0. על מי המסמך הזה, ומי אחראי

עד שהשלושה נקבעים, אין למסמך הזה כותרת.

1. איזה מידע נאסף על ילדי, ואיזה עלי

1.1 על הילד

בטופס ההרשמה נשמרים שלושה דברים בלבד:

• שם מלא
• בית הספר
• הכיתה, כפי שמילאתם אותה בטופס, למשל ד'2

מה שאיננו שומרים על הילד, ואפשר לומר את זה בוודאות:

• אין תאריך לידה ואין שנת לידה. לא רק שאיננו מבקשים אותם: אין להם עמודה במערכת. התאמת הגיל לתוכנית נעשית לפי הכיתה.
• אין כתובת מגורים, אין מספר זהות ואין פרטי בריאות. אין להם עמודה באף טבלה.

בהמשך השנה נשמר גם דיווח השיעורים: מתי התקיים שיעור, האם התקיים, והאם התלמיד ביטל. המורה יכול לצרף הערה חופשית לשיעור.

1.2 עליכם, ההורים

• שם מלא של ההורה שנרשם ומשלם
• מספר טלפון. זה שדה חובה
• מספר טלפון של הורה נוסף, אם מילאתם
• מספר הטלפון לקבוצת הוואטסאפ, וסימון שהוא מיועד לכך
• מתי אישרתם את התנאים

שימו לב, וזה נאמר כאן במפורש כי הטופס מציע לכם את זה: המספר לקבוצת הוואטסאפ יכול להיות המספר של הילד עצמו. אם בחרתם כך, המערכת שומרת טלפון של קטין.

1.3 חשבון הגוגל

הכניסה לאפליקציה היא בחשבון גוגל בלבד. אין סיסמה ואין הרשמה נפרדת.

מה שגוגל אמורה למסור לנו בכניסה: מזהה קבוע, כתובת המייל, האם היא מאומתת, ושם מלא.

1.4 יומן פעילות

המערכת רושמת מי ביצע איזו פעולה ועל איזו רשומה.

מה שאינו נרשם ביומן:

• אין כתובת IP ואין זיהוי דפדפן. אין להם עמודה.
• אין שם, אין טלפון, אין כיתה ואין מחיר

בהרשמה מהקישור הציבורי היומן רושם שנרשמה הרשמה, בלי לזהות מי מילא, כי להורה אין חשבון במערכת בכלל.

1.5 עובדה שכדאי לדעת: להורה אין חשבון

ההרשמה עוברת דרך קישור, ולא דרך משתמש. אין לכם שם משתמש, אין לכם סיסמה, ואין לכם רשומה במערכת שמייצגת אתכם כמשתמשים. הכתיבה מהטופס עוברת בנתיב יחיד וצר שאין לו הרשאת קריאה לשום דבר.

המשמעות המעשית, ויש לה שני צדדים: אין עליכם פרופיל שנצבר, וגם אין לכם מסך שבו תוכלו לראות או לתקן את מה שנשמר. ראו סעיף 6.

2. מי רואה את המידע

התשובה שונה לכל אחד, והיא נגזרת ממה שהמערכת מתירה ולא ממה שהתכוונו:

2.1 המורה של הילד

רואה:

• שם הילד, בית הספר והכיתה, לתלמידים שרשומים לקבוצה שהוא מלמד
• את שמכם ואת מספרי הטלפון שלכם
• את דיווחי השיעורים של קבוצותיו, והוא זה שכותב אותם
• את פרטי איש הקשר בבית הספר

זה מכוון ולא תקלה. המורה פותח את קבוצת הוואטסאפ ומכניס אליה את המספר שמילאתם, והמסך שלו מציג את הטלפון עם כפתורי חיוג ווואטסאפ.

אינו רואה, בשום מסך ובשום צורה:

• שום דבר שקשור לכסף. לא מחיר, לא חוב ולא תשלום. אין לו ולו הרשאה אחת על טבלת התשלומים, ולכן שאילתה שלו מחזירה אפס שורות
• את אמצעי התשלום השמור. אותו דבר בדיוק
• את חשבון הגוגל שמחובר לילד
• את יומן הפעילות
• תלמידים שאינם בקבוצותיו. כל אחת מההרשאות שלו מסוננת לקבוצות שהוא מלמד

2.2 המנהל בעמותה

רואה הכול: כל התלמידים, כל ההורים, כל התשלומים, אמצעי התשלום השמורים, ויומן הפעילות.

