Політика конфіденційності

Де лежать ваші розмови й хто може до них дістатися

DutyDesk працює на наших серверах в Ізраїлі. Розмови з вашими клієнтами, контакти й правила зберігаються в нас, і цей документ точно каже, що зберігається, як довго і кому передається.

Оновлено: 2026-10-20 · AlphaMerge

Це переклад для вашої зручності. Обовʼязковою є версія івритом, і в разі розбіжностей діє саме вона.

Що охоплює цей документ

Документ охоплює сервіс DutyDesk, програми DutyDesk Desktop і DutyDesk Planner і цей сайт. Обидві програми влаштовані інакше, і кожній присвячено окремий розділ нижче.

Щодо розмов, записів про клієнтів, заповнених форм, оцінок і графіка змін у робочому просторі рішення ухвалює бізнес, якому належить цей простір: він визначає, що збирати і навіщо, а ми обробляємо ці дані від його імені. Щодо облікових записів тих, хто входить у панель керування, щодо оплати й щодо цього сайту рішення ухвалюємо ми, і цей документ описує, як саме.

Сервіс керує акаунтом WhatsApp через інтерфейс, який не є офіційним WhatsApp Business API. Це ваше рішення і ваша відповідальність, і його описано в умовах використання.

DutyDesk Cloud: що зберігаємо ми

Ваш робочий простір міститься в базі даних на нашому сервері в регіоні me-west1 Google Cloud — Тель-Авів — і більше ніде. До бази даних неможливо дістатися з інтернету інакше, ніж через сам сервіс.

Вміст надісланих і отриманих повідомлень та самі розмови
Контакти та картки клієнтів: імена, номери телефонів, нотатки, мітки, етапи, ваші власні поля та записи — а також хто попросив вилучити його зі списку і яким словом
Форми й те, що клієнти в них заповнили: відповіді, підпис або фото, якщо форма їх просить, і запитання в тому вигляді, у якому їх поставили
Прохання про відгук: коли кожне надіслано й відкрито, чи натиснуто кнопку Google, а також оцінка й коментар, якщо клієнт їх залишив
Графік змін: ім’я, номер телефону й посада кожного в команді, його зміни та відповіді, а також повідомлення, які йому надіслано
Оплата записів: що позначено для кожного запису («Запитано аванс» чи «Оплачено»), а якщо ви підключили бухгалтерський сервіс (Morning, iCount, Invoice4U або Keep) — сума, спосіб і дата оплати, номер квитанції й посилання на неї
Правила, сценарії, кампанії та долучені до них файли
Вхід у WhatsApp і кожен токен підключення — зашифровані AES-256-GCM ключем, що належить лише цьому робочому простору, ще до запису в базу
Команда: імена, адреси електронної пошти й ролі; паролі зберігаються лише як хеш scrypt, а сесії входу — лише як хеш
Лічильники використання й оплати, а також журнал дій: хто що підключив, змінив чи видалив і з якої IP-адреси

Хто це бачить

Учасники вашого робочого простору — кожен у межах прав своєї ролі. З нашого боку консоль для працівників показує тарифи, використання й цифри — не повідомлення, не контакти й не розмови. Ті, хто обслуговує сервери, можуть дістатися до самої бази даних і роблять це лише для того, щоб усунути збій або опрацювати ваше звернення.

Текст для відповіді AI

Надсилається до Claude API від Anthropic (або до Gemini API від Google, якщо ваш робочий простір працює на моделі Gemini), на наших ключах, лише коли ввімкнено відповіді AI: опис бізнесу, який ви написали, послуги, ціни, години роботи й посилання на оплату, які ви вказали, останні повідомлення розмови (за замовчуванням п’ять), ім’я клієнта та його найближчі записи до вас. Для клієнта, який прийшов через чат-посилання, створене DutyDesk Planner для одного з ваших дописів, і лише якщо ви вирішили надсилати разом із ним текст допису: цей текст і те, чи позначили ви товар як проданий. Якщо сервіс сам визначає мову клієнта, до Claude API від Anthropic надсилається й короткий уривок його повідомлення. Ні Anthropic, ні Google не навчають моделі на цих даних.

Коли ви самі пробуєте AI

Надсилається до Claude API від Anthropic (або до Gemini API від Google, якщо ваш робочий простір працює на моделі Gemini), на наших ключах, на будь-якому тарифі, коли ви просите про це в налаштуваннях AI, у редакторі правил, у формі або в DutyDesk Planner. У «Запитати бота» — опис бізнесу, ваші години роботи, послуги й посилання на оплату та запитання, яке ви ввели. У «Написати за сайтом або файлами» та «Написати за допомогою AI» — сторінки сайту й файли, які ви вибрали, і те, про що ви попросили. Коли DutyDesk Planner, підключений до вашого робочого простору, пише або перекладає для вас допис, — опис бізнесу, ваші послуги й години роботи та те, що ви йому дали: завдання, допис або дані оголошення. У «Перекласти з AI» у формі — власні слова форми: заголовок, вступ, запитання, підказки й варіанти, але ніколи не те, що заповнили клієнти. Відповідь або чернетку бачите лише ви, і нікому її не надсилають. Ні Anthropic, ні Google не навчають моделі на цих даних.

Голосові повідомлення

Надсилаються до Gemini API від Google, щоб перетворитися на текст. Розшифрування ввімкнене за замовчуванням, і його можна вимкнути в розділі «Налаштування». Текст зберігається разом із повідомленням; сам запис у нас не зберігається.

Фото й файли від клієнтів

Фото або файл, які клієнт надсилає в особистій розмові у WhatsApp чи Telegram, — фото, PDF, файл Word, Excel або текстовий файл до 16 МБ — зберігаються в закритому сховищі Google Cloud Storage в тому самому регіоні, щоб ви бачили їх у розмові. Вони автоматично видаляються через 90 днів після надходження разом з назвою файлу, а впродовж тижня після цього зникають і з нашого сховища; у розмові лишається тільки позначка, що надійшло фото або файл. Вони ніколи не передаються моделі AI. Геопозиція, якою ділиться клієнт, зберігається як посилання на мапу, як будь-яке інше повідомлення. Відео, стікери й фото для одноразового перегляду не зберігаються.

Форми, які заповнюють клієнти

Форма, яку бізнес надсилає перед візитом, наприклад анкета про здоров’я або анкета клієнта, надходить клієнтові посиланням у розмові й заповнюється на нашій сторінці. Бізнес може також відкрити форму для всіх — за QR-кодом біля стійки або за посиланням, яким він ділиться сам; той, хто її заповнює, спершу вказує ім’я та номер телефону, і в бізнесу з’являється його картка. Що питає форма і навіщо, вирішує бізнес: анкета про здоров’я — це чутливі дані, і рішення їх запитувати ухвалює бізнес. Відповіді, підпис і фото (зберігаються як зображення) і запитання в тому вигляді, у якому їх поставили, зберігаються в робочому просторі, у картці клієнта; відповідь, яка за налаштуванням форми належить до картки, — ім’я, адреса ел. пошти, номер телефону чи день народження — копіюється до неї. Їх бачать оператори, адміністратори й власник робочого простору; спостерігачі бачать лише, скільки форм заповнено. Учасники, які попросили про сповіщення, отримують лист або повідомлення в Telegram про нову заповнену форму — з назвою форми та ім’ям клієнта, але без відповідей. Адміністратор може завантажити їх у CSV, і кожне завантаження записується в журнал дій; адміністратор може й видалити заповнену форму. Вони не передаються жодній моделі AI, не показуються в нашій панелі для персоналу й не записуються в журнали наших серверів. Особисте посилання клієнта спрацьовує лише один раз і не довше 30 днів, нагадування приносить друге посилання на ту саму форму, і від кожного в нас зберігається тільки хеш; відкрите посилання форми працює, доки бізнес його не вимкне або не замінить.

Прохання про відгук

Якщо бізнес увімкнув відгуки, після візиту клієнт отримує в розмові посилання на нашу сторінку. Сторінка пропонує всім сторінку відгуків бізнесу в Google, а окремо — зірки й коментар, які бачить лише бізнес. У робочому просторі зберігається, коли прохання надіслано й коли відкрито сторінку, чи натиснуто кнопку Google, а також оцінка й коментар, якщо клієнт їх залишив. Оцінку можна змінити впродовж 7 днів, а посилання працює 30 днів. Відгук, написаний у Google, потрапляє до Google за його умовами й до нас не повертається. Оцінки й коментарі бачать оператори, адміністратори й власник; спостерігачі бачать лише підсумки. Вони не передаються жодній моделі AI, не показуються в нашій панелі для персоналу й не записуються в журнали наших серверів. Від посилання в нас зберігається тільки хеш.

Графік змін

Якщо бізнес планує зміни в DutyDesk, зберігаються ім’я, номер телефону й посада кожного в команді, його зміни та те, чи підтверджено кожну з них або позначено, що вийти не вийде. Кожен отримує свій тиждень повідомленням у WhatsApp або Telegram з посиланням на нашу сторінку, де видно лише його власні зміни, і ми фіксуємо, коли сторінку вперше відкрили. Щоб надсилати ці повідомлення, для кожного в команді також створюється картка контакту з міткою Staff. Спостерігачі бачать графік без номерів телефонів; оператори бачать і номери; адміністратори й власник складають графік і можуть скопіювати посилання людини. Посилання перестає працювати через 14 днів після кінця його тижня. Графік не передається жодній моделі AI й не показується в нашій панелі для персоналу. Адміністратор може видалити працівника назавжди: ім’я, номер і відпрацьовані зміни видаляються, а картка контакту залишається в «Контактах», де її можна видалити.

Посилання на оплату й квитанції

Посилання на оплату, яке ви вказали, — Bit, PayBox або сторінка оплати — надходить клієнтам як є, у нагадуваннях і відповідях, і ми не рахуємо, хто за ним переходить. Позначка «Запитано аванс» чи «Оплачено» зберігається разом із записом, і кожна зміна потрапляє до журналу дій. На тарифі Grow і вище можна підключити свій акаунт в одному бухгалтерському сервісі — Morning, iCount, Invoice4U або Keep: ключ чи токен, який він вам видає, шифрується ключем, що належить лише цьому робочому простору, і більше не показується. Коли за оплаченим записом запитують квитанцію, до цього сервісу надсилаються ім’я клієнта, його номер телефону, якщо він є в картці й сервіс його приймає, за що сплачено, сума, спосіб і дата оплати, і сервіс оформлює квитанцію у вашому акаунті за своїми умовами. В iCount та Invoice4U квитанцію оформлюють на клієнта з вашого списку клієнтів там, а якщо такого немає, туди додається клієнт із цим ім’ям (в Invoice4U — і з номером телефону). Адреси електронної пошти ми сервісу не передаємо й просимо нічого не надсилати, тож він нічого клієнту не надсилає; посилання на квитанцію йде клієнту в чат, лише якщо так вирішив той, хто її запитав. У нас зберігаються сума, спосіб і дата оплати, номер квитанції й посилання на неї. Їх бачать оператори, адміністратори й власник; вони не надсилаються до жодної моделі AI і не показуються в нашій консолі для наших працівників. Видалення контакту або запису видаляє їх у нас, а в журналі дій залишаються лише номер квитанції та сума, без імені. Сама квитанція та клієнти, яких сервіс додав до вашого списку, залишаються у вашому акаунті в цьому сервісі.

