Политика конфиденциальности

Эти пять утверждений и есть содержание политики. Всё, что идёт дальше, — детали, оговорки и честность по краям.

• Мы не продаём, не сдаём в аренду, не обмениваем и иным образом не передаём третьим лицам данные о вас или о вашем использовании Сервиса — ни для каких целей.
• Мы не просматриваем, не записываем и не анализируем содержимое вашего интернет-трафика.
• Мы не используем ваш трафик и производные от него данные для рекламы, профилирования, рекомендаций или обучения каких-либо моделей.
• Мы не используем и не допускаем на своей инфраструктуре рекламные сети, трекинговые пиксели, техники фингерпринтинга и сторонние сервисы аналитики.
• Мы собираем минимум, необходимый чтобы продать подписку и поддерживать её работу, и удаляем это в сроки из пункта 9.

Фраза «мы не ведём логи» использовалась отраслью в стольких разных значениях, что перестала что-либо сообщать. Провайдеры произносили её, сохраняя метаданные подключений, а как минимум один произносил её, имея записи, которые впоследствии передал следствию. Поэтому вместо фразы — список.

Мы не храним ничего из перечисленного

• Историю посещений — сайты, страницы, приложения и сервисы, к которым вы обращаетесь через туннель.
• DNS-запросы. Логирование DNS в нашем туннельном ПО отключено в поставляемой конфигурации и остаётся отключённым.
• Журналы подключений. Access-лог туннельного ПО выставлен в значение «none», то есть записи по каждому соединению не создаются вовсе.
• Содержимое трафика в любом виде, зашифрованном или нет.
• Любые записи, связывающие подписку с тем, куда она обращалась, — в любой момент и на любой срок.
• Ваши имя, почтовый адрес, дату рождения и документы, удостоверяющие личность. Мы их не спрашиваем, и присылать их нам не нужно.
• Рекламные идентификаторы, отпечатки устройства, контакты, фотографии, сообщения, календари, медицинские и биометрические данные, а также точную геолокацию устройства, собираемую в фоне.

Запись о подписке

По каждой подписке мы храним запись, содержащую: идентификатор подписки и её название, выбранное вами или нами; тариф и регион выхода; признак активности; дату окончания; лимит трафика и лимит одновременных устройств, если они предусмотрены тарифом; необязательную метку группы, которой корпоративные клиенты упорядочивают места; а также даты создания и последнего изменения записи.

Ничего из этого не требует вашей личности, и мы её не привязываем.

Telegram

Оплата, настройка и поддержка происходят в нашем Telegram-боте. Поэтому мы храним идентификатор Telegram-аккаунта, который с ним переписывается, — чтобы связать разговор с подпиской, — и то, что вы решите нам написать. Ваши username, отображаемое имя и аватар видны боту, потому что их показывает Telegram; мы не сохраняем их сверх того, что нужно для ответа.

Счётчики трафика

Если у тарифа есть лимит трафика, наши серверы ведут два накопительных счётчика байтов на подписку и узел — исходящий и входящий, — чтобы лимит можно было применить, а вы видели расход. Это итоги, а не история: они фиксируют, сколько, и никогда — что, куда и когда. Они обнуляются каждый расчётный период и не архивируются.

Лимит одновременных устройств

Если тариф ограничивает число одновременно подключённых устройств, это число нужно считать, а считать — значит на короткое время знать, сколько различных адресов подключено. Наши серверы получают адреса текущих подключений из интерфейса живой статистики туннельного ПО — не из access-лога, который отключён, — сохраняют каждый с меткой времени, чтобы его можно было учесть, и автоматически удаляют через тридцать минут после наблюдения.

Это наблюдение никогда не связывается ни с каким адресом назначения, не пишется в файл журнала и не переживает тридцатиминутное окно. На тарифе без лимита устройств оно не происходит вообще.

Платежи

Мы не обрабатываем данные карт самостоятельно и никогда не видим и не храним полный номер карты. При оплате картой или локальным платёжным методом транзакцию проводит платёжный провайдер и возвращает нам подтверждение, номер операции и сумму. При оплате стейблкоином мы храним адрес получения и хеш транзакции — оба по своей природе публичны в блокчейне, и удалить их мы не можем, потому что не мы их туда записали.

