מדיניות פרטיות — Onyx
עודכן לאחרונה: 06/11/2026
בקצרה
- כל ההוצאות, ההכנסות, התמונות, הקטגוריות והתקציבים נשמרים במכשיר שלכם בלבד, מוצפנים (AES-256).
- אין חשבון משתמש, אין פרסומות, אין כלי מעקב או ניתוח שימוש, ואין שרת של Onyx ששומר את הנתונים שלכם (מלבד מונה שימוש אנונימי לעזרת ה-AI).
- אנחנו לא רואים את הנתונים שלכם ולא יכולים לשחזר אותם. אם תאבדו את מפתח השחזור והסיסמה, אי אפשר לפתוח את הנתונים.
- רק כמה פעולות, שאתם מפעילים בעצמכם, שולחות מידע מוגבל לשירותים חיצוניים. הן מפורטות למטה.
מי אחראי
Onyx היא אפליקציה חינמית שמפתח ומפעיל ליאב ויניק (Liav Vinik), כאדם פרטי, ישראל. לפניות בנושא פרטיות: Onyx.help@outlook.com. נשיב לפניות בנושא פרטיות ולבקשות לממש זכויות תוך 30 יום.
הודעה על איסוף ושיתוף מידע
- מסירת מידע לשירותים חיצוניים היא מרצון ואינה חובה כדי להשתמש באפליקציה: כל שירות כזה פועל רק אם הפעלתם אותו בעצמכם.
- Onyx אינה מקבלת החלטות אוטומטיות שיש להן השפעה משפטית או משמעותית דומה עליכם.
- אין לנו מאגר משתמשים ואין חשבונות. המידע היחיד ששרת שלנו שומר הוא מונים פסבדונימיים לעזרת ה-AI (ראו "שמירה ומחיקה").
מה נשמר במכשיר שלכם
- תנועות (הוצאות והכנסות), פירוט, תמונות קבלה, קטגוריות, תקציבים, יעדי חיסכון, הגדרות והתראות.
- הלוואות, משכנתאות ונכסים שהזנתם ורשימת הזכויות (התשובות והסימונים) נשמרים מוצפנים במכשיר בלבד, נכללים בקובצי הגיבוי המוצפנים, ואינם נשלחים לשום מקום.
- הכול מוצפן ב-AES-256 לפני השמירה. מפתח ההצפנה נפתח בטביעת אצבע / Face ID (Passkey), בסיסמה או במפתח השחזור. הנתונים הביומטריים עצמם לא יוצאים מהמכשיר ולא נגישים ל-Onyx.
- סריקת קבלות (OCR), תובנות, תחזיות והתראות מחושבות במכשיר.
- תמונות שצולמו מועברות ישירות ל-Onyx ונשמרות בה מוצפנות; בחלק מהטלפונים אפליקציית המצלמה של המכשיר עשויה לשמור עותק בגלריה.
- קובץ גיבוי: אם תיצרו גיבוי ידני, הקובץ מוצפן, ואתם בוחרים לאן לשלוח אותו (למשל Google Drive או מייל).
- סיכום לאדם מלווה (אופציונלי): נוצר מהנתונים שבמכשיר כקובץ מוצפן ואינו נשמר באפליקציה, והביטוי שלו אינו נשמר בכלל. הקובץ הוא תצלום מצב עם תאריך תפוגה שנבדק בדף הצפייה, ולא נתונים חיים.
- גיבוי אוטומטי ל־Google Drive (אופציונלי, רק אם חיברתם): Onyx מעלה את אותו קובץ מוצפן לתיקייה הנסתרת של האפליקציה ב־Drive שלכם, אחרי שינויים כשהאפליקציה פתוחה. נשמרים עד שלושה קבצים בתיקייה: שני עותקים מתחלפים ועותק שבועי. ההרשאה היא לתיקיית הנתונים של האפליקציה בלבד (drive.appdata) — ל-Onyx אין גישה לקבצים אחרים ב־Drive. הקובץ מוצפן במכשיר ואיננו קריא לגוגל. אפשר לנתק בכל עת בהגדרות, ולהסיר את הקבצים כמפורט ב"שמירה ומחיקה".
- מה נשמר באחסון של הדפדפן, ולמה: ראו "עוגיות ואחסון מקומי".
עוגיות ואחסון מקומי
Onyx לא משתמשת בעוגיות (cookies) — לא עוגיות מעקב, לא פרסום, לא ניתוח שימוש ולא עוגיות של צד שלישי. לכן גם אין באנר עוגיות: אין מה לאשר או לסרב לו.
