GOALit

Privacy Policy

Version 2.1 · Effective 2026-10-29

In short. GOALit is a free football prediction game. We collect the account details you give us (or that Apple / XSTRA share when you sign in that way), the game activity you generate (guesses, picks, tournaments, chat), and basic technical data needed to run the service securely. We never sell or share your personal data, we run no advertising or tracking SDKs, and there's nothing hidden: this page lists every category of data we hold, why, for how long, and how to see, export or delete it. If anything below conflicts with the Hebrew version of this policy, the Hebrew version governs.

This Privacy Policy explains how Crownerv Ltd, an Israeli private company, company no. 517411823 ("Crownerv", "we", "us" — Crownerv always refers to the company, never to an individual) collects, uses, shares, and protects personal data in connection with the GOALit mobile app ("GOALit", "the App") and the pages at this domain. Crownerv is the controller of the personal data described here, within the meaning of both the Israeli Protection of Privacy Law, 5741-1981 ("PPL") and the EU/UK General Data Protection Regulation ("GDPR").

Registered office: Ha'Rechs 78, Ma'ale Adumim, Israel. Contact for all privacy matters: [email protected]. General support: [email protected].

1. Scope and who this policy is for

This policy applies to everyone who downloads, installs, or uses GOALit, wherever they live. Later sections call out rights that apply specifically if you are in Israel, the EU/EEA or UK, or the United States (California) — read the section relevant to you alongside the parts that apply to everyone.

2. The data we collect, and why

Category Examples Source Purpose Legal basis (GDPR) Who can see it
Account identity Display name (max. 40 characters); email address; for Sign in with Apple, the identifier Apple assigns and the name/email Apple shares (which may be a private relay address); for Sign in with XSTRA, the identity XSTRA shares (XSTRA user ID, name, email and, if you have one, the link to your XSTRA profile picture, which we use as your GOALit photo until you change it — nothing else from XSTRA); for email sign-up, your login email (stored lowercased) and a one-way scrypt hash of your password (we never store the password itself) You, or Apple / XSTRA if you use those sign-in options Create, identify and secure your account; let you sign in Performance of a contract (Art. 6(1)(b)); security processing under legitimate interest (Art. 6(1)(f)) Other users see only your display name and, if set, your profile photo
Profile photo A small square JPEG/PNG you take or choose, resized on your device before upload You Personalize your profile; shown to other users Consent — uploading a photo is optional (Art. 6(1)(a)) Visible to other users via the app and the photo's URL; you can remove it any time
Game activity Favorite leagues, teams and players; tournaments you create or join, their join codes and optional passwords; your score guesses and champion / top-scorer picks; your default guess; the order you arrange your tournaments in You, through app use Run the game: scoring, leaderboards, Titles Performance of a contract (Art. 6(1)(b)) Guesses are hidden from other members until kickoff; afterwards your name and guess are visible to members of that tournament. Official tournaments are open to every user
Chat messages Text you send in a tournament's chat (max. 1,000 characters) You Let tournament members talk to each other Performance of a contract / legitimate interest (Art. 6(1)(b)/(f)) Members of that tournament; a copy is retained in our moderation queue if the message is reported
Reports and blocks Who and what you report (a message, photo, name or tournament), the reason, and a copy of the reported content at the time you reported it; the list of users you've blocked You Keep the app safe; enforce our Community Guidelines Legitimate interest in platform safety (Art. 6(1)(f)) Crownerv moderators/admins only; the person you reported is not told who reported them
Notification settings and push token Per-category toggles (kickoff reminders, results, chat, matches you follow, and — for admins only — new reports); an Expo push token per device You; generated by your device once you grant notification permission Send you the push notifications you've asked for Consent, reflected through iOS notification permission and your in-app toggles Crownerv, and our delivery processors (Apple APNs, Expo)
Sign-in tokens A short-lived access token (1 hour) and a longer-lived, rotating refresh token (expires automatically after up to 180 days, or sooner on sign-out); for Sign in with Apple, a refresh token kept solely so we can revoke Apple's grant if you delete your account Generated by our server when you sign in Keep you signed in without re-entering credentials every time, securely Performance of a contract (Art. 6(1)(b)) Not visible to anyone; stored in our database, not returned by the API except at the moment you sign in
Technical / security data Your IP address as seen by our servers Automatically, from your connection Rate-limit abuse, detect attacks, operate the service securely Legitimate interest in security (Art. 6(1)(f)) Crownerv and our hosting provider; not stored as part of your account record, only in short-lived operational logs

Notice under Section 11 of the Protection of Privacy Law

Providing the data above is voluntary, but most of it is required to create an account or use the corresponding feature (for example, we cannot create an account without a name and a way to sign you in, and we cannot show a profile photo you never uploaded). There is no legal obligation on you to provide any of this data — the consequence of not providing it is simply that the related feature won't work. Recipients of data transferred outside Crownerv, and the purpose of each transfer, are listed in §8 "Who we share data with" below. You have a right of access and correction as described in §15.

3. How you sign in

GOALit offers: Sign in with Apple (Apple shares only what you authorize — your name and an email address, possibly a private relay address); Sign in with XSTRA, XSTRA's social platform at xstra.net, a project operated by Crownerv Ltd (company no. 517411823, Israel) — the same company that operates GOALit — which shares only your XSTRA user ID, name, email and profile-picture link (the standard openid, email and profile permissions) and nothing else about your XSTRA activity; if your GOALit photo is your XSTRA picture, it is loaded from XSTRA's servers when shown. You can link or unlink XSTRA from Settings → Account at any time (unlinking is possible when you have another way to sign in; linking also works for an existing GOALit account); and email and password. We do not offer Google sign-in to users even though the underlying code exists; it is switched off.

