לוּפ (loop-car.org, והאפליקציה org.loopcar.app) מחברת בין אנשים שנוסעים לאותו כיוון בדרך לעבודה או ללימודים. המסמך הזה מתאר איזה מידע נאסף, למה, מי רואה אותו וכמה זמן הוא נשמר.
המידע שאנחנו אוספים
חשבון
- שם, כתובת אימייל ותמונת פרופיל — מתקבלים מ‑Google בעת ההתחברות. איננו רואים ואיננו שומרים את סיסמת Google שלכם.
- מספר טלפון. אופציונלי לנוסעים; נדרש מנהגים לפני שניתן להזמין אצלם מקום.
- דומיין הארגון שלכם ואימות כתובת האימייל הארגונית, אם הצטרפתם לקהילת מקום עבודה.
מסלול יומיומי
- כתובות הבית והעבודה שהגדרתם, כולל הקואורדינטות שלהן, ושעות היציאה המועדפות.
- נסיעות שפרסמתם או הצטרפתם אליהן: מוצא, יעד, נקודת איסוף, זמנים, מספר מקומות ועלות.
- חברות בקבוצות פרטיות ובקהילות ארגוניות.
רכב (נהגים בלבד)
- מספר רישוי, צבע ושנת ייצור. פרטי הרכב מאומתים מול מאגר הרכב הפתוח של ממשלת ישראל (data.gov.il).
תשלום
- מספר הטלפון שאליו מעבירים תשלום ב‑bit או ב‑PayBox, אם בחרתם להציג אותו.
- איננו אוספים פרטי כרטיס אשראי ואיננו מעבירים כספים. התשלום עובר ישירות בין הנוסע/ת לנהג/ת, מחוץ ללוּפ.
מיקום
- מיקום המכשיר, כאשר אתם בוחרים למלא כתובת לפי המיקום הנוכחי.
- מיקום חי של הנהג/ת — רק בזמן נסיעה פעילה, ורק אם הנהג/ת הפעיל/ה שיתוף מיקום. באפליקציה לאנדרואיד השיתוף ממשיך גם כשהמסך נעול, כדי שהנוסעים יוכלו לראות שהרכב מתקרב; מוצגת התראה קבועה כל עוד השיתוף פעיל.
התראות ושימוש
- מזהה רישום להתראות: מנוי דחיפה של הדפדפן, או אסימון Firebase Cloud Messaging באפליקציה לאנדרואיד.
- אסימוני התחברות, כדי שלא תצטרכו להתחבר מחדש בכל פתיחה.
- ספירת קריאות לשירותי מסלולים, לצורכי עלות ותקינות בלבד.
מי רואה מה
- כתובת המוצא והיעד של נסיעה מוצגות למי שמחובר לחשבון ומחפש נסיעות — הן חלק מפרטי הנסיעה שפרסמתם, ומופיעות גם ככתובת וגם כנקודה על המפה. אל תפרסמו נסיעה מכתובת שאינכם רוצים שתהיה גלויה.
- עד שבקשת נסיעה מאושרת, השם מקוצר לשם פרטי ואות ראשונה («מאיה כ׳»), ומספר הטלפון אינו נחשף כלל.
- הנקודה המדויקת, השם המלא ומספר הטלפון נחשפים לצד השני רק אחרי שבקשת הנסיעה אושרה.
- בלי התחברות לא רואים נסיעות כלל.
- נסיעה שפורסמה לקבוצה פרטית או לקהילה ארגונית מוסתרת מחיפוש ציבורי ומקבוצות אחרות. יציאה מקבוצה מסיימת את הגישה הזו.
- מיקום חי נגיש רק לנוסעים שהזמנתם אושרה באותה נסיעה, וכל עוד היא פעילה.
שירותים חיצוניים
אנחנו מעבירים מידע לשירותים האלה רק במידה הדרושה לתפעול:
- Google — התחברות (Google Sign‑In), חישוב מסלולים ותנועה (Routes API), והתראות באפליקציה (Firebase Cloud Messaging).
- TomTom ו‑Photon (Komoot) — חיפוש כתובות ותרגום נקודה על המפה לכתובת.