כדי לעבוד, האפליקציה שומרת מידע באחסון של הדפדפן במכשיר שלכם (IndexedDB, localStorage, Cache Storage). המידע הזה לא נשלח אלינו ולא לאף אחד אחר, והוא נחוץ לפעולת האפליקציה, ולכן לא נדרשת הסכמה נפרדת עבורו:
| מה | למה | מוצפן? |
|---|---|---|
| הנתונים שלכם (תנועות, תמונות, הגדרות ועוד) | זה התוכן של האפליקציה | כן, AES-256 |
| העדפות תצוגה: שפה, ערכת נושא, אופן הפנייה, זמני נעילה, פריסת מסך רחב, צד התפריט | כדי שהמסך ייראה נכון כבר לפני הפתיחה, גם במסך הנעילה | לא — אין בהן מידע כספי |
| זיכרונות קטנים של ממשק: מקור התמונה האחרון (מצלמה/גלריה), "לא עכשיו" להצעת ההתקנה, הודעות שכבר הוצגו | כדי לא לשאול שוב את אותה שאלה | לא |
| מונה ניסיונות כניסה כושלים וקודי אימות שגויים | אבטחה — השהיה אחרי ניסיונות חוזרים | לא (המונה של האימות הדו-שלבי נשמר גם בתוך הכספת המוצפנת) |
| מצב זמני של חיבור Google Drive | להשלים את ההתחברות; נמחק בסיום או אחרי 10 דקות | לא |
| "מותר להוציא ליום" — החודש, התקציב והסכום שנשאר (רק אם הפעלתם) | לעדכן את ההתראה פעם ביום בלי לפתוח את האפליקציה | לא — אין בו תנועות, בתי עסק או קטגוריות |
| תמונות או טקסט ששיתפתם ל-Onyx מאפליקציה אחרת | להחזיק אותם עד שתפתחו את האפליקציה; אז הם מוצפנים לתוך התנועה ונמחקים | לא, לזמן קצר בלבד |
| קובצי האפליקציה (Service Worker) | כדי שהאפליקציה תיפתח ותעבוד בלי חיבור | לא — אין בהם מידע אישי |
- שליטה ומחיקה: "מחיקת כל הנתונים" (הגדרות ← אבטחה ופרטיות ← פרטיות) מוחקת את כל מה שבטבלה. אפשר גם לנקות את נתוני האתר בהגדרות הדפדפן — שימו לב שזה מוחק גם את הנתונים המוצפנים, ובלי גיבוי אי אפשר לשחזר אותם.
- אתרים חיצוניים: כשאתם עוברים לדף ההתחברות של Google או פותחים קישור ל-Google Maps, האתרים האלה עשויים להשתמש בעוגיות משלהם, לפי מדיניות הפרטיות שלהם.
Google: Drive והתחברות
- החיבור ל-Drive הוא אופציונלי ומתבצע בדף ההתחברות של גוגל. ההרשאה היחידה שמתבקשת היא drive.appdata (תיקיית הנתונים הנסתרת של Onyx).
- אסימון הגישה לטווח ארוך של Drive נשמר מוצפן במכשיר ואינו נכלל בקובצי הגיבוי. השרת של Onyx רואה אותו רק בזמן שהוא מחליף אותו באסימון גישה קצר, ואינו שומר אותו.
- אפשר לבטל את הגישה בכל עת ב-myaccount.google.com/permissions או בניתוק החיבור בהגדרות Onyx.
- Onyx's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
- בעברית: השימוש של Onyx במידע שמתקבל מ-Google APIs, והעברתו לכל אפליקציה אחרת, יעמדו במדיניות הנתונים של Google API Services, כולל דרישות ה-Limited Use (שימוש מוגבל). ההרשאה drive.appdata משמשת רק לשמירה וקריאה של קובץ הגיבוי המוצפן של Onyx, לעולם לא לפרסום ולא לשיתוף עם אחרים.
מה יוצא מהמכשיר, ומתי
| שירות | מה נשלח | מתי |
|---|---|---|
| Vercel (אחסון האתר) | כתובת IP וסוג הדפדפן, כמו בכל אתר. Onyx לא קוראת או שומרת אותם בעצמה, אך הם עשויים להישמר ביומני השרת של Vercel. | בטעינת האפליקציה ובעדכונים |
| שערי מטבע: השרת של Onyx מבקש מ-Frankfurter (שערי הבנק המרכזי האירופי), ולמטבע שאין לו שער שם (למשל לארי, דירהם) מ-ExchangeRate-API | קוד המטבע ותאריך ההוצאה, בלי סכום ובלי בית עסק | רק בהוצאה במטבע זר. אם השרת של Onyx לא עונה, הטלפון פונה ישירות ל-Frankfurter |
| OpenStreetMap (Nominatim) | הקואורדינטות של ההוצאה, או הטקסט שהקלדתם בחיפוש כתובת | רק בלחיצה על "הצגת כתובת", ובחיפוש כתובת רק בלחיצה על "חיפוש" |
| MyMemory (שירות תרגום) | שמות קטגוריות שהמילון שבטלפון לא תרגם | רק בלחיצה על "תרגום באינטרנט" |
