سیاست حریم خصوصی

Digital Services LLC اپ ForestVPN را اداره می‌کند. این سیاست اپ‌های ForestVPN برای iPhone، iPad، Mac و Apple TV، برای گوشی‌ها و تبلت‌های Android و برای Android TV، اپ‌های دسکتاپ Windows و Linux، کلاینت خط‌فرمان Linux و اپ روتر، سرورهایی که ترافیک شما را حمل می‌کنند، و این وب‌سایت را پوشش می‌دهد.

تعهد ما

ForestVPN داده‌های توصیف‌شده در این سیاست را نمی‌فروشد، برای هیچ هدفی استفاده نمی‌کند و به هیچ شخص ثالثی افشا نمی‌کند، جز آنچه دقیقاً برای ادارهٔ خدمت لازم است — یعنی Apple یا Google برای پرداخت، و ارائه‌دهندگان زیرساختی که در زیر فهرست شده‌اند، که هرکدام صرفاً به‌عنوان یک پردازشگر، طبق دستور ما و تحت قرارداد عمل می‌کنند. ما تبلیغات اجرا نمی‌کنیم، از شما پروفایل نمی‌سازیم، و چیزی را با کارگزاران داده، فروشندگان تحلیل آماری یا شبکه‌های اسناد تبلیغاتی به اشتراک نمی‌گذاریم. هیچ‌کدام از این‌ها در اپ نیستند. یک استثنا پردازشگر ما نیست: وقتی DNS شبکهٔ شما شکست بخورد یا نتوان با نشانی‌هایی که داده به سرورهای ما رسید، برنامه ممکن است از یک سرویس DNS عمومی (Cloudflare، Google یا Quad9) نشانی سرورهای خودِ ما را بپرسد، و آن سرویس نشانی IP شما را تحت سیاست حریم خصوصی خودش می‌بیند. نگاه کنید به آنچه هنگام اتصال رخ می‌دهد.

اپ هیچ SDK تحلیل آماری، هیچ SDK اسناد تبلیغاتی و هیچ شناسهٔ تبلیغاتی، روی هیچ پلتفرمی ندارد. روی پلتفرم‌های Apple این در بیانیهٔ حریم خصوصی اپ بیان شده، که هیچ ردیابی و هیچ دامنهٔ ردیابی اعلام نمی‌کند. این بیانیه ده نوع داده اعلام می‌کند. نه نوع به‌عنوان پیوندخورده به هویت شما مشخص شده‌اند: شناسهٔ کاربر، شناسهٔ دستگاه (یک نام مستعار که هر وقت حسابی را وصل کنید به حساب شما پیوند می‌خورد)، تاریخچهٔ خرید، موقعیت تقریبی، محتوای پشتیبانی مشتری، سایر محتوای کاربر، داده‌های تشخیصی، داده‌های عملکرد و سایر داده‌های استفاده. یک نوع، یعنی تعامل با محصول، پیوندخورده نیست: دستیار پشتیبانی می‌شمارد که از کدام صفحه باز شده، آیا شما اشتراک‌گذاری داده‌های تشخیصی را انتخاب کرده‌اید و آیا پاسخش مشکل را حل کرده است، بدون هیچ برچسب دستگاه یا حساب. فرم Apple برای هر نوع داده فقط یک پاسخ می‌پذیرد، بنابراین داده‌های تشخیصی و موقعیت تقریبی پیوندخورده علامت خورده‌اند، چون گزارشی که خودتان ارسال را انتخاب می‌کنید و شمارنده‌های صدور اعتبارنامه پیوندخورده‌اند، هرچند گزارش‌های مسیر نیستند. نه نوع برای عملکرد اپ و هشت نوع نیز برای شمارنده‌های عملیاتی خودمان که در بخش تحلیل آماری آمده‌اند استفاده می‌شوند. روی Android، اپ هرگز شناسهٔ تبلیغاتی را درخواست نمی‌کند و هیچ SDK تحلیل آماری، اسناد تبلیغاتی یا گزارش خرابی مخصوص به خودش اضافه نمی‌کند. تنها کتابخانهٔ شخص‌ثالثی که به Google می‌رسد، کتابخانهٔ Google Play Billing است، که Google آن را برای خریدهای درون‌برنامه‌ای الزامی می‌کند و طبق سیاست حریم خصوصی خود Google کار می‌کند.

