سياسة الخصوصية

أين تُحفظ محادثاتكم، ومن يستطيع الوصول إليها

يعمل DutyDesk على خوادمنا في إسرائيل. محادثاتكم مع عملائكم وجهات الاتصال والقواعد محفوظة لدينا، وهذه الوثيقة تقول بالضبط ما الذي يُحفظ، وإلى متى، ولمن يُنقل.

آخر تحديث: 2026-10-20 · AlphaMerge

هذه ترجمة لتيسير القراءة. النص المُلزم هو العبري، وهو الذي يُعتد به عند أي اختلاف.

ما الذي تغطّيه هذه الوثيقة

تغطّي هذه الوثيقة خدمة DutyDesk، والتطبيقين DutyDesk Desktop وDutyDesk Planner، وهذا الموقع. يعمل التطبيقان بطريقة مختلفة، ولكلٍّ منهما قسم خاص به أدناه.

أمّا المحادثات وسجلات العملاء والنماذج المملوءة والتقييمات وجدول الورديات داخل مساحة العمل، فالقرار بشأنها للنشاط التجاري صاحب مساحة العمل: هو من يحدّد ما يُجمع ولماذا، ونحن نعالج هذه المعلومات نيابةً عنه. وأمّا حسابات من يدخلون إلى لوحة التحكّم، والفوترة، وهذا الموقع، فالقرار بشأنها لنا، وهذه الوثيقة تصف كيف.

تشغّل الخدمة حساب واتساب عبر واجهة ليست WhatsApp Business API الرسمي. وهذا قراركم ومسؤوليتكم، وهو موصوف في شروط الاستخدام.

DutyDesk Cloud: ما الذي نحتفظ به

مساحة عملكم موجودة في قاعدة بيانات على خادم لنا في منطقة me-west1 من Google Cloud — تل أبيب — ولا في أي مكان آخر. ولا يمكن الوصول إلى قاعدة البيانات من الإنترنت، إلا عبر الخدمة نفسها.

محتوى الرسائل المُرسَلة والمستقبَلة، والمحادثات نفسها
جهات الاتصال وسجلات العملاء: الأسماء، وأرقام الهواتف، والملاحظات، والوسوم، والمراحل، وحقولكم المخصّصة، والمواعيد — وكذلك من طلبوا إزالتهم من القائمة، وبأي كلمة
النماذج وما ملأه العملاء فيها: الإجابات، والتوقيع أو الصور إن طلبها النموذج، والأسئلة كما طُرحت
طلبات التقييم: متى أُرسل كلٌّ منها وفُتح، وهل ضُغط زرّ Google، والتقييم والتعليق إن تركهما العميل
جدول الورديات: اسم كل فرد في الفريق ورقم هاتفه ودوره، وورديّاته وردوده، والرسائل التي أُرسلت إليه
الدفع في المواعيد: ما سُجّل على كل موعد («طُلب عربون» أو «مدفوع»)، وإن ربطتم خدمة محاسبة (Morning أو iCount أو Invoice4U أو Keep): المبلغ وطريقة الدفع وتاريخه، ورقم الإيصال ورابطه
القواعد والمسارات والحملات والملفات المرفقة بها
بيانات الدخول إلى واتساب وكل رمز اتصال — مشفّرة بـ AES-256-GCM، بمفتاح يخصّ مساحة العمل وحدها، قبل كتابتها في قاعدة البيانات
الفريق: الأسماء وعناوين البريد الإلكتروني والأدوار؛ ولا تُحفظ كلمات المرور إلا كتجزئة scrypt، ولا جلسات الدخول إلا كتجزئة
عدّادات الاستخدام والفوترة، وسجل نشاط: من ربط أو غيّر أو حذف ماذا، ومن أي عنوان IP

من يستطيع رؤيتها

أعضاء مساحة عملكم، كلٌّ بحسب صلاحيات دوره. ومن جهتنا، تعرض لوحة إدارة الطاقم الخطط والاستخدام والأعداد — لا الرسائل ولا جهات الاتصال ولا المحادثات. ويستطيع من يشغّلون الخوادم الوصول إلى قاعدة البيانات نفسها، ولا يفعلون ذلك إلا لإصلاح عطل أو لمعالجة طلب منكم.

نصّ لردّ الذكاء الاصطناعي

يُرسَل إلى Claude API من Anthropic (أو إلى Gemini API من Google، إذا كانت مساحة العمل لديكم تعمل على أحد نماذج Gemini)، بمفاتيحنا نحن، وفقط ما دامت ردود الذكاء الاصطناعي مفعّلة: وصف النشاط التجاري الذي كتبتموه، والخدمات والأسعار وساعات العمل ورابط الدفع التي حدّدتموها، وآخر رسائل المحادثة (خمس افتراضيًا)، واسم العميل ومواعيده القادمة لديكم. ولعميل وصل عبر رابط دردشة أنشأه DutyDesk Planner لأحد منشوراتكم، وفقط إذا اخترتم إرسال نص المنشور معه: ذلك النص، وهل وضعتم عليه علامة «مُباع». وإذا تعرّفت الخدمة بنفسها على لغة العميل، تُرسَل أيضًا عيّنة قصيرة من رسالته إلى Claude API من Anthropic. ولا تدرّب Anthropic ولا Google نماذجهما على هذه البيانات.

حين تجرّبون الذكاء الاصطناعي بأنفسكم

يُرسَل إلى Claude API من Anthropic (أو إلى Gemini API من Google، إذا كانت مساحة العمل لديكم تعمل على أحد نماذج Gemini)، بمفاتيحنا نحن، في أي خطة، حين تطلبون ذلك في إعدادات الذكاء الاصطناعي أو في محرّر القواعد أو في نموذج أو في DutyDesk Planner. في «اسأل البوت»: وصف النشاط التجاري، وساعات العمل والخدمات ورابط الدفع، والسؤال الذي كتبتموه. وفي «الكتابة من موقعي أو من ملفات» و«الكتابة بالذكاء الاصطناعي»: صفحات الموقع والملفات التي اخترتموها، وما طلبتموه. وحين يكتب لكم DutyDesk Planner، المتصل بمساحة عملكم، منشورًا أو يترجمه: وصف النشاط التجاري، وخدماتكم وساعات عملكم، وما أعطيتموه له: الطلب أو المنشور أو تفاصيل الإعلان. وفي «الترجمة بالذكاء الاصطناعي» في نموذج: كلمات النموذج نفسه، أي عنوانه ومقدمته وأسئلته وملاحظاته وخياراته، ولا يُرسَل أبدًا ما ملأه العملاء. الإجابة أو المسودة تظهر لكم وحدكم ولا تُرسَل إلى أحد. ولا تدرّب Anthropic ولا Google نماذجهما على هذه البيانات.

الرسائل الصوتية

تُرسَل إلى Gemini API من Google لتحويلها إلى نص. التفريغ النصي مفعّل افتراضيًا، ويمكن إيقافه من الإعدادات. ويُحفظ النص مع الرسالة؛ أمّا التسجيل نفسه فلا يُحفظ لدينا.

الصور والملفات التي يرسلها العملاء

الصورة أو الملف الذي يرسله عميل في محادثة فردية على واتساب أو تيليجرام — صورة أو PDF أو ملف Word أو Excel أو ملف نصي، حتى 16 ميغابايت — يُحفظ في مخزن ملفات خاص على Google Cloud Storage في المنطقة نفسها، لتتمكّنوا من رؤيته في المحادثة. ويُحذف تلقائيًا بعد 90 يومًا من وصوله، ويُحذف معه اسم الملف، ثم يختفي من مخزننا نهائيًا خلال أسبوع بعد ذلك؛ ولا يبقى في المحادثة إلا إشارة إلى أنّ صورة أو ملفًا قد وصل. ولا يُرسَل إلى أي نموذج ذكاء اصطناعي. أمّا الموقع الذي يشاركه العميل فيُحفظ رابطًا إلى الخريطة، مثل أي رسالة أخرى. ولا تُحفظ مقاطع الفيديو والملصقات والصور المخصّصة للعرض مرة واحدة.

النماذج التي يملؤها العملاء

النموذج الذي يرسله النشاط التجاري قبل الموعد، مثل الإقرار الصحي أو نموذج البيانات، يصل إلى العميل رابطًا في المحادثة ويُملأ في صفحة لدينا. ويمكن للنشاط التجاري أيضًا أن يتيح نموذجًا يفتحه أي شخص، من رمز QR عند الاستقبال أو من رابط يشاركه بنفسه؛ ومن يملؤه يكتب أولًا اسمه ورقم هاتفه، فتُنشأ له بطاقة لدى النشاط التجاري. والنشاط التجاري هو من يقرّر ما يسأله النموذج ولماذا: فالإقرار الصحي معلومات حسّاسة، وقرار طلبه للنشاط التجاري. تُحفظ الإجابات والتوقيع والصور (تُحفظ صورًا) والأسئلة كما طُرحت في مساحة العمل، في بطاقة العميل؛ والإجابة التي يحدّد النموذج أن مكانها البطاقة، مثل الاسم أو البريد الإلكتروني أو رقم الهاتف أو تاريخ الميلاد، تُنسخ إليها. ويراها الموظفون والمديرون ومالك مساحة العمل؛ أمّا أصحاب دور «مُطّلع» فيرون عدد النماذج المملوءة فقط. ويتلقّى أعضاء الفريق الذين طلبوا الإشعارات رسالة بريد إلكتروني أو رسالة Telegram بوصول نموذج، فيها اسم النموذج والعميل دون الإجابات. ويمكن للمدير تنزيلها ملفَّ CSV، ويُسجَّل كل تنزيل في سجلّ النشاط؛ ويمكنه أيضًا حذف نموذج مملوء. ولا تُرسَل إلى أي نموذج ذكاء اصطناعي، ولا تظهر في لوحة فريقنا، ولا تُكتب في سجلّات خوادمنا. يعمل الرابط الخاص بالعميل مرة واحدة فقط ولمدة 30 يومًا على الأكثر، ويحمل التذكير رابطًا ثانيًا للنموذج نفسه، ولا نحتفظ من كلٍّ منهما إلا ببصمة مشفّرة (hash)؛ أمّا الرابط المفتوح للنموذج فيعمل إلى أن يوقفه النشاط التجاري أو يستبدله.

طلبات التقييم

إذا فعّل النشاط التجاري التقييمات، يتلقّى العميل بعد الموعد رابطًا في المحادثة إلى صفحة لدينا. تعرض الصفحة على الجميع صفحة تقييمات النشاط التجاري في Google، وبشكل منفصل نجومًا وتعليقًا لا يراهما إلا النشاط التجاري. ونحفظ في مساحة العمل متى أُرسل الطلب ومتى فُتحت الصفحة، وهل ضُغط زرّ Google، والتقييم والتعليق إن تركهما العميل. ويمكن تغيير التقييم خلال 7 أيام، ويعمل الرابط 30 يومًا. أمّا التقييم المكتوب في Google فيذهب إلى Google وفق شروطها، ولا يعود إلينا. ويرى التقييمات والتعليقات الموظفون والمديرون والمالك؛ أمّا أصحاب دور «مُطّلع» فيرون المجاميع فقط. ولا تُرسَل إلى أي نموذج ذكاء اصطناعي، ولا تظهر في لوحة فريقنا، ولا تُكتب في سجلّات خوادمنا. ولا نحتفظ من الرابط إلا ببصمة مشفّرة (hash).

