Политика конфиденциальности Voxa

Редакция: [ЗАПОЛНИТЬ: номер редакции — обязан совпадать со значением LEGAL_VERSION на сервере] Дата вступления в силу: [ЗАПОЛНИТЬ: дата вступления в силу — задаётся вместе с LEGAL_VERSION при выкате и обязана совпадать с указанной там редакцией] Сервис: Voxa — голосовой и текстовый мессенджер (сайт voxavoice.ru, API api.voxavoice.ru, десктоп-приложение для Windows).

Эта политика написана так, чтобы её можно было прочитать целиком и понять, что на самом деле происходит с вашими данными. Мы описываем не «типовой набор из шаблона», а то, что реально делает наш код: какие поля лежат в базе, что видит администрация, что уходит вашему собеседнику напрямую, а что не собирается вовсе.

Если после прочтения останутся вопросы — напишите нам, контакты в разделе 1.

Коротко о главном

• Мы просим при регистрации три вещи: логин, email и пароль. Ни телефона, ни паспортных данных, ни даты рождения мы не спрашиваем.
• Пароль хранится только в виде хеша argon2id. Мы не знаем ваш пароль и не можем его восстановить — только сбросить.
• Личные сообщения администрация не читает. Технически такой возможности в админ-панели нет. Исключения честно описаны в разделе 9.
• IP-адрес мы записываем — и говорим об этом прямо. Не «журнал посещений», а журнал входов: адрес сохраняется при регистрации, входе, неудачной попытке входа, смене пароля и отзыве сессий, а также в момент, когда вы принимаете эти документы. Зачем и на какой срок — раздел 3.4.
• Отдельно: в голосовых звонках связь идёт напрямую между участниками, и собеседники видят IP-адреса друг друга — это свойство технологии. Подробно и без утайки — в разделе 8.
• Голос, видео и демонстрация экрана шифруются от устройства до устройства; ключи согласуют сами клиенты, у сервера их нет. Но у этого есть исключение, и вы должны знать о нём сразу: режим быстрого старта звонка включён по умолчанию, и пока он работает, звук идёт через наш сервер в расшифрованном виде. Обычно это первые секунды разговора, но если прямое соединение не поднимается вовсе (типичный случай — VPN), через сервер идёт весь разговор. Мы этот звук не записываем и не храним; режим отключается в настройках. Подробно — раздел 8.3, а про предел доверия к самой схеме — раздел 8.6. У переписки и файлов сквозного шифрования нет: на сервере они хранятся в открытом виде (раздел 5.4).
• Мы не собираем аналитику и телеметрию. В приложении нет счётчиков, трекеров и рекламных сетей.
• Файлы, которые вы загружаете, доступны по прямой ссылке без авторизации (ссылка со случайным идентификатором). Это важно знать — см. раздел 5.3.

1. Кто оператор и как с нами связаться

Оператором персональных данных в терминах Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» является:

Сервис ориентирован на пользователей из России: интерфейс и документы на русском языке, расчёты в рублях, домен в зоне .ru. Обработка персональных данных ведётся по праву Российской Федерации, и все права, перечисленные в разделе 10, даны вам российским законом.

Обращения по любым вопросам этой политики — на email для обращений или через встроенную форму поддержки в приложении (раздел «Обращения»). На запросы, касающиеся ваших персональных данных, мы отвечаем в течение 10 рабочих дней с даты обращения; этот срок может быть продлён не более чем на 5 рабочих дней с направлением вам мотивированного уведомления (ст. 20 152-ФЗ). На остальные обращения — не более 30 календарных дней.

2. К кому и к чему применяется политика

Политика распространяется на всех пользователей Voxa: тех, кто зарегистрировал аккаунт, и тех, кто открыл приложение и ещё не зарегистрировался.

Политика описывает обработку данных на нашем сервере (инстансе Voxa) и в нашем клиентском приложении. Она не распространяется на:

• сторонние сайты, ссылки на которые вам прислали в чате;
• сторонние сервисы, которыми вы пользуетесь параллельно (например, VPN или сторонний STUN/TURN, если вы прописали его в настройках вручную);
• содержимое, которое вы сами публикуете в открытых сообществах, — оно видно тем, кому вы дали к нему доступ.

3. Какие данные мы собираем

Ниже — исчерпывающий перечень по фактическому состоянию системы. Полей, не перечисленных здесь, в базе Voxa нет.

