מדיניות פרטיות

המסמך המלא נמצא למטה בעברית. תרגום אנגלי מקצועי לתוכן המשפטי בהכנה — אין להסתמך על תרגום מכונה בנושאים משפטיים. לשאלות: privacy@groupiapp.com.

גילוי נאות — קראו את זה לפני השאר. GroupiApp נמצאת בהקמה וטרם התאגדה כישות משפטית רשומה. אין עדיין חברה, אין ח.פ, ואין ממונה הגנת פרטיות ממונה רשמית. המסמך הזה מתאר במדויק מה המערכת עושה בפועל היום — הוא נכתב מתוך הקוד, לא מתבנית — אבל הוא טרם עבר עורך דין.

ברגע שההתאגדות תושלם, שם החברה, מספר הרישום, הכתובת ופרטי הקשר לענייני פרטיות יופיעו כאן, והמסמך יעבור בדיקה משפטית. עד אז הפנייה בכל נושא היא privacy@groupiapp.com, והיא נענית.

ומיד אחרי המשפט הזה חייב לבוא הסייג שלו, אחרת הוא מטעה: המנגנון שמריץ את המחיקות האוטומטיות האלה כתוב וקיים בקוד, אך פריסתו לסביבת הייצור טרם הושלמה — אין שלב אוטומטי שפורס אותו. כלומר איננו יכולים להתחייב כרגע שהמחיקות האלה אכן רצות ברקע. נעדכן את הסעיף ברגע שהפריסה תושלם ותאומת. עד אז אנחנו מעדיפים לומר לכם את זה, מאשר להבטיח לוח זמנים שאיננו יכולים לערוב לו.

5a. One exception to the retention periods: evidence preservation
Courtesy translation. The Hebrew text above is the binding version and prevails in any discrepancy.

The retention periods in section 5 are the default. There is one exception, and we state it up front — including the parts that are not flattering to us.

When a safety report alleging harm to a minor is received, the system automatically places a legal hold on the activity the report concerns. As long as the hold is open, deletion is also deferred for the account of anyone who registered a child to that activity. The hold is a state of the system, not an operator's decision.

What actually happens while a hold is in force: the account-deletion button stops working and returns an error, and an on-screen message tells you the request was received and that no deletion was performed. The refusal applies to the entire deletion request — not only to the data related to the report. The system cannot currently perform a partial deletion, so while a hold is open no part of the account is deleted. We say this explicitly because it is a broader refusal than is required, and it is being fixed.

A hold does not lapse on its own. It ends only by a logged decision of the person responsible for child safety at our company (today, the CEO; every release records who released it, when, and why). We do not publish a time target and we do not commit to a date here, so we do not state a number of days.

What a hold does not cancel — your rights. Even when the system returns an error, you retain in full the right to a written explanation from us, the right to lodge a complaint with the Israeli Privacy Protection Authority, and the right to go to court. And we are not hiding the gap: the duty to respond in writing, and the statutory response time, apply to us — but the mechanism that notifies you, sends the acknowledgement and delivers the reasoned refusal, is not yet in place. As of today the only notice you receive is the on-screen message at the moment of the request; no email is sent to you. Until that mechanism is completed, the way to reach a human is to write to privacy@groupiapp.com and say that a deletion request was refused because of a hold. We will update this section as soon as the mechanism is live. We would rather tell you this than promise a timetable we cannot stand behind.

The basis for the hold is a legal obligation and a legitimate interest in investigating safety incidents.

הדבר האחד שכנראה לא ציפיתם לו — טקסט שמארח כותב נשלח למודל שפה מסחרי.

למי שמפרסם פעילות יש שני כפתורי AI: לנסח את "מה עושים", וליצור תמונת כריכה. כשלוחצים עליהם, הטקסט שנכתב יוצא מהמערכת שלנו ונשלח ל-OpenAI בארצות הברית. אנחנו אומרים את זה במפורש ובמקום בולט, ולא כשורה ברשימה, כי זו לא ציפייה סבירה של מי שממלא טופס.

מה בדיוק נשלח: בניסוח הטקסט — כותרת הפעילות, הקטגוריה, היישוב, טווח הגילים, וטיוטת "מה עושים" שכתבתם (עד 1,200 תווים). ביצירת התמונה — הכותרת, הקטגוריה, ועד 300 התווים הראשונים של "מה עושים".

ומה לא: לא נשלחים שמות של משתתפים, לא כתובות אימייל, לא מספרי טלפון, לא הכתובת המדויקת של המפגש, ולא תוכן הצ'אט. השליחה קורית רק כשמארח לוחץ על כפתור ה-AI ביוזמתו — לא בכל פרסום פעילות, ולעולם לא על מידע של משתתפים. אצלנו נרשם שהקריאה בוצעה, אך לא נשמר בלוג הטקסט שנשלח ולא תשובת המודל.

ובפעילות שקטינים יכולים להשתתף בה — שני כפתורי ה-AI חסומים לחלוטין, והבקשה נדחית לפני שנשלח משהו לאף מודל. זו חסימה במערכת, לא הנחיה.