جدول الورديات

إذا كان النشاط التجاري يخطّط ورديّاته في DutyDesk، يُحفظ اسم كل فرد في الفريق ورقم هاتفه ودوره، وورديّاته، وهل أُكّدت كل وردية أو أُشير إلى تعذّر الحضور إليها. ويتلقّى كل فرد أسبوعه في رسالة عبر واتساب أو تيليجرام، مع رابط إلى صفحة لدينا لا تعرض إلا ورديّاته، ونسجّل متى فُتحت أول مرة. ولإرسال هذه الرسائل، تُنشأ لكل فرد أيضًا بطاقة جهة اتصال بوسم Staff. أصحاب دور «مُطّلع» يرون الجدول بلا أرقام هواتف؛ والموظفون يرون الأرقام أيضًا؛ والمديرون والمالك يخطّطونه ويمكنهم نسخ رابط أي فرد. ويتوقّف الرابط عن العمل بعد 14 يومًا من نهاية أسبوعه. ولا يُرسَل الجدول إلى أي نموذج ذكاء اصطناعي، ولا يظهر في لوحة فريقنا. ويمكن للمدير حذف فرد من الفريق نهائيًا: يُحذف اسمه ورقمه والورديات التي عمل فيها، وتبقى بطاقة جهة الاتصال في «جهات الاتصال» حيث يمكن حذفها.

رابط الدفع والإيصالات

رابط الدفع الذي حدّدتموه — Bit أو PayBox أو صفحة دفع — يصل إلى العملاء كما هو، في التذكيرات والردود، ولا نحصي من يفتحه. ويُحفظ وضع «طُلب عربون» أو «مدفوع» مع الموعد، ويُسجَّل كل تغيير في سجل النشاط. وفي خطة Grow وما فوقها يمكنكم ربط حسابكم في خدمة محاسبة واحدة — Morning أو iCount أو Invoice4U أو Keep: يُحفظ المفتاح أو الرمز الذي تعطيكم إياه مشفّرًا بمفتاح يخصّ مساحة العمل وحدها، ولا يُعرض مرة أخرى. وحين يُطلب إيصال لموعد مدفوع، يُرسَل إلى تلك الخدمة اسم العميل، ورقم هاتفه إن كان في بطاقته وكانت الخدمة تقبله، وما الذي دُفع مقابله، والمبلغ وطريقة الدفع وتاريخه، وتُصدر الخدمة الإيصال في حسابكم وفق شروطها. وفي iCount وInvoice4U يُسجَّل الإيصال باسم عميل من قائمة عملائكم هناك، وإن لم يوجد عميل بهذا الاسم أُضيف عميل جديد به (وفي Invoice4U برقم الهاتف أيضًا). ولا نرسل إلى الخدمة أي عنوان بريد إلكتروني ونطلب منها ألّا ترسل شيئًا، فلا ترسل إلى العميل شيئًا؛ ولا يصل رابط الإيصال إلى العميل في المحادثة إلا إذا اختار ذلك من طلب الإيصال. ونحتفظ لدينا بالمبلغ وطريقة الدفع وتاريخه، ورقم الإيصال ورابطه. ويراها الموظفون والمديرون والمالك؛ ولا تُرسَل إلى أي نموذج ذكاء اصطناعي، ولا تظهر في لوحة إدارة الطاقم لدينا. وحذف جهة الاتصال أو الموعد يحذفها لدينا، ولا يبقى في سجل النشاط إلا رقم الإيصال والمبلغ، بلا اسم. أمّا الإيصال نفسه، وأي عميل أضافته الخدمة إلى قائمتكم، فيبقيان في حسابكم لدى تلك الخدمة.

رسائل البريد والتنبيهات

تُرسَل من صندوق بريدنا لدى Google: دعوات الفريق، وإعادة تعيين كلمة المرور، وتنبيه حين توشك حصة على النفاد، وكذلك — لأعضاء الفريق الذين اختاروا ذلك — طلبُ عميل التحدث إلى موظف، مع آخر رسائل المحادثة. وحين يحجز البوت موعدًا أو ينقله أو يلغيه، يُرسَل تنبيه باسم العميل والموعد إلى المالك والمديرين ما لم يوقفوه، وإلى الموظفين الذين فعّلوه. وفي خطة Grow وما فوقها، حين يُسند زميل محادثة إلى عضو في الفريق، يتلقّى العضو تنبيهًا باسم الزميل واسم العميل ورابط المحادثة، ما لم يوقفه. ومن ربطوا تيليجرام يتلقّون التنبيهات نفسها عبر بوتنا على تيليجرام.

النسخ الاحتياطية

نسخة ليلية من قاعدة البيانات في Google Cloud Storage، في المنطقة نفسها، مشفّرة أثناء التخزين. تُحذف تلقائيًا بعد 60 يومًا.

المدفوعات

Stripe. بيانات البطاقة لا تمرّ عبرنا ولا تُحفظ لدينا. ونحفظ لدينا ما الذي فُوتر عنه كل شهر، والمعرّف الذي يعطيه Stripe لحسابكم.

القنوات التي تربطونها

واتساب

يُربط الرقم بوصفه جهازًا مرتبطًا بحسابكم، وتعمل جلسة الاتصال على خادمنا. تصل إلينا الرسائل كما تصل إلى واتساب ويب، ولا نطلب من واتساب سجل محادثاتكم الكامل.

تيليجرام

بوت تنشئونه في BotFather، ويتصل برمزه. وتصل إلينا الرسائل عبر Bot API الرسمي من تيليجرام.

فيسبوك وإنستغرام

غير متاحين بعد. وما سيسري حين يُتاحان مفصّل أدناه.

بياناتكم لدى Google

إذا ربطتم تقويم Google بـ DutyDesk Cloud، تطلب الخدمة من Google ثلاثة أذونات للتقويم لا أكثر: معرفة ما إذا كان وقت معيّن مشغولًا (calendar.events.freebusy)، وقراءة قائمة تقاويمكم فقط (calendar.calendarlist.readonly)، وإنشاء الأحداث وتعديلها وإلغاءها في التقاويم التي تملكونها (calendar.events.owned)، كي تظهر المواعيد المحجوزة في DutyDesk في تقويمكم. وإلى جانبها تطلب عنوان البريد الإلكتروني للحساب، كي تبيّن الشاشة بأي حساب هي متصلة.

لم نطلب الإذن الواسع للتقويم، ولا أي إذن بقراءة أحداثكم، ولا يُقرأ محتوى أحداثكم أبدًا. لا تكتب الخدمة في تقويمكم إلا إذا اخترتم تقويمًا للمواعيد، وفي ذلك التقويم وحده، والأحداث التي أنشأتها بنفسها فقط. ويسري إذن الكتابة على التقاويم التي تملكونها فقط — لا على تقاويم شاركها معكم آخرون. ويمكنكم أيضًا ترك هذا الإذن غير محدد في شاشة Google، وعندها يُقرأ التقويم فقط ولا يُكتب فيه شيء. أما تطبيق سطح المكتب DutyDesk Desktop فيطلب الأذونات نفسها لكنه يُبقي كل شيء على كمبيوتركم — وتفصيله في القسم التالي.

فيمَ يُستخدم هذا

لنعرض على العملاء فقط الأوقات التي تكونون فيها متفرّغين فعلًا، بحسب التقاويم التي اخترتموها — حتى 50 تقويمًا — وإن اخترتم تقويمًا للمواعيد، لنسجّل فيه المواعيد المحجوزة في DutyDesk ونُبقيها محدَّثة هناك.

ما الذي يُقرأ

قائمة تقاويمكم، لتختاروا أيّها يُحتسب وأيّها يستقبل المواعيد. ومن التقاويم المحتسبة — فحص «متفرّغ/مشغول» فقط: تُعيد Google فترات زمنية مشغولة، بلا عناوين ولا مشاركين ولا محتوى.

ما الذي يُكتب

فقط إن اخترتم تقويمًا للمواعيد: حدث واحد لكل موعد محجوز في DutyDesk، في ذلك التقويم — اسم العميل عنوانًا (بعد عنوان الموعد إن وُجد)، واسمه ورقم هاتفه في الوصف، ووقت البدء والانتهاء، ووسم الحدث كوقت متاح، ووسم خاص يربطه بالموعد. حين يُنقل موعد أو يُلغى في DutyDesk، يُعدَّل الحدث أو يُحذف. لا يُنشأ أو يُعدَّل أو يُحذف أي شيء آخر في تقويمكم، ولا يُقرأ أي حدث.

أين يُحفظ هذا

يُحفظ الرمز في قاعدة بياناتنا في منطقة me-west1، مشفّرًا قبل الكتابة، ولا يمكن قراءته ثانيةً من لوحة التحكّم. وتُحفظ الفترات المشغولة في مساحة عملكم للأيام التي يعرض فيها البوت مواعيد، وتُحدَّث حين تتغيّر. ولكل موعد يُسجَّل في Google نحفظ التقويم ومعرّف الحدث، كي يمكن تعديله لاحقًا.

مع مَن يُشارَك

مع لا أحد. لا يُنقل إلى أي طرف ثالث، ولا يُستخدم للإعلان، ولا لتدريب النماذج، ولا يُباع.

كيف تفصلونه

في «التقويم» ← «التقويم المتصل»، زر «قطع الاتصال»: يُلغى الإذن لدى Google، ويُحذف الرمز وكل الفترات المشغولة من قاعدة بياناتنا. تبقى المواعيد المسجّلة سابقًا في تقويمكم. ولإيقاف تسجيل المواعيد دون قطع الاتصال، اختاروا الاحتفاظ بالمواعيد في DutyDesk فقط. ويمكنكم أيضًا إزالة الإذن مباشرة من صفحة الأذونات في حساب Google.

بياناتكم لدى Google في تطبيق سطح المكتب

يستطيع تطبيق سطح المكتب DutyDesk Desktop أن يسجّل المواعيد التي يحجزها مباشرة في تقويم Google الخاص بكم. إذا ربطتم تقويمًا، يطلب التطبيق من Google الأذونات الثلاثة نفسها التي تطلبها الخدمة السحابية: معرفة الأوقات المشغولة (calendar.events.freebusy)، وقائمة تقاويمكم (calendar.calendarlist.readonly)، وإنشاء الأحداث وتعديلها وإلغاؤها في التقاويم التي تملكونها (calendar.events.owned). وإلى جانب ذلك يطلب عنوان البريد الإلكتروني للحساب، كي تبيّن الشاشة بأي حساب هو متصل.

يجري كل ذلك على كمبيوتركم. يتواصل التطبيق مع Google مباشرة: لا يمرّ شيء من تقويمكم عبر خوادمنا ولا يُحفظ لدينا، وليست لدينا نسخة من الرمز.

لم نطلب الإذن الواسع للتقويم، ولا إذنًا بقراءة كل الأحداث في كل التقاويم التي ترونها. إذن الكتابة يقتصر على التقاويم التي تملكونها — لا على التقاويم التي شاركها معكم آخرون.

فيمَ يُستخدم هذا

لنعرض على العملاء فقط الأوقات التي تكونون فيها متفرّغين، ولنسجّل في التقويم الذي اخترتموه الموعد الذي حجزوه — أو حجزتموه لهم — ونعدّله أو نلغيه هناك حين يتغيّر في التطبيق.

ما الذي يُكتب

حدث واحد لكل موعد يحجزه التطبيق، في التقويم الواحد الذي اخترتموه للحجوزات: اسم العميل عنوانًا، واسمه ورقم هاتفه في الوصف، ووقت البدء والانتهاء، وعلامة خاصة يتعرّف بها التطبيق على حدثه. حين يُؤجَّل الموعد أو يُلغى في التطبيق، يُعدَّل الحدث أو يُلغى. لا يُنشأ شيء آخر في تقويمكم ولا يُعدَّل ولا يُحذف.

ما الذي يُقرأ

قائمة تقاويمكم، كي تختاروا أيّها يستقبل الحجوزات وأيّها يُحتسب مشغولًا فقط. ومنها — فترات مشغولة بلا عناوين وبلا محتوى. ولكي تتطابق مواعيد التطبيق مع تقويمكم، يقرأ أيضًا أحداث تقويم الحجوزات: يحتفظ بالتي أنشأها، ويتجاهل كل حدث آخر دون أن يحفظه.