آنچه هرگز نداریم

• مرورهای شما. هیچ فیلدی در هیچ‌جای سامانهٔ ما برای سایت‌هایی که بازدید می‌کنید، نام‌هایی که جست‌وجو می‌کنید یا آدرس‌هایی که به آن‌ها متصل می‌شوید وجود ندارد. نه یک دورهٔ نگه‌داری کوتاه — چنین ستونی اصلاً وجود ندارد.
• هویت شما. هیچ آدرس ایمیل، هیچ گذرواژه، هیچ شمارهٔ تلفن و هیچ نامی وجود ندارد. یک حساب، اگر بسازید، یک شمارهٔ تصادفی 128 بیتی است. جدول حساب‌ها هیچ فیلد تماسی از هیچ نوع ندارد.
• کارت شما. پرداخت نزد Apple یا Google رخ می‌دهد، یا — اگر در وب خرید کنید — نزد پردازشگری که انتخاب می‌کنید: Stripe، CloudPayments یا NOWPayments. Apple به ما یک رسید امضاشده و یک توکن مشتق‌شده از دستگاه می‌دهد؛ برای خرید Google Play، توکن خریدی را که اپ به ما ارسال می‌کند — در کنار توکنی مشتق‌شده از دستگاه که به همان خرید پیوست شده — مستقیماً در برابر سرورهای خود Google تأیید می‌کنیم، و هرگز صرفاً حرف اپ را نمی‌پذیریم. یک خرید وبی به ما یک شمارهٔ مرجع یک‌باره می‌دهد که خودمان می‌سازیم، هرگز شمارهٔ کارت شما را نه. در هر دو حالت هرگز شمارهٔ کارت را نمی‌بینیم، و برای یک پرداخت رمزارزی، پردازشگر تنها طرفی است که اصلاً چیزی می‌بیند. ببینید پرداخت با کارت یا رمزارز.
• مجوزهای اضافی روی Android. اپ در زمان اجرا دو چیز درخواست می‌کند: پنجرهٔ رضایت خود سیستم برای اتصال VPN، و روی Android 13 و بالاتر، مجوز نمایش اعلان — یک‌بار درخواست می‌شود، نخستین باری که متصل می‌شوید، هرگز در اجرای سرد — که وضعیت اتصال جاری، هشدارها هنگام کم‌شدن یا پایان‌یافتن سهمیهٔ داده، و مشکلات اتصال را پوشش می‌دهد. موقعیت مکانی یا مخاطبان شما را درخواست نمی‌کند. دو مجوز دیگری که اعلام می‌کند کاملاً روی دستگاه می‌مانند و هرگز برای ما ارسال نمی‌شوند: خواندن فهرست اپ‌های نصب‌شده، برای صفحهٔ تونل تقسیم‌شده که اپ‌های انتخابی را از تونل خارج می‌کند، و اثرانگشت، چهره یا قفل صفحهٔ سیستم، برای دروازه‌بانیِ نمایش شمارهٔ حساب خودتان روی صفحه.

چه چیزی روی دستگاه شما زندگی می‌کند

یک کلید دستگاه

در نخستین اجرا، اپ یک جفت کلید می‌سازد که روی دستگاه می‌ماند: در زنجیرهٔ کلید سیستم روی پلتفرم‌های Apple؛ روی Android، در ذخیرهٔ خصوصی اپ، رمزنگاری‌شده با کلیدی که در Android Keystore نگه‌داری می‌شود. طوری علامت‌گذاری شده که هرگز از آن دستگاه خارج نمی‌شود — نه به دستگاه‌های دیگرتان، نه به iCloud، و روی Android نه به هیچ پشتیبان یا نسخهٔ انتقال دستگاهی. این یک شناسهٔ تبلیغاتی نیست و با کسی به اشتراک گذاشته نمی‌شود. ما هشی از نیمهٔ عمومی آن را ذخیره می‌کنیم، که همان چیزی است که با آن یک دستگاه در اجراهای بعدی شناخته می‌شود.

روی پلتفرم‌های Apple این دائمی است. هرگز چرخانده نمی‌شود، و از حذف اپ جان سالم به‌در می‌برد. نصب دوباره در آنجا به شما هویتی تازه نمی‌دهد — اپ دوباره‌نصب‌شده همان کلید را ارائه می‌دهد و همان دستگاه شناخته می‌شود. این عمدی است: همین چیز جلوی این را می‌گیرد که یک دستگاه تعداد نامحدودی سهمیهٔ رایگان ادعا کند، و یعنی حذف‌کردن آنجا یک ریست نیست، که باید پیش از نصب بدانید. روی Android، کلید از حذف اپ یا پاک‌کردن ذخیرهٔ آن جان سالم به‌در نمی‌برد. یک نصب دوباره کلیدی تازه می‌سازد و به‌عنوان دستگاهی جدید ثبت می‌شود، و رکورد دستگاه قدیمی در سمت ما، بی‌صاحب، تحت نگه‌داری تعیین‌شده در جدول زیر می‌ماند. اپ همچنین کلید خود را یک‌بار، در جا، جایگزین می‌کند اگر سرورهای ما زمانی کلید قدیمی را ناشناخته گزارش کنند.

