Политика конфиденциальности Tiho

Какие данные мы обрабатываем

Для работы Tiho мы храним идентификатор аккаунта, ник, указанное вами имя и фото профиля, сведения об устройствах, контактах, блокировках и запросах в контакты. Номер телефона и электронная почта для регистрации не требуются. Ник, имя и фото могут быть видны другим пользователям при поиске и общении.

Сообщения и история передаются и хранятся на сервере в зашифрованном виде. Сервер обрабатывает необходимые для доставки и синхронизации сведения: участников переписки, идентификаторы, время и состояние сообщений. Открытый текст сообщений серверу не передаётся. Ключи и часть данных переписки хранятся на вашем устройстве.

Для истории звонков сервер хранит участников, направление, время начала, ответа и завершения, результат и отметку прочтения. Эти служебные сведения не защищены сквозным шифрованием; звук, видео и ключи звонка в историю не записываются. Уничтожение своей истории удаляет свои записи звонков из рабочей базы.

При подключении к сайту и API обрабатывается IP-адрес. Журнал API записывает метод, шаблон маршрута, статус, время выполнения и идентификатор запроса без текста сообщений, тела запроса и секрета авторизации. Сайт не использует аналитику и cookie.

PIN устройства проверяется без передачи самого кода: сервер хранит криптографические записи протокола OPAQUE, режим защиты устройства (без PIN, обычный PIN или обычный и паник-PIN), число ошибок и срок блокировки. Журнал попыток входа по PIN, сеансов и смен режима защиты (устройство, время, исход) хранится 30 дней; записи прежних PIN после смены не сохраняются. До перехода устройства на новую схему сохраняется прежняя проверочная запись PIN аккаунта (соль и проверочное значение). Сервер знает, что вход выполнен паник-кодом: для тревоги он хранит аккаунт и устройство отправителя, время и номер попытки входа, список получателей для маршрутизации и зашифрованные пакеты для них, а также ваши зашифрованные настройки с получателями и их текстами. Тексты тревог серверу не видны; push о тревоге содержит только общий текст без имени и инструкции. Зашифрованный пакет хранится у получателя до его ручного удаления: после удаления сервер стирает пакет и через 30 дней — служебную отметку об удалении. Если получатель удалил вас из контактов до сохранения тревоги, пакет удаляется после часового срока доставки. Сведения об отправителе и времени тревоги хранятся, пока у получателей остаются записи или отметки об удалении, а при пустом списке получателей — сутки; срок суточного ограничения на новую тревогу хранится до его окончания.

Зачем нужны данные и кому они передаются

Мы используем данные для регистрации, поиска по нику, работы контактов, доставки сообщений, синхронизации устройств, защиты сервиса и уведомлений. Данные профиля показываются другим пользователям в пределах функций Tiho. Мы не используем данные для рекламы.

Если включены мобильные уведомления, мы храним push-токен устройства и передаём необходимые сведения Firebase Cloud Messaging, а на iOS также Apple Push Notification service. Уведомления о сообщениях не содержат их текста; уведомление о подключении устройства содержит его название.

Техническая диагностика

Приложение автоматически отправляет технические отчёты о неожиданных ошибках независимо от входа в аккаунт. Отчёт содержит только фиксированный код ошибки, этап работы, платформу, версию и номер сборки и случайный диагностический идентификатор установки. Этот идентификатор хранится отдельно от аккаунта и не даёт доступа к нему.

Отчёт может содержать очищенные кадры стека: только известные файлы исходного кода приложения, имена методов и номера строк и столбцов. Исходный текст стека, локальные пути и текст исключения не передаются. Сообщения, записи защищённого хранилища, PIN, ключи, секрет авторизации, ник, имя устройства и идентификаторы аккаунта или зарегистрированного устройства не входят в отчёт. Повторы одного кода на установку и сборку подавляются. Автоматический срок удаления отчётов пока не установлен.

Хранение и защита

Данные аккаунта и зашифрованная история хранятся на сервере; общий срок хранения пока не установлен. Срок хранения резервных копий также пока не установлен, поэтому удалённые из рабочей базы данные могут оставаться в копиях.

Мы используем защищённое соединение, храним секрет авторизации на сервере в виде хеша и шифруем сообщения на устройствах. Сквозное шифрование не скрывает ник, фото и служебные сведения о переписке.

Как управлять данными

Вы можете изменить или убрать имя и фото, удалить отдельные сообщения, отозвать устройство и удалить локальные данные при выходе. Выход из приложения не удаляет аккаунт и серверные данные. Удаление сообщения может не убрать копии, которые другой пользователь сохранил вне Tiho. Порядок запроса удаления аккаунта описан на отдельной странице.