01Контролер даних
Контролером персональних даних, що збираються в застосунку Ember, є Sławomir Paduch.
Контакт із питань захисту даних: [email protected].
02Які дані ми збираємо
2.1. Дані облікового запису – адреса електронної пошти, ім'я користувача, пароль (зберігається лише як хеш bcrypt), публічний ідентифікатор облікового запису.
2.2. Дані наскрізного шифрування – нове шифрування (v2): для кожного твого пристрою публічні ключі ідентичності, підписаний prekey і набір одноразових prekey, а також підписаний список твоїх пристроїв. Ключ облікового запису зберігається на сервері лише в обгорнутому вигляді, зашифрованим твоїм кодом відновлення (створеним на твоєму пристрої); сервер не може його розшифрувати. Старіше шифрування (v1): твій публічний ключ. Облікові записи, створені до скасування PIN-коду, також мали на сервері приватний ключ, зашифрований PIN-кодом. Застосунок видаляє цю копію, щойно твій ключ надійно збережений у резервній копії, захищеній кодом відновлення. До того часу короткий PIN-код може підібрати будь-хто, хто отримає зашифровану копію, тому вважай цей захист слабким. Нові облікові записи ніколи не завантажують такої копії. Пароль облікового запису (зберігається як хеш bcrypt) — це не те саме, що PIN-код і код відновлення, і він не відкриває жодного ключа. Контролер не знає ні твого PIN-коду, ні коду відновлення й не може розшифрувати вміст твоїх повідомлень.
2.3. Вміст спілкування – повідомлення, зображення, голосові записи та встановлення дзвінків мають наскрізне шифрування. Що сервер усе ж бачить, залежить від того, яке шифрування використовує чат; див. 2.3c і 2.3d. Фони чатів (фото, GIF і відео — для всього застосунку та для окремих чатів) шифруються на твоєму пристрої перед завантаженням; сервер зберігає лише нечитабельний блок даних, який можеш завантажити тільки ти. Фото профілю не мають наскрізного шифрування і видимі іншим користувачам.
2.3a. Публічний профіль – відображуване ім'я, біографія, статус (емодзі, текст і час закінчення) та колір профілю, якщо ти вирішиш їх задати. Вони не зашифровані й видимі іншим користувачам застосунку, так само як твоє ім'я користувача та фото профілю.
2.3b. Налаштування – параметри вигляду (тема, кольори, шрифти, параметри анімованого фону) зберігаються без шифрування, щоб слідувати за твоїм обліковим записом між пристроями. Особиста персоналізація – псевдоніми й кольори контактів, теки чатів, закріплені чати, окремий вигляд чатів і використання емодзі – має наскрізне шифрування на твоєму пристрої; сервер зберігає лише нечитабельний блок даних. Налаштування сповіщень – тихі години й часовий пояс, список людей, яким дозволено сповіщати тебе в тихі години (VIP), вимкнені чати та режим попереднього перегляду сповіщень – зберігаються без шифрування, бо сервер потребує їх, щоб вирішити, чи надсилати push-сповіщення.
2.3c. Що бачить сервер за нового шифрування (v2) – нове шифрування впроваджується поступово й стосується лише чатів, де обидві сторони користуються новою версією застосунку; група переходить на нього, коли адміністратор її оновлює. Сервер не бачить ні відправника, ні розмови в особистому повідомленні, ні тексту, вкладень, реакцій, стану прочитання чи історії редагування, ні назви, опису, зображення та назв кімнат групи v2. Він і далі бачить:
- твою IP-адресу та час, коли ти підключаєшся;
- яка поштова скринька пристрою належить до якого облікового запису, а також push-токен кожного пристрою;
- списки твоїх друзів і блокувань (хто з ким дружить, хто кого заблокував);
- склад груп і ролі, бани та дії модерації;
- дзвінки в реальному часі: хто кому дзвонить і коли, бо сервер передає встановлення дзвінка;
- хто присутній у якій голосовій кімнаті та як довго;
- приблизний час (округлений до години) і доповнений до стандартних розмірів обсяг зашифрованих повідомлень, що чекають на доставку, а також скільки байтів вкладень ти завантажуєш за день;
- якщо ти ввімкнеш резервну копію історії: розмір і день кожного зашифрованого блоку копії;
- день, коли кожен із твоїх пристроїв востаннє був у мережі.
2.3d. Що бачить сервер у старіших чатах (v1) – чати й групи, які ще не перейшли на нове шифрування, працюють як і раніше. Їхній вміст має наскрізне шифрування, але доки повідомлення існують на сервері, він зберігає й бачить:
- хто кому писав (відправник і розмова), точний час кожного повідомлення, його тип і статус доставки;
- стан прочитання: до якого повідомлення кожен учасник прочитав;
- реакції: хто на яке повідомлення відреагував і яким емодзі;
- редагування та видалення: коли вони відбулися, а також попередні зашифровані версії відредагованого повідомлення;
- відповіді: ім'я відправника цитованого повідомлення;
- вкладення: їхній тип і точний розмір;
- назву, опис, зображення та назви кімнат групи (без шифрування), її учасників, ролі та історію модерації.