- Brevo — שליחת הודעות אימות לכתובת האימייל הארגונית.
- data.gov.il — אימות פרטי רכב לפי מספר רישוי.
- Google Cloud (אזור me‑west1, ישראל) — אחסון ותפעול השרת והגיבויים. Cloudflare — הגשת האתר.
איננו מוכרים מידע אישי, ואיננו משתמשים בו לפרסום או להחלטות אוטומטיות.
שמירה ומחיקה
- פרטי החשבון והנסיעות נשמרים כל עוד החשבון קיים.
- מיקום חי — נמחק בסיום הנסיעה או לאחר ארבע דקות ללא עדכון, המוקדם מביניהם.
- מחיקת חשבון: בתוך האפליקציה, במסך העדפות הנסיעה, ובתוקף מיידי. המחיקה מסירה את הפרטים האישיים, הכתובות, הרכבים וההרשמות להתראות.
- לפני המחיקה מבוטלות כל הנסיעות וההזמנות הפעילות שלכם, והצד השני מקבל הודעה — כדי שאיש לא ימתין בבוקר לרכב שלא יגיע.
- היסטוריית נסיעות משותפות נשמרת לאחר המחיקה ללא הפרטים המזהים שלכם: הרישום שמקום נתפס באותו בוקר הוא גם הרישום של האדם השני על הנסיעה שלו.
- שמירה מוגבלת לצורכי בטיחות: שם, אימייל, טלפון, פרטי תשלום ומספרי רישוי שהיו בחשבון נשמרים 30 יום לאחר המחיקה, ואז נמחקים אוטומטית. זאת כדי שנוכל לטפל בדיווח בטיחותי או במחלוקת על תשלום שעולים בימים שאחרי. איננו משתמשים בהם לשום מטרה אחרת.
- לצמיתות נשמר רק סימון מוצפן חד‑כיווני של מזהה החשבון — לא שם, לא אימייל ולא טלפון. הוא מאפשר לדעת שחשבון נמחק בעבר, ואינו מאפשר לשחזר מיהו. הוא אינו מוצג למשתמשים אחרים.
- מספר הרישוי של הרכב שנסע בפועל נשמר על הנסיעה עצמה, כחלק מהרישום של אותה נסיעה.
היכן המידע נשמר
השרת והגיבויים מתארחים ב‑Google Cloud באזור me‑west1 (תל אביב, ישראל). המידע מוצפן במעבר ובאחסון.
חלק מהשירותים החיצוניים שלמעלה פועלים מחוץ לישראל, ולכן פרטים מסוימים עוברים לחו״ל בהיקף הדרוש לאותו שירות בלבד: כתובת שאתם מקלידים בחיפוש, נקודות ההתחלה והסיום של מסלול, כתובת אימייל לאימות, ואסימון ההתראות של המכשיר. העברות כאלה כפופות לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א‑2001.
אבטחה
התעבורה מוצפנת ב‑HTTPS ובלבד (HSTS). הגישה לנתונים דורשת אסימון התחברות תקף, וכל בקשה נבדקת מול המשתמש/ת שביצע/ה אותה.
קטינים
השירות מיועד לבגירים הנוסעים לעבודה או ללימודים. איננו אוספים ביודעין מידע על ילדים מתחת לגיל 16.
הזכויות שלכם לפי חוק הגנת הפרטיות
השירות פועל בישראל וכפוף לחוק הגנת הפרטיות, התשמ״א‑1981, לרבות תיקון 13 שנכנס לתוקף באוגוסט 2025.
- מסירת המידע היא מרצון (סעיף 11). אינכם חייבים על פי חוק למסור לנו דבר. יחד עם זאת, בלי כתובות ושעות אין למה להתאים אתכם, ובלי מספר טלפון לא ניתן להצטרף כנוסע/ת או לפרסם נסיעה כנהג/ת. המטרות והגורמים שמקבלים את המידע מפורטים במסמך הזה.
- זכות עיון (סעיף 13). אתם רשאים לעיין במידע שנשמר עליכם. רובו גלוי ממילא במסכי ההעדפות והנסיעות; לקבלת השאר פנו אלינו.