یک کلید نشست

هر بلیت کلید نشست خودش را حمل می‌کند، که روی دستگاه، پیش از هر تلاش برای اتصال، در لحظهٔ صدور بلیت ساخته می‌شود. رمزنگاری‌شده در ذخیرهٔ محلی خود پلتفرم نگه‌داری می‌شود — زنجیرهٔ کلید سیستم روی پلتفرم‌های Apple، ذخیرهٔ خصوصی اپ روی Android — تا وقتی بلیت استفاده شود یا منقضی شود، و یک بلیت یدکی که برای همان اتصال ضرب می‌شود ممکن است کلید همان بلیتی را که پشتیبان‌گیری می‌کند به اشتراک بگذارد. هرگز از دستگاه خارج نمی‌شود جز به‌صورت نیمهٔ عمومی خودش.

حساب‌ها، اشتراک‌ها و سهمیه‌ها

یک سرویس اعتبارنامه‌های اتصال را صادر می‌کند و رکوردهایی را که یک اشتراک نیاز دارد نگه می‌دارد. این‌ها را نگه می‌دارد:

سطر پیوند بلیت بالا تنها استثناست، و بیان شده نه حذف: تا وقتی وجود دارد هم دستگاه و هم نشستی را که به آن تعلق دارد نام می‌برد، که همان چیزی است که اجازه می‌دهد یک نشست تسویه‌شده در برابر سهمیهٔ شما محاسبه شود و دستگاهی لغوشده در میانهٔ نشست قطع شود. خودکار حذف می‌شود، نه با درخواست — یک ساعت پس از تسویهٔ نشستی که نام می‌برد، یا وقتی خود بلیت بدون استفاده منقضی شود، هرکدام زودتر برسد. هیچ‌کدام از این رکوردها، از جمله همین یکی، سرور خروجی، آدرسی که از آن متصل شده‌اید یا هرجا که رفته‌اید را ندارد: سرویس صادرکننده هرگز هیچ‌کدام از این‌ها را نمی‌آموزد. این‌ها فقط در سرویس جداگانه‌ای که در [آنچه هنگام اتصال رخ می‌دهد](#session) توصیف شده وجود دارند، که هیچ راهی برای پیداکردن هویت شما ندارد. سطر گزارش تشخیصی بالا نیز در یک سرویس سوم و جداگانه نگه‌داری می‌شود — یک بارگذاری امضانشده که سرویس صادرکننده هرگز نمی‌بیند و نمی‌تواند به یک دستگاه پیوند دهد.

خود اعتبارنامه

برای اتصال، دستگاه شما از این سرویس یک بلیت می‌خواهد. بلیت کورامضا شده است: امضا روی مقداری تولید می‌شود که ما هرگز نمی‌بینیم، پس بلیتی که در لحظهٔ اتصال ارائه می‌کنید نمی‌تواند به‌عنوان همانی که برایتان صادر شده شناخته شود. دقیقاً دو واقعیت حمل می‌کند — کدام رده آن را امضا کرده و کدام کلید دوهفته‌ای استفاده شده — و چیز دیگری نه. سرویس صادرکننده هرگز یک مکان، یک خروجی، یک نشست، یا اینکه اصلاً تونلی برقرار شده یا نه را نمی‌آموزد.

پرداخت با کارت یا رمزارز

Apple یا Google هر اشتراک خریداری‌شده در اپ را صورت‌حساب می‌کند، و ما هرگز شمارهٔ کارت را نمی‌بینیم. روی پلتفرم‌های Apple، Apple یک رسید امضاشده و یک توکن مشتق‌شده از دستگاه برایمان می‌فرستد. روی Android، پیش از تسویه‌حساب سرورهای ما توکنی مشتق‌شده از کلید دستگاه به اپ می‌دهند؛ اپ آن را به‌عنوان شناسهٔ حساب مبهم‌شدهٔ Google Play به خرید پیوست می‌کند، و Google هروقت خرید را تأیید کنیم آن را برمی‌گرداند، تا اشتراک بتواند با دستگاهی که آن را خریده تطبیق داده شود — بدون هیچ نام، ایمیل یا کارتی. اپ همچنین توکن خرید و شناسهٔ محصولی را که Google Play به آن می‌دهد به سرورهای ما ارسال می‌کند، که خرید را مستقیماً در برابر API خود Google تأیید می‌کنند نه با اعتماد به حرف اپ؛ Google جداگانه یک Real-Time Developer Notification برایمان می‌فرستد وقتی اشتراکی تغییر می‌کند، که آن را نشانه‌ای برای تأیید دوباره با Google در نظر می‌گیریم، هرگز به‌تنهایی اثبات. اشتراک را می‌توان در وب هم خرید، از طریق یک پردازشگر کارت — Stripe یا CloudPayments — یا یک پردازشگر رمزارز، NOWPayments، و آن مسیر به‌اندازه‌ای متفاوت است که جداگانه توصیف شود.

