מדיניות פרטיות

גרסה 1.0 (בטא) · עודכנה לאחרונה: 2026-10-15 · קיים גם נוסח באנגלית. אם יש סתירה בין הנוסחים, הנוסח העברי קובע.

בקצרה

• לומיילו היא אפליקציית למידה ומשחק בעברית לילדים בגילי 7 עד 11, בכתובת lumaylo.com/app. ההורה פותח את החשבון, נותן את ההסכמה ושולט בהכול.
• השירות פתוח כרגע בישראל בלבד, כבטא חינמית. אין תשלומים.
• אנחנו שומרים רק מה שהאפליקציה צריכה כדי לעבוד: שם פרטי או כינוי לכל ילד, ההתקדמות שלו, מה שהוא יוצר, וההגדרות. לא שם משפחה, לא כתובת, לא טלפון, לא מיקום, לא תמונה של הילד.
• אין פרסומות, אין מעקב, אין מכירת מידע, ואין שימוש במידע של ילדים כדי לאמן בינה מלאכותית.
• תכונות שמשתמשות בבינה מלאכותית (שיחה עם הדמות, דיבור, הקראה בקול, יצירה בסטודיו) כבויות עד שהורה מדליק אותן, כל אחת בנפרד, לכל ילד בנפרד.
• אנחנו לא שומרים הקלטות קול של הילדים. את הטקסט של שיחה אנחנו שומרים 7 ימים בלבד.
• הורה יכול לראות את המידע, להוריד אותו בקובץ אחד, ולמחוק את הכול בכל רגע.

1. מי אנחנו ואיך פונים אלינו

בעל השליטה במאגר המידע (כהגדרתו בחוק הגנת הפרטיות, התשמ"א-1981): נייצ'רטק הידרופוניקה בע"מ (NatureTech Hydroponics Ltd), רחוב הבנאים 23, אשדוד, טלפון 053-431-9375 ("החברה", "אנחנו"). לומיילו היא מוצר של החברה.

• פניות בנושא פרטיות: [email protected]
• תמיכה ושאלות כלליות: [email protected]
• בדואר: רחוב הבנאים 23, אשדוד, לידי "לומיילו – פרטיות".
• הממונה על אבטחת המידע בחברה: פאבל ברנדס.
• ממונה על הגנת הפרטיות: בהיקף הפעילות הנוכחי החוק אינו מחייב אותנו למנות ממונה (סעיף 17ב1 לחוק). האחראי לפרטיות בחברה: פאבל ברנדס.

2. למי המדיניות הזו מיועדת

למדיניות הזו שני קוראים: ההורים או האפוטרופוסים (בני 18 ומעלה) שפותחים חשבון משפחתי, והילדים שמשתמשים בלומיילו. לפי חוק הכשרות המשפטית והאפוטרופסות, התשכ"ב-1962, ההורים הם האפוטרופסים הטבעיים של ילדיהם, ולכן ההורה הוא שנותן את ההסכמות ומממש את הזכויות בשם הילד. לילדים יש הסבר קצר ופשוט משלהם ("הסוד של לומיילו").

מסירת המידע אינה חובה לפי חוק. היא תלויה ברצונכם ובהסכמתכם. בלי חלק מהמידע חלק מהתכונות לא יעבדו (למשל, בלי כתובת דוא"ל אי אפשר לפתוח חשבון, ובלי שמירת התקדמות אין תרגול מותאם).

