Бюлетэні прыватнасці

Што мы робім

Мы перапісалі нашПалітыка прыватнасці. Большая частка змяненняў мае структурны характар: палітыка цяпер карацейшая і больш зразумелая, а канкрэтныя тэрміны захоўвання для кожнага тыпу даных перанесены ў нашуСтаронка «Палітыкі і апрацоўка даных»каб іх можна было падтрымліваць у актуальным стане па меры змянення нашых сістэм.

Тры змены істотныя, і мы хочам дакладна пра іх расказаць:

• Дыягнастычныя водгукі цяпер могуць захоўвацца даўжэй. Раней на водгукі распаўсюджваліся нашы агульныя правілы захоўвання даных. Справаздачы, уключаючы неабавязковы адрас электроннай пошты, які вы дадасце да іх, цяпер могуць захоўвацца бестэрмінова, каб мы маглі дыягнаставаць праблемы і выяўляць тыя, што паўтараюцца. Калі вы пазначылі адрас электроннай пошты, вы можаце ў любы час папрасіць нас выдаліць вашу справаздачу, звязаўшыся з"privacy@psiphon.ca".
• Мы апісалі выключэнне для выпадкаў цэнзуры. Калі адбываецца значны выпадак цэнзуры, мы можам захоўваць адфільтраваную частку неідэнтыфікуючых даных аб падключэнні даўжэй за звычайны графік, часам бестэрмінова, каб іх можна было вывучыць пазней. Такім чынам мы разумеем маштабныя блакіроўкі і супрацьстаім ім. Кожны раз, калі мы гэта робім, мы будзем публікаваць тут запіс з апісаннем таго, што было захавана, чаму і на які тэрмін.
• Пазначана, што агрэгаваная статыстыка захоўваецца бестэрмінова. Гэта колькасныя паказчыкі і тэндэнцыі, якія немагчыма звязаць з якой-небудзь асобай або падключэннем. Гэта адлюстроўвае наяўную практыку, а не яе змяненне.

Мы таксама перасталі рабіць некаторыя рэчы, апісаныя ў папярэдняй палітыцы:

• Мы больш не запісваем ніякай інфармацыі пра пункты прызначэння, да якіх вы падключаецеся. Папярэдняя палітыка апісвала запіс аб'ёму даных, перададзеных на невялікую колькасць папулярных даменаў і на вядомыя шкоднасныя серверы. Гэтая магчымасць была выдалена. Мы не запісваем сайты, праграмы або сэрвісы, да якіх вы падключаецеся, ні на якім узроўні дэталізацыі.
• Журналяванне доступу адключана для сховішча, дзе размяшчаюцца нашы старонкі спампоўкі і спісы сервераў. У гэтых журналах раней фіксаваліся IP-адрасы, агенты карыстальніка і пазнакі часу. Гэта закрывае выключэнне, пра якое мы паведамлялі 2020-06-19.
• Мы больш не запытваем неабавязковае прыблізнае месцазнаходжанне. Гэта адмяняе змену, пра якую мы абвясцілі 2023-11-16.
• Мы больш не працуем з Freestar. У папярэдняй палітыцы Freestar згадваўся разам з Google у якасці рэкламнага партнёра. Цяпер адзіным рэкламным партнёрам з'яўляецца Google AdMob.
• PsiCash быў закрыты, і сэрвіс больш недаступны, таму на яго больш не распаўсюджваецца гэтая палітыка.

Мы па-ранейшаму не рэгіструем ваш IP-адрас і не запісваем змесціва вашага трафіку.

Чаму мы гэта робім

Папярэдняя палітыка разраслася праз назапашванне, і яе было цяжка чытаць. Аддзяленне прынцыпаў, якім месца ў палітыцы, ад канкрэтных перыядаў, якія змяняюцца разам з нашымі сістэмамі, азначае, што палітыка можа заставацца стабільнай, у той час як дэталі застаюцца дакладнымі.

Калі мы гэта робім

Дзейнічае з 2026-09-28T00:00Z

Што мы робім

Мы абнаўляем нашыПалітыка прыватнасцікаб дадаць згадку пра неабавязковы збор даных пра прыблізнае месцазнаходжанне. Каб даведацца пра дакладныя змены, глядзіцеКаміт GitHub.

Чаму мы гэта робім

Мы дадаем неабавязковы збор даных аб прыблізным месцазнаходжанні на некаторыя кліенцкія платформы.