وقتی در وب تسویه‌حساب می‌کنید، ما خودمان یک شمارهٔ مرجع یک‌باره می‌سازیم و آن را به پردازشگر می‌دهیم — هرگز شمارهٔ حساب شما را نه. طبق این سیاست، شمارهٔ حساب یک اعتبارنامه است؛ گذاشتن آن در داشبورد یک پردازشگر پرداخت، بارهای وب‌هوک یا ابزار پشتیبانی، انتشار یک گذرواژه خواهد بود. مرجع طی همان ساعت منقضی می‌شود و به‌تنهایی چیزی را باز نمی‌کند.

آنچه از یک خرید وبی نگه می‌داریم: کدام پردازشگر آن را صورت‌حساب کرده، شناسهٔ اشتراک خود آن پردازشگر، رده، تاریخی که تا آن پرداخت شده، و اینکه لغو یا باطل شده یا نه. آنچه هرگز دریافت یا ذخیره نمی‌کنیم: نام، ایمیل، آدرس صورت‌حساب، اثرانگشت کارت شما، یا — برای یک پرداخت رمزارزی — هیچ‌چیز دربارهٔ شما. کدی که یک سطر پرداخت می‌نویسد هیچ فیلدی ندارد که بتواند هیچ‌کدام از این‌ها را نگه دارد؛ افزودن یکی تغییری آشکار و بازبینی‌شده در فایلی خواهد بود که هرکس روی مسیر پرداخت کار می‌کند باید لمس کند، نه چیزی که یک باگ بتواند بی‌سروصدا انجام دهد.

تا جایی که می‌توانیم ساده بگوییم: درخواستی برای رکوردها که به ما ابلاغ شود یک رده و یک تاریخ پرداخت‌شده-تا تولید می‌کند. همان درخواست به پردازشگر پرداخت که ابلاغ شود یک فرد و یک کارت تولید می‌کند. این عمدی است. این هزینهٔ پرداخت در وب به‌جای Apple یا Google است، و همچنین دلیل این است که ترجیح می‌دهیم این داده نزد شرکتی بماند که برای نگه‌داشتنش ساخته شده تا اینکه نزد ما هم بماند.

لغو یک اشتراک فروشگاه اپ در تنظیمات خود فروشگاه رخ می‌دهد: Settings → Apple ID → Subscriptions روی پلتفرم‌های Apple، یا صفحهٔ Subscriptions در اپ Google Play Store روی Android. یک اشتراک کارتی از طریق پورتال مشتری خود پردازشگر لغو می‌شود، که شما را با ایمیلی که نگه می‌دارد احراز هویت می‌کند — نه توسط ما، چون ما هیچ‌کدام را نداریم. یک پرداخت رمزارزی یک دورهٔ ثابت می‌خرد و به‌سادگی منقضی می‌شود؛ چیزی برای لغو نیست.

اگر شمارهٔ حساب خود را پس از یک خرید وبی گم کنید، پشتیبانی می‌تواند از پردازشگر بخواهد بازپرداختتان کند، اما نمی‌تواند دسترسی را بازیابی کند — هیچ ایمیل یا گذرواژه‌ای در سمت ما نیست که ثابت کند خرید مال شما بوده. یک پرداخت رمزارزی اصلاً بازپرداخت‌پذیر نیست. ترجیح می‌دهیم این دو جمله را پیش از پرداخت بخوانید تا پس از آن.

آنچه هنگام اتصال رخ می‌دهد

یک سرویس جداگانه بلیت را می‌پذیرد و نشست را باز می‌کند. آدرسی را که از آن متصل می‌شوید، مکانی را که انتخاب کرده‌اید و کلید نشست یک‌بارهٔ شما را می‌بیند، و یک رکورد نشست دارد که شامل رده، دوره، همان کلید نشست، خروجی، آدرس‌های تونل شما، یک انقضا و یک بودجهٔ بایتی است. رکورد وقتی نشست منقضی شود خودش را حذف می‌کند. آدرس مبدأ شما هرگز در آن نوشته نمی‌شود.

این سرویس اصلاً هیچ پیوند پایگاه‌دادگی ندارد. هیچ دسته‌ای ندارد که با آن یک حساب یا یک دستگاه قابل‌دسترسی باشد، پس یک باگ در مسیر اتصال نمی‌تواند هویت شما را در یک رکورد نشست بنویسد — چیزی برای نوشتن با آن نیست. یک وظیفهٔ ساخت به نام the privacy seam holds اگر آن پیوند روزی اضافه شود، ساخت را ناموفق می‌کند. این تنها ویژگی حریم خصوصی در اینجاست که به رفتار خوب ما وابسته نیست.