Листи та сповіщення

Надсилаються з нашої поштової скриньки в Google: запрошення до команди, скидання пароля, попередження, коли квота добігає кінця, а учасникам команди, які це обрали, — ще й запит клієнта поговорити з оператором разом з останніми повідомленнями розмови. Коли бот призначає, переносить або скасовує запис, сповіщення з ім’ям клієнта й часом отримують власник і адміністратори, якщо не вимкнули його, та оператори, які його увімкнули. На тарифі Grow і вище учасник команди, якому колега призначив розмову, отримує сповіщення з ім’ям колеги, ім’ям клієнта й посиланням на розмову, якщо не вимкнув його. Хто підключив Telegram, отримує ті самі сповіщення через нашого бота в Telegram.

Резервні копії

Нічна копія бази даних у Google Cloud Storage, у тому самому регіоні, зашифрована під час зберігання. Видаляється автоматично через 60 днів.

Платежі

Stripe. Дані картки через нас не проходять і в нас не зберігаються. Ми зберігаємо, за що стягувалася оплата кожного місяця, та ідентифікатор, який Stripe присвоює вашому обліковому запису.

Канали, які ви підключаєте

Номер прив’язується як пристрій вашого власного акаунта, а сесія працює на нашому сервері. Повідомлення надходять до нас так само, як до WhatsApp Web, і ми не запитуємо у WhatsApp усю історію ваших чатів.

Бот, якого ви створюєте в BotFather і підключаєте за його токеном. Повідомлення надходять до нас через офіційний Bot API Telegram.

Facebook та Instagram

Поки недоступні. Що діятиме, коли вони з’являться, описано нижче.

Ваші дані Google

Якщо ви підключили Google Календар до DutyDesk Cloud, сервіс запитує в Google три дозволи для календаря й не більше: бачити, чи зайнятий певний час (calendar.events.freebusy), читати лише перелік ваших календарів (calendar.calendarlist.readonly) і створювати, змінювати й скасовувати події в календарях, власником яких ви є (calendar.events.owned), щоб записи, зроблені в DutyDesk, з’являлися у вашому календарі. Разом із ними він запитує адресу електронної пошти акаунта, щоб екран міг показати, який акаунт підключено.

Ми не запитуємо ні широкого дозволу на календар, ні жодного дозволу читати ваші події, і вміст ваших подій ніколи не читається. Сервіс записує в календар, лише якщо ви обрали календар для записів, лише в цей один календар і лише події, які створив він сам. Дозвіл на запис діє лише для ваших власних календарів — не для тих, якими з вами поділилися інші. Цей дозвіл можна залишити непозначеним на екрані Google: тоді календар лише читається, і в нього нічого не записується. Програма для комп’ютера DutyDesk Desktop запитує ті самі дозволи, але зберігає все на вашому комп’ютері — про це в наступному розділі.

Для чого це потрібно

Щоб пропонувати клієнтам лише той час, коли ви справді вільні, за календарями, які ви обрали, — до 50, — а якщо ви обрали календар для записів, вносити в нього записи, зроблені в DutyDesk, і підтримувати їх там в актуальному стані.

Що читається

Перелік ваших календарів, щоб ви могли обрати, які з них враховувати і який приймає записи. З календарів, що враховуються, — лише перевірка «вільно/зайнято»: Google повертає зайняті проміжки часу, без назв, без учасників і без вмісту.

Що записується

Лише якщо ви обрали календар для записів: одна подія на кожен запис, зроблений у DutyDesk, у цьому календарі — ім’я клієнта в назві (після назви запису, якщо вона є), його ім’я та номер телефону в описі, час початку й завершення, позначка події як вільного часу і прихована позначка, що пов’язує її із записом. Коли запис переноситься чи скасовується в DutyDesk, подія змінюється або видаляється. Більше нічого у вашому календарі не створюється, не змінюється й не видаляється, і жодна подія не читається.

Де це зберігається

Токен зберігається в нашій базі даних у регіоні me-west1, зашифрований перед записом, і прочитати його назад із панелі керування не можна. Зайняті проміжки зберігаються у вашому робочому просторі на ті дні, на які бот пропонує записи, і оновлюються, коли змінюються. Для кожного запису, внесеного в Google, ми зберігаємо календар та ідентифікатор події, щоб її можна було змінити.

З ким цим діляться

Ні з ким. Не передається третім особам, не використовується для реклами чи для навчання жодних моделей AI або машинного навчання і не продається.

Як відключити

«Календар» → «Підключений календар», кнопка «Відключити»: дозвіл відкликається в Google, а токен і всі зайняті проміжки видаляються з нашої бази. Уже внесені записи залишаються у вашому календарі. Щоб перестати вносити записи, не відключаючи календар, оберіть зберігання записів лише в DutyDesk. Дозвіл можна також прибрати безпосередньо на сторінці дозволів акаунта Google.

Ваші дані Google у програмі для комп’ютера

Програма для комп’ютера DutyDesk Desktop може вносити записи клієнтів просто у ваш Google Календар. Якщо ви підключили календар, вона запитує в Google ті самі три дозволи, що й хмара: перевірку «вільно/зайнято» (calendar.events.freebusy), перелік календарів (calendar.calendarlist.readonly) і право створювати, змінювати й скасовувати події в календарях, власником яких ви є (calendar.events.owned). Разом із ними вона запитує адресу електронної пошти акаунта, щоб екран міг показати, який акаунт підключено.

Усе це відбувається на вашому комп’ютері. Програма звертається до Google напряму: нічого з вашого календаря не проходить через наші сервери й не зберігається в нас, і копії токена в нас немає.

Ми не запитуємо ні широкого дозволу на календар, ні дозволу читати всі події в усіх календарях, які ви бачите. Дозвіл на запис діє лише для ваших власних календарів — не для тих, якими з вами поділилися інші.

Для чого це потрібно

Щоб пропонувати клієнтам лише той час, коли ви вільні, вносити в обраний календар запис, який зробили вони або ви за них, і змінювати чи скасовувати його там, коли він змінюється в програмі.

Що записується

Одна подія на кожен запис, який робить програма, в одному календарі, обраному для записів: ім’я клієнта в заголовку, його ім’я та номер телефону в описі, час початку й завершення та прихована позначка, за якою програма впізнає свою подію. Коли запис переноситься чи скасовується в програмі, подія змінюється чи скасовується. Більше нічого у вашому календарі не створюється, не змінюється й не видаляється.

Що читається

Перелік ваших календарів — щоб ви могли обрати, який приймає записи, а які лише враховуються як зайняті. З них — зайняті проміжки без заголовків і без вмісту. Щоб записи в програмі збігалися з календарем, вона читає й події календаря для записів: свої зберігає, а всі інші відкидає, не зберігаючи.

Де це зберігається

Лише на вашому комп’ютері. Токен зберігається в теці даних програми, зашифрований за допомогою сховища ключів операційної системи. Записи, зроблені програмою, зберігаються в її локальній базі даних разом з іншими даними. Нічого з цього нам не надсилається.

З ким цим діляться

Ні з ким. Ми цих даних узагалі не отримуємо. Вони не передаються третім особам, не використовуються для реклами чи для навчання жодних моделей AI або машинного навчання і не продаються.

Як відключити

У програмі: «Календар» → «Підключений календар», кнопка «Відключити»: дозвіл відкликається в Google, а токен видаляється з комп’ютера. Уже зроблені записи залишаються у вашому календарі. Дозвіл можна також прибрати безпосередньо на сторінці дозволів акаунта Google.

Обмежене використання

Використання DutyDesk інформації, отриманої через інтерфейси Google, і будь-яка її передача іншому застосунку підпорядковуються Google API Services User Data Policy, включно з вимогами обмеженого використання (Limited Use).

Ваші дані Facebook та Instagram

Підключення сторінки Facebook або професійного акаунта Instagram поки недоступне. Коли воно з’явиться, діятиме ось що.

Сервіс проситиме дозвіл читати повідомлення, які клієнти надсилають сторінці чи акаунту, і відповідати на них — і нічого більше. Він не читатиме ваші дописи, коментарі, підписників чи статистику, не завантажуватиме профілі ваших клієнтів і ніколи не торкатиметься вашого особистого профілю.

Meta дозволяє бізнесу відповідати протягом 24 годин після того, як клієнт написав, і сервіс відповідатиме автоматично лише в межах цього вікна. Кампаній у Messenger чи Instagram він не надсилатиме.

Токен доступу зберігатиметься зашифрованим у нашій базі даних у регіоні me-west1, а повідомлення — у вашому робочому просторі поруч з рештою ваших розмов. Відключення в панелі керування видаляє токен на нашому боці й одразу припиняє доступ. Можна також прибрати DutyDesk у налаштуваннях «Бізнес-інтеграції» вашого акаунта Facebook.

Умови платформи Meta

Використання DutyDesk інформації, яку буде отримано з API Meta, відповідатиме Умовам платформи Meta та політикам Messenger Platform, включно з описаним вище вікном для повідомлень.

DutyDesk Desktop — програма для комп’ютера

DutyDesk Desktop продається окремо від хмарних тарифів — як річна ліцензія на два комп’ютери. Програма працює на вашому комп’ютері й використовує ваші власні ключі AI. Її розмови, контакти, правила й дані підключень лежать у локальній базі даних на тому самому комп’ютері, до якої ми не маємо доступу і копії якої в нас немає.

Нам вона надсилає перевірку чинності ключа продукту на сервері ліцензій, раз на кілька хвилин: сам ключ, односторонній хеш апаратного ідентифікатора комп’ютера та IP-адресу запиту. Під час активації, а також якщо серверу ліцензій ще не відома назва комп’ютера або комп’ютер перейменували, вона надсилає й назву комп’ютера з його операційною системою, щоб у списку комп’ютерів ліцензії їх можна було розрізнити. Коли AI-відповіді ввімкнено, повідомлення, на які треба відповісти, ідуть із вашого комп’ютера напряму до провайдера AI, чий ключ ви ввели, за вашою власною угодою з ним, а не через нас.

Сервер ліцензій зберігає те, що потрібно для перевірки ліцензії, і нічого понад це:

Власники ліцензій

Ім’я, адреса електронної пошти, мова інтерфейсу і те, чи просили ви надсилати вам поштою новини продукту або поради. У кожному такому листі є посилання, щоб від них відписатися.

