מדיניות פרטיות
עודכן: 29/09/2026. מסמך זה משלים את תנאי השימוש ומנוסח לפי חוק הגנת הפרטיות (תיקון 13). הוא כתוב כדי שיקראו אותו, לא כדי שיחתמו עליו.
מי אנחנו
Sassi AI ("ששי") היא משפחה של עוזרים אישיים, כל אחד לתחום אחד, שמופעלים ומתוחזקים על ידי אדם אחד (המפעיל) בישראל. בעל השליטה במאגר ואיש הקשר לכל עניין של פרטיות: contact@sassi.app. השירות מיועד לבגירים.
מה נאסף, ולאיזו מטרה
- בקשת הצטרפות - שם, מייל, העוזרים שנבחרו, מה שכתבת ב"למה", מזהה הצ'אט בטלגרם שאימת את הבקשה, וכתובת IP. המטרה: לאשר את ההצטרפות ולפתוח את החשבון. בקשה שלא הושלמה בטלגרם נמחקת אחרי 7 ימים; בקשות שאושרו או נדחו נשמרות ביומן ההצטרפות. פרטי הבקשה מגיעים למפעיל גם כהתראה בטלגרם.
- פרטי חשבון - שם, כתובת מייל, אזור זמן, ואם בחרת: איך לפנות אליך ולשון הפנייה. המטרה: זיהוי, כניסה בקוד התחברות ראשוני (חד-פעמי), שליחת התזכורות בשעה הנכונה, ופנייה בלשון שבחרת.
- קישור טלגרם - מזהה הצ'אט הפרטי שלך עם הבוט של העוזר. המטרה: לקבל ממך הודעות ולשלוח לך התראות. בלי זה העוזר לא יכול לפנות אליך.
- התראות בדפדפן - אם אישרת התראות בדפדפן, נשמרות כתובת ה-Push שהדפדפן הקצה למכשיר (כתובת בשרתי גוגל, מוזילה או אפל) ושני מפתחות ההצפנה שלה, יחד עם שם הדפדפן והמערכת, כל עוד המכשיר רשום. המטרה: לשלוח תזכורות למכשיר הזה. כל התראה מוצפנת למפתחות של הדפדפן, כך ששירות ה-Push רואה רק את גודלה. כיבוי בהגדרות מוחק את הרישום; מחיקת החשבון מוחקת את כולם.
- התוכן שמזינים - משימות, תזכורות, רעיונות, רשימות, קישורים, מסמכים, פתקים, תמונות, תשובות לסיכום הערב - לפי העוזר (ראו לפי עוזר). המטרה: זה השירות עצמו.
- ההודעות שהחלפת עם הבוט - נשמרות זמן מוגבל כדי שהעוזר יבין הקשר ("ההודעה הקודמת") וכדי לאתר תקלות.
- יומן פעולות בלי תוכן - שמות של פעולות ומסכים ("נוספה תזכורת", "נפתחה האפליקציה"), הערוץ (אפליקציה / בוט), וזמן. לעולם לא התוכן. המטרה: שאפשר יהיה לראות מה נעשה בחשבון (הגדרות ⟵ יומן פעולות), ושהמפעיל יבין את השימוש כסיכומים בלבד.
- יומן אבטחה - כניסות, בקשות קוד, כשלונות, אישורי מכשיר חדש, פעולות נעילה וכספת, כתובת IP. המטרה: הגנה על החשבון (חסימת ניסיונות חוזרים) ובירור תקלות.
- משוב ודיווחי תקלה - משוב שתשלח מהאפליקציה (ציון ותשובות חופשיות), ודיווחי שגיאה טכניים מהדפדפן (שם השגיאה והעמוד, בלי תוכן). המטרה: תיקון ושיפור.
- מדדי שימוש ב-AI - כמות טוקנים ועלות משוערת לכל קריאה, בלי תוכן. המטרה: תקרת שימוש יומית שמוצגת לך בהגדרות.
- עוגייה טכנית ואחסון מקומי בדפדפן - עוגיית session ו"להישאר בחשבון", ואחסון מקומי לנוחות ממשק (למשל אילו מקטעים פתוחים). בלי מעקב, בלי פרסום, בלי כלי ניתוח של צד שלישי.
האם חובה למסור מידע
לא. אין חובה חוקית למסור לנו דבר. בלי כתובת מייל אי אפשר לפתוח חשבון (הכניסה נעשית דרכה); בלי קישור טלגרם העוזר לא יכול לשלוח התראות; שאר המידע - כמה שבוחרים להזין. חיבור שירותים חיצוניים (יומן גוגל, מפתח AI אישי) הוא רשות, וניתן לניתוק בכל רגע.
