Політика приватності

1. Хто відповідає за дані

Володільцем персональних даних є Нестеров Владислав Сергійович, фізична особа, громадянин України (далі — «Розробник», «ми»). Обробка здійснюється відповідно до законодавства України, зокрема Закону України «Про захист персональних даних». З будь-яких питань щодо ваших даних пишіть на електронну адресу, вказану наприкінці цієї сторінки.

2. Дані облікового запису

Щоб користуватися Squeek, потрібен обліковий запис. Для нього ми зберігаємо:

• адресу електронної пошти — це ваш логін; під час реєстрації ми надсилаємо на неї код підтвердження, і без підтвердження увійти не можна;
• пароль — лише у вигляді криптографічного хешу (bcrypt); сам пароль ми не зберігаємо й не можемо його побачити;
• ім’я та нікнейм, які бачать інші користувачі, а також аватар і короткий опис профілю, якщо ви їх додали;
• ваш публічний ключ шифрування та ваш приватний ключ, зашифрований фразою відновлення з дванадцяти слів. Фраза є лише у вас; ми не можемо ані розшифрувати цей ключ, ані відновити фразу;
• тариф і налаштування, які ви змінюєте в застосунку (наприклад, приховування індикатора набору тексту).

3. Сесії, пристрої та сповіщення

Для безпеки входу та доставки сповіщень ми зберігаємо технічні дані про ваші пристрої:

• для кожного входу — IP-адресу, відомості про пристрій і застосунок (user agent), час входу та час останньої активності; сесія зберігається до виходу з облікового запису або завершення строку дії;
• токен push-сповіщень, платформу та назву пристрою — щоб доставляти сповіщення саме на ваш телефон;
• коди підтвердження, надіслані на пошту, зберігаються у вигляді хешу й діють короткий час, після чого видаляються;
• під час входу з нового пристрою ми, крім пароля, просимо код, надісланий на пошту. Пристрій, на якому код уже введено, отримує позначку довіри: вона зберігається на ньому самому, діє 180 днів і скасовується після скидання пароля чи заміни ключа;
• перелік пристроїв, на яких відкрито ваш обліковий запис, видно в застосунку; там же можна завершити будь-яку сесію;
• якщо ви додаєте інший пристрій, відсканувавши код у застосунку, він отримує ваші ключі та повний доступ до листування — так само, як основний.

4. Листування: що ми технічно здатні побачити

Різні типи розмов захищені по-різному, і саме ця різниця визначає, що доступне Розробнику.

• Особисті чати та групи захищені наскрізним шифруванням: повідомлення та файли шифруються на вашому пристрої й розшифровуються лише на пристроях учасників. Сервер зберігає лише зашифровані дані та ключі, загорнуті для кожного отримувача, і не має технічної змоги прочитати зміст.
• Канали та обговорення біля них шифруються на сервері ключем, яким володіє Розробник. Їхній вміст, опитування та скарги на повідомлення технічно доступні Розробнику. Ми не переглядаємо їх у робочому порядку, але не можемо стверджувати, що не здатні на це.
• Для всіх розмов серверу видні службові дані: хто в якому чаті, хто й коли надіслав повідомлення та його розмір, реакції (емодзі), позначки прочитання, закріплення, редагування й видалення, таймери самознищення, а також системні повідомлення — хто приєднався чи вийшов, дзвінки та їхня тривалість. Вони не шифруються.
• Відкладені повідомлення чекають на сервері до призначеного часу: у зашифрованих чатах — уже зашифрованими, так само як звичайні.
• Боти. Бот — це обліковий запис, за який відповідає програма іншого користувача. Бот, доданий у групу чи канал, отримує копію всіх повідомлень із моменту додавання, а в особистому чаті з ботом — усе, що ви йому пишете. Це бачить власник бота, не Розробник. Про додавання бота учасники отримують системне повідомлення.
• Офіційні боти Squeek — ті, що в каталозі ботів у застосунку (розпізнавання голосу, озвучення тексту, розпізнавання тексту на фото, вирізання фону, стікери), — належать Розробнику. Те, що ви їм надсилаєте, обробляється на серверах Розробника власними моделями, без сторонніх сервісів штучного інтелекту. Файли тримаються лише в оперативній пам’яті на час обробки й не зберігаються, а журнали містять тільки розміри й тривалість, без змісту.
• Розшифровка голосових. Коли ви натискаєте «Aa» під голосовим повідомленням, ваш телефон надсилає його аудіо на сервер Розробника, і текст робить та сама модель, що й офіційний бот розпізнавання голосу. Аудіо тримається лише в пам’яті на час обробки й не зберігається; текст повертається на ваш телефон і зберігається тільки там. Без натискання голосове нікуди не надсилається.
• Повідомлення, надіслані боту за посиланням вебхука, надходять на сервер у відкритому вигляді від того, хто викликав посилання, і лише потім шифруються для отримувача.
• Попередній перегляд посилань. Коли ви надсилаєте посилання, ваш телефон сам відкриває цю сторінку, бере з неї назву, опис і зменшене зображення та надсилає картку разом із повідомленням — у зашифрованих чатах так само зашифрованою. Сайт за посиланням бачить вашу IP-адресу, як під час звичайного відкриття; отримувачі й сервер Squeek сторінку не відкривають. Перегляд посилань можна вимкнути в розділі «Приватність і безпека».