Ліцензія

Ключ продукту, тариф, дата завершення та кількість комп’ютерів.

Активації

Хешований ідентифікатор машини для кожного комп’ютера, щоб їх можна було порахувати. Це односторонній хеш: відновити за ним комп’ютер неможливо, і поза контекстом ліцензії він вас не ідентифікує. Поруч із ним зберігаються назва комп’ютера та його операційна система, як їх повідомляє програма; бачать їх лише власник ліцензії та ми.

Журнал дій

Видача, активація, звільнення комп’ютера, продовження та відкликання — для підтримки й бухгалтерії.

DutyDesk Planner — публікації в групах Facebook

DutyDesk Planner продається окремо, за місячною ліцензією на два комп’ютери, ціна якої залежить від акаунтів Facebook, з яких ви публікуєте. Він працює на вашому комп’ютері й керує вашими акаунтами Facebook через Google Chrome на цьому комп’ютері. Вхід у Facebook виконується в Chrome, і пароль передається Facebook, а не Planner. Входи зберігаються в профілях Chrome на цьому комп’ютері. Групи, списки, дописи, зображення, коментарі й статистика ваших акаунтів зберігаються в локальній базі даних на цьому комп’ютері, до якої ми не маємо доступу й копії якої в нас немає.

Те, що ви публікуєте, і відповіді, які ви пишете, надходять із вашого комп’ютера до Facebook від імені вашого акаунта, і на них поширюються правила Meta. Тим самим шляхом Planner читає з Facebook коментарі до ваших дописів, щоб показати їх вам.

Нам він надсилає перевірку чинності ліцензійного ключа на сервері ліцензій — під час запуску, з інтервалом, який задає сервер ліцензій, після виходу комп’ютера зі сну і коли ви натискаєте «Перевірити зараз», — у якій є сам ключ, односторонній хеш апаратного ідентифікатора комп’ютера, продукт, до якого належить ключ, і IP-адреса запиту. Крім того, під час запуску й кожні шість годин він запитує наш сервер, чи немає нової версії програми й нових правил сторінок, за якими він орієнтується на сторінках Facebook. Це звичайні завантаження, і з них ми бачимо IP-адресу запиту й нічого більше. Нічого про ваші акаунти Facebook, групи, дописи чи коментарі нам не надсилається, крім того, що ви самі вирішуєте надіслати до робочого простору DutyDesk, до якого підключили Planner: для кожного чат-посилання, яке він там створює, — назви допису й групи, акцію, до якої належить допис, а якщо ви це ввімкнули, ще текст допису й позначку про те, що товар продано; і завдання або допис, які ви просите AI робочого простору написати чи перекласти. Коментарі до ваших дописів не надсилаються ніколи.

Сервер ліцензій зберігає про ліцензію Planner ті самі дані, що й про ліцензію DutyDesk Desktop, перелічені вище, а також те, до якого продукту належить ліцензія.

Коли ви звертаєтеся до нас по допомогу, ви самі вибираєте, що надіслати: звіт із розділу «Перевірка» в налаштуваннях Planner або знімок екрана. Ми бачимо лише те, що ви надіслали.

Дані Planner видаляються, коли їх видаляєте ви: видаліть програму або її теку з даними, у якій зберігаються і профілі Chrome, і щотижневі резервні копії. Резервна копія, яку ви зберегли в іншому місці, залишається у вас, і видаляєте її ви. Ми не можемо зробити це за вас, бо не маємо доступу до комп’ютера.

Цей сайт і панель керування: файли cookie та аналітика

Обрані вами на сайті налаштування теми оформлення та доступності зберігаються у вашому браузері й нам не надсилаються. Шрифти сайту завантажуються з Google Fonts, тож Google бачить адресу браузера, який їх запитує. Коли ви входите в панель керування, встановлюється файл cookie, що зберігає ваш вхід.

Аналітика — лише з вашої згоди. На сайті й у панелі керування ми питаємо, чи можна нам використовувати Google Analytics — сервіс Google Ireland Limited, — щоб рахувати відвідування й бачити, якими сторінками користуються, звідки приходять відвідувачі (наприклад, із пошуку чи рекламної кампанії) і кілька важливих для нас кроків: натискання кнопки початку пробного періоду, реєстрацію, завантаження DutyDesk Desktop, звернення до нас і підключення каналу в панелі керування. Доки ви не погодитеся, з Google Analytics нічого не завантажується і йому нічого не надсилається.

Якщо ви погодитеся, Google Analytics зберігає файли cookie, назви яких починаються з _ga, щоб розрізняти відвідування, і отримує IP-адресу браузера, його тип і розмір екрана, а також сторінки, які ви відкрили. Він не отримує вашого імені, адреси електронної пошти й нічого з вашого робочого простору та розмов, а частини адрес сторінок, за якими вас можна впізнати, наприклад посилання для скидання пароля, ми видаляємо до надсилання. Google обробляє ці дані для нас за своїми умовами обробки даних, можливо, за межами Ізраїлю, і зберігає їх два місяці. Рекламні функції та Google Signals вимкнені, і ми не передаємо дані Google для його власних цілей.

Ваш вибір зберігається шість місяців у файлі cookie dutydesk_consent, спільному для сайту й панелі керування. Змінити його можна будь-коли: «Налаштування cookie» внизу сайту або меню облікового запису в панелі керування. Відмова нічого вам не коштує: усе працює так само.

Зберігання та видалення

Розмови, контакти й усе інше зберігаються, доки існує робочий простір; ніщо в ньому не зникає само собою, крім фото й файлів від клієнтів: вони видаляються через 90 днів після надходження, а впродовж тижня після цього зникають і зі сховища. Робочий простір, у якого закінчився пробний період або тариф, призупиняється, а не спорожнюється.

Форми, які заповнив клієнт, і його оцінки зберігаються разом із його контактом, і видалення контакту — або робочого простору — видаляє і їх. Графік змін зберігає людей з команди та їхні минулі зміни, доки існує робочий простір, хіба що адміністратор видалить працівника — тоді його й відпрацьовані ним зміни видаляють одразу; той, кого лише прибрали з графіка, лишається в його історії зі своїм ім’ям і номером.

Видалення робочого простору: власник видаляє його в розділі «Налаштування», попередньо скасувавши його тариф, якщо він є. Усі канали відключаються одразу, а з моменту запиту починається 30-денний відлік, після якого робочий простір — повідомлення, контакти, правила й файли — стирається. Тридцять днів, а не одразу, щоб помилкове натискання в п’ятницю можна було скасувати. Уже записані резервні копії видаляються самі через 60 днів після створення.

Перший робочий простір, який відкрив обліковий запис, видалити з панелі керування не можна. Щоб видалити обліковий запис разом із ним, напишіть нам, і ми видалимо обидва так само.

Повідомлення, що надходять із каналу, зберігаються в черзі обробки сім днів після обробки, або 30 днів, якщо обробка не вдалася. Записи про оплату зберігаються стільки, скільки вимагає закон.

Якщо ви користуєтеся настільною програмою, її дані видаляються тоді, коли їх видаляєте ви: видаліть програму або її теку з даними. Ми не можемо зробити це за вас, бо не маємо до них доступу.

Ваші права

Ви маєте право попросити доступ до даних, які ми про вас зберігаємо, їх виправлення або видалення. Напишіть на адресу нижче, і ми відповімо.

Якщо ви клієнт бізнесу, який користується DutyDesk, рішення щодо ваших розмов з ним, заповнених для нього форм і поставлених йому оцінок ухвалює цей бізнес, тож краще звернутися до нього. Якщо ви напишете нам, ми передамо запит бізнесу й допоможемо йому відповісти. Щоб більше не отримувати від нього кампаній, дайте відповідь стоп-словом, наприклад STOP або «відписатися».

Якщо ви працюєте в бізнесі, який планує зміни в DutyDesk, те саме стосується ваших даних і змін: рішення щодо них ухвалює бізнес, тож краще звернутися до нього.

Зміни в документі

Суттєву зміну буде опубліковано тут, і дата оновлення вгорі зміниться разом із нею. Зміна дозволів, які сервіс запитує в Google, вимагатиме від вас надати їх заново, тож ніщо не розшириться непомітно.

Контакти

alphamergers@gmail.com

מדיניות פרטיות

איפה השיחות שלכם נמצאות, ומי יכול להגיע אליהן

DutyDesk רץ על השרתים שלנו בישראל. השיחות עם הלקוחות שלכם, אנשי הקשר והכללים נמצאים אצלנו, והמסמך הזה אומר בדיוק מה נשמר, לכמה זמן, ולמי זה מועבר.

עודכן לאחרונה: 2026-10-20 · AlphaMerge

מה המסמך הזה מכסה

המסמך מכסה את שירות DutyDesk, את האפליקציות DutyDesk Desktop ו-DutyDesk Planner ואת האתר הזה. שתי האפליקציות פועלות אחרת, ולכל אחת מהן יש פרק משלה בהמשך.

על השיחות, רשומות הלקוחות, הטפסים שמולאו, הדירוגים וסידור העבודה בסביבת עבודה מחליט העסק שהסביבה שלו: הוא קובע מה נאסף ולמה, ואנחנו מטפלים במידע הזה בשמו. על החשבונות של מי שמתחברים ללוח הבקרה, על החיוב ועל האתר מחליטים אנחנו, והמסמך הזה מתאר איך.

השירות מפעיל חשבון וואטסאפ דרך ממשק שאינו ה-WhatsApp Business API הרשמי. זו ההחלטה שלכם והאחריות שלכם, והיא מתוארת בתנאי השימוש.

DutyDesk Cloud: מה נשמר אצלנו

סביבת העבודה שלכם נמצאת במסד נתונים על שרת שלנו באזור me-west1 של Google Cloud — תל אביב — ולא בשום מקום אחר. אי אפשר להגיע למסד הנתונים מהאינטרנט, אלא רק דרך השירות עצמו.

