מדיניות פרטיות

עודכן לאחרונה: 24 באוקטובר 2026

המסמך הזה מסביר איזה מידע נשמר כשאתם משתמשים בקיודר — כסועדים, כמשריינים שולחן, או כבית עסק — מי רואה אותו, לאן הוא מועבר, כמה זמן הוא נשאר ומה אתם יכולים לעשות איתו. כתבנו אותו כדי שיהיה אפשר להבין אותו בלי עורך דין, וכל שורה בו נבדקה מול מה שהקוד עושה בפועל.

1. מי אחראי למידע

Qder.ai מופעלת על ידי איתי פונס, עוסק פטור, הפועל בשם המסחרי "קיודר" (מספר העוסק נמסר לבתי עסק בהסכם ובכל קבלה) (להלן "אנחנו"). אנחנו מפעילים את הפלטפורמה; המסעדה שבה אתם יושבים היא עסק עצמאי, והיא בעלת המידע על ההזמנה, על הביקור ועל השריון שלכם.

בלשון חוק הגנת הפרטיות, התשמ"א-1981 (כנוסחו אחרי תיקון 13): לגבי הזמנות, ביקורים ושריונים המסעדה היא בעלת השליטה במידע ואנחנו מחזיקים ומעבדים אותו עבורה; לגבי חשבונות אישיים, חשבונות עסקיים, בקשות הצטרפות ורישומי אבטחה — אנחנו בעלי השליטה. בלשון ה-GDPR, ככל שהוא חל: המסעדה controller ואנחנו processor לגבי ההזמנה, ואנחנו controller לגבי החשבון.

1א. מסירת המידע היא בחירה שלכם

אין עליכם חובה חוקית למסור לנו מידע, ומסירתו תלויה ברצונכם. אפשר להזמין ולשלם בלי חשבון; בלי מספר טלפון ותאריך לידה אי אפשר לפתוח חשבון; בלי אלרגיות שמורות, המלצר הדיגיטלי יתחשב רק במה שתאמרו לו בשיחה. המטרות, מקבלי המידע ומשך השמירה מפורטים בסעיפים 2–6. הזכות לעיין במידע ולבקש לתקנו או למחוק אותו (סעיפים 13 ו-14 לחוק הגנת הפרטיות) — בעמוד הזכויות שלכם במידע או ב-privacy@qder.ai.

2. סועדים: מה נשמר

ברירת המחדל היא שאתם אנונימיים. אפשר לסרוק קוד, לשאול, להזמין ולשלם בלי למסור שם, טלפון או כתובת מייל. מה שנשמר בכל מקרה:

אם פתחתם חשבון אישי

חשבון הוא בחירה, לא תנאי. אם פתחתם אחד, נשמרים גם: כתובת מייל, שם, מספר טלפון (חובה, כדי שהמסעדה תוכל להגיע אליכם אם משהו בהזמנה משתבש; הוא נמסר רק למסעדה שאתם יושבים בה), תאריך לידה (משמש אך ורק כדי שמשקאות אלכוהוליים לא יימכרו דרך המערכת למי שמתחת לגיל 18; לא נמסר למסעדה ולא משמש לשום דבר אחר), ומה שכתבתם בשדות האלרגיות וההעדפות התזונתיות. הסיסמה אינה נשמרת אצלנו כלל — ההזדהות מנוהלת אצל Supabase, שם היא נשמרת כגיבוב חד-כיווני. הביקורים שלכם מקושרים לחשבון, כדי שתוכלו לראות אותם בעמוד החשבון.

אם השדות האלה ריקים, המלצר הדיגיטלי שואל פעם אחת, לפני ההזמנה הראשונה שלכם, אם יש אלרגיות או משהו שהמטבח צריך לדעת. מה שתגידו נכנס להזמנה. אם תרצו, המערכת תשאל אם לשמור את זה בחשבון כדי שלא תצטרכו לחזור על זה, ותשמור רק אם תאשרו; אחרת זה לא נשמר בחשבון. אנחנו רושמים שנשאלתם, כדי לא לשאול שוב. אפשר לשנות או למחוק בכל רגע בעמוד החשבון.

