01Administrator danych
Administratorem danych osobowych zbieranych w aplikacji Ember jest Sławomir Paduch.
Kontakt w sprawach ochrony danych: [email protected].
02Jakie dane zbieramy
2.1. Dane konta – adres e-mail, nazwa użytkownika, hasło (przechowywane wyłącznie jako skrót bcrypt), publiczny identyfikator konta.
2.2. Dane szyfrowania end-to-end – nowe szyfrowanie (v2): dla każdego Twojego urządzenia publiczne klucze tożsamości, podpisany klucz wstępny i zestaw jednorazowych kluczy wstępnych oraz podpisana lista urządzeń. Klucz konta znajduje się na serwerze wyłącznie w postaci zaszyfrowanej Twoim kodem odzyskiwania (wygenerowanym na Twoim urządzeniu); serwer nie jest w stanie go odszyfrować. Starsze szyfrowanie (v1): Twój klucz publiczny. Konta założone przed wycofaniem PIN-u miały też na serwerze klucz prywatny zaszyfrowany PIN-em. Aplikacja usuwa tę kopię, gdy klucz jest już bezpiecznie w kopii chronionej kodem odzyskiwania. Do tego czasu krótki PIN można odgadnąć metodą prób każdemu, kto zdobędzie zaszyfrowaną kopię, dlatego traktuj tę ochronę jako słabą. Nowe konta nigdy nie wysyłają takiej kopii. Hasło do konta (przechowywane jako skrót bcrypt) to coś innego niż PIN i kod odzyskiwania i nie odblokowuje żadnego klucza. Administrator nie zna Twojego PIN-u ani kodu odzyskiwania i nie jest w stanie odszyfrować treści Twoich wiadomości.
2.3. Treść komunikacji – wiadomości, obrazy, nagrania głosowe i nawiązywanie połączeń są szyfrowane end-to-end. To, co serwer mimo to widzi, zależy od tego, jakiego szyfrowania używa dany czat; zob. 2.3c i 2.3d. Tła czatów (zdjęcia, GIF-y i filmy, w całej aplikacji i w poszczególnych czatach) są szyfrowane na Twoim urządzeniu przed wysłaniem; serwer przechowuje wyłącznie nieczytelny blok danych, który może pobrać tylko Ty. Zdjęcia profilowe nie są szyfrowane end-to-end i są widoczne dla innych użytkowników.
2.3a. Profil publiczny – nazwa wyświetlana, opis, status (emoji, tekst i czas wygaśnięcia) oraz kolor profilu, jeśli zdecydujesz się je ustawić. Nie są szyfrowane i są widoczne dla innych użytkowników aplikacji, tak jak Twoja nazwa użytkownika i zdjęcie profilowe.
2.3b. Preferencje – ustawienia wyglądu (motyw, kolory, czcionki, parametry animowanego tła) są przechowywane bez szyfrowania, aby podążały za Twoim kontem między urządzeniami. Personalizacja osobista – pseudonimy i kolory kontaktów, foldery czatów, przypięte czaty, osobny wygląd czatów i użycie emoji – jest szyfrowana end-to-end na Twoim urządzeniu; serwer przechowuje wyłącznie nieczytelny blok danych. Ustawienia powiadomień – godziny ciszy i strefa czasowa, lista osób, które mogą Cię powiadamiać w godzinach ciszy (VIP), wyciszone czaty i tryb podglądu powiadomień – są przechowywane bez szyfrowania, ponieważ serwer potrzebuje ich, by zdecydować, czy wysłać powiadomienie push.
2.3c. Co widzi serwer przy nowym szyfrowaniu (v2) – nowe szyfrowanie jest wprowadzane stopniowo i dotyczy tylko czatów, w których obie strony używają nowej wersji aplikacji; grupa przechodzi na nie, gdy administrator ją uaktualni. Serwer nie widzi nadawcy ani rozmowy w wiadomości 1:1, tekstu, załączników, reakcji, stanu odczytu, historii edycji ani nazwy, opisu, zdjęcia i nazw pokoi grupy v2. Nadal widzi:
- Twój adres IP i czasy, w których się łączysz;
- która skrzynka urządzenia należy do którego konta oraz token push każdego urządzenia;
- listy Twoich znajomych i blokad (kto jest czyim znajomym, kto kogo zablokował);
- skład grup i role, bany i działania moderacyjne;
- połączenia na żywo: kto dzwoni do kogo i kiedy, bo serwer przekazuje nawiązywanie połączenia;
- kto jest obecny w którym pokoju głosowym i jak długo;
- przybliżony czas (zaokrąglony do godziny) i uzupełniony do stałych przedziałów rozmiar zaszyfrowanych wiadomości czekających na dostarczenie oraz ile bajtów załączników wysyłasz dziennie;
- jeśli włączysz kopię zapasową historii: rozmiar i dzień każdej zaszyfrowanej porcji kopii;
- dzień, w którym każde z Twoich urządzeń było ostatnio widziane.
2.3d. Co widzi serwer w starszych czatach (v1) – czaty i grupy, które nie przeszły jeszcze na nowe szyfrowanie, działają jak dotąd. Ich treść jest szyfrowana end-to-end, ale dopóki wiadomości istnieją na serwerze, serwer przechowuje i widzi:
- kto do kogo pisał (nadawca i rozmowa), dokładny czas każdej wiadomości, jej rodzaj i status dostarczenia;
- stan odczytu: do której wiadomości każdy uczestnik przeczytał;
- reakcje: kto zareagował na którą wiadomość i jakim emoji;
- edycje i usunięcia: kiedy nastąpiły oraz wcześniejsze zaszyfrowane wersje edytowanej wiadomości;
- odpowiedzi: nazwę nadawcy cytowanej wiadomości;
- załączniki: ich rodzaj i dokładny rozmiar;
- nazwę, opis, zdjęcie i nazwy pokoi grupy (bez szyfrowania), jej członków, role i historię moderacji.
