פרטיות וציות לדרישות נתונים

Joryio כוללת כלי ציות מובנים ל-GDPR ול-CCPA, שעוזרים לכם לנהל בקשות של נושאי מידע, להגדיר הגדרות פרטיות ולשמור מסלולי ביקורת לעמידה ברגולציה.

בקשות נושאי מידע (DSR)

בקשות נושאי מידע מאפשרות לכם לעבד בקשות מחיקה (הזכות להישכח) וייצוא נתונים (ניידות נתונים) עבור משתמשים בודדים.

יצירת DSR

1. פתחו את הדף Data Subject Requests (בנתיב /compliance/dsr בלוח הבקרה)
2. לחצו על New Request
3. הזינו את ה־User ID של נושא המידע
4. בחרו את סוג הבקשה:
   • Export: אוסף את כל המידע האישי מכל המערכות לארכיון JSON שניתן להוריד
   • Erasure: מוחק לצמיתות את כל המידע האישי מכל המערכות או מבטל את זיהויו
5. לחצו על Create Request

אפשר גם ליצור DSR ישירות מדף הפרופיל של המשתמש באמצעות הכפתורים Export Data או Erase Data.

User ID חייב להשתייך למישהו שסביבת העבודה מחזיקה עליו נתונים: מזהה פנימי או מזהה חיצוני של פרופיל, פרופיל שכבר נמחק, או אדם שהאירועים שלו עדיין שמורים. כל מזהה אחר נדחה (404). לארגון יכולות להיות עד 50 בקשות ממתינות או בעיבוד בו-זמנית; מעבר לכך בקשה חדשה נדחית (429) עד שחלק מהן יסתיימו.

עיבוד DSR

כל DSR מעובד באופן אסינכרוני בכל מאגרי הנתונים:

מאגר	נתונים מושפעים
מאגר פרופילים	פרופיל משתמש, מכשירים, כינויים, הרשמות לרשימות, ביצועי מסע
מאגר מעורבות	הודעות/שיחות WhatsApp, הודעות SMS, חשיפות in-app, הקצאות וריאנטים
מאגר אירועי אנליטיקה	אירועי אנליטיקה (כולל פתיחות/לחיצות הודעות) והודעות שעברו עיבוד
S3	קבצי ייצוא וקבצי כרטיסי ארנק

שלבי העיבוד מנוטרים בנפרד, כך שתוכלו לעקוב אחר ההתקדמות בזמן אמת בדף פרטי ה-DSR.

מעקב מועדים

מועדים מחושבים אוטומטית על בסיס הרגולציה החלה:

• GDPR: 30 יום מיצירת הבקשה
• CCPA: 45 יום מיצירת הבקשה

בקשות שעברו את המועד מסומנות יומית ונרשמות במסלול ביקורת התאימות.

הורדת ייצוא

עבור DSR ייצוא, לאחר השלמת העיבוד:

1. עברו לדף הפרטים של ה־DSR
2. לחצו על Download Export
3. קובץ הייצוא זמין 24 שעות לאחר העיבוד; כל קישור הורדה שנוצר תקף לשעה אחת

קובץ הייצוא הוא ארכיון JSON דחוס המכיל את כל המידע האישי מאורגן לפי מאגר נתונים.

הגדרות פרטיות

פתחו את עמוד ההגדרות Data Privacy & Compliance (בנתיב /settings/privacy בלוח הבקרה) כדי להגדיר הגדרות פרטיות ברמת הארגון.

ההגדרות האלה חלות על כל סביבות העבודה בארגון - קיצור תקופת שמירה מוחק נתונים בכולן - ולכן שינוי שלהן מחייב את ההרשאה ברמת החברה Organization Settings: Write (org_settings:write). כל מי שיש לו Compliance: Read יכול לצפות בהן.

רגולציה ברירת מחדל

הגדירו את מסגרת הרגולציה שתוחל כברירת מחדל (GDPR או CCPA) על בקשות DSR חדשות. בחירה זו קובעת את מועד היעד שיוגדר כברירת מחדל.

