מדיניות פרטיות ותנאים משפטיים: LinkShield
LinkShield ("האפליקציה", "אנחנו") מחויבת להגנה על פרטיות המשתמשים, תוך מתן כלים לאימות קישורים ולהערכת אבטחה. עקרון הפעולה המרכזי שלנו הוא פרטיות מעצם התכנון (Privacy by Design), במודל מחמיר של אפס הרשאות.
מסמך זה מתאר כיצד מידע מטופל, מעובד ומוגן בעת השימוש ב-LinkShield, וכן את התנאים החלים על השימוש באפליקציה.
1. מודל אפס הרשאות ופרטיות מקומית
LinkShield תוכננה כך שחשיפת המידע תהיה מינימלית. האפליקציה אינה מבקשת ואינה משתמשת בהרשאות מערכת פולשניות:
- אין גישה להודעות SMS או להודעות: איננו קוראים, ניגשים או שומרים את תיבת ה-SMS שלכם או את אפליקציות המסרים.
- אין שירותי נגישות: איננו עוקבים אחר פעילות המסך, מנטרים קלט או אוספים הקשות מקלדת.
- אין שכבות על המסך: איננו מציירים מעל אפליקציות אחרות ללא פעולת משתמש.
- אין גישה לקבצים אישיים או לאנשי קשר: איננו ניגשים לאנשי קשר, לנתוני מיקום, למצלמה, לתמונות או למדיה במכשיר.
2. עיבוד כתובות (URL) ואימות אבטחה
כדי להעריך אם קישור מהווה איום סייבר, סיכון פישינג או כוונה זדונית, LinkShield מבצעת אימות אוטומטי של כתובות:
- ניתוח אוטומטי מקומי: בדיקות בסיסיות של מבנה הכתובת וזיהוי סיכונים מתבצעים מקומית, על המכשיר שלכם.
- בדיקות אבטחה מוצפנות:
כדי לאמת בטיחות אתרים מול מאגרי איומים מעודכנים, האפליקציה מתקשרת עם שירותי אבטחה מקובלים בתעשייה באמצעות פרוטוקולים מוצפנים (למשל DNS-over-HTTPS ו-Google Web Risk למשתמשי Pro). לצורך הבדיקה, כתובת הקישור שבחרתם לאמת (לאחר הסרת פרמטרי מעקב נפוצים) נשלחת לשירותים אלה, וכמו בכל בקשת אינטרנט, כתובת ה-IP של המכשיר שלכם גלויה להם. לא נשלחים שם, חשבון, מזהה פרסום או כל מזהה אישי אחר יחד עם הכתובת. ב-DNS-over-HTTPS האפליקציה פונה ישירות לשירות ה-DNS, ואיננו מקבלים את תוצאות הבדיקות האלה באף שרת שלנו. בדיקות Google Web Risk (Pro) הן היוצאות מכלל זה, ומתוארות להלן.
השרת שלנו ו-Google Web Risk (Pro). כדי לבדוק כתובת מול Google Web Risk, האפליקציה שולחת אותה לשרת שאנחנו מפעילים (באחסון של Cloudflare), והוא מעביר אותה ל-Google ומחזיר את התשובה. השרת מקבל את הכתובת (בלי החלק שאחרי
#ובלי שם משתמש או סיסמה שבתוכה), את האסימון המתואר להלן ואת כתובת ה-IP של החיבור. איננו שומרים את הכתובת או את כתובת ה-IP שלכם, ואיננו מנהלים יומני בקשות; אנחנו שומרים רק ספירות אנונימיות של סוגי שגיאות. כדי להגביל את בדיקות Web Risk של Pro ל-30 למינוי ב-24 שעות, השרת סופר אותן לפי גיבוב חד-כיווני עם מפתח סודי של הקוד האנונימי שבאסימון שלכם. הגיבוב הזה נשמר רק בזיכרון השרת (לעולם לא באחסון או ביומנים) עד 24 שעות, ואז נמחק. כשהאפליקציה מבקשת אסימון, גיבוב חד-כיווני עם מפתח סודי של כתובת ה-IP של החיבור נשמר באותו אופן לכל היותר 60 שניות, כדי לחסום הצפת בקשות. מעבר למגבלה, Web Risk אינו זמין עד תום 24 השעות האלה, וקישורים עדיין נבדקים באמצעות הרשימות שעל המכשיר שלכם ו-DNS מוצפן. בשרת אין מסד נתונים ואין מטמון של תוצאות. כמו בכל שירות אינטרנט, ספק האחסון שלנו רואה את כתובת ה-IP של החיבור בזמן שהוא עובר דרכו.כדי שרק משתמשי Pro יוכלו להשתמש בשרת הזה, האפליקציה מבקשת מ-Google Play (Play Integrity) לאשר שהיא האפליקציה המקורית על מכשיר אמיתי, והשרת שלנו שואל את ספק המנויים שלנו (RevenueCat) אם רכישת ה-Pro שלכם פעילה, באמצעות מזהה הרכישה האנונימי שכבר קיים באפליקציה. האפליקציה שולחת לשרת שלנו את המזהה האנונימי הזה, את שם החבילה של האפליקציה ואת אישור Play Integrity, אף פעם לא יחד עם כתובת אינטרנט. אם שתי הבדיקות עוברות, השרת נותן לאפליקציה אסימון קצר-חיים (כ-24 שעות) שנשמר במכשיר שלכם. האסימון מכיל קוד אנונימי שנגזר מהמזהה, ולא את המזהה עצמו. איננו שומרים את המזהה.
