מדיניות פרטיות

VestaTrack, המופעלת על ידי הדס חרדון, עוסק מורשה מס' 34821207, ישראל ("VestaTrack", "אנחנו" או "שלנו"), מספקת פלטפורמת ענן לניהול תזונה וקליניקה בכתובת vestatrack.com ("השירות"). מדיניות פרטיות זו מסבירה כיצד אנו אוספים, משתמשים, חושפים ומאבטחים מידע אישי בעת ביקור באתר או שימוש בשירות.

המדיניות נועדה לעמוד בדרישות: (א) חוק הגנת הפרטיות, התשמ"א-1981 ("החוק"), לרבות תיקון מס' 13 (בתוקף מ-14 באוגוסט 2025) ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017; (ב) תקנות הגנת המידע הכלליות של האיחוד האירופי (GDPR), ככל שחלות; וכן (ג) דרישות ספק הסליקה שלנו, Stripe.

לשאלות בנוגע למדיניות זו: support@vestatrack.com

בעל השליטה במידע האישי הנוגע לחשבונך ולשימושך בשירות הוא: הדס חרדון, עוסק מורשה מס' 34821207, ישראל. דוא"ל: support@vestatrack.com.

ביחס לנתוני מטופלים המוזנים על ידי מטפלים — המטפל הוא בעל השליטה ואנו פועלים כמחזיק/מעבד; ראו סעיף 4.

3.1 נתוני חשבון ופרופיל: שם, כתובת דוא"ל וסיסמה (נשמרת מוצפנת/מגובבת); פרטים מקצועיים אופציונליים (כגון מספר רישיון, שם קליניקה); תמונת פרופיל או לוגו קליניקה, אם הועלו.

3.2 נתוני מטופלים (המוזנים על ידי מטפלים): פרטי זיהוי והתקשרות של המטופל, תאריך לידה, מין; מדדים אנתרופומטריים (משקל, גובה, BMI, הרכב גוף); רשומות תזונה, תפריטים והערכות תזונתיות; הערות קליניות והיסטוריה רפואית. מדובר ב"מידע בעל רגישות מיוחדת" כמשמעותו בחוק ובסעיף 9 ל-GDPR.

3.3 נתוני תשלום וחיוב: שם לחיוב, מדינה ופרטי מנוי. מספרי כרטיסי אשראי נאספים ומעובדים ישירות על ידי .Stripe, Inc ואינם נשמרים בשרתינו לעולם. Stripe פועלת כבעלת שליטה עצמאית לעניין עיבוד התשלומים, בהתאם למדיניות הפרטיות שלה (https://stripe.com/privacy).

3.4 נתוני שימוש וטכניים: כתובת IP, סוג דפדפן ומכשיר, עמודים שנצפו, תכונות שבשימוש, משך התחברות, יומני שגיאות ועוגיות (ראו סעיף 9).

3.5 תקשורת: פניות לתמיכה, משוב ותשובות לסקרים.

לא חלה עליך חובה חוקית למסור מידע אישי; עם זאת, מסירת נתונים מסוימים נדרשת לפתיחת חשבון ולאספקת השירות (הודעה לפי סעיף 11 לחוק).

מטפלים המזינים נתוני מטופלים לשירות הם בעלי השליטה (בעלי המאגר) בנתונים אלה. אנו מעבדים נתוני מטופלים אך ורק על פי הוראותיו המתועדות של המטפל, כמחזיק/מעבד, לצורך אספקת השירות. האחריות לקיומו של בסיס חוקי ולהשגת הסכמות מטופלים נדרשות, ולעמידה בחוק, בתקנות אבטחת המידע וב-GDPR ככל שחל — מוטלת על המטפל.

איננו עושים שימוש בנתוני בריאות של מטופלים לפרסום, לפרופיילינג או לאימון מודלים של בינה מלאכותית. בעת שימוש בתכונות ניתוח מבוססות בינה מלאכותית, מועבר רק התוכן הנדרש לניתוח, ואיננו שולחים פרטים מזהים של מטופלים יחד עם התוכן המנותח.

• קיום חוזה — אספקת השירות, ניהול החשבון, המנוי והחיוב
• אינטרס לגיטימי — אבטחת השירות ושיפורו, מניעת הונאות ושימוש לרעה, מתן תמיכה
• חובה חוקית — עמידה בדין הישראלי (לרבות דיני מס וחשבונאות) ובדינים אחרים החלים
• הסכמה — מקום שנדרש, למשל לעוגיות שאינן חיוניות או לדיוור שיווקי; ניתן לחזור מההסכמה בכל עת

• יצירה וניהול של החשבון והמנוי
• אספקה, תפעול, תחזוקה ושיפור של השירות
• עיבוד תשלומים וניהול חיובים באמצעות Stripe
• משלוח הודעות שירות (חשבון, חיוב והתראות אבטחה)
• מענה לפניות תמיכה
• ניטור שימוש ואבחון תקלות
• איתור, מניעה וטיפול בהונאות ובאיומי אבטחה
• עמידה בחובות חוקיות ויישוב מחלוקות

איננו מוכרים מידע אישי, ואיננו עושים בו שימוש לפרסום של צדדים שלישיים.