שמירת נתונים

הגדירו כמה זמן סוגים שונים של נתונים נשמרים:

הגדרה	תיאור	ברירת מחדל
Tracking Retention	פתיחות ולחיצות על הודעות	כמו האירועים. הגדירו 7-365 ימים כדי למחוק פתיחות ולחיצות מוקדם יותר - ההגדרה יכולה רק לקצר, לעולם לא להאריך
Audit Log Retention	רשומות ביקורת תאימות	365 ימים. הגדירו 30-3650 ימים; הניקוי הלילי מחיל זאת. פעולות מנהל ואירועי התחברות לא נשמרים פחות מ-365 ימים
Export File Retention	קובצי ייצוא של DSR ב־S3	24 שעות
Anonymous Profile Retention	פרופילים אנונימיים שהתקררו	365 ימים. תלוי בחבילה שלכם - לשינוי פנו ל-Customer Success. ראו למטה

תקופת השמירה של אירועי אנליטיקה (730 ימים כברירת מחדל) נקבעת לתוכנית שלכם על ידי Joryio ואינה נערכת בדף זה.

פניות שאתם שולחים לתמיכה של Joryio הן רשומות של Joryio, לא נתוני סביבת העבודה, ולכן הן לא מוגדרות כאן - ראו כמה זמן אנחנו שומרים פניות תמיכה.

שמירת פרופילים אנונימיים

גם מבקרים שמעולם לא זיהיתם מקבלים פרופיל, כדי שהודעות in-app, אירועים ו-push יוכלו להגיע אליהם. רובם מבקרים פעם אחת. משימה לילית מוחקת פרופיל אנונימי רק כאשר כל התנאים הבאים מתקיימים:

• הוא מעולם לא זוהה - אין לו אימייל, טלפון או מזהה משתמש;
• לא הייתה לו פעילות (אף אירוע ואף שינוי בפרופיל) במשך 365 ימים;
• אין לו מכשיר פעיל, כך שכל מי ש-push או in-app עדיין יכולים להגיע אליו נשמר;
• הוא אינו במסע פעיל או ממתין, ואינו באף רשימה.

האירועים שלו נשארים באנליטיקה תחת המזהה האנונימי ונמחקים לפי תקופת השמירה של האירועים. כל ריצה לילית נרשמת ביומן הביקורת של התאימות, עם מספר הפרופילים שנמחקו ומספר אלה שנשמרו, ומדוע. התקופה היא 365 ימים כברירת מחדל ותלויה בחבילה שלכם. היא אינה משתנה בעמוד הזה - כדי לשנות אותה, או כדי לשמור פרופילים אנונימיים לתמיד, פנו ל-Customer Success.

ניקוי אנשי קשר לא פעילים

כבוי אלא אם ביקשתם. כאשר Customer Success מפעילים אותו בחבילה שלכם, משימה לילית מוחקת איש קשר מזוהה רק כאשר כל התנאים הבאים מתקיימים: אף ערוץ לא יכול להגיע אליו בשום הגדרת קמפיין (האימייל שלו הוסר מרשימת התפוצה, חזר בהחזרה קשה או חסר; הטלפון שלו הוסר מ-SMS, WhatsApp ו-Viber, או חסר; אין לו מכשיר פעיל), לא הייתה לו פעילות במשך מספר הימים שסוכם (180 לפחות), והוא אינו במסע פעיל ואינו רשום לרשימה. איש קשר שהסטטוס שלו פשוט מעולם לא הוגדר נחשב כזמין ונשמר. לפני שאיש קשר נמחק, ההסרה או ההחזרה שלו נוספות לרשימת החסימה שלכם, כך שייבוא חוזר של אותה כתובת לא יוכל לרשום אותו מחדש.

כשהחשבון שלכם מסתיים

כשהמנוי שלכם מסתיים, לא קורה דבר לנתונים שלכם. לאחר מכן צוות Joryio מאשר איתכם שהחשבון הסתיים; עד שזה קורה, הנתונים נשארים כפי שהם.

לאחר שסיום החשבון אושר:

1. באותו יום הבעלים והמנהלים של החשבון, וכתובת האימייל לחיוב שבפרטי החיוב, מקבלים אימייל: החשבון הסתיים, והתאריך שבו הנתונים שלו יימחקו.
2. 7 ימים לפני סגירת החשבון נשלחת תזכורת.
3. 14 יום לאחר האישור החשבון נסגר: הוא הופך לקריאה בלבד, מפתחות ה-API שלו מבוטלים ואיסוף הנתונים נעצר.
4. 30 יום לאחר מכן כל הנתונים שלו - אנשי קשר, אירועים, הודעות, קבצים והגדרות - נמחקים לצמיתות.