3. איזה מידע נשמר, למה, ומאיפה הוא מגיע

3.1 מידע על ההורה

| מידע | למה | מקור | |---|---|---| | כתובת דוא"ל וסיסמה (הסיסמה נשמרת רק כגיבוב מוצפן) | כניסה לחשבון, איפוס סיסמה, הודעות שירות | ההורה | | שם המשפחה בחשבון (שם שבחרתם לחשבון, לא חובה), תפקיד במשפחה (בעלים, אפוטרופוס, קרוב משפחה) | ניהול המשפחה והרשאות | ההורה | | הסכמות: מה אישרתם, מתי, ובאיזה נוסח (מספר גרסה) | הוכחת הסכמה, כפי שהחוק דורש | ההורה | | קוד ההורים (PIN) לאזור ההורים, נשמר רק כגיבוב | שילד לא ייכנס לאזור ההורים | ההורה | | הזמנות לבני משפחה: כתובת הדוא"ל של המוזמן נשמרת רק כגיבוב | שהזמנה תעבוד רק עבור הכתובת שהוזמנה | ההורה | | פרטי מכשירים שחוברו למשפחה (שם המכשיר שבחרתם, תאריכים) ומסכי טלוויזיה מחוברים | כניסה של ילד במכשיר משפחתי בלי סיסמה | ההורה |

3.2 מידע על הילד

| מידע | מה בדיוק | למה | מקור | |---|---|---|---| | פרופיל | שם פרטי או כינוי שבחרתם, צורת פנייה (בן/בת), מראה הדמות (בחירות כמו צבע שיער ועור של דמות מצוירת), הדמות המלווה ושמה, הגדרות | להפעיל את האפליקציה ולפנות לילד נכון | הורה וילד | | התקדמות ולמידה | תשובות, שיעורים שהושלמו, רמות, זמני תשובה, רמזים | להתאים את רמת הקושי ולהראות להורה התקדמות | שימוש באפליקציה | | יצירות | ציורים, יצירות בסטודיו, הבית הווירטואלי, תמונות שהילד צייר או "צילם" בתוך המשחק (של הדמות שלו, לא של עצמו), מטבעות ופריטים וירטואליים | לשמור את מה שהילד יצר | הילד | | שיחות עם הדמות (רק אם הורה הדליק "שיחה") | הטקסט שהילד כתב או אמר והתשובות | לנהל את השיחה; ההורה יכול לקרוא | הילד, הבינה המלאכותית | | זיכרונות של הדמות (רק אם הורה הדליק "זיכרון") | עובדות קצרות שהילד סיפר ("אוהב דולפינים"), מה שלימד את הדמות | שהדמות תזכור מה חשוב לו | חילוץ אוטומטי משיחות; ההורה רואה ומוחק | | רגשות וכלי הרגעה | רגש שהילד בחר בעצמו מתוך רשימה קבועה (רק הבחירה והתאריך), וכלי הרגעה שהשתמש בהם | פינת ההרגעה. הרגש לא נשלח לשום בינה מלאכותית ולא מוצג להורים (ההורים רואים רק באילו כלים הילד השתמש, אלא אם הילד בחר לשתף רגע מסוים) | הילד | | התראות בטיחות | רק ההודעה המדאיגה (למשל על פגיעה עצמית או בריונות), מתי ובאיזה מסך | להתריע להורה ולהציע עזרה | אוטומטי | | יומן בינה מלאכותית | מתי נשלחה בקשה, לאיזו תכונה, לאיזה מודל, והגודל שלה. בלי הטקסט עצמו | שקיפות להורה ופיקוח | אוטומטי |

מה אנחנו לא שומרים: הקלטות קול; תמונות של הילד או של פניו; זיהוי פנים; מיקום; פרטי קשר של הילד; ניחושי רגשות מהמצלמה, מהקול או מהמגע (אנחנו לא עושים את זה בכלל).

מסנן הזיכרון: הזיכרון של הדמות לא שומר מידע על בריאות, כתובת או מקום מגורים, שם בית ספר, טלפון או דוא"ל, שמות מלאים של חברים, או פרטים על דת ומוצא. המסנן אוטומטי ואינו מושלם; ההורה רואה, מתקן ומוחק כל זיכרון.

