Политика конфиденциальности

Коротко

Переписка и вложения в MayakChat зашифрованы от отправителя до получателя. Ключи есть только на телефонах собеседников. Сервер передаёт сообщения, но прочитать их не может — ни владелец сервера, ни тот, кто получит доступ к его базе.

Звонки идут напрямую между телефонами и тоже зашифрованы. Их содержание нигде не записывается и не сохраняется.

Приложение не показывает рекламу, не содержит рекламных и аналитических модулей и не передаёт сведения о вас третьим лицам ни за плату, ни бесплатно. Исключение одно, и оно техническое — служба доставки уведомлений Google, о ней сказано ниже.

Ниже — подробно и без умолчаний: что именно попадает на сервер, зачем, на сколько и что с этим можно сделать.

Кто отвечает за данные

Оператор персональных данных — iiimmeR.

Связаться: mayak5upport@yandex.ru, а также через раздел «Поддержка» в самом приложении.

Обработка ведётся в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Серверы расположены на территории Российской Федерации.

Какие данные обрабатываются

Вы сообщаете их сами при регистрации

• Номер телефона. Используется только как логин — им вы входите в аккаунт. СМС на него не приходят, он никак не проверяется, и найти вас по нему в приложении нельзя: людей добавляют по коду друга.
• Пароль. Хранится не сам пароль, а его хеш, из которого пароль восстановить нельзя.
• Имя, фамилия и текст «о себе» — если вы их заполнили. Их видят те, кто добавил вас в свой список.
• Ваш код и код для добавления в друзья. Создаются автоматически. Именно по ним вас находят — не по номеру телефона.

Появляется само, пока приложение работает

• Дата создания аккаунта.
• Сведения об устройствах, где выполнен вход: название телефона, версия приложения, время последнего выхода на связь. Нужны, чтобы вы могли увидеть свои сеансы в настройках и отключить чужой.
• Публичные ключи шифрования вашего устройства. Их и раздаёт сервер — из них собеседники собирают защищённый канал. Секретные ключи сервер не получает никогда: они создаются на телефоне и телефон не покидают.
• Списки контактов и групп внутри приложения: кого вы добавили, кто добавил вас, кого заблокировали, в каких группах состоите. Названия групп сервер хранит в открытом виде — иначе он не смог бы показать участнику список его групп.
• Сведения о доставке: кто кому и когда отправил сообщение, дошло ли оно и прочитано ли. Содержание при этом остаётся закрытым, но сам факт переписки серверу виден — иначе доставить сообщение было бы некому.
• Сведения о звонках: кто кому звонил, когда и чем закончилось. Содержание разговора не записывается и не сохраняется нигде.
• Технические записи веб-сервера: IP-адрес, время обращения, запрошенный адрес и сведения о программе, с которой пришёл запрос. Обычный журнал, нужный чтобы понимать, что сервер жив, и отбиваться от перебора паролей.

Лежит на сервере, но недоступно даже ему

• Сообщения. Только в зашифрованном виде и только пока не дошли до получателя. Ключей у сервера нет.
• Вложения — фото, видео, голосовые, документы. Файл шифруется на телефоне до отправки. Сервер не знает ни его имени, ни типа: эти поля ему намеренно не передаются.

Отдельно стоит сказать про две вещи, которые на сервер не попадают вовсе:

• Фотография профиля. Она не выкладывается на сервер, а уходит собеседникам внутри обычного зашифрованного сообщения — так же, как любое другое вложение.
• Резервная копия переписки. Её делаете вы сами и своим паролем; файл остаётся у вас. На сервер он не отправляется, и восстановить его без вашего пароля нельзя ни нам, ни кому-либо ещё — в том числе если вы этот пароль забудете.

Чего приложение не делает

• Не читает вашу телефонную книгу. Разрешение на доступ к контактам не запрашивается вовсе — его нет в приложении.
• Не определяет местоположение. Разрешения на геолокацию в приложении нет.
• Не собирает статистику поведения: нет ни рекламных идентификаторов, ни счётчиков, ни сборщиков сбоев.
• Не хранит и не передаёт содержание разговоров и переписки в виде, пригодном для чтения.
• Не продаёт и не передаёт данные рекламодателям, брокерам данных и кому бы то ни было ещё.

Кому данные передаются

Google — только чтобы разбудить телефон

Когда приложение закрыто, сообщить о новом сообщении или входящем звонке можно лишь через службу доставки уведомлений Google (Firebase Cloud Messaging). Ей отправляется идентификатор вашего устройства в этой службе и одно слово: пришло сообщение или звонок. Ни текста, ни имени отправителя, ни номера телефона в уведомлении нет — приложение показывает их само, уже расшифровав на телефоне.

Сервер связи для звонков

Во время звонка телефоны обычно соединяются напрямую. Если сеть этого не позволяет, разговор идёт через вспомогательный сервер, — он тоже наш, — и ему становятся видны IP-адреса участников. Содержание звонка остаётся зашифрованным.

По требованию государственных органов

Оператор передаёт данные уполномоченным органам, когда обязан это сделать по закону. Передать можно только то, что есть: сведения об аккаунте и факты доставки. Содержания переписки и звонков у оператора нет, и получить его он не может.

Сколько данные хранятся

• Сообщение, ожидающее доставки — удаляется с сервера через 7 дней после того, как получатель подтвердил приём. Не забранное никем удаляется в любом случае через 90 дней.
• Вложение — удаляется сразу, как только его забрали все получатели, и в любом случае через 14 дней.
• Сведения об аккаунте, контактах и группах — пока существует аккаунт.
• Технические записи веб-сервера — объём журнала ограничен, и старые записи автоматически затираются новыми по мере их накопления. Отдельно они никуда не копируются и не выгружаются.

Переписка целиком живёт на ваших телефонах и хранится там столько, сколько вы захотите. Сервер её копию не держит.

Как это защищено

• Сквозное шифрование переписки и вложений: X25519, Ed25519, HKDF-SHA256, AES-256-GCM. Ключи для каждого сообщения свои, и старые сообщения нельзя прочитать, даже завладев нынешним ключом.
• Связь с сервером идёт только по HTTPS.
• Секретные ключи на телефоне хранятся в защищённом хранилище операционной системы, а местная база сообщений зашифрована.
• Приложение запоминает ключ собеседника и предупреждает, если он сменился, — так видна попытка подмены.
• Автоматическая выгрузка данных приложения в облако Google отключена: копия вашей базы туда не уезжает.

Ваши права

• Посмотреть, что о вас известно. В приложении есть экран «Что Маяк знает обо мне» — он показывает это прямо, без запросов и ожидания.
• Исправить. Имя, фамилию и текст «о себе» можно изменить в профиле в любой момент.
• Отключить чужое устройство. Список сеансов и кнопка отключения — в настройках.
• Удалить аккаунт. Напишите в поддержку из приложения или на адрес выше. Аккаунт удаляется вместе со всеми связанными записями: контактами, группами, сведениями об устройствах и недоставленными сообщениями. Восстановить его после этого нельзя.
• Отозвать согласие на обработку. Это то же самое, что удалить аккаунт: без обработки перечисленных данных приложение не может доставить ни одного сообщения.

Ответ на обращение даётся в сроки, установленные законом.

Дети

Приложение не предназначено для лиц младше 16 лет и не собирает данные о них намеренно.

Изменения

Новая редакция публикуется на этой странице и приезжает в приложение с обновлением, дата вверху при этом меняется. Если изменения существенные, о них сообщается в самом приложении.