Политика конфиденциальности

Кто мы

Clavenzo создаёт и обслуживает Diamente LLC. В этой политике «мы» и «нас» означают Diamente LLC.

• Вопросы и запросы о конфиденциальности: privacy@clavenzo.com
• Проблемы безопасности: security@clavenzo.com
• Жалобы на злоупотребления: abuse@clavenzo.com
• Всё остальное: support@clavenzo.com

Коротко

• Ни номера телефона, ни почты, ни имени. Ваша личность представляет собой случайный ключ, который создаёт ваш телефон или компьютер. Нет ни аккаунта, ни пароля, и ваша адресная книга никогда не читается.
• Всё, что вы говорите и отправляете, зашифровано сквозным шифрованием. Звонки, видео, сообщения, фотографии, файлы, голосовые сообщения и отправленные местоположения шифруются на вашем устройстве, и открыть их может только тот, кому вы их отправили. Это так, идут ли они напрямую между двумя устройствами или через ретранслятор. Мы не можем их прочитать.
• Кое-что наши серверы всё же видят. Они хранят ваш адрес, ваши открытые ключи и, если это телефон, его push-токен и видят, какой адрес отправляет приглашение к звонку или ожидающее сообщение какому адресу. В разделе ниже перечислено всё это и сколько хранится каждый пункт.
• Ни рекламы, ни аналитики, ни трекеров, ни отчётов о сбоях. Мы не продаём данные и не передаём их для рекламы.

Что остаётся на вашем устройстве

• Закрытый ключ вашей личности. Он создаётся на вашем телефоне и хранится там же. На Android он запечатан ключом, который хранит Android Keystore, в защищённом оборудовании телефона, если оно в телефоне есть. На iPhone он хранится в Keychain (связке ключей), только для этого устройства, и никогда не синхронизируется с iCloud. Он покидает телефон, только если вы сами его экспортируете, и тогда он запечатан одноразовым кодом.
• Ваши переписки, фотографии, файлы, голосовые сообщения, история звонков и контакты. Они хранятся в приватном хранилище приложения под защитой собственного шифрования и экрана блокировки телефона. Второго слоя шифрования приложение к ним не добавляет. Они исключены из резервных копий Google и iCloud. Они покидают телефон только в виде зашифрованных сообщений тому, кому вы их отправляете, или в зашифрованном файле резервной копии, который вы решите создать.
• На компьютере закрытый ключ вашей личности запечатан ключом, который хранит системное хранилище учётных данных (Windows Credential Manager или связка ключей Secret Service в Linux), поэтому файл на диске бесполезен под другой учётной записью или на другом компьютере. Ваши переписки и файлы хранятся в папке данных приложения в вашей учётной записи.
• Имена, которые вы даёте контактам. Они остаются на вашем телефоне и никуда не отправляются.
• Ваше местоположение. Clavenzo никогда его не отслеживает. Когда вы нажимаете «Поделиться местоположением», одна точка отправляется одному этому человеку, зашифрованная сквозным шифрованием.

Что видят наши серверы и как долго это хранят

Серверы Clavenzo знакомят телефоны друг с другом, будят закрытое приложение, когда приходит звонок или сообщение, и хранят зашифрованные данные для выключенного телефона. Их несколько: одни работают на наших собственных машинах, другие — на машинах, арендованных у Google Cloud. Регистрации копируются между ними, чтобы любой из них мог до вас достучаться.

Вот всё, что они хранят:

Что это означает на практике:

• Кто с кем связывается. Пока приглашение к звонку или ожидающее сообщение находится на наших серверах, они видят, какой адрес отправил его какому адресу. Мы не храним запись об этих парах после того, как само приглашение или сообщение удалено.
• IP-адреса. Наши серверы видят IP-адрес, с которого пришёл каждый запрос, пока его обрабатывают. В журналы запросов они его не записывают. IP-адреса мы храним только в журналах ретранслятора.
• Когда вы выходите на связь. Наши серверы видят, когда ваш телефон регистрируется и забирает данные и когда ему отправляется push-уведомление.
• Зарегистрирован ли адрес. Любой, у кого есть ваш адрес, может спросить у наших серверов, зарегистрирован ли он, на Android он, на iPhone или на компьютере, и получить его открытые ключи. Именно так другое устройство вам и звонит. Это также означает, что тот, у кого есть ваш адрес, может узнать, используется ли он.

Наши серверы никогда не видят, что вы говорите или отправляете, ваши контакты, историю переписки, а также ваше имя, номер телефона или адрес почты.