אנו משתפים מידע אישי רק במידה הנדרשת עם ספקי שירות המעבדים אותו עבורנו מכוח הסכמי עיבוד נתונים:

• Supabase, Inc. — תשתית מסד נתונים, אחסון והזדהות
• Stripe, Inc. — עיבוד תשלומים (בעלת שליטה עצמאית, תקן PCI-DSS)
• OpenAI — תכונות ניתוח מבוססות בינה מלאכותית (תוכן השאילתה בלבד; ללא פרטים מזהים של מטופלים)
• ספק אחסון/תשתית (כגון Vercel) — אירוח האפליקציה והפצתה

בנוסף, נוכל לחשוף מידע אישי: (א) אם הדבר נדרש על פי דין, צו שיפוטי או רשות מוסמכת; (ב) להגנה על זכויות, רכוש או בטיחות של VestaTrack, משתמשינו או הציבור; (ג) במסגרת מיזוג, רכישה או מכירת נכסים — ובמקרה כזה תימסר הודעה מראש.

מידע אישי עשוי להיות מועבר ולהישמר במדינות מחוץ לישראל ולאזור הכלכלי האירופי, לרבות ארצות הברית, שבהן פועלים ספקי השירות שלנו. אנו מסתמכים על אמצעי הגנה מתאימים, ובהם סעיפים חוזיים סטנדרטיים (SCCs), החלטות נאותות ככל שחלות, תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, והסכמי עיבוד מחייבים.

אנו משתמשים בעוגיות חיוניות הנדרשות לתפקוד השירות (הזדהות ואסימוני אבטחה). איננו משתמשים בעוגיות פרסום של צדדים שלישיים. ניתן לשלוט בעוגיות דרך הגדרות הדפדפן; חסימת עוגיות חיוניות עשויה למנוע שימוש בשירות.

• נתוני חשבון ושימוש — כל עוד החשבון פעיל, ועד 3 שנים לאחר מחיקתו, אלא אם נדרשת תקופה ארוכה יותר על פי דין
• נתוני מטופלים — עד למחיקתם על ידי המטפל או עם מחיקת החשבון (עם חלון ייצוא של 30 ימים בטרם מחיקה לצמיתות)
• רשומות תשלום וחיוב — 7 שנים, כנדרש לפי דיני המס והחשבונאות בישראל

אנו מיישמים אמצעים טכנולוגיים וארגוניים בהתאם לתקנות אבטחת המידע, ובהם הצפנה בתעבורה (TLS 1.2 ומעלה) ובמנוחה, בקרות גישה והרשאות מבוססות תפקיד, הפרדת סביבות וסקירות אבטחה תקופתיות.

במקרה של אירוע אבטחה העלול לפגוע בזכויותיך, נודיע למשתמשים שנפגעו ולרשויות הרלוונטיות כנדרש על פי דין — לרבות לרשות להגנת הפרטיות בהתאם לחוק ולתקנות אבטחת המידע, ובתוך 72 שעות מקום שה-GDPR חל.

בכפוף לדין החל, עומדות לך הזכויות הבאות:

• עיון — קבלת עותק של המידע האישי המוחזק עליך (סעיף 13 לחוק; סעיף 15 ל-GDPR)
• תיקון — תיקון מידע שגוי או לא שלם (סעיף 14 לחוק; סעיף 16 ל-GDPR)
• מחיקה — בקשה למחיקת מידע, בכפוף לחובות שמירה על פי דין
• הגבלה והתנגדות — הגבלת עיבוד מסוים או התנגדות לו (GDPR)
• ניידות — קבלת המידע בפורמט מובנה וקריא-מכונה
• חזרה מהסכמה — בכל עת, מקום שהעיבוד מבוסס על הסכמה

למימוש הזכויות ניתן לפנות אל support@vestatrack.com. נשיב בתוך 30 ימים. ניתן גם להגיש תלונה לרשות להגנת הפרטיות (https://www.gov.il/he/departments/the_privacy_protection_authority) או, באיחוד האירופי, לרשות הפיקוח המקומית.

מטופלים שנתוניהם הוזנו על ידי מטפל מתבקשים לפנות אל המטפל (בעל השליטה); אנו נסייע למטפל במענה לבקשות כאמור.

השירות מיועד למשתמשים מקצועיים בני 18 ומעלה. מטפלים רשאים לתעד כדין נתונים אודות מטופלים קטינים במסגרת טיפולם המקצועי, בכפוף להסכמת הורה/אפוטרופוס מקום שנדרש. איננו אוספים ביודעין מידע אישי ישירות מקטינים.

אנו רשאים לעדכן מדיניות זו מעת לעת. על שינויים מהותיים נודיע בדוא"ל או בהודעה בולטת בשירות לפחות 30 ימים לפני כניסתם לתוקף. המשך שימוש לאחר מועד הכניסה לתוקף מהווה הסכמה.

VestaTrack — הדס חרדון, עוסק מורשה מס' 34821207, ישראל

דוא"ל: support@vestatrack.com

הרשות להגנת הפרטיות: https://www.gov.il/he/departments/the_privacy_protection_authority