4. On your device: local storage and cookies

The App stores your sign-in tokens, theme, language, and your accessibility and sound/haptic preferences locally on your device, using secure storage. The GOALit web pages (including this one) set no cookies. We run no analytics SDK, no crash-reporting SDK, no advertising SDK, and no cross-app or cross-site tracking — there is nothing for Apple's App Tracking Transparency prompt to ask permission for. Expo, our app-update provider, checks Expo's own servers for app updates; in doing so Expo's servers see your device's IP address, device and app-version metadata. See §8 for Expo's role.

5. Push notifications

Push notifications are sent only if you grant iOS notification permission and only for the categories you've turned on in Settings → Notifications. Kickoff reminders are off by default; results, chat, and matches-you-follow notifications are on by default (you can turn any of them off at any time). Report alerts are a separate, admin-only category used to notify Crownerv's moderators of new reports — they are never sent to ordinary users, and are delivered both by push and, optionally, as a message into Crownerv's internal moderation workspace (see §8).

6. Your profile photo and what other users can see

Your display name, and profile photo if you add one, are visible to anyone you share a tournament with, and to anyone if you join an official, publicly open tournament. Your chat messages are visible to the members of the tournament you post them in. Your guesses are hidden from other members until the match kicks off, after which they become visible to that tournament's members. We do not display your email address to other users under any circumstance.

7. Reports and moderation

Long-pressing a message, profile photo, display name, or tournament lets you report it or block the user. A copy of the reported content, the reporter, the reported user, and the reason are stored in an internal moderation queue. A chat message reported by two different members is automatically hidden for everyone, pending review. New reports alert Crownerv's app admins by push notification and, optionally, as a message into Crownerv's internal company workspace (Crownerv Suite) — only Crownerv staff can see these alerts. See the Community Guidelines for what we do with reports and how quickly we review them.

8. Automated decisions

We do not make any decision about you, using automated means, that produces legal effects or similarly significantly affects you. Scoring — comparing your guess to the match result and awarding points — is deterministic game logic applied equally to everyone's guesses, not profiling of you as a person. The filter that blocks profanity in names is a simple word-list check with no effect beyond rejecting the input; you can always try a different name.

9. Data portability: downloading and restoring your data

Settings → Account offers two tools that implement your right to data portability (Article 20 GDPR; the right of access under Israeli privacy law):

This is separate from, and does not replace, your right to request a copy of your data or ask us to delete it by writing to [email protected] — see §15.

10. Who we share data with

We use the following service providers ("processors") to run GOALit. None of them may use your data for their own purposes.

Processor Role Country / region
Fly.io, Inc. Application hosting — our API runs on servers in Frankfurt, Germany Company: United States; servers: Germany (EU)
MongoDB, Inc. (MongoDB Atlas) Database hosting Company: United States; database servers: Frankfurt, Germany (EU)
Apple Inc. / Apple Distribution International Ltd. Sign in with Apple; delivery of push notifications (APNs); App Store distribution and billing-free in-app purchase infrastructure (unused) United States / Ireland (EU)
650 Industries, Inc. (Expo) Relay for push notifications to Apple; over-the-air app updates United States
XSTRA (xstra.net) Identity provider for Sign in with XSTRA — shares only identity data (user ID, name, email, profile-picture link) with us Crownerv Ltd's own project (not a third party) — Israel. XSTRA operates mainly in Israel, its website is available in all countries, and it may be restricted in certain countries
API-Sports (API-Football, api-sports.io) Football data: scores, fixtures, standings, club/competition/player names and images France (its terms of service are governed by French law) — receives no personal data about you
Crownerv Suite (suite.crownerv.com) Crownerv's own internal company workspace, used to alert our staff to new moderation reports Israel — Crownerv's own system, not a third party

We do not sell personal data, and we do not share it for cross-context behavioral advertising or any other advertising purpose — see the California subsection of §15 for the CCPA/CPRA-specific statement. We may disclose data if required by law, a valid court order, or to protect the rights, property or safety of Crownerv, our users, or the public.

11. International data transfers

Crownerv is based in Israel. Our infrastructure runs in the EU (Frankfurt, Germany), while several of our processors — Fly.io, Expo/650 Industries, Apple, and MongoDB, Inc. — are US-headquartered companies, which means data can be processed in, or accessed from, the United States. Israel benefits from a European Commission adequacy decision, which facilitates data flows from the EU/EEA to Crownerv as controller. For transfers from Crownerv or its EU-based infrastructure to these US processors, we rely on Standard Contractual Clauses and, where the processor participates, the EU-U.S. Data Privacy Framework (and the equivalent UK and Swiss extensions). You can ask us for more detail about a specific transfer by writing to [email protected].