כניסה עם Google או Microsoft. אם בחרתם להיכנס דרכם, הספק מאמת אתכם ומעביר אלינו, דרך Supabase, את כתובת המייל ואת השם שרשום אצלו. זה כל מה שמגיע: אין לנו גישה לתיבת הדואר, לאנשי הקשר או לקבצים שלכם, ואנחנו לא מפרסמים דבר בשמכם. אם כבר היה לכם חשבון עם אותה כתובת, הכניסה מגיעה לאותו חשבון.

מפתחות גישה (passkeys). אם הוספתם מפתח גישה, המכשיר שלכם מחזיק את המפתח הפרטי ואצל Supabase נשמר רק המפתח הציבורי ושם ידידותי של המכשיר. טביעת האצבע או הפנים שלכם לעולם לא עוזבות את המכשיר ולא מגיעות אלינו. (אימות הגיל, שהוא רשות ומתואר למטה, שונה: שם אתם בוחרים לשלוח תמונה של התעודה וסלפי לבדיקה אחת.)

אם אימתתם גיל (רשות)

אפשר, אם רוצים, לאמת בעמוד החשבון שאתם בני 18 ומעלה. מצלמים דרכון (עמוד התמונה) או תעודת זהות ביומטרית (הצד הקדמי), ואז סלפי קצר: תמונה אחת במבט ישר ורצף של תמונות קטנות בזמן שמסובבים את הראש במעגל מלא, כמו בהגדרת Face ID. בזמן הסלפי רכיב בדף עוקב אחרי תנועת הראש כדי להנחות אתכם; הוא פועל בטלפון שלכם בלבד ולא שולח דבר. לפני שמתחילים מאשרים בכרטיס את ההסכמה, ואנחנו שומרים איזה נוסח אושר. התמונות נשלחות אלינו פעם אחת, נבדקות בזיכרון ונמחקות בסוף הבדיקה: אנחנו לא שומרים אותן. הכול נעשה בשירות שלנו, שרץ בתשתית של Cloudflare בלי גישה לאינטרנט, ושום תמונה לא נשלחת לחברה אחרת: קריאת תאריך הלידה ותאריך התוקף מהתעודה (בדרכון משורות התווים עם הסימנים <<<; בתעודת הזהות מהתאריכים המודפסים בצד הקדמי, יחד עם בדיקה שמספר הזהות תקין), השוואת הפנים לתמונה שבתעודה, הבדיקה שהראש זז לפי ההנחיות והבדיקה שאלה פנים חיות ולא תמונה או מסך. מהתעודה נלקחים רק סוג המסמך ושני התאריכים; השם ומספר התעודה לא נשמרים ולא יוצאים מהשירות. מי שלפי תאריך הלידה בחשבון עדיין לא בן 18 לא יכול לאמת, ושום תמונה שלו לא מעובדת. נשמרים רק: שהאימות הצליח או נכשל, מתי, סוג המסמך, קודי הסיבה ומידת ההתאמה בין הפנים (מספר אחד, לא תבנית פנים; ניסיונות נמחקים אחרי 30 יום), ונוסח ההסכמה כל עוד האימות בתוקף. לא נשמרים שם, מספר תעודה, תמונה או תבנית פנים. אחרי אימות, הזמנה של משקה אלכוהולי מגיעה לצוות עם הסימון "גיל אומת", בלי שום פרט נוסף. תמונת פנים ותעודה מזהה הן מידע בעל רגישות מיוחדת, ולכן זה רשות בלבד: אפשר להזמין בדיוק כמו קודם בלי לאמת, ואפשר לבטל את האימות בכל רגע בעמוד החשבון; שינוי תאריך הלידה או מחיקת החשבון מבטלים אותו. האימות לא מחליף את זכות המקום לבקש תעודה.

אם שריינתם שולחן

שריון דורש שם ומספר טלפון, כדי שמי שעומד בדלת ידע למי השולחן ויוכל להתקשר אם משהו השתנה. נשמרים: השם, הטלפון, מספר הסועדים, המועד, הערה אם כתבתם, והקישור לחשבון שלכם. אישור השריון והודעת ביטול נשלחים למייל של החשבון. השם והטלפון נמחקים 90 יום אחרי מועד השריון; העובדה שהיה שריון, ואם הגעתם, נשארת אצל המסעדה עוד שנה כנתון תפעולי, בלי שם.