Калі мы гэта робім

Гэта набудзе моц 2023-11-17T00:00Z.

Закранутыя праграмы

Psiphon Android і Psiphon Windows, якія выкарыстоўваюць тунэльны пратакол Conjure, які ўключаны толькі для пэўных краін і ISPs.

Што здарылася

Аўтэнтыфікацыя для станцый Conjure, якія падключаюцца да рэгістратара Conjure, была памылкова выдалена падчас рэфактарынгу, уведзенага прыкладна ў канцы кастрычніка 2022 года.

Уплыў

Любы суб'ект, які ведаў пра гэтую праблему, мог падключыцца да рэгістратара Conjure і атрымаць спіс звестак пра актыўныя рэгістрацыі, уключаючы звязаныя IP-адрасы кліентаў. Пасля таго як праблема была выяўлена ў канцы красавіка 2023 года, журналы адсочваліся, і ніякіх падазроных падключэнняў да рэгістратара Conjure заўважана не было.

Разрозненне

Выпраўленне, якое аднаўляе аўтэнтыфікацыю,было рэалізаванаі цяпер разгорнуты.

Што мы робім

Мы абнаўляем нашыПалітыка прыватнасці. Мы выдалілі спасылкі на рэкламных партнёраў, якіх больш не выкарыстоўваем. Дакладныя змены глядзіце ўКаміт GitHub.

Чаму мы гэта робім

Мы больш не выкарыстоўваем гэтых рэкламных партнёраў, таму спасылкі на іх больш не актуальныя.

Калі мы гэта робім

Гэта пачне дзейнічаць 2023-02-01T00:00Z.

Што мы робім

Мы абнаўляем нашыПалітыка прыватнасці. Мы змянілі тэкст загалоўка без змены сэнсу. Каб убачыць дакладныя змены, глядзіцеКаміт GitHub.

Чаму мы гэта робім

Каб пазбегнуць патэнцыйнай блытаніны, выкліканай папярэднім загалоўкам.

Калі мы гэта робім

Гэта набудзе моц 2021-10-06T00:00Z.

Што мы робім

Мы абнаўляем нашыПалітыка прыватнасці. Мы дадаем інфармацыю пра my.psi.cash. Каб азнаёміцца з дакладнымі зменамі, глядзіцеКаміт GitHub.

Чаму мы гэта робім

Каб Палітыка прыватнасці дакладна адлюстроўвала нашы практыкі апрацоўкі даных.

Калі мы гэта робім

Гэта набудзе моц 2021-09-09T00:00Z.

Што мы робім

Мы абнаўляем нашыПалітыка прыватнасці. Мы дадаём інфармацыю пра ўліковыя запісы PsiCash. Дакладныя змены глядзіце ўКаміт GitHub.

Чаму мы гэта робім

Каб Палітыка прыватнасці дакладна адлюстроўвала нашы практыкі працы з данымі.

Калі мы гэта робім

Гэта набудзе моц 2021-05-13T00:00Z.

Што мы робім

Мы абнаўляем нашыПалітыка прыватнасці. Мы робім інфармацыю пра журналяванне паштовага сервера больш дакладнай. Дакладныя змены глядзіце ўКаміт GitHub.

Чаму мы гэта робім

Каб Палітыка прыватнасці дакладна адлюстроўвала нашу практыку працы з данымі.

Калі мы гэта робім

Гэта пачне дзейнічаць 2021-05-12T00:00Z.

Закранутыя праграмы

Psiphon для Windows v160.

Што адбылося

У праграму Psiphon для Windows была ўнесена змена, у выніку якой некаторыя журналы, створаныя ўбудаваным выканальным файлам, маглі класіфікавацца як журналы збояў. Гэта дазваляла гэтым журналам абыходзіць меры, прынятыя для прадухілення запісу канфідэнцыйнай інфармацыі. Калі карыстальнік пасля гэтага адпраўляў водгук і даваў згоду на далучэнне дыягнастычнай інфармацыі, гэтыя журналы адпраўляліся ў Psiphon.

Уплыў

2021-01-26 а 8:23am EST быў выяўлены адзінкавы водгук карыстальніка, які змяшчаў журнал са шляхам да выканальнага файла Psiphon на яго камп'ютары. На шчасце, шлях да файла не раскрываў ніякай асабіста ідэнтыфікавальнай інфармацыі (PII). Вядомай знешняй уцечкі гэтых даных не адбылося. Іншых водгукаў, якія змяшчаюць канфідэнцыйную інфармацыю, знойдзена не было.