12. How long we keep your data

Data Retention
Account and profile Until you delete your account
Profile photo Until you remove it or delete your account
Chat messages Until deleted, the tournament is removed, or your account is deleted
Guesses, picks, tournament membership Until your account is deleted. A finished tournament's final ranking (rank and points, keyed to an internal account ID — not your name or email) may remain after deletion so that Titles already awarded to other members stay intact; once your account is deleted this entry can no longer be linked back to you by anyone
Reports you filed, or that were filed about you Retained after you delete your account, for safety and legal purposes; the account is shown as "Deleted account" and your name, email and photo are removed from the record, keeping only an internal account ID reference, the reason and the reported-content snapshot needed for moderation
Push token Until you sign out, revoke notification permission, change devices, or delete your account
Access token 1 hour
Refresh token Expires automatically after up to 180 days, or immediately on sign-out or account deletion
IP address Processed transiently for rate-limiting; not stored as part of your account. Our hosting provider's operational logs are kept for a short, limited period
Backups Overwritten within 30 days — this is our stated commitment, not a guarantee that every residual copy is gone sooner
Your acceptance of these Terms and this Policy Kept for as long as your account exists, as a record of consent

13. Security

We use TLS encryption for data in transit; passwords are hashed with scrypt and never stored in reversible form; access to our systems is role-based and limited to what each function needs; sign-in uses short-lived access tokens and rotating refresh tokens; uploaded photos are validated for type and size before storage; and our API applies rate limiting and standard security headers. No system is perfectly secure, and we cannot guarantee absolute security.

14. If something goes wrong (data breach)

If we become aware of a security incident affecting your personal data, we will assess it under the Privacy Protection (Data Security) Regulations, 5777-2017, and, where required, notify the Israeli Privacy Protection Authority and affected individuals, and — for data covered by the GDPR — the competent supervisory authority without undue delay and, where feasible, within 72 hours, and affected individuals where the incident is likely to result in a high risk to their rights and freedoms.

15. Your privacy rights

If you are in Israel

Under the Protection of Privacy Law, you have a right to inspect the information we hold about you and to request that we correct or delete it if it is incorrect, incomplete, unclear or outdated. We will respond to a request to inspect your data within 30 days. You may also complain to the Privacy Protection Authority (הרשות להגנת הפרטיות) if you believe we have mishandled your data.

If you are in the EU/EEA or the UK (GDPR / UK GDPR)

You have the right to: access your data; rectify inaccurate data; erase your data ("right to be forgotten"); restrict our processing; object to processing based on legitimate interests; receive your data in a portable format (see §9); and withdraw consent at any time where processing is based on consent, without affecting the lawfulness of processing before withdrawal. We respond to such requests within one month, extendable by a further two months for complex or numerous requests (we'll tell you if that applies). You may lodge a complaint with your local supervisory authority at any time.

If you are in the EU/EEA and our processing of your data is not occasional, Crownerv would need to appoint a representative under Article 27 GDPR (and, for the UK, Article 27 UK GDPR). No EU or UK representative has been appointed at this time; please contact us directly at [email protected], and we will update this section if a representative is appointed.

If you are in California (CCPA/CPRA)

Over the past 12 months we have collected the categories of personal information described in §2, which map to the CCPA/CPRA categories: identifiers (name, email, account identifiers); internet/network activity (IP address, app interaction data); audiovisual information (your profile photo); and user-generated content (chat messages, picks). We do not collect sensitive personal information as defined by the CPRA, and we do not use or disclose sensitive personal information beyond what's necessary to provide the app. We do not sell or share personal information, including for cross-context behavioral advertising. Whether or not CCPA/CPRA's size thresholds apply to Crownerv, we honor these rights for California residents: the right to know/access, delete, and correct your personal information; the right to opt out of sale/sharing (not applicable — we don't do either); the right to limit use of sensitive personal information (not applicable); and the right to non-discrimination for exercising any of these rights. Submit a request to [email protected]; you may use an authorized agent, in which case we may ask for written proof of the agent's authority and verify your identity directly.

16. Children and minimum age

GOALit is rated for ages 13 and up, and you must be at least 13 years old to create an account. We do not knowingly collect personal data from children under 13; if we learn that we have, we will delete the account and associated data promptly. This complies with the US Children's Online Privacy Protection Act (COPPA), which protects children under 13.

If you are in the European Union or another jurisdiction that sets a higher minimum age for a child to consent to this kind of service on their own (under the GDPR, member states may set this age anywhere from 13 to 16), and you are below that age, please use GOALit only with the knowledge and consent of a parent or guardian.

17. How to exercise your rights

For most requests, the fastest option is in the app: Settings → Account → Download my data for a copy of your data, or Delete account to erase it. For anything else — correction, a question about this policy, or a request under a right described above — write to [email protected]. We will ask for enough information to verify your identity before acting on sensitive requests (e.g., deletion), proportionate to the request.

18. Regulatory information

19. Consenting to this policy

When you create a GOALit account, you are asked to tick a box confirming that you accept our Terms of Use and acknowledge this Privacy Policy. We record the version of each document and the date and time you accepted them on your account. If we make a material change to either document, we will ask you, in the app, to review and accept the new version before you can keep using GOALit.

20. Changes to this policy

We may update this policy as GOALit changes or the law requires. For material changes, we will ask you to re-accept the new version in the app as described above (not merely update the date on this page). For non-material changes we will update the version and effective date above.

21. Contact

Crownerv Ltd, company no. 517411823. Registered address: Ha'Rechs 78, Ma'ale Adumim, Israel. Privacy and rights requests: [email protected]. General support: [email protected].

