מדיניות פרטיות

מדיניות זו מסבירה איזה מידע אישי HackGrade אוסף, למה, מי מקבל אותו, כמה זמן אנחנו שומרים אותו ומה הזכויות שלכם. היא חלה על האתר hackgrade.com, על חשבון HackGrade שלכם, על הסריקות והדוחות שלנו, על צ'אט התמיכה ועל הודעות הדוא"ל שלנו. היא נכתבה כדי לעמוד בחוק הגנת הפרטיות, התשמ"א-1981 (כפי שתוקן בתיקון 13), ב-GDPR של האיחוד האירופי ושל בריטניה ובחוק פרטיות הצרכן של קליפורניה (CCPA), ולגבי התחברות עם Google גם במדיניות נתוני המשתמשים של שירותי ה-API של Google.

1. מי אנחנו

HackGrade (hackgrade.com) הוא שירות לסריקת אבטחה של אתרים שפועל מישראל. HackGrade הוא בעל השליטה במאגר המידע (Controller) שבו נשמר המידע האישי שלכם. לכל שאלה או בקשה בנושא פרטיות כתבו אל support@hackgrade.com.

2. מה אנחנו אוספים

• נתוני חשבון: כתובת הדוא"ל, גיבוב (hash) של הסיסמה אם הגדרתם סיסמה (אף פעם לא הסיסמה עצמה), השפה, המסלול, ומתי אישרתם את הדוא"ל וקיבלתם את התנאים.
• התחברות עם Google או GitHub: אם בחרתם בה, רק כתובת הדוא"ל ומזהה החשבון שהספק מקצה לכם. סעיף 3 מסביר בדיוק מה אנחנו מקבלים ואיך אנחנו משתמשים בזה.
• אתרים ואימות: הדומיינים שאתם מוסיפים, שיטת האימות והאסימון, ותוצאות הבדיקות התקופתיות של הבעלות.
• הרשאות סריקה: לכל הרשאת סריקה שאתם מקבלים אנחנו רושמים את האתר, את התאריך והשעה, את הגרסה ואת טביעת האצבע (hash) של הנוסח המדויק שראיתם, את השפה, את כתובת ה-IP ואת סוג הדפדפן (user agent). זו ההוכחה שלנו שהסריקה הייתה מורשית.
• אתרים שנסרקו, תוצאות ודוחות: כתובות האתרים שאתם סורקים, מה הסריקות שלנו מצאו בהם, היסטוריית סריקות, ציונים ודוחות PDF. הם עשויים לכלול קטעים קצרים מדפי האתר (למשל כותרת או הודעת שגיאה) כהוכחה. אנחנו מסתירים סודות ומידע אישי שאנחנו מזהים בקטעי ההוכחה.
• פרטי חשבון בדיקה (לא חובה): אם תמסרו לנו חשבון בדיקה לסריקות מחוברות, נשמור את שם המשתמש והסיסמה מוצפנים (Fernet, ‏AES-128 עם בדיקת שלמות HMAC). הם מפוענחים רק בזיכרון בזמן שהסריקה רצה, לא מוצגים שוב ולא נכתבים ליומנים, ונמחקים אוטומטית אחרי 90 יום בלי שימוש, או מיד כשאתם מסירים אותם.
• מיתוג (מסלולי Agency): שם הסוכנות והלוגו שאתם מעלים לדוחות במיתוג עצמי.
• סריקות חינמיות: כתובת האתר שאתם מזינים והתוצאות. אנחנו שומרים גיבוב עם "מלח" של כתובת ה-IP שלכם (לא את הכתובת עצמה) כדי למנוע ניצול לרעה.
• יומני אבטחה ושימוש: סשנים של התחברות (עם כתובת IP מגובבת וסוג הדפדפן), מוני הגבלת קצב ויומני הגישה של שרת האינטרנט שלנו, שמתעדים את כתובת ה-IP, את הדפדפן, את הדף שהתבקש ואת השעה.
• תשלומים: מטופלים על ידי ספקי התשלום שלנו. אנחנו מקבלים רק את המסלול, הסכום, סטטוס התשלום ומזהה לקוח, אף פעם לא את מספר הכרטיס המלא.
• הודעות: מה שאתם שולחים לנו בדוא"ל, למשל אל support@hackgrade.com.
• צ'אט התמיכה: כתובת הדוא"ל שאתם מזינים לפני הצ'אט (אנחנו לא מבקשים את השם שלכם), ההודעות שלכם והתשובות שלנו (של Grady, עוזר ה-AI שלנו, או של נציג מהצוות), הדף שממנו כתבתם, השפה, כתובת IP מגובבת (hash) והדירוג (אגודל למעלה או למטה) שנתתם לתשובה. אם אתם מחוברים, השיחה מקושרת לחשבון ו-Grady יכול להשתמש במסלול, בתאריך החידוש, באתרים, בציונים ובממצאים העיקריים כדי לענות לכם. כשאתם יוצאים מהצ'אט, אנחנו שולחים לכם עותק של השיחה בדוא"ל.
• הסכמה לדיוור שיווקי (לא חובה): אם תסמנו את התיבה לקבלת טיפים לאבטחה והצעות, נתעד את כתובת הדוא"ל, את המועד, את הנוסח המדויק שהוצג לכם ואת הגרסה שלו, את השפה, את המקום שבו הסכמתם וכתובת IP מגובבת. כל עוד אתם רשומים, ייתכן שנתעד גם שצפיתם במסלול או שהתחלתם תשלום, כדי לחזור אליכם. אצל מי שלא נרשם לא נתעד דבר כזה.
• עוגיות: ראו סעיף 10.

