עדכון אחרון: 2026-10-24 גרסה: 2026-10-24-draft English

מדיניות פרטיות

מדיניות זו מסבירה איזה מידע אישי ועסקי Hotlead אוספת, לאיזו מטרה, עם מי היא משתפת אותו, כמה זמן הוא נשמר ואיך אפשר לפנות אלינו בעניינו. היא מתארת את פעולת המוצר.

טיוטה. נוסח זה הוא טיוטת עבודה שנכתבה על בסיס פעולת המוצר בפועל והפעולה המתוכננת שלו. פריטים מודגשים בסוגריים מרובעים הם פרטים שטרם הושלמו. הנוסח טרם נבדק על ידי עורך דין.

1. מי אנחנו

Hotlead היא שוק פרסום בתשלום לפי המרה. ספקים הם בעלי אתרים שיש בהם שטחי פרסום: הם מעמידים לרשות Hotlead מקומות לבאנרים באתר שלהם ("שטחי פרסום") ומתקינים בו את סקריפט האתר של Hotlead. לקוחות (מפרסמים) מעלים באנרים, ש-Hotlead מציגה בשטחי פרסום מתאימים; מבקר שלוחץ על באנר הוא ליד של הלקוח, והלקוח משלם רק כאשר הליד הזה הופך למכירה. לקוחות מחברים את מערכות ה-CRM, התשלומים, החשבוניות או החנות שלהם, כדי ש-Hotlead תוכל לשייך קליק או הפניה לליד לרשומה באותה מערכת ולזהות מתי נעשתה מכירה. חלק מהספקים שולחים גם לידים דרך ה-API שלנו. Hotlead גם מפעילה יצירת לידים משלה ("Hotlead Direct") ומשיקה עבור לקוחות קמפיינים פרסומיים ודפי נחיתה.

השירות ניתן על ידי [LEGAL ENTITY NAME], מספר חברה [COMPANY NUMBER], כתובת רשומה [REGISTERED ADDRESS] ("Hotlead", "אנחנו"). המדיניות חלה על האתר שלנו בכתובת https://hotlead-app.netlify.app, על הפורטל ללקוחות ולספקים, על ממשק ה-API, על סקריפט האתר ועל הבאנרים שהוא מציג באתרי ספקים, על הטפסים וקישורי הקליקים שאנחנו מארחים ועל החיבורים למערכות ואתרים של צד שלישי.

תפקידנו משתנה לפי סוג המידע: לגבי פרטי החשבון של לקוחות וספקים אנחנו קובעים מדוע ואיך המידע משמש. לגבי מידע על אנשים שמבקרים באתר של ספק שבו מוצגים הבאנרים שלנו, לוחצים על באנר, מגיבים למודעה או ממלאים טופס בדף שאנחנו מארחים, תפקידנו הוא: [HOTLEAD ROLE FOR LEAD DATA].

דין הפרטיות החל: [APPLICABLE PRIVACY LAW].

2. איזה מידע אנחנו אוספים

2.1 לקוחות וספקים (חשבונות)

פרטי חשבון: כתובת דואר אלקטרוני, שם החברה או הספק, סיסמה (נשמרת רק כגיבוב חד-כיווני), כתובת דואר אלקטרוני להתראות אם הוגדרה, ובמקרה של לקוח גם התחום (vertical) שבחרתם בהרשמה ותקציב אופציונלי.
אתרי ספקים: כתובת האתר, נושאו וקהל היעד שלו (תחומים, מדינות ושפה), מספר המבקרים החודשי המשוער (טווח שאתם בוחרים, אופציונלי), האחוז מכל מכירה שאתם מבקשים לקבל והטווח שלכם, והכללים שלכם (תחומים שאתם מחריגים, לקוחות שאתם חוסמים, והאם לקוחות חדשים ממתינים לאישורכם). לכל אתר אנחנו שומרים גם את מה שהסריקה וסקריפט האתר מצאו: הפלטפורמה שעליה הוא בנוי, האם מותקן בו Google Tag Manager ומזהה הקונטיינר, האם ומתי הסקריפט זוהה בו לראשונה ולאחרונה, ותוצאת הסריקה האחרונה.
שטחי פרסום: לכל שטח פרסום, שמו, גודלו, הדף שבו הוא נמצא, מיקום הרכיב בדף (בורר CSS, מהסריקה או מהסימון שלכם), כתובת התמונה שהייתה במקום בעת הסריקה או הסימון, מצבו, והבאנרים שמוצגים בו כעת. מקישור סימון חד-פעמי אנחנו שומרים רק גיבוב.
התקנה בלחיצה אחת: כאשר אתם מבקשים שנתקין את סקריפט האתר, הגישה שאתם מעניקים לשם כך (סיסמת אפליקציה של WordPress, הרשאת גישה ל-Google Tag Manager, או התקנת האפליקציה שלנו ב-Wix או ב-Shopify) ומזהי האתר, החשבון או הקונטיינר שהיא חלה עליהם. הרשאות כאלה נשמרות מוצפנות, כמו פרטי גישה אחרים (סעיף 8).
באנרים של לקוחות: תמונות הבאנר שאתם מעלים וגודלן, הטקסט החלופי (alt) שלהן, היעד שבחרתם (כתובת האתר שלכם או טופס של Hotlead), הטירגוט שלכם (תחומים ומדינות), האחוז מכל מכירה שאתם מוכנים לשלם והטווח שלכם, והאם אתם מאשרים התאמות אוטומטית.
אישור התנאים שלנו: כאשר אתם פותחים חשבון בעצמכם, אתם מסמנים תיבה לאישור תנאי השימוש ומדיניות פרטיות זו. אנחנו רושמים איזו גרסה אישרתם ומתי. בחשבונות שהצוות שלנו פותח עבורכם אין רישום כזה.
מפתחות גישה: מפתחות API נשמרים רק כגיבוב. מפתח ה-API של החשבון מוצג לכם פעם אחת, כאשר הוא נוצר או מוחלף, ולעולם אינו נשלח בדואר אלקטרוני; לאחר מכן הפורטל מציג רק את התווים הראשונים שלו. החלפת מפתח מחייבת את הסיסמה שלכם; המפתח הישן ממשיך לעבוד לתקופת מעבר קצרה (כברירת מחדל 24 שעות) שאפשר לסיים מיד. אנחנו שומרים תיעוד של כל החלפה (החשבון, המועד, מי ביצע אותה והתווים הראשונים של המפתחות, אף פעם לא מפתח עצמו) ושולחים לכם הודעה בדואר אלקטרוני בלי המפתח. הכניסה לפורטל משתמשת בסשן נפרד ולא במפתח ה-API שלכם (ראו עוגיות ואחסון בדפדפן).
פעילות בשוק: הצעות התאמה ואישורים, חוזים, מצבם והשיעור שהוסכם, מודעות של ספקים ששולחים לידים, הדרישות והמגבלות של לקוחות, בקשות לחוזה, ובחוזים: מודל החיוב וכל תקופה שנקבעה.
פרטי חיוב: כאשר הוגדר תשלום בכרטיס אשראי לחשבון לקוח, מזהה הלקוח ב-Stripe ומזהה אמצעי התשלום שצירפתם. מספר הכרטיס מוזן בטופס של Stripe עצמה ומטופל על ידיה; אנחנו מקבלים ומציגים את סוג הכרטיס ואת ארבע הספרות האחרונות.
הגדרות Webhook: אם הגדרתם webhook, כתובתו והסוד שמשמש לחתימה עליו.
מחלוקות: אם לקוח חולק על המרה, הסיבה, התיאור החופשי וסכום ההחזר שהתבקש או אושר.
הצוות שלנו: למנהלי המערכת של Hotlead יש חשבונות והם יכולים לראות מידע של כל הלקוחות והספקים לצורך הפעלת השירות.