Related pages: Terms of Use · Community Guidelines · Accessibility Statement · Delete your account · Game rules · Legal notices · Support

מדיניות פרטיות

גרסה 2.1 · בתוקף מיום 2026-10-29

בקצרה. GOALit היא משחק ניחושי כדורגל חינמי. אנחנו אוספים את פרטי החשבון שאתם מוסרים לנו (או ש-Apple / XSTRA משתפות כשאתם נכנסים בדרך זו), את הפעילות שלכם במשחק (ניחושים, בחירות, טורנירים, צ'אט), ומידע טכני בסיסי הנדרש להפעלת השירות באופן מאובטח. אנחנו לא מוכרים ולא משתפים מידע אישי, לא מריצים שום כלי פרסום או מעקב, ואין כאן שום דבר מוסתר: המדיניות הזו מפרטת כל קטגוריית מידע שאנחנו שומרים, למה, לכמה זמן, ואיך לעיין בו, לייצא אותו או למחוק אותו. במקרה של סתירה בין נוסח זה לבין הנוסח באנגלית, הנוסח העברי גובר.

מדיניות פרטיות זו מסבירה כיצד קרואונרב בע"מ, חברה פרטית ישראלית, מספר חברה 517411823 ("קרואונרב", "אנחנו" — קרואונרב מתייחסת תמיד לחברה, ולא לאדם פרטי) אוספת, משתמשת, משתפת ומגנה על מידע אישי בקשר לאפליקציית GOALit ("האפליקציה") ולעמודים שבכתובת זו. קרואונרב היא בעלת המידע (controller) כמשמעותו בחוק הגנת הפרטיות, תשמ"א-1981 ("החוק") וב-GDPR האירופי/הבריטי.

מקום מושב רשום: הרכס 78, מעלה אדומים, ישראל. לפניות בנושאי פרטיות: [email protected]. לתמיכה כללית: [email protected].

1. למי מיועדת המדיניות הזו

מדיניות זו חלה על כל מי שמוריד, מתקין או משתמש ב-GOALit, בכל מקום בעולם. בסעיפים שלהלן מפורטות זכויות שחלות באופן ספציפי אם אתם בישראל, באיחוד האירופי/בריטניה, או בקליפורניה (ארה"ב) — כדאי לקרוא את הסעיף הרלוונטי לכם בנוסף לחלקים הכלליים.

2. המידע שאנחנו אוספים, ולמה

קטגוריה דוגמאות מקור מטרה בסיס חוקי (GDPR) מי רואה את זה
זהות וחשבון שם תצוגה (עד 40 תווים); כתובת אימייל; בהתחברות עם Apple — המזהה שApple מספקת והשם/האימייל שApple משתפת (שיכולה להיות כתובת ממסר פרטית); בהתחברות עם XSTRA — הזהות שXSTRA משתפת (מזהה משתמש, שם ואימייל ב-XSTRA, ואם יש לכם — הקישור לתמונת הפרופיל ב-XSTRA, שמשמשת כתמונה שלכם ב-GOALit עד שתחליפו אותה — ושום דבר אחר מ-XSTRA); בהרשמה עם אימייל — כתובת האימייל שלכם (נשמרת באותיות קטנות) וגיבוב חד-כיווני (scrypt) של הסיסמה (הסיסמה עצמה אף פעם לא נשמרת) אתם, או Apple / XSTRA אם אתם משתמשים באפשרויות אלה יצירה, זיהוי ואבטחה של החשבון; התחברות ביצוע חוזה (סעיף 6(1)(ב)); אבטחת מידע מתוך אינטרס לגיטימי (סעיף 6(1)(ו)) משתמשים אחרים רואים רק את שם התצוגה ואת תמונת הפרופיל שלכם, אם הגדרתם
תמונת פרופיל תמונת JPEG/PNG ריבועית קטנה שצילמתם או בחרתם, מוקטנת במכשיר שלכם לפני ההעלאה אתם התאמה אישית של הפרופיל; הצגה למשתמשים אחרים הסכמה — העלאת תמונה היא אופציונלית (סעיף 6(1)(א)) גלויה למשתמשים אחרים באפליקציה ובקישור הציבורי של התמונה; אפשר להסיר בכל עת
פעילות במשחק ליגות, קבוצות ושחקנים מועדפים; טורנירים שיצרתם או הצטרפתם אליהם, קודי ההצטרפות והסיסמה האופציונלית שלהם; ניחושי תוצאות ובחירות אלופה/מלך שערים; ניחוש ברירת המחדל; סדר הטורנירים שהגדרתם אתם, דרך השימוש באפליקציה הפעלת המשחק: ניקוד, טבלאות, תארים ביצוע חוזה (סעיף 6(1)(ב)) הניחושים מוסתרים מחברי הטורניר האחרים עד שריקת הפתיחה; לאחר מכן השם והניחוש שלכם גלויים לחברי אותו טורניר. טורנירים רשמיים פתוחים לכל המשתמשים
הודעות צ'אט טקסט שאתם שולחים בצ'אט של טורניר (עד 1,000 תווים) אתם לאפשר לחברי הטורניר לתקשר ביצוע חוזה / אינטרס לגיטימי (סעיף 6(1)(ב)/(ו)) חברי אותו טורניר; עותק נשמר בתור הבדיקה שלנו אם ההודעה מדווחת
דיווחים וחסימות על מה ועל מי דיווחתם (הודעה, תמונה, שם או טורניר), הסיבה, ועותק של התוכן המדווח בזמן הדיווח; רשימת המשתמשים שחסמתם אתם שמירה על בטיחות האפליקציה; אכיפת כללי הקהילה אינטרס לגיטימי בבטיחות הפלטפורמה (סעיף 6(1)(ו)) רק צוות המודרציה/מנהלי קרואונרב; מי שדיווחתם עליו לא יידע מי דיווח
הגדרות התראות וטוקן דחיפה מתגים לכל קטגוריה (תזכורת לפני שריקת פתיחה, תוצאות, צ'אט, משחקים שעוקבים אחריהם, ולמנהלים בלבד — דיווחים חדשים); טוקן Expo להתראות דחיפה, לכל מכשיר אתם; נוצר במכשיר שלכם כשאתם מאשרים הרשאת התראות שליחת ההתראות שבחרתם הסכמה, המשתקפת בהרשאת ההתראות של iOS ובמתגים באפליקציה קרואונרב, וספקי המשלוח שלנו (Apple APNs, Expo)
אסימוני התחברות אסימון גישה קצר-מועד (שעה); אסימון רענון מתחלף שמתבטל אוטומטית אחרי עד 180 יום או מוקדם יותר בהתנתקות; ל-Sign in with Apple — אסימון רענון של Apple הנשמר רק כדי שנוכל לבטל את ההרשאה אם תמחקו את החשבון נוצר בשרת שלנו בעת ההתחברות לשמור אתכם מחוברים בלי להזין פרטים כל פעם, בצורה מאובטחת ביצוע חוזה (סעיף 6(1)(ב)) לא גלוי לאף אחד; נשמר במסד הנתונים שלנו ולא מוחזר ב-API מעבר לרגע ההתחברות עצמו
מידע טכני/אבטחה כתובת ה-IP שלכם כפי שהשרתים שלנו רואים אוטומטית, מהחיבור שלכם הגבלת שימוש לרעה, איתור התקפות, הפעלה מאובטחת של השירות אינטרס לגיטימי באבטחה (סעיף 6(1)(ו)) קרואונרב וספק האחסון שלנו; לא נשמר כחלק מהחשבון שלכם, אלא רק ביומני תפעול קצרי-מועד