תוכן ההודעות שנשלחו והתקבלו, והשיחות עצמן
אנשי קשר ורשומות לקוח: שמות, מספרי טלפון, הערות, תגיות, שלבים, שדות משלכם ותורים — וגם מי ביקשו הסרה מהרשימה, ובאיזו מילה
טפסים ומה שלקוחות מילאו בהם: התשובות, חתימה או תמונות אם הטופס מבקש אותן, והשאלות כפי שנשאלו
בקשות ביקורת: מתי כל בקשה נשלחה ונפתחה, אם נלחץ הכפתור של Google, והדירוג וההערה אם הלקוח השאיר אותם
סידור העבודה: השם, מספר הטלפון והתפקיד של כל איש צוות, המשמרות והתשובות שלו, וההודעות שנשלחו אליו
תשלומים על תורים: מה שסומן על כל תור («התבקשה מקדמה» או «שולם»), ואם חיברתם מערכת הנהלת חשבונות (Morning, iCount, Invoice4U או Keep) — הסכום, אמצעי התשלום, התאריך, ומספר הקבלה והקישור אליה
כללים, תרחישים, קמפיינים וקבצים שצורפו אליהם
ההתחברות לוואטסאפ וכל טוקן של חיבור — מוצפנים ב-AES-256-GCM, במפתח ששייך לסביבת העבודה בלבד, לפני הכתיבה למסד
הצוות: שמות, כתובות מייל ותפקידים; סיסמאות נשמרות רק כגיבוב scrypt, והתחברויות רק כגיבוב
מוני שימוש וחיוב, ויומן פעילות: מי חיבר, שינה או מחק מה, ומאיזו כתובת IP

מי רואה את זה

החברים בסביבת העבודה שלכם, כל אחד לפי ההרשאות של התפקיד שלו. אצלנו, מערכת הניהול של הצוות מציגה מסלולים, שימוש ומספרים — לא הודעות, לא אנשי קשר ולא שיחות. מי שמפעילים את השרתים יכולים להגיע למסד הנתונים עצמו, ועושים זאת רק כדי לתקן תקלה או לטפל בפנייה שלכם.

טקסט לתשובת AI

נשלח ל-Claude API של Anthropic (או ל-Gemini API של Google, אם סביבת העבודה שלכם פועלת על מודל Gemini), על המפתחות שלנו, רק כשתשובות AI מופעלות: תיאור העסק שכתבתם, השירותים, המחירים, שעות הפעילות וקישור התשלום שהגדרתם, ההודעות האחרונות בשיחה (חמש כברירת מחדל), שם הלקוח והתורים הקרובים שלו אצלכם. ללקוח שהגיע דרך קישור לצ׳אט ש-DutyDesk Planner יצר לאחד הפוסטים שלכם, ורק אם בחרתם לשלוח איתו את המילים של הפוסט: המילים האלה, והאם סימנתם שהפריט נמכר. אם השירות מזהה בעצמו את השפה של הלקוח, נשלחת גם דגימה קצרה מההודעה שלו ל-Claude API של Anthropic. Anthropic ו-Google לא מאמנות מודלים על המידע הזה.

כשאתם מנסים את ה-AI בעצמכם

נשלח ל-Claude API של Anthropic (או ל-Gemini API של Google, אם סביבת העבודה שלכם פועלת על מודל Gemini), על המפתחות שלנו, בכל מסלול, כשאתם מבקשים זאת בהגדרות ה-AI, בעורך הכללים, בטופס או ב-DutyDesk Planner. ב«שאלה לבוט»: תיאור העסק, שעות הפעילות, השירותים וקישור התשלום שלכם, והשאלה שהקלדתם. ב«כתיבה מהאתר או מקבצים» וב«כתיבה עם AI»: העמודים מהאתר והקבצים שבחרתם, ומה שביקשתם. כש-DutyDesk Planner, שמחובר לסביבת העבודה שלכם, כותב או מתרגם בשבילכם פוסט: תיאור העסק, השירותים ושעות הפעילות שלכם, ומה שנתתם לו: הבקשה, הפוסט או פרטי המודעה. ב«תרגום עם AI» בטופס: המילים של הטופס עצמו, הכותרת, הפתיח, השאלות, ההערות והאפשרויות, ואף פעם לא מה שלקוחות מילאו. התשובה או הטיוטה מוצגות רק לכם ולא נשלחות לאף אחד. Anthropic ו-Google לא מאמנות מודלים על המידע הזה.

הודעות קוליות

נשלחות ל-Gemini API של Google כדי להפוך לטקסט. התמלול פועל כברירת מחדל, ואפשר לכבות אותו בהגדרות. הטקסט נשמר עם ההודעה; ההקלטה עצמה לא נשמרת אצלנו.

תמונות וקבצים מלקוחות

תמונה או קובץ שלקוח שולח בשיחה פרטית בוואטסאפ או בטלגרם — תמונה, PDF, קובץ Word, Excel או טקסט, עד 16 MB — נשמרים באחסון קבצים פרטי של Google Cloud באותו אזור, כדי שתוכלו לראות אותם בשיחה. הם נמחקים אוטומטית 90 יום אחרי שהגיעו, יחד עם שם הקובץ, ותוך שבוע נוסף נמחקים סופית גם מהאחסון שלנו. בשיחה נשארת רק הערה שהתקבלה תמונה או קובץ. הם לא נשלחים לשום מודל AI. מיקום שלקוח משתף נשמר כקישור למפה, כמו כל הודעה אחרת. סרטונים, מדבקות ותמונות לצפייה חד-פעמית לא נשמרים.

טפסים שלקוחות ממלאים

טופס שהעסק שולח לפני תור, כמו הצהרת בריאות או טופס פרטים, מגיע ללקוח כקישור בשיחה וממולא בעמוד שלנו. העסק יכול גם לפרסם טופס שכל אחד יכול לפתוח, מקוד QR בדלפק או מקישור שהוא משתף בעצמו; מי שממלא אותו מוסר קודם שם ומספר טלפון, והעסק מקבל עבורו כרטיס לקוח. העסק מחליט מה הטופס שואל ולמה — הצהרת בריאות היא מידע רגיש, וההחלטה לבקש אותה היא של העסק. התשובות, החתימה והתמונות (נשמרות כתמונות) והשאלות כפי שנשאלו נשמרות בסביבת העבודה, בכרטיס הלקוח; תשובה שהטופס מסמן כשייכת לכרטיס, כמו שם, כתובת מייל, מספר טלפון או יום הולדת, מועתקת אליו. נציגים, מנהלים והבעלים של סביבת העבודה רואים אותן; צופים רואים רק כמה טפסים מולאו. חברי צוות שביקשו התראות מקבלים מייל או הודעת Telegram על טופס שהתקבל, עם שם הטופס והלקוח ובלי התשובות. מנהל יכול להוריד אותן כקובץ CSV, וכל הורדה נרשמת ביומן הפעילות; מנהל יכול גם למחוק טופס שמולא. הן לא נשלחות לשום מודל AI, לא מוצגות במערכת הניהול של הצוות שלנו ולא נכתבות ביומני השרת שלנו. הקישור האישי של לקוח עובד פעם אחת בלבד ולכל היותר 30 יום, תזכורת מביאה קישור שני לאותו טופס, ומכל אחד מהם נשמר אצלנו רק גיבוב; הקישור הפתוח של טופס עובד עד שהעסק מכבה אותו או מחליף אותו.

בקשות ביקורת

אם העסק הפעיל ביקורות, לקוח מקבל אחרי תור קישור בשיחה לעמוד שלנו. העמוד מציע לכולם את דף הביקורות של העסק ב-Google, ובנפרד כוכבים והערה שרק העסק רואה. בסביבת העבודה נשמרים מתי הבקשה נשלחה ומתי העמוד נפתח, אם נלחץ הכפתור של Google, והדירוג וההערה אם הלקוח השאיר אותם. אפשר לשנות דירוג במשך 7 ימים, והקישור עובד 30 יום. ביקורת שנכתבת ב-Google עוברת ל-Google, לפי התנאים שלה, ולא חוזרת אלינו. נציגים, מנהלים והבעלים רואים את הדירוגים וההערות; צופים רואים רק את הסיכומים. הם לא נשלחים לשום מודל AI, לא מוצגים במערכת הניהול של הצוות שלנו ולא נכתבים ביומני השרת שלנו. מהקישור נשמר אצלנו רק גיבוב.

סידור עבודה

אם העסק מתכנן את המשמרות שלו ב-DutyDesk, נשמרים השם, מספר הטלפון והתפקיד של כל איש צוות, המשמרות שלו, ואם כל משמרת אושרה או סומנה ב«לא אוכל להגיע». כל איש צוות מקבל את השבוע שלו בהודעה בוואטסאפ או בטלגרם, עם קישור לעמוד שלנו שמציג רק את המשמרות שלו, ואנחנו רושמים מתי העמוד נפתח לראשונה. כדי לשלוח את ההודעות האלה, לכל איש צוות נוצר גם כרטיס איש קשר עם התגית Staff. צופים רואים את הסידור בלי מספרי טלפון; נציגים רואים גם את המספרים; מנהלים והבעלים מתכננים אותו ויכולים להעתיק את הקישור של איש צוות. קישור מפסיק לעבוד 14 יום אחרי סוף השבוע שלו. סידור העבודה לא נשלח לשום מודל AI ולא מוצג במערכת הניהול של הצוות שלנו. מנהל יכול למחוק איש צוות לצמיתות: השם, המספר והמשמרות שכבר היו נמחקים, וכרטיס איש הקשר נשאר באנשי קשר, שם אפשר למחוק אותו.

קישור לתשלום וקבלות

קישור התשלום שהגדרתם — Bit, PayBox או דף תשלום — נשלח ללקוחות כמו שהוא, בתזכורות ובתשובות, ואנחנו לא סופרים מי לחץ עליו. סימון «התבקשה מקדמה» או «שולם» על תור נשמר עם התור, וכל שינוי נרשם ביומן הפעילות. במסלול Grow ומעלה אפשר לחבר את החשבון שלכם במערכת הנהלת חשבונות אחת — Morning, iCount, Invoice4U או Keep: המפתח או הטוקן שהיא נותנת לכם נשמר מוצפן, במפתח ששייך לסביבת העבודה בלבד, ולא מוצג שוב. כשמבקשים קבלה על תור ששולם, נשלחים למערכת הזו שם הלקוח, מספר הטלפון שלו אם הוא בכרטיס והמערכת מקבלת אותו, על מה שולם, הסכום, אמצעי התשלום והתאריך, והמערכת מפיקה את הקבלה בחשבון שלכם, לפי התנאים שלה. ב-iCount וב-Invoice4U הקבלה נרשמת על לקוח מרשימת הלקוחות שלכם שם, ואם אין לקוח בשם הזה, נוסף לרשימה לקוח חדש בשם הזה (וב-Invoice4U גם עם מספר הטלפון). אנחנו לא שולחים למערכת כתובת מייל ומבקשים ממנה לא לשלוח דבר, ולכן היא לא שולחת ללקוח כלום; הקישור לקבלה נשלח ללקוח בשיחה רק אם מי שביקש את הקבלה בחר בזה. אצלנו נשמרים הסכום, אמצעי התשלום, התאריך, ומספר הקבלה והקישור אליה. נציגים, מנהלים והבעלים רואים אותם; הם לא נשלחים לשום מודל AI ולא מוצגים במערכת הניהול של הצוות שלנו. מחיקת איש הקשר או התור מוחקת אותם אצלנו, וביומן הפעילות נשארים רק מספר הקבלה והסכום, בלי שם. הקבלה עצמה, וכל לקוח שהמערכת הוסיפה לרשימה שלכם, נשארים בחשבון שלכם במערכת הזו.

