרך הארנק. עובר גם השיוך של כל כרטיס בארנק לחברת האשראי שלו (שם הכרטיס והחברה). גם ההוצאות הקבועות, תוכניות התשלומים וההגדרות המשותפות למשק הבית, כמו היום שבו החודש מתחיל (הגדרות ← החודש מתחיל ב־), עוברות בין הטלפונים, מוצפנות כמו כל השאר. השיוך נשמר עד שתמחקו אותו בהגדרות ← כרטיסים בארנק, ומחיקה מוחקת אותו מכל הטלפונים במשק הבית. בהצטרפות, הנתונים שבטלפון המצטרף מתמזגים עם אלה של משק הבית.
יציאה והוצאה: טלפון שיצא או הוצא ממשק הבית לא מקבל עוד עדכונים. מה שכבר נמצא בו נשאר בו. אחרי הוצאה, שאר הטלפונים עוברים למפתח הצפנה חדש.
מצלמה
המצלמה פועלת רק במסך סריקת הקוד להצטרפות למשק בית. הסריקה נעשית בטלפון, בלי חיבור לרשת, והתמונה לא נשמרת ולא נשלחת.
נעילת האפליקציה
אפשר להפעיל נעילה בהגדרות ← נעילה בטביעת אצבע או פנים.
- כשהנעילה פועלת, כיסים נפתחת רק אחרי נעילת הטלפון. באנדרואיד: טביעת אצבע (או זיהוי פנים, בטלפונים שבהם אנדרואיד מגדיר אותו כמאובטח), או קוד הטלפון. באייפון: Face ID, Touch ID או קוד הטלפון.
- האימות נעשה על ידי מערכת ההפעלה. כיסים מקבלת רק תשובה אם האימות הצליח. היא לא רואה ולא שומרת טביעות אצבע, תמונות פנים או קודים.
- הסתרה: כשהנעילה פועלת, תוכן האפליקציה מוסתר במסך האפליקציות האחרונות. באנדרואיד גם אי אפשר לצלם בה מסך.
- ההגדרה נשמרת רק בטלפון.
שירותים חיצוניים שהטלפון פונה אליהם
- בנק ישראל: לקבלת השער היציג לרכישות במטבע חוץ. הטלפון פונה ישירות לשרת של בנק ישראל (edge.boi.org.il) ומבקש רק קוד מטבע וטווח של חודש, למשל "דולר, ספטמבר". הבקשה אינה כוללת סכום, בית עסק, תאריך רכישה או פרטים על הטלפון, ועוגיות שהשרת מחזיר נמחקות מיד. כמו בכל פנייה לאינטרנט, שרת הבנק רואה את כתובת ה-IP של החיבור. השערים נשמרים בטלפון.
- Apple ו-Google: הורדת האפליקציה, עדכונים, והאפליקציה קיצורים באייפון כפופים למדיניות הפרטיות שלהן.
- Cloudflare: הממסר לסנכרון, כמתואר למעלה.
גיבוי אוטומטי ומעבר לטלפון חדש
כיסים לא נכללת בגיבוי האוטומטי של Google, בגיבוי iCloud, או בהעברת נתונים בין מכשירים. לכן, כשעוברים לטלפון חדש, הנתונים לא עוברים לבד. הם עוברים מטלפון אחר במשק הבית, או מקובץ גיבוי ידני.
גיבוי ידני
אפשר ליצור קובץ גיבוי בהגדרות ← גיבוי.
- הצפנה: הקובץ מוצפן בטלפון, בסיסמה שאתם בוחרים, לפני שהוא נשמר. בלי הסיסמה אי אפשר לפתוח אותו.
- איפה הוא נשמר: במקום שאתם בוחרים בבורר הקבצים של הטלפון, למשל בטלפון עצמו, ב-Google Drive או ב-iCloud Drive. אם בחרתם שירות אחסון, הקובץ המוצפן נשמר אצלו לפי התנאים שלו. כיסים לא שולחת את הקובץ לשום מקום בעצמה, ואיננו מקבלים עותק ממנו.
- הסיסמה: לא נשמרת בשום מקום. אין לנו אפשרות לשחזר את הקובץ או את הסיסמה.
- מה יש בקובץ: העסקאות, הקטגוריות, התקציבים, ההוצאות הקבועות, תוכניות התשלומים, ההגדרות המשותפות למשק הבית, כללי בתי העסק, הרישום של מה שנקלט עם כל עסקה (כולל שם הכרטיס בתשלום דרך הארנק), שיוך כרטיסי הארנק לחברות, ומפתח טכני שמונע רישום כפול של אותה רכישה. מפתח ההצפנה של משק הבית לא נמצא בקובץ, ולכן הקובץ לא נותן גישה לסנכרון.
- שחזור: אפשרי רק בטלפון חדש, שאין בו עסקאות ושאינו במשק בית.
האתר kisim.co.il
האתר לא משתמש בעוגיות, באנליטיקה או בכלי מעקב, ולא שומר דבר בדפדפן שלכם. כל הקבצים שלו, כולל הגופן והתמונות, מוגשים מהשרת שלנו, בלי פנייה לשרתים של צד שלישי.
האתר עובר דרך Cloudflare, שמגינה עליו ומעבירה אליו את הבקשות, ולשם כך מעבדת נתוני תקשורת כמו כתובת IP. השרת שלנו לא שומר יומני גישה.
כדי להסתיר מסורקי ספאם את כתובות המייל שבאתר, Cloudflare מוסיפה לדפים סקריפט קטן משלה, שנטען מהכתובת של האתר. הוא לא משתמש בעוגיות ולא עוקב אחריכם.
פניות במייל
אם תכתבו לנו, נשמור את ההודעה ואת כתובת המייל שלכם כדי לענות לכם, ונמחק אותן לבקשתכם. אם ביקשתם עדכון על ההשקה, נשתמש בכתובת רק לשם כך.
אבטחה
אנו משתמשים בספריות הצפנה מקובלות. באפליקציה אין כלי אנליטיקה או דיווח קריסות, והיא לא כותבת תוכן עסקאות או התראות ליומני המערכת. עם זאת, אבטחת הטלפון עצמו (קוד נעילה, עדכוני מערכת) באחריותכם. אפשר גם לנעול את האפליקציה בנעילת הטלפון (ראו "נעילת האפליקציה"): באנדרואיד טביעת אצבע (או זיהוי פנים, בטלפונים שבהם אנדרואיד מגדיר אותו כמאובטח) או קוד הטלפון, ובאייפון Face ID, Touch ID או קוד הטלפון.
הזכויות שלכם
מאחר שהנתונים נמצאים אצלכם, אתם יכולים לעיין בהם, לתקן ולמחוק אותם ישירות באפליקציה. לגבי פניות במייל, אפשר לבקש עיון, תיקון או מחיקה בכתובת [email protected].
גיל
השירות מיועד לבני 18 ומעלה.
שינויים במדיניות
נעדכן את המדיניות בדף זה ונשנה את תאריך התוקף. שינוי מהותי יוצג גם באפליקציה.