| ריבית בנק ישראל ומדד המחירים לצרכן (השרת של Onyx) | כלום עליכם. הטלפון מבקש מהשרת של Onyx נתונים ציבוריים (ריבית בנק ישראל, פריים ומדד המחירים), בלי הלוואות, סכומים או מידע אישי, והתשובה זהה לכולם | פעם ביום, רק כשיש הלוואה בפריים או צמודה למדד. אם אין חיבור, משתמשים בנתונים האחרונים ששמורים |
| Google Maps (קישור חיצוני) | הקואורדינטות של ההוצאה, כחלק מהקישור שנפתח | רק בלחיצה על "מפה"; המפה נפתחת מחוץ ל-Onyx ובכפוף למדיניות של Google |
| Google (התחברות ו-Drive) | ההתחברות מתבצעת בדף של גוגל. לגוגל נשלח קובץ הגיבוי המוצפן בלבד. השרת של Onyx מחליף אסימוני התחברות ואינו שומר כלום | רק אם חיברתם את Drive: בהתחברות, ואחר כך אחרי שינויים כשהאפליקציה פתוחה |
| Google (חיפוש, קישור חיצוני בהשוואת מחירים) | ביטוי חיפוש כללי על סוג השירות (למשל ביטוח רכב), בלי נתונים שלכם | רק בלחיצה על "לחיפוש מחירים עדכניים"; החיפוש נפתח מחוץ ל-Onyx ובכפוף למדיניות של Google |
| אפליקציית המייל שלכם (משוב) | הטקסט שכתבתם ואם בחרתם — פרטים טכניים (סוג מכשיר ודפדפן, שפה, ערכה, גודל מסך). בלי נתונים כספיים. Onyx לא שולחת כלום בעצמה | רק כשאתם לוחצים "שליחה" באפליקציית המייל שלכם; ההודעה נשלחת לכתובת התמיכה ולספק המייל שלכם |
| עזרת AI: השרת של Onyx ו-Claude של Anthropic | סכומים מסוכמים בלבד: סכומי החודש, סכום לכל קטגוריה (בשם שנתתם לה) וסוגי הצעות חיסכון. בלי בתי עסק, הערות, תאריכים, מקומות, תמונות או תנועות בודדות. אם יש לכם חשבון סלולר, אינטרנט או טלוויזיה, נשלחים גם סוג השירות והסכום החודשי שלו (בלי שם הספק), כדי שההצעות יתייחסו אליו. ב־Onyx Assistant (מסך השאלות והתשובות) נשלחים רק הטקסט של השאלה שהקלדתם ושלוש עד חמש תשובות מהמדריך של האפליקציה, בלי שום נתון כספי; אל תכתבו בשאלה פרטים אישיים. כשאין במדריך תשובה, השאלה יכולה לשמש לחיפוש באינטרנט דרך כלי החיפוש של Anthropic. שאלה עם מספר אישי לא נשלחת. העוזר לא נספר ב-5 השימושים, ויש לו מגבלה משלו. ב״מה אם…?״ נשלחים קודם השאלה ושמות הקטגוריות (בלי סכומים); אם מבקשים הסבר אישי — גם הפריטים מהשאלה ותוצאת החישוב בסכומים מסוכמים (תקציב, תחזית לסוף החודש, יעדים בשמם וההפקדה החודשית שלהם) ושורת סיכום אחת של קניות קודמות אם לא הסרתם אותה. החישוב עצמו והחיפוש בקניות הקודמות נעשים במכשיר; לא נשלחים תנועות, תאריכים או בתי עסק. | עזרת ה-AI: רק אם הפעלתם אותה. העוזר: רק אחרי אישור חד-פעמי לפני השאלה הראשונה. ובכל פעם רק אחרי שראיתם מה יישלח ולחצתם "שליחה" |
| Upstash (מסד Redis של מוני השימוש של שרת ה-AI) | מונים בלבד: מזהה מכשיר אקראי עם מספר השימושים והעלות בדולרים, מונה מכשירים חדשים לפי גיבוב יומי מומלח של כתובת ה-IP, ומוני קצב בקשות לפי גיבוב של כתובת ה-IP. בלי תוכן בקשות, ובלי כתובת ה-IP עצמה | רק כשמשתמשים בעזרת ה-AI (כולל Onyx Assistant) |
| טבלת המחירים השבועית של Onyx (השוואת מחירים) | כלום עליכם. הטלפון מוריד קובץ מחירים אחד, זהה לכולם, כמו טעינת דף, וההשוואה לחשבונות שלכם נעשית במכשיר. כמו בכל טעינה, כתובת ה-IP וסוג הדפדפן חשופים לאחסון האתר | כשפותחים את השוואת המחירים; השרת מרענן את הטבלה פעם בשבוע |
| שירות הזיהוי הקולי של הדפדפן או של מערכת ההפעלה (ב-Chrome באנדרואיד: Google; במכשירי Apple: Apple) | השמע של מה שאמרתם. Onyx עצמה לא מקבלת את השמע ולא שומרת אותו; היא מקבלת בחזרה רק טקסט ומנתחת אותו במכשיר. השירות עשוי לעבד את השמע מחוץ לאפליקציה לפי מדיניות הפרטיות שלו | רק בלחיצה על "הקלדה בקול", ורק אחרי שאישרתם את ההודעה שמופיעה בפעם הראשונה (אפשר לבטל את ההסכמה במסך "פרטיות") |