2.2 אנשים שמגיבים לפרסום (לידים)

כאשר אדם ממלא טופס בדף נחיתה שאנחנו מארחים, או כאשר ספק שולח לנו ליד דרך ה-API, אנחנו רושמים:

כתובת דואר אלקטרוני ומספר טלפון כגיבוב. אנחנו ממירים אותם לטביעת אצבע חד-כיוונית (SHA-256) ושומרים את טביעת האצבע. מי שכבר מכיר את הכתובת או את המספר יכול להתאים אותם לטביעת האצבע, ולכן אנחנו מתייחסים אליהן כמידע אישי.
שאר תשובות הטופס. דפי נחיתה שאנחנו מארחים שומרים את שאר התשובות כפי שהוזנו. בהתאם לקמפיין, הטפסים יכולים לבקש, למשל, שם פרטי ושם משפחה, תאריך לידה, מיקוד או מדינה, גודל משק בית, טווח הכנסה, טווח דירוג אשראי, מצב תעסוקה ופרטים על נכס או רכב. תשובות אלה אינן הופכות לגיבוב. לידים שספק שולח דרך ה-API עוברים סינון, וערכים שנראים כמו כתובת דואר אלקטרוני, מספר טלפון, כתובת מגורים, שם, תאריך לידה או מספר זהות מוסרים.
נתונים טכניים: כתובת IP, מזהה הדפדפן (user-agent), כתובת מפנה (referrer), מזהי קליק פרסומיים (כמו gclid ו-fbclid), מזהה הקליק שלנו, מזהי משנה שהספק קבע ואם הספק מספק זאת, טביעת אצבע של המכשיר. כתובת ה-IP ומזהה הדפדפן נשמרים כפי שהם, לא כגיבוב.
תיעוד הסכמה: האם ניתנה הסכמה, נוסח ההסכמה שהוצג, מועד ההסכמה וקישור לתעודת TrustedForm שמוכיחה מה הוצג למבקר.
מצב הליד: התחום, ערך משוער ומטבע, הספק והקמפיין, הלקוח שאליו הליד הותאם, האם נראה כשכפול, והתוצאה (למשל עסקה שנסגרה או תשלום שנגבה).

לגבי ליד שהגיע מקליק על באנר, ראו גם סעיף 2.6. הספק שסיפק ליד דרך ה-API יכול לראות את הרשומה של אותו ליד אצלנו, כולל הגיבובים, כתובת ה-IP, מזהה הדפדפן, שדות ההסכמה והמצב. לכל המרה של אותו ליד הספק רואה אם ומתי הליד הומר, את סכום המכירה ואת המטבע שעליהם מחושב חלקו, ואת הרווחים שלו. הוא אינו רואה את המערכות של הלקוח: לא איזו מערכת דיווחה על המכירה, לא את מזהי הרשומות של הלקוח באותה מערכת ולא פרטי חשבוניות. רשומות הליד וההמרה אינן מציינות את שם הלקוח; שם העסק של לקוח מוצג לספק רק בהתאמה או בחוזה ביניהם, ויחד עם הבאנרים של הלקוח שמוצגים באתר של הספק. לקוח רואה את ההמרות והסכומים של הלידים שלו, ואת השם ופרטי הקשר של האדם רק כאשר האדם הסכים בטופס של Hotlead שהם יועברו לאותו לקוח (סעיף 3).

2.3 בדיקות הונאה ושכפול

כאשר ליד מגיע, אנחנו מריצים בדיקות מבוססות כללים: אותה טביעת אצבע של דואר אלקטרוני או טלפון שחוזרת שוב ושוב, אותה טביעת אצבע אצל כמה ספקים בתוך שבוע, התפרצויות של לידים, הגשות חוזרות מאותו מכשיר או כתובת IP, וכתובות בדיקה מוכרות. בקליקים על באנרים אנחנו מגבילים את מספר הקליקים שנספרים מאותה כתובת רשת על אותו שטח פרסום (באמצעות גיבוב של כתובת ה-IP), לא סופרים קליקים שמגיעים מהר מדי לאחר הצגת הבאנר, ומסמנים שטחי פרסום ששיעור הקליקים בהם גבוה בהרבה מהרגיל. התוצאות נשמרות כציונים או כסימונים והן מייעצות בלבד: משמשות לבדיקה, להוצאת קליקים שכנראה אינם אמיתיים מההתאמה, ולמחלוקות. אנחנו לא משתמשים במודל המתואר בסעיף 4 כדי לקבל החלטות על אנשים.

2.4 חיבורים למערכות של לקוחות

ראו סעיף 4 לגבי מה אנחנו קוראים וכותבים. בקצרה: אנחנו שומרים את פרטי הגישה או הרשאת הגישה שהלקוח נתן לנו (מוצפנים), תצלום של מבנה מערכת הלקוח (שמות של אובייקטים, שדות, צינורות ושלבים, לא הרשומות עצמן), את המיפוי שהלקוח אישר, ויומן ביקורת של אירועי חיבור.

2.5 יומנים ותקשורת

יומני מסירה של התראות ו-webhooks, כולל היעד, המצב והתוכן שנשלח (מזהה ליד, מצב, סכומים ומטא-נתונים לאחר סינון).
יומנים קצרי מועד שמשמשים להגבלת תדירות הניסיונות להיכנס לחשבון, לאפס סיסמה, להשתמש במפתח API, להשתמש בקישור חיבור, לחבר מערכת או לתשאל את השוק. יומני הכניסה ומפתחות ה-API, ויומני קישורי החיבור שלא עבדו, מכילים גיבוב של כתובת הדואר האלקטרוני, של המפתח או של כתובת הרשת, ולא את הערך עצמו.
הודעות דואר אלקטרוני שאנחנו שולחים לכם (למשל אימות חשבון, איפוס סיסמה, פתיחה, הודעה על החלפת מפתח ה-API, אישור מחיקת חשבון, הודעות על השוק, על מחלוקות ועל המרות) ומה שאתם שולחים אלינו.
תיעוד של הורדות מידע ושל בקשות למחיקת חשבון: מתי נעשו ומה מצבן. תיעוד ההורדה מכיל את מספר השורות בכל חלק של הקובץ, ולא את המידע עצמו.

2.6 מבקרים באתרי ספקים (באנרים וקליקים)

הצגת באנרים. כאשר נפתח דף שבו מותקן סקריפט האתר, הדפדפן של המבקר שואל את Hotlead אילו באנרים להציג, ושולח את המזהה הציבורי של האתר ואת נתיב הדף (בלי שאר הכתובת). לאחר מכן תמונות הבאנר נטענות מהאחסון שלנו. אנחנו בוחרים באנרים לפי האתר, הדף, שטח הפרסום והטירגוט של הלקוח, ולא לפי מידע על המבקר. איננו שומרים רשומה של כל מבקר או של כל צפייה בדף. כמו בכל בקשה באינטרנט, כתובת ה-IP ופרטי הדפדפן של המבקר מגיעים לספקי האירוח שלנו (סעיף 5) לצורך מסירת הבקשה.
חשיפות. אנחנו סופרים כמה פעמים כל באנר מוצג בכל שטח פרסום כסיכומים לפי שעה, ללא כתובת IP, מזהה או מידע אחר על המבקר.
קליקים. הקישור של באנר עובר דרך Hotlead. כאשר מבקר לוחץ עליו, אנחנו בודקים שהקישור אמיתי ועדכני ורושמים את הקליק: המועד, הבאנר והלקוח שלו, שטח הפרסום והספק שלו, וכמו בקישורי הקליק האחרים שלנו (סעיף 2.2), את כתובת ה-IP, מזהה הדפדפן (user-agent) והכתובת המפנה, יחד עם גיבוב של כתובת ה-IP שמשמש להגבלת קליקים חוזרים. לאחר מכן המבקר עובר ליעד שהלקוח בחר, עם מזהה הקליק שלנו.
באתר של הלקוח. אם היעד הוא האתר של הלקוח, מזהה הקליק שלנו מתווסף לכתובת (ar_click). ב-Shopify וב-Wix אנחנו קוראים אותו מההזמנה. באתרים אחרים, סקריפט האתר שהלקוח התקין מוסיף אותו כשדה נסתר לטפסים שבדף שאליו המבקר מגיע, כדי שפרטים שהמבקר שולח יגיעו ל-CRM של הלקוח עצמו יחד עם מזהה הקליק. מה שהמבקר מקליד בטופס של הלקוח עובר למערכות של הלקוח, בכפוף להודעת הפרטיות של הלקוח עצמו; בהמשך אנחנו קוראים את מזהה הקליק ואת המכירה מאותן מערכות (סעיף 4).
בטופס של Hotlead. אם היעד הוא טופס של Hotlead, התשובות וההסכמה של המבקר מטופלות כמו בסעיף 2.2.
מי רואה מה. ספק רואה, לכל שטח פרסום שלו, את מספר החשיפות והקליקים, אילו קליקים הפכו למכירות, את סכום המכירה שעליו מחושב חלקו ואת הרווחים שלו, ואת שם העסק והבאנרים של הלקוחות שמוצגים אצלו. לקוח רואה, לכל באנר שלו, חשיפות, קליקים, מכירות ועלות, ואת שמות האתרים שבהם הבאנרים שלו הוצגו. אף צד אינו רואה מעבר לכך מידע של הצד השני על מבקרים מסוימים, ורשומות הקליקים (כתובת IP, מזהה דפדפן) אינן מוצגות לספק או ללקוח. מנהלי המערכת שלנו רואים הכול.