Переписка с поддержкой

Если вы нам пишете, мы храним написанное в пределах сроков пункта 9, чтобы второе сообщение можно было понять в свете первого. Пожалуйста, не присылайте нам сведения, которых вы не хотите нам сообщать.

Корпоративные командные аккаунты

Когда организация покупает тариф и раздаёт места своим сотрудникам, она сама решает, кто получает место и как оно называется. В терминах защиты данных она является оператором в отношении своих сотрудников, а мы — обработчиком, действующим по её поручению. Соглашение об обработке данных предоставляется по запросу. Сотруднику, у которого есть вопросы о том, как его работодатель настроил его место, следует адресовать их работодателю: мы не можем отвечать за него.

Сайт не ставит cookie и ничего не пишет ни в localStorage, ни в sessionStorage — ни настройку, ни идентификатор, ни счётчик. Раньше он хранил там одно: выбранное вами светлое или тёмное оформление. Оформление теперь одно, и запоминать стало нечего. Когда страница открыта внутри Telegram как наше мини-приложение, параметры запуска кладёт в sessionStorage сам код Telegram: мы их только читаем, и до нас они не доходят. Он не загружает аналитику, тег-менеджеры, рекламные и социальные пиксели, шрифты и скрипты со сторонних хостов, а также баннер согласия — потому что соглашаться не на что. Здесь нет отказа ровно потому же, почему нет и согласия.

Обычные серверные записи

Как и любой сервер в интернете, машины и сетевые провайдеры, обслуживающие сайт, неизбежно видят адрес, с которого пришёл запрос, — иначе на него нельзя ответить. Мы не ведём никаких записей уровня приложения, связывающих посетителя с просмотренными страницами. На уровне инфраструктуры могут существовать краткоживущие эксплуатационные и защитные записи; они не используются для построения профиля и не объединяются ни с чем другим из этой политики.

Индикатор подключения

Индикатор в шапке страницы показывает, откуда интернет сейчас видит ваше подключение, — это первое, что посетитель VPN-сайта хочет проверить. Чтобы его построить, наш сервер выводит приблизительное местоположение, оператора связи и тип сети из публичного адреса, на который приходит запрос.

Результат кэшируется на пятнадцать минут по намеренно усечённой форме этого адреса — первые 24 бита для IPv4 и первые 48 для IPv6 — и никогда по самому адресу. Усечение и есть смысл конструкции: кэш по полным адресам был бы журналом того, кто заходил на сайт, а это ровно то, чего мы отказываемся иметь. За этой функцией нет базы данных, и на диск ничего не пишется.

Что ещё видит страница — и показывает вам

Когда вы открываете индикатор, в браузере выполняется короткая проверка, результат которой сразу выводится на экран. Она нужна потому, что адрес точки выхода — это не вся картина. HTTP-прокси очень часто передаёт ваш исходный адрес в заголовке запроса, не сообщая вам об этом, а прокси, который ведёт веб-трафик, но не UDP, оставляет ваш настоящий адрес открытым для WebRTC. Мы смотрим и то и другое — потому что всё, что видно нам, видно и любому другому сайту, который вы открываете.

Конкретно — три вещи. Мы читаем заголовки пересылки, пришедшие с вашим запросом: это данные, которые ваш собственный прокси решил нам отправить. Мы спрашиваем STUN-сервер Cloudflare, с какого публичного адреса, по его мнению, идёт UDP-путь вашего браузера; Cloudflare и так терминирует каждое ваше соединение с этим сайтом, поэтому проверка не сообщает им ничего нового. И мы читаем часовой пояс и список языков, которые ваш браузер публикует для любой открытой страницы. Ничего не записывается, ни с чем не сопоставляется, и каждый результат показывается вам там же, где получен.