אם הזמנתם דרך המלצר ומסרתם שם וטלפון

כשהמלצר רושם את ההזמנה בשבילכם, הוא יכול לשאול את שמכם ומספר הטלפון. זו בחירה: אפשר להזמין דרך המלצר גם בלי למסור אותם. אם מסרתם, המסעדה שומרת עליכם כרטיס בספר הלקוחות שלה: השם, הטלפון, מספר הביקורים ומועד האחרון, מה הזמנתם אצלה, האלרגיות — רק אם ביקשתם שיזכרו אותן — והערות של הצוות. הכרטיס משותף לסניפי אותה רשת בלבד, ומשמש לשני דברים: לזהות אתכם בביקור הבא (בשם, ובאלרגיות שביקשתם שיזכרו), ולהשיג אתכם אם נשאר חשבון פתוח. מלצר רואה את השם, האלרגיות וההערות, לא את הטלפון; מנהל הסניף רואה גם את הטלפון. המסעדה אינה רשאית להשתמש בכרטיס לשיווק בלי הסכמה נפרדת שלכם. הכרטיס נמחק שנתיים אחרי הביקור האחרון, או מיד כשתבקשו מהמסעדה למחוק אותו. המסעדה היא בעלת השליטה במידע הזה ואנחנו מחזיקים אותו עבורה.

אם דירגתם מסעדה

אחרי תשלום החשבון בכרטיס דרך קיודר אפשר לדרג את המסעדה (1–5 כוכבים) ולהוסיף משפט, לבחירתכם. הדירוג נשמר יחד עם החשבון שלכם ועם הביקור. סועדים אחרים רואים רק את הממוצע ואת מספר הדירוגים, ורק כשיש לפחות 10. המסעדה רואה את הדירוגים שלה ואת המשפטים, לפי יום בלבד, בלי שם ובלי פרטי קשר, ואינה יכולה לערוך או למחוק אותם. כשמוחקים את החשבון נמחקים המשפט והקישור אליכם, והכוכבים נשארים בממוצע של המסעדה בלי קישור לאיש; אחרת הדירוג נשמר כמו נתוני הביקור (ראו מדיניות השמירה).

אם הפעלתם זיכרון טעם (רשות)

זיכרון טעם כבוי, ונדלק רק אם הפעלתם אותו בעצמכם: בעמוד החשבון, או בתשובת "כן" מפורשת כשהמלצר הדיגיטלי שואל עליו. הוא שואל פעם אחת בלבד, אחרי הזמנה בביקור חוזר, ואם תסרבו או לא תענו, לא יישאל שוב. כשהוא פעיל, המלצר הדיגיטלי זוכר סוגי מנות שאתם חוזרים אליהם בכל המסעדות שעובדות עם קיודר (למשל צ'יזבורגר), ומציע מנה מהסוג הזה כשיש כזו בתפריט של המסעדה שבה אתם יושבים.