3.1. Учётные данные (обязательные при регистрации)

Приложение умеет отправлять ровно одно письмо — код подтверждения адреса. Эта отправка включается настройкой сервера и на дату этой редакции не подключена: писем сервис не шлёт, а адрес считается подтверждённым автоматически. Рекламных и информационных рассылок в системе нет вовсе. Email нужен как запасной логин и как способ связаться с вами в случае необходимости.

3.2. Данные профиля (заполняете по желанию)

Отображаемое имя, аватар, баннер профиля, описание «о себе», акцентный цвет и тема карточки профиля, а также никнейм на конкретном сообществе (сервере).

Всё это — публичные данные: они видны другим пользователям Voxa. Мы не проверяем их достоверность и настоятельно рекомендуем не публиковать в профиле то, что вы не готовы показать посторонним (адрес, телефон, документы).

3.3. Контент, который вы создаёте

Голос, видео с камеры и демонстрация экрана не записываются и не сохраняются ни в каком виде — ни на сервере, ни у нас. Подробности о том, как именно передаётся звук, — в разделе 8.

3.4. Служебные и технические данные

3.5. Платёжные данные (подписка Voxa+)

На дату этой редакции приём платежей не подключён. После подключения приёма платежей:

• реквизиты банковской карты вводятся на стороне платёжного сервиса; номер карты, срок действия и CVV к нам не попадают и у нас не хранятся;
• мы получаем от платёжного сервиса только факт и статус платежа, сумму, дату и внутренний идентификатор операции;
• платёжному сервису не передаётся содержание вашего общения — ни сообщения, ни файлы, ни списки контактов;
• оператор применяет налог на профессиональный доход и контрольно-кассовую технику не использует (п. 2.2 ст. 2 Федерального закона № 54-ФЗ); чек формируется в приложении ФНС «Мой налог» (ст. 14 Федерального закона № 422-ФЗ) и направляется вам на email или иным выбранным при оплате способом. Если приём платежа осуществляет платёжный агент, кассовый чек дополнительно формирует такой агент по собственным правилам.

В аккаунте хранится только дата окончания подписки Voxa+.

3.6. Чего мы не собираем

Мы не собираем и не обрабатываем: специальные категории данных (о здоровье, религиозных, политических взглядах и т. п.), биометрию, геолокацию, контакты из адресной книги устройства, список установленных программ, рекламные идентификаторы. В приложении нет систем аналитики, телеметрии и рекламных трекеров. Отдельно про голос: идентификация по голосу не производится — голос передаётся собеседникам, но для установления личности не используется и как биометрия не обрабатывается.

Мы не занимаемся профилированием и не принимаем в отношении вас юридически значимых решений автоматически (единственная автоматическая проверка — фильтр запрещённого контента, см. раздел 9.3, и её результат перепроверяет человек).

4. Зачем мы обрабатываем данные (цели)

1. Дать вам работающий сервис. Регистрация и вход, отображение профиля, доставка сообщений, звонки, файлы, друзья, сообщества, уведомления.
2. Обеспечить безопасность аккаунтов и сервиса. Защита от подбора пароля, ограничение частоты запросов, отзыв сессий при смене пароля.
3. Модерация и борьба с противоправным контентом. Рассмотрение жалоб, предупреждения и блокировки, фильтр запрещённых изображений, журнал аудита.
4. Поддержка пользователей. Ответы на обращения через встроенную форму.
5. Подписка Voxa+. Учёт срока подписки, расчёты, бухгалтерский и налоговый учёт, выдача чеков.
6. Исполнение требований закона. Ответы на законные запросы уполномоченных органов, хранение бухгалтерских документов.

Правовые основания обработки (ст. 6, 9 152-ФЗ):

• исполнение соглашения, стороной которого вы являетесь (п. 5 ч. 1 ст. 6 152-ФЗ), — цели 1, 4 и 5;
• ваше согласие, оформленное отдельным документом «Согласие на обработку персональных данных» и данное при регистрации отдельной галочкой (ст. 9 152-ФЗ), включая прямо названное в галочке согласие на предоставление данных профиля другим пользователям сервиса;
• законные интересы оператора и третьих лиц (п. 7 ч. 1 ст. 6 152-ФЗ) — цели 2 и 3: безопасность аккаунтов, защита от атак, модерация и фиксация нарушений;
• исполнение обязанностей, возложенных на оператора законодательством (п. 2 ч. 1 ст. 6 152-ФЗ), — цель 6, включая хранение налоговых и бухгалтерских документов.