5. Дзвінки

Аудіо- та відеодзвінки (WebRTC) зашифровані між пристроями учасників. Щоб знайти шлях одне до одного, застосунки учасників обмінюються мережевими адресами, тож ваша IP-адреса стає відомою співрозмовнику. Коли можливо, пристрої з’єднуються напряму. Якщо прямий шлях неможливий (наприклад, обидва телефони в мобільних мережах), потік іде через ретранслятор (TURN) на сервері Розробника: він пересилає зашифровані пакети, не маючи ключа до звуку й відео, і бачить лише IP-адреси сторін та обсяг переданих даних. Для визначення мережевих адрес також використовуються STUN-сервери Google. Сервер Squeek передає службові сигнали — хто кому дзвонить, коли, чи прийнято дзвінок і скільки він тривав.

• Групові дзвінки, ефіри в каналах і зустрічі за посиланням ідуть через медіасервер на сервері Розробника. Він бачить IP-адреси учасників, хто й коли в дзвінку, чи ввімкнені мікрофон, камера або показ екрана; IP-адреси інших учасників вам не видно.
• У групах і на зустрічах за посиланням звук і відео зашифровані ключем, який знають лише учасники: у групі його роздають їхні пристрої, на зустрічі він міститься в самому посиланні. Медіасервер пересилає зашифровані пакети й не може їх прослухати чи переглянути.
• Ефіри в каналах не мають наскрізного шифрування, як і самі канали: звук і відео технічно доступні Розробнику на медіасервері. Ми їх не записуємо й не переглядаємо.
• Приєднатися до зустрічі може будь-хто, хто має посилання; якщо організатор увімкнув зал очікування, — лише після його дозволу.

6. Копія на вашому пристрої

Щоб чати відкривалися миттєво, застосунок зберігає розшифровану копію листування та завантажені файли у своєму захищеному сховищі на пристрої, а ключі — у системному захищеному сховищі. Ця копія захищена так, як захищений сам пристрій: хто має доступ до розблокованого телефона, може прочитати її. Її розмір видно в налаштуваннях, там же її можна очистити. Додатково можна ввімкнути блокування застосунку відбитком, обличчям або PIN-кодом телефона: перевірку виконує сама система, і біометричні дані не залишають пристрій та не надходять нам.

7. Скільки це зберігається

Сервер не є архівом листування. Строки такі:

• повідомлення та файли зберігаються на сервері обмежений час, який залежить від тарифу відправника: для безоплатного тарифу — 90 днів від надсилання, для Premium — 180, для Premium Plus — 365. Після цього вони видаляються з сервера безповоротно; копія на вашому пристрої при цьому залишається;
• якщо в чаті встановлено таймер самознищення, повідомлення видаляються з сервера після його спливу;
• повідомлення, які ви видалили вручну, очищуються одразу; від них залишається лише порожній запис, щоб відповіді на них не втратили зв’язок;
• дані облікового запису зберігаються, доки він існує; обсяг файлів, надісланих за місяць, обліковується для перевірки тарифу;
• технічні журнали серверів зберігаються обмежений строк, необхідний для безпеки та усунення збоїв.

8. Сповіщення та пошта

Щоб повідомлення доходили, ми користуємося сторонніми сервісами доставки:

• push-сповіщення проходять через Expo Push Service (Expo, США) і далі через Google Firebase Cloud Messaging або Apple Push Notification service. Текст повідомлень у сповіщення не потрапляє — лише ім’я відправника або назва чату, факт нового повідомлення, згадки чи реакції;
• листи з кодами підтвердження надсилаються через Resend (Resend, Inc., США), який для цього отримує вашу адресу та вміст листа.

9. Технічні журнали, метрики та оновлення

Для роботи Сервісу ми обробляємо мінімум технічних даних і не використовуємо сторонньої аналітики чи рекламних трекерів — ні на сайті, ні в застосунку.