• מה נשמר. סוג המנה (למשל "צ'יזבורגר"), כמה פעמים הזמנתם אותו, בכמה ביקורים ובכמה מסעדות, ומתי לאחרונה. בנוסף נשמרים מתי הפעלתם את זיכרון הטעם ובאיזה נוסח הסכמתם, מתי המלצר שאל עליו, וסוגי המנות שביקשתם לשכוח. לא נשמרים שמות המסעדות, תוכן השיחות, משקאות אלכוהוליים או מילים של תזונה ובריאות (למשל "טבעוני" או "ללא גלוטן": מנה כזו נזכרת לפי מה שהיא, למשל המבורגר), ואנחנו לא מסיקים מזה דבר על בריאות, דת, מצב משפחתי או כל עניין אישי אחר.
• מאיפה זה מגיע. רק מהביקורים שנרשמו בחשבון שלכם: ההזמנות ששולמו בשולחן שבו ישבתם מחוברים לחשבון. אלה יכולות לכלול גם מנות שהזמינו אחרים בשולחן, ולכן ביקור אחד נספר לכל היותר פעמיים לכל סוג. סוג מנה נזכר רק אחרי שלוש הזמנות לפחות בשני ביקורים, וביקורים ישנים נחשבים פחות. כדי לזהות שמנות במסעדות שונות הן מאותו סוג, מודל השפה קורא את שמות המנות בתפריטים ומסמן לכל מנה את הסוג שלה.
• בשביל מה. רק כדי שהמלצר הדיגיטלי יוכל להציע לכם מנה מסוג שאתם אוהבים. לא לפרסום, לא למכירה ולא לשום החלטה לגביכם. הצעה כזו היא רק הצעה: האלרגיות וההעדפות התזונתיות שבפרופיל שלכם קודמות לה תמיד.
• מי רואה. הרשימה נשמרת אצלנו ואינה נמסרת למסעדות. כשאתם יושבים במסעדה שיש בה מנה מסוג שאתם אוהבים, שורה קצרה על כך (סוג המנה ושם המנה שבתפריט) נכללת בהנחיות שהמלצר הדיגיטלי מקבל לאותה שיחה, ונשלחת יחד איתן לספק מודל בינה מלאכותית חיצוני (ראו סעיף 5), כמו כל הודעה בשיחה. ההצעה עצמה מופיעה בשיחה כמו כל תשובה של המלצר, ולכן גם ביומן השיחות המנוקה שהמסעדה יכולה לעבור עליו (בלי שם ובלי קישור לחשבון), אלא אם ביקשתם בעמוד החשבון לא לשמור את השיחות שלכם.
• זה לא חובה. אין חובה חוקית להפעיל, וההפעלה תלויה רק ברצונכם. בלי זיכרון טעם הכול עובד בדיוק אותו דבר, רק בלי ההצעות האלה.
• כמה זמן ואיך מוחקים. הרשימה נבנית מחדש כל לילה מהביקורים שבחשבון, כך שביקורים ישנים יוצאים ממנה עם הזמן. בעמוד החשבון אפשר לראות בכל רגע מה נזכר, למחוק כל שורה (והיא לא תיזכר שוב), או לכבות את זיכרון הטעם, מה שמוחק את כל הרשימה מיד. סוגי המנות שביקשתם לשכוח נשמרים גם אחרי כיבוי, רק כדי שלא ייזכרו שוב אם תפעילו מחדש, ונמחקים עם החשבון. הרשימה נכללת בקובץ "הורדת עותק של כל המידע שלי", ונמחקת יחד עם החשבון.

אם כתבתם לנו בצ'אט באתר

בדפי האתר של קיודר יש צ'אט עם קיובי, העוזר הדיגיטלי שלנו, ובכל רגע אפשר לבקש בו לדבר עם אדם מהצוות. אין צורך בחשבון ולא צריך למסור שם.

• מה נשמר. ההודעות שלכם, תשובות קיובי והתשובות של הצוות, אחרי שכתובות מייל, מספרי טלפון ומספרים ארוכים (ת.ז., כרטיס) הוחלפו בסימון כללי; העמוד שבו התחלתם, שפת העמוד, הנושא (מכירות, הצטרפות, תמיכה טכנית, חיובים, סועדים, פרטיות ואבטחה או שותפויות), ומתי. אם ביקשתם שנענה גם במייל, או כתבתם בשיחה כתובת מייל כדי שנחזור אליכם, היא נשמרת בנפרד לשם כך. אין לנו תמיכה טלפונית, ולכן מספר טלפון לא נשמר. כתובת ה-IP אינה נשמרת עם השיחה; היא משמשת להגבלת קצב בלבד, כמו בשאר האתר.
• בשביל מה. כדי לענות לכם, כדי שאדם מהצוות יוכל להמשיך מאיפה שקיובי עצר, וכדי לשפר את התשובות. לא לפרסום, לא למכירה ולא לאימון מודלים.
• מי רואה. הצוות של קיודר, במסוף הפנימי. כדי שקיובי יענה, ההודעות שלכם נשלחות לספק מודל השפה (ראו סעיף 5) יחד עם קטעים מדפי האתר הציבוריים. קיובי לא מחובר לשום חשבון ואינו יכול לבצע פעולה: לא החזר, לא הנחה, לא שינוי תוכנית או חיוב, לא שינוי בחשבון או בהגדרות של מסעדה ולא מחיקה. אלה נעשים רק בידי אדם, ובדרכים הרגילות.
• בדפדפן שלכם. כדי שהשיחה תמשיך כשעוברים בין עמודים, הדפדפן שומר את מזהה השיחה ומפתח אקראי שלה (localStorage). אין בהם פרטים עליכם; הם נמחקים כשמתחילים שיחה חדשה או מוחקים את נתוני האתר.
• כמה זמן. 90 יום מההודעה האחרונה, ואז השיחה נמחקת כולה, כולל כתובת המייל. אפשר לבקש מאיתנו למחוק אותה קודם, בצ'אט עצמו או בטופס יצירת הקשר.

