Отправлять некуда.

У PrivChat нет серверов. Нет аккаунта, который нужно создавать, нет номера телефона или адреса почты, которые нужно давать, и нет находящейся под нашим управлением системы, через которую проходят ваши сообщения. Ни мы, ни кто-либо ещё не получает ваши разговоры, ваши контакты или какие-либо данные о том, как вы пользуетесь приложением, потому что их некуда отправлять. Всё, что приложение хранит, остаётся зашифрованным на вашем устройстве.

Это не обещание хорошего поведения: это следствие того, как устроено приложение. Нет сервера, у которого можно было бы затребовать ваши данные, — даже если бы мы захотели их выдать.

PrivChat — privchat.wiki
Контактная почта: privchat.wiki@proton.me

Общий регламент по защите данных определяет контролёра как того, кто решает, как обрабатываются персональные данные. Здесь обработки нет: приложение ничего не отправляет ни на какой наш сервер, потому что такого сервера не существует. Мы не получаем ваши сообщения, ваши контакты, статистику использования или отчёты о сбоях, так что нет никаких ваших данных, о которых мы могли бы что-либо решать. Раздел 2 излагает это подробно.

Мы всё же публикуем название проекта и контактный адрес, чтобы был способ о чём-то нас спросить или пожаловаться. Если приложение когда-либо станет обрабатывать персональные данные, этот раздел изменится раньше, чем код.

Никаких.

Приложение не отправляет никаких персональных данных, идентификаторов, статистики использования или отчётов о сбоях ни своим разработчикам, ни какой-либо третьей стороне. В частности, PrivChat не включает:

• никакой системы аналитики или измерения использования;
• никакой системы отчётов о сбоях или телеметрии;
• никакой рекламной сети или рекламного идентификатора;
• никакого пользовательского аккаунта, регистрации или входа;
• никакой сторонней библиотеки, которая передавала бы данные сама по себе.

Приложение всё же включает программное обеспечение Tor Project, чтобы работать: клиент Tor и — если вы используете мосты, маскирующие трафик, — программу, которая это делает. Оба из одного и того же проекта, с открытым исходным кодом, и ни один из них никому не сообщает о том, что вы делаете. См. «Мосты и подключаемые транспорты» ниже.

Библиотеки, которые использует приложение (компоненты интерфейса и камеры Android, библиотека шифрования базы данных SQLCipher, криптографическая библиотека Bouncy Castle, считыватель QR-кодов ZXing и реализация Tor «arti»), работают целиком на устройстве и не отправляют никакой информации ни своим авторам, ни нам.

Всё нижеперечисленное остаётся на вашем телефоне и никогда его не покидает, кроме случая, описанного в разделе 4:

Имя, которое вы даёте контакту, принадлежит только вам: оно не передаётся ни в каком коде приглашения и никогда не доходит до другого конца.

Если вы задаёте PIN-код, ключ базы данных дополнительно выводится из этого PIN-кода, так что даже само устройство не может открыть её без вас. То же относится к вложениям: они шифруются в любом случае, но с PIN-кодом нужны обе половины — ваш PIN-код и секрет устройства, — тогда как без него достаточно секрета устройства.

Резервные копии: приложение настроено исключать себя из автоматических резервных копий Android. Ваши разговоры не выгружаются ни в какое облако, даже в ваше собственное.

Только то, что вы пишете, и только тем, кому это адресовано. Сообщение контакту идёт этому контакту. Сообщение в группу идёт каждому участнику, по разу на каждого, по тем же зашифрованным сеансам один-на-один. Запись в вашем канале забирают, в зашифрованном виде, те, у кого есть приглашение этого канала. Чтение канала не отправляет никаких персональных данных: запрос идёт по анонимной цепочке Tor, без учётной записи и без идентификатора, так что даже издатель не может узнать, кто читает.

Они путешествуют со сквозным шифрованием: они шифруются на вашем устройстве, и расшифровать их может только получатель. Они переносятся по сети Tor — публичной сети, которую по всему миру обслуживают добровольцы.

Важно, чтобы вы понимали, что это влечёт за собой:

• Узлы Tor, через которые проходит ваш трафик, не могут прочитать содержимое ваших сообщений и не знают, кому они предназначены.
• Ваш интернет-провайдер видит, что вы подключаетесь к сети Tor, но не то, с кем вы разговариваете или что говорите. Он не может прочитать ваши разговоры, и это не вопрос доброй воли: то, что покидает ваш телефон, уже зашифровано, поэтому по его сети не проходит ничего читаемого.
• Операторы этих узлов — независимые третьи стороны. У нас нет с ними отношений, мы им не платим и ничего о вас им не отправляем: приложение просто пользуется публичной сетью, так же как оно пользовалось бы интернетом.

Мосты и подключаемые транспорты

Если вы живёте там, где Tor заблокирован, приложение позволяет входить через мосты: входные узлы, которых нет в публичном списке и которые поэтому нельзя отфильтровать по адресу. В разделе «Моя личность → Мосты Tor» вы выбираете между прямым подключением, мостами, которые идут вместе с приложением и ничего от вас не требуют, или своими собственными, если они у вас есть.

Встроенные — публичные: они есть у любого, кто пользуется Tor Browser, так что их использование не выделяет вас. Они внутри установленного вами пакета, поэтому для их использования приложение не обращается ни к какому серверу. Если вы вводите свои, они хранятся зашифрованными в локальной базе данных, как и остальные ваши данные; мы их не видим, и они никогда не покидают ваш телефон, кроме как для подключения к ним.