3. איך אנחנו משתמשים במידע

להפעלת השוק: יצירת חשבונות ואבטחתם, בדיקה ואישור של ספקים, התאמת באנרים לשטחי פרסום, הצעת התאמות ויצירת חוזים, ניתוב ליד או קליק ללקוח שהוא שייך לו.
להתאמה אוטומטית: בכל בקשת באנר אנחנו בוחרים את הבאנרים הכשירים (ספק מאושר, תחומים ומדינות תואמים, באנר בגודל המתאים, לא חסום לפי הכללים של הספק, שיעורים חופפים) ומחליפים ביניהם במשקל לפי הערך הצפוי של כל אחד (השיעור שהוסכם והשיעור שבו קליקים של אותו לקוח הפכו למכירות, עם חלק מינימלי כדי שגם לקוחות חדשים יוצגו). הדבר נוגע לעסקים ולא למבקרים.
להצגת באנרים ולהתקנת סקריפט האתר: קריאת דף הבית של ספק כשהוא מבקש זאת (סריקה), הצגת באנרים בשטחי הפרסום שלו, ספירת חשיפות, ובמקום שהספק מבקש, התקנת הסקריפט באתר שלו.
למסירת לידים: רישום הליד וכתיבת הפניה לליד (רשומה חלופית שמכילה את מזהה הליד, התחום, הערך המשוער וכתובת חזרה) ל-CRM של הלקוח. כאשר מבקר בטופס של Hotlead מסמן את שורת ההסכמה שנוקבת בשם העסק (היא מפרטת את הערוצים שהעסק רשאי להשתמש בהם: טלפון, דואר אלקטרוני, SMS ו-WhatsApp), אנחנו מעבירים גם את השם, מספר הטלפון וכתובת הדואר האלקטרוני של המבקר ל-CRM של אותו עסק (HubSpot, Pipedrive, GoHighLevel, Close, ActiveCampaign, Salesforce, Zoho, Fireberry, או ה-webhook של העסק כאשר בחר לקבל אותם). עד למסירה אנחנו שומרים את העותק הגלוי הזה מוצפן, לכל היותר 14 ימים, ומוחקים אותו לאחר המסירה. ללא הסכמה זו איננו שולחים את פרטי הקשר של האדם ל-CRM של הלקוח.
לזיהוי מכירות: קריאת שלבי עסקאות, תשלומים, חשבוניות או הזמנות מהמערכות המחוברות של הלקוח, והתאמת תשלום או חשבונית לליד על ידי השוואת טביעות אצבע של הדואר האלקטרוני והטלפון של המשלם לטביעות האצבע ששמורות בליד. הדואר האלקטרוני והטלפון של המשלם משמשים להשוואה זו בלבד.
לחישוב עמלות וחלוקות ולניהול תיעוד חיוב, כולל הבטחה שאותו לקוח לא יחויב פעמיים.
לזיהוי הונאה ושכפולים (לרבות בקרות קליקים על תנועה מבאנרים), לבדיקה ולהסרה של באנרים שדווח עליהם, ולטיפול במחלוקות.
להצגת דוחות לספקים וללקוחות (סעיף 2.6).
להפעלת פרסום עבור לקוחות: אנחנו משיקים קמפיינים בחשבונות הפרסום של Hotlead ב-Meta וב-Google ויוצרים דפי נחיתה, על סמך התחום של הלקוח, נוסח המוצר וההצעה שהלקוח מסר וטקסט פרסומי שנוצר.
לשליחת הודעות והתראות שירות.
כדי לתת לבעלי חשבונות עותק של המידע שלהם ולמחוק חשבון כאשר בעליו מבקש זאת (ראו סעיף 10).
לשמירה על אבטחת השירות ותקינותו: הגבלות על ניסיונות כניסה כושלים וניסיונות אחרים, אירועי ביקורת ואבחון תקלות.

הבסיס המשפטי או עילות אחרות למטרות אלה, במידה שהדין מחייב לציין אותן: [APPLICABLE PRIVACY LAW].

4. מערכות שלקוחות וספקים מחברים

לקוח מחבר מערכת על ידי הדבקת מפתח או אסימון (token), או על ידי כניסה במסך ההסכמה של הספק עצמו (ב-Zoho, Salesforce, QuickBooks ו-Xero; ב-Wix דרך התקנת אפליקציית Wix). בעצם החיבור הלקוח מאשר שהוא רשאי להעניק ל-Hotlead את הגישה הזו. הגישה ש-Hotlead מבקשת היא הגישה המפורטת להלן ולא יותר מההרשאה שהלקוח יצר במפתח או באפליקציה.

לקוח שאינו האדם המתאים ליצירת המפתח יכול לשלוח קישור חיבור לאדם שכן. הקישור מאפשר לאותו אדם לחבר מערכת אחת עבור אותו לקוח, פעם אחת, בלי חשבון; הוא מפסיק לפעול לאחר השימוש, כאשר הלקוח מבטל אותו, או לאחר מספר ימים (כברירת מחדל 7, לעולם לא יותר מ-30). אנחנו שומרים רק גיבוב של הקישור.

מה אנחנו כותבים

הפניה לליד עבור כל ליד (ראו סעיף 3).
עבור לידים מטופס של Hotlead (טיוטה): השם, כתובת הדואר האלקטרוני ומספר הטלפון של הליד, כאשר האדם הסכים בטופס שהעסק ששמו מופיע בו ייצור איתו קשר (בטלפון, בדואר אלקטרוני, ב-SMS או ב-WhatsApp). עד שהם נמסרים אנחנו שומרים אותם מוצפנים, לכל היותר 14 ימים, ואז מוחקים אותם.
שדות או מאפיינים מותאמים שאנחנו צריכים כדי לשמור את מזהה הליד וכתובת החזרה, למשל שני מאפייני עסקה מותאמים ב-HubSpot.
Webhooks או מנויי התראות בחשבון הלקוח, כדי שהמערכת תוכל להודיע לנו כאשר עסקה נסגרה או תשלום בוצע (למשל ב-Stripe, Pipedrive, GoHighLevel, Close, ActiveCampaign, Zoho, PayPal ו-Shopify). כאשר ספק מניח להם לפוג, אנחנו מחדשים אותם או יוצרים אותם מחדש כל עוד המערכת מחוברת.
במהלך בדיקת ההטמעה, ליד בדיקה אחד שמסומן בבירור, שאנחנו קוראים בחזרה ומסירים שוב כאשר הספק מאפשר זאת; אחרת אנחנו מודיעים ללקוח איזו רשומה למחוק.
להגדרה שרק מוקד התמיכה של הספק יכול לשנות (למשל כתובת ההתראה על תשלומים ב-Grow/Meshulam או ב-Cardcom), אנחנו מכינים הודעה למוקד התמיכה עם שם החברה של הלקוח, מזהי החשבון שהספק צריך וכתובת ההתראה שלנו עבור החיבור, ואף פעם לא מפתח. הלקוח שולח אותה, או, כאשר הפעלנו זאת עבור אותו ספק, אנחנו שולחים אותה בדואר אלקטרוני בשם הלקוח לאחר שהלקוח אישר את הנוסח המדויק, עם כתובת הדואר האלקטרוני של הלקוח בהעתק.

מה אנחנו קוראים

מבנה המערכת: שמות וסוגים של אובייקטים, שדות, צינורות, שלבים ותוויות של אפשרויות. אנחנו שומרים את התצלום הזה ואת המיפוי שהלקוח מאשר (למשל איזה שדה הוא הדואר האלקטרוני ואיזה שלב משמעותו "נסגר").
תוצאות: השלב והסכום של העסקאות שיצרנו, ומצב, סכום ומטבע של תשלומים, חשבוניות והזמנות, ומזהה הקליק של Hotlead שמופיע בהזמנה או ברשומה שנוצרה מטופס של הלקוח עצמו.
פרטי המשלם לצורך התאמה: הדואר האלקטרוני והטלפון של המשלם בתשלום, בחשבונית או בהזמנה, שמשמשים רק לחישוב טביעות אצבע להתאמה.
עסקאות שנסגרו ואנשי הקשר שלהן (טיוטה): במערכות ה-CRM שבהן הדבר מופעל, העסקאות שנסגרו והחשבוניות במערכת של הלקוח בתוך חלון הייחוס, כולל רשומות ש-Hotlead לא יצרה, והדואר האלקטרוני והטלפון של אנשי הקשר שלהן, שנקראים רק כדי לחשב טביעות אצבע ולהשוות אותן ללידים שלנו. איננו שומרים את פרטי הקשר שקראנו. אנחנו גם מציינים כאשר רשומה ש-Hotlead יצרה נמחקה, הועברה לארכיון או כבר לא נושאת את ההפניה שלנו.
כתובות דואר אלקטרוני של אנשי קשר, רק לפי בקשת הלקוח: לקוח יכול לבקש שנציג את כתובות הדואר האלקטרוני של אנשי הקשר ב-CRM שלו כדי להשתמש בהן כנמענים של קמפיין דואר אלקטרוני. הרשימה מוחזרת לדפדפן של הלקוח, ואם הלקוח משיק את הקמפיין, היא מועברת לספק הדואר האלקטרוני של הלקוח עצמו. אנחנו לא מעתיקים את מאגר אנשי הקשר למאגר שלנו.