מידע רגיש במיוחד: אנחנו לא מבקשים מידע "בעל רגישות מיוחדת" כהגדרתו בחוק (למשל מידע על בריאות). ילד עלול לכתוב משהו כזה בשיחה מיוזמתו. מידע כזה לא נכנס לזיכרון, ונמחק עם השיחה אחרי 7 ימים (סעיף 8).

רגשות שהילד בוחר: ספק אם רגש רגעי שילד בוחר ("שמח", "עצוב") הוא "מידע על מצב בריאותו" לפי החוק, אבל כדי להיות זהירים אנחנו מתייחסים אליו כמידע בעל רגישות מיוחדת: נשמרת רק הבחירה מתוך רשימה קבועה והתאריך, הוא לא נשלח לבינה מלאכותית, לא מוצג להורים כמגמה או כהיסטוריה, ונמחק אחרי 60 יום. ההסכמה לשמירתו היא חלק מההסכמה המפורשת בפתיחת החשבון.

אין הערכת אישיות: אנחנו משתמשים בהתקדמות רק כדי להתאים את רמת הקושי לילד ולהראות להורה. אנחנו לא מכינים הערכה של אישיות, יכולת שכלית או תפקוד של ילד, לא בשביל ההורים ולא בשביל אף אחד אחר.

מידע טכני: השרת רושם כתובות IP וזמני בקשות לצורכי אבטחה (למשל חסימה אחרי ניסיונות כניסה כושלים) ולתיקון תקלות. המכשיר שומר עותק של נתוני האפליקציה (אחסון מקומי בדפדפן) כדי שתעבוד מהר וגם בלי אינטרנט.

4. בינה מלאכותית וקול: מה נשלח ולאן

תכונות הבינה המלאכותית פועלות דרך Google Cloud Vertex AI (המודלים Gemini של Google). כל תכונה דורשת הסכמה נפרדת של הורה לכל ילד (סעיף 5). כשהמתג כבוי, השרת לא שולח שום בקשה, והוא בודק זאת לפני כל קריאה.

מה נשלח ל-Google, ורק כשהתכונה דולקת:

• שיחה בכתב: הטקסט של הילד, חלק מהשיחה הקודמת, ההנחיות שלנו לדמות וזיכרונות רלוונטיים. שמות הילדים במשפחה מוסרים מהטקסט לפני השליחה.
• שיחה בקול: הקול של הילד בזמן אמת, רק בזמן שהוא לוחץ על כפתור הדיבור. ההקלטה לא נשמרת אצלנו; נשמר רק הטקסט, ל-7 ימים.
• "תגיד את זה" (תרגול הגייה באנגלית): ההקלטה הקצרה של הילד נבדקת בשרת הניקוד שלנו, בזיכרון בלבד, ונמחקת מיד. בחלק מהתרגילים ההקלטה נשלחת פעם אחת ל-Google כדי להפוך אותה לטקסט, ולא נשמרת. אותו מתג "דיבור". כשהמתג כבוי, הילד לוחץ "אמרתי!" ושום קול לא נשלח.
• הקראה בקול: משפטים שהדמות אומרת נשלחים ל-Google (Gemini TTS) כדי להפוך לקול, בלי שם הילד. רק כשהמתג "הקראה בקול" דולק; אחרת המכשיר מקריא בקול שלו או מציג כתוביות.
• סטודיו היצירה: הציור של הילד או משפט קצר שכתב ("מכשפה על מטאטא"), אחרי בדיקת בטיחות, כדי שהבינה המלאכותית תציע חלקים או תצייר.
• דמות מתמונה (רק אם ההורה בחר בזה בעת יצירת פרופיל): תמונה אחת נקראת פעם אחת כדי לנחש צבעים לדמות מצוירת. התמונה לא נשמרת אצלנו, ולא נקראים מוצא, גזע, דת, בריאות או גיל.