5. Как данные хранятся и защищаются

5.1. Где

Основной сервер — в России. На нём работает приложение Voxa и там же лежит база данных PostgreSQL: учётные записи, профили, сообщения, жалобы, журналы. Хостинг-провайдер — clo.ru.

Объектное хранилище файлов — в России, у того же провайдера. В нём лежат вложения к сообщениям, аватары, баннеры и резервные копии.

Узлы-ретрансляторы голоса могут находиться как в России, так и за её пределами. Это единственная часть инфраструктуры, размещение которой не ограничено территорией России. Ретранслятор не хранит ничего: он пересылает пакеты и забывает их (подробно — раздел 8.5).

Состав узлов-ретрансляторов меняется: узлы добавляются и выводятся из работы по мере необходимости. Поэтому конкретные страны и площадки в тексте этой политики не перечисляются — иначе каждое добавление узла означало бы новую редакцию документов и повторное принятие их всеми пользователями. На дату настоящей редакции все узлы-ретрансляторы размещены в России — у того же провайдера, что и основной сервер (clo.ru); узлов за пределами России у нас нет. Если они появятся, актуальный перечень площадок будет опубликован на сайте voxavoice.ru отдельной страницей, которая обновляется без выпуска новой редакции политики, а трансграничная передача будет оформлена в порядке ст. 12 152-ФЗ (раздел 7).

О том, что из этого следует для передачи данных, — раздел 7.

5.2. Чем защищены

• Весь трафик между приложением и сервером идёт по HTTPS/WSS (TLS); сертификат выпускается автоматически.
• Пароли — argon2id со случайной солью.
• Сессия — подписанный токен со сроком жизни 7 дней; смена пароля мгновенно обесценивает все ранее выданные токены на всех устройствах.
• Доступ к серверу и базе — только у оператора; административные действия фиксируются в журнале аудита.
• Загруженные файлы отдаются с запретом исполнения в браузере и всегда как вложение.

Полной гарантии безопасности при передаче данных через интернет не может дать никто; мы принимаем разумные и достаточные меры, предусмотренные ст. 18.1 и 19 152-ФЗ. Если, несмотря на них, произойдёт инцидент с персональными данными (утечка), мы обязаны уведомить Роскомнадзор в течение 24 часов с момента обнаружения, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

5.3. Честно про ссылки на файлы

Файлы, которые вы загружаете (вложения, аватары, баннеры), раздаются по прямой ссылке вида /uploads/<случайный идентификатор>.<расширение> без проверки авторизации. Угадать такую ссылку практически невозможно, но если ссылка куда-то попадёт (её перешлют, она попадёт в скриншот или в историю браузера), файл сможет скачать любой, у кого она есть.

Из этого следуют два практических вывода: не загружайте в Voxa документы, утечка которых для вас критична, и помните, что удаление сообщения удаляет и файл (см. раздел 6), а вот уже сделанную кем-то копию удалить невозможно.

5.4. Шифрование: что чем защищено

Здесь важно не преувеличить и не преуменьшить, поэтому разделим два случая — они устроены по-разному.

Голос, видео с камеры и демонстрация экрана — сквозное шифрование. Медиа идёт по технологии WebRTC, где шифрование обязательно и отключить его нельзя: DTLS-SRTP. Ключи согласуют напрямую сами приложения участников — у сервера этих ключей нет. В прямом режиме поток вообще не касается нашего сервера; когда включается узел-ретранслятор, через него проходят уже зашифрованные пакеты, а сам он в обмене ключами не участвует и расшифровать их не может. Честная оговорка о том, где у этой схемы предел доверия, — в разделе 8.6; её стоит прочитать, а не пропустить.

Текст сообщений и файлы — сквозного шифрования нет. Между приложением и сервером они идут по защищённому каналу (HTTPS/WSS, то есть TLS), но на сервере хранятся в открытом виде: сообщения — строками в базе данных, файлы — объектами в хранилище. Значит, человек с прямым доступом к серверу физически может их прочитать. Что мы с этим делаем и чего не делаем — раздел 9.1. Приписывать переписке сквозное шифрование мы не будем: его там нет.