| סיכום לאדם מלווה (אופציונלי) | קובץ מוצפן (AES-256-GCM, מפתח שנגזר מביטוי אקראי של שש מילים) עם מה שבחרתם לשתף: סכומי החודש, סכומים לפי קטגוריה, מצב התקציב, ואם בחרתם גם תנועות אחרונות (תאריך, בית עסק, קטגוריה וסכום; בלי הערות, תמונות ומיקומים). הקובץ נוצר במכשיר ולא נשלח לשרת של Onyx. הוא יוצא רק כשאתם בוחרים לשתף או להוריד אותו, ואתם בוחרים למי. הביטוי מוצג פעם אחת ולא נשמר | רק בלחיצה על "יצירת סיכום" ואחר כך על "שיתוף הקובץ" או "הורדה". דף הצפייה (companion.html) מפענח בדפדפן של המקבל ואינו שולח ואינו שומר דבר; כל מי שיש לו גם את הקובץ וגם את הביטוי יכול לקרוא אותו |
בעזרת ה-AI, האפליקציה לא שומרת את מה שנשלח ולא את התשובה בשרת. התשובה נשמרת במכשיר בלבד, מוצפנת. Anthropic (ארצות הברית) מעבדת את הבקשה לפי תנאי ה-API המסחריים שלה, ועשויה לשמור אותה לתקופה מוגבלת; לפי התנאים האלה נתונים שנשלחים דרך ה-API לא משמשים לאימון מודלים. שמות הקטגוריות נשלחים כפי שכתבתם אותם, ולכן אל תכללו בהם פרטים אישיים. לספירת 5 השימושים החינם של המכשיר, השרת שומר לפי מזהה מכשיר אקראי שהאפליקציה יוצרת (הוא לא אומר דבר על האדם, ושמור מוצפן בטלפון ובגיבויים שלו, כך ששחזור גיבוי שומר על אותה מכסה) את מספר השימושים והעלות בדולרים, אף פעם לא את תוכן הבקשות. כדי למנוע ניצול לרעה נספרים גם מכשירים חדשים לפי רשת ליום, בעזרת גיבוב יומי מומלח של כתובת ה-IP (כתובת ה-IP עצמה לא נשמרת). השוואת המחירים לא שולחת כלום.
עזרת ה-AI: התשובות נוצרות על ידי Claude של Anthropic, עלולות להכיל טעויות, ואינן ייעוץ פיננסי, מס או משפטי. אל תכניסו מידע אישי בשאלות. הבדיקה של ניסוחי מצוקה ב-Onyx Assistant, וכן של מספרים אישיים, מתבצעת במכשיר עצמו לפני שנשלח משהו.
סכומים של תנועות בודדות, בתי עסק, הערות ותמונות לא נשלחים לאף שירות. כל פנייה ישירה לשירות חיצוני חושפת בהכרח לאותו שירות את כתובת ה-IP וסוג הדפדפן שלכם, כמו בכל אתר.
הרשאות במכשיר
- מצלמה: Onyx לא מבקשת הרשאת מצלמה. לצילום קבלה נפתחת אפליקציית המצלמה של הטלפון עצמו, והתמונה חוזרת ל-Onyx. בחלק מהטלפונים אפליקציית המצלמה עשויה לשמור עותק בגלריה.
- מיקום: אופציונלי. נשמר במכשיר עם ההוצאה, ואפשר לכבות בהגדרות ← אבטחה ופרטיות.
- מיקרופון: רק בהקלדה בקול, אחרי שאישרתם את ההודעה. הדפדפן יבקש הרשאה, וההקלטה נשמעת לשירות הזיהוי של הדפדפן או של מערכת ההפעלה ולא ל-Onyx (ראו הטבלה למעלה).
- התראות: התראות מקומיות בלבד (תקציב, גיבוי), מחושבות במכשיר ולא נשלחות משרת.
- טביעת אצבע / Face ID: דרך מנגנון ה-Passkey של המכשיר.
- שיתוף ל-Onyx: טקסט או תמונה ששיתפתם מאפליקציה אחרת נשמרים זמנית במכשיר עד שהאפליקציה נפתחת, ואז מוצפנים או נמחקים.
שמירה ומחיקה
- הנתונים נשארים במכשיר עד שתמחקו אותם. הגדרות ← אבטחה ופרטיות ← פרטיות ← "מחיקת כל הנתונים" מוחקת הכול מהמכשיר ומנתקת את Drive.
- תנועה שנמחקה נשמרת בסל המחזור 30 ימים (בשליטתכם) ואז נמחקת.
- הסרת האפליקציה או ניקוי נתוני האתר בדפדפן מוחקים את הנתונים במכשיר. קובץ גיבוי שיצרתם נשאר איפה ששמרתם אותו.
- השרת של Onyx שומר רק מונה שימוש פסבדונימי לעזרת ה-AI: מזהה מכשיר אקראי, שאינו מקושר לשם או לחשבון ואינו מקושר לאדם. מחיקת נתוני האפליקציה במכשיר יוצרת מזהה חדש בשימוש הבא; המונה הישן נשאר בשרת ואי אפשר לקשר אותו אליכם. המזהה מוצג בהגדרות ← אבטחה ופרטיות ← פרטיות, עם כפתור "בקשת מחיקה במייל"; נמחק את המונים שלו תוך 30 יום. מעבר לכך אין לנו מה לספק או למחוק בשרת: הגישה, התיקון והמחיקה של שאר הנתונים נעשים באפליקציה עצמה. נשמח לענות על כל שאלה במייל.