3. מה לא נשמר

• פרטי אשראי. התשלום מתבצע בדף הסליקה של המסעדה, אצל חברת הסליקה שלה. מספר כרטיס לא עובר דרכנו ואנחנו לא רואים אותו בשום שלב. אצלנו נשמרים רק סכום העסקה ומספר האסמכתא שחברת הסליקה החזירה.
• הקלטות קול. אפשר לדבר אל המלצר הדיגיטלי במקום להקליד, וזו בחירה — אפשר תמיד להקליד הכל. אם בחרתם לדבר, ההקלטה נשלחת לתמלול ונמחקת באותו רגע: היא לא נשמרת אצלנו, לא נכנסת ליומן השיחות ואי אפשר לשחזר אותה. מה שנשמר הוא הטקסט שראיתם בתיבה ושלחתם בעצמכם — התמלול אף פעם לא נשלח לבד, אתם קוראים אותו ומתקנים אותו קודם. שימו לב שטלפון שמקליט ליד השולחן קולט גם את מי שיושב איתכם. הקלטות של צוות המטבח והבר, כשהם מדברים אל העוזר שבמסך שלהם, מטופלות באותו אופן ואינן נשמרות (ראו סעיף 4).
• שיחה קולית (במסעדות שהפעילו את זה). בחלק מהמסעדות אפשר ללחוץ על כפתור בצ'אט ולדבר עם המלצר הדיגיטלי בקול, והוא עונה בקול. זו בחירה שלכם בכל פעם, והכפתור קיים רק במסעדה שהפעילה את השירות. במהלך השיחה הקול שלכם זורם ישירות מהטלפון לשירות הדיבור של ספק מודל בינה מלאכותית חיצוני ואינו עובר דרך השרתים שלנו ואינו נשמר אצלנו; מה שנשמר הוא התמלול, בדיוק כמו הודעה שהקלדתם — בהיסטוריית השולחן וביומן השיחות המנוקה. תשובה קולית נאמרת ישירות מהמודל, ולכן אינה עוברת את הבדיקה שתשובה כתובה עוברת לפני שמציגים אותה; במקום זה היא נבדקת מיד אחרי, והמלצר מתקן את עצמו בקול אם המליץ על מנה שמכילה אלרגן שהצהרתם עליו. בשאלות אלרגיה, בקול או בכתב, יש לוודא מול הצוות.
• מיקום. אנחנו לא מבקשים גישה ל-GPS ולא אוספים מיקום. הקוד שמודפס על השולחן הוא מה שמזהה איפה אתם.
• עוגיות מעקב או פרסום. אין באתר. המדידה היחידה היא ספירת צפיות של Cloudflare, בלי עוגייה ובלי מזהה מכשיר, ואפשר לכבות אותה בלוח ההגדרות שבמדיניות העוגיות — כיבוי מסיר אותה מהעמוד ממש, לא רק מבקש ממנה יפה.
• פרופיל התנהגות. אנחנו לא בונים פרופיל, לא מדרגים אתכם ולא מקבלים החלטות אוטומטיות בעלות משמעות משפטית לגביכם. החריג היחיד הוא זיכרון טעם, ורק אם הפעלתם אותו בעצמכם: רשימה של סוגי מנות שאתם אוהבים, שאתם רואים ומוחקים בעמוד החשבון. כרטיס הלקוח שבספר הלקוחות של המסעדה (למעלה) נוצר רק אם מסרתם למלצר שם וטלפון, ונשאר של אותה רשת.