پیش از اتصال، برنامه به نشانی سرورهای خودِ ما نیاز دارد. ابتدا این نشانی‌ها را از DNS شبکهٔ شما می‌پرسد. وقتی این کار شکست بخورد، دیر پاسخ دهد یا پاسخ نادرستی برگردد، یا پیش‌تر در همین شبکه چنین کرده باشد، یا نتوان با نشانی‌هایی که داده به سرورهای ما رسید، برنامه ممکن است در کنار آن، نه به‌جای آن، از Cloudflare‏ (1.1.1.1)، Google‏ (8.8.8.8) یا Quad9‏ (9.9.9.9) از طریق DNS رمزگذاری‌شده بپرسد، فقط دربارهٔ نشانی سرورهای خودِ ما و هرگز دربارهٔ سایتی که بازدید می‌کنید. هر یک از این سرویس‌ها نشانی‌های عمومی دیگری هم دارد که برنامه ممکن است به کار ببرد. در شبکه‌ای که DNS آن سریع و درست پاسخ می‌دهد و با نشانی‌هایی که داده می‌توان به سرورهای ما رسید، هیچ‌کدام پرسیده نمی‌شوند. هر کدام که پرسیده شود، نشانی IP مبدأ پرسش، زمان، و این را می‌فهمد که این دستگاه یکی از نام‌های سرور ما را جست‌وجو کرده است — و چیز دیگری نمی‌فهمد: نه شمارهٔ حساب، نه اعتبارنامهٔ نشست، نه چیزی از آنچه مرور می‌کنید. ما جز همان جست‌وجو چیزی برایشان نمی‌فرستیم و هر یک سیاست حریم خصوصی خودش را بر آنچه دریافت می‌کند اعمال می‌کند. اگر روزی به برنامه اجازه دهیم از سرویس DNS دیگری بپرسد، پیش از آنکه چنین کند، نام آن را همین‌جا می‌آوریم.

عبوردادن اتصال شما از یک CDN

روی برخی شبکه‌ها، سرورهای خود ما بر اساس آدرس یا نام مسدود یا کندشده‌اند. وقتی این اتفاق می‌افتد، اپ ممکن است خودکار به‌جای اتصال مستقیم به ما از یک شبکهٔ تحویل محتوا (CDN) استفاده کند. دو مسیر از این دست وجود دارد: روی طرح‌های Pro و Premium، اپ ممکن است تونل رمزنگاری‌شدهٔ شما را به‌جای اتصال مستقیم به سرور ما از طریق CDN رله کند؛ و برای درخواست‌های خودش به سرویس‌های کنترل ما، مانند فهرست امضاشدهٔ سرورها و بلیت‌های نشست، ممکن است از CDN هم استفاده کند. امروز Bunny.net می‌تواند هر دو مسیر را حمل کند، اما Gcore فقط می‌تواند درخواست‌های خود اپ به سرویس‌های کنترل ما را حمل کند، نه تونل را؛ Fastly هم به همین شکل سیم‌کشی شده و ممکن است در آینده این ترافیک را حمل کند. این خودکار است و فقط وقتی اتصال شما نیاز داشته باشد استفاده می‌شود. هرگز آنچه دربارهٔ شما جمع‌آوری می‌کنیم را تغییر نمی‌دهد: CDN فقط بایت‌ها را رله می‌کند، درست همان‌طور که ترافیک هر وب‌سایت معمولی را رله می‌کند، و نمی‌تواند شمارهٔ حساب یا اعتبارنامهٔ نشست شما را بخواند.

یک CDN که اتصال شما را رله می‌کند طوری تنظیم شده که به یک سرور مشخص ما برسد — یک سرور خروجی برای تونل، یک سرور رله برای درخواست‌ها به سرویس‌های کنترل ما — و تا وقتی اتصال شما از آن عبور می‌کند، آدرس IP‌ای را که از آن متصل می‌شوید، نام میزبان نقطهٔ رلهٔ ما، زمان و زمان‌بندی ترافیک شما، و خوانشی درشت از اتصال — مکان تقریبی شما و اثرانگشتی از نحوهٔ برقراری اتصال TLS دستگاه‌تان، همان سیگنالی که هر رلهٔ HTTPS می‌تواند محاسبه کند — می‌بیند، درست مثل رله‌کردن هر وب‌سایت رمزنگاری‌شدهٔ دیگر. آنچه درون آن است را نمی‌بیند: WireGuard تونل را سرتاسر میان دستگاه شما و سرور خروجی ما رمزنگاری می‌کند، درخواست‌ها به سرویس‌های کنترل ما میان اپ و سرور رلهٔ ما رمزنگاری می‌شوند، و CDN هر دو را بدون بازکردن حمل می‌کند، پس هرگز نمی‌فهمد یک درخواست مقصدش کدام‌یک از سرویس‌های ماست. سرورهای خودمان آن خوانش درشت را در لحظهٔ رسیدن دور می‌ریزند و هرگز آن را ذخیره نمی‌کنند؛ آنچه در زیر بین ارائه‌دهندگان فرق می‌کند این است که آیا خود CDN رکوردی نگه می‌دارد که آدرس IP شما را به سروری که به آن رله شده‌اید پیوند دهد.