Сравнение с вашим устройством (по желанию)

Вы можете попросить страницу сравнить этот показатель с тем, где считает себя ваше устройство. Ничего не произойдёт, пока вы не нажмёте кнопку и не разрешите запрос вашего собственного браузера. Точные координаты остаются внутри страницы и никуда не передаются. Копия, округлённая до двух знаков после запятой — примерно 1,1 километра, достаточно чтобы назвать город и недостаточно чтобы назвать улицу, — один раз отправляется на наш сервер для определения названия места и отбрасывается, как только приходит ответ.

Мы американская компания и формально не подпадаем под европейский Общий регламент по защите данных. Правовые основания мы всё равно называем на его языке, потому что это самый ясный из доступных способов объяснить, почему компания считает себя вправе что-то хранить, — и потому что пункт 11 предоставляет его права всем без исключения.

• Чтобы предоставлять оплаченный вами Сервис, включая активацию, настройку и поддержание подписки, — исполнение договора с вами (ст. 6(1)(b) GDPR).
• Чтобы применять лимиты тарифа, поддерживать работу сети и предотвращать злоупотребления общей инфраструктурой, — наш законный интерес и законный интерес каждого другого клиента на том же узле (ст. 6(1)(f)).
• Чтобы отвечать вам, когда вы обращаетесь, — исполнение договора и наш законный интерес в поддержке клиентов.
• Чтобы принимать оплату и вести бухгалтерский и налоговый учёт, которого от нас требует закон, — договор и правовая обязанность (ст. 6(1)(c)).
• Чтобы показывать индикатор подключения на сайте — наш законный интерес в том, чтобы посетитель мог сам проверить то, что заявляет VPN-сайт.
• Чтобы сравнить этот показатель с местоположением вашего устройства — ваше согласие, данное через запрос браузера и отзываемое в любой момент его отменой (ст. 6(1)(a)).

Мы не принимаем автоматизированных решений, порождающих юридические или сходные значимые последствия, и не занимаемся профилированием.

Мы не используем cookie ни в каком виде — ни технические, ни для настроек, ни аналитические. В наших клиентских приложениях нет рекламных идентификаторов и стороннего аналитического или атрибуционного кода.

Законодательство Калифорнии требует от нас сообщить, как мы реагируем на браузерный сигнал Do Not Track. Наш ответ: такому сигналу нечего выключать. Мы не отслеживаем вас между сайтами и во времени — ни у себя, ни у кого-либо ещё, — поэтому Do Not Track и Global Privacy Control ничего не меняют в нашем поведении: оно уже соответствует тому, о чём эти сигналы просят.

Мы намеренно опираемся на очень небольшое число внешних сторон. Ни одна из них не получает ваш трафик, историю посещений или производные от них данные — потому что, согласно пункту 3, таких записей у нас попросту нет.

• Хостинг- и сетевые провайдеры, предоставляющие серверы и полосу для узлов выхода. Они переносят ваш трафик так же, как это делает любой транзитный оператор, и прочитать его не могут: он зашифрован между вашим устройством и точкой выхода.
• Платёжные провайдеры и локальные платёжные методы, проводящие карточные и банковские операции и возвращающие нам только подтверждение и номер операции. При оплате стейблкоином провайдера нет вовсе, а транзакция публична в соответствующем блокчейне — навсегда и вне чьего-либо контроля.
• Telegram Messenger Inc., на платформе которого работает наш бот. Ваши отношения с Telegram регулируются политикой Telegram, а не этой.
• Источники геоданных, используемые только индикатором на сайте: ipwho.is и GeoJS; Cloudflare, который и так терминирует ваше соединение с этим сайтом, сообщает своё мнение о вашей стране в заголовке запроса и чей STUN-сервер отвечает на описанную выше проверку в браузере; сервис RIPEstat от RIPE NCC и RDAP-реестры IANA и региональных интернет-регистратур; и, если включены, база MaxMind GeoLite2, к которой обращение происходит на нашем собственном сервере, так что ни один адрес не покидает нашу инфраструктуру, ipinfo.io и ipregistry. Каждый из них получает только тот единственный адрес, который проверяется.
• Сервис Nominatim фонда OpenStreetMap, используемый только для необязательного сравнения с устройством и получающий исключительно координату, уже округлённую примерно до 1,1 километра.