4. בתי עסק: מה נשמר

• בקשת הצטרפות. שם העסק, מספר ח.פ./ע.מ., עיר, שם איש הקשר, מייל, טלפון, וכל מסמך שצורף (למשל תעודת התאגדות או רישיון עסק). המסמכים נשמרים בתיקייה פרטית אצל Supabase, ללא כתובת ציבורית, ונגישים רק לצוות שלנו לצורך בדיקת הבקשה. הם נמחקים 90 יום אחרי ההחלטה; פרטי הבקשה עצמה נשארים כתיעוד של איך נפתח החשבון.
• פרטי המקום שבבקשה. מאז 14 באוקטובר 2026 טופס ההרשמה אוסף גם את מה שהחשבון צריך כדי לעבוד מהיום הראשון: הסניפים וכתובותיהם, שעות הפתיחה, השולחנות, התפריט (כולל תמונות מנות, אם הועלו), הפרטים על המקום, אופן התשלום, ושמות, מיילים וטלפונים של מנהלי הסניפים והמלצרים שהעסק רוצה שיקבלו חשבון. ביום האישור כל אלה נכתבים לחשבון, וכל איש צוות מקבל במייל הזמנה לקביעת סיסמה. הטופס נשמר תוך כדי מילוי, אחרי שהמייל אומת בקוד; טופס שלא נשלח נמחק 30 יום אחרי השמירה האחרונה, עם התמונות שבו. תמונה או PDF של התפריט שהועלו לקריאה נשלחים לספק מודל בינה מלאכותית חיצוני כדי להקליד את המנות ואינם נשמרים אצלנו. לגבי פרטי העובדים, העסק הוא בעל השליטה במידע ואנחנו מחזיקים ומעבדים אותו עבורו.
• חשבונות צוות. שם, מייל, טלפון אם ניתן, תפקיד, הסניף או הרשת, והאם הופעל אימות דו-שלבי (הסוד של האימות נשמר אצלנו). הסיסמה מנוהלת אצל Supabase. הזמנה שעובד רשם בשולחן נשמרת עם שמו, כדי שיהיה ידוע מי לקח אותה, גם אחרי שהחשבון שלו נסגר.
• פרטי הסליקה. מפתחות הגישה לחשבון הסליקה שהעסק הזין. הם נשמרים במסד הנתונים, משמשים את השרת בלבד, ולעולם לא מוחזרים לדפדפן — הפאנל מציג רק אילו שדות מולאו. מפתחות שהוזנו בטופס ההרשמה נבדקים מול חברת הסליקה ונשמרים מוצפנים בנפרד מהבקשה עד האישור; בקשה שנדחתה או טופס שלא נשלח מוחקים אותם.
• נתוני הפעלה. תפריט, מחירים, שעות, שולחנות, הזמנות, ביקורים, החזרים שבוצעו (סכום, סיבה, מי ביצע) ושריונים של הסניפים, ומספר הסועדים ששוחחו עם המלצר הדיגיטלי (לצורך חיוב, בלי זהות הסועד).
• מה שנשלח לעוזר לעסקים. הודעות, תמונות וקבצים שהעובד שלח לעוזר מועברים למודל ואינם נשמרים אצלנו אחרי המענה; ההצעות שהעוזר יצר נשמרות עד שאושרו או נדחו.
• העוזר במסכי המטבח והבר. עובד במטבח או בבר יכול לדבר אל המסך או לכתוב לו ("שולחן 7 יצא", "נגמר הסלמון"), בכל שפה. המסך מקליט רק אחרי לחיצה על כפתור המיקרופון, ומפסיק מעצמו כשמפסיקים לדבר. ההקלטה נשלחת לספק מודל בינה מלאכותית חיצוני לתמלול ונמחקת באותו רגע: היא לא נשמרת אצלנו ואי אפשר לשחזר אותה. הטקסט (המתומלל או המוקלד) והתשובות של העוזר נשמרים כזיכרון קצר של אותו מסך עד 24 שעות, בלי שם העובד ובלי קישור לחשבון שלו: מבחינת המערכת המסך הוא שמדבר, לא אדם מזוהה. מה שהעוזר עשה נרשם כמו לחיצה על המסך (מצב הזמנה, מנה שאזלה), והודעה שנשלחה ממנו לצוות נשמרת בפעמון של הסניף 7 ימים. שימו לב שמיקרופון על קיר המטבח קולט גם את מי שעומד לידו כשהוא מקליט. לגבי המידע על עובדי העסק, העסק הוא בעל השליטה במידע ואנחנו מחזיקים ומעבדים אותו עבורו.
• כתובת ומיקום המסעדה. הכתובת והנקודה שהעסק סימן על המפה מוצגות לסועדים בכרטיס המסעדה בצ'אט של קיודר. כדי למצוא את הנקודה, השרת של קיודר שולח את כתובת המסעדה בלבד ל-GovMap של המרכז למיפוי ישראל, ואם שם לא נמצאה, ל-OpenStreetMap (Nominatim); את התשובה הוא שומר, כדי לא לשאול שוב. סועדים לא שולחים לשם דבר. המפות עצמן מוגשות מהשרתים של קיודר.
• פניות דרך מודעות בפייסבוק ובאינסטגרם. בית עסק שמילא טופס באחת המודעות שלנו בפייסבוק או באינסטגרם (טופס לידים של Meta) שולח לנו דרך Meta את מה שמילא: שם, שם העסק, טלפון, מייל, עיר, מספר סניפים ותשובות לשאלות הטופס, וגם באיזו מודעה זה היה. השרת שלנו מושך את הפרטים מ-Meta, ונשמר אצלנו כמו פנייה שהגיעה מהאתר, כדי לחזור אליו. את התשובה הראשונה ועד שתי תזכורות מנסח בשבילנו מודל שפה של Anthropic: הוא מקבל את השם הפרטי של איש הקשר, שם העסק, העיר, מספר הסניפים, תשובות הטופס וההודעות שכבר נשלחו אליו, בלי מייל וטלפון. בדרך כלל אדם מהצוות שלנו קורא כל הודעה לפני שהיא נשלחת במייל או בוואטסאפ, והודעה שנוגעת במחיר או בתנאים תמיד נשלחת רק אחרי אישור. Meta שומרת את הטופס לפי המדיניות שלה.
• חיוב המנוי. דמי המנוי משולמים בכרטיס אשראי. פרטי הכרטיס עוברים מהדפדפן ישירות אל SUMIT, מערכת הנהלת החשבונות והסליקה שלנו, ונשמרים שם; אלינו מגיעים רק אסימון חד-פעמי, ארבע הספרות האחרונות של הכרטיס והתוקף שלו. הסליקה נעשית דרך UPay. ב-SUMIT נשמרים גם שם העסק, מספר ח.פ./ע.מ., שם איש הקשר לחשבונות והמייל שלו, והקבלות. בית עסק שלא שמר כרטיס משלם בהעברה בנקאית מול חשבון עסקה שמופק אצל iCount, ספק הנהלת החשבונות שלנו, ושם נשמרים אותם פרטים; פרטי חשבון הבנק שלו אינם נמסרים לנו.

