מדיניות פרטיות ותנאי הגנת המידע

1. מבוא, תחולה וחלוקת תפקידים משפטית

מדיניות פרטיות זו נערכה בהתאם להוראות חוק הגנת הפרטיות, התשמ"א-1981 (לרבות תיקון מס' 13 לחוק), תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, וחוק התקשורת (בזק ושידורים), התשמ"ב-1982 (סעיף 30א), ומפרטת בשקיפות מלאה כיצד נאסף, מעובד, נשמר ומאובטח מידע אישי בעת השימוש בממשק התפריט וההזמנה הדיגיטלי (להלן: "השירות").

לשם השקיפות ובהתאם לדין, מובהרת בזאת חלוקת התפקידים בין הגורמים המעורבים:

• בית העסק (תומס אנד קו בע״מ): הוא בית העסק העצמאי המספק את מוצרי המזון והמשקאות ומשמש כבעל השליטה במידע ההזמנות של לקוחותיו לצורך הכנת ההזמנה, הגשתה או מסירתה, הפקת אסמכתאות ומתן שירות לקוחות.
• פלטפורמת Ordini (מופעלת ע״י שגב ביטון): משמשת כספקית התשתית הטכנולוגית (מחזיק/מעבד מידע מטעם בית העסק) המאפשרת את הצגת התפריט הדיגיטלי, קליטת ההזמנה וניתובה למסכי המטבח/הבר וחיבור מאובטח לשער הסליקה.

2. המידע הנאסף ומקורותיו (הודעה לפי סעיף 11 לחוק הגנת הפרטיות)

בעת השימוש בשירות ההזמנות נאספים אך ורק הנתונים המינימליים הדרושים לתפעול ההזמנה ולעמידה בדרישות הדין:

• פרטי מזמין וזיהוי הזמנה: שם פרטי, שם משפחה או כינוי לסועד לצורך זיהוי ההזמנה, שיוכה לשולחן או קריאה לסועד בדלפק האיסוף העצמי.
• פרטי קשר תפעוליים: מספר טלפון נייד (וככל שנמסר – דוא"ל) לצורך משלוח עדכון תפעולי על מוכנות ההזמנה, בירור דחוף של צוות המטבח בנוגע למנה שהוזמנה או שליחת קבלה/אישור עסקה.
• פרטי ההזמנה והעדפות תזונתיות: המנות והמשקאות שנבחרו, תוספות, אופן קבלת ההזמנה (ישיבה במקום / איסוף עצמי), מספר סועדים והערות חופשיות למטבח.

3. היעדר דיוור פרסומי ("חוק הספאם" – סעיף 30א לחוק התקשורת)

מספר הטלפון ופרטי הקשר הנמסרים במסגרת תהליך ההזמנה משמשים אך ורק לתקשורת תפעולית ושירותית הישירה לעסקה שבוצעה (כגון הודעה על מוכנות ההזמנה, קבלה דיגיטלית או פנייה של צוות המקום בנוגע להזמנה פעילה). לא יישלחו אליך הודעות פרסומת מסחריות או דיוור שיווקי ללא קבלת הסכמה מפורשת, נפרדת ומראש ("Opt-In") בהתאם לסעיף 30א לחוק התקשורת.

4. מידע טכני הנאסף באופן אוטומטי

במהלך הגלישה והשימוש בממשק, נאסף מידע טכני בסיסי הנדרש להפעלה תקינה ומאובטחת של השירות:

• כתובת רשת (IP Address): כתובת ה-IP נרשמת ברישומי השרת (Server Logs) ומשמשת לצרכי אבטחת מידע, מניעת מתקפות סייבר, הגבלת קצב בקשות (Rate Limiting) והגנה מפני הונאות או בדיקות כרטיסים אוטומטיות.
• נתוני דפדפן ומכשיר: סוג הדפדפן, מערכת ההפעלה, הגדרות שפה וגודל מסך – לצורך התאמת התצוגה, נגישות מיטבית ותמיכה טכנית.

