Політика приватності

Хто ми

Clavenzo створює й обслуговує Diamente LLC. У цій політиці «ми» і «нас» означають Diamente LLC.

• Запитання й запити щодо приватності: privacy@clavenzo.com
• Проблеми безпеки: security@clavenzo.com
• Повідомлення про зловживання: abuse@clavenzo.com
• Усе інше: support@clavenzo.com

Коротко

• Без номера телефону. Без електронної адреси. Без імені. Ваша ідентичність — це випадковий ключ, який створює ваш телефон чи комп'ютер. Немає ні облікового запису, ні пароля, а вашу адресну книгу ніколи не читають.
• Те, що ви кажете й надсилаєте, наскрізно зашифровано. Дзвінки, відео, повідомлення, фото, файли, голосові повідомлення й надіслані місцеперебування шифруються на вашому пристрої, і відкрити їх може лише той, кому ви їх надсилаєте. Це так, хоч би як вони йшли — напряму між двома пристроями чи через ретранслятор. Ми не можемо їх прочитати.
• Дещо наші сервери все ж бачать. Вони зберігають вашу адресу, ваші відкриті ключі, а для телефону — його push-токен, і бачать, яка адреса надсилає запрошення до дзвінка чи повідомлення, що очікує, на яку адресу. У розділі нижче перелічено все це і строк зберігання кожного елемента.
• Без реклами, без аналітики, без трекерів, без звітів про збої. Ми не продаємо дані й не передаємо їх для реклами.

Що залишається на вашому пристрої

• Приватний ключ вашої ідентичності. Він створюється на вашому телефоні й зберігається там. На Android він запечатаний ключем, який зберігає Android Keystore, — у захищеному обладнанні телефону, якщо воно в ньому є. На iPhone він зберігається у Keychain, лише для цього пристрою, і ніколи не синхронізується з iCloud. Телефон він залишає, лише якщо ви самі його експортуєте, запечатавши одноразовим кодом.
• Ваші розмови, фото, файли, голосові повідомлення, історія дзвінків і контакти. Вони зберігаються в приватному сховищі застосунку, захищеному власним шифруванням телефону й блокуванням екрана. Застосунок не додає до них другого шару шифрування. Їх не включають до резервних копій Google та iCloud. Телефон вони залишають лише як зашифровані повідомлення для того, кому ви їх надсилаєте, або в зашифрованому файлі резервної копії, який ви вирішили створити.
• На комп'ютері приватний ключ вашої ідентичності запечатаний ключем, який зберігає системне сховище облікових даних (Windows Credential Manager або сховище ключів Secret Service на Linux), тож файл на диску марний в іншому обліковому записі чи на іншому комп'ютері. Ваші розмови й файли зберігаються в теці даних застосунку у вашому обліковому записі користувача.
• Імена, які ви даєте своїм контактам. Вони залишаються на вашому телефоні й ніколи не надсилаються.
• Ваше місцеперебування. Clavenzo ніколи його не відстежує. Коли ви торкаєтеся Share my location, цій одній людині надсилається одне положення, наскрізно зашифроване.

Що бачать наші сервери і як довго це зберігають

Сервери Clavenzo знайомлять телефони між собою, будять закритий застосунок, коли надходить дзвінок чи повідомлення, і зберігають зашифровані елементи для вимкненого телефону. Їх кілька: одні — на наших власних машинах, інші — на машинах, орендованих у Google Cloud. Реєстрації копіюються між ними, щоб кожен із них міг із вами зв'язатися.

Ось усе, що вони зберігають:

Що це означає на практиці:

• Хто з ким зв'язується. Поки запрошення до дзвінка чи повідомлення, що очікує, є на наших серверах, вони бачать, яка адреса надіслала його на яку адресу. Ми не зберігаємо записів про ці пари, щойно елемент зник.
• IP-адреси. Наші сервери бачать IP-адресу, з якої надходить кожен запит, поки його обробляють. До журналів запитів вони її не записують. Журнали ретранслятора — єдине місце, де ми зберігаємо IP-адреси.
• Коли ви виходите на зв'язок. Наші сервери бачать, коли ваш телефон реєструється й забирає дані та коли йому надсилають push-сповіщення.
• Чи зареєстрована адреса. Кожен, хто має вашу адресу, може запитати в наших серверів, чи вона зареєстрована, чи вона на Android, iPhone або комп'ютері, і отримати її відкриті ключі. Саме так інший пристрій вам телефонує. Це також означає, що той, хто має вашу адресу, може бачити, чи нею користуються.

Наші сервери ніколи не бачать того, що ви кажете чи надсилаєте, ваших контактів, історії ваших чатів, вашого імені, номера телефону чи електронної адреси.