מתי Web Risk מתחיל לפעול. אחרי שהפכתם ל-Pro, או אחרי שתוקף האסימון פג, בדיקות Web Risk עשויות להתחיל כמה שניות עד כמה דקות מאוחר יותר, ויותר מכך אם החיבור נכשל (האפליקציה מנסה שוב כמה פעמים ביום). בינתיים כל קישור עדיין נבדק באמצעות הרשימות שעל המכשיר שלכם ו-DNS מוצפן. מכשירים ש-Google Play אינה מאשרת (למשל מכשירים עם הרשאות root או גרסאות לא רשמיות) אינם מקבלים אסימון ומשתמשים בבדיקות האלה בלבד. אם תכבו את Google Threat Intelligence בהגדרות, האסימון נמחק ולא נשלחת שום בקשה לשרת שלנו. משתמשים שאינם Pro אינם שולחים דבר לשרת שלנו.
אם תבחרו להפעיל את הגדרת הפענוח המתקדם האופציונלית (כבויה כברירת מחדל) ותסכימו להודעה שלה, שמות האתרים שהדף הנבדק מתחבר אליהם יישלחו גם לשירות ה-DNS המאובטח (Quad9) יחד עם כתובת ה-IP של המכשיר, ורכיב הדפדפן המובנה במכשיר עשוי לשלוח ל-Google (Google Safe Browsing) קידומות גיבוב (hash) קצרות של הכתובות שהוא טוען. אותם תנאים של היעדר מזהים חלים גם כאן, ובדיקות אלה אינן עוברות באף שרת שלנו.
- בדיקות ופניות נוספות: גיל דומיין (כל המשתמשים): שם הדומיין הרשום (למשל example.com, אף פעם לא הכתובת המלאה) נשלח לרשם שמפעיל את סיומת הדומיין, בחיבור מוצפן; עבור .ru, .it, .jp, .cn, .edu ו-.il הבקשה אינה מוצפנת. ספק DNS: שם המארח של כל כתובת בשרשרת נשלח ל-Quad9 או, אם בחרתם בכך בהגדרות, ל-Cloudflare. VirusTotal (Pro, רק אם הזנתם מפתח משלכם): הכתובת נשלחת ל-VirusTotal ללא החלק שאחרי # וללא פרמטרי מעקב; כתובת שנראית כמכילה סיסמה, מפתח, אסימון או קוד התחברות אינה נשלחת. הקישור עצמו: האפליקציה מבקרת בקישור ובכל עמוד שאליו הוא מפנה ישירות מהמכשיר שלכם, ולכן האתר יכול לראות את כתובת ה-IP של המכשיר ואת זמן הביקור ויכול להציב עוגיות, שנשמרות בזיכרון בלבד עד סוף הבדיקה. כדי לא לחזור על בדיקות, האפליקציה שומרת במכשיר רשימה של דומיינים שנבדקו לאחרונה עם תאריכי הרישום שלהם, עד 7 ימים (ללא כתובות מלאות), ורק כשההיסטוריה פועלת ומצב גלישה פרטית כבוי. כתובת שנבדקת עשויה להכיל בעצמה פרטים אישיים (למשל כתובת דוא"ל בתוך קישור); הם אינם מוסרים ונכללים במה שהשירותים שלעיל מקבלים.
- רשימת איומים מובנית (על המכשיר): האפליקציה כוללת רשימות של אתרי פישינג ואתרי הפצת נוזקות ידועים (שנאספו ממקורות ציבוריים ומצורפות לאפליקציה). ההתאמה של קישורים לרשימות אלה מתבצעת כולה על המכשיר שלכם, ושום קישור לא נשלח לשום מקום לצורך בדיקה זו.
- אין יומני גלישה מרכזיים: מלבד ממסר Web Risk של משתמשי Pro שתואר לעיל, איננו מפעילים שרתי פרוקסי להעברת התעבורה שלכם, ואיננו בונים פרופילים או שומרים יומנים מרכזיים של היסטוריית הגלישה או הכתובות שבהן ביקרתם.
