הודעת הפרטיות של SearchedBy

גרסה 0.10 · 31 באוקטובר 2026 · בבדיקה משפטית

1. בעל השליטה במידע

Pablo Pavon ‏(SearchedBy), ‏Zähringerstraße 24, 10707 Berlin, גרמניה · [email protected].

אין ממונה הגנת מידע (DPO): הדין הגרמני מחייב למנות ממונה כזה החל מ‑20 אנשים שמעבדים מידע אישי באופן קבוע (§ 38 BDSG).

2. איזה מידע אנחנו מעבדים ומאיפה הוא מגיע

• בביקור באתר: כל בקשה עוברת דרך Cloudflare, שמחברת את השרת שלנו לאינטרנט ומעבדת את כתובת ה‑IP, את השעה, את הכתובת שהתבקשה ופרטים על הדפדפן. השרת שלנו שומר יומנים טכניים של הבקשות כדי להפעיל את השירות ולהגן עליו.
• שלב 1 של הסריקה: האתר וכתובת האימייל.
• שלב 3 של הסריקה: המותג, השוק, מה שמוכרים, העיר והמתחרים (העיר והמתחרים לא חובה), וכשמבקשים, גם קוד הזמנה.
• לאימות: הקוד בן 6 הספרות (אנחנו שומרים רק את טביעת האצבע הקריפטוגרפית שלו), מתי הוא נשלח וכמה ניסיונות נעשו.
• למניעת שימוש לרעה: טביעת אצבע קריפטוגרפית (עם מפתח סודי) של כתובת ה‑IP (או של בלוק ה‑IPv6 /64 שלה) ושל כתובת האימייל, כדי לספור את הבקשות מכל רשת, מכל תיבת דואר ומכל דומיין של אימייל. במסד הנתונים שלנו נשמרת טביעת האצבע, לא כתובת ה‑IP.
• בדיקת האנטי-בוט של Cloudflare ‏(Turnstile): היא נטענת רק כשמישהו מתחיל להשתמש בטופס הסריקה, לא כשנפתח עמוד. ‏Cloudflare מעבדת אותות של הדפדפן, כמו כתובת ה‑IP, טביעת האצבע של TLS וה‑User-Agent.
• מהאתר שמנותח: כמה עמודים ציבוריים, שעשויים לכלול מידע של צדדים שלישיים. אנחנו שומרים רק את מה שהדוח צריך. קישורים לפרופילים ברשתות החברתיות שמופיעים בעמודים האלה מוצגים בדוח; אנחנו לא נכנסים לרשתות עצמן.
• התשובות של מנועי הבינה המלאכותית: הן יכולות להזכיר חברות, ולפעמים גם אנשים, למשל בעל מקצוע שעובד בשמו. אנחנו שומרים אותן כחלק מהדוח.
• בקשה לאבחון של 48 שעות (לא חובה): השווקים, המטרה, מי מתחזק את האתר, הפלטפורמה, המתחרים, קישורים לביקורות ולפרופילים ברשתות, באילו כלים משתמשים, שינויים מתוכננים, התקציב והאם רוצים שיחה, יחד עם טביעת אצבע קריפטוגרפית של כתובת ה‑IP.
• טופס המשוב שמתחת לדוח (לא חובה): דירוג, שם אם נמסר וטקסט חופשי.
• אימיילים לכתובת שלנו: הכתובת של השולח ותוכן ההודעה.

כתובת האימייל נשמרת מוצפנת: לכל רשומה יש ערך אקראי משלה ובדיקת שלמות, והמפתח נשאר בשרת. אי אפשר לקרוא עותק של מסד הנתונים בלעדיו.