أين يُحفظ هذا

على كمبيوتركم فقط. يُحفظ الرمز في مجلد بيانات التطبيق، مشفّرًا بسلسلة مفاتيح نظام التشغيل. وتُحفظ المواعيد التي حجزها التطبيق في قاعدة بياناته المحلية مع بقية بياناته. لا يُرسل إلينا شيء من ذلك.

مع مَن يُشارَك

مع لا أحد. لا يصلنا أصلًا، ولا يُنقل إلى أي طرف ثالث، ولا يُستخدم للإعلان، ولا لتدريب النماذج، ولا يُباع.

كيف تفصلونه

في التطبيق: «التقويم» ← «التقويم المتصل»، زر «قطع الاتصال»: يُلغى الإذن لدى Google ويُحذف الرمز من الكمبيوتر. تبقى المواعيد المحجوزة في تقويمكم. ويمكنكم أيضًا إزالة الإذن مباشرة من صفحة الأذونات في حساب Google.

الاستخدام المحدود

يخضع استخدام DutyDesk للمعلومات المُستلَمة من واجهات Google، وأي نقل لها إلى تطبيق آخر، لسياسة Google API Services User Data Policy، بما في ذلك متطلّبات الاستخدام المحدود (Limited Use).

بياناتكم من فيسبوك وإنستغرام

ربط صفحة فيسبوك أو حساب إنستغرام تجاري غير متاح بعد. وحين يُتاح، هذا ما سيسري.

ستطلب الخدمة إذنًا بقراءة الرسائل التي يرسلها العملاء إلى الصفحة أو الحساب والرد عليها، لا أكثر. ولن تقرأ المنشورات أو التعليقات أو المتابعين أو الإحصاءات، ولن تجلب الملفات الشخصية للعملاء، ولن تمسّ ملفكم الشخصي.

تسمح Meta للنشاط التجاري بالرد خلال 24 ساعة من لحظة كتابة العميل، ولن تردّ الخدمة تلقائيًا إلا داخل هذه النافذة. ولن ترسل حملات على ماسنجر أو إنستغرام.

سيُحفظ رمز الوصول مشفّرًا في قاعدة بياناتنا في منطقة me-west1، وستُحفظ الرسائل في مساحة عملكم إلى جانب بقيّة المحادثات. وقطع الاتصال في لوحة التحكّم يحذف الرمز لدينا وينهي الوصول فورًا. ويمكنكم أيضًا إزالة DutyDesk من إعدادات «تكاملات الأعمال» في حسابكم على فيسبوك.

شروط منصّة Meta

سيلتزم استخدام DutyDesk للمعلومات التي ستَرِد من واجهات Meta بشروط منصّة Meta وسياسات Messenger Platform، بما في ذلك نافذة المراسلة الموضّحة أعلاه.

DutyDesk Desktop، تطبيق سطح المكتب

يُباع DutyDesk Desktop منفصلًا عن خطط السحابة، بترخيص سنوي لجهازَي كمبيوتر. يعمل على كمبيوتركم ويستخدم مفاتيح ذكاء اصطناعي خاصة بكم. وتُحفظ محادثاته وجهات اتصاله وقواعده وبيانات اتصالاته في قاعدة بيانات محلّية على الكمبيوتر نفسه، لا نملك إليها وصولًا ولا نحتفظ بنسخة منها.

وما يرسله إلينا هو فحص صلاحية مفتاح المنتج لدى خادم التراخيص، كل بضع دقائق — المفتاح نفسه، وتجزئة أحادية الاتجاه لمعرّف عتاد الكمبيوتر، وعنوان IP للطلب. وعند تفعيله، وكذلك إن لم يكن خادم التراخيص يعرف اسم الكمبيوتر أو تغيّر اسمه، يرسل أيضًا اسم الكمبيوتر ونظام تشغيله، لتتمكّن قائمة أجهزة الكمبيوتر في الترخيص من التمييز بينها. وحين تكون ردود الذكاء الاصطناعي مفعّلة، تذهب الرسائل التي يجب الردّ عليها من كمبيوتركم مباشرة إلى مزوّد الذكاء الاصطناعي الذي أدخلتم مفتاحه، وفق اتفاقكم الخاص معه، لا عبرنا.

يحفظ خادم التراخيص ما يلزم للتحقق من الترخيص، لا أكثر:

أصحاب التراخيص

الاسم، وعنوان البريد الإلكتروني، ولغة الواجهة، وما إذا طلبتم تلقّي أخبار المنتج أو نصائح بالبريد. وفي كل رسالة من هذا النوع رابط لإيقاف هذه الرسائل.

الترخيص

مفتاح المنتج، والخطة، وتاريخ الانتهاء، وعدد أجهزة الكمبيوتر.

التفعيلات

معرّف جهاز مُجزّأ لكل كمبيوتر، لعدّ أجهزة الكمبيوتر. وهو تجزئة أحادية الاتجاه: لا يمكن استرجاع الكمبيوتر منه، ولا يُعرّف بكم خارج سياق الترخيص. وإلى جانبه يُحفظ اسم الكمبيوتر ونظام تشغيله كما يُبلغ عنهما التطبيق، ولا يراهما إلا صاحب الترخيص ونحن.

سجل النشاط

الإصدار، والتفعيل، وفكّ ارتباط جهاز كمبيوتر، والتجديد، والإلغاء — للدعم والمحاسبة.

DutyDesk Planner، النشر في مجموعات فيسبوك

يُباع DutyDesk Planner منفصلًا، بترخيص شهري لجهازَي كمبيوتر يتحدّد سعره بحسب حسابات فيسبوك التي تنشرون منها. يعمل على كمبيوتركم ويشغّل حساباتكم على فيسبوك عبر Google Chrome على ذلك الكمبيوتر. تسجّلون الدخول إلى فيسبوك في Chrome، وتذهب كلمة المرور إلى فيسبوك لا إلى Planner. وتبقى جلسات الدخول في ملفات تعريف Chrome على ذلك الكمبيوتر. أمّا مجموعات حساباتكم وقوائمها ومنشوراتها وصورها وتعليقاتها وإحصاءاتها فتُحفظ في قاعدة بيانات محلية هناك، لا وصول لنا إليها ولا نملك نسخة منها.

ما تنشرونه والردود التي تكتبونها تذهب من كمبيوتركم إلى فيسبوك باسم حسابكم، وتسري عليها سياسات Meta. وبالطريقة نفسها يقرأ Planner من فيسبوك التعليقات على منشوراتكم ليعرضها لكم.

ما يرسله إلينا هو فحص صلاحية مفتاح الترخيص لدى خادم التراخيص — عند تشغيله، وعلى فترات يحدّدها خادم التراخيص، وبعد استيقاظ الكمبيوتر، وعند الضغط على «التحقق الآن» — ويتضمّن المفتاح نفسه، وتجزئة أحادية الاتجاه لمعرّف عتاد الكمبيوتر، والمنتج الذي يتبع له المفتاح، وعنوان IP الخاص بالطلب. كما يسأل خادمنا عند التشغيل وكل ست ساعات إن كان هناك إصدار أحدث من التطبيق وقواعد صفحات أحدث، يستعين بها للتنقّل في صفحات فيسبوك. هذه تنزيلات عادية، لا نرى منها سوى عنوان IP الخاص بالطلب. لا يُرسَل إلينا أي شيء عن حساباتكم على فيسبوك أو مجموعاتكم أو منشوراتكم أو تعليقاتكم، إلا ما تختارون إرساله إلى مساحة عمل في DutyDesk ربطتم بها Planner: لكل رابط دردشة ينشئه هناك، اسما المنشور والمجموعة، والعرض الذي يتبع له المنشور، وإذا فعّلتم ذلك، نص المنشور وهل وضعتم عليه علامة «مُباع»؛ والطلب أو المنشور الذي تطلبون من الذكاء الاصطناعي في مساحة العمل كتابته أو ترجمته. أما التعليقات على منشوراتكم فلا تُرسَل أبدًا.

يحتفظ خادم التراخيص عن ترخيص Planner بالسجلات نفسها التي يحتفظ بها عن ترخيص DutyDesk Desktop، المذكورة أعلاه، وبالمنتج الذي يتبع له الترخيص.

حين تطلبون مساعدتنا، أنتم من يختار ما يُرسَل: تقرير «الفحص» من إعدادات Planner، أو لقطة شاشة. لا نرى إلا ما ترسلونه.

تُحذف بيانات Planner حين تحذفونها: أزيلوا التطبيق، أو احذفوا مجلد بياناته، وفيه أيضًا ملفات تعريف Chrome والنسخ الاحتياطية الأسبوعية. أمّا النسخة الاحتياطية التي حفظتموها في مكان آخر فتبقى عندكم، وحذفها لكم. لا نستطيع فعل ذلك عنكم، لأنه لا وصول لنا إلى الكمبيوتر.

هذا الموقع ولوحة التحكّم: ملفات تعريف الارتباط والتحليلات

تُحفظ التفضيلات التي اخترتموها في الموقع لنظام الألوان وإمكانية الوصول في متصفحكم ولا تُرسَل إلينا. وتُحمَّل خطوط الموقع من Google Fonts، لذا ترى Google عنوان المتصفح الذي يطلبها. وحين تسجّلون الدخول إلى لوحة التحكّم يُحفظ ملف تعريف ارتباط يُبقيكم مسجّلي الدخول.

التحليلات بموافقتكم فقط. نسألكم في الموقع وفي لوحة التحكّم إن كان بإمكاننا استخدام Google Analytics، وهي خدمة تقدّمها Google Ireland Limited، لعدّ الزيارات ومعرفة الصفحات المستخدمة ومن أين يصل الزوّار (من بحث أو حملة مثلًا)، وبضع خطوات تهمّنا: النقر لبدء الفترة التجريبية، والتسجيل، وتنزيل DutyDesk Desktop، والتواصل معنا، وربط قناة في لوحة التحكّم. وإلى أن توافقوا، لا يُحمَّل شيء من Google Analytics ولا يُرسَل إليه شيء.

إذا وافقتم، يحفظ Google Analytics ملفات تعريف ارتباط تبدأ أسماؤها بـ _ga للتمييز بين الزيارات، ويتلقّى عنوان IP الخاص بمتصفحكم ونوعه وحجم الشاشة والصفحات التي فتحتموها. ولا يتلقّى اسمكم ولا بريدكم الإلكتروني ولا أي شيء من مساحة عملكم أو محادثاتكم، وقبل الإرسال نحذف من عناوين الصفحات الأجزاء التي قد تكشف هويّتكم، مثل رابط إعادة تعيين كلمة المرور. تعالج Google هذه البيانات لصالحنا وفق شروط معالجة البيانات الخاصة بها، وقد يكون ذلك خارج إسرائيل، وتحتفظ بها لمدة شهرين. ميزات الإعلانات وGoogle Signals معطّلة، ولا نشارك البيانات مع Google لأغراضها الخاصة.

يُحفظ اختياركم لستة أشهر في ملف تعريف ارتباط اسمه dutydesk_consent، مشترك بين الموقع ولوحة التحكّم. ويمكنكم تغييره في أي وقت من «إعدادات ملفات تعريف الارتباط» في أسفل الموقع أو من قائمة الحساب في لوحة التحكّم. الرفض لا يكلّفكم شيئًا: كل شيء يعمل كما هو تمامًا.

الحفظ والحذف

تُحفظ المحادثات وجهات الاتصال وكل ما عداها ما دامت مساحة العمل موجودة؛ ولا شيء فيها تنتهي صلاحيته من تلقاء نفسه، باستثناء الصور والملفات التي يرسلها العملاء، فهي تُحذف بعد 90 يومًا من وصولها، وتختفي من المخزن نهائيًا خلال أسبوع بعد ذلك. ومساحة العمل التي انتهت فترتها التجريبية أو خطتها تُوقَف مؤقتًا، ولا تُفرَّغ.