אינכם חייבים על פי חוק למסור את המידע הזה, אבל בלי כתובת דוא"ל (עם סיסמה, קישור התחברות או ספק התחברות) לא נוכל לפתוח חשבון, בלי אימות והרשאה לא נוכל להריץ סריקות עומק, ובלי תשלום לא נוכל לספק מסלולים בתשלום.

3. התחברות עם Google (ועם ספקים אחרים)

אפשר ליצור חשבון HackGrade ולהתחבר באמצעות חשבון Google במקום סיסמה. סעיף זה מסביר בדיוק מה קורה למידע שאנחנו מקבלים מ-Google.

מה אנחנו מקבלים. אנחנו מבקשים מ-Google רק את ההרשאות (scopes) ‏"openid" ו-"email". מ-Google אנחנו מקבלים ושומרים רק את כתובת הדוא"ל, את המידע אם Google אימתה אותה, ואת מזהה חשבון Google (מספר שמזהה עבורנו את חשבון Google שלכם). איננו מבקשים ואיננו מקבלים את השם, תמונת הפרופיל, אנשי הקשר, היומן, הקבצים ב-Google Drive, ההודעות ב-Gmail או כל מידע אחר מ-Google, ואין לנו שום גישה אחרת לחשבון Google. איננו שומרים את האסימונים (tokens) ש-Google מנפיקה בהתחברות: אנחנו משתמשים בהם פעם אחת כדי לאמת את זהותכם, ואז מוחקים אותם.

למה אנחנו משתמשים בזה. רק כדי ליצור את חשבון HackGrade, לחבר אתכם אליו, לשמור את הקישור בינו לבין חשבון Google ולשלוח לכתובת הזו את הודעות הדוא"ל של החשבון (כמו התראות אבטחה, תוצאות סריקה והודעות חיוב). איננו משתמשים בזה לשום מטרה אחרת.

איך אנחנו שומרים ומגינים על המידע. כתובת הדוא"ל ומזהה חשבון Google נשמרים במסד הנתונים של החשבונות בשרתים שלנו. כל המידע עובר בחיבורים מוצפנים (HTTPS עם TLS 1.2 ומעלה), תהליך ההתחברות מוגן ב-PKCE ובערך state חד-פעמי, ואנחנו בודקים את החתימה של אסימון הזהות של Google לפני שאנחנו סומכים עליו. הגישה למסד הנתונים מוגבלת למערכות של HackGrade ולאנשי הצוות שזקוקים לה כדי להפעיל את השירות.

שיתוף. איננו מוכרים מידע שהתקבל מ-Google ואיננו משתפים אותו עם אף אחד, מלבד ספקי האחסון והדוא"ל שמפורטים בסעיף 5, ורק במידה שנדרשת כדי לנהל את החשבון ולשלוח את הודעות הדוא"ל שלו, או כשהחוק מחייב. לעולם איננו משתמשים בו לפרסום, לעולם איננו שולחים אותו לספק ה-AI של Grady או לכל שירות AI אחר, ואיננו משתמשים בו כדי לפתח, לשפר או לאמן מודלים של AI או של למידת מכונה. אף אדם לא קורא אותו, אלא אם ביקשתם זאת, אם זה נדרש לבירור אירוע אבטחה או ניצול לרעה, או אם החוק מחייב.