- תקופות שמירה בשרת של עזרת ה-AI: מונה השימוש לכל מכשיר נשמר כל עוד עזרת ה-AI פועלת; מונה מכשירים חדשים לפי גיבוב כתובת IP נמחק אחרי יומיים; מוני קצב הבקשות לפי גיבוב כתובת IP נמחקים אחרי כשעה; מוני Onyx Assistant נמחקים 24 שעות אחרי הפעולה האחרונה. יומני השרת של Vercel נשמרים לפי מדיניות Vercel. תוכן בקשות ה-AI אינו נשמר אצלנו; Anthropic שומרת אותו לתקופה מוגבלת לפי תנאי ה-API המסחריים שלה.
- "מחיקת כל הנתונים" מנתקת את Drive, אבל לא מוחקת גיבויים שיצרתם: קובץ ומייל נשארים איפה ששמרתם אותם, וקובצי הגיבוי שכבר שמורים ב-Drive נשארים שם. כדי למחוק אותם: Google Drive ← הגדרות ← ניהול אפליקציות ← Onyx ← מחיקת נתוני אפליקציה נסתרים.
ילדים
Onyx מיועדת לבני 18 ומעלה. היא אינה מיועדת לקטינים ואיננו אוספים מידע עליהם ביודעין.
העברת מידע לחו"ל, בסיס חוקי וזכויות
- רוב הנתונים לא יוצאים מהמכשיר. כשהם כן (השירותים בטבלה למעלה, ובהם Anthropic, Google, Vercel, Upstash, MyMemory, Frankfurter, ExchangeRate-API ו-OpenStreetMap), הם עשויים להיות מעובדים בשרתים מחוץ לישראל, ובהם בארצות הברית ובאיחוד האירופי.
- העברות לארצות הברית נשענות על אמצעי ההגנה של הספקים, למשל סעיפי חוזה סטנדרטיים (SCC) או מסגרת הפרטיות האירופית-אמריקאית (Data Privacy Framework) אצל ספקים שמשתתפים בה.
- הבסיס לעיבוד הוא הסכמתכם (אתם מפעילים כל שירות חיצוני בעצמכם) והפעלת האפליקציה שביקשתם. אפשר לבטל הסכמה בכל עת על ידי כיבוי התכונה.
- מידע פיננסי עשוי להיחשב "מידע בעל רגישות מיוחדת" לפי חוק הגנת הפרטיות בישראל, ולכן הוא מוצפן במכשיר ואינו נשמר אצלנו.
- לפי חוק הגנת הפרטיות בישראל (כולל תיקון 13): עיון במידע, בקשה לתיקונו או למחיקתו, והזכות להגיש תלונה לרשות להגנת הפרטיות. לפי ה-GDPR (למי שנמצא באיחוד האירופי): גישה, תיקון, מחיקה, הגבלת עיבוד, ניוד, התנגדות וביטול הסכמה, והזכות להגיש תלונה לרשות פיקוח באיחוד. מכיוון שהנתונים אצלכם, רוב הזכויות מתממשות באפליקציה עצמה; לשאלות ולבקשות אפשר לפנות אלינו במייל, ונשיב תוך 30 יום.
- אם ייגרם אירוע אבטחה שפוגע במידע שלכם בשירות שבאחריותנו, נודיע על כך כנדרש בדין.
תנאי שימוש והבהרות
Onyx ניתנת "כמות שהיא" לשימוש אישי. היא כלי מעקב ואינה ייעוץ פיננסי, מס או משפטי; תחזיות, הצעות חיסכון ומחירי שוק הם הערכות בלבד. הנתונים מוצפנים במכשיר ואין לנו יכולת לשחזר אותם: אם אבדו הסיסמה או מפתח השחזור וגם אין גיבוי, הנתונים יאבדו לצמיתות. באחריותכם ליצור גיבויים ולשמור את המפתח. במידה המותרת בדין, איננו אחראים לאובדן נתונים או לנזק עקיף. השירות עשוי להשתנות, להיפסק או להיות מוגבל, ובכלל זה מכסות עזרת ה-AI. אין בתנאים אלה כדי לגרוע מזכויות שאי אפשר להתנות עליהן לפי דין. על תנאים אלה יחולו דיני מדינת ישראל, ולבתי המשפט בישראל תהיה סמכות שיפוט. רכיבי קוד פתוח באפליקציה (בהם Tesseract.js ו-pdf.js) כפופים לרישיונות שלהם.
אבטחה
ההצפנה במכשיר, הכותרות המחמירות של האתר (CSP, HSTS) והעדר חשבון ושרת נתונים מצמצמים את הסיכון. עם זאת, אין מערכת מאובטחת לחלוטין: שמרו את מפתח השחזור במקום בטוח ועשו גיבוי מדי פעם. חוזק ההגנה על קובץ גיבוי תלוי בחוזק הסיסמה, ולכן כדאי לבחור סיסמה ארוכה; מפתח השחזור חזק יותר.