מה כל חיבור מאפשר, במילים פשוטות

מערכת	הרשאה שאנחנו מבקשים	במילים פשוטות
HubSpot	crm.objects.contacts.read / write, crm.objects.deals.read / write, crm.schemas.contacts.read, crm.schemas.deals.read / write	קריאה וכתיבה של אנשי קשר ועסקאות; קריאת מבנה השדות של אנשי קשר ועסקאות; הוספת שני מאפייני העסקה שלנו
Salesforce	api, refresh_token	שימוש ב-API של Salesforce בשם הלקוח ושמירת הגישה עד שתוסר; בחיבור שנעשה דרך מסך הכניסה של Salesforce אנחנו מחדשים את הגישה באופן קבוע כדי שלא תפוג כל עוד המערכת מחוברת
Zoho CRM	דרך מסך הכניסה של Zoho: modules.leads CREATE, READ and DELETE, modules.deals READ, modules.contacts READ, modules.invoices READ, settings READ, coql READ, notifications CREATE, org READ. מפתח שהלקוח יוצר בעצמו (Zoho Self Client): modules.ALL, settings.ALL, coql READ, notifications CREATE	יצירה וקריאה של לידים, מחיקה של ליד הבדיקה שלנו בלבד, קריאת עסקאות, אנשי קשר וחשבוניות, הגדרות ה-CRM ומטבע הבית של הארגון, ויצירת התראת שינוי. מפתח שנוצר בעצמו מאפשר יותר (כל המודולים וההגדרות של ה-CRM); אנחנו משתמשים בו לאותן משימות
QuickBooks Online (Intuit)	com.intuit.quickbooks.accounting	גישה לנתוני הנהלת החשבונות של הלקוח; אנחנו קוראים חשבוניות וקבלות מכירה (מצב, סכום, תאריך) ואת שם הלקוח והדואר האלקטרוני שלו בהן
Xero	accounting.invoices.read, accounting.contacts.read, accounting.settings.read, offline_access	קריאת חשבוניות, אנשי הקשר שבהן והגדרות הארגון; שמירת הגישה עד שתוסר
Stripe	מפתח מוגבל (Restricted key): Customers read, Charges read, Payment Intents read, Webhook Endpoints write	לראות שתשלום בוצע, את סכומו ואת הדואר האלקטרוני של הלקוח; ליצור את ה-webhook שמודיע לנו על תשלומים
Shopify	read_orders	קריאת הזמנות: מתי שולמו, הסכום הכולל, והדואר האלקטרוני והטלפון של הלקוח
Wix	Read Orders	קריאת הזמנות בחנות: מתי אושרו, הסכום הכולל, והדואר האלקטרוני והטלפון של הלקוח
GoHighLevel	contacts.readonly, contacts.write, opportunities.readonly, opportunities.write, locations/customFields.readonly, invoices.readonly, ובאופן אופציונלי locations.readonly	קריאה והוספה של אנשי קשר והזדמנויות, קריאת שדות מותאמים וחשבוניות; עם ההרשאה האופציונלית, קריאת פרטי תת-החשבון עצמו כדי למצוא את מזהה המיקום (Location ID) שלו
Pipedrive, Close, ActiveCampaign, Fireberry	הגישה של המשתמש שהמפתח שלו נמסר (הספק אינו מציע בחירה מצומצמת יותר)	כל מה שאותו משתמש יכול לעשות; אנחנו משתמשים בה כדי להוסיף הפניה לליד ובמערכות שתומכות בכך גם כדי לקרוא תוצאות עסקאות
PayPal, Cardcom, PayPlus, Meshulam (Grow)	הרשאת קריאה למצב תשלום	לראות שתשלום עבר, את סכומו ואת פרטי המשלם
iCount, Green Invoice, Rivhit, EZcount	הרשאת קריאה לחשבוניות או למסמכים, כפי שהספק מציע	לראות חשבוניות וקבלות שהלקוח מנפיק (סוג, סכום, תאריך) ואת הדואר האלקטרוני והטלפון של הלקוח בהן

לא בכל מערכת פועל זיהוי מכירות; כרטיס החיבור בפורטל מסביר ללקוח מה Hotlead עושה עם כל אחת.

פרטי גישה וניתוק

פרטי גישה והרשאות גישה מוצפנים לפני שהם נשמרים (AES-256-GCM) ומפוענחים רק כאשר Hotlead פונה לאותה מערכת. לקוח יכול לנתק כל מערכת בפורטל. בניתוק אנחנו:

מבקשים מהספק להסיר את ה-webhooks או המנויים שיצרנו (במאמץ סביר, בתוך שניות ספורות); מה שלא ניתן היה להסיר נרשם ונוסה שוב מאוחר יותר, באמצעות עותק מוצפן של פרטי הגישה שנשמר רק לשם כך;
מוחקים את פרטי הגישה השמורים ומסירים מההגדרות השמורות ערכים שנראים כסודות;
בחיבור ל-Salesforce, Zoho, QuickBooks או Xero שמחזיק הרשאת גישה מתמשכת (refresh token), מבקשים מהספק לבטל את ההרשאה (במאמץ סביר, מיד לאחר הניתוק; בקשה שנכשלה נשלחת שוב לזמן מוגבל, באמצעות עותק מוצפן של ההרשאה שנשמר רק לשם כך). ב-QuickBooks וב-Xero איננו שולחים בקשה זו כל עוד חיבור פעיל אחר משתמש באותו חשבון חברה, כי ביטולה היה מנתק גם את אותו חיבור.

בכל חיבור אחר, המפתח או האפליקציה שהלקוח יצר עבורנו נשארים בחשבון אצל הספק גם לאחר הניתוק: על הלקוח למחוק אותם שם כדי לסגור את הגישה שלנו לגמרי.

רשומת החיבור נשארת. תצלום המבנה והמיפוי שאושר נשמרים כדי שחיבור מחדש של אותו חשבון יוכל להחזיר אותם. כאשר הניקוי האוטומטי שלנו מופעל, הם נמחקים 30 יום לאחר הניתוק, אלא אם הלקוח בחר לשמור את ההגדרה שלו; כל עוד הוא כבוי, הם נשמרים עד שהלקוח מבקש מאיתנו למחוק אותם או מוחק את החשבון שלו. הפורטל מציין ללקוח איזו משתי האפשרויות חלה.

אתרי ספקים: הסריקה וסקריפט האתר

הסריקה. כאשר ספק מוסיף את האתר שלו או מבקש סריקה חדשה, השרת שלנו קורא פעם אחת את דף הבית של האתר, בזיהוי כסריקת אתר של Hotlead, בלי לשלוח עוגיות או פרטי גישה. אנחנו קוראים ממנו את הפלטפורמה, האם מותקן בו Google Tag Manager ומזהה הקונטיינר שלו, ואת הרכיבים שנראים כמקומות לבאנרים (מיקומם, גודלם וכתובת התמונה שלהם). רק המקומות שהספק בוחר נשמרים כשטחי פרסום; שאר ההצעות אינן נשמרות. אנחנו שומרים תיעוד של מועדי בקשות הסריקה של כל ספק, כדי להגביל את תדירותן.
סימון שטחים. קישור חד-פעמי פותח סרגל כלים של Hotlead באתר של הספק עצמו, כדי שיוכל לסמן או לכוונן בו שטחי פרסום. אנחנו שומרים רק גיבוב של הקישור; הוא פועל פעם אחת, למשך 30 דקות, ורק באותו אתר.
התקנה בלחיצה אחת. ב-WordPress, הספק מאשר סיסמת אפליקציה במסך "Authorize application" של האתר שלו; אנחנו משתמשים בה, דרך ה-REST API של האתר, כדי להתקין ולהפעיל את התוסף של Hotlead, שהאתר מוריד ממאגר התוספים של WordPress.org. ב-Google Tag Manager, הספק נכנס עם Google ומעניק גישה ל-Tag Manager; אנחנו משתמשים בה כדי ליצור את התג של Hotlead בקונטיינר של הספק ולפרסם את הקונטיינר. ב-Wix וב-Shopify, התקנת האפליקציה שלנו מוסיפה את הסקריפט. אנחנו משתמשים בהרשאות אלה רק כדי להתקין, לעדכן, לבדוק ולהסיר את הסקריפט, התוסף או התג שלנו. הספק יכול לבטל אותן בכל עת (סיסמאות אפליקציה בפרופיל המשתמש שלו ב-WordPress, גישה של צד שלישי בחשבון Google שלו, או הסרת האפליקציה שלנו).
סקריפט האתר. הסקריפט עצמו אינו קובע עוגיות, אינו כותב דבר ל-local storage או ל-session storage של הדפדפן ואינו קורא מזהה מהדפדפן (סעיף 6). הוא מדווח לנו אילו משטחי הפרסום של האתר מצא בדף, כדי שהפורטל יוכל להציג את מצבם, והבקשה הראשונה שלו מודיעה לנו שהסקריפט מותקן.