3. מטרות ובסיסים חוקיים

• שליחת הקוד, הרצת הסריקה, הצגת הדוח ושליחת הקישור אליו: ביצוע השירות שהתבקש (סעיף 6(1)(b) ל‑GDPR, התקנה הכללית של האיחוד האירופי להגנה על מידע).
• טביעות האצבע, המגבלות, ‏Turnstile והיומנים הטכניים של השרת: אינטרס לגיטימי בהגנה על השירות ועל העלויות שלו מפני שימוש לרעה (סעיף 6(1)(f) ל‑GDPR). ‏Turnstile גם משום שהוא נחוץ לשירות שהתבקש (§ 25(2) מס׳ 2 TDDDG).
• בקרת איכות: המפעיל מקבל על כל סריקה הודעת בקרה פנימית, עם התוצאה ועם כתובת האימייל של מי שביקש אותה, כדי לבדוק את התוצאה, ואם צריך, לכתוב לו לגבי אותה סריקה. בסיס: אינטרס לגיטימי (סעיף 6(1)(f) ל‑GDPR).
• הבקשה לאבחון של 48 שעות: צעדים שלפני חוזה, לבקשת מי שמבקש (סעיף 6(1)(b) ל‑GDPR).
• משוב: אינטרס לגיטימי בשיפור השירות לפי מה שהמשתמשים בו אומרים (סעיף 6(1)(f) ל‑GDPR).
• אנשים שמוזכרים בתשובות של הבינה המלאכותית: אינטרס לגיטימי בהצגת מה שהמנועים אומרים על שוק (סעיף 6(1)(f) ל‑GDPR).
• אימיילים שיווקיים: רק בהסכמה, שאפשר לבטל בכל עת (סעיף 6(1)(a) ל‑GDPR ו‑§ 7(2) UWG); ראו סעיף 8.

4. מקבלי המידע

אלה הספקים שלנו. הם פועלים כמעבדי מידע (סעיף 28 של ה‑GDPR), אלא אם נכתב אחרת:

• Hetzner Online GmbH, גרמניה: השרת, במרכז נתונים בגרמניה.
• Cloudflare, Inc., ארצות הברית: החיבור בין האינטרנט לשרת שלנו, שירות השמות של הדומיין, הבדיקה נגד בוטים (Turnstile) והעברה של אימיילים שנשלחים לכתובת שלנו. לצורך שיפור Turnstile, ‏Cloudflare פועלת כבעלת שליטה במידע בעצמה.
• שליחת אימיילים (הקוד, הקישור לדוח ותשובות): Zoho Corporation B.V., הולנד, ששומרת את המידע באיחוד האירופי; צוות התמיכה שלה בהודו יכול לגשת אליו לפי התניות החוזיות התקניות. השליחה עוברת אל Brevo ‏(Sendinblue SAS, צרפת); מאותו רגע Sendinblue SAS מקבלת את אותו מידע לאותה מטרה.
• גוגל: אימיילים שנשלחים לכתובת שלנו מועברים לתיבת הדואר של המפעיל אצל גוגל (Gmail).
• Fontshare ‏(Indian Type Foundry): כשנפתחים העמודים באנגלית, בספרדית או בגרמנית, הדפדפן מבקש ממנה את הגופנים, ולכן היא מקבלת את כתובת ה‑IP. בעמודים בעברית הגופנים האלה לא נטענים.
• גוגל ‏(Chrome UX Report), רק כשמבקשים נתוני מהירות של משתמשים אמיתיים: היא מקבלת את כתובת האתר, אף פעם לא את כתובת האימייל.
• בשביל המדגם של הבינה המלאכותית, השאלות, שכוללות את האתר, המותג, השוק, מה שמוכרים, העיר והמתחרים, נשלחות אל: Anthropic Ireland, Limited ‏(Claude עם חיפוש ברשת; העיבוד נעשה בארצות הברית, ושם נמצאים גם ספקי החיפוש שלה, ביניהם Brave); OpenAI ‏(ChatGPT; ארצות הברית); Perplexity AI, Inc. ‏(ארצות הברית); וכשנמדדות תשובות הבינה המלאכותית של גוגל, DataForSEO OÜ ‏(אסטוניה). הם אף פעם לא מקבלים את כתובת האימייל.

5. העברות אל מחוץ לאזור הכלכלי האירופי

חלק מהספקים נמצאים בארצות הברית (העיבוד וספקי החיפוש של Anthropic, ‏OpenAI, ‏Perplexity ו‑Cloudflare) או ניגשים למידע מחוץ לאזור הכלכלי האירופי (התמיכה של Zoho בהודו). ההעברה נשענת על התניות החוזיות התקניות (SCC) של הנציבות האירופית (החלטה 2021/914), ובמקרה של Cloudflare, שמוסמכת במסגרת, גם על מסגרת פרטיות המידע בין האיחוד האירופי לארצות הברית (EU-U.S. Data Privacy Framework). אפשר לבקש עותק של אמצעי ההגנה בכתובת [email protected].