שינויים במדיניות
אם נשנה את המדיניות, נעדכן את התאריך בראש הדף. שינוי מהותי יוצג גם באפליקציה.
Privacy Policy — Onyx
Last updated: November 6, 2026
In short
- All your expenses, income, photos, categories and budgets are stored only on your device, encrypted (AES-256).
- There is no account, no ads, no tracking or analytics, and no Onyx server that stores your data (apart from an anonymous AI-usage counter).
- We can't see your data and can't recover it. If you lose both the recovery key and your password, the data can't be opened.
- Only a few actions that you trigger yourself send limited information to outside services. They are listed below.
Who is responsible
Onyx is a free app built and run by Liav Vinik, an individual, Israel. Privacy questions: Onyx.help@outlook.com. We answer privacy questions and requests to exercise your rights within 30 days.
Notice about collecting and sharing information
- Sharing information with outside services is voluntary and not required to use the app: each such service runs only if you turned it on yourself.
- Onyx makes no automated decisions that have a legal or similarly significant effect on you.
- We have no user database and no accounts. The only information a server of ours keeps is pseudonymous counters for AI help (see "Retention and deletion").
What is stored on your device
- Transactions (expenses and income), details, receipt photos, categories, budgets, savings goals, settings and alerts.
- Loans, mortgages and assets you enter, and the rights checklist (answers and marks), are stored encrypted on the device only, are included in the encrypted backup files, and are never sent anywhere.
- Everything is encrypted with AES-256 before it is saved. The key opens with your fingerprint / Face ID (a passkey), your password or your recovery key. Your biometric data never leaves the device and isn't available to Onyx.
- Receipt scanning (OCR), insights, forecasts and alerts are computed on the device.
- Photos taken are passed straight to Onyx and stored there encrypted; on some phones the device's own camera app may keep a copy in the gallery.
- Backup file: if you create a manual backup, the file is encrypted and you choose where to send it (for example Google Drive or email).
- Companion summary (optional): built from the data on the device as an encrypted file and not kept in the app, and its passphrase is not stored at all. The file is a snapshot with an expiry date checked by the viewer page, not live data.
- Automatic backup to Google Drive (optional, only if you connect it): Onyx uploads the same encrypted file to the app's hidden folder in your Drive, after changes while the app is open. Up to three files are kept in that folder: two rotating copies and one weekly copy. The permission covers the app's own data folder only (drive.appdata) — Onyx cannot access other files in your Drive. The file is encrypted on your device and unreadable to Google. You can disconnect any time in settings, and remove the files as described under "Retention and deletion".
- What is kept in the browser's storage, and why: see "Cookies and local storage".
Cookies and local storage
Onyx does not use cookies — no tracking, advertising, analytics or third-party cookies. That's also why there is no cookie banner: there is nothing to accept or refuse.
To work, the app keeps information in your browser's storage on your device (IndexedDB, localStorage and Cache Storage). It is not sent to us or anyone else, and it is strictly necessary for the app to function, so no separate consent is needed for it:
| What | Why | Encrypted? |
|---|---|---|
| Your data (transactions, photos, settings and more) | It is the app's content | Yes, AES-256 |
| Display preferences: language, theme, form of address, lock timeouts, wide-screen layout, menu side | So the screen looks right before unlocking, including on the lock screen | No — no financial information |
| Small interface memories: last photo source (camera/gallery), "Not now" on the install prompt, tips already shown | So you aren't asked the same thing twice | No |
| Counters of failed sign-ins and wrong verification codes | Security — a delay after repeated attempts | No (the two-step counter is also kept inside the encrypted vault) |
| Temporary Google Drive connection state | To finish signing in; deleted when done or after 10 minutes | No |
| "Daily allowance" — the month, budget and amount left (only if you turned it on) | To refresh the notification once a day without opening the app | No — no transactions, merchants or categories |
| Photos or text you shared to Onyx from another app | Held until you open the app; then encrypted into the transaction and deleted | No, briefly only |
| The app's files (service worker) | So the app opens and works offline | No — no personal information |
- Control and deletion: "Delete all data" (Settings → Security & privacy → Privacy) erases everything in this table. You can also clear the site's data in your browser settings — note that this erases your encrypted data too, and without a backup it can't be recovered.
- Outside sites: when you go to Google's sign-in page or open a Google Maps link, those sites may use their own cookies under their own privacy policies.
Google: Drive and sign-in
- Connecting Drive is optional and happens on Google's own sign-in page. The only permission requested is drive.appdata (Onyx's hidden data folder).
- The long-lived Drive token is stored encrypted on the device and is not included in backup files. The Onyx server sees it only while swapping it for a short-lived access token, and does not store it.
- You can revoke access at any time at myaccount.google.com/permissions or by disconnecting in Onyx's settings.
- Onyx's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The drive.appdata permission is used only to store and read Onyx's own encrypted backup, never for advertising and never shared with others.
