Политика конфиденциальности

1. Кто обрабатывает данные

FrontierX — частный некоммерческий проект. Сервис работает на одном арендованном сервере и обслуживается автором проекта. Компании, юридического лица и штата сотрудников за проектом нет. Доступ к серверу с правами администратора есть у автора проекта и технически — у хостинг-провайдера.

2. Данные аккаунта

При регистрации и работе в сервисе на сервере сохраняются:

• имя пользователя и отображаемое имя — в открытом виде;
• хеш пароля — сам пароль не хранится и не может быть восстановлен;
• дата создания аккаунта;
• аватар, если вы его загрузили;
• текст «О себе» и личный канал — только если вы их заполнили. Их видят те, с кем у вас есть общий чат или заявка в друзья;
• адрес электронной почты и отметка о его подтверждении — только если вы привязали почту;
• настройки приватности: кто видит статус «в сети» и время захода, кто может звонить, исключения из этих правил, приглашения в группы только с согласия, режим призрака;
• время последнего визита — когда вы в последний раз были в сети. Другим оно показывается только по настройке «Время захода», а в режиме призрака не записывается.

Номер телефона, паспортные данные, платёжная информация и геолокация не запрашиваются и не хранятся.

3. Переписка

Тексты сообщений хранятся на сервере только в зашифрованном виде. Ключи от переписки создаются на устройствах участников, и у сервера их нет: прочитать содержимое сообщений средствами сервера невозможно. Черновики неотправленных сообщений синхронизируются между вашими устройствами тоже в зашифрованном виде.

Вместе с шифротекстом сервер хранит служебные поля, без которых доставка невозможна: идентификатор сообщения, чат, отправителя, время отправки, время редактирования, отметку удаления и ссылку на сообщение, на которое вы ответили.

Вкладки профиля «Медиа», «Файлы», «Ссылки» и «GIF» собирает приложение на вашем устройстве, расшифровывая переписку. Сервер не знает, в каких сообщениях фото, файлы или ссылки, и не хранит таких списков.

4. Файлы, стикеры и аватары

Содержимое отправленных файлов хранится в отдельном файловом хранилище на сервере в зашифрованном виде. Имя файла и его тип тоже шифруются на устройстве, и сервер их не видит. В открытом виде в базе остаются размер файла, кто загрузил, в какой чат и когда. Загруженные стикеры и аватары хранятся на сервере как обычные изображения и не шифруются.

5. Метаданные, которые сервер видит открыто

Шифрование защищает содержание, но не сам факт общения. В открытом виде на сервере лежат:

• список чатов, их тип, названия, описания и аватары групп и каналов;
• состав участников, роли, дата присоединения, отметки архива и отключённых уведомлений;
• кто, кому и когда отправил сообщение, а также отметки о доставке и прочтении;
• реакции на сообщения и то, кто их поставил;
• закреплённые и сохранённые сообщения, а также опросы. Сам вопрос и варианты ответа лежат внутри зашифрованного сообщения и серверу не видны; в базе остаются только число вариантов и то, кто за какой номер проголосовал;
• заявки в друзья и приглашения в группы. Сами коды приглашений хранятся только в виде необратимой хеш-суммы: по базе данных нельзя восстановить ссылку-приглашение и войти по ней в группу.

Эти метаданные нельзя зашифровать от сервера, не сломав сам сервис: сервер обязан знать, кому доставить сообщение, кто состоит в беседе и кого показать в поиске. Имена аккаунтов и отображаемые имена нужны для входа и поиска людей, аватары видны всем, кто может вас найти, а отметки о прочтении и состав участников — для доставки и синхронизации. Часть из этого можно ограничить в настройках: невидимый режим скрывает статус присутствия, а приём заявок только по приглашению ограничивает круг тех, кто может вам написать.

По этим данным видно, с кем и как часто вы переписываетесь, даже если сами сообщения нечитаемы.

6. Ключи шифрования

На сервере хранится ваш публичный ключ, а также ключи чатов в упакованном виде — каждый зашифрован так, что распаковать его может только участник чата. Если вы включили резервную копию ключей, она хранится на сервере зашифрованной вашим паролем; сервер не может её расшифровать. Приватный ключ устройства остаётся в браузере или в приложении и на сервер не отправляется.

7. Сессии и устройства

Для каждого входа сохраняются: хеш токена сессии, метка устройства и браузера, идентификатор устройства, время создания, последней активности и истечения сессии. Это нужно, чтобы вы могли видеть свои входы и завершать лишние.

8. IP-адреса и журналы

IP-адреса не записываются в базу данных. Они используются только в оперативной памяти сервера для ограничения частоты попыток входа, регистрации, восстановления пароля и приглашений, и исчезают при перезапуске сервиса. Отдельные журналы посещений сайта не ведутся; системный журнал сервера содержит служебные записи о запуске сервиса и ошибках.

Счётчиков посещаемости, рекламных пикселей и сторонней аналитики на сайте и в приложении нет.

9. Что хранится на вашем устройстве

В хранилище браузера остаются: токен сессии, ваш профиль, приватный ключ устройства, идентификатор устройства, часто используемые эмодзи, выбранные тема и язык. Ключи открытых чатов держатся во временном хранилище вкладки и стираются при её закрытии.

Полная очистка данных сайта в браузере равносильна выходу из аккаунта и потере ключей на этом устройстве. Без резервной копии ключей старые сообщения после этого расшифровать не удастся.