Разрозненне

2021-01-26 у 11:45 EST быў разгорнуты код для неадкладнага выдалення любых згадак гэтых дыягнастычных паведамленняў, знойдзеных у водгуках карыстальнікаў, адпраўленых з кліентаў Psiphon. Праграма Psiphon для Windows была выпраўлена ў версіі 161.

Закранутыя праграмы

Psiphon Android (спампаваны з Google Play) да v314; Psiphon Pro да v314.

Фон

Кліенты Psiphon выкарыстоўваюць дазвол ACCESS_COARSE_LOCATION, каб вызначыць WiFi BSSID. WiFi BSSID выкарыстоўваецца для запамінання ўнутраных налад Psiphon, якія найлепш працуюць у розных сетках WiFi. WiFi BSSID захоўваецца толькі лакальна і не перадаецца на серверы Psiphon. Версіі кліента Psiphon для Android, якія выкарыстоўваюць староннія рэкламныя SDK, інструктуюць гэтыя SDK не выкарыстоўваць дазвол ACCESS_COARSE_LOCATION для таргетавання рэкламы з улікам месцазнаходжання.

Што адбылося

Адзін са старонніх рэкламных SDK, які выкарыстоўваецца ў кліентах Psiphon для Android, больш не мае налады, якая б забараняла яму выкарыстоўваць службы вызначэння месцазнаходжання для таргетынгу рэкламы з улікам месцазнаходжання. Акрамя таго, у кліенты Psiphon былі дададзены новыя староннія рэкламныя SDK, якія таксама не маюць налады для прадухілення выкарыстання службаў вызначэння месцазнаходжання для таргетынгу рэкламы з улікам месцазнаходжання.

Уплыў

Магчыма, што староннія рэкламныя SDK, якія выкарыстоўваюцца кліентамі Psiphon для Android, выкарыстоўвалі службы геалакацыі для таргетынгу рэкламы з улікам месцазнаходжання, калі прадастаўлены дазвол ACCESS_COARSE_LOCATION.

Разрозненне

Усе кліенты Psiphon для Android v314 выдаляюць дазвол ACCESS_COARSE_LOCATION, каб прадухіліць выкарыстанне службаў вызначэння месцазнаходжання староннімі рэкламнымі SDK для таргетавання рэкламы на аснове месцазнаходжання. Цяпер кліенты Psiphon для Android выкарыстоўваюць менш дакладны механізм для адрознення сетак WiFi, каб запамінаць унутраныя налады Psiphon, якія лепш за ўсё працуюць у розных сетках WiFi.

Закранутыя праграмы

Psiphon iOS да v1.0.48; Psiphon Android да v302; Psiphon Windows да v158; бібліятэка Psiphon да v2.0.12.

Фон

Кліенты Psiphon дазваляюць карыстальнікам падключацца праз вышэйстаячыя проксі. Карыстальнікі ўручную наладжваюць параметры вышэйстаячага проксі, у тым ліку любыя неабходныя ўліковыя даныя. Psiphon рэгіструе паведамленні пра сеткавыя памылкі ў дыягностыцы, якая ўключаецца ў водгукі, што карыстальнікі адпраўляюць у Psiphon; а таксама рэгіструе паведамленні пра сеткавыя памылкі з метрыкамі збояў падключэння, якія аўтаматычна адпраўляюцца ў Psiphon. Калі падключэнне да вышэйстаячага проксі завяршаецца збоем, адпаведныя памылкі рэгіструюцца.

Што адбылося

Унутры налады вышэйстаячага проксі прадстаўлены ў выглядзе URL і апрацоўваюцца з дапамогай пакета net/url мовы Go. Паведамленні пра памылкі url.Parse паўтараюць URL, які ўтрымлівае ўліковыя даныя, калі яны прысутнічаюць. Гэтая памылка, якая змяшчала ўліковыя даныя, запісвалася ў дыягностыку і метрыкі збояў злучэння, што прыводзіла да раскрыцця ўліковых даных Psiphon. Гэтая сітуацыя пагаршалася адсутнасцю URL-кадавання ўведзеных карыстальнікам налад вышэйстаячага проксі, што рабіла памылку разбору больш верагоднай.