מה Google עושה במידע: לפי תנאי Google Cloud, Google לא מאמנת מודלים על המידע הזה. אנחנו לא משתמשים בחיפוש של Google בשיחות של ילדים, לא שומרים שיחות קוליות אצל Google לחידוש, ולא מפעילים רישום בקשות. בגלוי: כברירת מחדל של Google, הבקשות נשמרות בזיכרון בלבד (לא נכתבות לדיסק), מבודדות לפרויקט הענן שלנו, ונמחקות תוך 24 שעות לכל המאוחר, כדי לענות מהר יותר; Google לא משתמשת בהן לאימון. אנחנו פועלים לכבות את המטמון הזה, ונעדכן כאן כשיכובה. בנוסף, לפי תנאי Google Cloud, Google רשאית לשמור בקשות לזמן מוגבל כדי לזהות שימוש לרעה; נבקש מ-Google פטור מכך, ונעדכן כאן. העיבוד נעשה בארצות הברית ובאזור "global" של Google.

הדמות אומרת שהיא בינה מלאכותית: בשיחה הראשונה של היום ובכל פעם שהילד שואל "את/ה אמיתי?". בינה מלאכותית יכולה לטעות.

5. הסכמת הורים

• בפתיחת החשבון המשפחתי ההורה מאשר שהוא ההורה או האפוטרופוס, מסכים לתנאי השימוש ולמדיניות הזו, ומסכים לשמירת המידע שבסעיף 3.
• לכל ילד יש באזור ההורים שישה מתגים נפרדים: שיחה בכתב עם בינה מלאכותית · שיחה בקול · הקראה בקול (קול ענן) · זיכרון הדמות · בינה מלאכותית ביצירה · דמות מתמונה. בחשבון חדש כל המתגים כבויים.
• כל החלטה נרשמת עם התאריך, מי החליט, ובאיזה נוסח ההורה צפה. אפשר לשנות או לבטל בכל רגע, בלי לפגוע בשאר האפליקציה. למידה, תרגול, משחקים ופינת ההרגעה עובדים עם כל המתגים כבויים.
• שני הורים: לפי סעיף 18 לחוק הכשרות המשפטית והאפוטרופסות, הורים פועלים בהסכמה, וחזקה שהורה אחד מסכים לפעולת ההורה השני. ההורה שפותח את החשבון מאשר שהוא פועל בהסכמת ההורה השני או האפוטרופוס הנוסף, אם יש. הורה או אפוטרופוס של ילד שלא נתן את הסכמתו יכול לכתוב ל[email protected], ונעצור את עיבוד המידע של אותו ילד (פרט למה שנדרש כדי לטפל בפנייה) עד שההורים יגיעו להסכמה.
• איך אנחנו יודעים שזה הורה: החשבון נפתח רק עם כתובת דוא"ל מאומתת, בהצהרה שהפותח בן 18 ומעלה והוא ההורה או האפוטרופוס, ואזור ההורים ננעל בקוד הורים. הילד עצמו לא נותן שום הסכמה. אם יתברר לנו שחשבון נפתח בידי מי שאינו הורה או אפוטרופוס, נמחק אותו.
• נוסח ההסכמה המלא: "נוסח הסכמת ההורים".

6. למי המידע מועבר

• ספקים שעובדים בשבילנו ("מחזיקים"), רק כדי לתת את השירות: אחסון השרת (Hetzner, באיחוד האירופי), מסד הנתונים והקבצים (Supabase, בגרמניה), בינה מלאכותית וקול (Google Cloud), שליחת דוא"ל כניסה ואיפוס (Resend). הרשימה המלאה, עם מה כל ספק מקבל ואיפה, נשלחת לכל מי שמבקש ב[email protected].
• ההורים במשפחה רואים את ההתקדמות, השיחות, הזיכרונות, יומן הבינה המלאכותית והתראות הבטיחות של הילדים שלהם (לא את הרגשות שהילד בחר). קרוב משפחה שהוזמן ("סבא") רואה את המשפחה אבל לא את המידע של הילדים.
• אף פעם: מפרסמים, רשתות פרסום, סוחרי מידע, ניתוח נתונים של צד שלישי בתוך האפליקציה. אנחנו לא מוכרים מידע ולא בונים פרופילי פרסום.
• לפי חוק: אם צו של בית משפט או דין מחייבים זאת.
• מכירה או מיזוג: אם החברה או המוצר יימכרו, נודיע להורים מראש, והמידע ימשיך להיות מוגן לפי מדיניות זו.