تُحفظ النماذج التي ملأها العميل والتقييمات التي منحها مع جهة الاتصال الخاصة به، وحذف جهة الاتصال — أو مساحة العمل — يحذفها أيضًا. ويحتفظ جدول الورديات بأفراد الفريق وورديّاتهم السابقة ما دامت مساحة العمل موجودة، إلا إذا حذف المدير أحدهم، فيُحذف هو وورديّاته السابقة فورًا؛ أمّا من أُخرج من الجدول فقط فيبقى في سجلّه، باسمه ورقمه.

حذف مساحة عمل: يحذفها المالك من الإعدادات، بعد إلغاء خطتها إن وُجدت. تُفصل كل القنوات فورًا، ومن لحظة الطلب يبدأ عدّ تنازلي مدته 30 يومًا، تُحذف في نهايته مساحة العمل — الرسائل وجهات الاتصال والقواعد والملفات. ثلاثون يومًا لا فورًا، كي تكون نقرة خاطئة يوم الجمعة قابلة للتراجع. أمّا النسخ الاحتياطية المكتوبة فتُحذف من تلقاء نفسها بعد 60 يومًا من إنشائها.

مساحة العمل الأولى التي فتحها الحساب لا يمكن حذفها من لوحة التحكّم. ولحذف الحساب معها، اكتبوا إلينا، وسنحذفهما كليهما بالطريقة نفسها.

الرسائل الواردة من قناة تُحفظ في طابور المعالجة سبعة أيام بعد معالجتها، أو 30 يومًا إذا فشلت المعالجة. وتُحفظ سجلات الفوترة للمدة التي يفرضها القانون.

إذا كنتم تستخدمون تطبيق سطح المكتب، فبياناته تُحذف حين تحذفونها أنتم: بإلغاء تثبيت التطبيق، أو بحذف مجلد بياناته. ولا يمكننا فعل ذلك نيابةً عنكم، لأننا لا نصل إليها.

حقوقكم

يحق لكم طلب الاطلاع على البيانات التي نحتفظ بها عنكم، أو تصحيحها، أو حذفها. اكتبوا إلى العنوان أدناه وسنردّ.

إذا كنتم عملاء لنشاط تجاري يستخدم DutyDesk، فالنشاط التجاري هو من يقرّر بشأن محادثاتكم معه والنماذج التي ملأتموها له والتقييمات التي منحتموها له، والأفضل أن تتوجّهوا إليه. وإن توجّهتم إلينا، فسننقل الطلب إلى النشاط التجاري ونساعده على الرد عليه. ولإيقاف حملاته عنكم، ردّوا بكلمة إيقاف، مثل «إيقاف» أو STOP.

وإذا كنتم تعملون لدى نشاط تجاري يخطّط ورديّاته في DutyDesk، فالأمر نفسه ينطبق على بياناتكم وورديّاتكم: النشاط التجاري هو من يقرّر بشأنها، والأفضل أن تتوجّهوا إليه.

تغييرات على الوثيقة

يُنشر أي تغيير جوهري هنا، ويتغيّر تاريخ التحديث أعلاه معه. وأي تغيير في الأذون التي تطلبها الخدمة من Google سيتطلّب منكم الموافقة عليها من جديد، فلا يتوسّع شيء بصمت.

التواصل

alphamergers@gmail.com

מדיניות פרטיות

איפה השיחות שלכם נמצאות, ומי יכול להגיע אליהן

DutyDesk רץ על השרתים שלנו בישראל. השיחות עם הלקוחות שלכם, אנשי הקשר והכללים נמצאים אצלנו, והמסמך הזה אומר בדיוק מה נשמר, לכמה זמן, ולמי זה מועבר.

עודכן לאחרונה: 2026-10-20 · AlphaMerge

מה המסמך הזה מכסה

המסמך מכסה את שירות DutyDesk, את האפליקציות DutyDesk Desktop ו-DutyDesk Planner ואת האתר הזה. שתי האפליקציות פועלות אחרת, ולכל אחת מהן יש פרק משלה בהמשך.

על השיחות, רשומות הלקוחות, הטפסים שמולאו, הדירוגים וסידור העבודה בסביבת עבודה מחליט העסק שהסביבה שלו: הוא קובע מה נאסף ולמה, ואנחנו מטפלים במידע הזה בשמו. על החשבונות של מי שמתחברים ללוח הבקרה, על החיוב ועל האתר מחליטים אנחנו, והמסמך הזה מתאר איך.

השירות מפעיל חשבון וואטסאפ דרך ממשק שאינו ה-WhatsApp Business API הרשמי. זו ההחלטה שלכם והאחריות שלכם, והיא מתוארת בתנאי השימוש.

DutyDesk Cloud: מה נשמר אצלנו

סביבת העבודה שלכם נמצאת במסד נתונים על שרת שלנו באזור me-west1 של Google Cloud — תל אביב — ולא בשום מקום אחר. אי אפשר להגיע למסד הנתונים מהאינטרנט, אלא רק דרך השירות עצמו.

תוכן ההודעות שנשלחו והתקבלו, והשיחות עצמן
אנשי קשר ורשומות לקוח: שמות, מספרי טלפון, הערות, תגיות, שלבים, שדות משלכם ותורים — וגם מי ביקשו הסרה מהרשימה, ובאיזו מילה
טפסים ומה שלקוחות מילאו בהם: התשובות, חתימה או תמונות אם הטופס מבקש אותן, והשאלות כפי שנשאלו
בקשות ביקורת: מתי כל בקשה נשלחה ונפתחה, אם נלחץ הכפתור של Google, והדירוג וההערה אם הלקוח השאיר אותם
סידור העבודה: השם, מספר הטלפון והתפקיד של כל איש צוות, המשמרות והתשובות שלו, וההודעות שנשלחו אליו
תשלומים על תורים: מה שסומן על כל תור («התבקשה מקדמה» או «שולם»), ואם חיברתם מערכת הנהלת חשבונות (Morning, iCount, Invoice4U או Keep) — הסכום, אמצעי התשלום, התאריך, ומספר הקבלה והקישור אליה
כללים, תרחישים, קמפיינים וקבצים שצורפו אליהם
ההתחברות לוואטסאפ וכל טוקן של חיבור — מוצפנים ב-AES-256-GCM, במפתח ששייך לסביבת העבודה בלבד, לפני הכתיבה למסד
הצוות: שמות, כתובות מייל ותפקידים; סיסמאות נשמרות רק כגיבוב scrypt, והתחברויות רק כגיבוב
מוני שימוש וחיוב, ויומן פעילות: מי חיבר, שינה או מחק מה, ומאיזו כתובת IP

מי רואה את זה

החברים בסביבת העבודה שלכם, כל אחד לפי ההרשאות של התפקיד שלו. אצלנו, מערכת הניהול של הצוות מציגה מסלולים, שימוש ומספרים — לא הודעות, לא אנשי קשר ולא שיחות. מי שמפעילים את השרתים יכולים להגיע למסד הנתונים עצמו, ועושים זאת רק כדי לתקן תקלה או לטפל בפנייה שלכם.

טקסט לתשובת AI

נשלח ל-Claude API של Anthropic (או ל-Gemini API של Google, אם סביבת העבודה שלכם פועלת על מודל Gemini), על המפתחות שלנו, רק כשתשובות AI מופעלות: תיאור העסק שכתבתם, השירותים, המחירים, שעות הפעילות וקישור התשלום שהגדרתם, ההודעות האחרונות בשיחה (חמש כברירת מחדל), שם הלקוח והתורים הקרובים שלו אצלכם. ללקוח שהגיע דרך קישור לצ׳אט ש-DutyDesk Planner יצר לאחד הפוסטים שלכם, ורק אם בחרתם לשלוח איתו את המילים של הפוסט: המילים האלה, והאם סימנתם שהפריט נמכר. אם השירות מזהה בעצמו את השפה של הלקוח, נשלחת גם דגימה קצרה מההודעה שלו ל-Claude API של Anthropic. Anthropic ו-Google לא מאמנות מודלים על המידע הזה.

כשאתם מנסים את ה-AI בעצמכם

נשלח ל-Claude API של Anthropic (או ל-Gemini API של Google, אם סביבת העבודה שלכם פועלת על מודל Gemini), על המפתחות שלנו, בכל מסלול, כשאתם מבקשים זאת בהגדרות ה-AI, בעורך הכללים, בטופס או ב-DutyDesk Planner. ב«שאלה לבוט»: תיאור העסק, שעות הפעילות, השירותים וקישור התשלום שלכם, והשאלה שהקלדתם. ב«כתיבה מהאתר או מקבצים» וב«כתיבה עם AI»: העמודים מהאתר והקבצים שבחרתם, ומה שביקשתם. כש-DutyDesk Planner, שמחובר לסביבת העבודה שלכם, כותב או מתרגם בשבילכם פוסט: תיאור העסק, השירותים ושעות הפעילות שלכם, ומה שנתתם לו: הבקשה, הפוסט או פרטי המודעה. ב«תרגום עם AI» בטופס: המילים של הטופס עצמו, הכותרת, הפתיח, השאלות, ההערות והאפשרויות, ואף פעם לא מה שלקוחות מילאו. התשובה או הטיוטה מוצגות רק לכם ולא נשלחות לאף אחד. Anthropic ו-Google לא מאמנות מודלים על המידע הזה.

הודעות קוליות

נשלחות ל-Gemini API של Google כדי להפוך לטקסט. התמלול פועל כברירת מחדל, ואפשר לכבות אותו בהגדרות. הטקסט נשמר עם ההודעה; ההקלטה עצמה לא נשמרת אצלנו.

תמונות וקבצים מלקוחות

תמונה או קובץ שלקוח שולח בשיחה פרטית בוואטסאפ או בטלגרם — תמונה, PDF, קובץ Word, Excel או טקסט, עד 16 MB — נשמרים באחסון קבצים פרטי של Google Cloud באותו אזור, כדי שתוכלו לראות אותם בשיחה. הם נמחקים אוטומטית 90 יום אחרי שהגיעו, יחד עם שם הקובץ, ותוך שבוע נוסף נמחקים סופית גם מהאחסון שלנו. בשיחה נשארת רק הערה שהתקבלה תמונה או קובץ. הם לא נשלחים לשום מודל AI. מיקום שלקוח משתף נשמר כקישור למפה, כמו כל הודעה אחרת. סרטונים, מדבקות ותמונות לצפייה חד-פעמית לא נשמרים.

טפסים שלקוחות ממלאים

טופס שהעסק שולח לפני תור, כמו הצהרת בריאות או טופס פרטים, מגיע ללקוח כקישור בשיחה וממולא בעמוד שלנו. העסק יכול גם לפרסם טופס שכל אחד יכול לפתוח, מקוד QR בדלפק או מקישור שהוא משתף בעצמו; מי שממלא אותו מוסר קודם שם ומספר טלפון, והעסק מקבל עבורו כרטיס לקוח. העסק מחליט מה הטופס שואל ולמה — הצהרת בריאות היא מידע רגיש, וההחלטה לבקש אותה היא של העסק. התשובות, החתימה והתמונות (נשמרות כתמונות) והשאלות כפי שנשאלו נשמרות בסביבת העבודה, בכרטיס הלקוח; תשובה שהטופס מסמן כשייכת לכרטיס, כמו שם, כתובת מייל, מספר טלפון או יום הולדת, מועתקת אליו. נציגים, מנהלים והבעלים של סביבת העבודה רואים אותן; צופים רואים רק כמה טפסים מולאו. חברי צוות שביקשו התראות מקבלים מייל או הודעת Telegram על טופס שהתקבל, עם שם הטופס והלקוח ובלי התשובות. מנהל יכול להוריד אותן כקובץ CSV, וכל הורדה נרשמת ביומן הפעילות; מנהל יכול גם למחוק טופס שמולא. הן לא נשלחות לשום מודל AI, לא מוצגות במערכת הניהול של הצוות שלנו ולא נכתבות ביומני השרת שלנו. הקישור האישי של לקוח עובד פעם אחת בלבד ולכל היותר 30 יום, תזכורת מביאה קישור שני לאותו טופס, ומכל אחד מהם נשמר אצלנו רק גיבוב; הקישור הפתוח של טופס עובד עד שהעסק מכבה אותו או מחליף אותו.