5. למי המידע מגיע

המסעדה שאתם יושבים בה

ההזמנה, הערת האלרגיה ומספר השולחן מגיעים למסך המטבח של אותו סניף. מסעדה אחרת — גם סניף אחר של אותה רשת — לא רואה אותם. מנהל הרשת רואה את נתוני כל הסניפים שלו, בלי שמות סועדים, למעט חשבון שנשאר בלי תשלום (ראו בפסקה הבאה). אם הזמנתם כשאתם מחוברים לחשבון, מנהל הסניף רואה, על מסך השולחן שבו אתם יושבים בלבד: את השם שלכם, את הטלפון אם מסרתם, ואת האלרגיות וההעדפות ששמורות בחשבון. זה נועד לדבר אחד — שמי שמגיע לשולחן ידע מה לא להביא. חשבון מלצר של הסניף רואה על אותו מסך רק את האלרגיות וההעדפות, בלי השם והטלפון. המידע נעלם מהמסך כשהשולחן מתפנה. מייל שהזנתם בתשלום נשמר ברשומת התשלום של המסעדה, כדי לשלוח אישור ולהודיע על החזר. בשריון, המסעדה רואה את השם והטלפון שמסרתם — וצוות הסניף רואה בפאנל את השריונים של אותו יום בלבד, לא את יומן השריונים כולו.

