Политика конфиденциальности

Номер телефона, адрес электронной почты, имя, фото — при регистрации ничего этого не требуется и не запрашивается.

Адресную книгу и контакты с устройства. Приложение не выгружает их на сервер.

Содержимое сообщений, звонков и файлов. Всё шифруется на вашем устройстве, ключи не покидают устройство, и расшифровать переписку мы не можем — даже по запросу.

Список ваших собеседников. Таблицы социального графа удалены из базы: сервер не хранит, кто с кем состоит в переписке.

Геолокацию, рекламные идентификаторы, поведенческую аналитику. Рекламных сетей и сторонних трекеров в приложении нет.

Ваш quant-адрес, ник (если вы не включили защищённый профиль) и публичные ключи — они нужны, чтобы вам могли писать.

Запечатанные конверты сообщений. Каждое сообщение лежит под непрозрачным для сервера идентификатором точки встречи (rendezvous id) и представляет собой шифротекст: ни отправителя, ни получателя, ни содержимого сервер из него не извлекает. Доставленные конверты удаляются.

Зашифрованные вложения — фото, видео, голосовые. Они шифруются на устройстве отправителя и удаляются автоматически через 30 дней.

Технические записи, необходимые для работы: срок действия лицензии, факт активации пробного периода, счётчики защиты от спама и перебора.

Стандартные журналы веб-сервера (IP-адрес, время запроса), которые нужны для защиты от атак и хранятся ограниченное время. Если вы включаете Tor в настройках, ваш IP-адрес нашему серверу не виден вовсе.

Чтобы понимать, сколько людей заходит на сайт и откуда, мы считаем посещения собственной службой статистики. Она отделена от мессенджера и ничего не знает о ваших аккаунтах и переписке.

Для каждой открытой страницы сохраняются: адрес страницы, сайт, с которого вы пришли, страна, тип устройства, операционная система, браузер и язык. IP-адрес не сохраняется — по нему только определяется страна.

Повторные заходы за день мы отличаем по хэшу от IP-адреса и браузера с суточной случайной солью; соль хранится только в памяти и каждые сутки заменяется новой. Поэтому связать ваши посещения в разные дни невозможно, в том числе нам. Куки и локальное хранилище браузера для статистики не используются. Записи хранятся не дольше 13 месяцев.

Страница оплаты /pay в статистике не учитывается и не журналируется.

Аудио и видео идут напрямую между устройствами (P2P) и зашифрованы. Когда прямое соединение невозможно, поток проходит через ретранслятор TURN — он передаёт уже зашифрованные пакеты и не может их прочитать. Содержимое звонков не записывается.

Сообщества — каналы и сообщества внутри приложения — работают на отдельном сервере (communities.umbera.app) со своей базой. Он не знает ваш аккаунт: в каждом канале вы выступаете под отдельным псевдонимом, а право создать псевдоним подтверждается анонимным пропуском (слепая подпись), по которому нельзя узнать, какой аккаунт его получил. Связи «псевдоним → аккаунт» нет ни на сервере, ни в журналах.

Посты, комментарии, реакции, опросы и файлы публичных каналов хранятся на этом сервере в открытом виде — их видят все, кто открывает канал. Содержимое приватных каналов сервер хранит только зашифрованным и прочитать не может. С фото и файлов метки (место съёмки, модель телефона и т. п.) снимаются на вашем телефоне до отправки.

Сервер Сообществ не записывает IP-адреса и журналы запросов. Статистика каналов для их авторов — только суммарная и округлённая, значения меньше 10 скрыты.

Жалоба в Сообществах передаёт модерации пост, комментарий или канал, на который вы пожаловались, и выбранную причину; в приватном канале вы сами раскрываете только это одно сообщение. Согласие с правилами Сообществ хранится только на вашем телефоне.

Содержимое хранится, пока его не удалит автор, команда канала или модерация. При удалении аккаунта ваш телефон удаляет ваши каналы и ваши комментарии в чужих каналах.

Проверка выполняется только на вашем телефоне. Для неё приложение читает на устройстве, у каких программ есть спецвозможности, доступ к уведомлениям, права администратора, клавиатура или VPN, и какие из разрешений на микрофон, камеру, SMS, журнал звонков и геолокацию в фоне выданы таким программам с автозапуском. Список установленных приложений, найденные программы и результат проверки никуда не передаются — ни нам, ни третьим лицам — и хранятся только на устройстве (история не дольше 60 дней).

Раз в сутки телефон скачивает с umbera.app подписанный список индикаторов — по номеру версии, без идентификаторов устройства и аккаунта. На телефоне хранится одна копия списка.

Отчёт для специалиста создаётся только по вашему нажатию и сохраняется туда, куда выберете вы; переписку он не содержит.

Источники индикаторов: Echap stalkerware-indicators (CC BY 4.0), MVT indicators и Amnesty International (MIT). Подробно — umbera.app/shield.

Когда вы жалуетесь на сообщение или пользователя, на сервер уходят: id нарушителя, выбранная причина, ваше описание и текст сообщения, на которое вы пожаловались, — только то, что вы сами отправляете вместе с жалобой. Остальная переписка остаётся зашифрованной и нам недоступна.

Жалобы рассматривает модерация Umbera в течение 24 часов. Данные жалобы используются только для проверки нарушения и принятия мер (удаление содержимого, блокировка аккаунта на срок или навсегда) и хранятся не дольше, чем нужно для этого и для рассмотрения обжалований.

Блокировка пользователя и скрытие сообщений работают на вашем устройстве: список заблокированных на сервер не отправляется.

Приложение работает по лицензии. Оплата проходит на нашем сайте через платёжного провайдера (Tribute) или переводом USDT — данные карты вводятся на стороне провайдера, к нам они не попадают и у нас не хранятся.

Лицензия выдаётся кодом активации: код не связан с вашей личностью, а провайдер платежа не знает ваш quant-адрес.

В приложении для iPhone подписка оформляется только через App Store: оплату проводит Apple, данные карты нам не передаются. Продлением и отменой подписки управляют в настройках Apple ID → Подписки.

Никому. Мы не продаём и не передаём данные третьим лицам, не используем их для рекламы и не делимся ими с рекламными сетями.

Если поступит законный запрос от государственного органа, мы можем предоставить только то, что у нас есть: техническую информацию об учётной записи. Содержимое переписки мы предоставить не можем, потому что оно зашифровано ключами, которых у нас нет.

Переписка хранится на вашем устройстве. Удаление приложения удаляет её безвозвратно — резервной копии на сервере нет.

Учётную запись можно удалить прямо в приложении: Настройки → Удалить аккаунт. Ключи и служебные записи удаляются с сервера, недоставленные конверты стираются.

Вы можете написать нам и запросить сведения, которые у нас есть по вашему адресу, или их удаление.

Приложение предназначено только для взрослых — с 18 лет. Мы не собираем данные детей осознанно; аккаунт, созданный ребёнком, удаляется по обращению.

Umbera использует собственное сквозное шифрование, включая постквантовые алгоритмы. В некоторых странах на ввоз, использование или распространение программ с шифрованием действуют ограничения — соблюдение местных законов остаётся на вашей ответственности.

Если политика изменится, мы обновим эту страницу и дату вверху. Существенные изменения будут объявлены в приложении.