בקשות ביקורת

אם העסק הפעיל ביקורות, לקוח מקבל אחרי תור קישור בשיחה לעמוד שלנו. העמוד מציע לכולם את דף הביקורות של העסק ב-Google, ובנפרד כוכבים והערה שרק העסק רואה. בסביבת העבודה נשמרים מתי הבקשה נשלחה ומתי העמוד נפתח, אם נלחץ הכפתור של Google, והדירוג וההערה אם הלקוח השאיר אותם. אפשר לשנות דירוג במשך 7 ימים, והקישור עובד 30 יום. ביקורת שנכתבת ב-Google עוברת ל-Google, לפי התנאים שלה, ולא חוזרת אלינו. נציגים, מנהלים והבעלים רואים את הדירוגים וההערות; צופים רואים רק את הסיכומים. הם לא נשלחים לשום מודל AI, לא מוצגים במערכת הניהול של הצוות שלנו ולא נכתבים ביומני השרת שלנו. מהקישור נשמר אצלנו רק גיבוב.

סידור עבודה

אם העסק מתכנן את המשמרות שלו ב-DutyDesk, נשמרים השם, מספר הטלפון והתפקיד של כל איש צוות, המשמרות שלו, ואם כל משמרת אושרה או סומנה ב«לא אוכל להגיע». כל איש צוות מקבל את השבוע שלו בהודעה בוואטסאפ או בטלגרם, עם קישור לעמוד שלנו שמציג רק את המשמרות שלו, ואנחנו רושמים מתי העמוד נפתח לראשונה. כדי לשלוח את ההודעות האלה, לכל איש צוות נוצר גם כרטיס איש קשר עם התגית Staff. צופים רואים את הסידור בלי מספרי טלפון; נציגים רואים גם את המספרים; מנהלים והבעלים מתכננים אותו ויכולים להעתיק את הקישור של איש צוות. קישור מפסיק לעבוד 14 יום אחרי סוף השבוע שלו. סידור העבודה לא נשלח לשום מודל AI ולא מוצג במערכת הניהול של הצוות שלנו. מנהל יכול למחוק איש צוות לצמיתות: השם, המספר והמשמרות שכבר היו נמחקים, וכרטיס איש הקשר נשאר באנשי קשר, שם אפשר למחוק אותו.

קישור לתשלום וקבלות

קישור התשלום שהגדרתם — Bit, PayBox או דף תשלום — נשלח ללקוחות כמו שהוא, בתזכורות ובתשובות, ואנחנו לא סופרים מי לחץ עליו. סימון «התבקשה מקדמה» או «שולם» על תור נשמר עם התור, וכל שינוי נרשם ביומן הפעילות. במסלול Grow ומעלה אפשר לחבר את החשבון שלכם במערכת הנהלת חשבונות אחת — Morning, iCount, Invoice4U או Keep: המפתח או הטוקן שהיא נותנת לכם נשמר מוצפן, במפתח ששייך לסביבת העבודה בלבד, ולא מוצג שוב. כשמבקשים קבלה על תור ששולם, נשלחים למערכת הזו שם הלקוח, מספר הטלפון שלו אם הוא בכרטיס והמערכת מקבלת אותו, על מה שולם, הסכום, אמצעי התשלום והתאריך, והמערכת מפיקה את הקבלה בחשבון שלכם, לפי התנאים שלה. ב-iCount וב-Invoice4U הקבלה נרשמת על לקוח מרשימת הלקוחות שלכם שם, ואם אין לקוח בשם הזה, נוסף לרשימה לקוח חדש בשם הזה (וב-Invoice4U גם עם מספר הטלפון). אנחנו לא שולחים למערכת כתובת מייל ומבקשים ממנה לא לשלוח דבר, ולכן היא לא שולחת ללקוח כלום; הקישור לקבלה נשלח ללקוח בשיחה רק אם מי שביקש את הקבלה בחר בזה. אצלנו נשמרים הסכום, אמצעי התשלום, התאריך, ומספר הקבלה והקישור אליה. נציגים, מנהלים והבעלים רואים אותם; הם לא נשלחים לשום מודל AI ולא מוצגים במערכת הניהול של הצוות שלנו. מחיקת איש הקשר או התור מוחקת אותם אצלנו, וביומן הפעילות נשארים רק מספר הקבלה והסכום, בלי שם. הקבלה עצמה, וכל לקוח שהמערכת הוסיפה לרשימה שלכם, נשארים בחשבון שלכם במערכת הזו.

מיילים והתראות

נשלחים מתיבת הדואר שלנו ב-Google: הזמנות לצוות, איפוס סיסמה, התראה כשמכסה עומדת להיגמר, ולחברי צוות שבחרו בזה — גם בקשה של לקוח לדבר עם נציג, עם ההודעות האחרונות מהשיחה. כשהבוט קובע, מזיז או מבטל תור, נשלחת התראה עם שם הלקוח והמועד: לבעלים ולמנהלים, אלא אם כיבו אותה, ולנציגים שהפעילו אותה. במסלול Grow ומעלה, כשמשייכים שיחה לחבר צוות, נשלחת אליו התראה עם שם מי ששייך אותה, שם הלקוח וקישור לשיחה, אלא אם כיבה אותה. מי שחיברו את טלגרם מקבלים את אותן התראות דרך הבוט שלנו בטלגרם.

גיבויים

עותק לילי של מסד הנתונים ב-Google Cloud Storage, באותו אזור, מוצפן באחסון. נמחק אוטומטית אחרי 60 יום.

תשלומים

Stripe. פרטי הכרטיס לא עוברים דרכנו ולא נשמרים אצלנו. אצלנו נשמר על מה חויב כל חודש, והמזהה ש-Stripe נותן לחשבון שלכם.

הערוצים שאתם מחברים

וואטסאפ

המספר מקושר כמכשיר של החשבון שלכם, וההתחברות רצה על השרת שלנו. ההודעות מגיעות אלינו כמו שהן מגיעות לוואטסאפ ווב, ואנחנו לא מבקשים מוואטסאפ את כל היסטוריית השיחות שלכם.

טלגרם

בוט שאתם יוצרים ב-BotFather, ומתחבר עם הטוקן שלו. ההודעות מגיעות אלינו דרך ה-Bot API הרשמי של טלגרם.

פייסבוק ואינסטגרם

עוד לא זמינים. בהמשך מפורט מה יחול כשיהיו.

נתוני Google שלכם

אם חיברתם יומן Google ל-DutyDesk Cloud, השירות מבקש מ-Google שלוש הרשאות ליומן ולא יותר: לראות אם שעה מסוימת תפוסה (calendar.events.freebusy), לקרוא את רשימת היומנים שלכם בלבד (calendar.calendarlist.readonly), וליצור, לשנות ולבטל אירועים ביומנים שבבעלותכם (calendar.events.owned), כדי שהתורים שנקבעים ב-DutyDesk יופיעו ביומן שלכם. לצד אלה הוא מבקש את כתובת המייל של החשבון, כדי שהמסך יוכל להראות לאיזה חשבון הוא מחובר.

לא ביקשנו את ההרשאה הרחבה ליומן, וגם לא שום הרשאה לקרוא את האירועים שלכם, והתוכן של האירועים שלכם לא נקרא אף פעם. השירות כותב ליומן רק אם בחרתם יומן לתורים, רק ליומן האחד הזה, ורק את האירועים שהוא עצמו יצר. ההרשאה לכתוב חלה רק על יומנים שבבעלותכם, לא על יומנים שאחרים שיתפו איתכם. אפשר גם להשאיר את ההרשאה הזו לא מסומנת במסך של Google, ואז היומן רק נקרא ושום דבר לא נכתב בו. אפליקציית המחשב DutyDesk Desktop מבקשת את אותן הרשאות, אבל הכול נשאר אצלה במחשב — הפירוט בסעיף הבא.

למה זה משמש

כדי להציע ללקוחות רק שעות שאתם באמת פנויים בהן, לפי היומנים שבחרתם — עד 50 — ואם בחרתם יומן לתורים, כדי לרשום בו את התורים שנקבעים ב-DutyDesk ולעדכן אותם שם.

מה נקרא

רשימת היומנים שלכם, כדי שתוכלו לבחור אילו מהם נחשבים ואיזה יומן מקבל תורים. מהיומנים שנחשבים — בדיקת פנוי/תפוס בלבד: Google מחזיר טווחי זמן תפוסים, בלי כותרות, בלי משתתפים ובלי תוכן.

מה נכתב

רק אם בחרתם יומן לתורים: אירוע לכל תור שנקבע ב-DutyDesk, ביומן הזה. שם הלקוח ככותרת (אחרי הכותרת של התור, אם יש לו), השם ומספר הטלפון שלו בתיאור, שעת ההתחלה והסיום, סימון של האירוע כזמן פנוי, וסימון פרטי שמקשר אותו לתור. כשתור נדחה או מבוטל ב-DutyDesk, האירוע מתעדכן או נמחק. שום דבר אחר ביומן שלכם לא נוצר, משתנה או נמחק, ושום אירוע לא נקרא.

איפה זה נשמר

הטוקן נשמר במסד הנתונים שלנו באזור me-west1, מוצפן לפני הכתיבה, ואי אפשר לקרוא אותו חזרה מלוח הבקרה. טווחי הזמן התפוסים נשמרים בסביבת העבודה שלכם לימים שהבוט מציע בהם תורים, ומתעדכנים כשהם משתנים. לכל תור שנרשם ב-Google נשמרים היומן והמזהה של האירוע, כדי שאפשר יהיה לעדכן אותו.

עם מי זה משותף

עם אף אחד. לא מועבר לצד שלישי, לא לפרסום, לא לאימון מודלים ולא למכירה.

איך מנתקים

ביומן ← «יומן מחובר», כפתור הניתוק: ההרשאה מבוטלת מול Google, והטוקן וכל טווחי הזמן התפוסים נמחקים מהמסד שלנו. תורים שכבר נרשמו נשארים ביומן שלכם. כדי להפסיק לרשום תורים בלי לנתק, בחרו שהתורים יישמרו רק ב-DutyDesk. אפשר גם להסיר את ההרשאה ישירות מדף ההרשאות של חשבון Google.

נתוני Google שלכם באפליקציית המחשב

אפליקציית המחשב DutyDesk Desktop יכולה לרשום את התורים שהיא קובעת ישירות ביומן Google שלכם. אם חיברתם יומן, היא מבקשת מ-Google את אותן שלוש הרשאות שהענן מבקש: בדיקת פנוי/תפוס (calendar.events.freebusy), רשימת היומנים (calendar.calendarlist.readonly), והרשאה ליצור, לשנות ולבטל אירועים ביומנים שבבעלותכם (calendar.events.owned). לצד אלה היא מבקשת את כתובת המייל של החשבון, כדי שהמסך יוכל להראות לאיזה חשבון היא מחוברת.

כל זה קורה במחשב שלכם. האפליקציה פונה ל-Google ישירות: שום דבר מהיומן שלכם לא עובר דרך השרתים שלנו ולא נשמר אצלנו, ואין לנו עותק של הטוקן.

לא ביקשנו את ההרשאה הרחבה ליומן, וגם לא הרשאה לקרוא את כל האירועים בכל היומנים שאתם רואים. ההרשאה לכתוב חלה רק על יומנים שבבעלותכם — לא על יומנים שאחרים שיתפו איתכם.

למה זה משמש

כדי להציע ללקוחות רק שעות שאתם פנויים בהן, לרשום ביומן שבחרתם את התור שהם קבעו — או שאתם קבעתם עבורם — ולעדכן או לבטל אותו שם כשהוא משתנה באפליקציה.