Уплыў

Дыягнастычныя даныя, якія змяшчалі ўліковыя даныя вышэйстаячага проксі і метрыкі збояў падключэння, былі адпраўлены ў Psiphon і захоўваліся на нашых унутраных сістэмах на працягу тэрміну захоўвання "Даных пра актыўнасць карыстальнікаў". Вядомых знешніх уцечак гэтых даных не адбылося.

Разрозненне

Быў разгорнуты код для неадкладнага выдалення любых згадак гэтых дыягнастычных паведамленняў, выяўленых у водгуках карыстальнікаў і метрыках збояў злучэння, адпраўленых з кліентаў Psiphon. Усе звязаныя дыягнастычныя паведамленні і метрыкі былі выдалены з сістэм Psiphon. Кліенты былі абноўлены, каб выдаляць URL-адрасы з паведамленняў пра памылкі разбору URL вышэйстаячага проксі перад адпраўкай памылак у Psiphon.

Закранутыя праграмы

Psiphon iOS VPN версіі 1.0.43, 1.0.44 і 10.45 (https://apps.apple.com/us/app/psiphon/id1276263909").

Фон

VPN-праграма Psiphon для iOS выкарыстоўвае функцыю “VPN On Demand”, прадстаўленую iOS, каб забяспечыць перазапуск VPN у выпадку перазагрузкі прылады або збою VPN. Першы сеткавы запыт, зроблены пасля перазагрузкі прылады або збою VPN, актывуе наладжаныя правілы “VPN On Demand”, каб запусціць Psiphon і паставіць сеткавыя запыты ў чаргу, пакуль Psiphon не адновіць злучэнне і не будзе гатовы зноў перадаваць трафік.

Што адбылося

25 чэрвеня 2020 года мы выпусцілі змяненне, якое запісвала ў журнал метаданыя, прадстаўленыя OS пры запуску VPN. Мы вырашылі рэгістраваць гэтыя метаданыя, паколькі падчас тэставання яны змяшчалі неканфідэнцыйную інфармацыю, напрыклад, ці быў VPN запушчаны OS у адпаведнасці з правіламі «VPN On Demand», ці карыстальнік запусціў VPN з UI Psiphon. 21 ліпеня 2020 года нам стала вядома, што імя хоста прызначэння або IP-адрас першага сеткавага запыту, які спрычыніўся да запуску Psiphon пасля перазагрузкі прылады альбо збою ў працэсе VPN, уваходзілі ў гэтыя метаданыя. Пасля запісу ў журнал метаданыя маглі быць уключаны ў водгук, адпраўлены карыстальнікам праз форму зваротнай сувязі ў праграме. Пры ўмове, што карыстальнік не адмовіўся ад уключэння дыягнастычнай інфармацыі ў свой водгук. Калі карыстальнік адпраўляе водгук, ён шыфруецца адкрытым ключом, які спалучаны з закрытым ключом, якім валодаем мы і захоўваем яго ў таямніцы. Гэта гарантуе, што толькі нашы серверы зваротнай сувязі змогуць расшыфраваць і прачытаць змесціва водгуку карыстальніка пасля яго адпраўкі праз інтэрнэт. Зашыфраваны водгук запампоўваецца праз TLS. Як толькі водгук даходзіць да нашых сервераў, ён расшыфроўваецца, захоўваецца на працягу абмежаванага часу, а потым выдаляецца.

Уплыў

Менш за 10 логаў, якія змяшчалі сеткавае прызначэнне запыту, што зыходзіў ад кліента, захоўваліся на серверах Psiphon.

Разрозненне

22 ліпеня 2020 года ў Psiphon iOS VPN версіі 1.0.46 было выпушчана выпраўленне, а канфідэнцыйныя журналы былі выдалены з сервераў Psiphon. Таксама быў разгорнуты код для неадкладнага рэдагавання любых такіх радкоў журнала, выяўленых у водгуках карыстальнікаў, дасланых з закранутых версій кліента, па меры іх расшыфравання на серверах Psiphon.

Што адбылося

Мы выкарыстоўваем AWS S3 для размяшчэння вэб-сайтаў, кліенцкіх праграм і спісаў аддаленых сервераў. Мы выявілі, што для многіх нашых рэсурсаў S3 з чэрвеня 2015 года было ўключана журналяванне. Гэтыя журналы ўтрымліваюць IP-адрасы карыстальнікаў, якія атрымлівалі доступ да гэтых рэсурсаў.