7. העברה לחו"ל

המידע נשמר ומעובד מחוץ לישראל. ההעברה נעשית לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ולכל ספק יש לנו יותר מבסיס אחד:

| ספק | איפה | הבסיס להעברה | |---|---|---| | Hetzner (שרת האפליקציה) | פינלנד, ובהמשך גרמניה | מדינה שהיא צד לאמנה האירופית להגנת הפרט בעיבוד מידע (תקנה 2(8)(א)), וחוזה עיבוד מידע (תקנה 2(4)) | | Supabase (מסד הנתונים) | גרמניה (פרנקפורט); החברה אמריקאית | אותו בסיס: גרמניה (תקנה 2(8)(א)), וחוזה עיבוד מידע (תקנה 2(4)). Supabase מחזיקה בתקן אבטחת המידע ISO/IEC 27001 | | Google Cloud (בינה מלאכותית) | ארצות הברית ואזור "global" | הסכמה מפורשת של ההורה כשהוא מדליק תכונה (תקנה 2(1)), וחוזה עיבוד מידע (תקנה 2(4)). Google Cloud מחזיקה בתקן ISO/IEC 27001 | | Resend (דוא"ל כניסה) | אזור האיחוד האירופי; החברה אמריקאית | חוזה עיבוד מידע (תקנה 2(4)) |

בחוזה כל ספק מתחייב להשתמש במידע רק כדי לתת לנו את השירות, לשמור עליו בסודיות ובאבטחה, למחוק אותו בסוף ההתקשרות, ולא להעביר אותו הלאה אלא לספקי משנה שמחויבים באותם תנאים (תקנה 3). גם כשהמידע בחו"ל, הזכויות שלכם (עיון, תיקון, מחיקה) נשארות כפי שהן, ואנחנו אחראים כלפיכם.

8. כמה זמן המידע נשמר

| מידע | נמחק אחרי | |---|---| | טקסט של שיחות (בכתב ובקול) וסיכומי שיחה | 7 ימים | | שיחות שמורות (כותרת וסיכום קצר) | 90 יום מהשימוש האחרון | | זיכרונות הדמות ומה שהילד לימד אותה | 12 חודשים בלי שימוש | | התראות בטיחות | 30 יום (הטקסט נמחק כבר כשההורה קרא אותה) | | יומן בינה מלאכותית | 30 יום | | יומן הפרטיות של המשפחה (ייצוא, מחיקות, שינויי מתגים) | 400 יום | | התקדמות, יצירות, הגדרות והסכמות | עד שההורה מוחק אותם או את המשפחה | | מכשיר משפחתי מחובר | 180 יום בלי שימוש | | רישומי שרת (כתובות IP) | 30 יום | | גיבויים מוצפנים | עד 35 יום. ילד שנמחק לא חוזר גם אם משחזרים גיבוי | | חשבון שלא נעשה בו שימוש | אחרי 24 חודשים בלי כניסה נשלח הודעה, ואם לא תגיבו תוך 30 יום נמחק את המשפחה |

אם השירות ייסגר או הבטא תסתיים בלי המשך, ניתן לפחות 30 יום להוריד את המידע, ואז נמחק אותו.