מה נכתב

אירוע לכל תור שהאפליקציה קובעת, ביומן האחד שבחרתם לתורים: שם הלקוח ככותרת, השם ומספר הטלפון שלו בתיאור, שעת ההתחלה והסיום, וסימון פרטי שמזהה את האירוע כשייך לאפליקציה. כשתור נדחה או מבוטל באפליקציה, האירוע מתעדכן או מבוטל. שום דבר אחר ביומן שלכם לא נוצר, משתנה או נמחק.

מה נקרא

רשימת היומנים שלכם, כדי שתוכלו לבחור איזה יומן מקבל תורים ואילו רק נחשבים תפוסים. מהם — טווחי זמן תפוסים, בלי כותרות ובלי תוכן. כדי שהתורים באפליקציה יתאימו ליומן, היא קוראת גם את האירועים ביומן התורים: את אלה שהיא יצרה היא שומרת, וכל אירוע אחר נזרק בלי להישמר.

איפה זה נשמר

במחשב שלכם בלבד. הטוקן נשמר בתיקיית הנתונים של האפליקציה, מוצפן בעזרת מחזיק המפתחות של מערכת ההפעלה. התורים שהאפליקציה קבעה נשמרים במסד הנתונים המקומי שלה, עם שאר הנתונים. שום דבר מזה לא נשלח אלינו.

עם מי זה משותף

עם אף אחד. המידע לא מגיע אלינו בכלל, לא מועבר לצד שלישי, לא לפרסום, לא לאימון מודלים ולא למכירה.

איך מנתקים

באפליקציה, ביומן ← «יומן מחובר», כפתור הניתוק: ההרשאה מבוטלת מול Google והטוקן נמחק מהמחשב. תורים שכבר נקבעו נשארים ביומן שלכם. אפשר גם להסיר את ההרשאה ישירות מדף ההרשאות של חשבון Google.

שימוש מוגבל

השימוש של DutyDesk במידע שהתקבל מממשקי Google, וכל העברה שלו ליישום אחר, כפופים ל־Google API Services User Data Policy, לרבות דרישות השימוש המוגבל (Limited Use).

נתוני פייסבוק ואינסטגרם שלכם

חיבור של דף פייסבוק או של חשבון אינסטגרם עסקי עוד לא זמין. כשיהיה, זה מה שיחול.

השירות יבקש הרשאה לקרוא את ההודעות שהלקוחות שולחים לדף או לחשבון ולענות להן, ולא יותר מזה. הוא לא יקרא את הפוסטים, התגובות, העוקבים או הנתונים הסטטיסטיים, לא ישלוף את הפרופילים של הלקוחות, ולא ייגע בפרופיל האישי שלכם.

Meta מאפשרת לעסק לענות במשך 24 שעות מרגע שהלקוח כתב, והשירות יענה אוטומטית רק בתוך החלון הזה. הוא לא ישלח קמפיינים במסנג׳ר או באינסטגרם.

טוקן הגישה יישמר מוצפן במסד הנתונים שלנו באזור me-west1, וההודעות יישמרו בסביבת העבודה שלכם לצד שאר השיחות. ניתוק בלוח הבקרה מוחק את הטוקן אצלנו ומסיים את הגישה מיד. אפשר גם להסיר את DutyDesk מהגדרות «אינטגרציות עסקיות» בחשבון הפייסבוק שלכם.

תנאי הפלטפורמה של Meta

השימוש של DutyDesk במידע שיתקבל מממשקי Meta כפוף לתנאי הפלטפורמה של Meta ולמדיניות Messenger Platform, לרבות חלון ההודעות שתואר למעלה.

אפליקציית המחשב DutyDesk Desktop

DutyDesk Desktop נמכרת בנפרד מהמסלולים בענן, ברישיון שנתי ל-2 מחשבים. היא פועלת על המחשב שלכם ומשתמשת במפתחות AI משלכם. השיחות, אנשי הקשר, הכללים ופרטי החיבור שלה נשמרים במסד נתונים מקומי על אותו מחשב, ואין לנו אליו גישה ואין לנו עותק שלו.

מה שהיא שולחת אלינו הוא בדיקת תוקף של מפתח המוצר מול שרת הרישוי, כל כמה דקות — המפתח עצמו, גיבוב חד-כיווני של מזהה החומרה של המחשב, וכתובת ה-IP של הבקשה. כשמפעילים אותה, וגם אם שרת הרישוי עוד לא יודע איך המחשב נקרא או שהשם שלו השתנה, היא שולחת גם את שם המחשב ואת מערכת ההפעלה, כדי שרשימת המחשבים של הרישיון תבחין ביניהם. כשתשובות AI מופעלות, ההודעות שצריך לענות עליהן נשלחות מהמחשב שלכם ישר לספק ה-AI שאת המפתח שלו הזנתם, לפי ההסכם שלכם איתו, ולא דרכנו.

שרת הרישוי שומר את מה שדרוש כדי לבדוק רישיון, ולא יותר:

בעלי רישיון

שם, כתובת מייל, שפת ממשק, והאם ביקשתם לקבל במייל עדכוני מוצר או טיפים. בכל מייל כזה יש קישור להפסקת המיילים.

רישיון

מפתח המוצר, המסלול, תאריך התפוגה ומספר המחשבים.

הפעלות

מזהה מכונה מגובב לכל מחשב, כדי לספור אותם. זה גיבוב חד-כיווני: אי אפשר לשחזר ממנו את המחשב, והוא לא מזהה אתכם מחוץ להקשר של הרישיון. לצידו נשמרים שם המחשב ומערכת ההפעלה כפי שהאפליקציה מדווחת עליהם, ורק בעלי הרישיון ואנחנו רואים אותם.

יומן פעילות

הנפקה, הפעלה, שחרור מחשב, חידוש וביטול — לתמיכה ולהנהלת חשבונות.

DutyDesk Planner, הפרסום בקבוצות פייסבוק

DutyDesk Planner נמכר בנפרד, ברישיון חודשי ל-2 מחשבים שהמחיר שלו נקבע לפי חשבונות הפייסבוק שמהם מפרסמים. הוא פועל על המחשב שלכם ומפעיל את חשבונות הפייסבוק שלכם דרך Google Chrome שעל אותו מחשב. את ההתחברות לפייסבוק עושים ב-Chrome, והסיסמה עוברת לפייסבוק ולא ל-Planner. ההתחברויות נשמרות בפרופילים של Chrome על אותו מחשב. הקבוצות, הרשימות, הפוסטים, התמונות, התגובות והנתונים של החשבונות שלכם נשמרים במסד נתונים מקומי על אותו מחשב, ואין לנו אליו גישה ואין לנו עותק שלו.

מה שאתם מפרסמים והתשובות שאתם כותבים עוברים מהמחשב שלכם לפייסבוק, בשם החשבון שלכם, וחלה עליהם המדיניות של Meta. באותה דרך Planner קורא מפייסבוק את התגובות על הפוסטים שלכם, כדי להציג לכם אותן.

מה שהוא שולח אלינו הוא בדיקת תוקף של מפתח הרישיון מול שרת הרישוי — כשהוא נפתח, בפרקי זמן ששרת הרישוי קובע, אחרי שהמחשב מתעורר וכשלוחצים «בדיקה עכשיו» — ובה המפתח עצמו, גיבוב חד-כיווני של מזהה החומרה של המחשב, המוצר שהמפתח שייך לו וכתובת ה-IP של הבקשה. בנוסף, כשהוא נפתח וכל שש שעות, הוא בודק בשרת שלנו אם יש גרסה חדשה של האפליקציה ואם יש כללי דף חדשים, שבעזרתם הוא מתמצא בדפים של פייסבוק. אלה הורדות רגילות, ומהן אנחנו רואים את כתובת ה-IP של הבקשה ולא יותר. שום דבר על חשבונות הפייסבוק, הקבוצות, הפוסטים או התגובות שלכם לא נשלח אלינו, חוץ ממה שאתם בוחרים לשלוח לסביבת עבודה של DutyDesk ש-Planner מחובר אליה: לכל קישור לצ׳אט שהוא יוצר שם, השמות של הפוסט ושל הקבוצה, המבצע שהפוסט שייך אליו, ואם הפעלתם את זה, גם המילים של הפוסט והאם סימנתם שהפריט נמכר; והבקשה או הפוסט שאתם מבקשים מה-AI של סביבת העבודה לכתוב או לתרגם. התגובות על הפוסטים שלכם לא נשלחות אף פעם.

שרת הרישוי שומר על רישיון של Planner את אותם פרטים שהוא שומר על רישיון של DutyDesk Desktop, כמפורט למעלה, וגם לאיזה מוצר הרישיון שייך.

כשאתם פונים אלינו לעזרה, אתם בוחרים מה לשלוח: את הדוח מ«בדיקה» בהגדרות של Planner, או צילום מסך. אנחנו רואים רק את מה שאתם שולחים.

המידע של Planner נמחק כשאתם מוחקים אותו: מסירים את האפליקציה או מוחקים את תיקיית הנתונים שלה, שבה נמצאים גם הפרופילים של Chrome והגיבויים השבועיים. גיבוי ששמרתם במקום אחר נשאר אצלכם, ואתם מוחקים אותו. אנחנו לא יכולים למחוק בשבילכם, כי אין לנו גישה למחשב.

האתר ולוח הבקרה: עוגיות ומדידה

ההעדפות שבחרתם באתר לערכת הצבעים ולנגישות נשמרות בדפדפן שלכם ולא נשלחות אלינו. הגופנים של האתר נטענים מ-Google Fonts, כך ש-Google רואה את הכתובת של הדפדפן שמבקש אותם. כשאתם מתחברים ללוח הבקרה נשמרת עוגייה שמשאירה אתכם מחוברים.

מדידה, רק באישור שלכם. באתר ובלוח הבקרה אנחנו שואלים אם מותר לנו להשתמש ב-Google Analytics, שירות של Google Ireland Limited, כדי לספור ביקורים ולראות באילו עמודים משתמשים, מאיפה מגיעים אלינו (למשל מחיפוש או מקמפיין), וכמה צעדים שחשובים לנו: לחיצה על התחלת תקופת ניסיון, הרשמה, הורדה של DutyDesk Desktop, פנייה אלינו וחיבור ערוץ בלוח הבקרה. עד שתאשרו, שום דבר לא נטען מ-Google Analytics ושום דבר לא נשלח אליו.

אם אישרתם, Google Analytics שומר עוגיות ששמן מתחיל ב-_ga כדי להבחין בין ביקורים, ומקבל את כתובת ה-IP של הדפדפן, את סוג הדפדפן וגודל המסך, ואת העמודים שפתחתם. הוא לא מקבל את השם שלכם, את כתובת המייל או שום דבר מסביבת העבודה ומהשיחות שלכם, ולפני השליחה אנחנו מסירים מכתובות העמודים חלקים שעלולים לזהות אתכם, כמו קישור לאיפוס סיסמה. Google מעבד את המידע בשבילנו לפי תנאי עיבוד הנתונים שלו, ייתכן שמחוץ לישראל, ושומר אותו חודשיים. תכונות הפרסום ו-Google Signals כבויים, ואנחנו לא משתפים את המידע עם Google לצרכים שלו.

הבחירה שלכם נשמרת לשישה חודשים בעוגייה בשם dutydesk_consent, המשותפת לאתר וללוח הבקרה. אפשר לשנות אותה בכל זמן ב«הגדרות עוגיות» בתחתית האתר או בתפריט החשבון בלוח הבקרה. סירוב לא עולה לכם כלום: הכול עובד בדיוק אותו דבר.

שמירה ומחיקה

השיחות, אנשי הקשר וכל השאר נשמרים כל עוד סביבת העבודה קיימת; שום דבר בה לא פג מעצמו, חוץ מתמונות וקבצים שלקוחות שולחים: הם נמחקים 90 יום אחרי שהגיעו, ותוך שבוע נוסף נמחקים סופית גם מהאחסון. סביבת עבודה שתקופת הניסיון או המסלול שלה הסתיימו מושהית, ולא מתרוקנת.