• Веб-сервер веде стандартні журнали запитів до сайту, API та файлів для завантаження: IP-адреса, час, адреса запиту, відомості про застосунок чи браузер;
• ми збираємо знеособлені метрики роботи Сервісу — кількість з’єднань, повідомлень, завантажень, дзвінків, надісланих сповіщень і листів — без вмісту й без прив’язки до конкретних осіб;
• застосунки для Android і комп’ютера звертаються до squeek.net, щоб дізнатися, чи є новіша збірка, і завантажують її звідти за вашою командою; ці звернення потрапляють у журнали сайту, як і будь-який інший запит.

10. Що бачать інші користувачі

Частина даних видна іншим за самою природою месенджера:

• ваше ім’я, нікнейм, аватар і опис профілю — будь-кому; за нікнеймом вас можна знайти в пошуку;
• чи ви в мережі та чи набираєте текст (індикатор набору можна приховати на платному тарифі), а також факт прочитання повідомлень;
• коли ви востаннє були в мережі. Точний час можна приховати в налаштуваннях — тоді інші бачать лише «нещодавно», «цього тижня» тощо, а ви так само не бачите точного часу інших;
• ваше членство в групах і каналах — їхнім учасникам; групи та канали за замовчуванням видимі в пошуку, і будь-хто може приєднатися, якщо власник не ввімкнув вступ за заявкою чи лише за запрошенням;
• власники ботів бачать те, що отримують їхні боти (розділ 4).

11. Кому ми передаємо дані

Ми не продаємо дані й не передаємо їх для реклами. Дані обробляють лише ті, без кого Сервіс не працює:

• хостинг-провайдер, на серверах якого розміщено Squeek;
• Cloudflare (Cloudflare, Inc., США) — мережа, через яку проходять усі запити до сайту й до сервера Squeek. Вона бачить IP-адреси та технічні дані запитів і технічно має доступ до того самого, що й сервер: до службових даних і вмісту каналів, але не до змісту наскрізно зашифрованих розмов;
• Resend — доставка листів; Expo, Google та Apple — доставка push-сповіщень; Google — STUN-сервери під час дзвінків (розділи 5 і 8);
• державні органи України — лише коли цього прямо вимагає закон. Зміст наскрізно зашифрованих розмов ми передати не можемо, бо не маємо до нього доступу.

12. Ваші права та керування даними

За законодавством України ви маєте право знати, які дані про вас обробляються, вимагати їхнього виправлення чи видалення й заперечувати проти обробки. Для цього напишіть нам на електронну адресу, вказану внизу. У самому застосунку ви можете:

• змінювати ім’я, аватар і опис профілю;
• видаляти свої повідомлення для всіх учасників і встановлювати таймери самознищення;
• блокувати користувачів — заблокований не зможе вам писати й телефонувати; виходити з груп і каналів; приховувати особисті чати;
• переглядати пристрої, на яких відкрито ваш обліковий запис, і завершувати будь-яку сесію;
• вимкнути попередній перегляд посилань і ввімкнути блокування застосунку;
• очищати локальну копію листування та файлів у налаштуваннях;
• видалити обліковий запис — у профілі, підтвердивши паролем. Ми стираємо профіль, ключі, сесії та все, що ви надсилали, разом із файлами; групи й канали, якими ви володіли, видаляються, ваші боти вимикаються. Повідомлення, вже доставлені іншим учасникам, залишаються на їхніх пристроях, а в спільних чатах на місці вашого імені вони бачать «Видалений акаунт».
• якщо застосунку під рукою немає, видалення облікового запису можна попросити листом на адресу, вказану внизу, надіславши його з пошти цього облікового запису. Ми видалимо його так само повністю протягом 30 днів і відповімо, коли це буде зроблено.

13. Безпека та її межі

Дані між застосунком і сервером передаються зашифрованим каналом (TLS), паролі зберігаються у вигляді хешу, ключі шифрування створюються на вашому пристрої й залишають його лише зашифрованими вашою фразою відновлення. Водночас Squeek — бета-продукт: ми не гарантуємо відсутності вразливостей. Забутий пароль можна скинути кодом, надісланим на пошту. Втрачену фразу відновлення можна замінити новим ключем, але історія наскрізно зашифрованих розмов, захищена старим ключем, залишиться недоступною — відновити її не можемо ні ми, ні ви. Про відомі нам інциденти, що зачіпають ваші дані, ми повідомимо в застосунку або на сайті.

14. Вік користувачів

Squeek призначений для осіб віком від 18 років. Ми свідомо не збираємо даних дітей; якщо нам стане відомо про обліковий запис особи, молодшої за 18 років, ми його видалимо.

15. Зміни до Політики

Ми оновлюємо цю сторінку разом із розвитком продукту; дата чинної редакції вказана вгорі. Про суттєві зміни ми повідомляємо в застосунку або на сайті. Продовження користування Сервісом після набрання змінами чинності означає згоду з новою редакцією.