• Bunny.net امروز این ترافیک را حمل می‌کند. ثبت درخواست آن را در منطقه‌های خود خاموش می‌کنیم، پس Bunny رکوردی که آدرس IP شما را به سروری که به آن رسیده‌اید پیوند دهد نگه نمی‌دارد.
• Gcore فقط ممکن است درخواست‌های خود اپ به سرویس‌های کنترل ما را حمل کند، نه تونل را، و تا ما ابتدا همین‌جا نگوییم، تونل را حمل نخواهد کرد. برخلاف Bunny، ثبت Gcore را نمی‌توان روی حساب ما خاموش کرد: آدرس IP‌ای که از آن متصل می‌شوید، نام میزبانی که درخواست به آن فرستاده شده و زمان را به مدت 3 روز نگه می‌دارد و هرکس که روی آن حساب توکنی داشته باشد می‌تواند آن را بخواند. Gcore همچنین آدرس IP شما را در یک هدر درخواست به سرور ما می‌فرستد؛ سرور ما آن را در لحظهٔ رسیدن دور می‌ریزد و هرگز ذخیره نمی‌کند. ما این را افشا می‌کنیم به‌جای پنهان‌کردنش، و همان روزی که Gcore اجازه دهد، از تکیه بر آن برای این کار دست می‌کشیم یا خاموشش می‌کنیم.
• Fastly هنوز هیچ‌کدام از ترافیک ما را حمل نمی‌کند. اگر شروع کند، همین‌جا توصیف می‌کنیم چه چیزی می‌تواند ببیند، درست مثل آن دو مورد دیگر، پیش از آنکه هرچیزی را حمل کند.

هیچ‌کدام از این سه نمی‌تواند شمارهٔ حساب شما یا یک اعتبارنامهٔ ورود را بخواند، و به هیچ‌کدام راهی برای پیونددادن اتصالی که رله می‌کند به هویت شما در سمت ما داده نمی‌شود. برای تصمیم‌گیری اینکه آیا یک شبکه به CDN نیاز دارد، اپ یادداشتی کوچک روی دستگاه شما برای هر شبکه‌ای که از آن متصل شده نگه می‌دارد، پرونده‌شده زیر یک نام هش‌شده برای همان شبکه: آیا CDN آنجا لازم بود، آخرین روزی که این را آموخت، و نام مکان‌های عمومی‌ای که کار کردند. هرگز یک آدرس، سرور یا نام شبکه را به‌صورت خام نگه نمی‌دارد، و از هر گزارش تشخیصی‌ای که برایمان بفرستید کنار گذاشته می‌شود. اپ فقط روی شبکه‌ای با CDN تماس می‌گیرد که اتصال مستقیم به سرور ما در آن، همین حالا یا طی روز گذشته، ناموفق بوده باشد. برای اینکه مسیر Premium مقرون‌به‌صرفه بماند، برای هر دستگاه و هر ماه تقویمی می‌شماریم که چند بایت از آن گذشته است. هرگز ثبت نمی‌کنیم کدام سرور، چه زمانی یا از کجا.

سرورهای خروجی

سرورهای خروجی از حافظه بوت می‌شوند. هیچ دیسکی برای نوشتن نیست، وضعیت در هر راه‌اندازی مجدد پاک می‌شود، و هیچ مسیر کد ثبتی در نرم‌افزاری که آن‌ها را اجرا می‌کند وجود ندارد.

تا وقتی یک نشست برقرار است، یک خروجی ناگزیر آدرسی را که از آن متصل می‌شوید مدیریت می‌کند — تونل را در آنجا پایان می‌دهد — به‌همراه کلید نشستی که دیگر هرگز آن را نمی‌بیند و خود ترافیک. هیچ‌کدام را ثبت نمی‌کند. آنچه به عقب گزارش می‌دهد تجمیعی، با تأخیر و گرد‌شده است: بایت به‌ازای هر همتا در هر دوره، هرگز به‌ازای هر اتصال یا هر مقصد.

برای اینکه سرورها میزبانی‌شان ادامه یابد، یک خروجی ممکن است الگوهای ترافیک سوءاستفاده‌آمیز را محلی محدود یا رد کند، فقط با استفاده از آنچه در حافظهٔ همان سرور است و کلیدشده روی شبکه‌ای که ترافیک از آن آمده، هرگز روی یک مشترک. هیچ رکورد سوءاستفاده‌ای که از یک نشست جان سالم به‌در ببرد وجود ندارد، چون نگه‌داشتن یکی یعنی حل‌کردن یک نشست به یک فرد.