Мы также можем раскрывать сведения профессиональным консультантам, связанным обязанностью конфиденциальности, либо приобретателю в связи со слиянием или продажей бизнеса — в этом случае приобретатель получает данные вместе с этой политикой, и мы публично сообщим об этом до вступления передачи в силу.

Мы не продаём, не предоставляем в общий доступ и иным образом не передаём персональные данные третьим лицам для рекламы, кросс-контекстной поведенческой рекламы и сходных целей.

• Запись о подписке — пока подписка активна и до 90 дней после её окончания, чтобы её можно было восстановить, не начиная заново. Затем удаляется.
• Счётчики трафика — обнуляются каждый расчётный период, не архивируются.
• Адреса источника, наблюдаемые для лимита одновременных устройств, — 30 минут с момента наблюдения, затем автоматическое удаление.
• Кэш индикатора подключения на сайте — 15 минут, по усечённому сетевому префиксу, а не по адресу.
• Координаты устройства из необязательного сравнения — не сохраняются вовсе.
• Переписка с поддержкой — до 12 месяцев с последнего сообщения в диалоге.
• Платёжные и бухгалтерские документы — в течение срока, который требует применимое налоговое и бухгалтерское законодательство; в США это, как правило, семь лет. Они хранятся у нас и у наших платёжных провайдеров, и удалить их раньше по вашему требованию мы не можем.
• Транзакции в блокчейне — постоянны и публичны, их ведёт сеть, а не мы. Стереть их не можем ни мы, ни вы.

Там, где срок указан как максимальный, мы удаляем раньше, если основание для хранения отпало. Если закон обязывает нас сохранить что-либо в связи с конкретным судебным требованием или расследованием, мы храним это ровно столько, сколько длится обязанность, и не дольше.

Мы американская компания, и Сервис работает с серверов в нескольких странах — иначе и быть не может, ведь точка выхода в другой стране и есть продукт. Поэтому запись о вашей подписке может обрабатываться в США и в странах, где размещены используемые вами узлы.

Где бы обработка ни происходила, действуют те же обязательства. Когда мы передаём персональные данные за пределы Европейской экономической зоны, Великобритании или Швейцарии в обстоятельствах, требующих гарантий, мы опираемся на Стандартные договорные условия Европейской комиссии или эквивалентный механизм; копию соответствующих условий можно запросить по адресу из пункта 16.

Каждое из перечисленных ниже прав мы предоставляем каждому пользователю, где бы он ни жил. Не потому, что этого требует закон на каждом из наших рынков — на большинстве не требует, — а потому что право, зависящее от того, чей у вас паспорт, правом не является.

• Знать, что мы о вас храним, и получить копию этих сведений.
• Исправить неточные сведения.
• Удалить сведения — с единственным ограничением в виде сроков, которые закон возлагает на нас в пункте 9.
• Ограничить обработку на время разрешения спора о ней.
• Получить переданные вами данные в переносимом машиночитаемом виде.
• Возразить против обработки, которую мы ведём на основании законного интереса.
• Отозвать согласие в любой момент — без последствий для того, что было сделано до отзыва.
• Действовать через уполномоченного представителя и не подвергаться за обращение никакому худшему обращению.
• Если вы находитесь в Европейской экономической зоне или Великобритании — подать жалобу в национальный надзорный орган. Нам было бы приятнее, если бы вы сначала обратились к нам, но выбор ваш, и препятствовать мы не будем.

Мы не продаём и не предоставляем в общий доступ персональные данные в значении Калифорнийского закона о конфиденциальности потребителей и не делали этого в течение предшествующих двенадцати месяцев. Мы заведомо не продаём и не предоставляем данные лиц младше шестнадцати лет.

Одна оговорка, и она в вашу пользу

Бо́льшая часть того, что мы храним, намеренно не привязана к реальной личности. Мы никогда не спрашивали вашего имени, а идентификатор подписки не говорит нам, кто вы. Поэтому будут случаи, когда мы действительно не сможем соотнести обращение с аккаунтом, — и тогда мы можем оказаться не в состоянии его исполнить.