2.4. Дані груп – список учасників, ролі, бани та історія модерації видимі серверу в кожній групі. У групах зі старішим шифруванням назва, опис, зображення, а також назви й теми кімнат теж не зашифровані; у групах із новим шифруванням вони шифруються на твоїх пристроях, а сервер зберігає лише нечитабельний блок даних. Групи з новим шифруванням також мають журнал членства, що зберігається на сервері: кожне додавання, видалення, зміна ролі й зміна кімнати, підписані ключем облікового запису учасника, який їх зробив. Сервер може читати цей журнал, але не може підробити жодного запису.
2.5. Технічні дані – IP-адреса й час підключень (обмеження частоти запитів, захист від зловживань), push-токен (FCM) кожного пристрою, день, коли кожен із твоїх пристроїв востаннє був у мережі, а також — якщо ти ввімкнеш резервну копію історії — розмір і день її зашифрованих блоків.
03Мета й правова підстава обробки
| Дані | Мета | Правова підстава (GDPR) |
|---|---|---|
| Обліковий запис | Надання послуги | ст. 6(1)(b) |
| Ключі шифрування | E2E | ст. 6(1)(b) |
| Метадані повідомлень | Доставка повідомлень | ст. 6(1)(b) |
| IP-адреса | Захист від зловживань | ст. 6(1)(f) |
| Push-токен (FCM) | Сповіщення | ст. 6(1)(a) |
| Публічний профіль | Показ іншим користувачам, хто ти | ст. 6(1)(b) |
| Налаштування та налаштування сповіщень | Персоналізація застосунку, визначення, коли тебе сповіщати | ст. 6(1)(b) |
| Трафік дзвінків і голосових кімнат | З'єднання дзвінків і голосових кімнат (TURN/SFU) | ст. 6(1)(b) |
04Кому ми передаємо дані
Firebase Cloud Messaging (Google) – push-токен твого пристрою та саме push-сповіщення. Сповіщення нового шифрування — це «будильники» без вмісту: вони не містять ні імен, ні ідентифікаторів користувачів чи розмов, ні вмісту повідомлень; застосунок показує загальне «Нове повідомлення», а подробиці з'являються лише після того, як застосунок розшифрує повідомлення. Сповіщення старіших чатів можуть містити ім'я відправника або назву групи залежно від твого налаштування попереднього перегляду (або лише загальне «Нове повідомлення») і ніколи — вміст зашифрованого повідомлення.
Cloudflare, Inc. – ретрансляційні сервери (TURN) для дзвінків і медіасервер (SFU) для групових голосових кімнат. Cloudflare бачить IP-адреси, час підключень і обсяг ретранслюваного трафіку. Звук і відео мають наскрізне шифрування, тому Cloudflare не бачить їхнього вмісту.
05Строк зберігання даних
До видалення облікового запису – видалення є остаточним. За нового шифрування повідомлення, що чекає на пристрій, видаляється, коли пристрій підтвердить отримання, а найпізніше через 30 днів; зашифровані вкладення видаляються через 30 днів. Зашифровані резервні копії історії залишаються, доки ти їх не видалиш або не видалиш обліковий запис (вимкнення копії в застосунку поки що не видаляє блоки, які вже збережені). Повідомлення старіших чатів залишаються на сервері до видалення облікового запису або до видалення цих даних після переходу на нове шифрування.
06Права користувача
Доступ, виправлення, видалення, обмеження обробки, перенесення даних, заперечення, скарга до наглядового органу (у Польщі: PUODO). Контакт: [email protected].
07Безпека даних
- Нове шифрування: X3DH і Double Ratchet, sealed sender, ключі відправників для груп, AES-256-GCM
- Старіше шифрування: ECDH + AES-256-GCM
- Паролі у вигляді хешів bcrypt
- HTTPS/TLS
08Локальні дані на пристрої
Твої приватні ключі створюються на твоєму пристрої. Приватний ключ старішого шифрування зберігається на пристрої (старий обліковий запис може ще мати на сервері копію, зашифровану PIN-кодом, доки застосунок її не видалить, див. 2.2); ключі пристрою нового шифрування та твоя локальна база повідомлень ніколи не залишають пристрій, хіба що як зашифрована резервна копія, якщо ти її ввімкнеш. Код відновлення (і PIN-код старого облікового запису) ніколи не надсилається на сервер. На пристрої також зберігається розшифрована копія твоїх зашифрованих налаштувань (див. 2.3b) і кешу повідомлень. Усе це видаляється, коли ти виходиш з облікового запису.
09Діти та неповнолітні
Не призначено для осіб віком до 16 років.
10Зміни до Політики
Ми повідомимо тебе через функцію «Повідомлення від творця» в застосунку.