מידע ממשתמשי Google (Google Tag Manager)

(טיוטה, לאישור עורך דין.) אם תבחרו "התקנה עם Google Tag Manager", תיכנסו עם Google ותאשרו ל-Hotlead לנהל את הקונטיינרים ואת גרסאות הקונטיינרים שלכם ב-Tag Manager ולפרסם אותם (ההרשאות של Google tagmanager.edit.containers, tagmanager.edit.containerversions ו-tagmanager.publish), וכן לראות את כתובת הדוא"ל של חשבון Google שאיתו נכנסתם (openid, email), שהפורטל מציג כדי שתדעו איזה חשבון מחובר. איננו מבקשים דבר נוסף: לא הרשאה למחוק קונטיינרים, לא לנהל משתמשים ולא לנהל חשבונות.

מה אנחנו עושים בה. אנחנו מציגים את חשבונות ה-Tag Manager ואת קונטיינרי האתר שלכם, כדי שתאשרו את זה שמותקן באתר שלכם. בקונטיינר שאישרתם אנחנו יוצרים סביבת עבודה אחת, תג Custom HTML אחד שטוען את סקריפט האתר של Hotlead וטריגר All Pages אחד; אנחנו יוצרים גרסת קונטיינר, משווים אותה לגרסה הפעילה שלכם ומפרסמים אותה רק כשהשינוי היחיד הוא התג והטריגר שלנו. כשאתם מסירים את התג או את האתר (או מוחקים את חשבון Hotlead שלכם), אנחנו מוחקים את התג והטריגר שלנו ומפרסמים שוב, היכן שאישרתם זאת. איננו מוחקים לעולם סביבות עבודה או קונטיינרים שלכם.
מה אנחנו שומרים. את ההרשאה של Google (מוצפנת, כמו פרטי גישה אחרים, סעיף 8), את כתובת הדוא"ל והמזהה של חשבון Google, את הקונטיינר שאישרתם ואת המזהים של התג, הטריגר והגרסאות שפרסמנו. איננו קוראים, מעתיקים או שומרים את שאר התגים, הטריגרים או המשתנים שלכם מעבר להשוואה שתוארה למעלה.
מי רואה אותה. אנחנו משתמשים בהרשאה רק לפעולות שלמעלה, עבורכם. איננו משתפים או מעבירים אותה, או כל מידע שנקרא בעזרתה, לאף אחד, ואף אדם ב-Hotlead אינו קורא את נתוני הקונטיינר שלכם, למעט כשהדבר נדרש לאבטחה או לעמידה בדין.
סיום. אנחנו מבטלים את ההרשאה אצל Google כשאתם מסירים את התג או את האתר, או מוחקים את החשבון (אלא אם אתר אחר שלכם עדיין משתמש באותה הרשאת Google). תוכלו גם להסיר בכל עת את הגישה של Hotlead בחשבון Google שלכם (אבטחה, חיבורים של צד שלישי).

Hotlead's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. (בעברית: השימוש של Hotlead במידע שהתקבל מממשקי ה-API של Google, והעברתו לכל אפליקציה אחרת, יעמדו במדיניות נתוני המשתמש של שירותי ה-API של Google, כולל דרישות השימוש המוגבל.)

סיוע אוטומטי

כדי להציע אילו משדות ושלבי הלקוח משמעותם "דואר אלקטרוני", "טלפון" או "נסגר", אנחנו משתמשים תחילה בכללים קבועים ורק לאחר מכן פונים למודל שפה שמארחת Groq. המודל רואה רק שמות, תוויות, סוגים ותוויות אפשרויות בכינויים קצרים. לפני שליחה, כל ערך שנראה כמו כתובת דואר אלקטרוני, מספר טלפון, מפתח או אסימון מוחלף ב-"[redacted]", ואנחנו לא רושמים ביומן את הבקשות והתשובות. אנחנו משתמשים ב-Groq גם לכתיבת טקסט למודעות ולדפי נחיתה על סמך התחום, שם המוצר ונוסח ההצעה שהלקוח מסר. הלקוח בודק ומאשר את המיפוי; המודל אינו מחליט דבר על אדם.

אנחנו משתמשים בספקי השירות הבאים. רובם מעבדים מידע עבורנו לפי תנאי עיבוד נתונים (מעבדי משנה). המיילים שלנו נשלחים מחשבון ה-Gmail של Hotlead, ש-Google מספקת לפי התנאים שלה (על העותקים ש-Gmail שומר ראו סעיף 7). הרשימה עשויה להשתנות ואנחנו נעדכן אותה בדף זה.

ספק	מה הוא עושה עבורנו	מידע מעורב
Supabase	מסד נתונים, צד השרת של היישום (Edge Functions) ואחסון קבצים של תמונות מוצר ותמונות באנר	כל המידע המתואר במדיניות, והבקשות של דפדפני מבקרים שטוענים באנרים. אזור האחסון: [DATA HOSTING REGION]
Netlify	אירוח האתר, הפורטל וסקריפט האתר, והעברת בקשות לצד השרת שלנו	תעבורת בקשות לאתר, לסקריפט האתר ולקישורי הקליק שלנו, כולל כתובות IP והדפים והקישורים שנעשה בהם שימוש
Stripe	הגדרת כרטיס אשראי לחשבונות לקוח שיש להם לקוח ב-Stripe; תשלומים לספקים בנויים אך כבויים	פרטי אמצעי תשלום שמוזנים בטופס של Stripe; מזהי הלקוח ואמצעי התשלום
Google (Gmail) ו-Resend	שליחת הודעות הדואר האלקטרוני שלנו: מחשבון ה-Gmail שלנו דרך Gmail API (הרשאה לשליחה בלבד, לעולם לא לקריאת תיבת הדואר); Resend רק כגיבוי כש-Gmail לא יכול לשלוח	כתובת הנמען, הנושא והגוף של ההודעה. Gmail שומר עותק של כל מייל שהוא שולח בתיקיית הדואר היוצא (Sent) של החשבון שלנו (סעיף 7)
Groq	מודל שפה להצעות מיפוי שדות ולטקסט פרסומי	תוויות שדות ושלבים לאחר טשטוש; תחום, שם מוצר ונוסח הצעה
Meta ו-Google (פרסום)	הפעלת קמפיינים עבור לקוחות בחשבונות הפרסום של Hotlead	שם הקמפיין, התחום, התקציב, דף היעד וטקסט המודעה. מבקרים שלוחצים על מודעה כפופים גם לתנאים של Meta או Google
TrustedForm (ActiveProspect)	הפקת תעודה שמתעדת מה המבקר ראה כשהסכים	נטען בדפדפן המבקר בדפי הנחיתה; קישור לתעודה נשמר עם הליד

כאשר ספק מבקש שנתקין את סקריפט האתר, אנחנו פועלים בחשבונות של הספק עצמו: Google (ה-API של Google Tag Manager, רק כאשר הספק מחבר אותו), אתר ה-WordPress שלו, או Wix או Shopify דרך האפליקציה שלנו. ספקים אלה מעבדים את המידע לפי ההסכם של הספק עצמו איתם. WordPress.org הוא רק המאגר הציבורי שממנו אתר WordPress מוריד את התוסף שלנו; איננו שולחים אליו מידע עליכם.

אנחנו משתפים מידע גם בין הצדדים לעסקה, כנדרש לצורך פעולת השוק: ספק רואה את הלידים שלו, את החשיפות והקליקים של שטחי הפרסום שלו, אם הם הומרו, את סכום המכירה שעליו מחושב חלקו ואת הרווחים שלו, ואת שם העסק והבאנרים של הלקוחות שהוא מותאם אליהם, ולא שום דבר על המערכות או על הלקוחות של הלקוחות; לקוח רואה את ההמרות, הסכומים ומצב החיבורים שלו, את תוצאות הבאנרים שלו ואת שמות האתרים שבהם הם הוצגו; מנהלי המערכת שלנו רואים הכול. המערכות שלקוח מחבר הן של הלקוח, ובכפוף להסכם הלקוח עם הספק שלהן; כאשר הלקוח מסכים לכך, מוקד התמיכה של אותו ספק מקבל את ההודעה המתוארת בסעיף 4. אנחנו חושפים מידע כאשר הדין מחייב זאת.