הודעה לפי סעיף 11 לחוק הגנת הפרטיות

מסירת המידע לעיל היא וולונטרית, אך רובו נדרש ליצירת חשבון או לשימוש בתכונה המתאימה (למשל, לא ניתן ליצור חשבון בלי שם ואמצעי התחברות, ולא ניתן להציג תמונת פרופיל שלא הועלתה). אין חובה חוקית למסור מידע כלשהו מהרשימה — התוצאה של אי-מסירתו היא שהתכונה הרלוונטית פשוט לא תעבוד. נמענים של מידע המועבר מחוץ לקרואונרב, ומטרת כל העברה, מפורטים בסעיף 8 "למי אנחנו מעבירים מידע" להלן. עומדת לכם זכות עיון ותיקון כמפורט בסעיף 15.

3. איך מתחברים

ב-GOALit אפשר להתחבר עם: Sign in with Apple (Apple משתפת רק את מה שאתם מאשרים — השם וכתובת אימייל, שיכולה להיות כתובת ממסר פרטית); Sign in with XSTRA, הרשת החברתית XSTRA באתר xstra.net, פרויקט שמפעילה קרואונרב בע"מ (ח.פ. 517411823, ישראל) — אותה חברה שמפעילה את GOALit — שמשתף רק מזהה משתמש, שם, אימייל וקישור לתמונת הפרופיל ב-XSTRA (ההרשאות הסטנדרטיות openid,‏ email ו-profile) ושום דבר נוסף מהפעילות שלכם ב-XSTRA; אם תמונת הפרופיל שלכם ב-GOALit היא התמונה מ-XSTRA, היא נטענת מהשרתים של XSTRA כשהיא מוצגת. אפשר לקשר או לנתק את XSTRA בכל עת בהגדרות ← חשבון (ניתוק אפשרי כשיש לכם דרך התחברות נוספת; אפשר לקשר גם חשבון GOALit קיים); ואימייל וסיסמה. אין אפשרות התחברות עם Google, גם אם קוד כזה קיים בשרת — האפשרות הזו כבויה ולא מוצעת למשתמשים.

4. במכשיר שלכם: אחסון מקומי ועוגיות

האפליקציה שומרת במכשיר שלכם, באחסון מאובטח: את אסימוני ההתחברות, ערכת הנושא, השפה, והעדפות הנגישות והקול/רטט שלכם. עמודי האינטרנט של GOALit (כולל עמוד זה) לא מגדירים עוגיות (cookies). אין בשירות כלי אנליטיקה, כלי דיווח תקלות, כלי פרסום, ולא מעקב בין אפליקציות או אתרים — אין דבר שלגביו צריך להציג את בקשת ה-App Tracking Transparency של Apple. Expo, ספק עדכוני האפליקציה שלנו, בודק בשרתי Expo אם קיים עדכון לאפליקציה; בכך שרתי Expo רואים את כתובת ה-IP של המכשיר ונתוני גרסה/מכשיר. ראו סעיף 8 לתפקיד של Expo.

5. התראות דחיפה (Push)

התראות דחיפה נשלחות רק אם אישרתם הרשאת התראות ב-iOS ורק לקטגוריות שהפעלתם בהגדרות ← התראות. תזכורת לפני שריקת פתיחה כבויה כברירת מחדל; התראות תוצאות, צ'אט ומשחקים שעוקבים אחריהם — פעילות כברירת מחדל (ואפשר לכבות כל אחת מהן בכל עת). התראות דיווחים הן קטגוריה נפרדת, למנהלים בלבד, המשמשת להתראת צוות המודרציה של קרואונרב על דיווחים חדשים — הן לעולם לא נשלחות למשתמשים רגילים, ונמסרות גם כהתראת דחיפה וגם, לפי הצורך, כהודעה בסביבת העבודה הפנימית של קרואונרב (ראו סעיף 8).