חשבון שלא שולם

אם קמתם מהשולחן והחשבון נשאר פתוח, פרטי הקשר שלכם — השם, הטלפון והמייל שבחשבון, ומייל שהקלדתם בדף תשלום שלא הושלם — מוצגים לסניף ולהנהלת הרשת, כדי שיוכלו ליצור אתכם קשר ולגבות את מה שנשאר. זו המטרה היחידה, והבסיס החוקי הוא האינטרס הלגיטימי של המסעדה לגבות חוב. הפרטים אינם נשמרים במקום נוסף: הם נקראים מהחשבון שלכם באותו רגע, מוצגים רק כל עוד החשבון פתוח, ויורדים מהמסך ברגע שהוא נסגר או נמחק. הזמנתם בלי חשבון ובלי להתחיל תשלום? אין לנו מה למסור, ולא נמסור כלום. העסק מתחייב כלפינו בהסכם ההתקשרות להשתמש בפרטים האלה לגביית אותו חשבון בלבד, ולא לשיווק.

ספקי המשנה שלנו

אף אחד מהם אינו רשאי להשתמש במידע למטרותיו. איננו מוכרים מידע ואיננו מעבירים אותו למפרסמים. נמסור מידע לרשות מוסמכת רק כשהדין מחייב אותנו.

6. העברת מידע אל מחוץ לישראל

המידע מאוחסן באירופה; שיחות עם המלצר הדיגיטלי מעובדות אצל ספק מודל בינה מלאכותית חיצוני בארה"ב (ראו את הטבלה בסעיף 5), ומיילים נשלחים דרך Cloudflare, ובגיבוי דרך Resend בארה"ב. ההעברה נדרשת כדי לספק את השירות שביקשתם, והיא נעשית לספקים המחויבים חוזית לאבטחת המידע ולאי-שימוש בו למטרותיהם, בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001.

7. גיל

חשבון אישי נפתח מגיל 13, עם תאריך לידה. פתיחת חשבון והזמנה דרכו הן פעולה מקובלת לבני גיל זה ואינן דורשות אישור הורה. אם יתברר מתאריך הלידה שטרם מלאו לבעל החשבון 13, החשבון וכל המידע שנאסף בו יימחקו. מי שצעיר יותר יכול להזמין בלי חשבון, ואיננו אוספים ביודעין מידע מזהה מילדים מתחת לגיל 13; אם נדע בדרך אחרת שנפתח חשבון כזה, נמחק אותו. משקאות אלכוהוליים נמכרים רק מגיל 18: המערכת לא תוסיף אותם להזמנה של מי שלפי תאריך הלידה בחשבונו טרם מלאו לו 18, ומסמנת לצוות המסעדה כל הזמנה עם אלכוהול לבדיקת תעודה מזהה. מי שאימת את גילו (ראו סעיף 2) מסומן לצוות "גיל אומת", והמסעדה עדיין רשאית לבקש תעודה. הבדיקה בפועל היא של המסעדה, שהיא המוכרת.

8. הזכויות שלכם

יש לכם זכות לדעת מה נשמר עליכם, לקבל עותק, לתקן ולמחוק. עותק מלא יורד כקובץ בלחיצה אחת, לסועדים ולבתי עסק כאחד (בית עסק מקבל את כל נתוני הרשת או הסניף, כולל ייצוא לאקסל). אצלנו אלה כפתורים בעמוד החשבון, לא טפסים. ההסבר המלא, וגם למי לפנות אם אין לכם חשבון — בעמוד הזכויות שלכם במידע.

9. שינויים במסמך

אם נשנה משהו מהותי — איזה מידע נאסף, למי הוא מגיע או כמה זמן הוא נשמר — נעדכן את התאריך בראש העמוד ונציג את זה במערכת. אנחנו לא משנים את המסמך הזה כדי להרחיב שימושים במידע שכבר נאסף.