לכן הנתונים שלכם נמחקים תוך 60 יום מאישור סיום החשבון. הגיבויים מתיישנים לאחר מכן: גיבויי מסד הנתונים תוך 7 ימים.

כל עוד יש חשבונית שלא שולמה או תשלום שעדיין בתהליך, אף אחד מהשלבים האלה לא מתבצע; הם ממשיכים לאחר שהחוב הוסדר, תמיד עם הודעה של 7 ימים לפחות על התאריך החדש.

כדי לשמור את החשבון ואת הנתונים שלו, צרו איתנו קשר לפני שהוא נסגר: נבטל את המחיקה או נדחה אותה לתאריך מאוחר יותר. גם לאחר סגירת החשבון אפשר עדיין לשחזר אותו עד שהנתונים שלו נמחקים.

התנהגות מחיקה

• Anonymize instead of delete: כשהאפשרות מופעלת, המחיקה משאירה את שורות האירועים וההודעות של המשתמש אך מבטלת את זיהוין באופן בלתי הפיך - מזהה המשתמש מוחלף בטוקן אקראי שאי אפשר לשחזר, וכל שדה מזהה עובר טיהור (מאפייני האירוע properties ומזהי anonymous/session/device). נשארים רק ממדים אנליטיים שאינם אישיים (שם האירוע, חותמת הזמן, הקמפיין והערוץ), כך שהאנליטיקה המצטברת נשמרת והאדם כבר אינו ניתן לזיהוי. כשהאפשרות כבויה, הרשומות נמחקות לצמיתות.
• Retain aggregate statistics (תוסף Enterprise): עבור לקוחות שדורשים מחיקה מלאה (ולא אנונימיזציה) אך אינם רוצים לאבד נתונים מלוחות הבקרה, האפשרות שומרת שורות אירועים מטוהרות וללא מזהים כדי שסיכומי הקמפיינים והמשפכים יישמרו - ובה בעת כל מאגרי ה־PII (פרופילים, הודעות ומכשירים) נמחקים לחלוטין.

תוסף Enterprise

Retain aggregate statistics הוא תוסף Enterprise. רק צוות Joryio יכול להפעיל אותו עבור הארגון שלכם דרך מסוף הניהול - הוא אינו זמין לשירות עצמי. עד להפעלתו, המתג בדף נשאר מושבת. לאחר שנפעיל אותו, תוכלו לבחור כאן אם להחיל אותו על כל בקשת מחיקה. צרו איתנו קשר כדי להוסיף אותו לתוכנית שלכם.

טיפ

אנונימיזציה לבדה כבר משמרת אנליטיקה מצטברת וגם עומדת בדרישת המחיקה, כך שרוב הארגונים אינם זקוקים לתוסף המחיקה המלאה. בחרו בתוסף רק כאשר מדיניות או רגולטור דורשים במפורש מחיקה בפועל ולא אנונימיזציה.

איש קשר פרטיות (DPO)

הגדירו את פרטי הקשר של קצין הגנת המידע שלכם:

• DPO Name ו־Email: מוצגים ברשומות תאימות
• Privacy Policy URL: קישור למדיניות הפרטיות של הארגון

יומן ביקורת תאימות

כל הפעולות הקשורות לתאימות נרשמות ביומן ביקורת שאי אפשר לשנות, הנגיש מהדף Data Subject Requests (רשומות הביקורת מוצגות בדף הפרטים של כל DSR).

היומן מציג את הרשומות של סביבת העבודה הנוכחית. רשומות ברמת הארגון, כמו שינויים בהגדרות הפרטיות, מוצגות רק למי שיש לו Organization Settings: Write.