Отдельно про режим быстрого старта звонка (он включён по умолчанию): пока он работает, звук идёт через наш сервер в расшифрованном виде. Здесь важно не округлить в свою пользу: это не всегда «первые секунды». Если прямое соединение не поднимается вовсе — а под VPN и в сетях со строгим NAT так и бывает, — звук идёт через наш сервер весь разговор. Это единственное исключение из первого абзаца, и подробно оно описано в разделе 8.3.

6. Сроки хранения

Мы храним данные ровно столько, сколько нужно для целей из раздела 4.

6.1. Изъятие материалов, по которым возможно обращение в органы

Обычная реакция модерации на запрещённый файл — удаление: файл стирается, у нас остаётся только его хеш, чтобы то же самое нельзя было загрузить снова.

Но есть материалы, по которым оператор обязан или намерен обратиться в правоохранительные органы. Удалить такой файл значит уничтожить единственное подтверждение того, что произошло, — поэтому для них предусмотрен отдельный режим: файл изымается из оборота, но не уничтожается. Это означает, что он:

• перестаёт отдаваться по ссылке кому бы то ни было — и другим пользователям, и тому, кто его загрузил;
• удаляется из общего файлового хранилища и хранится отдельно, вне сервиса, вместе со справкой: что за файл, чей он, когда и по какой причине изъят;
• не участвует ни в каких автоматических уборках, то есть не может исчезнуть сам;
• не может быть загружен повторно — совпадение по хешу отклоняется.

Правовое основание — законный интерес оператора и содействие правоохранительным органам (п. 7 ч. 1 ст. 6 152-ФЗ). Основание для такого хранения — пресечение и фиксация тяжёлого правонарушения, а не наше удобство: применяется оно отдельным решением, а не автоматически ко всему, что заблокировано.

Каждое изъятие и каждое его снятие записывается в журнал аудита — с указанием того, кто это сделал, когда и почему. Снять изъятие вправе только администратор сервиса; при снятии материал либо возвращается владельцу, либо уничтожается — и это решение тоже фиксируется.

Мы не уведомляем загрузившего о самом изъятии: предупреждение о том, что материал сохранён для передачи в органы, лишает эту меру смысла.

7. Кому мы передаём данные

Мы не продаём ваши данные, не передаём их рекламным сетям, брокерам данных и кому бы то ни было для маркетинга.

Данные могут стать доступны следующим категориям получателей:

1. Другим пользователям Voxa — в объёме, который определяете вы сами: публичный профиль, сообщения в каналах, где вы состоите, личные сообщения вашему собеседнику. Отдельно — IP-адрес при голосовой связи, раздел 8.
2. Хостинг-провайдеру основного сервера и объектного хранилища — clo.ru, Россия. Он предоставляет сервер, хранилище и инфраструктуру и обрабатывает данные по нашему поручению; доступ к содержанию данных ему не предоставляется, но технически данные размещены на его оборудовании.
3. Владельцам площадок, на которых работают узлы-ретрансляторы. Через узел проходят зашифрованные медиапакеты и сетевые адреса участников звонка; содержимое разговора узел расшифровать не может и сам разговор не записывает. Журнал самого узла при этом может содержать адреса подключений — см. разделы 3.4 и 8.5.
4. Платёжному сервису — «ЮKassa» (оператор сервиса — ООО НКО «ЮМани», ИНН 7750005725, лицензия Банка России № 3510-К; приём платежей организован через платёжного агрегатора ООО «КИТ ПРАЙС»), а если чек по 54-ФЗ формирует платёжный агент — также его оператору фискальных данных, — только сведения о платеже (раздел 3.5). Содержание общения им не передаётся.
5. Уполномоченным государственным органам — по законному, надлежаще оформленному запросу, в объёме, который прямо предусмотрен законом. Немотивированных и неформальных запросов мы не исполняем.
6. Правопреемнику — при передаче сервиса другому лицу; о такой передаче мы уведомим заранее в приложении.

Где что находится физически. Основной сервер и база данных — в России. Объектное хранилище файлов и резервные копии — в России. Узлы-ретрансляторы голоса могут находиться как в России, так и за её пределами; на дату настоящей редакции все они — в России, а если появятся узлы за её пределами, актуальный перечень площадок будет опубликован на отдельной странице сайта (раздел 5.1).