6. תמונת הפרופיל שלכם ומה משתמשים אחרים רואים

שם התצוגה שלכם, ותמונת הפרופיל אם הגדרתם, גלויים לכל מי שחולק עמכם טורניר, ולכל אחד אם אתם חברים בטורניר רשמי הפתוח לציבור. הודעות הצ'אט שלכם גלויות לחברי הטורניר שבו פרסמתם אותן. הניחושים שלכם מוסתרים מחברי הטורניר האחרים עד שריקת הפתיחה, ולאחר מכן גלויים לחברי אותו טורניר. כתובת האימייל שלכם לא מוצגת למשתמשים אחרים בשום מקרה.

7. דיווחים ומודרציה

לחיצה ארוכה על הודעה, תמונת פרופיל, שם תצוגה או טורניר מאפשרת לדווח עליהם או לחסום את המשתמש. עותק של התוכן המדווח, מי דיווח, על מי דיווחו והסיבה נשמרים בתור מודרציה פנימי. הודעת צ'אט שדיווחו עליה שני חברים שונים מוסתרת אוטומטית לכולם, בהמתנה לבדיקה. דיווחים חדשים מתריעים למנהלי האפליקציה של קרואונרב באמצעות התראת דחיפה, ולפי הצורך גם כהודעה בסביבת העבודה הפנימית של החברה (Crownerv Suite) — רק צוות קרואונרב רואה את ההתראות האלה. ראו את כללי הקהילה לפרטים על מה שאנחנו עושים עם דיווחים ותוך כמה זמן אנחנו בודקים אותם.

8. קבלת החלטות אוטומטית

אנחנו לא מקבלים לגביכם שום החלטה באמצעים אוטומטיים שיש לה השפעה משפטית או השפעה מהותית דומה. ניקוד — השוואת הניחוש שלכם לתוצאת המשחק והענקת נקודות — הוא לוגיקת משחק דטרמיניסטית המופעלת באופן שווה על ניחושי כל המשתמשים, ולא פרופיילינג שלכם כבני אדם. המסנן שחוסם מילים גסות בשמות הוא בדיקה פשוטה מול רשימת מילים, בלי השפעה מעבר לדחיית הקלט — אפשר לנסות שם אחר בכל עת.

9. ניידות מידע: ייצוא ושחזור הנתונים שלכם

בהגדרות ← חשבון קיימים שני כלים שמממשים את זכות ניידות המידע שלכם (סעיף 20 ל-GDPR; זכות העיון לפי החוק הישראלי):

זה בנוסף לזכות שלכם לבקש עותק מהמידע שלכם או למחוק אותו בפנייה אל [email protected], ולא במקומה — ראו סעיף 15.

10. למי אנחנו מעבירים מידע

אנחנו משתמשים בספקי שירות הבאים ("מעבדי מידע") להפעלת GOALit. אף אחד מהם לא רשאי להשתמש במידע שלכם למטרותיו שלו.

מעבד תפקיד מדינה/אזור
Fly.io, Inc. אחסון האפליקציה — ה-API שלנו רץ על שרתים בפרנקפורט, גרמניה החברה: ארה"ב; השרתים: גרמניה (האיחוד האירופי)
MongoDB, Inc. (MongoDB Atlas) אחסון מסד הנתונים החברה: ארה"ב; שרתי מסד הנתונים: פרנקפורט, גרמניה (האיחוד האירופי)
Apple Inc. / Apple Distribution International Ltd. Sign in with Apple; מסירת התראות דחיפה (APNs); הפצת App Store ארה"ב / אירלנד (האיחוד האירופי)
650 Industries, Inc. (Expo) ממסר להתראות דחיפה ל-Apple; עדכוני אפליקציה "באוויר" (OTA) ארה"ב
XSTRA (xstra.net) ספק זהות להתחברות עם XSTRA — משתף רק מידע זהות (מזהה משתמש, שם, אימייל, קישור לתמונת פרופיל) פרויקט של קרואונרב בע"מ עצמה (לא צד שלישי) — ישראל. XSTRA פועלת בעיקר בישראל, האתר שלה זמין בכל המדינות, והיא עשויה להיות מוגבלת במדינות מסוימות
API-Sports (API-Football, api-sports.io) ספק נתוני כדורגל: תוצאות, משחקים, טבלאות, שמות ותמונות של קבוצות/תחרויות/שחקנים צרפת (תנאי השימוש שלה כפופים לדין הצרפתי) — לא מקבל שום מידע אישי עליכם
Crownerv Suite (suite.crownerv.com) סביבת העבודה הפנימית של קרואונרב, המשמשת להתראת הצוות על דיווחי מודרציה חדשים ישראל — מערכת פנימית של קרואונרב, לא צד שלישי

אנחנו לא מוכרים מידע אישי, ולא משתפים אותו למטרות פרסום מבוסס-התנהגות חוצה-הקשרים או כל מטרת פרסום אחרת — ראו את תת-הסעיף על קליפורניה בסעיף 15 להצהרה הספציפית לפי CCPA/CPRA. אנחנו עשויים לחשוף מידע אם נדרש על פי דין, צו בית משפט תקף, או כדי להגן על זכויות, רכוש או בטיחות של קרואונרב, המשתמשים שלנו או הציבור.