2.3 האם מישהו יכול לראות הכול, מחוץ למערכת

כן, וזה נאמר כאן ולא מוסתר. כל ההגנות שתוארו למעלה חלות על האפליקציה. מי שמחזיק גישה ניהולית ישירה לשרת המסד קורא כל רשומה ואינו כפוף לאף אחת מהן.

2.4 מה מונע מהמערכת לדלוף בטעות

זה אינו סעיף שהורה צריך לקרוא, והוא כאן כדי שמי שכותב את המסמך הסופי ידע שהוא נכון:

• ברירת המחדל היא סגורה. בלי זהות מוזרקת, כל שאילתה מחזירה אפס שורות ולא שגיאה
• על כל טבלה במערכת מופעלת אכיפה ברמת שורה, פעמיים: גם enable וגם force, כדי שגם בעל הטבלאות לא יעקוף
• אין במערכת "משתמש אנונימי" עם הרשאות. אין תפקיד כזה בכלל
• נתיב ההרשמה הציבורי יכול לכתוב ואינו יכול לקרוא. אין לו הרשאת קריאה על התלמידים, על ההורים ועל ההרשמות
• ולנתיב הציבורי אסור לקבל הרשאת קריאה על פרטי ההורים גם בעתיד. זה לא כתוב כהערה: המערכת עצמה נופלת בהתקנה אם מיגרציה עתידית תנסה לפתוח את זה

3. מה קורה עם פרטי האשראי

זה הסעיף שבו התשובה חזקה, והיא נבדקת ולא מובטחת. אבל לפניה צריכה לבוא הבחנה, כי בלעדיה כל הסעיף מטעה.

3.1 שתי שאלות שונות, וכדאי לשאול את שתיהן

1. מה נאסף ממני בזרימת ההרשמה?
2. מה נשמר אצל העמותה?

התשובות שונות, מפני שדף התשלום אינו שלנו: הוא מתארח אצל ספק הסליקה, ואתם עוברים אליו מתוך הזרימה שלנו.

בדף של הספק תתבקשו ארבעה פרטים:

• מספר כרטיס
• תוקף
• שלוש הספרות בגב הכרטיס
• מספר תעודת זהות של בעל הכרטיס

מתוך הארבעה, מה שנשמר אצל העמותה הוא חודש ושנת התפוגה בלבד (ראו 3.3). שלושת האחרים, כולל מספר תעודת הזהות, נמסרים לספק הסליקה ואינם עוברים דרך השרת שלנו ואין להם מקום במערכת שלנו.

3.2 מה בוודאות אינו אצלנו

• מספר הכרטיס אינו נשמר אצלנו, ואין לו עמודה במערכת.
• ה-CVV אינו נשמר אצלנו, ואין לו עמודה במערכת.
• מספר תעודת הזהות אינו נשמר אצלנו, ואין לו עמודה במערכת.

זו אינה הצהרת כוונות. המערכת סורקת את עצמה בכל התקנה ונופלת אם עמודה כזאת תיווצר, בכל טבלה שהיא, גם כזאת שתיכתב בעתיד.

פרטי הכרטיס מוקלדים בדף של ספק הסליקה ולא בדף שלנו.

3.3 מה כן נשמר אצלנו

כדי לאפשר חיוב חוזר:

• טוקן שהספק החזיר. הוא אינו מספר כרטיס ואי אפשר להפוך אותו לאחד
• מזהה הלקוח אצל ספק הסליקה
• חודש ושנת התפוגה של הכרטיס. בלעדיהם אין גבייה חוזרת

הטענה נשענת על הצהרת הספק ולא על בדיקה עצמאית

את המידע הזה רואה המנהל בלבד. למורה אין אליו גישה בשום צורה.