שמירה ומחיקה. אנחנו שומרים את המידע הזה כל עוד החשבון פתוח. כשאתם מוחקים את החשבון בהגדרות החשבון, כתובת הדוא"ל ומזהה חשבון Google נמחקים מיד מהמערכות הפעילות שלנו, וגיבויים נדרסים תוך 30 יום. התחברות שהתחלתם ולא השלמתם נמחקת אחרי 30 דקות. אפשר גם לבקש מאיתנו למחוק את המידע בכתיבה אל support@hackgrade.com. בכל עת אפשר לבטל את הגישה של HackGrade לחשבון Google בכתובת myaccount.google.com/permissions; כך לא תוכלו עוד להתחבר עם Google, אבל חשבון HackGrade לא יימחק. אם תרצו למחוק גם אותו, מחקו אותו בהגדרות החשבון או כתבו לנו.

שימוש מוגבל (Limited Use). השימוש וההעברה של מידע שמתקבל מממשקי ה-API של Google על ידי HackGrade עומדים במדיניות נתוני המשתמשים של שירותי ה-API של Google, כולל דרישות השימוש המוגבל (Limited Use). ‎HackGrade's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.‎

ספקים אחרים. התחברות עם GitHub פועלת באותו אופן: אנחנו שומרים רק את מזהה המשתמש ב-GitHub ואת כתובת הדוא"ל הראשית המאומתת, ומשתמשים בהם רק כדי ליצור את החשבון ולחבר אתכם. ההרשאות של GitHub ‏("read:user" ו-"user:email") מציגות לנו גם את הפרופיל הציבורי, אבל איננו שומרים אותו. אם נוסיף ספק התחברות נוסף, נפרט אותו כאן מראש.

4. למה אנחנו משתמשים במידע והבסיס החוקי

• כדי לספק את השירות שביקשתם: חשבונות והתחברות, סריקות, דוחות, ניטור והתראות (ביצוע החוזה איתכם).
• כדי לוודא שרק מי שמורשה סורק אתר, לשמור ראיות להרשאה ולמנוע הונאה וניצול לרעה (האינטרס הלגיטימי שלנו לפעול כחוק ובבטחה, והחובות החוקיות שלנו).
• כדי לחייב אתכם ולנהל רישומי הנהלת חשבונות (חוזה וחובה חוקית).
• כדי לשלוח הודעות שירות כמו קודים וקישורי התחברות, אימות, התראות אבטחה, תוצאות סריקה ותזכורות חידוש (חוזה). דיוור שיווקי נשלח רק אם הסכמתם לכך, ואפשר להסיר את עצמכם בכל עת.
• כדי לשמור על אבטחת השירות והחשבון שלכם באמצעות רישומי התחברות ויומני שרת (אינטרס לגיטימי).
• כדי לשפר את השירות באמצעות סטטיסטיקה אנונימית ומצטברת (אינטרס לגיטימי).
• כדי לענות על פניות התמיכה שלכם בצ'אט ובדוא"ל (חוזה, או האינטרס הלגיטימי שלנו לעזור למבקרים), וכדי לשלוח טיפים לאבטחה והצעות רק אם נרשמתם (הסכמה, שאפשר לבטל בכל עת דרך קישור ההסרה או בהגדרות החשבון).

ביצירת החשבון אנחנו מבקשים מכם לאשר שקראתם מדיניות זו. האישור הזה מתעד שמסרנו לכם את המידע; הוא אינו הסכמה לעיבוד. אנחנו מסתמכים על הבסיס המשפטי שצוין למעלה לכל מטרה, וכשהבסיס הוא הסכמה (מיילים שיווקיים) אנחנו מבקשים אותה בנפרד, בתיבה משלה שאינה מסומנת מראש. כשהדין הישראלי דורש הסכמה לאחת המטרות שלמעלה, אתם נותנים אותה כשאתם משתמשים בשירות אחרי שקיבלתם את המידע במדיניות זו, ואפשר לחזור בכם ממנה בכל עת על ידי מחיקת החשבון. איננו מוכרים את המידע האישי שלכם, איננו "משתפים" אותו לפרסום התנהגותי בין הקשרים, איננו משתמשים בו לאימון מודלים של AI, ואיננו משתמשים בו להחלטות אוטומטיות שיש להן השפעה משפטית עליכם.