מיילים והתראות

נשלחים מתיבת הדואר שלנו ב-Google: הזמנות לצוות, איפוס סיסמה, התראה כשמכסה עומדת להיגמר, ולחברי צוות שבחרו בזה — גם בקשה של לקוח לדבר עם נציג, עם ההודעות האחרונות מהשיחה. כשהבוט קובע, מזיז או מבטל תור, נשלחת התראה עם שם הלקוח והמועד: לבעלים ולמנהלים, אלא אם כיבו אותה, ולנציגים שהפעילו אותה. במסלול Grow ומעלה, כשמשייכים שיחה לחבר צוות, נשלחת אליו התראה עם שם מי ששייך אותה, שם הלקוח וקישור לשיחה, אלא אם כיבה אותה. מי שחיברו את טלגרם מקבלים את אותן התראות דרך הבוט שלנו בטלגרם.

גיבויים

עותק לילי של מסד הנתונים ב-Google Cloud Storage, באותו אזור, מוצפן באחסון. נמחק אוטומטית אחרי 60 יום.

תשלומים

Stripe. פרטי הכרטיס לא עוברים דרכנו ולא נשמרים אצלנו. אצלנו נשמר על מה חויב כל חודש, והמזהה ש-Stripe נותן לחשבון שלכם.

הערוצים שאתם מחברים

וואטסאפ

המספר מקושר כמכשיר של החשבון שלכם, וההתחברות רצה על השרת שלנו. ההודעות מגיעות אלינו כמו שהן מגיעות לוואטסאפ ווב, ואנחנו לא מבקשים מוואטסאפ את כל היסטוריית השיחות שלכם.

טלגרם

בוט שאתם יוצרים ב-BotFather, ומתחבר עם הטוקן שלו. ההודעות מגיעות אלינו דרך ה-Bot API הרשמי של טלגרם.

פייסבוק ואינסטגרם

עוד לא זמינים. בהמשך מפורט מה יחול כשיהיו.

נתוני Google שלכם

אם חיברתם יומן Google ל-DutyDesk Cloud, השירות מבקש מ-Google שלוש הרשאות ליומן ולא יותר: לראות אם שעה מסוימת תפוסה (calendar.events.freebusy), לקרוא את רשימת היומנים שלכם בלבד (calendar.calendarlist.readonly), וליצור, לשנות ולבטל אירועים ביומנים שבבעלותכם (calendar.events.owned), כדי שהתורים שנקבעים ב-DutyDesk יופיעו ביומן שלכם. לצד אלה הוא מבקש את כתובת המייל של החשבון, כדי שהמסך יוכל להראות לאיזה חשבון הוא מחובר.

לא ביקשנו את ההרשאה הרחבה ליומן, וגם לא שום הרשאה לקרוא את האירועים שלכם, והתוכן של האירועים שלכם לא נקרא אף פעם. השירות כותב ליומן רק אם בחרתם יומן לתורים, רק ליומן האחד הזה, ורק את האירועים שהוא עצמו יצר. ההרשאה לכתוב חלה רק על יומנים שבבעלותכם, לא על יומנים שאחרים שיתפו איתכם. אפשר גם להשאיר את ההרשאה הזו לא מסומנת במסך של Google, ואז היומן רק נקרא ושום דבר לא נכתב בו. אפליקציית המחשב DutyDesk Desktop מבקשת את אותן הרשאות, אבל הכול נשאר אצלה במחשב — הפירוט בסעיף הבא.

למה זה משמש

כדי להציע ללקוחות רק שעות שאתם באמת פנויים בהן, לפי היומנים שבחרתם — עד 50 — ואם בחרתם יומן לתורים, כדי לרשום בו את התורים שנקבעים ב-DutyDesk ולעדכן אותם שם.

מה נקרא

רשימת היומנים שלכם, כדי שתוכלו לבחור אילו מהם נחשבים ואיזה יומן מקבל תורים. מהיומנים שנחשבים — בדיקת פנוי/תפוס בלבד: Google מחזיר טווחי זמן תפוסים, בלי כותרות, בלי משתתפים ובלי תוכן.

מה נכתב

רק אם בחרתם יומן לתורים: אירוע לכל תור שנקבע ב-DutyDesk, ביומן הזה. שם הלקוח ככותרת (אחרי הכותרת של התור, אם יש לו), השם ומספר הטלפון שלו בתיאור, שעת ההתחלה והסיום, סימון של האירוע כזמן פנוי, וסימון פרטי שמקשר אותו לתור. כשתור נדחה או מבוטל ב-DutyDesk, האירוע מתעדכן או נמחק. שום דבר אחר ביומן שלכם לא נוצר, משתנה או נמחק, ושום אירוע לא נקרא.

איפה זה נשמר

הטוקן נשמר במסד הנתונים שלנו באזור me-west1, מוצפן לפני הכתיבה, ואי אפשר לקרוא אותו חזרה מלוח הבקרה. טווחי הזמן התפוסים נשמרים בסביבת העבודה שלכם לימים שהבוט מציע בהם תורים, ומתעדכנים כשהם משתנים. לכל תור שנרשם ב-Google נשמרים היומן והמזהה של האירוע, כדי שאפשר יהיה לעדכן אותו.

עם מי זה משותף

עם אף אחד. לא מועבר לצד שלישי, לא לפרסום, לא לאימון מודלים ולא למכירה.

איך מנתקים

ביומן ← «יומן מחובר», כפתור הניתוק: ההרשאה מבוטלת מול Google, והטוקן וכל טווחי הזמן התפוסים נמחקים מהמסד שלנו. תורים שכבר נרשמו נשארים ביומן שלכם. כדי להפסיק לרשום תורים בלי לנתק, בחרו שהתורים יישמרו רק ב-DutyDesk. אפשר גם להסיר את ההרשאה ישירות מדף ההרשאות של חשבון Google.

נתוני Google שלכם באפליקציית המחשב

אפליקציית המחשב DutyDesk Desktop יכולה לרשום את התורים שהיא קובעת ישירות ביומן Google שלכם. אם חיברתם יומן, היא מבקשת מ-Google את אותן שלוש הרשאות שהענן מבקש: בדיקת פנוי/תפוס (calendar.events.freebusy), רשימת היומנים (calendar.calendarlist.readonly), והרשאה ליצור, לשנות ולבטל אירועים ביומנים שבבעלותכם (calendar.events.owned). לצד אלה היא מבקשת את כתובת המייל של החשבון, כדי שהמסך יוכל להראות לאיזה חשבון היא מחוברת.

כל זה קורה במחשב שלכם. האפליקציה פונה ל-Google ישירות: שום דבר מהיומן שלכם לא עובר דרך השרתים שלנו ולא נשמר אצלנו, ואין לנו עותק של הטוקן.

לא ביקשנו את ההרשאה הרחבה ליומן, וגם לא הרשאה לקרוא את כל האירועים בכל היומנים שאתם רואים. ההרשאה לכתוב חלה רק על יומנים שבבעלותכם — לא על יומנים שאחרים שיתפו איתכם.

למה זה משמש

כדי להציע ללקוחות רק שעות שאתם פנויים בהן, לרשום ביומן שבחרתם את התור שהם קבעו — או שאתם קבעתם עבורם — ולעדכן או לבטל אותו שם כשהוא משתנה באפליקציה.

מה נכתב

אירוע לכל תור שהאפליקציה קובעת, ביומן האחד שבחרתם לתורים: שם הלקוח ככותרת, השם ומספר הטלפון שלו בתיאור, שעת ההתחלה והסיום, וסימון פרטי שמזהה את האירוע כשייך לאפליקציה. כשתור נדחה או מבוטל באפליקציה, האירוע מתעדכן או מבוטל. שום דבר אחר ביומן שלכם לא נוצר, משתנה או נמחק.

מה נקרא

רשימת היומנים שלכם, כדי שתוכלו לבחור איזה יומן מקבל תורים ואילו רק נחשבים תפוסים. מהם — טווחי זמן תפוסים, בלי כותרות ובלי תוכן. כדי שהתורים באפליקציה יתאימו ליומן, היא קוראת גם את האירועים ביומן התורים: את אלה שהיא יצרה היא שומרת, וכל אירוע אחר נזרק בלי להישמר.

איפה זה נשמר

במחשב שלכם בלבד. הטוקן נשמר בתיקיית הנתונים של האפליקציה, מוצפן בעזרת מחזיק המפתחות של מערכת ההפעלה. התורים שהאפליקציה קבעה נשמרים במסד הנתונים המקומי שלה, עם שאר הנתונים. שום דבר מזה לא נשלח אלינו.

עם מי זה משותף

עם אף אחד. המידע לא מגיע אלינו בכלל, לא מועבר לצד שלישי, לא לפרסום, לא לאימון מודלים ולא למכירה.

איך מנתקים

באפליקציה, ביומן ← «יומן מחובר», כפתור הניתוק: ההרשאה מבוטלת מול Google והטוקן נמחק מהמחשב. תורים שכבר נקבעו נשארים ביומן שלכם. אפשר גם להסיר את ההרשאה ישירות מדף ההרשאות של חשבון Google.

שימוש מוגבל

השימוש של DutyDesk במידע שהתקבל מממשקי Google, וכל העברה שלו ליישום אחר, כפופים ל־Google API Services User Data Policy, לרבות דרישות השימוש המוגבל (Limited Use).

נתוני פייסבוק ואינסטגרם שלכם

חיבור של דף פייסבוק או של חשבון אינסטגרם עסקי עוד לא זמין. כשיהיה, זה מה שיחול.

השירות יבקש הרשאה לקרוא את ההודעות שהלקוחות שולחים לדף או לחשבון ולענות להן, ולא יותר מזה. הוא לא יקרא את הפוסטים, התגובות, העוקבים או הנתונים הסטטיסטיים, לא ישלוף את הפרופילים של הלקוחות, ולא ייגע בפרופיל האישי שלכם.

Meta מאפשרת לעסק לענות במשך 24 שעות מרגע שהלקוח כתב, והשירות יענה אוטומטית רק בתוך החלון הזה. הוא לא ישלח קמפיינים במסנג׳ר או באינסטגרם.

טוקן הגישה יישמר מוצפן במסד הנתונים שלנו באזור me-west1, וההודעות יישמרו בסביבת העבודה שלכם לצד שאר השיחות. ניתוק בלוח הבקרה מוחק את הטוקן אצלנו ומסיים את הגישה מיד. אפשר גם להסיר את DutyDesk מהגדרות «אינטגרציות עסקיות» בחשבון הפייסבוק שלכם.

תנאי הפלטפורמה של Meta

השימוש של DutyDesk במידע שיתקבל מממשקי Meta כפוף לתנאי הפלטפורמה של Meta ולמדיניות Messenger Platform, לרבות חלון ההודעות שתואר למעלה.