11. העברות מידע בין-לאומיות

קרואונרב פועלת מישראל. התשתית שלנו רצה באיחוד האירופי (פרנקפורט, גרמניה), בעוד שחלק מהמעבדים שלנו — Fly.io, Expo/650 Industries, Apple ו-MongoDB, Inc. — הם חברות שמושבן בארה"ב, כלומר מידע יכול להיות מעובד בארה"ב או נגיש ממנה. לישראל יש החלטת התאמה (adequacy decision) מטעם הנציבות האירופית, המקלה על זרימת מידע מהאיחוד האירופי לקרואונרב כבעלת המידע. להעברות מקרואונרב או מהתשתית שלנו באיחוד האירופי לספקים האמריקאיים הללו, אנו מסתמכים על סעיפים חוזיים סטנדרטיים (SCCs), ובמקרים שבהם הספק מצטרף אליהן, על ה-EU-U.S. Data Privacy Framework (וההרחבות המקבילות לבריטניה ולשוויץ). אפשר לבקש פרטים נוספים על העברה מסוימת בפנייה אל [email protected].

12. כמה זמן אנחנו שומרים את המידע שלכם

מידע תקופת שמירה
חשבון ופרופיל עד למחיקת החשבון
תמונת פרופיל עד להסרתה או למחיקת החשבון
הודעות צ'אט עד למחיקה, להסרת הטורניר, או למחיקת החשבון
ניחושים, בחירות, חברות בטורנירים עד למחיקת החשבון. הדירוג הסופי של טורניר שהסתיים (מקום וניקוד, לפי מזהה חשבון פנימי — לא שם או אימייל) יכול להישאר כדי לשמר תארים שהוענקו לחברים אחרים, גם אחרי מחיקת החשבון שלכם; מרגע שהחשבון נמחק, אי אפשר לקשר רשומה זו בחזרה אליכם
דיווחים שהגשתם או שהוגשו עליכם נשמרים גם אחרי מחיקת החשבון, למטרות בטיחות ולמטרות משפטיות; החשבון מוצג כ"החשבון נמחק", והשם, האימייל והתמונה שלכם מוסרים מהרשומה — נשארים רק הפניה למזהה חשבון פנימי, סיבת הדיווח ועותק התוכן המדווח הדרוש למודרציה
טוקן התראות עד להתנתקות, ביטול הרשאת ההתראות, החלפת מכשיר, או מחיקת החשבון
אסימון גישה שעה אחת
אסימון רענון מתבטל אוטומטית אחרי עד 180 יום, או באופן מיידי בהתנתקות או במחיקת החשבון
כתובת IP מעובדת זמנית להגבלת קצב; לא נשמרת כחלק מהחשבון. יומני התפעול של ספק האחסון שלנו נשמרים לפרק זמן קצר ומוגבל
גיבויים נדרסים בתוך 30 יום — זו המחויבות המוצהרת שלנו, לא הבטחה שכל עותק שיורי נמחק מוקדם יותר
רישום ההסכמה שלכם לתנאים ולמדיניות זו נשמר כל עוד החשבון קיים, כראיה להסכמה

13. אבטחת מידע

אנחנו משתמשים בהצפנת TLS להעברת מידע; סיסמאות מגובבות באלגוריתם scrypt ולעולם לא נשמרות בצורה הפיכה; הגישה למערכות שלנו מבוססת-תפקידים ומוגבלת למה שכל פונקציה דורשת; ההתחברות מתבססת על אסימוני גישה קצרי-מועד ואסימוני רענון מתחלפים; תמונות שמועלות נבדקות לפי סוג וגודל לפני השמירה; וה-API שלנו מפעיל הגבלת קצב (rate limiting) וכותרות אבטחה סטנדרטיות. אין מערכת מאובטחת באופן מוחלט, ואיננו יכולים להבטיח אבטחה מושלמת.

14. אם קורה משהו לא בסדר (אירוע אבטחה)

אם יוודע לנו על אירוע אבטחה הפוגע במידע האישי שלכם, נבחן אותו לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, ונדווח, כנדרש, לרשות להגנת הפרטיות ולנושאי המידע המושפעים; ולגבי מידע הכפוף ל-GDPR — לרשות הפיקוח המוסמכת בלי דיחוי בלתי מוצדק ובמידת האפשר בתוך 72 שעות, ולאנשים המושפעים כאשר האירוע עלול לגרום סיכון גבוה לזכויותיהם וחירויותיהם.

15. הזכויות שלכם בתחום הפרטיות

אם אתם בישראל

לפי חוק הגנת הפרטיות, עומדת לכם הזכות לעיין במידע שאנחנו שומרים עליכם, ולדרוש תיקון או מחיקה שלו אם הוא שגוי, לא שלם, לא ברור או מיושן. נשיב לבקשת עיון במידע בתוך 30 יום. אתם רשאים גם להתלונן בפני הרשות להגנת הפרטיות אם אתם סבורים שלא טיפלנו במידע שלכם כראוי.