Если узел-ретранслятор находится за пределами России, передача на него сетевых адресов участников звонка — это трансграничная передача персональных данных. Перед началом такой передачи оператор обязан направить в Роскомнадзор отдельное уведомление о трансграничной передаче (ч. 3 ст. 12 152-ФЗ) — оно подаётся отдельно от уведомления об обработке персональных данных (ст. 22 152-ФЗ). Узлы-ретрансляторы за пределами России не включаются в работу до подачи такого уведомления. Что именно происходит на узле-ретрансляторе — в разделе 8.5: через него проходят зашифрованные медиапакеты и, неизбежно, сетевые адреса участников звонка; содержимое разговора узел расшифровать не может и самого разговора не хранит (про журнал подключений узла — раздел 3.4).

[ЗАПОЛНИТЬ: сведения о поданном в Роскомнадзор уведомлении об обработке персональных данных и, если применимо, о трансграничной передаче]

8. Голосовая связь, звонки и IP-адреса — читайте обязательно

Это самый неочевидный раздел политики, и мы намеренно выделяем его отдельно.

8.1. Как устроен звук в Voxa

Voxa старается соединять собеседников напрямую (P2P, технология WebRTC) — так звук идёт кратчайшим путём и задержка минимальна. Прямое соединение — это соединение между вашим устройством и устройством собеседника.

Прямое соединение по своей природе раскрывает IP-адреса участников звонка друг другу. Это не особенность Voxa и не наша недоработка — так работает WebRTC во всех приложениях с P2P-голосом. Технически подкованный собеседник может увидеть ваш IP-адрес средствами операционной системы или браузера. По IP-адресу обычно можно приблизительно определить город и интернет-провайдера.

Мы обязаны сказать об этом прямо: если вы разговариваете с незнакомым человеком, он может узнать ваш IP-адрес.

8.2. Что вы можете с этим сделать

В настройках голосовой связи есть переключатель «Скрывать мой IP». При его включении соединение поднимается только через узел-ретранслятор, и собеседник видит адрес узла вместо вашего. Платой за это будет чуть более высокая задержка, а на слух — практически ничего.

По умолчанию режим выключен (приоритет отдан качеству связи). Если для вас важна анонимность IP — включите его до входа в голосовой канал.

Оговорка: если ни одного узла-ретранслятора нет или он недоступен, режим не заработает, и звонок в нём просто не установится; приложение честно предупредит вас об этом, а не «сделает вид», что всё в порядке.

8.3. Что при этом видит сервер

Есть три вещи, о которых стоит знать:

1. Сигнализация. Чтобы соединение установилось, наш сервер пересылает участникам звонка технические сообщения WebRTC (SDP-описания и ICE-кандидаты), в которых содержатся сетевые адреса. Сервер их только пересылает и не сохраняет.
2. Быстрый старт звонка (включён по умолчанию). Чтобы вас было слышно с первой секунды, первые мгновения разговора звук идёт через наш сервер, а прямое соединение поднимается в фоне и незаметно перехватывает передачу. Если прямое соединение не встаёт вовсе (например, из-за VPN или строгого NAT), звук так и продолжает идти через сервер. На этом и только на этом участке сквозного шифрования нет: звук проходит через наш сервер в расшифрованном виде. Мы его не записываем и не храним — кадры пересылаются в оперативной памяти и сразу забываются, на диск не попадают. Это единственное исключение из сказанного в разделе 5.4; режим отключается в настройках («релей-первым»), и тогда голос идёт только по зашифрованному сквозному каналу.
3. Групповые звонки. В комнатах больше шести человек Voxa для экономии ресурсов может передавать звук не «каждый каждому», а по цепочке: голос одного участника доходит до другого через устройство третьего участника той же комнаты. Медиа при этом не проходит через сервер — сервер знает только схему («кто кому сосед»). Как следствие, в больших комнатах ваш IP-адрес может быть виден не всем участникам, а тем, с кем поднято прямое соединение.

8.4. Демонстрация экрана и камера

Видео с камеры и демонстрация экрана передаются по тем же правилам, что и голос, и нигде не записываются. Помните, что при демонстрации экрана собеседники увидят всё, что на нём в этот момент открыто, — включая уведомления других программ.

8.5. Что такое узел-ретранслятор и что он о вас знает

Узел-ретранслятор (технически это TURN-сервер, программа coturn) — посредник, который перекладывает пакеты и подставляет свой адрес вместо вашего. Опишем его честно и без округлений.

Он включается в двух случаях, и только в них:

• прямое соединение между участниками не устанавливается (строгий NAT, VPN, корпоративная или гостиничная сеть);
• вы сами включили режим «Скрывать мой IP» — тогда прямой путь не пробуется вовсе, это и есть смысл режима.