اشتراک‌گذاری یک دستگاه یا خروجی

اگر کسی را برای استفاده از یکی از خروجی‌های خود دعوت کنید، آن فرد درست مانند هر مهمانی در شبکه شما، از طریق اتصال شما آنلاین می‌شود: وب‌سایت‌ها، بازی‌ها و ارائه‌دهنده اینترنت شما ترافیک او را به‌عنوان ترافیک آمده از اتصال شما می‌بینند، و شما در نظر آن‌ها کسی هستید که از آن استفاده می‌کند. اگر کسی را فقط برای دسترسی به یک دستگاه دعوت کنید، آن فرد فقط می‌تواند به همان دستگاه برسد و به چیز دیگری در شبکه شما دسترسی ندارد.

ترافیک میان دستگاه‌های شما، و ترافیک مهمان از طریق یک اشتراک‌گذاری، به‌صورت سرتاسری رمزگذاری‌شده است. وقتی اتصال مستقیم ممکن نباشد، ترافیک از طریق یک رله ForestVPN عبور می‌کند که نمی‌تواند آن را بخواند و هیچ رکوردی از اینکه کدام دستگاه‌ها با هم صحبت می‌کنند نگه نمی‌دارد. در شبکه‌هایی که ما را مسدود می‌کنند، ترافیک ممکن است از یک شبکه توزیع محتوا نیز عبور کند که تنها می‌بیند داده‌های رمزگذاری‌شده در حال جریان است، درست مانند بقیه ترافیک ForestVPN (به بخش «انتقال اتصال شما از طریق یک CDN» در بالا مراجعه کنید).

هیچ رکوردی از اینکه چه کسی چه کاری انجام داده وجود ندارد. ForestVPN هیچ گزارشی از کاری که یک مهمان از طریق اشتراک‌گذاری انجام می‌دهد نگه نمی‌دارد، بنابراین نه میزبان و نه ما نمی‌توانیم نشان دهیم چه کسی چه کاری کرده است.

یک اشتراک‌گذاری به‌صورت دو شناسه تصادفی mesh و یک وضعیت کوچک ذخیره می‌شود — برای چه کسی است، چه چیزی را مجاز می‌کند و چه زمانی پایان می‌یابد — و هرگز به‌صورت گزارش استفاده نیست. پایان‌دادن به یک اشتراک‌گذاری آن را پس از ۳۰ روز حذف می‌کند. ارائه‌دهنده میزبانی ما، Cloudflare، همچنان می‌تواند تا ۳۰ روز دیگر پس از آن، برای اهداف بازیابی فاجعه خودش، این داده را بازیابی کند.

تحلیل آماری

ما شمارنده‌های عملیاتی نگه می‌داریم: چند اعتبارنامه صادر و رد شده، نتیجه‌ها و زمان‌بندی‌های اتصال، مجموع بایت‌ها، و تجمیع‌های هر سرور، شمارش روزانهٔ دستگاه‌های جدید، حساب‌های جدید، مشتریان پرداخت‌کننده و تغییرهای اشتراک، و شمارنده‌های دستیار پشتیبانی (موضوع، نقطهٔ ورود، اینکه داده‌های تشخیصی به اشتراک گذاشته شد یا نه، اینکه پاسخ کمک کرد یا نه) که هیچ‌کدام دستگاه، حساب یا هیچ متنی را با خود ندارند. این‌ها در یک مخزن تحلیل آماری نوشته می‌شوند که هیچ‌چیز در مسیر درخواست آن را بازنمی‌خواند.

دو چیز دربارهٔ آن باید صریح گفته شود.

• سطرهای مربوط به صدور و تسویهٔ اعتبارنامه یک برچسب شبه‌نام هر دستگاه حمل می‌کنند — یک هش کلیددار از هش کلید دستگاه شما، نه خود آن هش — به‌همراه یک کد کشور و یک شمارهٔ اپراتور شبکه. این طبق GDPR داده شخصی است، نه دادهٔ ناشناخته.
• نگه‌داری 90 روز است و قابل‌تغییر نیست، و هیچ API حذفی وجود ندارد. نمی‌توانیم سطرهای تحلیل آماری یک فرد را با درخواست حذف کنیم؛ فقط می‌توانیم منتظر بمانیم تا منقضی شوند. چرخاندن کلیدی که برچسب را می‌سازد سطرهای آینده را از گذشته بی‌صاحب می‌کند؛ سطرهای گذشته را حذف نمی‌کند، و یک همبستگی را که وقتی کلید قدیمی در استفاده بود ساخته شده پس نمی‌گیرد.

هیچ سطری یک موضوع و یک سرور خروجی را با هم حمل نمی‌کند. مجموعه‌داده‌هایی که یک برچسب دستگاه حمل می‌کنند سرور حمل نمی‌کنند، و مجموعه‌داده‌هایی که سرور حمل می‌کنند موضوع حمل نمی‌کنند. گزارش‌های مسیر تجمیع‌هایی بدون برچسب دستگاه‌اند و فقط برای روزهایی که دست‌کم ۱۰ دستگاه داشته‌اند در داشبوردهای ما منتشر می‌شوند.

