# טיוטה – ממתינה לבדיקה משפטית / DRAFT – PENDING LEGAL REVIEW
## מדיניות פרטיות – Kablabox (טיוטה v0.1, 14.10.2026)
1. **מי אנחנו**: Kablabox, מופעל על ידי איתי קליפר (פרטי עוסק יושלמו). פניות: privacy@kablabox.com (טרם הוקמה).
2. **איזה מידע נאסף**: כתובת אימייל להרשמה; מיילים שאתה בוחר להעביר לכתובת ההעברה האישית שלך, כולל קבצים מצורפים. אין לנו גישה לתיבת הדואר שלך. (בעתיד, גישת Gmail לקריאה בלבד – רק בהסכמה נפרדת ומפורשת.)
3. **מה אנחנו עושים בו**: מחלצים שדות חיוב (ספק, סכום, מטבע, תאריך, סוג מסמך, אסמכתא) ומציגים אותם בדשבורד עם קישור למייל המקור. הדשבורד משקף רק מידע שחולץ מהמיילים שלך; פריטים לא ודאיים מסומנים.
4. **עיבוד באמצעות AI**: תוכן המיילים נשלח לספק מודל שפה לצורך חילוץ בלבד, בתנאים האוסרים אימון על המידע (יאומת מול תנאי הספק).
5. **שמירה**: נשמרים השדות שחולצו ומטא-דאטה של המקור; גוף המייל הגולמי נמחק תוך 30 יום (לאישור).
6. **לא מוכרים ולא מפרסמים**: איננו מוכרים מידע ואיננו משתמשים בו לפרסום.
7. **מחיקה**: ניתן למחוק את כל המידע או את החשבון בכל עת מתוך ההגדרות; המחיקה מבוצעת מיידית במסד הנתונים ומגיבויים תוך 30 יום.
8. **ספקי משנה**: אחסון (Hetzner, גרמניה/פינלנד), מסד נתונים (Supabase), דוא"ל (Cloudflare, Resend), תשלומים (Paddle – כמשווק רשום), ספק LLM.
9. **זכויותיך**: עיון, תיקון ומחיקה לפי חוק הגנת הפרטיות התשמ"א-1981 (כולל תיקון 13) ו-GDPR/UK GDPR למשתמשי אירופה/בריטניה.
10. **אבטחה**: הצפנה בהעברה ובמנוחה, הפרדת מידע בין משתמשים, גישה מינימלית.

## Privacy Policy – Kablabox (DRAFT v0.1, 14 Oct 2026)
1. **Who we are**: Kablabox, operated by Itai Klipper (business details TBD). Contact: privacy@kablabox.com (not yet set up).
2. **Data we collect**: your sign-up email; emails you choose to forward to your personal forwarding address, incl. attachments. We have no access to your mailbox. (Future read-only Gmail access only with separate explicit consent.)
3. **Use**: we extract billing fields (vendor, amount, currency, date, document type, reference) and show them with a link to the source email. The dashboard reflects only email-derived information; uncertain items are flagged.
4. **AI processing**: content is sent to an LLM provider solely for extraction, under terms prohibiting training on it (to be verified).
5. **Retention**: extracted fields + source metadata kept while your account is active; raw email bodies deleted within 30 days (TBC).
6. **No selling, no ads.**
7. **Deletion**: delete all data or your account anytime in settings; immediate in the live database, backups within 30 days.
8. **Sub-processors**: Hetzner (hosting, EU), Supabase (database), Cloudflare & Resend (email), Paddle (merchant of record), LLM provider.
9. **Your rights**: access, correction, deletion under Israeli Privacy Protection Law (incl. Amendment 13), GDPR/UK GDPR, and applicable US state laws.
10. **Security**: encryption in transit/at rest, per-tenant isolation, least privilege.