Что через него проходит: зашифрованные медиапакеты и, неизбежно, сетевые адреса участников — без адресов пакету некуда ехать.

Чего он не может: расшифровать содержимое разговора. Ключи согласуют приложения участников напрямую, узел в этом обмене не участвует, и его собственных ключей для вашего разговора не существует.

Чего он не делает: не записывает разговор, не сохраняет медиапакеты, не ведёт архива. Журнал самого узла может содержать адреса подключений — про него сказано в разделе 3.4.

Узлы-ретрансляторы могут находиться как в России, так и за её пределами, их состав меняется, а перечень площадок публикуется отдельной страницей на сайте — см. раздел 5.1.

8.6. Предел доверия: где сквозное шифрование упирается в сервер

Это надо сказать прямо, потому что иначе слова «сквозное шифрование» обещают больше, чем есть.

Через наш сервер идёт сигналинг — служебный обмен, без которого соединение не установится. В нём среди прочего передаются отпечатки ключей участников. Приложения сверяют эти отпечатки при установлении защищённого соединения, и именно поэтому шифрование считается сквозным. Но источником отпечатков выступает сервер.

Отсюда следует: злонамеренно изменённый сервер теоретически мог бы подменить отпечатки и встать посередине разговора. Средства ручной сверки ключей — вроде контрольных номеров, которые показывают друг другу собеседники в некоторых мессенджерах, — в Voxa нет, и заметить такую подмену самостоятельно пользователь не сможет.

Так устроены все сервисы, построенные на WebRTC: это модель доверия самого протокола, а не дефект Voxa. Формулировать точно следует так: шифрование сквозное, а якорем доверия выступает сервер.

8.7. Ещё две мелочи про IP

• Внешние картинки в чате. Если в сообщении есть ссылка на картинку с чужого сайта, её автоматическая загрузка сообщила бы владельцу того сайта ваш IP и время просмотра. Поэтому автозагрузка внешних картинок в Voxa по умолчанию выключена; включить её можно в настройках, и тогда этот риск вы принимаете осознанно.
• Свой STUN-сервер. Для определения вашего внешнего адреса приложение по умолчанию обращается к нашему собственному серверу, а не к чужим публичным.

9. Что видит администрация: личные сообщения, каналы, жалобы

9.1. Личные сообщения администрация не читает

Личная переписка не открывается администрации: в админ-панели попросту нет инструмента для просмотра личных диалогов, а серверная ручка чтения сообщений технически отказывает в доступе к личным диалогам даже администратору инстанса.

Формально: сообщения личных диалогов хранятся в базе (без сквозного шифрования), то есть человек с прямым доступом к серверу СУБД физически смог бы их прочитать. Мы не делаем этого, не даём такого инструмента модераторам и обязуемся не использовать эту возможность иначе как по требованию закона.

9.2. Что модераторам действительно доступно

• Сообщения в текстовых каналах сообществ — да, доступны администрации инстанса для модерации. Каналы сообществ — это публичное (для их участников) пространство, и за его содержание мы отвечаем.
• Копия сообщения, на которое подана жалоба. Когда пользователь жалуется на сообщение, система сохраняет его снимок: текст, вложения, автора, канал и время. Оригинал могут удалить или отредактировать, а снимок остаётся — иначе разобрать жалобу невозможно. Это касается и личных сообщений: если ваш собеседник пожалуется на конкретное ваше сообщение в личке, его копия станет видна модерации. На весь диалог это не распространяется — только на то сообщение, на которое пожаловались.
• Публичные профили, списки сообществ, санкции и статистика — да.
• Ваш email, пароль, черновики, личные заметки о пользователях — нет.

9.3. Автоматическая проверка изображений

Все загружаемые изображения автоматически проверяются на сервере моделью распознавания непристойного контента. Проверка выполняется на нашем сервере, изображения никуда не отправляются.

• при уверенном срабатывании загрузка отклоняется, файл не сохраняется;
• при пограничном результате файл принимается, но автоматически создаётся жалоба, и изображение попадает в очередь модерации — его посмотрит человек.

Проверяются все загрузки, в том числе изображение, которое вы собирались отправить в личном сообщении: проверка происходит в момент загрузки файла, до его отправки. Мы считаем важным сказать об этом прямо.