Хто ще залучений

• Cloudflare. Наш домен працює через Cloudflare. Зашифроване з'єднання від вашого телефону закінчується на Cloudflare, який передає кожен запит нашим серверам через Cloudflare Tunnel. Тому Cloudflare може бачити ті самі дані, що й наші сервери: вашу IP-адресу, адреси, яких стосується запит, push-токен у реєстрації, а також розмір і час кожного запиту. Вмісту він бачити не може, бо той наскрізно шифрується до того, як залишить ваш телефон. Cloudflare також обслуговує ретранслятори, через які проходять деякі дзвінки (див. наступний розділ), і розміщує цей сайт.
• Google Cloud. Деякі з наших серверів працюють на машинах, орендованих у Google Cloud.
• Push-служби Apple і Google. Закритий застосунок можна розбудити лише через Apple Push Notification service на iPhone або Firebase Cloud Messaging на Android. Firebase Cloud Messaging — єдиний сторонній закритий код в застосунку для Android. Push-сповіщення не містить ні відправника, ні вмісту: воно каже лише, про дзвінок ідеться чи про повідомлення. На iPhone push-сповіщення про повідомлення показує незмінний текст «New message» і «Tap to read», а дзвінок дзвонить на власному екрані дзвінків iPhone, куди застосунок підставляє ім'я, яке ви зберегли для цього контакту. Apple або Google можуть бачити, що ваш телефон отримав push-сповіщення, якого виду й коли. Застосунки для комп'ютера не використовують жодної push-служби: поки запущені, вони самі забирають дані з наших серверів.

Ми не користуємося послугами жодної компанії з реклами, аналітики чи звітів про збої.

Дзвінки: напряму або через ретранслятор

• Кожен дзвінок наскрізно зашифрований, хоч би яким шляхом він ішов. Ретранслятор пересилає байти, яких не може прочитати.
• Дзвінки йдуть напряму, коли це можливо. Щоб знайти прямий шлях, кожен телефон надсилає іншому свої мережеві адреси. Тому той, кому телефонуєте ви або хто телефонує вам, може дізнатися вашу IP-адресу, яка може приблизно показати, де ви перебуваєте. Це відбувається, навіть коли дзвінок зрештою йде через ретранслятор.
• Коли прямий шлях не вдається, дзвінок передає ретранслятор. Застосунок пробує наш власний ретранслятор через UDP, потім наш власний ретранслятор через TCP, потім ретранслятори Cloudflare і переходить до іншого сервера, якщо якийсь не відповідає. Ретранслятор бачить IP-адреси обох телефонів і обсяг переданих даних, але ніколи — сказане.
• Сьогодні немає налаштування, яке спрямовувало б кожен дзвінок через ретранслятор.
• Перше повідомлення прямого дзвінка передає обидва відкриті ключі ідентичності незашифрованими, тож той, хто стежить за цією мережею, може визначити, які дві ідентичності розмовляють, але не що вони кажуть.

Постквантовий захист

• Дзвінки. Кожен дзвінок створює нові ключі, які знищуються після його завершення. За мить після з'єднання обидва застосунки додають постквантовий обмін ключами (ML-KEM-768), якщо обидва його підтримують. Відтоді запис дзвінка має залишатися нечитабельним навіть для майбутнього квантового комп'ютера.
• Повідомлення й файли. Вони запечатуються RSA-2048 і ML-KEM-768 разом. Сьогодні ключ ML-KEM виводиться з ключа RSA, тому ми поки не заявляємо про постквантовий захист повідомлень і файлів.
• Повідомлення, що очікують, не мають прямої секретності. Той, хто записав таке повідомлення, а згодом здобув приватний ключ вашої ідентичності, міг би його відкрити.

Ваша ідентичність і її зміна

• Що це таке. Ваша ідентичність — це випадковий ключ RSA-2048, створений на вашому пристрої. З нього виводиться ваша адреса, і ви ділитеся нею як кодом або QR-кодом.
• На Android ви отримуєте нову ідентичність, очистивши сховище Clavenzo в налаштуваннях телефону або перевстановивши застосунок. Для людей, з якими ви спілкуєтеся, нова адреса ніяк не пов'язана зі старою. Це також видаляє ваші чати на цьому телефоні, тож спершу створіть зашифровану резервну копію, якщо хочете їх зберегти.
• На iPhone ідентичність зберігається у Keychain, який iOS зберігає після видалення застосунку. Перевстановлення застосунку повертає ту саму ідентичність. Див. розділ «Видалення ваших даних» нижче.
• Чого нова ідентичність не приховує. Наші сервери й Cloudflare і далі бачать той самий телефон: той самий push-токен, доки система телефону не видасть новий, і ту саму IP-адресу. Нова ідентичність відокремлює вас від старої адреси для інших людей. Від нас вона не приховує, що за обома стоїть той самий телефон.
• Перехід на новий телефон. Експорт ідентичності запечатує ваш ключ у файлі, який відкривається лише одноразовим кодом. Лише так ключ залишає телефон. Якщо ви втратите телефон без експорту, ідентичність зникне: немає облікового запису, з якого її можна відновити.

Ваша локальна мережа

• Visible on this Wi-Fi типово ввімкнено. Цей параметр оголошує вашу адресу пристроям у тій самій мережі Wi-Fi, щоб люди там бачили вас у розділі Nearby й могли телефонувати вам, не додаючи вас спершу. Його можна вимкнути в Settings.
• Дзвінки в одній мережі Wi-Fi без інтернету сьогодні працюють у деяких випадках: на Android — щойно на телефоні, якому телефонують, натиснули Ready to receive; на iPhone — лише поки на ньому відкритий Clavenzo; на комп'ютері — коли Clavenzo запущений. iPhone може попросити дозвіл на використання локальної мережі. Повідомлення й файли передаються так само, поки застосунок відкритий на обох пристроях.