אפליקציית המחשב DutyDesk Desktop

DutyDesk Desktop נמכרת בנפרד מהמסלולים בענן, ברישיון שנתי ל-2 מחשבים. היא פועלת על המחשב שלכם ומשתמשת במפתחות AI משלכם. השיחות, אנשי הקשר, הכללים ופרטי החיבור שלה נשמרים במסד נתונים מקומי על אותו מחשב, ואין לנו אליו גישה ואין לנו עותק שלו.

מה שהיא שולחת אלינו הוא בדיקת תוקף של מפתח המוצר מול שרת הרישוי, כל כמה דקות — המפתח עצמו, גיבוב חד-כיווני של מזהה החומרה של המחשב, וכתובת ה-IP של הבקשה. כשמפעילים אותה, וגם אם שרת הרישוי עוד לא יודע איך המחשב נקרא או שהשם שלו השתנה, היא שולחת גם את שם המחשב ואת מערכת ההפעלה, כדי שרשימת המחשבים של הרישיון תבחין ביניהם. כשתשובות AI מופעלות, ההודעות שצריך לענות עליהן נשלחות מהמחשב שלכם ישר לספק ה-AI שאת המפתח שלו הזנתם, לפי ההסכם שלכם איתו, ולא דרכנו.

שרת הרישוי שומר את מה שדרוש כדי לבדוק רישיון, ולא יותר:

בעלי רישיון

שם, כתובת מייל, שפת ממשק, והאם ביקשתם לקבל במייל עדכוני מוצר או טיפים. בכל מייל כזה יש קישור להפסקת המיילים.

רישיון

מפתח המוצר, המסלול, תאריך התפוגה ומספר המחשבים.

הפעלות

מזהה מכונה מגובב לכל מחשב, כדי לספור אותם. זה גיבוב חד-כיווני: אי אפשר לשחזר ממנו את המחשב, והוא לא מזהה אתכם מחוץ להקשר של הרישיון. לצידו נשמרים שם המחשב ומערכת ההפעלה כפי שהאפליקציה מדווחת עליהם, ורק בעלי הרישיון ואנחנו רואים אותם.

יומן פעילות

הנפקה, הפעלה, שחרור מחשב, חידוש וביטול — לתמיכה ולהנהלת חשבונות.

DutyDesk Planner, הפרסום בקבוצות פייסבוק

DutyDesk Planner נמכר בנפרד, ברישיון חודשי ל-2 מחשבים שהמחיר שלו נקבע לפי חשבונות הפייסבוק שמהם מפרסמים. הוא פועל על המחשב שלכם ומפעיל את חשבונות הפייסבוק שלכם דרך Google Chrome שעל אותו מחשב. את ההתחברות לפייסבוק עושים ב-Chrome, והסיסמה עוברת לפייסבוק ולא ל-Planner. ההתחברויות נשמרות בפרופילים של Chrome על אותו מחשב. הקבוצות, הרשימות, הפוסטים, התמונות, התגובות והנתונים של החשבונות שלכם נשמרים במסד נתונים מקומי על אותו מחשב, ואין לנו אליו גישה ואין לנו עותק שלו.

מה שאתם מפרסמים והתשובות שאתם כותבים עוברים מהמחשב שלכם לפייסבוק, בשם החשבון שלכם, וחלה עליהם המדיניות של Meta. באותה דרך Planner קורא מפייסבוק את התגובות על הפוסטים שלכם, כדי להציג לכם אותן.

מה שהוא שולח אלינו הוא בדיקת תוקף של מפתח הרישיון מול שרת הרישוי — כשהוא נפתח, בפרקי זמן ששרת הרישוי קובע, אחרי שהמחשב מתעורר וכשלוחצים «בדיקה עכשיו» — ובה המפתח עצמו, גיבוב חד-כיווני של מזהה החומרה של המחשב, המוצר שהמפתח שייך לו וכתובת ה-IP של הבקשה. בנוסף, כשהוא נפתח וכל שש שעות, הוא בודק בשרת שלנו אם יש גרסה חדשה של האפליקציה ואם יש כללי דף חדשים, שבעזרתם הוא מתמצא בדפים של פייסבוק. אלה הורדות רגילות, ומהן אנחנו רואים את כתובת ה-IP של הבקשה ולא יותר. שום דבר על חשבונות הפייסבוק, הקבוצות, הפוסטים או התגובות שלכם לא נשלח אלינו, חוץ ממה שאתם בוחרים לשלוח לסביבת עבודה של DutyDesk ש-Planner מחובר אליה: לכל קישור לצ׳אט שהוא יוצר שם, השמות של הפוסט ושל הקבוצה, המבצע שהפוסט שייך אליו, ואם הפעלתם את זה, גם המילים של הפוסט והאם סימנתם שהפריט נמכר; והבקשה או הפוסט שאתם מבקשים מה-AI של סביבת העבודה לכתוב או לתרגם. התגובות על הפוסטים שלכם לא נשלחות אף פעם.

שרת הרישוי שומר על רישיון של Planner את אותם פרטים שהוא שומר על רישיון של DutyDesk Desktop, כמפורט למעלה, וגם לאיזה מוצר הרישיון שייך.

כשאתם פונים אלינו לעזרה, אתם בוחרים מה לשלוח: את הדוח מ«בדיקה» בהגדרות של Planner, או צילום מסך. אנחנו רואים רק את מה שאתם שולחים.

המידע של Planner נמחק כשאתם מוחקים אותו: מסירים את האפליקציה או מוחקים את תיקיית הנתונים שלה, שבה נמצאים גם הפרופילים של Chrome והגיבויים השבועיים. גיבוי ששמרתם במקום אחר נשאר אצלכם, ואתם מוחקים אותו. אנחנו לא יכולים למחוק בשבילכם, כי אין לנו גישה למחשב.

האתר ולוח הבקרה: עוגיות ומדידה

ההעדפות שבחרתם באתר לערכת הצבעים ולנגישות נשמרות בדפדפן שלכם ולא נשלחות אלינו. הגופנים של האתר נטענים מ-Google Fonts, כך ש-Google רואה את הכתובת של הדפדפן שמבקש אותם. כשאתם מתחברים ללוח הבקרה נשמרת עוגייה שמשאירה אתכם מחוברים.

מדידה, רק באישור שלכם. באתר ובלוח הבקרה אנחנו שואלים אם מותר לנו להשתמש ב-Google Analytics, שירות של Google Ireland Limited, כדי לספור ביקורים ולראות באילו עמודים משתמשים, מאיפה מגיעים אלינו (למשל מחיפוש או מקמפיין), וכמה צעדים שחשובים לנו: לחיצה על התחלת תקופת ניסיון, הרשמה, הורדה של DutyDesk Desktop, פנייה אלינו וחיבור ערוץ בלוח הבקרה. עד שתאשרו, שום דבר לא נטען מ-Google Analytics ושום דבר לא נשלח אליו.

אם אישרתם, Google Analytics שומר עוגיות ששמן מתחיל ב-_ga כדי להבחין בין ביקורים, ומקבל את כתובת ה-IP של הדפדפן, את סוג הדפדפן וגודל המסך, ואת העמודים שפתחתם. הוא לא מקבל את השם שלכם, את כתובת המייל או שום דבר מסביבת העבודה ומהשיחות שלכם, ולפני השליחה אנחנו מסירים מכתובות העמודים חלקים שעלולים לזהות אתכם, כמו קישור לאיפוס סיסמה. Google מעבד את המידע בשבילנו לפי תנאי עיבוד הנתונים שלו, ייתכן שמחוץ לישראל, ושומר אותו חודשיים. תכונות הפרסום ו-Google Signals כבויים, ואנחנו לא משתפים את המידע עם Google לצרכים שלו.

הבחירה שלכם נשמרת לשישה חודשים בעוגייה בשם dutydesk_consent, המשותפת לאתר וללוח הבקרה. אפשר לשנות אותה בכל זמן ב«הגדרות עוגיות» בתחתית האתר או בתפריט החשבון בלוח הבקרה. סירוב לא עולה לכם כלום: הכול עובד בדיוק אותו דבר.

שמירה ומחיקה

השיחות, אנשי הקשר וכל השאר נשמרים כל עוד סביבת העבודה קיימת; שום דבר בה לא פג מעצמו, חוץ מתמונות וקבצים שלקוחות שולחים: הם נמחקים 90 יום אחרי שהגיעו, ותוך שבוע נוסף נמחקים סופית גם מהאחסון. סביבת עבודה שתקופת הניסיון או המסלול שלה הסתיימו מושהית, ולא מתרוקנת.

טפסים שלקוחות מילאו והדירוגים שנתנו נשמרים יחד עם איש הקשר שלהם, ומחיקת איש הקשר — או של סביבת העבודה — מוחקת גם אותם. סידור העבודה שומר את אנשי הצוות ואת המשמרות שעברו עד שסביבת העבודה נמחקת, אלא אם מנהל מוחק איש צוות, ואז הוא והמשמרות שכבר היו נמחקים מיד; מי שרק הוצאו מהסידור נשארים בהיסטוריה שלו, עם השם והמספר.

מחיקת סביבת עבודה: הבעלים מוחקים אותה בהגדרות, אחרי שביטלו את המסלול שלה אם יש. כל הערוצים מתנתקים מיד, ומרגע הבקשה מתחיל שעון של 30 יום, שבסופו סביבת העבודה — ההודעות, אנשי הקשר, הכללים והקבצים — נמחקת. שלושים יום ולא מיד, כדי שלחיצה מוטעית ביום שישי תהיה הפיכה. גיבויים שכבר נכתבו נמחקים מעצמם 60 יום אחרי שנוצרו.

את סביבת העבודה הראשונה שחשבון פתח אי אפשר למחוק מלוח הבקרה. כדי למחוק את החשבון יחד איתה, כתבו לנו, ונמחק את שניהם באותו אופן.

הודעות שמגיעות מערוץ נשמרות בתור הטיפול שבעה ימים אחרי שטופלו, או 30 יום אם הטיפול נכשל. רשומות חיוב נשמרות למשך התקופה שהחוק מחייב.

אם אפליקציית המחשב מותקנת אצלכם, הנתונים שלה נמחקים כשאתם מוחקים אותם: הסרת האפליקציה, או מחיקת תיקיית הנתונים שלה. אנחנו לא יכולים לעשות זאת עבורכם, כי אנחנו לא מגיעים אליהם.

הזכויות שלכם

אתם רשאים לבקש לעיין בנתונים שאנחנו מחזיקים עליכם, לתקן אותם או למחוק אותם. כתבו לכתובת שלמטה ונענה.