טפסים שלקוחות מילאו והדירוגים שנתנו נשמרים יחד עם איש הקשר שלהם, ומחיקת איש הקשר — או של סביבת העבודה — מוחקת גם אותם. סידור העבודה שומר את אנשי הצוות ואת המשמרות שעברו עד שסביבת העבודה נמחקת, אלא אם מנהל מוחק איש צוות, ואז הוא והמשמרות שכבר היו נמחקים מיד; מי שרק הוצאו מהסידור נשארים בהיסטוריה שלו, עם השם והמספר.

מחיקת סביבת עבודה: הבעלים מוחקים אותה בהגדרות, אחרי שביטלו את המסלול שלה אם יש. כל הערוצים מתנתקים מיד, ומרגע הבקשה מתחיל שעון של 30 יום, שבסופו סביבת העבודה — ההודעות, אנשי הקשר, הכללים והקבצים — נמחקת. שלושים יום ולא מיד, כדי שלחיצה מוטעית ביום שישי תהיה הפיכה. גיבויים שכבר נכתבו נמחקים מעצמם 60 יום אחרי שנוצרו.

את סביבת העבודה הראשונה שחשבון פתח אי אפשר למחוק מלוח הבקרה. כדי למחוק את החשבון יחד איתה, כתבו לנו, ונמחק את שניהם באותו אופן.

הודעות שמגיעות מערוץ נשמרות בתור הטיפול שבעה ימים אחרי שטופלו, או 30 יום אם הטיפול נכשל. רשומות חיוב נשמרות למשך התקופה שהחוק מחייב.

אם אפליקציית המחשב מותקנת אצלכם, הנתונים שלה נמחקים כשאתם מוחקים אותם: הסרת האפליקציה, או מחיקת תיקיית הנתונים שלה. אנחנו לא יכולים לעשות זאת עבורכם, כי אנחנו לא מגיעים אליהם.

הזכויות שלכם

אתם רשאים לבקש לעיין בנתונים שאנחנו מחזיקים עליכם, לתקן אותם או למחוק אותם. כתבו לכתובת שלמטה ונענה.

אם אתם לקוחות של עסק שמשתמש ב-DutyDesk, העסק הוא שמחליט על השיחות שלכם איתו, על הטפסים שמילאתם עבורו ועל הדירוגים שנתתם לו, וכדאי לפנות אליו. אם תפנו אלינו, נעביר את הבקשה לעסק ונעזור לו לענות עליה. כדי להפסיק לקבל ממנו קמפיינים, ענו במילת הסרה, כמו «הסר».

אם אתם חלק מהצוות של עסק שמתכנן את המשמרות ב-DutyDesk, כך גם לגבי הפרטים והמשמרות שלכם: העסק הוא שמחליט עליהם, וכדאי לפנות אליו.

שינויים במסמך

שינוי מהותי יפורסם כאן, ותאריך העדכון שלמעלה ישתנה איתו. שינוי בהרשאות שהשירות מבקש מ-Google ידרוש מכם לאשר אותן מחדש, כך שדבר לא יתרחב בשקט.

יצירת קשר

alphamergers@gmail.com

Where your conversations are, and who can reach them

DutyDesk runs on our servers in Israel. Your customer conversations, your contacts and your rules are with us, and this document says exactly what is kept, for how long, and who it goes to.

Last updated: 2026-10-20 · AlphaMerge

What this covers

This policy covers the DutyDesk service, the DutyDesk Desktop and DutyDesk Planner applications, and this website. The two applications work differently, and each has a section of its own below.

For the conversations, customer records, filled-in forms, ratings and staff roster in a workspace, the business that owns the workspace decides what is collected and why, and we handle that data on its behalf. For the accounts of the people who sign in, for billing and for this website, we decide, and this policy says how.

The service drives a WhatsApp account through an interface that is not the official WhatsApp Business API. That is your decision and your responsibility, and the terms of service describe it.

DutyDesk Cloud: what we hold

Your workspace lives in a database on a server of ours in Google Cloud’s me-west1 region — Tel Aviv — and nowhere else. The database cannot be reached from the internet except through the service itself.

The content of messages sent and received, and the conversations themselves
Contacts and customer records: names, phone numbers, notes, tags, stages, your own fields and appointments — and who asked to be taken off your list, with the word they sent
Forms and what customers filled in on them: the answers, a signature or photos if the form asks for them, and the questions as they were asked
Review requests: when each was sent and opened, whether the Google button was pressed, and the rating and comment if the customer left them
The staff roster: each person’s name, phone number and position, their shifts and answers, and the messages that told them
Payments on appointments: what was marked on each (“Deposit asked” or “Paid”), and if you connected an accounting service (Morning, iCount, Invoice4U or Keep), the amount, the method, the day, and the receipt’s number and link
Rules, flows, campaigns and any files attached to them
The WhatsApp sign-in and every connection token — sealed with AES-256-GCM, under a key that belongs to the workspace alone, before they are written down
Your team: names, email addresses and roles; passwords only as a scrypt hash, and sign-ins only as a hash
Usage and billing counters, and an activity log of who connected, changed or deleted what, and from which IP address

Who can see it

The members of your workspace, each as far as their role allows. On our side, the staff console shows plans, usage and counts — not messages, contacts or conversations. The people who run the servers can reach the database itself, and do so only to fix a fault or to deal with a request of yours.

Text for an AI reply

Sent to Anthropic’s Claude API (or to Google’s Gemini API, if your workspace runs on a Gemini model), on our own keys, only while AI replies are on: the business description you wrote, the services, prices, opening hours and payment link you set, the latest messages of the conversation (five by default), the customer’s name and their upcoming appointments with you. For a customer who came through a chat link that DutyDesk Planner made for one of your posts, and only if you chose to send the post’s words with it: those words, and whether you marked it sold. If the service works out a customer’s language for itself, a short sample of their message also goes to Anthropic’s Claude API. Neither Anthropic nor Google trains models on this data.

When you try the AI yourself

Sent to Anthropic’s Claude API (or to Google’s Gemini API, if your workspace runs on a Gemini model), on our own keys, on any plan, when you ask for it in the AI settings, the rule editor, a form or DutyDesk Planner. With “Ask the bot”: the business description, your opening hours, services and payment link, and the question you typed. With “Write it from my website or files” and “Write it with AI”: the pages of the website and the files you chose, and anything you asked for. When DutyDesk Planner, connected to your workspace, writes or translates a post for you: the business description, your services and opening hours, and what you gave it — the brief, the post or the listing’s details. With “Translate with AI” on a form: the form’s own words — its heading, introduction, questions, notes and choices — and never anything a customer filled in. The answer or the draft is shown only to you and is not sent to anyone. Neither Anthropic nor Google trains models on this data.

Voice notes

Sent to Google’s Gemini API to be turned into text. Transcription is on by default and can be switched off in Settings. The text is kept with the message; the recording itself is not kept with us.

Photos and files customers send

A photo or a file a customer sends in a one-to-one chat on WhatsApp or Telegram — a photo, a PDF, a Word, Excel or text file, up to 16 MB — is kept in a private Google Cloud Storage bucket in the same region, so you can see it in the conversation. It is deleted automatically 90 days after it arrived, together with the name it was sent under, and is gone from our storage within a week after that; the conversation keeps only a note that a photo or a file arrived. It is never sent to an AI model. A location a customer shares is kept as a map link, like any other message. Videos, stickers and view-once photos are not kept.

Forms customers fill in

A form the business sends before a visit, such as a health declaration or an intake form, reaches the customer as a link in the chat and is filled in on a page of ours. A business can also put up a form anybody can open, from a QR code at the counter or a link it shares itself; whoever fills that one in first gives their name and phone number, and the business gets a contact card for them. The business decides what the form asks and why — a health declaration is sensitive information, and asking for it is the business’s decision. The answers, the signature and any photos (kept as images), and the questions as they were asked are kept in the workspace, on the customer’s card; an answer the form says belongs on the card, such as a name, an email address, a phone number or a birthday, is copied there. Agents, admins and the owner of the workspace see them; viewers see only how many were filled in. Members who asked to be told get an email or a Telegram message that a form came in, naming the form and the customer and never the answers. An admin can download them as a CSV, and each download is recorded in the activity log; an admin can also delete one. They are not sent to any AI model, are not shown in our staff console, and are not written to our server logs. A customer’s own link works only once and for 30 days at most, a reminder carries a second link to the same form, and we keep only a hash of each; a form’s open link works until the business turns it off or replaces it.

Review requests

If the business has turned reviews on, a customer gets a link in the chat after a visit, to a page of ours. The page offers everyone the business’s Google review page and, separately, stars and a comment that only the business sees. In the workspace we keep when the request was sent and when the page was opened, whether the Google button was pressed, and the rating and comment if the customer left them. A rating can be changed for 7 days, and the link works for 30. A review written on Google goes to Google, under Google’s terms, and does not come back to us. Agents, admins and the owner see the ratings and comments; viewers see only the totals. They are not sent to any AI model, are not shown in our staff console, and are not written to our server logs. We keep only a hash of the link.

The staff roster

If the business plans its shifts in DutyDesk, it keeps each member of staff’s name, phone number and position, their shifts, and whether they confirmed each one or said they can’t make it. Each person gets their week in a message on WhatsApp or Telegram, with a link to a page of ours that shows only their own shifts, and we record when it was first opened. To send those messages, each person also gets a contact card, tagged Staff. Viewers see the roster without phone numbers; agents also see the numbers; admins and the owner plan it and can copy a person’s link. A link stops working 14 days after the end of its week. The roster is not sent to any AI model and is not shown in our staff console. An admin can delete a member of staff for good: their name, number and the shifts they worked go, and their contact card stays in Contacts, where it can be deleted.

The payment link and receipts

The payment link you set — Bit, PayBox or a payment page — goes to customers as it is, in reminders and answers, and we do not count who opens it. Marking an appointment “Deposit asked” or “Paid” is kept with the appointment, and each change is written in the activity log. On Grow and up you can connect your own account with one accounting service — Morning, iCount, Invoice4U or Keep: the key or token it gives you is sealed under a key that belongs to the workspace alone, and is never shown again. When a receipt is asked for on a paid appointment, that service is sent the customer’s name, their phone number if the card has one and the service takes it, what was paid for, the amount, the method and the day, and it issues the receipt in your account, under its own terms. iCount and Invoice4U file the receipt under a customer in your customer list there, and add one with that name (and, in Invoice4U, the phone number) when there is none. We send the service no email address and ask it to send nothing, so it sends the customer nothing; the receipt’s link goes to the customer in the chat only if whoever asked for the receipt chose that. We keep the amount, the method, the day, and the receipt’s number and link. Agents, admins and the owner see them; they are not sent to any AI model and are not shown in our staff console. Deleting the contact or the appointment deletes them here, and the activity log keeps only the receipt’s number and amount, with no name. The receipt itself, and any customer the service added to your list, stay in your account with that service.

Emails and alerts

Sent from our Google mailbox: team invitations, password resets, a warning when an allowance is running out, and — to team members who chose it — a customer’s request for a person, with the latest messages of that conversation. When the bot books, moves or cancels an appointment, an alert with the customer’s name and the time goes to the owner and admins unless they turn it off, and to agents who turn it on. On Grow and up, a team member who is given a conversation by a colleague is told, with the colleague’s name, the customer’s name and a link to the conversation, unless they turn it off. Members who linked Telegram get the same alerts through our Telegram bot.

Backups

A nightly copy of the database to Google Cloud Storage in the same region, encrypted at rest. Deleted automatically after 60 days.

Payments

Stripe. Card details do not pass through us and are not stored with us. We keep what each month was billed for, and the reference Stripe gives your account.

The channels you connect

The number is linked as a device of your own account, and the session runs on our server. Messages reach us the way they reach WhatsApp Web, and we do not ask WhatsApp for your full chat history.