- זכות תיקון (סעיף 14). מצאתם מידע שגוי, לא שלם או לא מעודכן — אפשר לתקן אותו באפליקציה או לבקש זאת מאיתנו. אם נסרב, תימסר לכם הסיבה בכתב ותוכלו לערער כקבוע בחוק.
- מחיקה. כמתואר למעלה, זמינה בתוך האפליקציה ובתוקף מיידי.
בעל המאגר ומנהלו: אביעד חיימוב, רמת גן, ישראל. פניות בנושא פרטיות, לרבות בקשות עיון ותיקון: [email protected].
אבטחת המידע מנוהלת בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז‑2017.
יצירת קשר
Privacy Policy — Loop (English summary)
Loop (loop-car.org, Android app org.loopcar.app) matches people commuting the same way.
What we collect
- Account: name, email and profile picture from Google Sign‑In; phone number (optional for riders, required for drivers before anyone can book).
- Commute: your home and work addresses and their coordinates, preferred departure times, the rides you post or join, and your group and workplace-community memberships.
- Vehicle (drivers): plate number, colour and year, verified against Israel's open vehicle registry (data.gov.il).
- Payment: the phone number you are paid at via bit or PayBox, if you choose to show one. We never collect card details and never move money — riders pay drivers directly, outside Loop.
- Location: your device location when you fill an address from your current position, and a driver's live location only during an active ride and only if sharing is switched on. On Android this continues while the screen is locked, so riders can see the car approaching; a persistent notification is shown throughout.
- Notifications and sessions: a browser push subscription or an FCM token, sign-in tokens, and counts of routing API calls for cost control.
Live location is deleted immediately
We store one point per ride — not a track — and delete it when the ride ends, and also if no update arrives for four minutes. Sharing can be stopped at any time.
Who sees what
A ride's origin and destination are shown to signed-in users searching for rides — as an address and as a point on the map. They are part of the ride you published, so do not post a ride from an address you would rather not disclose. Until a booking is approved, the driver's name is shortened ("מאיה כ׳") and the phone number is withheld entirely; both are released on approval. Nothing is visible without signing in. Rides posted to a private group or workplace community are hidden from public search and from other groups. Live location is visible only to approved riders on that ride, while it is running.
Where the data lives
Google Cloud in me-west1 (Tel Aviv, Israel), backups in the same region, encrypted in transit and at rest. Some of the third parties above operate outside Israel, so limited data crosses the border for those functions — an address you type, a route's endpoints, an email address for verification, a device notification token — subject to the Israeli cross-border transfer regulations of 2001.
Israeli law
Loop operates in Israel under the Protection of Privacy Law, 5741-1981, including Amendment 13 (in force August 2025). Providing data is voluntary (§11), though matching is impossible without addresses and times. You may inspect what we hold (§13) and correct anything wrong, incomplete or out of date (§14); a refusal comes with written reasons and a right of appeal. Database owner: Aviad Haimov, Ramat Gan, Israel, contactable at [email protected] for inspection and correction requests. Security follows the Privacy Protection (Data Security) Regulations, 5777-2017.
Third parties
Google (sign-in, Routes API, Firebase Cloud Messaging), TomTom and Photon/Komoot (address search and reverse geocoding), Brevo (workplace email verification), data.gov.il (vehicle lookup), Google Cloud in region me-west1, Israel (hosting and backups) and Cloudflare (site delivery). We do not sell personal data or use it for advertising.
Retention, deletion, security, contact
Account and ride data are kept while the account exists. You can delete your account in the app, under commute preferences; deletion removes your personal details, addresses, vehicles, notification registrations and rides. Name, email, phone, payment details and vehicle registrations are then held for 30 days and destroyed automatically, so a safety report or a payment dispute raised in the following days can still be answered; they are used for nothing else. Only a one-way hash of the account identifier is kept indefinitely — no name, email or phone — recording that an account was deleted without being able to say whose; it is never shown to other users. The registration of the car that actually drove a journey is kept on that journey's own record. Traffic is HTTPS-only (HSTS) and every request is checked against the signed-in user. The service is intended for adults commuting to work or study; we do not knowingly collect data about children under 16. Contact: [email protected].