Также при загрузке сверяется хеш файла со списком заблокированного модерацией контента; совпадение — отказ в загрузке.

10. Ваши права и как ими воспользоваться

Вы имеете право (ст. 14, 20, 21 152-ФЗ):

Что мы не сможем удалить и почему:

• сообщения, которые вы отправили другим людям, — они остаются в переписке собеседника, как остаётся отправленное письмо: в каналах и личных диалогах вместо вашего имени будет стоять «Удалённый пользователь», а вложения к таким сообщениям сохраняются, пока живы сами сообщения;
• записи журнала аудита о действиях администрации — они нужны для проверяемости модерации (законный интерес, а также ст. 21 152-ФЗ в части подтверждения правомерности обработки);
• записи журнала входов (IP-адрес, введённый логин, вид события, время) — при удалении аккаунта они теряют связь с профилем, но не стираются и живут общий срок в один год. Иначе следы взлома, перебора паролей или атаки уничтожались бы одной кнопкой «удалить аккаунт», в том числе тем, кто это и делал;
• сведения о наложенных санкциях и хеши заблокированного контента — иначе блокировка обходилась бы перерегистрацией;
• материалы, изъятые модерацией как доказательство (раздел 6.1), — пока ситуация, из-за которой они изъяты, не разрешена; удаление аккаунта не прекращает их хранение;
• бухгалтерские документы по оплаченной подписке — их срок хранения установлен законом.

Мы вправе попросить вас подтвердить, что вы — владелец аккаунта (например, ответом с email, указанного при регистрации): иначе удалением чужих аккаунтов занимался бы кто угодно.

11. Cookies и локальное хранилище

Voxa — десктопное приложение, а не сайт с рекламой. Рекламных и аналитических cookies у нас нет. Приложение хранит данные локально на вашем устройстве, в хранилище встроенного веб-компонента, и эти данные никуда не отправляются, кроме случаев, когда это прямо нужно для работы (например, токен — для авторизации запросов).

Что хранится на вашем устройстве:

Всё это можно стереть выходом из аккаунта и удалением приложения.

Дополнительно приложение ведёт на вашем компьютере локальные диагностические журналы связи (во временной папке системы). Они нужны, чтобы разобраться, если у вас не работает звук. Автоматически они никуда не отправляются — только если вы сами приложите их к обращению в поддержку.

Сайт voxavoice.ru — это несколько статических страниц, и cookies он не использует вовсе: ни своих, ни чужих. Счётчиков посещаемости, систем аналитики, рекламных сетей, внешних шрифтов и любых других сторонних ресурсов на сайте нет; в браузере он ничего не сохраняет. Единственный запрос наружу делает страница загрузки — к нашему же API api.voxavoice.ru, чтобы показать номер текущей версии приложения.

12. Дети

Voxa не предназначена для детей. Зарегистрироваться и пользоваться сервисом могут лица, достигшие 14 лет. Пользователь в возрасте от 14 до 18 лет пользуется сервисом с согласия родителя или иного законного представителя — это же условие он подтверждает галочкой при регистрации.

Мы не проверяем возраст техническими средствами и полагаемся на заявление пользователя при регистрации. Если нам станет известно, что аккаунт создан ребёнком младше допустимого возраста без согласия законного представителя, мы удалим аккаунт и связанные с ним данные.

Родители и законные представители могут написать нам на email для обращений, чтобы потребовать удаления данных ребёнка.

13. Изменения политики

Сервис развивается, и политика будет меняться вместе с ним.

• Актуальная редакция всегда доступна по адресу https://voxavoice.ru/legal/privacy-policy.html и в приложении (Настройки → «О программе»).
• О существенных изменениях (новые цели обработки, новые получатели данных, заметное расширение состава собираемых данных) мы уведомим заранее — не менее чем за 10 календарных дней — уведомлением в приложении.
• Незначительные правки (уточнения формулировок, исправление опечаток, изменение реквизитов) вступают в силу с даты публикации.
• У каждой редакции есть номер и дата вступления в силу — они указаны в шапке документа. Предыдущие редакции доступны по запросу.

Продолжая пользоваться Voxa после вступления изменений в силу, вы соглашаетесь с новой редакцией. Если не согласны — вы вправе прекратить пользоваться сервисом и потребовать удаления аккаунта (раздел 10).

14. Реквизиты редакции

Спасибо, что дочитали. Мы старались написать документ, который объясняет, а не прячет.