Уплыў

Мы не выявілі ніякіх прыкмет таго, што якія-небудзь журналы былі атрыманы якім-небудзь староннім бокам, таму гэта не з'яўляецца ўцечкай даных карыстальнікаў. Аднак гэта парушэнне нашай Палітыкі прыватнасці.

Раздзяляльная здольнасць

Вядзенне журналаў было адключана для даступных карыстальнікам бакетаў S3, і ўсе журналы былі выдалены. Мы працуем над сістэмай для адсочвання выключэнняў і праблем з канфідэнцыйнасцю і даследуем аўдыт рэсурсаў AWS.

Што мы робім

Мы часова прыпыняем ачыстку даных аб актыўнасці карыстальнікаў, фактычна падаўжаючы тэрмін захоўвання даных.

Чаму мы гэта робім

Нам трэба захоўваць дэталізаваныя даныя пра актыўнасць даўжэй, каб мець час прааналізаваць нядаўнія выпадкі цэнзуры.

Калі мы гэта робім

Гэта будзе дзейнічаць пачынаючы з 2019-12-12T00:00Z. Яно будзе дзейнічаць на працягу аднаго месяца. Мы абновім гэты бюлетэнь, калі спатрэбіцца падоўжыць яго дзеянне на большы тэрмін.

Абнавіць

Захаванне даных аб актыўнасці карыстальнікаў было вернута да нормы да 2020-04-10.

Што мы робім

Мы абнаўляем нашыПалітыка прыватнасці. Мы змяняем тэрмін захоўвання даных аб актыўнасці карыстальнікаў з 60 дзён да 90 дзён. Мы таксама пашырылі інфармацыю пра бюлетэні прыватнасці. Дакладныя змены глядзіце ўКаміт GitHub.

Чаму мы гэта робім

Каб Палітыка прыватнасці дакладна адлюстроўвала нашу практыку працы з данымі.

Калі мы гэта робім

Гэта набудзе моц 2019-12-12T00:00Z.

Што мы робім

Мы абнаўляем нашыПалітыка прыватнасці. Гэта ўключае далучэнне да яго адказу на пытанне FAQ “Якую інфармацыю збірае Psiphon?”."

Чаму мы гэта робім

ГэтыПалітыка прыватнасцістаронка цяпер з'яўляецца адзіным месцам, дзе карыстальнікам трэба правяраць палітыкі прыватнасці і збору даных Psiphon. Яна была абноўлена, каб адлюстраваць выкарыстанне рэкламы, аналітыкі і вядзення журналаў для некаторых з нашых сайтаў.

Калі мы гэта робім

Гэта дзейнічае не пазней за 2015-06-01T00:00Z.

Што мы робім

Мы ўключаем вядзенне журналаў доступу для аднаго «бакета» (г. зн. кантэйнера сховішча) Amazon S3 вэб-сайта. (Па тэхнічных прычынах мы запускаем дзясяткі копій вэб-сайта ў розных бакетах S3.)

Чаму мы гэта робім

Мы робім гэта, каб вызначыць колькасць зваротаў да «спіса аддаленых сервераў», захаванага ў бакеце. Гэта дапаможа нам зразумець, колькі карыстальнікаў не могуць падключыцца.

Калі мы гэта робім

Журналяванне будзе ўключана з 2014-04-17T15:00Z да 2014-04-18T15:00Z.

Якія даныя карыстальніка будуць збірацца

Журналяванне будзе збіраць IP-адрасы, карыстальніцкія агенты і пазнакі часу доступу да аднаго вэб-сайта. Калі гэтыя даныя будуць апрацаваны, мы атрымаем колькасць карыстальнікаў, размеркаваную па геаграфічных рэгіёнах, якія атрымалі доступ да разгляданага файла.

Як доўга будуць захоўвацца даныя

Даныя будуць захоўвацца не больш за адзін тыдзень. Мы будзем захоўваць колькасць карыстальнікаў даўжэй — магчыма, бестэрмінова.

Колькі карыстальнікаў закранута

Мы пакуль дакладна не ведаем, колькі карыстальнікаў гэта закране (менавіта таму мы гэта робім), але мяркуем, што іх будзе менш за 10,000 карыстальнікаў.

Хто, акрамя Psiphon Inc., убачыць гэтыя даныя

Журналы доступу таксама захоўваюцца ў бакеце Amazon S3, таму Amazon будзе мець доступ да журналаў. (Аднак Amazon раздае файлы, таму яны ўжо маюць доступ да гэтай інфармацыі.)