4. למי המידע עובר

ארבעה גורמים, בשמם:

4.1 Sumit, ספק הסליקה והחשבונות

מה נשלח אליו מאיתנו, וזו הרשימה המלאה:

• שם ההורה המשלם
• הטלפון של ההורה המשלם
• כתובת מייל, אם קיימת
• תיאור החיוב: "תוכנית הנגינה" ושם בית הספר. אין בו שם התלמיד
• הסכום לחיוב

מה שאיננו שולחים אליו: שם התלמיד, הכיתה, והטלפון של הורה 2. אלה כלל אינם מגיעים לשכבת התשלום: פונקציית ההרשמה מחזירה לה שלוש עמודות בלבד, וששת השדות שלמעלה הם כל מה שנבנה בבקשה.

מה שאתם מוסרים לו ישירות, בדף שלו ולא דרכנו: מספר הכרטיס, התוקף, שלוש הספרות בגב, מספר תעודת הזהות של בעל הכרטיס, וכתובת המייל לקבלה. הפרטים האלה אינם עוברים בשרת שלנו.

4.2 גוגל

הכניסה בחשבון גוגל. גוגל היא זו שמאמתת אתכם, ולכן היא יודעת על כל כניסה, ומוסרת לנו את פרטי הזהות שבסעיף 1.3.

מה שכן ידוע לנו על הכיוון השני: חילופי הזהות מול גוגל נעשים בשרת שלנו, והתשובה של גוגל אינה יוצאת ממנו אל הדפדפן.

4.3 ספקי התשתית

• Supabase: השרת שבו יושבים כל הנתונים
• Vercel: השרת שבו רצה האפליקציה

4.4 וואטסאפ (Meta), וכאן צריך לדייק

המערכת אינה שולחת היום שום הודעה בוואטסאפ. יש הצהרה על רכיב כזה בתכנון, ואין לו מימוש בקוד.

מה שכן קורה: המורה פותח קבוצת וואטסאפ בעצמו, מהטלפון שלו, ומכניס אליה את המספר שמילאתם.

5. כמה זמן המידע נשמר

התשובה הכנה: כמעט על שום דבר, לא הוכרע.

6. איך מוחקים, איך מתקנים, ולמי פונים

היום: אין מנגנון. וזה נכתב כפי שהוא, ולא מומצא מסך שאינו קיים.

מה שכן קיים: למנהל יש במסד הרשאה למחוק תלמיד ואיש קשר. כלומר מחיקה אפשרית טכנית, בגישה ישירה למסד, ואין לה מסך ואין לה נוהל.

7. שינויים במסמך

הטופס כבר מכיל היום התחייבות אחת מסוג זה, והיא נוגעת למחיר ולא לפרטיות: "ונעדכן אתכם לפני כל שינוי".

8. מה שהמסמך הזה מכיר בכך שאינו יודע

לא ניסוח רך. שאלות בלי תשובה, וכולן חוזרות ב-docs/משפטי/הכרעות-פתוחות.md עם בעלים:

1. האם העמותה היא "גוף ציבורי". קובע משטר שלם.
2. מה נדרש לאיסוף נתוני קטינים, כשההסכמה היא של ההורה והחשבון הוא של הילד.
3. כמה זמן נשמר מה. אין תשובה לאף פריט מלבד הסשן.
4. איך מוחקים ומתקנים, ולמי פונים.
5. מה auth.users של ספק האימות מחזיקה, וכמה זמן.
6. מה Sumit, גוגל, Supabase ו-Vercel שומרים בעצמם, ובכלל זה מה Sumit עושה במספר תעודת הזהות שהוא מבקש.
7. האם תוקף כרטיס וטוקן הם "פרטי אשראי" לעניין הנוסח שההורה קורא היום.
8. מי מחזיק גישה ניהולית ישירה למסד.
9. איך מתארים את מסירת הטלפון לוואטסאפ כשהמורה עושה אותה ולא המערכת.
10. מה מגביל את שדה ההערה החופשי בדיווח שיעור.

9. מה המסמך הזה אינו מכסה, במפורש

• תנאי שימוש. מסמך אחר. טיוטה שלהם קיימת ב-docs/אפיון/נוסחי טופס ההרשמה - 18.8.2026.md:226-279, והיא עצמה מסומנת שם כטיוטה שדורשת עורך דין.
• מדיניות ביטולים והחזרים. מסומנת כפתוחה שם.
• חוות דעת משפטית. אין כאן אחת, ובמכוון.
• עמוד חי, כתובת אינטרנט או פרסום. מתי ואיפה מתפרסם, ומה נמסר לגוגל, הן החלטות של נעם.