מדיניות פרטיות

מי אנחנו ועל מה המסמך

מסמך זה מתאר איסוף ועיבוד מידע באתר Motors & Travels by Ben Tours (https://www.motorstravels.com). האתר משמש להצגת חבילות נסיעה ולהשארת פנייה. אין באתר רכישה מקוונת.

התיאור להלן מבוסס על הקוד ועל התנהגות האתר החי שנבדקו. אין כאן ניסוח גנרי על שדות שאינם קיימים.

אילו נתונים נאספים

טופס יצירת הקשר באתר (POST /api/leads) שומר בטבלת leads את השדות הבאים בלבד:

• שם מלא (name) — שדה חובה.
• טלפון נייד ישראלי (phone) — שדה חובה, בפורמט 05XXXXXXXX.
• תחום עניין (interest) — מזהה החבילה שנבחרה או "other".
• הערות (notes) — אופציונלי, עד 500 תווים.
• תאריך יעד (travel_date) — אופציונלי (YYYY-MM-DD), אם לא סומן גמישות בתאריכים.
• גמישות בתאריכים (date_flexible) — כן/לא.
• מזהה פנייה (id) ומועד יצירה (created_at) — נוצרים בשרת.

בטופס אין שדה דוא״ל, והדוא״ל אינו נשמר בטבלת הפניות. שדה חבוי בשם website משמש כמלכודת לבוטים ואינו נשמר. אסימון אימות (אם יופעל בעתיד) אינו נשמר בטבלה.

כתובת ה-IP של השולח משמשת להגבלת קצב (עד 5 פניות ב-15 דקות). היא אינה נשמרת כעמודה בטבלת הפניות. ביומני שגיאה מסוימים נרשם תווית מגובבת של ה-IP, לא הכתובת עצמה.

המלצות לקוחות: מנהל האתר מעלה צילום מסך (קובץ תמונה) ושורת תיאור קצרה. אלה נשמרים במסמך התוכן של האתר (site_content) והקובץ במחסן המדיה. צילום המסך עשוי לכלול פרטים שנראו בשיחה המקורית.

אזור הניהול אוסף שם משתמש, סיסמה וקוד אימות חד-פעמי לצורך התחברות מנהל בלבד. אלה אינם חלק מטופס הפנייה לציבור.

מטרת האיסוף

• שם, טלפון, תחום עניין, תאריך, גמישות והערות — כדי לחזור אליכם בנוגע לחבילת נסיעה ולבנות הצעה.
• הגבלת קצב לפי IP — כדי לצמצם שליחה אוטומטית ושימוש לרעה בטופס.
• המלצות (תמונה + תיאור) — להצגה פומבית באתר, לפי בחירת מנהל האתר.

בסיס משפטי

הפנייה נשלחת ביוזמת המשתמש בלחיצה על "שלחו פרטים", לאחר אישור שקרא את מדיניות הפרטיות ואת תנאי השימוש. זהו איסוף בהסכמה לצורך מענה לפנייה.

גורמי צד שלישי שמעבדים מידע

המידע אינו נמסר לגופי שיווק או פרסום. הוא מעובד אצל ספקי תשתית אלה, לצורך הפעלת האתר בלבד:

• Vercel — אירוח האתר. לפי הגדרת הפרויקט שרת המקור הוא באזור iad1 (ארצות הברית). בקשות הגלישה (כולל כתובת IP ברמת תשתית האירוח) עוברות דרך רשת זו.
• Supabase — מסד הנתונים (טבלאות site_content ו-leads) ומחסן הקבצים בשם media. נתוני הפניות נשמרים ומעובדים בגרמניה.
• Vercel Blob — נתיב גיבוי בקוד להעלאת מדיה גדולה ולגיבוי תוכן, אם מוגדר אסימון. אינו משמש לשמירת פניות חדשות בייצור.

חלק מתמונות הגלריה נטענות מ-images.unsplash.com. במקרה כזה הדפדפן פונה לשירות Unsplash כדי להציג את התמונה.

העברה מחוץ לישראל

אירוח האתר ב-Vercel באזור iad1 (ארצות הברית) הוא עיבוד מחוץ לישראל, ונתוני הפניות נשמרים ומעובדים ב-Supabase בגרמניה.

שמירת מידע

אין באתר מחיקה אוטומטית של פניות או של המלצות ישנות. הפניות נשמרות עד שמנהל האתר מוחק אותן ידנית ממסך הניהול. תוכן האתר (כולל המלצות) נשמר עד לעדכון או מחיקה ידנית במערכת התוכן.

זכויותיכם

ניתן לבקש עיון במידע, תיקון, מחיקה או ניוד של המידע שנמסר בטופס הפנייה. הבקשה תטופל באמצעות ערוץ הפנייה שבאתר.

• טופס יצירת קשר: https://www.motorstravels.com/#contact
• Instagram: @travelsmotors
• TikTok: @motors.travels

אבטחה

באתר מיושמים בין השאר: הגבלת קצב לטופס הפנייה, אחסון סיסמת מנהל כגיבוב (scrypt) ולא כטקסט גלוי, בדיקת סוג קובץ בהעלאות מדיה, מדיניות אבטחת תוכן (CSP), שדה מלכודת בטופס, הצפנת תעבורה (HTTPS) וכותרות אבטחה. אזור הניהול מוגן בהתחברות נפרדת. אין כאן טענה לאבטחה מוחלטת.

עוגיות

בעמודי הציבור (כולל דף הבית) האתר מציב עוגיות תפקודיות של מערכת ההתחברות Auth.js, גם למבקר שאינו מחובר. בביקורת חיה נצפו:

• __Host-authjs.csrf-token — עוגיית הגנה מפני CSRF, HttpOnly, Secure, SameSite=Lax.
• __Secure-authjs.callback-url — כתובת חזרה למערכת ההתחברות, HttpOnly, Secure, SameSite=Lax.

אלה אינן עוגיות פרסום או אנליטיקה. לא נמצאו באתר החי סקריפטים של Google Analytics, Meta Pixel, Vercel Analytics או Plausible.

לאחר התחברות לאזור הניהול נשמרת גם עוגיית הפעלה (session) של Auth.js, לפי הגדרת הקוד למשך עד 8 שעות. עוגייה זו שייכת למנהל האתר, לא למבקרי העמוד הציבורי.

עדכון המדיניות

מדיניות זו עודכנה לאחרונה ב-18 באוגוסט 2026. שינוי מהותי יעודכן בעמוד זה עם תאריך חדש.