5. מי מקבל את המידע שלכם

אנחנו נעזרים במספר קטן של נותני שירות ("מעבדים") שפועלים רק לפי ההוראות שלנו ולפי חוזים שמגינים על המידע שלכם:

• אחסון: Contabo, שמארחת את השרתים, את מסד הנתונים ואת תשתית הסריקה שלנו.
• משלוח דוא"ל: Resend, שמוסרת את הודעות החשבון, ההתחברות וההתראות שלנו.
• דוא"ל נכנס: Cloudflare, שמקבלת את ההודעות שאתם שולחים אל support@hackgrade.com ומעבירה אותן לצוות התמיכה שלנו.
• עוזר AI: OpenAI, שמפיקה את התשובות של Grady בצ'אט התמיכה. היא מקבלת את הודעות הצ'אט שלכם, ואם אתם מחוברים גם את פרטי החשבון שמפורטים בסעיף 2 (המסלול, תאריך החידוש, האתרים, הציונים והממצאים העיקריים, אבל לא את כתובת הדוא"ל), רק כדי להפיק את התשובה. אל תשתפו בצ'אט סיסמאות או מספרי כרטיס.
• תשלומים: כשאתם רוכשים מסלול בתשלום, ספקי התשלום שלנו Grow (משולם) ו-Paddle. ‏Paddle פועלת כמשווקת והיא בעלת שליטה עצמאית במידע התשלום שהיא אוספת.

אם אתם מתחברים עם Google או GitHub, הספק מאשר לנו את זהותכם לפי מדיניות הפרטיות שלו; איננו שולחים לו שום מידע על השימוש שלכם ב-HackGrade.

אנחנו עשויים גם למסור מידע כשהחוק מחייב, כדי להגן על אנשים או על השירות שלנו מפני נזק, או לבעל אתר או לחברת האחסון שלו כשהאתר נסרק בלי הרשאה. אם העסק שלנו יימכר או יתמזג, המידע שלכם עשוי לעבור לבעלים החדשים לפי מדיניות זו.

6. העברות בין-לאומיות

אנחנו פועלים מישראל, שהנציבות האירופית מכירה בה כמדינה שמעניקה הגנה נאותה. השרתים שלנו נמצאים באיחוד האירופי, והספקים שלנו עשויים לעבד מידע באיחוד האירופי, בארצות הברית או במדינות אחרות. כשמידע יוצא מישראל, מהאיחוד האירופי או מבריטניה, אנחנו מסתמכים על החלטות הלימות או על סעיפים חוזיים תקניים ועל אמצעי ההגנה של הספקים שלנו.

7. כמה זמן אנחנו שומרים מידע

• חשבון, זהויות התחברות (Google או GitHub), אתרים, היסטוריית סריקות ודוחות: כל עוד החשבון פתוח. כשאתם מוחקים את החשבון, אנחנו מוחקים אותם מהמערכות הפעילות מיד; גיבויים נדרסים תוך 30 יום.
• רשומות הרשאות סריקה: כל עוד החשבון פתוח. כשאתם מוחקים את החשבון, אנחנו מסירים מהן את כתובת ה-IP ואת פרטי הדפדפן ושומרים את השאר (האתר, התאריך והשעה, גרסת הנוסח וטביעת האצבע שלו) עד 7 שנים, כראיה לכך שהסריקות אושרו, ואז מוחקים אותן. הבסיס המשפטי: האינטרס הלגיטימי שלנו בהגנה מפני תביעות ובבירורן.
• פרטי חשבון בדיקה: עד 90 יום אחרי השימוש האחרון, או עד שאתם מסירים אותם.
• תוצאות סריקות חינמיות: עד 12 חודשים.
• סשנים: עד 14 יום. התחברויות שלא הושלמו: 30 דקות. מוני הגבלת קצב והתחברות: עד 30 יום.
• יומני הגישה של שרת האינטרנט: עד 14 יום.
• עותקים של הודעות דוא"ל שאנחנו שולחים לכם: עד 90 יום.
• הרשמות לרשימת ההמתנה: עד שהודענו לכם על ההשקה, או מוקדם יותר אם תבקשו שנסיר אתכם.
• רשומות תשלום וחשבוניות: כל עוד דיני המס והנהלת החשבונות מחייבים (בישראל, בדרך כלל 7 שנים).
• ראיות לטיפול בהחזרים ובמחלוקות תשלום (אישורים בעת התשלום, אישורי פתיחת דוח מלא ומזהה מייל האישור, מועדי צפייה בדוח מלא והורדת PDF, כולל כתובת IP ודפדפן): לפחות 18 חודשים, גם אם מחקתם את החשבון, ואז נמחקות. בסיס חוקי: האינטרס הלגיטימי שלנו בטיפול בהחזרים ובביטולי עסקאות (chargeback).
• שיחות בצ'אט התמיכה: נמחקות אוטומטית 180 ימים אחרי ההודעה האחרונה. אפשר למחוק שיחה מוקדם יותר בהגדרות החשבון, והשיחות המקושרות נמחקות כשאתם מוחקים את החשבון.
• הסכמה לדיוור שיווקי: כל עוד אתם רשומים. אחרי הסרה נשמור רק את כתובת הדוא"ל, את תיעוד ההסכמה ואת תאריך ההסרה, כדי להוכיח את ההסכמה ולוודא שלא נשלח לכם שוב דיוור שיווקי. תיעוד מעקב אחרי מסלולים ותשלומים: עד 90 ימים.