Есть также необязательная кнопка «Запросить ещё мосты», которая получает свежие мосты от Tor Project (его сервис moat — тот же, что использует помощник подключения Tor Browser) и добавляет их к тем, что у вас уже есть. Она срабатывает, только если вы её нажмёте; приложение никогда не делает этого само:

• Сначала через Tor и к .onion-сервису Tor Project: так наблюдатель в вашей сети не видит, что вы запрашиваете мосты, и не нужен выход из сети Tor.
• Только если Tor вообще не подключается — когда новые мосты нужнее всего — запрос идёт напрямую. Тогда наблюдатель в вашей сети может увидеть, что вы соединяетесь с Tor Project (но не что вы запрашиваете); приложение предупреждает вас до того, как вы что-либо примените.
• То, что приходит, только добавляется для вашей проверки: оно никогда не заменяет то, что было, и ничего не применяется, пока вы не нажмёте «Применить».

Некоторые мосты также маскируют трафик, чтобы цензор, осматривающий пакеты, не распознал протокол Tor. Это делает вспомогательная программа самого Tor Project под названием lyrebird, которая идёт внутри приложения:

• Она запускается, только если вы используете мост, которому она нужна. При прямом подключении она не запускается.
• Она работает внутри приложения, с теми же разрешениями, и останавливается, когда вы убираете мост или закрываете приложение.
• Она ничего никому не отправляет сама по себе: без телеметрии, без связи с нами или с Tor Project.
• Она из Tor Project — того же проекта, что стоит за клиентом Tor, который приложение уже использует. Она собрана из зафиксированной версии официального исходного кода, и эта сборка воспроизводима.

Когда вы меняете настройки мостов, приложение стирает внутреннюю запись Tor о том, через какой вход оно заходило, чтобы убранный вами мост не оставлял следа на телефоне.

Никакого промежуточного сервера, хранящего ваши сообщения, нет. Если тот, кому вы пишете, не в сети, сообщение остаётся на вашем устройстве в ожидании и повторяется позже.

Последние два не объявляются приложением напрямую: их добавляет библиотека Android, управляющая его очередью фоновых задач (WorkManager). Они всё же перечислены, потому что появляются в списке разрешений, который показывает вам Android, а список, упускающий два реальных разрешения, ничего не стоит.

Чтобы прикрепить файл или фото из галереи, приложение использует системные средства выбора Android, которые дают доступ только к конкретному файлу, который вы выбираете. Приложение не запрашивает доступ к вашим фотографиям или вашему хранилищу.

Кроме того, каждое отправляемое изображение перед отправкой пересжимается, и этот процесс удаляет скрытые метаданные фотографии: GPS-координаты места съёмки, модель вашего телефона и реальную дату съёмки. Без этого фото из галереи раскрыло бы вашему контакту, где вы были в момент съёмки, даже если вы об этом не знали. Имя файла также заменяется на сгенерированное. Видеосообщения и голосовые сообщения, записанные самим приложением, чисты по той же причине: никто и никогда не добавляет к ним данные о местоположении.

Вы решаете, потому что они на вашем устройстве:

• Сообщения, помеченные как исчезающие, удаляются автоматически через выбранное вами время (1 час, 24 часа или 7 дней).
• Вы можете удалять разговоры и контакты когда угодно.
• Опция «Стереть личность и начать заново» уничтожает ключи хранилища ключей Android и перезаписывает файлы: после этого прежние данные невозможно восстановить даже с устройством в руках.
• Удаление приложения убирает все его данные.

Мы не храним ничего, потому что у нас никогда ничего и не было.

PrivChat не предназначен для детей младше 13 лет и не собирает данные ни у кого, независимо от возраста.

Общий регламент по защите данных предоставляет права на доступ, исправление, удаление, возражение, ограничение и переносимость в отношении того, кто обрабатывает ваши данные.

В данном случае направить эти запросы некуда: мы не обрабатываем никаких ваших персональных данных, у нас нет базы данных со сведениями о вас, и мы не смогли бы вас опознать, даже если бы вы попросили. Контроль над своими данными вы осуществляете прямо из приложения, удаляя их.

Если вы всё же хотите обратиться к нам с вопросом, напишите на privchat.wiki@proton.me.

Мы предпочитаем сказать это здесь, чем чтобы вы узнали позже:

• Если у кого-то есть ваш разблокированный телефон, он может прочитать ваши разговоры. PIN-код приложения существует именно для этого случая.
• Снимки экрана разрешены, пока вы не включите блокировку в разделе «Моя личность». И никакое приложение не может помешать кому-то сфотографировать ваш экран другим телефоном.
• Тот, с кем вы разговариваете, может сохранить, скопировать или переслать то, что вы ему пишете. Никакая технология не может этому помешать.
• Противник, способный одновременно наблюдать за обоими концами сети Tor, теоретически мог бы сопоставить тайминг трафика и заключить, что два человека пишут друг другу. Но и тогда он не смог бы ничего прочитать: содержимое покидает ваш телефон уже зашифрованным и расшифровывается только на телефоне получателя, так что такой противник узнал бы сам факт разговора, но никогда его содержание. Это известное ограничение Tor, а не этого приложения.

Если эта политика изменится, дата в заголовке будет обновлена, а новая версия опубликована по тому же адресу. Изменения, затрагивающие обращение с данными, будут дополнительно объявлены внутри приложения.