5. עוגיות (Cookies) ואחסון מקומי (LocalStorage)

המערכת פועלת מתוך עקרון של צמצום מידע (Data Minimization) ומבדילה בין שימושים תפעוליים חיוניים לשימושים אחרים:

• עוגיית סשן טכנית חיונית (Session Cookie): נשמרת עוגייה טכנית זמנית בשם ordini_demo_session המאובטחת בהגדרות מחמירות (HTTPOnly, Secure, SameSite=Lax). עוגייה זו הכרחית לקשירת הסועד לשולחן ולמעקב רציף אחר פריטי ההזמנה והחשבון במהלך הביקור.
• אחסון מקומי בדפדפן (LocalStorage): משמש אך ורק לשמירת העדפות תצוגה מקומיות במכשירכם, לרבות: סל הקניות הפעיל, ערכת נושא, שפת הממשק, והגדרות נגישות (גודל פונט, ניגודיות גבוהה, ביטול תנועה).
• התראות דפדפן (Web Push): במידה ואישרתם מפורשות קבלת התראות דפדפן על מוכנות ההזמנה, נשמר מזהה רישום טכני ייעודי (Push Subscription Token) לצורך משלוח עדכוני סטטוס בזמן אמת.
• ללא עוגיות שיווק ופרסום צד-שלישי: בממשק הלקוח אינן מוטמעות עוגיות פרסום מסחריות, רשתות פרסום או פיקסלים למעקב שיווקי חוצה-אתרים (כגון Facebook/Meta Pixel, TikTok Pixel או Google Ads).

6. תשלומים, תקן PCI-DSS וסליקת כרטיסי אשראי

בעת תשלום בכרטיס אשראי, הפעולה מתבצעת תחת תקני אבטחה מחמירים כדלקמן:

• עיבוד מול ספק הסליקה המורשה: סליקת האשראי מעובדת באמצעות שער הסליקה המורשה של בית העסק — גאמא ניהול וסליקה בע״מ (או ספק סליקה מוסמך אחר בתקן PCI-DSS מטעם בית העסק).
• אי־שמירת פרטי כרטיס מלאים: מספרי כרטיס אשראי מלאים וקוד אבטחה (CVV) אינם נשמרים לעולם במסדי הנתונים של Ordini או של בית העסק.
• נתוני אישור עסקה: לצורך הפקת קבלה כחוק, התאמות כספיות ואימות תשלום מול בית העסק, נשמרים מזהה אישור העסקה (Auth/Token), סכום התשלום, מועד החיוב ו-4 הספרות האחרונות של כרטיס האשראי בלבד.

7. מטרות עיבוד המידע והעברתו לצדדים שלישיים

המידע שנאסף אינו נמכר ואינו מושכר לגורמים חיצוניים, ומשמש אך ורק לקליטת ההזמנה והכנתה בבית העסק, גביית התשלום, מתן מענה שירותי, אבטחת מידע ועמידה בהוראות החוק (כגון הוראות ניהול ספרים של רשות המסים). מידע מועבר אך ורק לבית העסק המספק את ההזמנה, לספק הסליקה לצורך אישור העסקה, לספקי תשתית הענן המאובטחים שעליהם פועלת המערכת, או מכוח צו שיפוטי מחייב.

8. אבטחת מידע ותקופת שמירה (Data Retention)

המערכת מיישמת אמצעי אבטחה טכנולוגיים וארגוניים בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, לרבות הצפנת תעבורה (SSL/TLS), בקרת הרשאות, הגבלת ניסיונות גישה והפרדת סשנים. נתוני עסקאות נשמרים למשך התקופה הנדרשת לפי דיני המס, החשבונאות וההתיישנות בישראל, ואילו נתוני סשן זמניים מנוקים באופן מחזורי.

9. זכויות נושא המידע (זכות עיון, תיקון ומחיקה)

בהתאם לסעיפים 13 ו-14 לחוק הגנת הפרטיות, התשמ"א-1981, כל אדם זכאי לעיין במידע אישי המוחזק אודותיו במאגר מידע, וכן לבקש את תיקון המידע או מחיקתו אם אינו נכון, שלם, ברור או מעודכן (בכפוף לחובות שמירת מסמכים ורשומות החלות על פי דין).

למימוש זכויות אלו או לכל פנייה בנושא פרטיות, ניתן לפנות בכתב אל: info@ordini.co.il או ישירות לבית העסק בכתובתו המופיעה בראש מסמך זה.

10. עדכונים למדיניות הפרטיות

מדיניות פרטיות זו עשויה להתעדכן מעת לעת בהתאם לשינויים בפעילות השירות או בעדכוני חקיקה ורגולציה. הנוסח המחייב והעדכני ביותר מפורסם תמיד בעמוד זה.