8. אבטחה

אנחנו מגינים על המידע בהצפנה בתעבורה (TLS 1.2 ומעלה), בהצפנה של פרטי חשבונות הבדיקה במנוחה, בגיבוב של סיסמאות ושל כתובות IP, במסד נתונים שרק המערכות שלנו ואנשי צוות מורשים יכולים לגשת אליו, בבקרות גישה מחמירות, במדיניות אבטחת תוכן (CSP) מחמירה ובבדיקות אבטחה קבועות של הפלטפורמה שלנו עצמה. אם יתרחש אירוע אבטחה שמשפיע על המידע האישי שלכם, נודיע לכם ולרשויות המוסמכות כפי שהחוק מחייב.

9. הזכויות שלכם

בהתאם למקום מגוריכם, אתם יכולים לבקש מאיתנו: לעיין במידע שאנחנו מחזיקים עליכם ולקבל עותק שלו; לתקן אותו; למחוק אותו; להגביל שימושים מסוימים או להתנגד להם; לקבל אותו בפורמט נייד (ניוד מידע); ולחזור בכם מהסכמה. תושבי קליפורניה יכולים גם לממש את הזכות לדעת ואת הזכות למחיקה, ולא יופלו לרעה בשל מימוש זכויותיהם. אתם יכולים למחוק את החשבון בעצמכם בהגדרות החשבון. אם אין לכם חשבון (למשל השתמשתם רק בצ'אט התמיכה, ברשימת ההמתנה או במיילים שלנו), אפשר למחוק את המידע הזה בדף מחיקת הנתונים שלי. לכל בקשה אחרת כתבו אל support@hackgrade.com. נשיב תוך חודש, וייתכן שנצטרך לאמת את זהותכם. אפשר גם להגיש תלונה לרשות להגנת הפרטיות בישראל, או באיחוד האירופי ובבריטניה לרשות להגנת המידע המקומית.

10. עוגיות

אנחנו משתמשים רק בעוגיות הכרחיות לשירות: עוגיית סשן של התחברות ועוגיית אבטחה (CSRF), ששתיהן תקפות עד 14 יום; עוגיות קצרות טווח שמגינות על התחברות בזמן שהיא מתבצעת (עד 30 דקות); ואחרי שאישרתם קוד התחברות, עוגיית אבטחה שמסמנת למשך 30 יום שבדפדפן הזה כבר הוכחתם גישה לכתובת המייל שלכם. היא לא משאירה אתכם מחוברים: היא חלק מאבטחת ההתחברות, שמבקשת קוד בדפדפנים שהיא לא מזהה, ולכן היא הכרחית. אם תמחקו אותה, פשוט נבקש קוד בהתחברות הבאה. אם אתם משתמשים בצ'אט התמיכה, אנחנו שומרים גם עוגייה הכרחית לצ'אט כדי שתוכלו להמשיך את השיחה; היא פגה תוך 180 ימים לכל היותר. בחירת השפה שלכם נשמרת באחסון המקומי של הדפדפן. איננו משתמשים בעוגיות פרסום או סטטיסטיקה ואיננו טוענים רכיבי מעקב או גופנים של צד שלישי. ראו את הודעת העוגיות.

11. קטינים

HackGrade אינו מיועד למי שמתחת לגיל 18, ואיננו אוספים ביודעין מידע עליהם. אם נראה לכם שקטין מסר לנו מידע אישי, כתבו אל support@hackgrade.com ונמחק אותו.

12. שינויים

כל שינוי יפורסם כאן עם גרסה ותאריך חדשים, ואם הוא משמעותי, נודיע לכם בדוא"ל לפני שייכנס לתוקף.

13. יצירת קשר

לכל שאלה על מדיניות זו או על המידע שלכם, או כדי לממש את הזכויות שלכם, כתבו אל support@hackgrade.com.