6. כמה זמן אנחנו שומרים מידע

• טביעת האצבע של קוד האימות: נמחקת כשהאימייל מאומת, ואם אף אחד לא משתמש בקוד, לכל המאוחר יום אחרי שתוקפו פג (התוקף פג אחרי 15 דקות).
• מוני הבקשות נגד שימוש לרעה: טביעות האצבע של ה‑IP ושל האימייל שבהם נמחקות אחרי 30 יום. אלה שברשומה של כל סריקה נשמרות כל עוד הסריקה קיימת.
• הדוח, נתוני הקלט, כתובת האימייל, תשובות הבינה המלאכותית, בקשות האבחון והמשוב: נשמרים כדי לתת את השירות ולעקוב אחריו. עדיין אין מחיקה אוטומטית: עד שתהיה, אנחנו מוחקים אותם בכל עת לפי בקשה, ונציין כאן את התקופה.
• הוכחת ההסכמות ורשימת ההסרה: רק טביעת אצבע של כתובת האימייל, שנשמרת כל עוד אנחנו צריכים להוכיח הסכמה או לכבד הסרה.
• אצל הספקים: כל ספק שומר את הבקשות לפי התנאים שלו. לפי התנאים שהם מפרסמים, ‏Anthropic ו‑OpenAI שומרות אותן עד 30 יום (יותר אם בקשה סומנה בגלל שימוש לרעה), ו‑DataForSEO עד 12 חודשים.

7. זכויות

בכתובת [email protected] כל אחד יכול לבקש:

• עיון, תיקון, מחיקה, הגבלת עיבוד, ניידות והתנגדות (סעיפים 15 עד 18, 20 ו‑21 ל‑GDPR);
• ביטול הסכמה, בכל עת, בלי לפגוע במה שנעשה לפני כן.

אפשר גם להגיש תלונה לרשות להגנת מידע. הרשות המפקחת עלינו היא נציבות הגנת המידע וחופש המידע של ברלין (Berliner Beauftragte für Datenschutz und Informationsfreiheit); אפשר לפנות גם לרשות במקום המגורים.

מי שמוזכר בדוח יכול לבקש שנתקן או נסיר את האזכור: איך אנחנו קוראים אתרים.

8. אימיילים שיווקיים

כרגע אנחנו לא שולחים אימיילים שיווקיים. אם נציע אותם, נשאל על כך בנפרד, אחרי שהאימייל מאומת: שתי שאלות עצמאיות (כן / לא), בלי שום תשובה שמסומנת מראש; הסריקה ניתנת גם בלי להסכים, ובכל אימייל שיווקי יהיה קישור להסרה בלחיצה אחת.

אתם יכולים להתנגד בכל עת לשימוש במידע שלכם לשיווק.

9. האם חובה למסור את כתובת האימייל?

שום חוק לא מחייב זאת, אבל בלעדיה אי אפשר לשלוח את הקוד או את הקישור לדוח, ולכן אין סריקה.

10. החלטות אוטומטיות

אנחנו לא מקבלים החלטות אוטומטיות שיש להן השפעה משפטית על אנשים (סעיף 22 ל‑GDPR). המגבלות למניעת שימוש לרעה רק עוצרות בקשות חוזרות.

11. דפדפן, עוגיות ופיקסלים

אנחנו לא שמים עוגיות משלנו ולא משתמשים בעוגיות של פרסום או של ניתוח נתונים, ובאימיילים אין פיקסלי מעקב. ‏Turnstile נטען רק כשמישהו מתחיל להשתמש בטופס הסריקה.

12. הקישור לדוח

הדוח נמצא בקישור שאינו מפורסם: כל מי שיש בידיו את הקישור יכול לפתוח אותו. מנועי חיפוש לא מאנדקסים את עמודי הדוח, והם לא מעבירים את הכתובת שלהם לאתרים אחרים.

13. שינויים וגרסה

גרסה 0.10 מ‑31 באוקטובר 2026. אנחנו מעדכנים את ההודעה הזאת כשהשירות או הספקים שלו משתנים; הגרסאות הקודמות נשארות בארכיון.