3. אחסון נתונים ושליטת המשתמש
- אחסון במכשיר: כל רשומות הסריקה, ציוני הבטיחות וההעדפות שנוצרים בשימוש נשמרים אך ורק על המכשיר הפיזי שלכם, באחסון המבודד של האפליקציה.
- הגדרות רגישות: קוד ה-PIN של הנעילה ההורית (נשמר רק כגיבוב חד-כיווני עם salt) ומפתח ה-API האופציונלי של VirusTotal שאתם מזינים נשמרים באחסון מוצפן המוגן על ידי אנדרואיד במכשיר שלכם. אם המכשיר אינו יכול לספק אחסון מוגן כזה, האפליקציה אינה שומרת פריטים אלה בצורה קריאה: היא מודיעה לכם שהם לא נשמרו, והנעילה ההורית או המפתח פשוט אינם מוגדרים. בשני המקרים דבר אינו נשלח אלינו. גם אסימון Web Risk שתואר לעיל נשמר באחסון מוצפן במכשיר שלכם.
- שליטת המשתמש: אפשר לנקות את היסטוריית הסריקות המקומית בכל עת דרך הגדרות האפליקציה.
- ייצוא מאובטח: אם תבחרו לייצא את הנתונים המקומיים שלכם, כל הפעולות מתבצעות באמצעות מנגנוני השיתוף הרגילים של אנדרואיד, מבלי להעניק לאפליקציה הרשאות גישה לאחסון חיצוני.
4. שירותי צד שלישי ועיבוד תשלומים
- אין פרסום או מעקב של צד שלישי: LinkShield אינה משלבת רשתות פרסום של צד שלישי, כלי מעקב שיווקיים או ערכות פיתוח (SDK) לניתוח טלמטריה.
- נתוני קוד פתוח: רשימות האיומים המובנות כוללות נתונים ממקורות קוד פתוח וממקורות ציבוריים. ההודעות זמינות באפליקציה תחת הגדרות > רישיונות קוד פתוח.
- רכישות בתוך האפליקציה: כל העסקאות הכספיות, המנויים והחיובים מעובדים באופן בלעדי ומאובטח על ידי Google Play. איננו מקבלים, מעבדים או שומרים פרטי כרטיס אשראי או חשבון פיננסי. סטטוס המנוי מנוהל באמצעות RevenueCat, שמקבלת מהאפליקציה מזהה רכישה אנונימי ומודיעה לשרת שלנו, כששואלים אותה, אם רכישת ה-Pro שלכם פעילה.
5. הצהרת היעדר אחריות והגבלת אחריות
נא לקרוא סעיף זה בעיון.
- "כמות שהוא" ו"כפי שזמין": LinkShield ניתנת "כמות שהיא" (AS IS) ו"כפי שהיא זמינה" (AS AVAILABLE), ללא אחריות מכל סוג, מפורשת, משתמעת, חוקית או אחרת, כולל, ללא הגבלה, אחריות משתמעת לסחירות, להתאמה למטרה מסוימת, לדיוק או להיעדר הפרה.
- אין הבטחה לזיהוי של 100%: איומי סייבר מתפתחים כל העת. אף ש-LinkShield משתמשת בשיטות אוטומטיות להערכת סיכונים, איננו מבטיחים או מתחייבים שהאפליקציה תזהה את כל הכתובות הזדוניות, ניסיונות הפישינג, הנוזקות או חולשות התוכנה, או שלא יתרחשו תוצאות חיוביות שגויות או שליליות שגויות.
- הגבלת אחריות: במידה המרבית המותרת על פי הדין החל, בשום מקרה לא יהיו מפתחי LinkShield, בעליה או החברות הקשורות אליה אחראים לנזק ישיר, עקיף, מקרי, מיוחד, תוצאתי או עונשי (כולל, ללא הגבלה, אובדן נתונים, פרצות אבטחה, הפסדים כספיים, נזק למכשיר או הפרעה בשירות) הנובע מהשימוש באפליקציה או מחוסר היכולת להשתמש בה, או מהישענות על ציון אבטחה או הערכה שסיפקה האפליקציה, או הקשור לכך.
- אחריות המשתמש: אתם מאשרים ומסכימים שההחלטה שלכם לפתוח, ללחוץ או לבצע אינטראקציה עם כל כתובת או תוכן אינטרנט היא על אחריותכם הבלעדית ובשיקול דעתכם.
6. עדכוני המדיניות
אנו עשויים לעדכן מדיניות פרטיות זו מעת לעת כדי לשקף שינויים בדרישות החוק או בפונקציונליות האפליקציה. הגרסה המעודכנת תסומן בתאריך "עודכן לאחרונה" בראש המסמך.
7. יצירת קשר
לשאלות, חששות או פניות משפטיות בנוגע למדיניות פרטיות זו או לפרקטיקות האפליקציה, אפשר לפנות אלינו:
דוא"ל: privacy@beforeopen.si