6. עוגיות ואחסון בדפדפן

אנחנו לא משתמשים במעקבים פרסומיים או אנליטיים באתר או בפורטל. הבאנרים שאנחנו מציגים באתרי ספקים הם הקשריים: הם נבחרים לפי האתר, הדף, שטח הפרסום והטירגוט של הלקוח, ואיננו עוקבים אחר מבקרים מאתר לאתר ואיננו בונים עליהם פרופילים. אנחנו משתמשים בדברים הבאים:

סקריפט האתר באתרים של ספקים (באנרים). באתר של ספק הסקריפט אינו קובע עוגיות, אינו כותב דבר ל-local storage או ל-session storage ואינו קורא מזהה מהדפדפן. הוא שולח את המזהה הציבורי של האתר ואת נתיב הדף כדי לקבל באנרים (סעיף 2.6), ומדווח אילו משטחי פרסום מצא. הבאנרים הם קישורים שמסומנים כמודעה.
באנרים באתרים (טיוטה, לבדיקת עורך דין). אתרים שעובדים איתנו יכולים להציג באנרים של עסקים דרך הסקריפט שלנו. כדי להציג באנר, הדפדפן של המבקר שואל את השרת שלנו איזה באנר להציג בדף (הוא שולח את המזהה של האתר ואת הנתיב של הדף, יחד עם כתובת ה-IP וסוג הדפדפן, כמו כל בקשה ברשת); הסקריפט לא שומר עוגייה ולא משתמש באחסון הדפדפן, ותמונות הבאנר הן קובצי תמונה רגילים שמוגשים מהכתובת שלנו. אנחנו סופרים צפיות וקליקים כסיכום לפי שעה לכל שטח פרסום ובאנר, בלי רשומה לכל מבקר. כשמבקר לוחץ על באנר, אנחנו רושמים את הקליק (איזה באנר, שטח פרסום ואתר, הזמן, סוג הדפדפן, הדף שממנו הגיע, וטביעת אצבע חד-כיוונית של כתובת ה-IP כדי להגביל קליקים חוזרים; לא את כתובת ה-IP עצמה) ושולחים את המבקר לאתר של העסק או לטופס הקצר שלנו. קליק שקורה פחות משנייה אחרי שהבאנר הופיע, או יותר מדי קליקים מאותה כתובת, לא נספר. רשומות הקליקים נשמרות לפי כלל שמירת הקליקים שלמטה.
סקריפט באתר של הלקוח העסקי (טיוטה). לקוח עסקי יכול להוסיף את הסקריפט שלנו לאתר שלו. כשמבקר מגיע לשם מקישור של Hotlead, הסקריפט שומר את הקליק של Hotlead באחסון הדפדפן של האתר עצמו (hl_attr_v1, ללא עוגייה וללא אחסון של צד שלישי) עד שחלון הייחוס מסתיים, ומוסיף אותו לטפסים של האתר. כשהמבקר שולח טופס, הסקריפט מחשב טביעות אצבע של הדואר האלקטרוני והטלפון שהוקלדו ושולח רק אותן יחד עם הקליק; הדואר האלקטרוני והטלפון עצמם לעולם אינם יוצאים מהדפדפן של המבקר. כשהאתר של הלקוח מבקש הסכמה תחילה, הקליק נשמר רק אחרי ההסכמה.

באתר, בפורטל ובקישורים שלנו:

עוגיות סשן hl_adv_session (לקוחות) ו-hl_prov_session (ספקים). בהרשמה או בכניסה אנחנו קובעים עוגייה שמכילה את הסשן שלכם בפורטל. סקריפטים בדף אינם יכולים לקרוא אותה (HttpOnly), היא נשלחת רק בחיבור מאובטח, רק לממשק ה-API שלנו (נתיב /v1) ולעולם לא עם בקשות שמגיעות מאתרים אחרים (SameSite=Strict). סשן נמשך לכל היותר 7 ימים ומסתיים לאחר 24 שעות ללא שימוש; יציאה מהחשבון מסיימת אותו. כל עוד דף פתוח, הסשן נשמר גם בזיכרון של אותו דף. אתר הניהול של הצוות שלנו משתמש בעוגייה דומה.
אין מפתחות באחסון הדפדפן. מפתח ה-API והסשן שלכם אינם נשמרים ב-local storage, ב-session storage או בעוגייה שסקריפטים יכולים לקרוא. מפתח שגרסה ישנה של הפורטל השאירה ב-local storage נמחק בפעם הבאה שאתם פותחים את הפורטל.
שפה והתקדמות (local ו-session storage). הפורטל זוכר את השפה שלכם (דף ההרשמה משתמש באותה הגדרה). במהלך הרשמה ובזמן חיבור מערכת, ההתקדמות שלכם נשמרת בלשונית הנוכחית (ללא מפתח או סיסמה), והפורטל זוכר את התשובות שלכם לשאלה היכן נרשמות המכירות שלכם.
עוגיית קליק ar_click_id. כאשר מישהו לוחץ על אחד מקישורי הקמפיין שלנו, אנחנו קובעים עוגייה זו בדומיין שלנו (HttpOnly, 30 יום) שמכילה את מזהה הקליק, כדי שטופס של Hotlead שיוגש בהמשך יוכל להיות משויך לקליק. היא אינה נקבעת באתר של ספק או של לקוח ואינה נקראת ממנו.
עוגיית הגנה על כניסה oauth_state_binding. עוגייה קצרת מועד (10 דקות) שמשמשת בעת חיבור מערכת על ידי לקוח, כדי למנוע בקשות מזויפות.
סקריפטים של צד שלישי. הפורטל טוען את הסקריפט של Stripe לקליטת פרטי כרטיס. דפי נחיתה של קמפיינים טוענים את הסקריפט של TrustedForm להפקת תעודת ההסכמה.

7. שמירה ומחיקה

עדיין לא קבענו תקופות שמירה קבועות לרוב המידע. אלא אם חל אחד הכללים שלהלן, חשבונות, לידים, קליקים, ציוני הונאה, המרות, מחלוקות, יומני התראות ויומן הביקורת של החיבורים נשמרים עד שהם נמחקים. מה שקורה כיום:

יומנים קצרי מועד: היומנים שמגבילים ניסיונות חיבור ותשאול של השוק, ויומני קישורי החיבור שלא עבדו, נמחקים אוטומטית לאחר יום אחד. רשומות של ניסיונות כניסה ומפתחות API כושלים נמחקות יום לאחר הניסיון הכושל האחרון (מאוחר יותר אם חסימה זמנית עדיין בתוקף). סשנים שפג תוקפם נמחקים מדי יום, וקישורי חיבור 30 יום לאחר שפג תוקפם.
מחיקת ליד: ספק יכול למחוק ליד שסיפק. אותה מחיקה משמשת גם כאשר מנהלי המערכת שלנו מוחקים לידים לצמיתות, כאשר חשבון נמחק, ועל ידי לוח זמני השמירה לאחר שיופעל (הכול בהמשך). מחיקת ליד מנקה את כתובת ה-IP שלו, את מזהה הדפדפן (user-agent), את טביעת האצבע של המכשיר, את תיעוד ההסכמה (הנוסח שהוצג, המועד וכל טביעת אצבע של כתובת IP של ההסכמה שספק שלח; נשארת רק התשובה כן/לא), את הקישור ל-TrustedForm, את מזהי הקליק הפרסומיים ומזהי המשנה ואת כל שאר תשובות הטופס. היא מנקה את אותם נתונים טכניים ברשומת הקליק של הליד, כאשר אף ליד אחר אינו משתמש באותו קליק. ברשומות ההמרה של הליד וביומני ההתראות של אותן המרות היא מסירה את השדות ששמם מציין פרטים אישיים (כמו דואר אלקטרוני, טלפון, שם, כתובת או תאריך לידה) וכל ערך שנראה ככתובת דואר אלקטרוני.
מה נשאר בליד שנמחק: אם לליד אין המרה, מוסרים גם טביעות האצבע של הדואר האלקטרוני והטלפון, המזהה שהספק נתן לו וההפניות לרשומות שיצרנו ב-CRM של הלקוח. אם לליד יש המרה (מכירה שנרשמה), הם נשמרים, יחד עם ההמרה וסכומיה וכל מחלוקת לגביה (כולל הטקסט שנכתב בה). אנחנו שומרים אותם כראיה לצורכי חיוב, החזרים ומחלוקות, וכדי שאותו לקוח לא יחויב לעולם פעמיים. התחום, הערך המשוער, המטבע, התאריכים, המצב וההפניות הפנימיות שלנו נשארים בכל מקרה; כשלעצמם הם אינם מזהים את האדם. ציוני ההונאה (סוג, ציון ומספרים; ללא מידע אישי) נשארים עד שהליד נמחק לצמיתות.
תיעוד מחיקות: לכל מחיקה אנחנו שומרים תיעוד של איזה ליד (לפי ההפניה הפנימית שלנו), מי ביקש, מתי, ואילו סוגי מידע נוקו או נשמרו. התיעוד אינו מכיל מידע אישי.
מחיקה סופית על ידינו: מנהל מערכת יכול למחוק לצמיתות לידים שנמחקו לפני יותר מ-30 יום. ליד ללא המרה מוסר אז יחד עם ציוני ההונאה ורשומות הקליק שלו (כאשר אף ליד אחר אינו משתמש בהן). ליד עם המרה אינו מוסר: הוא נשאר במצבו לאחר המחיקה יחד עם רשומות החיוב שלו, כמתואר לעיל.
טביעות אצבע של זהות (טיוטה, לאישור עורך הדין): טביעות האצבע של הדואר האלקטרוני והטלפון של ליד נשמרות למשך חלון הייחוס ועוד חלון המחלוקות (כברירת מחדל 180 + 90 ימים מהקליק), גם אחרי שהליד נמחק, כדי למנוע הונאה ולהגן על זכויות משפטיות (למשל סעיף 17(3)(ה) ל-GDPR), ואז נמחקות אוטומטית. פרטי קשר גלויים שנשמרים למסירה לעסק נמחקים עם המסירה או לכל המאוחר אחרי 14 ימים. ציוני סיכון של חשבונות לקוחות (ספירות ושיעורים, ללא מידע אישי על צרכנים) נשמרים 400 ימים.
רשומות webhook גולמיות ישנות: חלק ישן של המערכת שלנו שמר הודעות תשלום גולמיות ממערכות מחוברות, שעשויות להכיל דואר אלקטרוני או טלפון של משלם. רשומות אלה אינן מקושרות לליד ועדיין אינן מכוסות על ידי המחיקה או על ידי תקופת שמירה.
לוח זמני שמירה בנוי אך אינו בתוקף: המערכת שלנו יכולה לנקות או למחוק סוגים מסוימים של מידע באופן אוטומטי לאחר תקופות קבועות. הוא כבוי והתקופות טרם הוחלטו. נפרט כאן את התקופות לפני שנפעיל אותו.
עותקים של המיילים שאנחנו שולחים: אנחנו שולחים את המיילים שלנו מחשבון ה-Gmail של Hotlead, ו-Gmail שומר עותק של כל מייל שהוא שולח בתיקיית הדואר היוצא (Sent) של אותו חשבון: כתובת הנמען, הנושא והטקסט, כולל קישורים לאיפוס סיסמה ולאישור מחיקת חשבון (הקישורים האלה מפסיקים לעבוד אחרי שעה ואחרי 24 שעות) והודעות למוקד התמיכה של ספק. העותקים נשמרים עד שאנחנו מוחקים אותם ב-Gmail; אנחנו מנקים אותם באופן קבוע.
ניתוק מערכת: ראו סעיף 4.
אתרים, שטחי פרסום וסריקות: ספק יכול להסיר שטח פרסום או אתר שלם בפורטל בכל עת; הסרת אתר מוחקת יחד איתו את שטחי הפרסום ואת קישורי הסימון שלו. אחרת, רשומות האתר ושטחי הפרסום (לרבות מיקומי הרכיבים וכתובות התמונות שהסריקה מצאה) נשמרות כל עוד האתר נמצא בחשבון. תיעוד בקשות הסריקה נשמר כיום אחד בערך (רשומות ישנות יותר מוסרות כשמתבקשת הסריקה הבאה). קישורי סימון פוקעים לאחר 30 דקות; קישורים שנוצלו או שפג תוקפם מוסרים כשנוצר קישור חדש.
חשיפות: הסיכומים לפי שעה נשמרים למשך [RETENTION PERIOD FOR IMPRESSION COUNTS]. הם אינם מכילים מידע אישי.
קליקים על באנרים: רשומות הקליק כפופות לכללים שחלים על רשומות קליק אחרות בסעיף זה (קליק שהפך לליד או למכירה נשמר עם הרשומות של אותו ליד). הגיבוב של כתובת ה-IP שמשמש להגבלת קליקים חוזרים נשמר למשך [RETENTION PERIOD FOR HASHED IP ADDRESSES OF CLICKS].
באנרים: באנר שלקוח מסיר, או שאנחנו או הכללים של הספק מורידים, מפסיק להיות מוצג מיד. התמונה, הטקסט החלופי וההגדרות שלו נשמרים לאחר מכן למשך [RETENTION PERIOD FOR REMOVED BANNERS], כראיה לדוחות, לחיוב ולמחלוקות.
מחיקת חשבון: איך לבקש זאת מתואר בסעיף 10. כאשר חשבון נמחק, הכניסה, מפתח ה-API וכל סשן בפורטל מפסיקים לפעול; כל מערכת מחוברת מנותקת כמתואר בסעיף 4; לא נשארים פרטי גישה, תצלום מבנה או מיפוי בחיבורים של החשבון; אצל לקוח נמחקים ההגדרות והמפתחות של שולח הדואר האלקטרוני שלו, חיבורים שהכניסה אליהם לא הושלמה, קישורי חיבור, הודעות למוקדי תמיכה, יומן הביקורת של החיבורים ויומני הגבלת הקצב; אצל ספק נמחקים ה-webhooks היוצאים שלו והסודות שלהם, יומני ההתראות שלו ופרטי הקשר של המפרסמים שלו, ובאנרים כבר אינם מוצגים באתרים שלו; הפרופיל עובר התממה (כתובת הדואר האלקטרוני מוחלפת, והסיסמה, ובמקום שהם קיימים גם הדואר האלקטרוני להתראות, ה-webhook, אמצעי התשלום, התקציב, פרטי התשלום לספק, התיאור והאתר, מוסרים); חוזים, מודעות, דרישות וקמפיינים נעצרים; רשומות קליק של קמפיינים של החשבון שלא הפכו לליד מנוקות; והלידים של החשבון נמחקים כמתואר לעיל (אצל ספק, כל הלידים שלו; אצל לקוח, הלידים ש-Hotlead יצרה עבורו). לאחר מכן אנחנו שולחים הודעת דואר אלקטרוני אחרונה, ללא קישור, לכתובת הכניסה.
מה נשאר מחשבון שנמחק: רשומת החשבון עם ההפניה הפנימית שלה, שם החברה או הספק, מזהה הלקוח או חשבון ה-Connect ב-Stripe, הגרסה והמועד של התנאים שאושרו ותאריך המחיקה; המרות וסכומיהן, חשבוניות, תשלומים, מחלוקות (כולל הטקסט שלהן), היסטוריית עסקאות, ציוני הונאה, תיעוד המחיקות, תיעוד החלפות המפתחות, בקשת המחיקה (התאריכים שלה; כתובת הדואר האלקטרוני מוסרת ממנה כשהמחיקה מסתיימת) ותיעוד הורדות המידע. אלה ראיות לחיוב ולמחלוקות וראיה למה שהוסכם. לידים שלקוח קנה מספק אחר נשארים רשומות של אותו ספק. רשומות האתרים ושטחי הפרסום של ספק שנמחק נשמרות למשך [RETENTION PERIOD FOR WEBSITE AND AD-SPACE RECORDS OF A DELETED ACCOUNT]. עדיין לא קבענו תקופה שלאחריה שאר הרשומות שנשמרו מוסרות.