What leaves the device, and when
| Service | What is sent | When |
|---|---|---|
| Vercel (site hosting) | IP address and browser type, as with any website. Onyx doesn't read or store them itself, but they may appear in Vercel's server logs. | When the app loads and updates |
| Exchange rates: the Onyx server asks Frankfurter (European Central Bank rates), and for a currency it lacks (e.g. lari, dirham) ExchangeRate-API | The currency code and the expense date — no amount, no merchant | Only for foreign-currency expenses. If the Onyx server doesn't answer, the phone asks Frankfurter directly |
| OpenStreetMap (Nominatim) | The expense's coordinates, or the text you typed in an address search | Only when you tap "Show address", and for an address search only when you tap "Search" |
| MyMemory (translation service) | Category names the phone's dictionary couldn't translate | Only when you tap "Translate online" |
| Bank of Israel rate and consumer price index (the Onyx server) | Nothing about you. The phone asks the Onyx server for public data (the Bank of Israel rate, prime and the consumer price index), with no loans, amounts or personal information, and the answer is the same for everyone | Once a day, only when a loan is prime-linked or CPI-indexed. Without a connection the last saved figures are used |
| Google Maps (external link) | The expense's coordinates, as part of the link that opens | Only when you tap "Map"; it opens outside Onyx under Google's policy |
| Google (sign-in and Drive) | Sign-in happens on Google's own page. Only the encrypted backup file is sent to Google. The Onyx server swaps sign-in tokens and stores nothing | Only if you connect Drive: at sign-in, and then after changes while the app is open |
| Google (search, external link in price comparison) | A generic search phrase about the kind of service (for example car insurance), with none of your data | Only when you tap "Search current prices"; it opens outside Onyx under Google's policy |
| Your mail app (feedback) | The text you wrote and, if you choose, technical details (device and browser type, language, theme, screen size). No financial data. Onyx sends nothing by itself | Only when you press "Send" in your own mail app; the message goes to the support address and through your mail provider |
| AI help: the Onyx server and Anthropic's Claude | Totals only: month totals, a total per category (under the name you gave it) and kinds of saving suggestions. No merchants, notes, dates, places, photos or single transactions. If you have a mobile, internet or TV bill, its service type and monthly amount are sent too (no provider name), so the suggestions can take it into account. For Onyx Assistant (the Questions & answers screen) only the text of the question you typed and three to five answers from the app's guide are sent, with no money data; please don't write personal details in the question. When the guide has no answer, the question may be used for a web search through Anthropic's search tool. A question with a personal number is not sent. The assistant isn't one of the 5 uses; it has its own limit. In "What if…?" the question and your category names are sent first (no amounts); if you ask for a personal explanation, also the items from the question and the computed result as totals (budget, month-end forecast, goals by name with their monthly deposit) and one summary line of past purchases unless you removed it. The math and the search in past purchases run on the device; no transactions, dates or merchants are sent. | AI help: only if you turn it on. The assistant: only after a one-time consent before the first question. And each time only after you've seen what will be sent and tapped "Send" |
| Upstash (the Redis database for the AI server's usage counters) | Counters only: a random device ID with the number of uses and the cost in dollars, a count of new devices using a salted daily hash of the IP address, and request-rate counters using a hash of the IP address. No request content, and not the IP address itself | Only when AI help is used (including Onyx Assistant) |
| Onyx weekly price table (price comparison) | Nothing about you. The phone downloads one price file, the same for everyone, like loading a page, and the comparison with your bills happens on the device. As with any load, your IP address and browser type are visible to the site host | When you open price comparison; the server refreshes the table once a week |
| Your browser's or operating system's speech recognition service (in Chrome on Android: Google; on Apple devices: Apple) | The audio of what you said. Onyx itself does not receive or keep the audio; it gets only text back and analyses it on the device. The service may process the audio outside the app under its own privacy policy | Only when you tap "Speak it", and only after you agree to the notice shown the first time (you can withdraw consent in the Privacy screen) |
| Companion summary (optional) | An encrypted file (AES-256-GCM, key derived from a random six-word passphrase) with what you chose to share: the month's totals, amounts per category, budget status, and, if you chose it, latest transactions (date, merchant, category and amount; no notes, photos or locations). The file is created on the device and is not sent to Onyx's server. It leaves only when you choose to share or download it, and you choose with whom. The passphrase is shown once and not stored | Only when you tap "Create summary" and then "Share the file" or "Download". The viewer page (companion.html) decrypts in the recipient's browser and sends and stores nothing; anyone who has both the file and the passphrase can read it |
For AI help: Onyx doesn't store what is sent or the answer on a server. The answer is kept on your device only, encrypted. Anthropic (United States) processes the request under its commercial API terms and may retain it for a limited period; under those terms data sent through the API isn't used to train models. Category names are sent as you wrote them, so keep personal details out of them. To count the device's 5 free uses, the server keeps, per random device ID that the app creates (it says nothing about the person, and is kept encrypted on the phone and in its backups, so restoring a backup keeps the same allowance), the number of uses and the cost in dollars, never the content of requests. To prevent abuse it also counts new devices per network per day, using a salted daily hash of the IP address (the raw IP address is not stored). Price comparison sends nothing.