Мы не станем пользоваться этим как удобной отговоркой. Мы прямо скажем, что не можем идентифицировать запись, объясним, что позволило бы нам продолжить, и никогда не потребуем больше подтверждений личности, чем требует само обращение. В частности, мы не будем просить вас прислать документы, удостоверяющие личность, ради осуществления права в отношении данных, к которым никакой личности не привязано.

Чтобы воспользоваться любым из этих прав, напишите на [email protected] или в бот. Мы ответим в течение 30 дней, а если потребуется больше времени — скажем об этом и объясним почему.

Мы отвечаем на действительные и обязательные к исполнению процессуальные требования суда или органа, обладающего реальной юрисдикцией над нами. Мы не выдаём сведения по неформальной просьбе, по письму из полиции или по требованию органа, не имеющего над нами юрисдикции, как бы официально оно ни было оформлено.

То, что мы можем предоставить, ограничено тем, что существует. Мы не можем предоставить историю посещений, DNS-записи, журналы подключений или содержимое трафика, потому что их у нас нет и никогда не было. Никакое предписание не может обязать предоставить запись, которая никогда не создавалась. Именно поэтому пункт 3 написан так, как написан, и это защита куда более прочная, чем любое обещание бороться.

Мы будем оспаривать требования, которые чрезмерно широки, оформлены с нарушениями или которые мы считаем незаконными, и будем давать самый узкий ответ, какого действительно требует действительное предписание. Там, где нам это юридически позволено, мы уведомим затронутого пользователя до раскрытия, а там, где немедленное уведомление запрещено, — как только запрет отпадёт.

Мы намерены публиковать периодический отчёт о прозрачности с числом полученных запросов, числом исполненных и числом отклонённых или оспоренных. Пока мы его не публиковали, потому что Сервис новый и сообщать нечего; мы говорим об этом прямо, вместо того чтобы намекать на историю, которой у нас нет.

Трафик между вашим устройством и нашими узлами выхода зашифрован, и прочитать его мы не можем. На серверах включено полнодисковое шифрование. Административный доступ ограничен теми, кому он необходим, защищён многофакторной аутентификацией и пересматривается. Учётные данные не используются совместно ни между сотрудниками, ни между системами.

Если произойдёт инцидент, способный создать для вас риск, мы уведомим вас и соответствующий орган без неоправданной задержки и в любом случае в течение 72 часов с момента, когда нам стало о нём известно, — там, где этот стандарт к нам применим.

Абсолютно защищённых систем не бывает, и мы не утверждаем обратного. VPN защищает трафик в пути; он не защищает уже скомпрометированное устройство, аккаунт с повторно использованным паролем и сервис, в который вы добровольно вошли под своим настоящим именем.

Сервис не адресован детям и продаётся только лицам, достигшим 18 лет, как того требуют Условия использования. Мы заведомо не собираем персональные данные лиц младше 13 лет.

Если нам станет известно, что мы храним сведения о ребёнке младше 13 лет, мы их удалим. Родителю или законному представителю, полагающему, что такие сведения у нас есть, следует написать на [email protected], и мы отреагируем незамедлительно.

Мы можем обновлять эту политику — чтобы описать новую функцию, что-то исправить или отреагировать на изменение закона. Дата вверху документа — это дата той версии, которую вы читаете, и именно она действует.

Если изменение существенно снижает описанные здесь гарантии, мы заметно сообщим об этом на сайте и через бот до вступления изменения в силу, а не поменяем дату в надежде, что никто не посмотрит. Предыдущие версии мы сохраняем и предоставим по запросу.

• Вопросы о конфиденциальности и обращения по правам — [email protected]
• Юридические уведомления и процессуальные документы — [email protected]
• Сообщения о злоупотреблениях из нашей сети — [email protected]
• Поддержка и всё остальное — наш Telegram-бот, @gaezo_bot

[OPERATING ENTITY], [REGISTERED OFFICE ADDRESS], Wilmington, Delaware 19801, United States.

Политика публикуется на английском, русском, китайском, персидском, арабском и бирманском языках. Обязывающей является английская версия. Остальные приведены, чтобы вы могли прочитать документ на своём языке, и при любом расхождении преимущественную силу имеет английский текст.