Приватность

Что храним

• Время подключения и отключения
• Объём переданного трафика — для тарификации
• Коды ошибок — чтобы чинить сбои
• Данные подписки: тариф, срок, платежи

Чего не храним

• Адреса и домены, к которым вы подключаетесь
• DNS-запросы
• Содержимое трафика

Учётная запись

Приложением можно пользоваться без неё: свои серверы, раздельное туннелирование, прокси и настройки работают у гостя так же. При первом запуске заводится идентификатор установки — случайное число, по которому доставляются уведомления. Пока вы не вошли, оно не связано ни с чем.

При регистрации мы получаем почту. Имени не спрашиваем и не храним. У вошедшего появляется учётная запись со своим идентификатором; установка связывается с ней при входе и развязывается при выходе.

Что отправляет приложение

Приложение отправляет только то, без чего оно не работает. Ни адресов, ни истории посещений здесь нет и быть не может: трафик через наш сервис не проходит, а узлы такого журнала не ведут.

• Идентификатор установки и токен уведомлений — чтобы доставлять сообщения о подписке и ответы поддержки
• Имя устройства, которое даёт система (на iPhone это название модели), версию системы и версию приложения — чтобы различать устройства в списке и понимать, на чём воспроизводится сбой
• Тип сети — Wi-Fi или сотовая, доступность IPv6 и UDP: по ним выбирается протокол подключения

Обращения в поддержку

Текст переписки и приложенные файлы хранятся, пока существует обращение: без них оператор не вернётся к вашему вопросу. Снимок экрана приходит таким, каким вы его отправили, а данные съёмки — время, координата места, модель камеры — вырезаются на устройстве, до отправки.

Учётные данные

Пароль хранится только хешем Argon2id. Открытый пароль не пишется ни в базу, ни в журналы и живёт лишь внутри одного запроса; восстановить его из базы невозможно — поэтому «забыли пароль» у нас означает сброс, а не напоминание.

Секрет второго фактора и коды восстановления зашифрованы ключом, которого нет в базе. Дампа базы недостаточно, чтобы сгенерировать код.

Почему это не просто слова

Запись назначений отключена в конфигурации самих серверов — они физически не ведут такой журнал. Дополнительно наш сервис вырезает подобные поля из логов перед записью, а система сбора логов принимает только заранее разрешённый набор полей.

Три независимых уровня означают, что для утечки нужно сломать все три, а не один. Плата за это — диагностика проблем строится на кодах ошибок и метриках, а не на трассировке трафика.

Оплата

Данные карты обрабатывает платёжная система, мы их не получаем и не храним. У нас остаётся факт платежа: сумма, валюта, время и идентификатор на стороне провайдера.

Передача третьим лицам

Мы не продаём ваши данные, не сдаём их в аренду и не передаём никому для рекламы, аналитики или составления профиля. Ни рекламной сети, ни системы аналитики, ни сборщика падений в приложении нет ни одной.

Данные покидают наш контур в трёх случаях, и других нет. Платёжная система получает то, что нужно для платежа, — саму карту мы при этом не видим. Apple и Google получают токен уведомления, чтобы доставить его на устройство. Закон может обязать нас ответить на официальный запрос — но ответить мы способны только тем, что храним, а адресов и содержимого трафика мы не храним.

Удаление

Учётную запись удаляют в самом приложении: Настройки → Учётная запись → Удалить. Вместе с ней уходят устройства, история подключений и переписка с поддержкой. Письма для этого не требуется, действие необратимо.

Вопросы

Всё, что касается данных, — на support@exitru.net. Отвечает человек.