Prywatność

Co o tobie wiemy, co przechowujemy i jak długo — prostymi słowami, bo obietnica, której nie da się sprawdzić, nie jest nic warta.

Czego o tobie nie wiemy

Nigdy nie pytamy o imię, dokument, adres ani telefon — i nie ma gdzie ich wpisać. Konto to losowy klucz: aplikacja go pokazuje, my go przechowujemy, i nie mówi nic o tym, do kogo należy.

Niczego z poniższych rzeczy nie sprzedajemy ani nikomu nie przekazujemy. Istnieją po to, żebyśmy mogli odpowiedzieć na zgodne z prawem żądanie — i po nic innego.

Co przechowujemy

Dla każdego połączenia przez nasze serwery zapisujemy trzy rzeczy: adres, z którego przyszło połączenie, dokąd to połączenie poszło, i kiedy. Nic więcej.

Cel zapisujemy tak, jak widzą go nasze serwery: jako adres albo jako nazwę strony, o którą poprosiło urządzenie. Zapisy przechowujemy do 365 dni, a potem niszczymy.

Czego w tych zapisach nie ma

• twojego konta — nie jest tam zapisywane i nie da się ustalić, do którego konta należy dany zapis
• niczego, co wysłałeś lub odebrałeś — nie zaglądamy do zaszyfrowanego połączenia i nie próbujemy
• jakie strony otworzyłeś, co wpisałeś ani co ci pokazano

Pierwszy punkt jest tu najważniejszy. Zapis i konto leżą w różnych miejscach, pod różnymi kluczami, i nikt nie może ich połączyć, my również.

Kto może je przeczytać i kiedy

Nic w działającym systemie nie może. Zapisy są szyfrowane w chwili powstania, na serwerze, który je tworzy, kluczem, którego w naszej infrastrukturze w ogóle nie ma — maszyna trzymająca roczne archiwum nie potrafi otworzyć ani jednego z nich.

Odczyt wymaga, by człowiek przyniósł ten klucz osobiście. Każdy taki odczyt jest odnotowany: kto, kiedy i na jakiej podstawie.

Po co je w ogóle trzymamy

Bo jesteśmy firmą z nazwą i adresem, a nie anonimową grupą, i na skierowane do nas zgodne z prawem żądanie trzeba umieć odpowiedzieć. Takie żądanie pyta o adres w danym czasie — nigdy o klienta, dlatego w zapisach żaden klient nie jest potrzebny.

Czego VPN nie robi

Dzieli zaufanie, a nie znosi je: zamiast przez twojego dostawcę ruch idzie przez nas. Nie czyni cię anonimowym wobec strony, na której się logujesz, i nie chroni przed kimś, komu sam podałeś swoje dane. Zawsze sprawdzaj, z kim masz do czynienia.

Sprawdzenie, które pokazuje, co jest blokowane

Aplikacja potrafi sprawdzić, czy nasza usługa jest dostępna stamtąd, gdzie jesteś, i przysłać nam wynik. To jedyna rzecz tutaj, która opisuje sieć, a nie człowieka — i jest zbudowana tak, by tego drugiego nie mogła zrobić.

Raport mówi, które nasze serwery odpowiedziały, a które nie, i to samo o kilku znanych stronach — właśnie to odróżnia „nasza usługa jest zepsuta” od „twoja sieć coś blokuje”. Niesie jeszcze platformę, wersję aplikacji, rodzaj połączenia — przewodowe, bezprzewodowe lub komórkowe — oraz kraj, który urządzenie ustala samo, aby wiedzieć, które lokalne strony sprawdzić: wybrany przez Ciebie w aplikacji na komputer, a jeśli go nie ma, kraj operatora komórkowego telefonu albo strefy czasowej, i tylko z krótkiej listy, więc poza tymi krajami raport nie zawiera żadnego. Telefon z Androidem wysyła też kod swojego operatora komórkowego, a ten kod sam wskazuje kraj operatora. I nic poza tym: żadnego konta, urządzenia, imienia ani adresu. Adres, który nasz serwer nieuchronnie widzi, zamienia się w kraj i operatora jeszcze wewnątrz żądania, a potem zostaje odrzucony.

Przełącznik jest w aplikacji, a wyłączenie działa natychmiast: nic nie jest mierzone, nic nie czeka na wysłanie, a to, co urządzenie już zebrało, zostaje usunięte. Pojedynczy raport przechowujemy 14 dni; dłużej żyją tylko liczniki.

Gdy coś nie działa, na ekranie diagnostyki jest przycisk „Wyślij do pomocy technicznej”. Naciśnięcie go to prośba o pomoc: aplikacja wysyła historię ostatnich sprawdzeń, nasza pomoc techniczna widzi ją od razu po nadejściu, a aplikacja pokazuje krótki jednorazowy kod, który wpisujesz w swojej wiadomości, abyśmy wiedzieli, która historia jest Twoja. Pomoc techniczna widzi ją przez 72 godziny. Twój adres trafia razem z nią tylko wtedy, gdy zaznaczysz „dołącz mój adres” — domyślnie jest to wyłączone, a adres pomaga przy problemach z siecią. Przesyłka nie jest powiązana z Twoim kontem i jest usuwana po 30 dniach albo wcześniej, gdy tylko sprawa zostanie zamknięta.

Usuwanie konta

Konto możesz usunąć sam, w dowolnej chwili i na zawsze — w portalu klienta albo z menu aplikacji. Potrzebny jest tylko klucz dostępu. Wszystko, co dotyczy konta, znika od razu, a twoje pozostałe urządzenia wylogowują się, gdy następnym razem poproszą o listę serwerów. Aby to było możliwe, przez 90 dni przechowujemy jednokierunkowy odcisk usuniętego klucza; nie da się z niego odtworzyć ani klucza, ani konta. Zapis czynności operatora dotyczącej konta przechowujemy 12 miesięcy, a dzienniki usług, które mogą o nim wspominać, najwyżej 30 dni. Strona „Usuń konto” na dole tej witryny wyjaśnia każdy krok.