למי המידע מועבר
רק לספקים שבלעדיהם השירות לא פועל, ורק מה שנדרש להם. המידע לעולם לא נמכר ולא משותף לצרכי פרסום, גם לא בצורה מצטברת או "אנונימית".
- Anthropic (ארה"ב) - הבינה המלאכותית (Claude). מקבלת את הטקסט שנכתב לעוזר, יחד עם תמונת מצב של הנתונים הרלוונטיים שלך, כדי לפרש ולנסח. לפי תנאי ה-API של Anthropic, נתוני API אינם משמשים לאימון מודלים.
- Telegram - כל הודעה והתראה עוברת דרך שרתי טלגרם, לפי תנאי טלגרם.
- שירותי Push של הדפדפנים (Google, Mozilla, Apple) - התראות לדפדפן, למי שאישר, עוברות דרכם מוצפנות; הם מקבלים את גודל ההודעה ואת זמנה, לא את תוכנה.
- Google - רק אם חיברת שירות של גוגל, ורק למה שבחרת (ראו שירותי גוגל).
- Hetzner (גרמניה, האיחוד האירופי) - השרתים שעליהם השירות ומסד הנתונים רצים.
- Postmark (ארה"ב) - משלוח המיילים של השירות (קודי התחברות ראשוניים, התראות). מקבל את כתובת המייל ואת תוכן המייל, ומדווח לנו על מייל שנדחה, כדי שנוכל להודיע לך שהכתובת שגויה.
המפעיל עצמו רואה את מה שנדרש להפעלה: פרטי חשבון, יומני מערכת, סיכומי שימוש. תוכן מוצפן (ראו אבטחה) אינו נגיש לו בדרך העבודה הרגילה. גורמים אחרים - אף אחד, אלא אם החוק מחייב.
שירותי גוגל
- הרשאות: שתיים בלבד, ורק אם חיברת את יומן גוגל בהגדרות של ששי תזכיר לי: רשימת היומנים שלך, לקריאה בלבד (
calendar.calendarlist.readonly), ואירועים ביומנים שבחרת, לקריאה ולעריכה (calendar.events). לא מחיקה או שיתוף של יומנים שלמים, לא אנשי קשר, לא Gmail, לא Drive. - לאיזה מידע ניגשים: מרשימת היומנים - שם כל יומן, המזהה שלו ורמת ההרשאה שלך בו, כדי שתבחר באילו יומנים העוזר ישתמש. מהאירועים - רק ביומנים שבחרת, ובטווח של השבוע הקרוב: כותרת האירוע, שעת ההתחלה והסיום, והאם הוא לכל היום. לא תיאור, לא מיקום, לא משתתפים ולא קבצים מצורפים.
- למה משתמשים בו: רק כדי לשרת אותך. להציג את הפגישות הקרובות במבט-על הבוקר ובסיכום הערב, להזהיר מהתנגשות לפני קביעת אירוע, ולהוסיף, להזיז או לבטל אירוע כשאתה מבקש זאת במפורש (ביטול - רק אחרי אישור שלך). העוזר כותב רק ליומנים שבחרת ושבהם יש לך הרשאת עריכה.
- למי המידע מועבר: המידע לא נמכר, לא מועבר למפרסמים או לסוחרי מידע, ולא משמש לפרסום. הוא מגיע רק לשני ספקים שבלעדיהם השירות לא פועל: Anthropic, שמקבלת את כותרות האירועים ושעותיהם כחלק מתמונת המצב כשאתה פונה לעוזר, כדי לנסח את התשובה; ו-Hetzner, שעל שרתיה (באיחוד האירופי) השירות רץ.
- בינה מלאכותית: מידע מיומן גוגל לא משמש לפיתוח, לשיפור או לאימון של מודלים של בינה מלאכותית, לא אצלנו ולא אצל אחרים. לפי תנאי השימוש המסחריים של Anthropic, מידע שנשלח דרך ה-API שלה לא משמש לאימון המודלים שלה.
- הגנה: אסימוני הגישה לגוגל ומטמון האירועים נשמרים מוצפנים, בשרת שלנו באיחוד האירופי, והתעבורה מוצפנת (HTTPS). הגישה לשרת מוגבלת למפעיל בלבד.
- כמה זמן נשמר: אירועי היומן לא נשמרים לאורך זמן. עותק של האירועים נשמר במטמון מוצפן כדי שמסך אחד לא יפנה לגוגל שוב ושוב, והוא נמחק תוך 10 דקות לכל היותר. אסימוני הגישה נשמרים עד שתנתק את היומן או תמחק את החשבון.
- ניתוק ומחיקה: בהגדרות, בלחיצה אחת. הניתוק מבטל את ההרשאה גם אצל גוגל, ומוחק מיד את האסימונים, את רשימת היומנים שבחרת ואת המטמון. מחיקת החשבון מוחקת את כל אלה. אפשר לבטל את הגישה גם מצד גוגל, בדף הגישה של צד שלישי לחשבון Google.