פעולות שנרשמות:

• יצירה, עיבוד, השלמה, כישלון וביטול של DSR
• הורדות קבצי ייצוא
• שינויי הגדרות פרטיות
• אזהרות מועד שעבר
• ריצות של שמירת פרופילים אנונימיים (כמה נמחקו וכמה נשמרו)
• ריצות של ניקוי אנשי קשר לא פעילים (כמה נמחקו וכמה נשמרו)

חשוב

יומן ביקורת ההרשמות לעולם לא נמחק במהלך בקשות מחיקה (GDPR סעיף 17(3)(b)). במקום זאת, מזהי משתמשים מאנונימים כדי לשמור הוכחת הסכמה תוך הסרת PII.

הזמנות מהחנות

מחיקה לעולם לא מוחקת הזמנות מהחנות (Shopify, WooCommerce, Magento או ה-API של ההזמנות), כך שסכומי ההכנסות נשארים נכונים. היא מסירה מכל הזמנה של האדם את מה שמזהה אותו - שם, כתובות וטלפון, מזהה הלקוח בחנות, הערת ההזמנה, קישור סטטוס ההזמנה ומספר המעקב - ומנתקת את ההזמנות מאיש הקשר. הסכומים, המוצרים וקודי הקופון נשארים, וכך גם שדות מותאמים שאתם שולחים ב-metadata של הזמנה דרך ה-API - אל תשימו בהם מידע אישי.

סימון מידע כאישי (PII)

מידע אישי נשמר כרגיל ומוסתר בקריאה ממשתמשים שאין להם הרשאת pii:view. סימון שדה כאישי אינו מוחק אותו ואינו משנה מה אפשר לעשות איתו - עדיין אפשר לפלח ולטרגט לפיו בדיוק כמו קודם. הסימון קובע מי רואה את הערכים.

מה אישי כברירת מחדל

שדות שהפלטפורמה מגדירה מכוסים ללא הגדרה - email, phone, firstName, lastName, שדות כתובת, date_of_birth, postal_code, ip_address, national_id ודומיהם. ההתאמה עובדת בכל צורת כתיבה, כך ש-first_name ו-firstName הם אותו שדה.

אנחנו לא מנחשים מעבר לרשימה הזו. שדה בשם plan_name או emailSubject הוא מידע רגיל, כי ניחוש לפי שמות טועה לשני הכיוונים - ושדה שסומן בטעות כאישי מסתיר את ערכיו מהצוות שלכם ללא כל תועלת פרטיות.

סימון שדות משלכם

כל מה שאתם שולחים - אתם מסווגים:

• מאפיינים - הגדרות ← מילון הנתונים, מתג ה-PII בשורה.
• מאפייני אירוע - הגדרות ← מילון הנתונים, פתחו אירוע והשתמשו במתג ה-PII.

email ו-phone לא ניתנים לביטול סימון - אלו הכתובות שאליהן הפלטפורמה שולחת.

מה משתנה כששדה מסומן

היכן	השפעה
מילון הנתונים וסייר האירועים	ערכי דוגמה מוסתרים ללא pii:view
פילוחים וטרגוט	ללא שינוי - עדיין אפשר לסנן לפיו
התאמה אישית בקמפיינים	ללא שינוי
הקשר לעוזר ה-AI	הערכים לא נשלחים למודל
מודלים חזויים	השדה מוחרג מהאימון

השורה האחרונה מתנהגת אחרת בכוונה. תצוגה ניתן לבטל בלחיצה; ערך שנלמד לתוך מודל לא. לכן שדות שהם אישיים מטבעם נשארים מחוץ לאימון גם אם תבטלו את הסימון, ומזהים כמו externalId לעולם לא משמשים לאימון אף שהם מוצגים כרגיל.

הסימון "ID?"

חלק מהמאפיינים מסומנים בתווית ID? קטנה. משמעותה שהערכים מתנהגים כמו מזהה - ערך חדש כמעט בכל אירוע, או בערך אחד לכל אדם - דבר ששם לבדו אינו מגלה. זו הצעה לבדיקה, לא החלטה אוטומטית: שום דבר לא מוסתר או מוחרג בגללה.

פעולות מהירות מפרופיל משתמש

בעמוד הפרופיל של כל משתמש תמצאו שני כפתורי פעולה:

• Export Data: יוצר עבור המשתמש בקשת DSR לייצוא
• Erase Data: יוצר עבור המשתמש בקשת DSR למחיקה (נדרש אישור)

אלה קיצורי דרך שיוצרים בקשות DSR באותו תהליך עיבוד.