אם אתם לקוחות של עסק שמשתמש ב-DutyDesk, העסק הוא שמחליט על השיחות שלכם איתו, על הטפסים שמילאתם עבורו ועל הדירוגים שנתתם לו, וכדאי לפנות אליו. אם תפנו אלינו, נעביר את הבקשה לעסק ונעזור לו לענות עליה. כדי להפסיק לקבל ממנו קמפיינים, ענו במילת הסרה, כמו «הסר».

אם אתם חלק מהצוות של עסק שמתכנן את המשמרות ב-DutyDesk, כך גם לגבי הפרטים והמשמרות שלכם: העסק הוא שמחליט עליהם, וכדאי לפנות אליו.

שינויים במסמך

שינוי מהותי יפורסם כאן, ותאריך העדכון שלמעלה ישתנה איתו. שינוי בהרשאות שהשירות מבקש מ-Google ידרוש מכם לאשר אותן מחדש, כך שדבר לא יתרחב בשקט.

יצירת קשר

alphamergers@gmail.com

Where your conversations are, and who can reach them

DutyDesk runs on our servers in Israel. Your customer conversations, your contacts and your rules are with us, and this document says exactly what is kept, for how long, and who it goes to.

Last updated: 2026-10-20 · AlphaMerge

What this covers

This policy covers the DutyDesk service, the DutyDesk Desktop and DutyDesk Planner applications, and this website. The two applications work differently, and each has a section of its own below.

For the conversations, customer records, filled-in forms, ratings and staff roster in a workspace, the business that owns the workspace decides what is collected and why, and we handle that data on its behalf. For the accounts of the people who sign in, for billing and for this website, we decide, and this policy says how.

The service drives a WhatsApp account through an interface that is not the official WhatsApp Business API. That is your decision and your responsibility, and the terms of service describe it.

DutyDesk Cloud: what we hold

Your workspace lives in a database on a server of ours in Google Cloud’s me-west1 region — Tel Aviv — and nowhere else. The database cannot be reached from the internet except through the service itself.

The content of messages sent and received, and the conversations themselves
Contacts and customer records: names, phone numbers, notes, tags, stages, your own fields and appointments — and who asked to be taken off your list, with the word they sent
Forms and what customers filled in on them: the answers, a signature or photos if the form asks for them, and the questions as they were asked
Review requests: when each was sent and opened, whether the Google button was pressed, and the rating and comment if the customer left them
The staff roster: each person’s name, phone number and position, their shifts and answers, and the messages that told them
Payments on appointments: what was marked on each (“Deposit asked” or “Paid”), and if you connected an accounting service (Morning, iCount, Invoice4U or Keep), the amount, the method, the day, and the receipt’s number and link
Rules, flows, campaigns and any files attached to them
The WhatsApp sign-in and every connection token — sealed with AES-256-GCM, under a key that belongs to the workspace alone, before they are written down
Your team: names, email addresses and roles; passwords only as a scrypt hash, and sign-ins only as a hash
Usage and billing counters, and an activity log of who connected, changed or deleted what, and from which IP address

Who can see it

The members of your workspace, each as far as their role allows. On our side, the staff console shows plans, usage and counts — not messages, contacts or conversations. The people who run the servers can reach the database itself, and do so only to fix a fault or to deal with a request of yours.

Text for an AI reply

Sent to Anthropic’s Claude API (or to Google’s Gemini API, if your workspace runs on a Gemini model), on our own keys, only while AI replies are on: the business description you wrote, the services, prices, opening hours and payment link you set, the latest messages of the conversation (five by default), the customer’s name and their upcoming appointments with you. For a customer who came through a chat link that DutyDesk Planner made for one of your posts, and only if you chose to send the post’s words with it: those words, and whether you marked it sold. If the service works out a customer’s language for itself, a short sample of their message also goes to Anthropic’s Claude API. Neither Anthropic nor Google trains models on this data.

When you try the AI yourself

Sent to Anthropic’s Claude API (or to Google’s Gemini API, if your workspace runs on a Gemini model), on our own keys, on any plan, when you ask for it in the AI settings, the rule editor, a form or DutyDesk Planner. With “Ask the bot”: the business description, your opening hours, services and payment link, and the question you typed. With “Write it from my website or files” and “Write it with AI”: the pages of the website and the files you chose, and anything you asked for. When DutyDesk Planner, connected to your workspace, writes or translates a post for you: the business description, your services and opening hours, and what you gave it — the brief, the post or the listing’s details. With “Translate with AI” on a form: the form’s own words — its heading, introduction, questions, notes and choices — and never anything a customer filled in. The answer or the draft is shown only to you and is not sent to anyone. Neither Anthropic nor Google trains models on this data.

Voice notes

Sent to Google’s Gemini API to be turned into text. Transcription is on by default and can be switched off in Settings. The text is kept with the message; the recording itself is not kept with us.

Photos and files customers send

A photo or a file a customer sends in a one-to-one chat on WhatsApp or Telegram — a photo, a PDF, a Word, Excel or text file, up to 16 MB — is kept in a private Google Cloud Storage bucket in the same region, so you can see it in the conversation. It is deleted automatically 90 days after it arrived, together with the name it was sent under, and is gone from our storage within a week after that; the conversation keeps only a note that a photo or a file arrived. It is never sent to an AI model. A location a customer shares is kept as a map link, like any other message. Videos, stickers and view-once photos are not kept.

Forms customers fill in

A form the business sends before a visit, such as a health declaration or an intake form, reaches the customer as a link in the chat and is filled in on a page of ours. A business can also put up a form anybody can open, from a QR code at the counter or a link it shares itself; whoever fills that one in first gives their name and phone number, and the business gets a contact card for them. The business decides what the form asks and why — a health declaration is sensitive information, and asking for it is the business’s decision. The answers, the signature and any photos (kept as images), and the questions as they were asked are kept in the workspace, on the customer’s card; an answer the form says belongs on the card, such as a name, an email address, a phone number or a birthday, is copied there. Agents, admins and the owner of the workspace see them; viewers see only how many were filled in. Members who asked to be told get an email or a Telegram message that a form came in, naming the form and the customer and never the answers. An admin can download them as a CSV, and each download is recorded in the activity log; an admin can also delete one. They are not sent to any AI model, are not shown in our staff console, and are not written to our server logs. A customer’s own link works only once and for 30 days at most, a reminder carries a second link to the same form, and we keep only a hash of each; a form’s open link works until the business turns it off or replaces it.

Review requests

If the business has turned reviews on, a customer gets a link in the chat after a visit, to a page of ours. The page offers everyone the business’s Google review page and, separately, stars and a comment that only the business sees. In the workspace we keep when the request was sent and when the page was opened, whether the Google button was pressed, and the rating and comment if the customer left them. A rating can be changed for 7 days, and the link works for 30. A review written on Google goes to Google, under Google’s terms, and does not come back to us. Agents, admins and the owner see the ratings and comments; viewers see only the totals. They are not sent to any AI model, are not shown in our staff console, and are not written to our server logs. We keep only a hash of the link.

The staff roster

If the business plans its shifts in DutyDesk, it keeps each member of staff’s name, phone number and position, their shifts, and whether they confirmed each one or said they can’t make it. Each person gets their week in a message on WhatsApp or Telegram, with a link to a page of ours that shows only their own shifts, and we record when it was first opened. To send those messages, each person also gets a contact card, tagged Staff. Viewers see the roster without phone numbers; agents also see the numbers; admins and the owner plan it and can copy a person’s link. A link stops working 14 days after the end of its week. The roster is not sent to any AI model and is not shown in our staff console. An admin can delete a member of staff for good: their name, number and the shifts they worked go, and their contact card stays in Contacts, where it can be deleted.

The payment link and receipts

The payment link you set — Bit, PayBox or a payment page — goes to customers as it is, in reminders and answers, and we do not count who opens it. Marking an appointment “Deposit asked” or “Paid” is kept with the appointment, and each change is written in the activity log. On Grow and up you can connect your own account with one accounting service — Morning, iCount, Invoice4U or Keep: the key or token it gives you is sealed under a key that belongs to the workspace alone, and is never shown again. When a receipt is asked for on a paid appointment, that service is sent the customer’s name, their phone number if the card has one and the service takes it, what was paid for, the amount, the method and the day, and it issues the receipt in your account, under its own terms. iCount and Invoice4U file the receipt under a customer in your customer list there, and add one with that name (and, in Invoice4U, the phone number) when there is none. We send the service no email address and ask it to send nothing, so it sends the customer nothing; the receipt’s link goes to the customer in the chat only if whoever asked for the receipt chose that. We keep the amount, the method, the day, and the receipt’s number and link. Agents, admins and the owner see them; they are not sent to any AI model and are not shown in our staff console. Deleting the contact or the appointment deletes them here, and the activity log keeps only the receipt’s number and amount, with no name. The receipt itself, and any customer the service added to your list, stay in your account with that service.

Emails and alerts

Sent from our Google mailbox: team invitations, password resets, a warning when an allowance is running out, and — to team members who chose it — a customer’s request for a person, with the latest messages of that conversation. When the bot books, moves or cancels an appointment, an alert with the customer’s name and the time goes to the owner and admins unless they turn it off, and to agents who turn it on. On Grow and up, a team member who is given a conversation by a colleague is told, with the colleague’s name, the customer’s name and a link to the conversation, unless they turn it off. Members who linked Telegram get the same alerts through our Telegram bot.

Backups

A nightly copy of the database to Google Cloud Storage in the same region, encrypted at rest. Deleted automatically after 60 days.

Payments

Stripe. Card details do not pass through us and are not stored with us. We keep what each month was billed for, and the reference Stripe gives your account.

The channels you connect

The number is linked as a device of your own account, and the session runs on our server. Messages reach us the way they reach WhatsApp Web, and we do not ask WhatsApp for your full chat history.

A bot you create at BotFather, connected with its token. Messages reach us through Telegram’s official Bot API.

Facebook and Instagram

Not available yet. What will apply when they are is set out below.

Your Google data

If you connect a Google Calendar to DutyDesk Cloud, it asks Google for three calendar permissions and no more: permission to see whether a given time is taken (calendar.events.freebusy), permission to read the list of your calendars and nothing else (calendar.calendarlist.readonly), and permission to create, change and cancel events on calendars you own (calendar.events.owned), so that the appointments booked in DutyDesk can appear in your calendar. Alongside those it asks for your account’s email address, so the screen can tell you which account is connected.

We deliberately do not ask for the broad calendar permission, nor for any permission to read your events, and DutyDesk Cloud never reads the contents of your events. It writes to your calendar only if you choose a calendar for appointments, only into that one calendar, and only the events it made itself. The permission to write reaches only calendars you own — not ones other people have shared with you. You can also leave that permission unticked on Google’s screen; the calendar is then read and never written to. DutyDesk Desktop asks for the same permissions but keeps everything on your computer; the next section covers it.