- הצהרת שימוש מוגבל: השימוש של ששי במידע המתקבל מממשקי Google, כולל מידע גולמי ומידע שנגזר ממנו, עומד ב-Google API Services User Data Policy, כולל דרישות ה-Limited Use.
Google user data (English summary)
- Scopes: only if you connect Google Calendar in Sassi's settings:
calendar.calendarlist.readonlyandcalendar.events. Nothing else. - Data accessed: the list of your calendars (name, id, your access role); for the calendars you choose, over the coming week, each event's title, start and end time, and all-day flag. Not descriptions, locations, attendees or attachments.
- Data use: solely to provide user-facing features to you: showing your upcoming events in the morning overview and evening summary, warning about conflicts, and creating, moving or cancelling an event when you explicitly ask (a cancellation only after you confirm).
- Data sharing: never sold, never shared with advertisers or data brokers, never used for advertising. Shared only with the providers the service cannot run without: Anthropic (event titles and times, as part of the context of a request you make, to phrase the answer) and Hetzner (our hosting in the EU).
- AI/ML: Google user data is not used to develop, improve or train AI/ML models, by us or by anyone else. Under Anthropic's commercial terms, data sent through its API is not used to train its models.
- Protection: OAuth tokens and the event cache are stored encrypted on our own server in the EU; all traffic uses HTTPS; server access is limited to the operator.
- Retention and deletion: event data is not stored long term; a short-lived encrypted cache is deleted within 10 minutes. Tokens are kept until you disconnect or delete your account. Disconnecting (Settings, one click) revokes access at Google and deletes the tokens, your calendar selection and the cache immediately. You can also revoke access at myaccount.google.com/permissions.
- Limited Use: Sassi's use and transfer of information received from Google APIs, including raw or derived user data, adheres to the Google API Services User Data Policy, including the Limited Use requirements.
כמה זמן נשמר
- התוכן שלך - כל עוד החשבון קיים, או עד שתמחק פריט (פריט שנמחק עובר לסל מחזור שאפשר לרוקן).
- הודעות עם הבוט - 90 יום.
- בקשות הצטרפות - בקשה שלא הושלמה 7 ימים; שאושרה או נדחתה - ביומן ההצטרפות.
- דיווחי שגיאה מהדפדפן ומדדי ביצועים - 30 יום. אישורי מכשיר חדש - 30 יום.
- כניסה שמורה במכשיר ("להישאר בחשבון") - פוקעת אחרי 90 יום בלי שימוש; אפשר לראות ולנתק מכשירים בהגדרות.
- יומן פעולות ומדדי שימוש - 180 יום.
- מטמון יומן גוגל - 10 דקות.
- גיבויים - מוצפנים, במחזור של עד 30 יום. מחיקת חשבון משמידה גם את מפתח ההצפנה האישי, כך שתוכן מוצפן שנותר בגיבוי אינו ניתן לפענוח.
הזכויות שלך
- עיון וייצוא - בהגדרות ⟵ חשבון אפשר להוריד בכל רגע קובץ עם כל הנתונים שלך.
- תיקון - כל פריט ניתן לעריכה באפליקציה; פרטי חשבון בהגדרות.
- מחיקה - בהגדרות ⟵ חשבון. המחיקה מיידית ומלאה, בלי אפשרות שחזור, כולל קבצים ואסימונים. כל עוזר במשפחה נמחק בנפרד.
- ביטול הסכמות - ניתוק טלגרם, יומן גוגל או מפתח AI אישי בכל רגע; הפסקת חדשות ומבצעים (/stop_promo או המתג בהגדרות).
- פנייה ותלונה - ל-contact@sassi.app; ניתן גם לפנות לרשות להגנת הפרטיות.
אבטחה
- הכניסה בלי סיסמת חשבון: קוד התחברות ראשוני, חד-פעמי, בן 6 ספרות, למייל ולטלגרם (או מהבוט בצ'אט), תקף 10 דקות ל-5 ניסיונות, הגבלת ניסיונות לפי כתובת, ויומן אבטחה. לחשבון עם נעילה, כניסה ממכשיר חדש דורשת אישור מהמכשיר הקודם.
- נעילת אפליקציה (רשות): סיסמת נעילת האפליקציה, 4 עד 6 ספרות, נשמרת כגיבוב בלבד; בטלפון אפשר לפתוח גם בטביעת אצבע או זיהוי פנים דרך המכשיר (WebAuthn) - הביומטריה נשארת במכשיר ולא מגיעה אלינו. קודי שחזור מוצגים פעם אחת. איפוס על ידי המפעיל נעשה רק לבקשה שהגיעה מהכתובת הרשומה.