2.4. Dane grup – lista członków, role, bany i historia moderacji są widoczne dla serwera w każdej grupie. W grupach na starszym szyfrowaniu nazwa, opis, zdjęcie oraz nazwy i tematy pokoi też nie są szyfrowane; w grupach na nowym szyfrowaniu są szyfrowane na Twoich urządzeniach, a serwer przechowuje tylko nieczytelny blok danych. Grupy na nowym szyfrowaniu mają też dziennik członkostwa przechowywany na serwerze: każde dodanie, usunięcie, zmiana roli i zmiana pokoju, podpisane kluczem konta członka, który ją wykonał. Serwer może odczytać ten dziennik, ale nie może podrobić żadnego wpisu.
2.5. Dane techniczne – adres IP i czasy połączeń (ograniczanie liczby żądań, ochrona przed nadużyciami), token push (FCM) każdego urządzenia, dzień, w którym każde z Twoich urządzeń było ostatnio widziane, oraz – jeśli włączysz kopię zapasową historii – rozmiar i dzień jej zaszyfrowanych porcji.
03Cel i podstawa prawna przetwarzania
| Dane | Cel | Podstawa prawna (RODO) |
|---|---|---|
| Konto | Świadczenie usługi | art. 6 ust. 1 lit. b |
| Klucze szyfrowania | E2E | art. 6 ust. 1 lit. b |
| Metadane wiadomości | Dostarczanie wiadomości | art. 6 ust. 1 lit. b |
| Adres IP | Ochrona przed nadużyciami | art. 6 ust. 1 lit. f |
| Token push (FCM) | Powiadomienia | art. 6 ust. 1 lit. a |
| Profil publiczny | Pokazywanie innym użytkownikom, kim jesteś | art. 6 ust. 1 lit. b |
| Preferencje i ustawienia powiadomień | Personalizacja aplikacji, decydowanie, kiedy Cię powiadomić | art. 6 ust. 1 lit. b |
| Ruch połączeń i pokoi głosowych | Nawiązywanie połączeń i pokoi głosowych (TURN/SFU) | art. 6 ust. 1 lit. b |
04Komu przekazujemy dane
Firebase Cloud Messaging (Google) – token push Twojego urządzenia i samo powiadomienie push. Powiadomienia nowego szyfrowania to wybudzenia bez treści: nie zawierają żadnych nazw ani identyfikatorów użytkowników czy rozmów, ani treści wiadomości; aplikacja pokazuje ogólne „Nowa wiadomość”, a szczegóły pojawiają się dopiero po odszyfrowaniu wiadomości w aplikacji. Powiadomienia starszych czatów mogą zawierać nazwę nadawcy lub grupy, zależnie od ustawienia podglądu (albo wyłącznie ogólne „Nowa wiadomość”), i nigdy treść zaszyfrowanej wiadomości.
Cloudflare, Inc. – serwery przekazujące (TURN) dla połączeń i serwer mediów (SFU) dla grupowych pokoi głosowych. Cloudflare widzi adresy IP, czasy połączeń i ilość przekazywanego ruchu. Dźwięk i obraz są szyfrowane end-to-end, więc Cloudflare nie widzi ich treści.
05Okres przechowywania danych
Do czasu usunięcia konta – usunięcie jest trwałe. Przy nowym szyfrowaniu wiadomość czekająca na urządzenie jest usuwana, gdy to urządzenie potwierdzi odbiór, a najpóźniej po 30 dniach; zaszyfrowane załączniki są usuwane po 30 dniach. Zaszyfrowane kopie zapasowe historii zostają, dopóki ich nie usuniesz albo nie usuniesz konta (wyłączenie kopii w aplikacji nie usuwa jeszcze porcji, które już są na serwerze). Wiadomości starszych czatów zostają na serwerze do usunięcia konta albo do usunięcia tych danych po przejściu na nowe szyfrowanie.
06Prawa użytkownika
Dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw, skarga do organu nadzorczego (w Polsce: PUODO). Kontakt: [email protected].
07Bezpieczeństwo danych
- Nowe szyfrowanie: X3DH i Double Ratchet, sealed sender, klucze nadawców w grupach, AES-256-GCM
- Starsze szyfrowanie: ECDH + AES-256-GCM
- Hasła jako skróty bcrypt
- HTTPS/TLS
08Dane lokalne na urządzeniu
Twoje klucze prywatne powstają na Twoim urządzeniu. Klucz prywatny starszego szyfrowania jest trzymany na urządzeniu (stare konto może jeszcze mieć na serwerze kopię zaszyfrowaną PIN-em, dopóki aplikacja jej nie usunie, zob. 2.2); klucze urządzenia nowego szyfrowania i Twoja lokalna baza wiadomości nigdy nie opuszczają urządzenia, poza zaszyfrowaną kopią zapasową, jeśli ją włączysz. Kod odzyskiwania (i PIN starego konta) nigdy nie jest wysyłany na serwer. Na urządzeniu jest też trzymana odszyfrowana kopia Twoich zaszyfrowanych preferencji (zob. 2.3b) i pamięci podręcznej wiadomości. Wszystko to jest usuwane po wylogowaniu.
09Dzieci i osoby niepełnoletnie
Usługa nie jest przeznaczona dla osób poniżej 16. roku życia.
10Zmiany w Polityce
Powiadomimy Cię o nich za pomocą funkcji „Wiadomość od twórcy” w aplikacji.