Кто ещё в этом участвует

• Cloudflare. Наш домен работает через Cloudflare. Зашифрованное соединение с вашего телефона заканчивается у Cloudflare, который передаёт каждый запрос нашим серверам через Cloudflare Tunnel. Поэтому Cloudflare может видеть те же сведения, что и наши серверы: ваш IP-адрес, каких адресов касается запрос, push-токен в регистрации, а также размер и время каждого запроса. Он не может видеть содержимое, которое зашифровано сквозным шифрованием ещё до того, как покинет ваш телефон. Cloudflare также обслуживает ретрансляторы, через которые идут некоторые звонки (см. следующий раздел), и размещает этот сайт.
• Google Cloud. Некоторые наши серверы работают на машинах, арендованных у Google Cloud.
• Push-службы Apple и Google. Закрытое приложение можно разбудить только через Apple Push Notification service на iPhone или Firebase Cloud Messaging на Android. Firebase Cloud Messaging является единственным закрытым сторонним кодом в приложении для Android. Push-уведомление не содержит ни отправителя, ни содержимого: оно сообщает только, касается ли оно звонка или сообщения. На iPhone push-уведомление о сообщении показывает неизменный текст «New message» и «Tap to read», а звонок звонит на собственном экране вызова iPhone, где приложение подставляет имя, которое вы сохранили для этого контакта. Apple или Google видят, что ваш телефон получил push-уведомление, какого типа и когда. Приложения для компьютера не используют push-службы: пока они запущены, они сами забирают с наших серверов всё, что их ждёт.

Мы не пользуемся услугами ни одной компании, занимающейся рекламой, аналитикой или отчётами о сбоях.

Звонки: напрямую или через ретранслятор

• Каждый звонок зашифрован сквозным шифрованием, каким бы путём он ни шёл. Ретранслятор пересылает байты, которые не может прочитать.
• Звонки идут напрямую, когда это возможно. Чтобы найти прямой путь, каждый телефон отправляет другому свои сетевые адреса. Поэтому человек, которому вы звоните или который звонит вам, может узнать ваш IP-адрес, по которому можно примерно понять, где вы находитесь. Это происходит, даже если в итоге звонок идёт через ретранслятор.
• Когда прямой путь не получается, звонок несёт ретранслятор. Приложение пробует наш собственный ретранслятор по UDP, затем наш собственный ретранслятор по TCP, затем ретрансляторы Cloudflare и переходит к другому серверу, если один не отвечает. Ретранслятор видит IP-адреса обоих телефонов и объём проходящих данных, но никогда не видит, что сказано.
• Сегодня нет настройки, которая отправляла бы каждый звонок через ретранслятор.
• Первое сообщение прямого звонка несёт оба открытых ключа личности без шифрования, поэтому наблюдатель в этой сети может понять, какие две личности разговаривают, хотя и не то, что они говорят.

Постквантовая защита

• Звонки. Каждый звонок создаёт новые ключи, которые уничтожаются по его окончании. Через мгновение после соединения оба приложения добавляют постквантовый обмен ключами (ML-KEM-768), если оба приложения его поддерживают. С этого момента запись звонка должна оставаться нечитаемой даже для будущего квантового компьютера.
• Сообщения и файлы. Они запечатываются сразу RSA-2048 и ML-KEM-768. Сегодня ключ ML-KEM выводится из ключа RSA, поэтому мы пока не заявляем о постквантовой защите сообщений и файлов.
• У ожидающих сообщений нет прямой секретности. Тот, кто записал ожидающее сообщение и позже заполучил закрытый ключ вашей личности, смог бы его открыть.

Ваша личность и её смена

• Что это такое. Ваша личность представляет собой случайный ключ RSA-2048, созданный на вашем устройстве. Из него выводится ваш адрес, которым вы делитесь в виде кода или QR-кода.
• На Android новую личность можно получить, очистив хранилище Clavenzo в настройках телефона или переустановив приложение. Для ваших собеседников новый адрес никак не связан со старым. При этом удаляются и ваши переписки на этом телефоне, поэтому, если хотите их сохранить, сначала сделайте зашифрованную резервную копию.
• На iPhone личность хранится в Keychain (связке ключей), которую iOS сохраняет при удалении приложения. Переустановка приложения возвращает ту же личность. См. раздел «Удаление ваших данных» ниже.
• Чего новая личность не скрывает. Наши серверы и Cloudflare по-прежнему видят тот же телефон: тот же push-токен, пока система телефона не выдаст новый, и тот же IP-адрес. Новая личность отделяет вас от старого адреса для других людей. Она не скрывает от нас, что за обоими адресами стоит один и тот же телефон.
• Переезд на новый телефон. Экспорт личности запечатывает ваш ключ в файл, который открывается только одноразовым кодом. Это единственный способ, которым ключ может покинуть телефон. Если вы потеряете телефон без экспорта, личность потеряна: нет аккаунта, из которого её можно было бы восстановить.

Ваша локальная сеть

• Параметр Виден в этой сети Wi-Fi по умолчанию включён. Он сообщает ваш адрес устройствам в той же сети Wi-Fi, чтобы люди в ней видели вас в разделе «Поблизости» и могли звонить вам, не добавляя заранее. Выключить его можно в настройках.
• Звонки в одной сети Wi-Fi без интернета сегодня работают в некоторых случаях: на Android после того, как на вызываемом телефоне нажали «Готов принимать звонки»; на iPhone, только пока на нём открыт Clavenzo; и на компьютере всё время, пока Clavenzo запущен. iPhone может попросить разрешение на доступ к локальной сети. Сообщения и файлы передаются так же, пока приложение открыто на обоих устройствах.