9. הזכויות שלכם (ושל הילד)

לפי חוק הגנת הפרטיות, הורה רשאי, בשם הילד:

• לעיין במידע (סעיף 13 לחוק). באזור ההורים רואים מה נשמר, את השיחות ואת יומן הבינה המלאכותית, ואפשר להוריד הכול בקובץ אחד.
• לבקש תיקון של מידע שגוי, חסר, לא ברור או לא מעודכן (סעיף 14). זיכרונות אפשר לתקן ולמחוק ישירות.
• למחוק: ילד אחד, או את כל המשפחה, באזור ההורים (קוד הורים ואישור). כל המידע והקבצים נמחקים.
• לבטל הסכמה בכל רגע.
• לא לקבל דיוור שיווקי: אנחנו לא שולחים פרסומות בלי הסכמה מראש, ובכל הודעה כזו יש קישור להסרה.

אפשר גם לכתוב ל[email protected]. נבקש לאמת שאתם ההורה בחשבון לפני שנמסור מידע. נענה תוך 30 יום. אם לא נענינו או שאינכם מרוצים, אפשר לפנות לרשות להגנת הפרטיות במשרד המשפטים (www.gov.il/he/departments/the_privacy_protection_authority) או לבית המשפט.

הילד: אנחנו מסבירים לו בשפה שלו מה נשמר ומי רואה, ומקשיבים לבקשות שלו (למשל למחוק ציור או זיכרון). בכל שיחה כתוב "ההורים יכולים לקרוא את השיחות" ויש כפתור "לספר למבוגר".

10. אבטחת מידע

אנחנו פועלים לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. בין השאר: הצפנה בהעברה (HTTPS); מסד נתונים שבו כל משפחה רואה רק את המידע שלה (נבדק באופן אוטומטי); אזור הורים שנפתח רק בקוד הורים, עם נעילה אחרי 5 ניסיונות כושלים; גישה לשרתים רק לבעלי תפקיד מורשים; מסמך הגדרות מאגר ונוהל אבטחה; גיבויים מוצפנים; ובדיקה אוטומטית שנכשלת אם מישהו מוסיף כלי מעקב. שום אבטחה אינה מושלמת. אם יקרה אירוע אבטחה חמור, נדווח לרשות להגנת הפרטיות ונודיע להורים כפי שהדין דורש.

11. בטיחות

אם ילד כותב או אומר משהו מדאיג (פגיעה עצמית, התעללות, סכנה, בריונות, מצוקה קשה), הדמות עונה בעדינות בנוסח קבוע, מציעה לדבר עם מבוגר שסומכים עליו, מציעה קווי עזרה (ער"ן 1201, המוקד הלאומי להגנה על ילדים ברשת 105), עוצרת את הנושא, וההורה מקבל התראה. לומיילו אינה שירות חירום. בסכנה מיידית: משטרה 100, מד"א 101.

12. עוגיות ואחסון במכשיר

באפליקציה (lumaylo.com/app): אין עוגיות פרסום או מעקב, ואין Google Analytics. יש רק עוגיות הכרחיות: עוגיית כניסה לחשבון (עד 24 שעות), עוגיית חידוש כניסה (עד 30 יום) ועוגיית אזור ההורים (נמחקת אחרי 10 דקות בלי פעילות ולכל היותר אחרי שעה). האפליקציה שומרת עותק של הנתונים באחסון המקומי של הדפדפן. באתר השיווקי (lumaylo.com): ספירת ביקורים ב-Google Analytics, רק אם אישרתם. פירוט: "הודעת עוגיות".

13. שינויים במדיניות

בשינוי מהותי (למשל ספק חדש שמקבל מידע של ילדים או שימוש חדש במידע) נודיע להורים מראש באפליקציה ובדוא"ל, ובמידת הצורך נבקש הסכמה מחדש. הגרסה ותאריך העדכון מופיעים בראש הדף.

14. מחוץ לישראל

בשלב זה השירות מיועד למשפחות בישראל בלבד. לפני פתיחה בארצות הברית (COPPA), באיחוד האירופי (GDPR) או בבריטניה נעדכן את המדיניות.