מפה מאוירת ונתוני ישובים ורחובות — עדכון 08.10.2026

שירות נוסף שרואה את כתובת ה-IP שלכם: OpenFreeMap. עמוד המפה, וגם חלון "בחר על המפה" ביצירת פעילות, מציירים מפה מאוירת. כדי לצייר אותה הדפדפן שלכם פונה ישירות אל tiles.openfreemap.org ומוריד משם את אריחי המפה ואת האותיות. פנייה כזו חושפת בפניהם את כתובת ה-IP שלכם ואת אזור המפה שאתם צופים בו — בדיוק כמו עם OpenStreetMap בטבלה שלמעלה, ובעיקר ברגע שבו אתם מסתכלים על הכתובת של הפעילות. אם המפה המאוירת לא נטענת, הדפדפן עובר לאריחי OpenStreetMap הרגילים. הנקודה שבחרתם אינה נשלחת כנקודה לשירות המפה — רק בקשות לאריחי האזור שמוצג על המסך; הנקודה עצמה נשלחת רק אלינו, כשאתם מפרסמים.

ההשלמה האוטומטית של ערים ורחובות לא שולחת דבר לאף אחד. רשימות הישובים והרחובות יושבות אצלנו, באתר עצמו, והחיפוש בהן נעשה בדפדפן שלכם: מה שהקלדתם בשדות "עיר" ו"רחוב" לא יוצא מהמכשיר לצורך ההשלמה. המקור היחיד שבו כתובת שהקלדתם נשלחת הלאה הוא הכפתור "אתר כתובת", ורק כשלוחצים עליו — ראו GovMap ו-Photon בטבלה.

מאיפה הרשימות: הן נבנו ממאגרי המידע הפתוחים של רשות האוכלוסין וההגירה (רשימת הישובים והרחובות) והלשכה המרכזית לסטטיסטיקה (מיקום ואוכלוסיית ישובים), דרך data.gov.il. אנחנו מעבדים אותן (מנרמלים שמות ומשנים פורמט קואורדינטות), והן אינן פרסום רשמי של הגופים האלה.

7. Who receives data — the full list
Courtesy translation. The Hebrew text above is the binding version and prevails in any discrepancy.

The one you probably did not expect: when a host uses either of the two AI buttons — draft my description, generate a cover image — the free text they wrote leaves our systems and is sent to OpenAI in the United States. What goes: the activity title, category, locality, age range, and the host's own "what we do" draft (up to 1,200 characters for text; for the image prompt, the first 240 characters of it, together with the activity name and the sub-category name). What does not: participant names, email addresses, phone numbers, the exact meeting address, or chat content. It happens only when a host presses the button, never automatically, and never on participant data. We log that the call was made but never the text sent or the model's reply. For any activity a minor can attend, both AI buttons are hard-blocked before anything is sent.

All eleven recipients: Cloudflare (hosting, database, images, and its own traffic measurement — sees everything) · Resend (your email address and the full body of every email) · 019 SMS (your phone number and the full body of every SMS — this channel is active) · OpenAI (see above) · Higgsfield (cover-image prompt — present in the code but not in use today; OpenAI is the active image provider) · Google Fonts (your IP address on every page, including this one) · Google Sign-In (identity, only if you chose it) · Meta/Facebook Sign-In (identity, only if you chose it) · OpenStreetMap Foundation (your IP address and the part of the map you are looking at) · GovMap (the address text, sent from our server, not your browser) · Photon/Komoot (the address text, as a fallback).

Update 08.10.2026 (not part of the eleven-recipient count above, which has not been re-counted — see the review comment in the Hebrew source). OpenFreeMap also sees your IP address. The map page, and the "choose on the map" window when you publish an activity, draw an illustrated map. To do so your browser contacts tiles.openfreemap.org directly and downloads the map tiles and lettering from it, which reveals your IP address and the part of the map you are looking at — the same as OpenStreetMap in the list above. If the illustrated map does not load, the browser falls back to standard OpenStreetMap tiles. The point you choose is not sent to the map service as a point — only requests for the tiles of the area on screen; the point itself is sent only to us, when you publish.

The city and street autocomplete sends nothing to anyone. The settlement and street lists are files on our own site and the search runs in your browser; what you type into "city" and "street" does not leave your device for the autocomplete. The only control that sends a typed address onward is the "Find address" button, and only when you press it (GovMap and Photon above). The lists were built from the open data of the Population and Immigration Authority (settlement and street lists) and the Central Bureau of Statistics (settlement locations and population) via data.gov.il, processed by us (names normalised, coordinates converted); they are not an official publication of those bodies.

None of them may use the data for their own purposes, and we never sell data to anyone. Most of them sit outside Israel, mainly in the United States — that transfer is a fact and we state it. Navigation links to Waze, Google Maps and WhatsApp are not transfers by us, but clicking one reveals the activity's destination to that service.