Удаление ваших данных

• На Android удаление Clavenzo стирает всё, что приложение хранило на телефоне, включая ключ личности.
• На iPhone удаление приложения стирает ваши переписки, файлы и настройки, но не ключ личности, который остаётся в Keychain (связке ключей). При переустановке приложение снова его подхватывает. После импорта личности iPhone также хранит в Keychain ту личность, которую она заменила. Сегодня удалить эти ключи с iPhone можно только одним способом: стерев iPhone («Настройки», «Основные», «Перенос или сброс iPhone», «Стереть контент и настройки»).
• На компьютере удаление Clavenzo оставляет вашу личность и переписки в его папке данных, чтобы после переустановки они снова подхватились. Чтобы удалить их, удалите эту папку (%APPDATA%\com.clavenzo.desktop в Windows, ~/.local/share/com.clavenzo.desktop в Linux) и запись com.clavenzo.desktop в системном хранилище учётных данных.
• На наших серверах ваша регистрация удаляется через 30 дней после того, как ваш телефон последний раз вышел на связь, а удаление приложения прекращает выходы на связь. Приглашения к звонку удаляются в течение 60 секунд, ожидающие сообщения в течение 72 часов. Журналы ретранслятора удаляются через 7 дней.
• Запрос к нам. Напишите на privacy@clavenzo.com, указав свой адрес, и мы удалим вашу регистрацию с наших серверов. Приложение регистрируется снова при следующем запуске, поэтому, если хотите удалить регистрацию навсегда, сначала удалите приложение. Мы можем попросить вас подтвердить, что адрес принадлежит вам.

Ваши права

В зависимости от того, где вы живёте, законы вроде GDPR дают вам право узнать, какие персональные данные о вас мы храним, потребовать их исправления или удаления, возразить против того, как мы их используем, и подать жалобу в ваш орган по защите данных. Мы используем указанные выше сведения только для того, чтобы доставлять ваши звонки и сообщения, то есть для сервиса, о котором вы попросили. Чтобы воспользоваться любым из этих прав, напишите на privacy@clavenzo.com. Мы можем найти данные только по вашему адресу, потому что не знаем вашего имени. Мы отвечаем в течение 30 дней.

Правоохранительные органы

Если мы получим действительное юридическое требование, мы сможем передать самое большее то, что, согласно таблице выше, хранится у нас в этот момент. Мы не можем передать содержимое звонков, сообщений или файлов, ваши контакты или историю переписки, потому что у нас их нет.

Дети

Clavenzo не предназначен для детей младше 13 лет. Если закон требует более старшего возраста для согласия на описанную здесь обработку данных (до 16 лет в некоторых странах Европейской экономической зоны), чтобы пользоваться Clavenzo, вам должно быть не меньше этого возраста.

Безопасность

Чтобы сообщить о проблеме безопасности, напишите на security@clavenzo.com. Наши контакты по вопросам безопасности также опубликованы по адресу clavenzo.com/.well-known/security.txt. Clavenzo пока не проходил независимого аудита безопасности.

Где эта конструкция заканчивается

• Слабое место: ваш телефон. Любой, у кого в руках ваш разблокированный телефон, может прочитать ваши сообщения. Вредоносная программа на телефоне может прочитать набираемое ещё до шифрования.
• Время. Ритм пакетов во время звонка может выдать, когда кто-то говорит, хотя сказанное остаётся зашифрованным.
• Заметно, что вы пользуетесь Clavenzo. Наблюдатель в вашей сети может понять, что вы пользуетесь приложением.
• Ваш собеседник может пересказать, записать или сфотографировать то, что вы отправляете.

Если вам нужна защита от того, кто может наблюдать за всей сетью, поймите эти пределы, используйте встроенную поддержку прокси и не полагайтесь ни на один инструмент в одиночку.

Над чем мы работаем

Этого пока нет. Мы обновим эту политику, когда это появится.

• Запечатанный отправитель, чтобы наши серверы и Cloudflare больше не видели, кто с кем связывается.
• Постквантовая защита сообщений и файлов с ключом ML-KEM, который не зависит от ключа RSA.
• Удаление регистрации прямо из приложения, без письма нам.

Изменения

Когда эта политика меняется, мы меняем дату вверху и публикуем новую версию на этой странице. Приложения показывают политику с этой страницы.

Контакты

Diamente LLC. По вопросам конфиденциальности пишите на privacy@clavenzo.com, о проблемах безопасности на security@clavenzo.com, о злоупотреблениях на abuse@clavenzo.com, а по всем остальным вопросам на support@clavenzo.com.