10. Звонки

Аудио и видео передаются напрямую между участниками и шифруются транспортом WebRTC. Для установления связи используются служебные серверы: собственный сервер проекта, публичный STUN Google и сторонний общедоступный TURN-ретранслятор. Когда прямое соединение невозможно, поток идёт через ретранслятор. Ваш IP-адрес при звонке становится известен собеседнику или используемому ретранслятору. Записи звонков сервис не ведёт. Сервер знает, кто сейчас в звонке и у кого выключен микрофон, — только в памяти, пока звонок идёт. Кто в звонке, он сообщает участникам этого чата, чтобы к звонку можно было присоединиться, а у кого выключен микрофон — тем, кто в звонке; в базу это не записывается.

Данные о местоположении сервис не собирает и не запрашивает: ни точное, ни приблизительное определение местоположения не используется. Во время звонка ваш IP-адрес временно виден служебным серверам связи и другому участнику — это техническая особенность WebRTC. В базу данных IP-адрес не записывается.

11. Электронная почта

Почта используется только для подтверждения адреса и восстановления пароля. Письма отправляются через почтовый узел на сервере с пересылкой через сервис Google, поэтому адрес получателя и текст письма проходят через инфраструктуру Google. В базе хранится хеш кода подтверждения, адрес, назначение кода и число попыток ввода; срок жизни кода — 15 минут.

12. Внешние стороны

Кроме автора проекта, к данным в том или ином объёме могут иметь доступ:

• хостинг-провайдер сервера — как владелец физической инфраструктуры и дисков;
• Cloudflare — домен проксируется через неё, ей видны IP-адреса и заголовки запросов;
• удостоверяющий центр Let's Encrypt — в объёме имени домена при выпуске сертификата;
• Google — при отправке писем с кодами;
• Google (Firebase Cloud Messaging) — на Android-телефонах с сервисами Google через него приходят уведомления о сообщениях и звонках. Google видит токен устройства, время уведомления, его тип (сообщение или звонок) и внутренний номер чата. Имён, текста сообщений и содержимого файлов в уведомлении нет;
• операторы STUN и TURN серверов — в объёме сетевых адресов и, при ретрансляции, зашифрованного медиапотока;
• Telegram — если вы отправите сообщение об ошибке: его текст, ваше имя пользователя, а также скриншоты и техническая информация, если вы их приложили, пересылаются разработчику через Telegram-бота и дальше хранятся по правилам Telegram.

Данные пользователей не продаются, не передаются рекламодателям и не используются для обучения моделей.

13. Сроки хранения и резервные копии

Сообщения, файлы и метаданные хранятся, пока существует чат и аккаунт: автоматического удаления по сроку нет. Удалённое сообщение помечается как удалённое и перестаёт выдаваться собеседникам, но запись о самом факте сообщения остаётся в базе.

Сообщения об ошибках хранятся на сервере, пока не будут переданы разработчику. Скриншоты удаляются сразу после передачи, остальное — через 90 дней.

База данных автоматически копируется на тот же сервер по расписанию — почасовые, ежедневные и еженедельные копии, а также несколько ручных архивов. Поэтому данные, удалённые из основной базы, ещё какое-то время сохраняются в резервных копиях.

14. Ваши возможности

Вы можете изменить имя, аватар, текст «О себе» и личный канал, привязать или отвязать почту, завершить сессии на устройствах, удалять свои сообщения, выходить из чатов и полностью удалить аккаунт вместе со всеми своими данными — самостоятельно, без обращения к автору. Привязка почты добровольна: без неё аккаунт работает, но восстановить пароль будет невозможно.

15. Удаление аккаунта

Аккаунт удаляется самостоятельно, без обращения к автору проекта. Способ первый: в приложении откройте настройки и в разделе удаления аккаунта подтвердите действие паролем. Способ второй: страница frontierx.zkito.fun/delete-account — вход в приложение для неё не нужен, достаточно логина и пароля.

Что удаляется сразу и безвозвратно:

• запись пользователя: логин, отображаемое имя, аватар, «О себе», привязанная почта, хеш пароля;
• все отправленные вами сообщения и загруженные файлы вместе с их зашифрованными копиями на сервере;
• резервная копия ключей, сессии на всех устройствах, подписки на уведомления;
• реакции, голоса в опросах, отметки о прочтении, черновики, папки чатов, стикеры;
• заявки в друзья, созданные вами коды приглашений, участие во всех чатах;
• чаты, в которых вы остались единственным участником, удаляются целиком;
• отправленные вами сообщения об ошибках — то, что уже передано разработчику в Telegram, остаётся в его переписке.

Что остаётся: сообщения других участников в общих чатах — это их данные. Если собеседник сохранил переписку у себя на устройстве или сделал резервную копию ключей, эта копия сервером не контролируется.

Резервные копии базы на сервере перезаписываются по расписанию: почасовые живут около суток, ежедневные — около недели, еженедельные — около месяца. Из них удалённые данные исчезают вместе с ротацией.

Удаление необратимо: восстановить аккаунт, переписку и ключи после подтверждения нельзя.

16. Возраст пользователей

Сервис не предназначен для детей. Создать аккаунт можно с 13 лет; в странах Европейского экономического пространства и в Великобритании — с 16 лет, если согласие не дано родителем или законным представителем в порядке, предусмотренном местным законом. Если законодательство вашей страны устанавливает более высокий минимальный возраст, действует он.

Данные детей сервис специально не собирает. Если станет известно, что аккаунт создан ребёнком младше допустимого возраста, аккаунт и связанные с ним данные будут удалены. Модерации содержимого нет: переписка зашифрована и автору проекта не видна, поэтому ответственность за содержание общения лежит на участниках.

17. Изменения политики

Политика может меняться вместе с сервисом. Актуальная редакция всегда находится на этой странице, дата указана в начале документа. Продолжение использования сервиса после изменений означает согласие с новой редакцией.