אבטחה ב-Ruya

יומן חלומות הוא אחד הדברים האישיים ביותר שאדם יכול לשמור. ההגנה עליו היא לא עוד תכונה ב-Ruya: היא התנאי לכל מה שאנחנו בונים. בעמוד הזה אנחנו מסבירים בשפה פשוטה איך המידע שלכם מוגן, מה אנחנו בכוונה אף פעם לא עושים איתו, ואיך אפשר ליצור איתנו קשר אם מצאתם בעיית אבטחה.

איך המידע שלכם מוגן

• הצפנה בזמן העברה. כל חיבור בין המכשיר שלכם לשרתים שלנו משתמש ב-TLS (HTTPS). אין שום נתיב לא מוצפן אל Ruya.
• הצפנה במנוחה. מסדי הנתונים ואחסון הקבצים שלנו מוצפנים במנוחה (at rest), והמידע הרגיש ביותר שלכם, ההקשר האישי ששימש לשיפור הפירושים, מוצפן בנוסף ברמת האפליקציה באמצעות AES-256, כך שהוא נשאר בלתי קריא גם בייצוא גולמי של מסד הנתונים.
• סיסמאות לא נשמרות. אנחנו שומרים רק hash חד-כיווני של הסיסמה שלכם באמצעות bcrypt. אף אחד ב-Ruya לא יכול לראות אותה, ואי אפשר לשחזר אותה ממסד הנתונים שלנו.
• אחסון באיחוד האירופי. Ruya פועלת על Microsoft Azure ו-MongoDB Atlas במרכזי נתונים באיחוד האירופי, באירלנד.
• הגנה מפני ניצול לרעה. תהליכי ההתחברות והחשבון מוגנים מפני בוטים באמצעות Cloudflare Turnstile, וה-API שלנו מפעיל הגבלת קצב בקשות (rate limiting).

החלומות שלכם נשארים פרטיים

היומן שלכם מיועד לעיניים שלכם בלבד. אנחנו מתייחסים לתוכן החלומות, רשומות היומן ואירועי החיים שלכם כאל מידע פרטי בתכלית:

• לא משותף עם גורמי אנליטיקה או מפרסמים. הטקסט של הרשומות שלכם לא נשלח לאף שירות אנליטיקה או פרסום. כלי האנליטיקה יכולים לראות שחלום נשמר, אבל אף פעם לא מה כתוב בו.
• צוות Ruya לא יכול לעיין ביומן שלכם. כלי התמיכה הפנימיים שלנו מציגים רק פרטי חשבון ומנוי ומספר רשומות. אין שום יכולת שמציגה למנהל מערכת את היומן של משתמש.
• לא משמש לאימון בינה מלאכותית. פירוש חלומות מתבצע ב-Azure OpenAI בתנאים ארגוניים: התוכן שלכם לעולם לא משמש לאימון מודלים של בינה מלאכותית.
• נעילת אפליקציה אופציונלית. אפשר להגן על האפליקציה בנייד באמצעות Face ID, Touch ID או קוד הגישה של המכשיר, כך שהיומן שלכם נשאר פרטי גם אם מישהו שואל את הטלפון שלכם.

תשלומים

כל המנויים מעובדים דרך Apple App Store, Google Play, או שותפי התשלום שלנו RevenueCat ו-Stripe באתר. פרטי הכרטיס שלכם עוברים ישירות לספקים האלה: הם אף פעם לא מגיעים לשרתים של Ruya, ואנחנו לא שומרים אותם.

הבקרה בידיים שלכם

• מחיקת החשבון בכל עת. מחיקת החשבון מסירה לצמיתות את היומן והמידע האישי שלכם ממערכות הייצור שלנו.
• ההקשר האישי הוא אופציונלי. אתם מחליטים אם התשובות שלכם לשאלות הפירוש יישמרו לשיפור פירושים עתידיים, ואפשר לכבות את זה.
• לקחת את החלומות איתכם. אפשר לייצא את היומן כספר חלומות מעוצב ויפה בכל פעם שרוצים עותק אישי.

דיווח על בעיית אבטחה

אין מערכת מושלמת, ואנחנו מעריכים את העבודה של חוקרי אבטחה. אם לדעתכם מצאתם פרצת אבטחה בכל אחד מהשירותים של Ruya - ruya.co, web.ruya.co, ה-API שלנו או אפליקציות ה-iOS וה-Android - אפשר לשלוח מייל אל [email protected] עם תיאור הבעיה, השלבים לשחזור שלה וההשפעה האפשרית שלה.

אם הדיווח נעשה בתום לב, אנחנו מתחייבים ל:

• לאשר את קבלת הדיווח תוך 3 ימי עבודה.
• לעדכן אתכם לאורך הבדיקה ותיקון הבעיה.
• לתת לכם קרדיט פומבי על דיווח שאושר, אם תרצו בכך.
• לא לנקוט צעדים משפטיים בגין מחקר שנעשה בתום לב ובהתאם למדיניות זו.

בתמורה, אנחנו מבקשים:

• לבצע בדיקות רק בחשבונות שבבעלותכם, ולעולם לא לגשת למידע של משתמשים אחרים, לשנות אותו או למחוק אותו.
• לא לבצע בדיקות מניעת שירות (DoS), שליחת ספאם או התקפות הנדסה חברתית נגד Ruya או נגד המשתמשים שלה.
• לשמור על היקף נמוך של סריקות אוטומטיות, כדי שלא לפגוע במשתמשים אחרים.
• לתת לנו זמן סביר לתקן את הבעיה לפני פרסום פומבי שלה.
• לדווח על פרצות בפלטפורמות של צד שלישי שבהן אנחנו משתמשים (Apple, Google, Stripe, RevenueCat, Microsoft Azure, Cloudflare) ישירות לחברות האלה.

כרגע אין לנו תוכנית תגמול בתשלום על איתור באגים, אבל כל דיווח תקף נבדק, מתוקן ומקבל קרדיט. פרטי הקשר שלנו לענייני אבטחה, בפורמט קריא למכונה, מפורסמים בכתובת ruya.co/.well-known/security.txt.

אבטחה היא תהליך שלא נגמר. אנחנו בודקים את הנהלים שלנו באופן קבוע, ונעדכן את העמוד הזה ככל שתוכנית האבטחה שלנו תתפתח. עודכן לאחרונה: אוגוסט 2026.