פרטיות בתכנון.

TrainWithMCP הוא פרויקט עצמאי שמופעל כשירות קטן ומודע לפרטיות. הוא אינו בבעלות, בהפעלה או בחסות Strava, OpenAI, Google, xAI, Anthropic או ספק AI אחר.

בעת יצירת חשבון, Supabase Auth מטפל בכתובת האימייל, בפרטי האימות המוצפנים, באימות האימייל, בשחזור הסיסמה ובאסימוני האימות. TrainWithMCP מקבל את מזהה המשתמש המאומת ומשתמש בו כדי להפריד את הרשומות שלכם. האפליקציה אינה מתעדת סיסמאות, JWT או קודי OAuth.

לאחר אישור החיבור ל-Strava, TrainWithMCP שומר אסימון גישה ואסימון רענון מוצפנים, מידע על תוקף האסימונים, מזהה הספורטאי המחובר וזמני סנכרון כדי לרענן את הנתונים המאושרים.

השירות מייבא בערך את 90 הימים האחרונים של הפעילויות. הוא שומר שדות אימון מנורמלים כמו שם, סוג ספורט, תאריך, מרחק, משך, דופק, קאדנס, וואטים, קלוריות או קילוג׳אול וגובה כאשר הם זמינים. נתוני ספק גולמיים עשויים להישמר לניתוח עתידי, אך הם עוברים השחרה לפני אחסון או חשיפה.

מפות, מסלולים, קואורדינטות מדויקות של התחלה וסיום, אסימוני embed, מזהי העלאה ומזהי ספק נוספים מוסרים לפני שמירת פרטי הפעילות או החזרתם. כלי MCP אינם מחזירים נתוני ספק גולמיים כברירת מחדל; גם פרט שנבקש במפורש עובר השחרה ומוגבל בגודל.

• לאמת אתכם ולנהל את החשבון.
• להתחבר ל-Strava רק לאחר אישור מפורש.
• לשמור ולהציג את הפעילויות המאושרות באתר ובכלי MCP.
• לרענן נתוני פעילות ישנים כאשר קריאת MCP זקוקה לנתונים עדכניים.
• למנוע גישה בין חשבונות באמצעות מזהה משתמש מאומת.
• למדוד שימוש בסיסי ואמינות כאשר שירותי אנליטיקה אופציונליים מוגדרים.

ה-Worker עשוי לשמור ב-D1 רשומת שימוש קטנה הכוללת מזהה משתמש פנימי, האם הקריאה הגיעה מהאתר או מ-MCP, וחותמת זמן. היא אינה כוללת payload של פעילות, אימייל, אסימונים או JWT.

אם PostHog מוגדר בפריסה, ה-Worker שולח אירועי מוצר ואבחון ממוזערים. האירועים אינם כוללים אימיילים, אסימונים, JWT, payload של Strava או JSON גולמי. Cloudflare עשויה לשמור מטא-נתונים ולוגים לפי תקופת השמירה המוגדרת; האפליקציה מתוכננת שלא לתעד סודות או מחרוזות שאילתה.

Supabase Auth מקבלת בקשות חשבון ואימות. Strava מקבלת בקשות OAuth ו-API הדרושות לאישור ולייבוא הפעילויות. Cloudflare מפעילה את ה-Worker ואת אחסון D1. PostHog מקבלת אנליטיקה רק כאשר בעל הפריסה הגדיר מפתח PostHog. עוזר ה-AI שבחרתם מקבל נתונים רק לאחר שחיברתם את שרת ה-MCP ואישרתם את בקשת ה-OAuth; לאחר מכן הספק פועל לפי התנאים ומדיניות הפרטיות שלו.

ב-MVP הנוכחי אין כפתור מחיקה עצמית או ייצוא נתונים למשתמש. ניתן לבטל את הגישה של TrainWithMCP מתוך Strava, וכך למנוע גישה עתידית ל-API, וניתן לבקש מחיקה של נתוני החשבון מ-TrainWithMCP באמצעות פנייה לבעל הפרויקט. אין לשלוח סיסמאות או אסימונים בבקשת מחיקה.

אסימוני Strava מוצפנים לפני שמירתם ב-D1. שאילתות למסד הנתונים משתמשות בפרמטרים ומוגבלות למשתמש המאומת. בקשות MCP חייבות לעבור את גבול ההרשאה של OAuth/JWT, וארגומנטים של כלים אינם יכולים לספק מזהה משתמש שרירותי. אין אמצעי אבטחה מושלם, ולכן אין להשתמש בשירות לשמירת סודות או מידע רפואי רגיש מעבר לנתוני הכושר המאושרים.

השירות אינו מיועד לילדים ואינו מכשיר רפואי. סיכומי האימון מיועדים למידע בלבד ואין להשתמש בהם לאבחון, טיפול או החלטות בריאות דחופות.

לשאלות פרטיות או בקשות מחיקה ניתן לפנות לבעל הפרויקט בכתובת acdplol@gmail.com. המדיניות עשויה להשתנות כאשר נוסיף ספקים, בקרות או שירותי תפעול; הגרסה המעודכנת תפורסם בעמוד זה עם תאריך חדש.