What it is used for

To offer your customers only times when you are genuinely free, on the calendars you chose — up to 50 of them — and, if you choose a calendar for appointments, to put the appointments booked in DutyDesk into it and keep them up to date there.

What is read

The list of your calendars, so you can choose which of them count and which one takes appointments. From the ones that count, a free/busy query only — Google returns blocks of busy time, with no titles, no attendees and no content.

What is written

Only if you choose a calendar for appointments: one event per appointment booked in DutyDesk, on that calendar — the customer’s name as the title (after the appointment’s own title, if it has one), their name and phone number in the description, the start and end time, the event marked as free time, and a private marker linking it to the appointment. When an appointment is moved or cancelled in DutyDesk, its event is changed or deleted. Nothing else on your calendar is created, changed or deleted, and no event is read.

Where it is stored

The OAuth token is stored in our database in the me-west1 region, sealed before it is written down, and cannot be read back out of the dashboard. The busy blocks are kept in your workspace for the days ahead the bot offers times in, and replaced as they change. For each appointment written to Google we keep the calendar and the event’s id, so the event can be changed later.

Who it is shared with

Nobody. It is not transferred to any third party, not used for advertising, not used to train any AI or machine-learning model, and not sold.

How to disconnect

Calendar → Connected calendar, Disconnect: the grant is revoked with Google, and the token and every busy block are deleted from our database. Appointments already written stay in your calendar. To stop writing appointments without disconnecting, choose to keep them in DutyDesk only. You can also remove the app from your Google account’s permissions page.

Your Google data in DutyDesk Desktop

DutyDesk Desktop can put the appointments it books straight into your Google Calendar. If you connect one, the app asks Google for the same three permissions as the cloud: free/busy (calendar.events.freebusy), the list of your calendars (calendar.calendarlist.readonly), and permission to create, change and cancel events on calendars you own (calendar.events.owned). Alongside those it asks for your account’s email address, so the screen can tell you which account is connected.

All of this happens on your computer. The app talks to Google directly: nothing from your calendar passes through our servers or is stored by us, and the token never reaches us.

We deliberately do not ask for the broad calendar permission, nor for permission to read every event on every calendar you can see. The permission to write reaches only calendars you own — not ones other people have shared with you.

What it is used for

To offer your customers only times when you are free, to put the appointment they book — or you book for them — into the calendar you chose, and to change or cancel it there when it changes in the app.

What is written

One event per appointment the app books, on the one calendar you picked for bookings: the customer’s name as the title, their name and phone number in the description, the start and end time, and a private marker that tells the app the event is its own. When the appointment is moved or cancelled in the app, that event is changed or cancelled. Nothing else on your calendar is created, changed or deleted.

What is read

The list of your calendars, so you can choose which one takes bookings and which only count as busy. From those, blocks of busy time with no titles and no content. To keep its appointments in step with your calendar, the app also reads the events on the booking calendar: it keeps the ones it created and discards every other event without storing it.

Where it is stored

On your computer only. The OAuth token is kept in the app’s data folder, encrypted with your operating system’s keychain. The appointments the app booked are kept in its local database with the rest of its data. None of it is sent to us.

Who it is shared with

Nobody. We never receive it. It is not transferred to any third party, not used for advertising, not used to train any AI or machine-learning model, and not sold.

How to disconnect

In the app, Calendar → Connected calendar, Disconnect: the grant is revoked with Google and the token is deleted from your computer. Appointments already booked stay in your calendar. You can also remove the app from your Google account’s permissions page.

Limited Use

DutyDesk's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Your Facebook and Instagram data

Connecting a Facebook Page or an Instagram professional account is not available yet. When it is, this is what will apply.

The service will ask for permission to read the messages your customers send that Page or account and to reply to them, and nothing more. It will not read your posts, your comments, your followers or your insights, it will not fetch your customers’ profiles, and it will never touch your personal profile.

Meta allows a business to reply for 24 hours after a customer writes, and the service will reply automatically only inside that window. It will send no campaigns on Messenger or Instagram.

The access token will be held sealed in our database in the me-west1 region, and the messages in your workspace beside the rest of your conversations. Disconnecting in the dashboard deletes the token on our side and ends access at once. You can also remove DutyDesk in your Facebook account’s Business Integrations settings.

Meta Platform Terms

DutyDesk's use of information received from Meta's APIs will adhere to the Meta Platform Terms and the Messenger Platform policies, including the messaging window described above.

DutyDesk Desktop, the desktop application

DutyDesk Desktop is sold separately from the cloud plans, as a yearly licence for two computers. It runs on your own computer and uses AI keys of your own. Its conversations, contacts, rules and connection details sit in a local database on that computer, which we have no access to and hold no copy of.

What it sends us is a validity check of the product key against the licensing server, every few minutes — the key itself, a one-way hash of the computer’s hardware identifier, and the IP address of the request. When it is activated, and again if the licensing server has no name for the computer or the computer has been renamed, it also sends the computer’s name and operating system, so that the licence’s list of computers can tell them apart. When AI replies are on, the messages to be answered go from your computer to the AI provider whose key you entered, under your own agreement with that provider, and not through us.

The licensing server keeps what it needs to check a licence, and nothing beyond that:

Licence holders

Name, email address, interface language, and whether you asked for product news or tips by email. Every such email carries a link that stops them.

Licence

The product key, the plan, its expiry date and its seat count.

Activations

A hashed machine identifier per seat, so that seats can be counted. It is a one-way hash: your computer cannot be recovered from it, and it does not identify you outside the context of your licence. Beside it, the computer’s name and operating system as the app reports them, which only the licence’s owner and we see.

Activity log

Issue, activation, seat release, renewal and revocation — for support and accounting.

DutyDesk Planner, the Facebook group poster

DutyDesk Planner is sold separately, as a monthly licence for two computers, priced by the Facebook accounts you post from. It runs on your own computer and works your Facebook accounts through Google Chrome on that computer. You sign in to Facebook in Chrome, and your password goes to Facebook, never to Planner. The sign-ins stay in Chrome profiles on that computer. Your accounts’ groups, lists, posts, images, comments and statistics sit in a local database there, which we have no access to and hold no copy of.

What you post, and the replies you write, go from your computer to Facebook under your own account, and Meta’s own policies apply to them. Planner reads the comments on your posts from Facebook in the same way, to show them to you.

What it sends us is a validity check of the licence key against the licensing server — when it starts, at intervals the licensing server sets, after the computer wakes and when you press “Check now” — carrying the key itself, a one-way hash of the computer’s hardware identifier, which product the key is for, and the IP address of the request. At start-up and every six hours it also asks our server whether there is a newer version of the application, and newer page rules, which it uses to find its way around Facebook’s pages. Those are ordinary downloads, and they tell us the IP address of the request and nothing more. Nothing about your Facebook accounts, groups, posts or comments is sent to us, except what you choose to send to a DutyDesk workspace you connect Planner to: for each chat link it makes there, the names of the post and the group it is for, the promotion the post belongs to, and, if you turn it on, the post’s words and whether you marked it sold; and the brief or post you ask the workspace’s AI to write or translate. Comments on your posts are never sent.

The licensing server keeps the same records for a Planner licence as for a DutyDesk Desktop licence, listed above, and which product the licence is for.

When you ask us for help, you choose what to send: the report from “Check-up” in Planner’s settings, or a screenshot. We see only what you send.

Planner’s data is deleted when you delete it: uninstall it, or remove its data folder, which also holds its Chrome profiles and its weekly backups. A backup you saved somewhere else stays with you, and is yours to delete. We cannot do it for you, because we cannot reach the computer.

This website and the dashboard: cookies and analytics

The theme and accessibility choices you make on the website are kept in your own browser and never sent to us. The website’s fonts come from Google Fonts, so Google sees the address of the browser that asks for them. Signing in to the dashboard sets a cookie that keeps you signed in.

Analytics, only if you agree. On the website and in the dashboard we ask whether we may use Google Analytics, a service of Google Ireland Limited, to count visits and see which pages are used, where visitors arrive from (a search or a campaign, for example) and a few steps that matter to us: clicking to start a trial, registering, downloading DutyDesk Desktop, getting in touch, and connecting a channel in the dashboard. Until you agree, nothing is loaded from Google Analytics and nothing is sent to it.

If you agree, Google Analytics sets cookies whose names begin with _ga to tell visits apart, and receives your browser’s IP address, its type and screen size, and the pages you open. It does not receive your name, your email address or anything from your workspace or your conversations, and before anything is sent we strip the parts of a page address that could identify you, such as a password-reset link. Google processes this data for us under its data processing terms, possibly outside Israel, and keeps it for two months. Advertising features and Google signals are off, and we do not share the data with Google for its own purposes.

Your answer is kept for six months in a cookie named dutydesk_consent, shared by the website and the dashboard. Change it any time with “Cookie settings” at the foot of the website or in the dashboard’s account menu. Saying no costs you nothing: everything works exactly the same.

Retention and deletion

Conversations, contacts and everything else in a workspace are kept for as long as the workspace exists; nothing in it expires on its own, except the photos and files customers send, which are deleted 90 days after they arrived and are gone from our storage within a week after that. A workspace whose trial or plan has ended is paused, not emptied.

Forms customers filled in, and the ratings they gave, are kept with their contact, and deleting the contact — or the workspace — deletes them too. The roster keeps its staff and their past shifts until the workspace is deleted, unless an admin deletes a member of staff, which removes them and the shifts they worked at once; someone only taken off the roster stays in its history, with their name and number.

Deleting a workspace: the owner deletes it in Settings, once any plan on it is cancelled. Every channel is disconnected at once, and asking starts a thirty-day clock, at the end of which the workspace — the messages, the contacts, the rules and the files — is erased. Thirty days rather than at once, so that a misread dialog on a Friday is recoverable. Backups already written delete themselves sixty days after they were made.

The first workspace an account opened cannot be deleted from the dashboard. To delete your account together with it, write to us, and we will delete both the same way.

Messages arriving from a channel are held in the processing queue for seven days after they are handled, or thirty if handling failed. Billing records are kept for as long as the law requires them to be kept.

If you use the desktop application, its data is deleted when you delete it: uninstall it, or remove its data folder. We cannot do it for you, because we cannot reach it.

Your rights

You may ask to see the data we hold about you, to correct it, or to have it deleted. Write to the address below and we will answer.

If you are a customer of a business that uses DutyDesk, that business decides about your conversations with it, the forms you filled in for it and the ratings you gave it, and your request is best sent to it. If you write to us instead, we will pass it on to the business and help it answer. To stop its campaigns reaching you, reply with a stop word, such as STOP.

If you work for a business that plans its shifts in DutyDesk, the same goes for your details and your shifts: the business decides about them, and your request is best sent to it.

Changes to this policy

A material change will be published here and the date above will change with it. A change to the Google permissions the service asks for requires you to grant them again, so nothing can widen quietly.

Contact

alphamergers@gmail.com