8. אבטחה

אין מערכת מאובטחת לחלוטין ואנחנו לא יכולים להתחייב אחרת. אלה אמצעים שקיימים במוצר כיום:

פרטי גישה והרשאות גישה למערכות מחוברות מוצפנים באחסון באמצעות AES-256-GCM.
סיסמאות נשמרות כגיבוב bcrypt; מפתחות API, סשנים בפורטל, אסימוני איפוס וקישורי מחיקה נשמרים כגיבוב. קישורי איפוס סיסמה פוקעים לאחר שעה ופועלים פעם אחת.
ניסיונות כניסה כושלים חוזרים, בקשות חוזרות לאיפוס סיסמה ומפתחות API שגויים מובילים לחסימות זמניות שמתארכות ככל שהכישלונות חוזרים. הודעת החסימה זהה בין שהחשבון קיים ובין שלא.
סשנים בפורטל נשמרים בעוגיות שסקריפטים אינם יכולים לקרוא, נמשכים לכל היותר 7 ימים ומסתיימים לאחר 24 שעות ללא שימוש. מפתחות API מוצגים פעם אחת ולעולם אינם נשלחים בדואר אלקטרוני. החלפת מפתח או מחיקת החשבון מחייבות את הסיסמה; החלפת מפתח מנתקת את הדפדפנים האחרים של החשבון, ואיפוס סיסמה מנתק את כולם.
המידע של כל לקוח וספק מופרד באמצעות אבטחת ברמת שורה (row-level security) במסד הנתונים בטבלאות הדיירים העיקריות, ולתפקידי ה-API הציבוריים של מסד הנתונים אין גישה לטבלאות שלנו.
כותרות אבטחה באתר (מדיניות אבטחת תוכן, חסימת הטמעה במסגרות, ללא referrer, מדיניות הרשאות) בפורטל ובדפים הציבוריים.
הגבלות על תדירות בדיקת פרטי גישה, פנייה למערכות מחוברות ותשאול השוק.
כניסה למערכת מחוברת משתמשת בערך state חד-פעמי ובעוגיית קישור. כתובות אינטרנט שלקוח מוסר עבור webhooks חייבות להיות כתובות https ציבוריות.
webhooks נכנסים מאומתים באמצעות סוד בכתובת ובמקום שבו הספק חותם על הודעותיו, גם בבדיקת חתימה.
ספקים חדשים נבדקים ומאושרים על ידינו; כל עוד ספק לא אושר, לא מוצג באתר שלו אף באנר של לקוח.
סקריפט האתר מקבל באנרים רק עבור האתר שבו הוא מותקן: השרת שלנו עונה רק לבקשות שמגיעות מהכתובת של אותו אתר, ומזהה האתר אינו מאפשר לסקריפט דבר נוסף.
באנרים הם קובצי תמונה בלבד (ללא HTML או סקריפטים), סוגם וגודלם בפיקסלים נבדקים בשרת שלנו, והם מוגשים מהאחסון שלנו. קישורי באנר נושאים אסימון קליק חתום וקצר מועד, כך שאי אפשר לזייף קליק עבור באנר או לקוח אחר, ובקשת הבאנר אינה חושפת את יעד הלקוח מעבר להפניית הקליק.
הגבלות על קליקים מאותה כתובת רשת על אותו שטח פרסום, וסימון של שיעורי קליקים חריגים (סעיף 2.3).
הסריקה קוראת רק כתובות אינטרנט ציבוריות, עם בדיקות שחוסמות כתובות של רשתות פנימיות או פרטיות, מגבלת זמן ומגבלת גודל, ומוגבלת לכל ספק. קישור סימון נשמר רק כגיבוב, פועל פעם אחת, למשך 30 דקות ורק באתר שלו.
יומן ביקורת של אירועי חיבור, שממנו הוסרו סודות ואסימונים ארוכים.
הודעות שגיאה מנוקות מפרטי גישה לפני שהן נרשמות; בקשות למודל השפה אינן נרשמות ביומן.

9. היכן המידע מעובד

מסד הנתונים שלנו מאוחסן אצל Supabase באזור [DATA HOSTING REGION]. ספקי השירות האחרים שמופיעים בסעיף 5 עשויים לעבד מידע במדינות אחרות, ולכן מידע עליכם עשוי לעבור אל מחוץ למדינה שבה אתם גרים. המנגנון שעליו אנחנו מסתמכים להעברות אלה: [INTERNATIONAL TRANSFER MECHANISM].

10. זכויותיכם ואיך לממש אותן

בהתאם למקום מגוריכם, ייתכן שיש לכם זכות לבקש לדעת אם אנחנו מחזיקים מידע עליכם, לעיין בו, לתקן אותו, לבקש למחוק אותו, להתנגד לשימוש בו או להגיש תלונה לרשות מוסמכת ([APPLICABLE PRIVACY LAW]).

איך לפנות. שלחו דואר אלקטרוני אל [CONTACT EMAIL] מהכתובת שבחשבון שלכם, או, אם אתם אדם שמילא טופס, ציינו באיזה דף או קמפיין. בקשות שהכלים בפורטל המתוארים להלן אינם מכסים מטופלות ידנית. זמן המענה שאנחנו שואפים אליו: [RESPONSE TIME FOR REQUESTS].

אם מילאתם טופס או שהייתם נושא של ליד. אין עבורכם כלי בשירות עצמי; פנו אלינו בדואר אלקטרוני. אנחנו שומרים את כתובת הדואר האלקטרוני ואת מספר הטלפון שלכם רק כטביעות אצבע, ולכן כדי למצוא את הרשומה שלכם נחשב את טביעת האצבע של כתובת הדואר האלקטרוני או של מספר הטלפון שתמסרו לנו ונחפש אותה. אנא ציינו את הכתובת או את המספר שבהם השתמשתם. ייתכן שגם לספק ולקוח שהיו מעורבים בליד שלכם יש מידע עליכם בהתאם למדיניות שלהם, ואולי נצטרך לפנות אליהם. מה שמחיקה מסירה ומה שהיא שומרת מתואר בסעיף 7.
אם ביקרתם באתר של ספק או לחצתם על באנר. איננו שומרים רשומה של מבקרים שרק ראו באנר (חשיפות נספרות כסיכומים לפי שעה). רשומת קליק אינה מכילה את שמכם או את פרטי הקשר שלכם; כדי לחפש אחת אנחנו צריכים את המועד המשוער, את האתר ואת כתובת ה-IP שבה השתמשתם. פנו אלינו בדואר אלקטרוני עם פרטים אלה.
אם אתם לקוח או ספק. בפורטל אפשר לתקן את פרטי החשבון, לנתק מערכות, לבטל חוזים, להוריד עותק של המידע שלכם ולבקש למחוק את החשבון.
הורדת המידע שלי. תקבלו קובץ אחד (JSON) עם המידע של החשבון שלכם: הפרופיל, גרסת התנאים שאישרתם, חוזים, קמפיינים, חיבורים (המצב שלהם והמיפוי שאושר, אף פעם לא מפתחות) והלידים, ההמרות ורשומות החיוב שלכם. הקובץ של לקוח מכיל את הלידים שנמסרו לו ללא המידע האישי של האדם (רק הפניות, תאריכים, מצב, תחום וערך, וההפניות לרשומות ה-CRM של הלקוח עצמו) ואת הסכום שחויב בו, לא את חלקו של הספק ולא את העמלה שלנו. הקובץ של ספק מכיל את הלידים שלו כפי שהגיש אותם ואת הרווחים שלו, לא את סכומי המכירה של הלקוח, את הפניות ה-CRM שלו, איזו ממערכות הלקוח דיווחה על מכירה או את הטקסט שהלקוח כתב במחלוקות. הקובץ לעולם אינו מכיל סיסמאות, מפתחות API, מפתחות סשן, פרטי גישה למערכות מחוברות, סודות של webhooks או אסימוני מעקב. אפשר להוריד אותו פעם בשעה; חלק גדול מאוד נקטע ב-100,000 שורות ומסומן כקטוע. אנחנו מתעדים כל הורדה (מתי וכמה שורות), לא את תוכנה.
מחיקת החשבון שלי. בקשו זאת בפורטל והזינו את הסיסמה. נשלח קישור אישור חד-פעמי לכתובת הכניסה שלכם; הוא פועל 24 שעות. לאחר האישור יש תקופת המתנה של 7 ימים: החשבון ממשיך לפעול ואפשר לבטל בפורטל עם הסיסמה. לאחר מכן החשבון נמחק כמתואר בסעיף 7. אם המחיקה האוטומטית שלנו עדיין לא הופעלה כשתקופת ההמתנה מסתיימת, הבקשה שלכם ממתינה עד שנטפל בה. אם איננו יכולים לשלוח את הודעת האישור, הפורטל מודיע לכם ושום דבר אינו מתחיל; במקרה כזה פנו אלינו. חשבונות מסוימים, כמו חשבונות הצוות שלנו, אינם ניתנים למחיקה בפורטל.
חלק מהמידע נשמר לצורכי תיעוד חיוב ומחלוקות גם לאחר מחיקת ליד או חשבון, כמתואר בסעיף 7.

11. קטינים

חשבונות Hotlead מיועדים לעסקים. השירות אינו מופנה לקטינים ואיננו אוספים ביודעין מידע מקטינים. אם אתם סבורים שמידע של קטין הגיע אלינו, פנו אלינו ונבדוק זאת.

12. שינויים במדיניות

אנחנו עשויים לשנות את המדיניות כאשר המוצר או הדין משתנים. התאריך בראש הדף מציין את העדכון האחרון. אם השינוי מהותי, נודיע לבעלי חשבונות בדואר אלקטרוני או בפורטל.

13. יצירת קשר

[LEGAL ENTITY NAME]
[REGISTERED ADDRESS]
מספר חברה: [COMPANY NUMBER]
דואר אלקטרוני: [CONTACT EMAIL]