A bot you create at BotFather, connected with its token. Messages reach us through Telegram’s official Bot API.

Facebook and Instagram

Not available yet. What will apply when they are is set out below.

Your Google data

If you connect a Google Calendar to DutyDesk Cloud, it asks Google for three calendar permissions and no more: permission to see whether a given time is taken (calendar.events.freebusy), permission to read the list of your calendars and nothing else (calendar.calendarlist.readonly), and permission to create, change and cancel events on calendars you own (calendar.events.owned), so that the appointments booked in DutyDesk can appear in your calendar. Alongside those it asks for your account’s email address, so the screen can tell you which account is connected.

We deliberately do not ask for the broad calendar permission, nor for any permission to read your events, and DutyDesk Cloud never reads the contents of your events. It writes to your calendar only if you choose a calendar for appointments, only into that one calendar, and only the events it made itself. The permission to write reaches only calendars you own — not ones other people have shared with you. You can also leave that permission unticked on Google’s screen; the calendar is then read and never written to. DutyDesk Desktop asks for the same permissions but keeps everything on your computer; the next section covers it.

What it is used for

To offer your customers only times when you are genuinely free, on the calendars you chose — up to 50 of them — and, if you choose a calendar for appointments, to put the appointments booked in DutyDesk into it and keep them up to date there.

What is read

The list of your calendars, so you can choose which of them count and which one takes appointments. From the ones that count, a free/busy query only — Google returns blocks of busy time, with no titles, no attendees and no content.

What is written

Only if you choose a calendar for appointments: one event per appointment booked in DutyDesk, on that calendar — the customer’s name as the title (after the appointment’s own title, if it has one), their name and phone number in the description, the start and end time, the event marked as free time, and a private marker linking it to the appointment. When an appointment is moved or cancelled in DutyDesk, its event is changed or deleted. Nothing else on your calendar is created, changed or deleted, and no event is read.

Where it is stored

The OAuth token is stored in our database in the me-west1 region, sealed before it is written down, and cannot be read back out of the dashboard. The busy blocks are kept in your workspace for the days ahead the bot offers times in, and replaced as they change. For each appointment written to Google we keep the calendar and the event’s id, so the event can be changed later.

Who it is shared with

Nobody. It is not transferred to any third party, not used for advertising, not used to train any AI or machine-learning model, and not sold.

How to disconnect

Calendar → Connected calendar, Disconnect: the grant is revoked with Google, and the token and every busy block are deleted from our database. Appointments already written stay in your calendar. To stop writing appointments without disconnecting, choose to keep them in DutyDesk only. You can also remove the app from your Google account’s permissions page.

Your Google data in DutyDesk Desktop

DutyDesk Desktop can put the appointments it books straight into your Google Calendar. If you connect one, the app asks Google for the same three permissions as the cloud: free/busy (calendar.events.freebusy), the list of your calendars (calendar.calendarlist.readonly), and permission to create, change and cancel events on calendars you own (calendar.events.owned). Alongside those it asks for your account’s email address, so the screen can tell you which account is connected.

All of this happens on your computer. The app talks to Google directly: nothing from your calendar passes through our servers or is stored by us, and the token never reaches us.

We deliberately do not ask for the broad calendar permission, nor for permission to read every event on every calendar you can see. The permission to write reaches only calendars you own — not ones other people have shared with you.

What it is used for

To offer your customers only times when you are free, to put the appointment they book — or you book for them — into the calendar you chose, and to change or cancel it there when it changes in the app.

What is written

One event per appointment the app books, on the one calendar you picked for bookings: the customer’s name as the title, their name and phone number in the description, the start and end time, and a private marker that tells the app the event is its own. When the appointment is moved or cancelled in the app, that event is changed or cancelled. Nothing else on your calendar is created, changed or deleted.

What is read

The list of your calendars, so you can choose which one takes bookings and which only count as busy. From those, blocks of busy time with no titles and no content. To keep its appointments in step with your calendar, the app also reads the events on the booking calendar: it keeps the ones it created and discards every other event without storing it.

Where it is stored

On your computer only. The OAuth token is kept in the app’s data folder, encrypted with your operating system’s keychain. The appointments the app booked are kept in its local database with the rest of its data. None of it is sent to us.

Who it is shared with

Nobody. We never receive it. It is not transferred to any third party, not used for advertising, not used to train any AI or machine-learning model, and not sold.

How to disconnect

In the app, Calendar → Connected calendar, Disconnect: the grant is revoked with Google and the token is deleted from your computer. Appointments already booked stay in your calendar. You can also remove the app from your Google account’s permissions page.

Limited Use

DutyDesk's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Your Facebook and Instagram data

Connecting a Facebook Page or an Instagram professional account is not available yet. When it is, this is what will apply.

The service will ask for permission to read the messages your customers send that Page or account and to reply to them, and nothing more. It will not read your posts, your comments, your followers or your insights, it will not fetch your customers’ profiles, and it will never touch your personal profile.

Meta allows a business to reply for 24 hours after a customer writes, and the service will reply automatically only inside that window. It will send no campaigns on Messenger or Instagram.

The access token will be held sealed in our database in the me-west1 region, and the messages in your workspace beside the rest of your conversations. Disconnecting in the dashboard deletes the token on our side and ends access at once. You can also remove DutyDesk in your Facebook account’s Business Integrations settings.

Meta Platform Terms

DutyDesk's use of information received from Meta's APIs will adhere to the Meta Platform Terms and the Messenger Platform policies, including the messaging window described above.

DutyDesk Desktop, the desktop application

DutyDesk Desktop is sold separately from the cloud plans, as a yearly licence for two computers. It runs on your own computer and uses AI keys of your own. Its conversations, contacts, rules and connection details sit in a local database on that computer, which we have no access to and hold no copy of.

What it sends us is a validity check of the product key against the licensing server, every few minutes — the key itself, a one-way hash of the computer’s hardware identifier, and the IP address of the request. When it is activated, and again if the licensing server has no name for the computer or the computer has been renamed, it also sends the computer’s name and operating system, so that the licence’s list of computers can tell them apart. When AI replies are on, the messages to be answered go from your computer to the AI provider whose key you entered, under your own agreement with that provider, and not through us.

The licensing server keeps what it needs to check a licence, and nothing beyond that:

Licence holders

Name, email address, interface language, and whether you asked for product news or tips by email. Every such email carries a link that stops them.

Licence

The product key, the plan, its expiry date and its seat count.

Activations

A hashed machine identifier per seat, so that seats can be counted. It is a one-way hash: your computer cannot be recovered from it, and it does not identify you outside the context of your licence. Beside it, the computer’s name and operating system as the app reports them, which only the licence’s owner and we see.

Activity log

Issue, activation, seat release, renewal and revocation — for support and accounting.

DutyDesk Planner, the Facebook group poster

DutyDesk Planner is sold separately, as a monthly licence for two computers, priced by the Facebook accounts you post from. It runs on your own computer and works your Facebook accounts through Google Chrome on that computer. You sign in to Facebook in Chrome, and your password goes to Facebook, never to Planner. The sign-ins stay in Chrome profiles on that computer. Your accounts’ groups, lists, posts, images, comments and statistics sit in a local database there, which we have no access to and hold no copy of.

What you post, and the replies you write, go from your computer to Facebook under your own account, and Meta’s own policies apply to them. Planner reads the comments on your posts from Facebook in the same way, to show them to you.

What it sends us is a validity check of the licence key against the licensing server — when it starts, at intervals the licensing server sets, after the computer wakes and when you press “Check now” — carrying the key itself, a one-way hash of the computer’s hardware identifier, which product the key is for, and the IP address of the request. At start-up and every six hours it also asks our server whether there is a newer version of the application, and newer page rules, which it uses to find its way around Facebook’s pages. Those are ordinary downloads, and they tell us the IP address of the request and nothing more. Nothing about your Facebook accounts, groups, posts or comments is sent to us, except what you choose to send to a DutyDesk workspace you connect Planner to: for each chat link it makes there, the names of the post and the group it is for, the promotion the post belongs to, and, if you turn it on, the post’s words and whether you marked it sold; and the brief or post you ask the workspace’s AI to write or translate. Comments on your posts are never sent.

The licensing server keeps the same records for a Planner licence as for a DutyDesk Desktop licence, listed above, and which product the licence is for.

When you ask us for help, you choose what to send: the report from “Check-up” in Planner’s settings, or a screenshot. We see only what you send.

Planner’s data is deleted when you delete it: uninstall it, or remove its data folder, which also holds its Chrome profiles and its weekly backups. A backup you saved somewhere else stays with you, and is yours to delete. We cannot do it for you, because we cannot reach the computer.

This website and the dashboard: cookies and analytics

The theme and accessibility choices you make on the website are kept in your own browser and never sent to us. The website’s fonts come from Google Fonts, so Google sees the address of the browser that asks for them. Signing in to the dashboard sets a cookie that keeps you signed in.

Analytics, only if you agree. On the website and in the dashboard we ask whether we may use Google Analytics, a service of Google Ireland Limited, to count visits and see which pages are used, where visitors arrive from (a search or a campaign, for example) and a few steps that matter to us: clicking to start a trial, registering, downloading DutyDesk Desktop, getting in touch, and connecting a channel in the dashboard. Until you agree, nothing is loaded from Google Analytics and nothing is sent to it.

If you agree, Google Analytics sets cookies whose names begin with _ga to tell visits apart, and receives your browser’s IP address, its type and screen size, and the pages you open. It does not receive your name, your email address or anything from your workspace or your conversations, and before anything is sent we strip the parts of a page address that could identify you, such as a password-reset link. Google processes this data for us under its data processing terms, possibly outside Israel, and keeps it for two months. Advertising features and Google signals are off, and we do not share the data with Google for its own purposes.

Your answer is kept for six months in a cookie named dutydesk_consent, shared by the website and the dashboard. Change it any time with “Cookie settings” at the foot of the website or in the dashboard’s account menu. Saying no costs you nothing: everything works exactly the same.

Retention and deletion

Conversations, contacts and everything else in a workspace are kept for as long as the workspace exists; nothing in it expires on its own, except the photos and files customers send, which are deleted 90 days after they arrived and are gone from our storage within a week after that. A workspace whose trial or plan has ended is paused, not emptied.

Forms customers filled in, and the ratings they gave, are kept with their contact, and deleting the contact — or the workspace — deletes them too. The roster keeps its staff and their past shifts until the workspace is deleted, unless an admin deletes a member of staff, which removes them and the shifts they worked at once; someone only taken off the roster stays in its history, with their name and number.

Deleting a workspace: the owner deletes it in Settings, once any plan on it is cancelled. Every channel is disconnected at once, and asking starts a thirty-day clock, at the end of which the workspace — the messages, the contacts, the rules and the files — is erased. Thirty days rather than at once, so that a misread dialog on a Friday is recoverable. Backups already written delete themselves sixty days after they were made.

The first workspace an account opened cannot be deleted from the dashboard. To delete your account together with it, write to us, and we will delete both the same way.

Messages arriving from a channel are held in the processing queue for seven days after they are handled, or thirty if handling failed. Billing records are kept for as long as the law requires them to be kept.

If you use the desktop application, its data is deleted when you delete it: uninstall it, or remove its data folder. We cannot do it for you, because we cannot reach it.

Your rights

You may ask to see the data we hold about you, to correct it, or to have it deleted. Write to the address below and we will answer.

If you are a customer of a business that uses DutyDesk, that business decides about your conversations with it, the forms you filled in for it and the ratings you gave it, and your request is best sent to it. If you write to us instead, we will pass it on to the business and help it answer. To stop its campaigns reaching you, reply with a stop word, such as STOP.

If you work for a business that plans its shifts in DutyDesk, the same goes for your details and your shifts: the business decides about them, and your request is best sent to it.

Changes to this policy

A material change will be published here and the date above will change with it. A change to the Google permissions the service asks for requires you to grant them again, so nothing can widen quietly.

Contact

alphamergers@gmail.com