- הצפנה באחסון: תוכן חופשי (רעיונות, הערות למשימות, תשובות לסיכום הערב, הודעות הבוט, סל המחזור, קבצים ומסמכים) מוצפן במפתח אישי לכל משתמש. כותרות, מועדים, רשימות, תגיות וקישורים נשמרים גלויים כדי שהחיפוש והתזכורות יעבדו.
- סודות (אסימוני גוגל, מפתח AI אישי) מוצפנים ואינם מוצגים חזרה.
- מה ההצפנה הזו לא עושה: היא מגינה מפני דליפה של מסד הנתונים או של הגיבויים, לא מפני המפעיל. מפתח ההצפנה נמצא בשרת, ולכן מי שמחזיק גישה מלאה לשרת יכול לקרוא. אין הצפנה מקצה לקצה.
- הכספת: פריט שנועלים בכספת מוצפן בדפדפן (AES-GCM, מפתח שנגזר מהסיסמה שלך) ומגיע לשרת מוצפן בלבד. הסיסמה ומפתח השחזור לעולם לא נשלחים לשרת, ולכן המפעיל, גיבוי או שרת שנפרץ לא יכולים לקרוא פריט נעול - וגם אנחנו לא נוכל לשחזר אותו אם הסיסמה ומפתח השחזור אבדו. את מפתח השחזור שומרים במנהל סיסמאות או על נייר, במקום אחר מהסיסמה ולא באותו מכשיר: מכשיר שאבד, נמחק או נגנב לוקח איתו גם את המפתח. פריט נעול לא נשלח ל-AI ולא מופיע בחיפוש. לתוכן רגיש במיוחד (קודי כרטיסי אשראי, סיסמאות, מפתחות פרטיים) - זה המקום, ולא פתק רגיל.
- כל התעבורה ב-HTTPS; השרת מנוהל כקוד ומתועד; כלי בדיקה אוטומטיים מוודאים לפני כל עדכון שכל שאילתה מסוננת לפי משתמש ושאין סוד בקוד.
- אירוע אבטחה שנוגע למידע שלך - נודיע לך ולרשות כנדרש בחוק.
לפי עוזר
ששי תזכיר לי (tasks.sassi.app)
משימות, תזכורות, רעיונות, רשימות, נושאים, תמונות מצורפות, תשובות לסיכום הערב, ואם חיברת - יומן גוגל. העוזר פונה אליך ביוזמתו (תזכורות, נדנוד, מבט-על בוקר, סיכום ערב); את השעות ו"מצב שקט" קובעים בהגדרות.
ששי תמצא לי (links.sassi.app)
קישורים, מסמכים (למשל תעודות אחריות, פוליסות, חוזים), פתקים ותגיות. הקבצים ותוכן הפתקים מוצפנים; כותרת, תיאור, תגיות וכתובת הקישור נשמרים גלויים לצורך חיפוש. שיתוף פריט נעשה רק בלחיצה מפורשת שלך; מה שמשתפים יוצא מההצפנה, והשיתוף נרשם ביומן הפעולות של החשבון (למי ומתי, לא התוכן).
ששי מה אכלתי (food.sassi.app)
ארוחות: שעה, שם הארוחה, המילים שלכם, סימון דילוג, צילומי צלחות (עותק מוקטן אחד בלבד) והקריאה של ה-AI; הערכת קלוריות ומרכיבים רק למי שהפעיל אותה. המילים, הקריאה של ה-AI, הצילומים וההודעות עם הבוט מוצפנים; שעות, שמות ארוחות ומספרי ההערכה גלויים. כל הודעה וכל צילום נשלחים ל-AI לזיהוי ולרישום; התזכורות והסיכומים לא. מידע על אכילה יכול לרמוז על בריאות: הוא לא מועבר לאף אחד מלבד ספקי התשתית שבסעיף "למי המידע מועבר", ולא משמש לשום דבר מלבד השירות לכם. ארוחה שנמחקת נשמרת בסל המחזור 7, 14 או 30 יום לבחירתכם, ואז נמחקת עם הצילומים שלה; מחיקת החשבון מוחקת את כל הקבצים והרשומות.
שינויים ויצירת קשר
המפעיל רשאי לעדכן את המדיניות מעת לעת. התאריך למעלה הוא תאריך הגרסה הנוכחית. על שינוי מהותי (מה נאסף, למי מועבר, כמה זמן נשמר) תישלח הודעת מערכת לפחות 14 יום לפני שייכנס לתוקף, ובכניסה הראשונה לאפליקציה אחרי המועד הזה יוצג העדכון לאישור. תיקון ניסוח או הבהרה מתעדכנים בלי הודעה. מי שלא מסכים לעדכון יכול למחוק את החשבון ואת הנתונים בכל עת, מההגדרות.
שאלות, בקשות עיון, תיקון או מחיקה: contact@sassi.app.