אם אתם באיחוד האירופי/האזור הכלכלי האירופי או בבריטניה (GDPR / UK GDPR)

עומדות לכם הזכויות: לעיין במידע; לתקן מידע לא מדויק; למחוק מידע ("הזכות להישכח"); להגביל את העיבוד; להתנגד לעיבוד המבוסס על אינטרס לגיטימי; לקבל את המידע שלכם בפורמט נייד (ראו סעיף 9); ולבטל הסכמה בכל עת כאשר העיבוד מבוסס על הסכמה, מבלי לפגוע בחוקיות העיבוד שבוצע לפני הביטול. אנחנו משיבים לבקשות כאלה בתוך חודש, הניתן להארכה בעד חודשיים נוספים לבקשות מורכבות או מרובות (נעדכן אתכם אם זה המקרה). אתם רשאים להגיש תלונה לרשות הפיקוח המקומית שלכם בכל עת.

אם אתם באיחוד האירופי/האזור הכלכלי האירופי ועיבוד המידע שלנו אינו אקראי/חד-פעמי, קרואונרב תידרש למנות נציג לפי סעיף 27 ל-GDPR (ולגבי בריטניה, לפי סעיף 27 ל-UK GDPR). בשלב זה לא מונה נציג באיחוד האירופי או בבריטניה; אפשר לפנות אלינו ישירות בכתובת [email protected], ונעדכן סעיף זה אם ימונה נציג.

אם אתם בקליפורניה (CCPA/CPRA)

ב-12 החודשים האחרונים אספנו את קטגוריות המידע האישי המתוארות בסעיף 2, המתאימות לקטגוריות CCPA/CPRA: מזהים (שם, אימייל, מזהי חשבון); פעילות אינטרנט/רשת (כתובת IP, נתוני שימוש באפליקציה); מידע אור-קולי (תמונת הפרופיל שלכם); ותוכן שנוצר על ידי משתמש (הודעות צ'אט, בחירות). אנחנו לא אוספים מידע אישי רגיש כהגדרתו ב-CPRA, ולא משתמשים או חושפים מידע רגיש מעבר לנדרש להפעלת האפליקציה. אנחנו לא מוכרים ולא משתפים מידע אישי, לרבות למטרות פרסום מבוסס-התנהגות חוצה-הקשרים. בלי קשר לשאלה אם רף הגודל של CCPA/CPRA חל על קרואונרב, אנחנו מכבדים זכויות אלה לתושבי קליפורניה: הזכות לדעת/לעיין, למחוק ולתקן מידע אישי; הזכות לבקש הפסקת מכירה/שיתוף (לא רלוונטי — איננו עושים אף אחת מהן); הזכות להגביל שימוש במידע רגיש (לא רלוונטי); והזכות שלא לחיות באפליה בשל מימוש זכות מהזכויות הללו. אפשר לשלוח בקשה אל [email protected]; אפשר לפעול באמצעות נציג מורשה, ובמקרה זה נבקש הוכחה בכתב להרשאתו ולאמת את זהותכם ישירות.

16. קטינים וגיל מינימלי

GOALit מדורגת לגיל 13 ומעלה, ועליכם להיות בני 13 לפחות כדי ליצור חשבון. איננו אוספים ביודעין מידע אישי מילדים מתחת לגיל 13; אם נגלה שעשינו זאת, נמחק את החשבון והמידע הנלווה בהקדם. הדבר עומד בדרישות ה-COPPA האמריקאי, המגן על ילדים מתחת לגיל 13.

אם אתם באיחוד האירופי או במדינה אחרת שקובעת גיל מינימלי גבוה יותר להסכמה עצמאית לשירות מסוג זה (ה-GDPR מאפשר למדינות חברות לקבוע גיל שבין 13 ל-16), ואתם מתחת לגיל זה, השתמשו ב-GOALit רק בידיעת הורה או אפוטרופוס ובהסכמתם.

17. איך לממש את הזכויות שלכם

לרוב הבקשות, הדרך המהירה ביותר היא באפליקציה: הגדרות ← חשבון ← הורדת המידע שלי לקבלת עותק, או מחיקת חשבון למחיקתו. לכל דבר אחר — תיקון, שאלה על מדיניות זו, או מימוש זכות אחרת המתוארת לעיל — כתבו אל [email protected]. נבקש מידע מספק לאימות זהותכם לפני טיפול בבקשות רגישות (כגון מחיקה), ביחס שהולם את הבקשה.

18. מידע רגולטורי

19. הסכמה למדיניות זו

ביצירת חשבון GOALit, תתבקשו לסמן תיבה המאשרת שאתם מקבלים את תנאי השימוש שלנו ומכירים במדיניות פרטיות זו. אנחנו רושמים בחשבון שלכם את הגרסה של כל מסמך ואת התאריך והשעה שבהם אישרתם אותם. אם נבצע שינוי מהותי באחד מהמסמכים, נבקש מכם, באפליקציה, לעיין ולאשר את הגרסה החדשה לפני שתוכלו להמשיך להשתמש ב-GOALit.

20. שינויים במדיניות זו

אנחנו עשויים לעדכן מדיניות זו ככל שGOALit משתנה או הדין מחייב. בשינויים מהותיים נבקש מכם לאשר מחדש את הגרסה החדשה באפליקציה כמתואר לעיל (לא רק לעדכן את התאריך בעמוד זה). בשינויים שאינם מהותיים נעדכן את הגרסה ואת תאריך התחילה שלמעלה.

21. יצירת קשר

קרואונרב בע"מ, מספר חברה 517411823. כתובת רשומה: הרכס 78, מעלה אדומים, ישראל. פניות בנושאי פרטיות וזכויות: [email protected]. תמיכה כללית: [email protected].

עמודים נוספים: תנאי שימוש · כללי הקהילה · הצהרת נגישות · מחיקת חשבון · חוקי המשחק · הודעות משפטיות · תמיכה