AI help: answers are generated by Anthropic's Claude, may contain errors, and are not financial, tax or legal advice. Don't enter personal information in your questions. In Onyx Assistant, the check for crisis wording, and for personal numbers, runs on the device itself before anything is sent.
Individual amounts, merchants, notes and photos are never sent to any service. Any direct call to an outside service necessarily exposes your IP address and browser type to that service, as with any website.
Device permissions
- Camera: Onyx asks for no camera permission. To photograph a receipt, the phone's own camera app is opened and the photo comes back to Onyx. On some phones the camera app may keep a copy in the gallery.
- Location: optional. Stored on the device with the expense; it can be turned off in Settings → Security & privacy.
- Microphone: only for voice entry, after you agree to the notice. The browser will ask for permission, and the recording is heard by your browser's or operating system's speech service, not by Onyx (see the table above).
- Notifications: local notifications only (budget, backup), computed on the device and not sent from a server.
- Fingerprint / Face ID: through the device's passkey mechanism.
- Sharing to Onyx: text or an image you share from another app is held temporarily on the device until the app opens, then encrypted or deleted.
Retention and deletion
- Data stays on the device until you delete it. Settings → Security & privacy → Privacy → "Delete all data" erases everything from the device and disconnects Drive.
- A deleted transaction stays in the recycle bin for 30 days (under your control), then is erased.
- Uninstalling the app or clearing the site's data in the browser deletes the data on the device. A backup file you created stays wherever you saved it.
- The Onyx server keeps only a pseudonymous usage counter for AI help: a random device ID, not linked to a name or an account, and not linked to the person. Deleting the app's data on the device creates a new ID on the next use; the old counter stays on the server and can't be linked to you. The ID is shown in Settings → Security & privacy → Privacy, with a "Request deletion by email" button; we delete its counters within 30 days. Beyond that there is nothing for us to provide or delete on a server: access, correction and deletion of everything else are done in the app itself. We're happy to answer any question by email.
- Server retention for AI help: the per-device usage counter is kept while AI help is running; the new-device counter keyed by an IP hash is deleted after 2 days; request-rate counters keyed by an IP hash are deleted after about an hour; Onyx Assistant counters are deleted 24 hours after the last action. Vercel's server logs are kept according to Vercel's policy. The content of AI requests isn't stored by us; Anthropic retains it for a limited period under its commercial API terms.
- "Delete all data" disconnects Drive but does not delete backups you created: a file or email stays wherever you saved it, and backup files already in Drive stay there. To delete them: Google Drive → Settings → Manage apps → Onyx → Delete hidden app data.
Children
Onyx is intended for ages 18 and over. It isn't intended for minors and we don't knowingly collect information about them.
International transfers, legal basis and your rights
- Most data never leaves your device. When it does (the services in the table above, including Anthropic, Google, Vercel, Upstash, MyMemory, Frankfurter, ExchangeRate-API and OpenStreetMap), it may be processed on servers outside Israel, including in the United States and the European Union.
- Transfers to the United States rely on the providers' safeguards, for example standard contractual clauses (SCCs) or the EU-US Data Privacy Framework where the provider participates.
- The basis for processing is your consent (you switch on each outside service yourself) and providing the app you asked for. You can withdraw consent at any time by switching the feature off.
- Financial information may count as "sensitive information" (information of special sensitivity) under Israeli privacy law, which is why it is encrypted on your device and not stored by us.
- Under Israel's Privacy Protection Law (including Amendment 13): access to information, a request to correct or delete it, and the right to complain to the Privacy Protection Authority. Under the GDPR (if you are in the EU): access, rectification, erasure, restriction, portability, objection and withdrawing consent, and the right to complain to an EU supervisory authority. Because the data is with you, most rights are exercised in the app itself; for questions and requests, email us and we will answer within 30 days.
- If a security incident affects your information in a service we are responsible for, we will notify you as required by law.
Terms of use and disclaimers
Onyx is provided "as is" for personal use. It is a tracking tool, not financial, tax or legal advice; forecasts, saving suggestions and market prices are estimates only. Data is encrypted on your device and we cannot recover it: if you lose your password or recovery key and have no backup, it is lost permanently. You are responsible for backups and for keeping your key. To the extent permitted by law we are not liable for data loss or indirect damages. The service may change, stop or be limited, including the AI help caps. Nothing in these terms limits legal rights that cannot be waived. These terms are governed by the laws of the State of Israel, and the courts in Israel have jurisdiction. Open-source components in the app (including Tesseract.js and pdf.js) are under their own licences.
Security
On-device encryption, the site's strict headers (CSP, HSTS) and the absence of an account and a data server reduce the risk. No system is perfectly secure, though: keep your recovery key somewhere safe and back up now and then. A backup file is only as strong as your password, so choose a long one; the recovery key is stronger.
Changes to this policy
If the policy changes we'll update the date at the top. A material change will also be shown in the app.