Видалення ваших даних

• На Android видалення Clavenzo стирає все, що він зберігав на телефоні, зокрема ключ ідентичності.
• На iPhone видалення застосунку стирає ваші чати, файли й налаштування, але не ключ ідентичності, який залишається у Keychain. Після перевстановлення застосунок знову його підхоплює. Після імпорту ідентичності iPhone також зберігає у Keychain ідентичність, яку було замінено. Сьогодні єдиний спосіб видалити ці ключі з iPhone — стерти iPhone (Settings, General, Transfer or Reset iPhone, Erase All Content and Settings).
• На комп'ютері після видалення Clavenzo ваша ідентичність і розмови залишаються в його теці даних, щоб після перевстановлення він знову їх підхопив. Щоб видалити їх, видаліть цю теку (%APPDATA%\com.clavenzo.desktop на Windows, ~/.local/share/com.clavenzo.desktop на Linux) і запис com.clavenzo.desktop у системному сховищі облікових даних.
• На наших серверах вашу реєстрацію видаляють через 30 днів після останнього виходу вашого телефону на зв'язок, а видалення застосунку припиняє такі виходи. Запрошення до дзвінка видаляються протягом 60 секунд, а повідомлення, що очікують, — протягом 72 годин. Журнали ретранслятора видаляються через 7 днів.
• Звернення до нас. Напишіть на privacy@clavenzo.com, указавши свою адресу, і ми видалимо вашу реєстрацію з наших серверів. Застосунок реєструється знову під час наступного запуску, тож спершу видаліть його, якщо хочете, щоб реєстрація зникла назавжди. Ми можемо попросити вас підтвердити, що адреса ваша.

Ваші права

Залежно від місця проживання, закони, як-от GDPR, дають вам право запитати, які персональні дані про вас ми зберігаємо, вимагати їх виправлення чи видалення, заперечити проти того, як ми їх використовуємо, і подати скаргу до вашого органу із захисту даних. Наведену вище інформацію ми використовуємо лише для доставлення ваших дзвінків і повідомлень — послуги, про яку ви просили. Щоб скористатися будь-яким із цих прав, напишіть на privacy@clavenzo.com. Ми можемо знайти дані лише за вашою адресою, бо не знаємо вашого імені. Ми відповідаємо протягом 30 днів.

Правоохоронні органи

Якщо ми отримаємо чинну юридичну вимогу, найбільше, що ми можемо передати, — це те, що, згідно з таблицею вище, ми зберігаємо на той момент. Ми не можемо передати вміст дзвінків, повідомлень чи файлів, ваші контакти чи історію чатів, бо не маємо їх.

Діти

Clavenzo не призначений для дітей до 13 років. Якщо закон вимагає старшого віку для згоди на описану тут обробку (до 16 років у деяких країнах Європейської економічної зони), ви повинні досягти щонайменше цього віку, щоб користуватися Clavenzo.

Безпека

Щоб повідомити про проблему безпеки, напишіть на security@clavenzo.com. Наші контакти з питань безпеки також опубліковано на clavenzo.com/.well-known/security.txt. Clavenzo ще не проходив незалежного аудиту безпеки.

Межі цього рішення

• Слабке місце — ваш телефон. Кожен, хто тримає ваш розблокований телефон, може читати ваші повідомлення. Шкідлива програма на телефоні може читати те, що ви вводите, до шифрування.
• Час. Із часу надходження пакетів під час дзвінка може бути видно, коли хтось говорить, хоча сказане залишається зашифрованим.
• Видно, що ви користуєтеся Clavenzo. Той, хто стежить за вашою мережею, може визначити, що ви користуєтеся застосунком.
• Людина, з якою ви розмовляєте, може переказати, записати чи сфотографувати те, що ви надсилаєте.

Якщо вам потрібен захист від того, хто може стежити за цілою мережею, усвідомте ці межі, користуйтеся вбудованою підтримкою проксі й не покладайтеся на жоден окремий інструмент.

Над чим ми працюємо

Цього ще не реалізовано. Ми оновимо цю політику, коли це буде впроваджено.

• Запечатаний відправник, щоб наші сервери й Cloudflare більше не бачили, хто з ким зв'язується.
• Постквантовий захист повідомлень і файлів, із ключем ML-KEM, який не залежить від ключа RSA.
• Видалення вашої реєстрації безпосередньо із застосунку, без листа до нас.

Зміни

Коли ця політика змінюється, ми змінюємо дату вгорі й публікуємо нову версію на цій сторінці. Застосунки показують політику звідси.

Контакти

Diamente LLC. Пишіть на privacy@clavenzo.com щодо приватності, на security@clavenzo.com щодо проблем безпеки, на abuse@clavenzo.com, щоб повідомити про зловживання, і на support@clavenzo.com щодо всього іншого.