این وب‌سایت اصلاً هیچ تحلیل آماری‌ای اجرا نمی‌کند. یک کوکی کارکردی (fvpn_locale) تنظیم می‌کند که زبان شما را یک سال به خاطر می‌سپارد و کار دیگری نمی‌کند. هیچ اسکریپت شخص‌ثالثی بارگذاری نمی‌کند، چیزی را جاسازی نمی‌کند، و فونت‌های خود را خودمیزبانی می‌کند.

چه کسان دیگری آن را پردازش می‌کنند

هرکدام از این‌ها طبق دستور ما، تحت قرارداد عمل می‌کنند، و متعهدند داده را دست‌کم تا استانداردی که اینجا بیان شده محافظت کنند. سرویس‌های DNS عمومی استثنا هستند: آن‌ها تحت سیاست حریم خصوصی خودشان عمل می‌کنند، نه سیاست ما.

Cloudflare

خدمات کنترلی، پایگاه‌داده‌های آن‌ها و این وب‌سایت را میزبانی می‌کند، TLS را برای دامنه‌های ما پایان می‌دهد، و گزارش تشخیصی‌ای را که انتخاب می‌کنید برایمان بفرستید، در سطلی که فقط به کد پشتیبانی شما کلید خورده و از هر رکورد دستگاهی جداست، ذخیره می‌کند. چون TLS آنجا پایان می‌یابد، Cloudflare در موقعیتی است که می‌تواند فرادادهٔ درخواست‌ها به نام‌های میزبان ما را ببیند، صرف‌نظر از آنچه کد خودمان ثبت می‌کند. این محدودیتی واقعی است و ترجیح می‌دهیم آن را بگوییم تا اینکه طوری وانمود کنیم که وجود ندارد.

Nebius

مدل زبانی پشت دستیار پشتیبانی را در اتحادیهٔ اروپا اجرا می‌کند، تحت قراردادی با نگه‌داری صفر داده — گفتگوی شما را پس از پاسخ‌دادن نگه نمی‌دارد و روی آن آموزش نمی‌بیند. هرگز شمارهٔ حساب شما، آدرس IP شما، یا اینکه به کدام سرورها متصل می‌شوید را دریافت نمی‌کند. ببینید دستیار پشتیبانی.

Apple

هر اشتراک خریداری‌شده در اپ را می‌فروشد و صورت‌حساب می‌دهد، و به ما می‌گوید اشتراکی وجود دارد. Apple سیاست حریم خصوصی خودش و رابطهٔ خودش با شما را دارد. ما یک رسید امضاشده و یک توکن مشتق‌شده از دستگاه دریافت می‌کنیم، هرگز شمارهٔ کارت، نام یا ایمیل.

Google

هر اشتراک خریداری‌شده در اپ Android را می‌فروشد و صورت‌حساب می‌دهد، و به ما می‌گوید اشتراکی وجود دارد. Google سیاست حریم خصوصی خودش و رابطهٔ خودش با شما را دارد. اپ یک توکن خرید و شناسهٔ محصول را برای ما ارسال می‌کند، به‌همراه توکنی مشتق‌شده از دستگاه که به‌عنوان شناسهٔ حساب مبهم‌شدهٔ Google Play به خرید پیوست شده؛ ما همهٔ آن را مستقیماً در برابر سرورهای خود Google تأیید می‌کنیم، و Google جداگانه یک Real-Time Developer Notification برایمان می‌فرستد وقتی اشتراکی تغییر می‌کند — هرگز شمارهٔ کارت، نام یا ایمیل.

Stripe

پرداخت‌های کارتی برای اشتراک‌های خریداری‌شده در وب را پردازش می‌کند، و پورتال مشتری‌ای را که یک اشتراک کارتی در آن مدیریت و لغو می‌شود اجرا می‌کند. Stripe نام، ایمیل، آدرس صورت‌حساب و جزئیات کارت خریدار را نگه می‌دارد — هیچ‌کدام به ما نمی‌رسد.

CloudPayments

پردازشگر کارتی جایگزین برای خریدهای وبی، ارائه‌شده جایی که بهتر از Stripe به خریداران خدمت می‌کند. همان مرز: آن هویت پرداخت را نگه می‌دارد، ما یک سطر اشتراک بدون هیچ نامی به آن پیوست‌شده نگه می‌داریم.

NOWPayments

پرداخت‌های ارز رمزنگاری‌شده برای خریدهای وبی را پردازش می‌کند. این روش پرداختی است که حتی پردازشگر هم کمترین چیز را دربارهٔ شما نگه می‌دارد — بدون کارت، بدون حساب بانکی — و برخلاف بقیه، یک پرداخت رمزارزی بازپرداخت‌پذیر نیست. ببینید پرداخت با کارت یا رمزارز.

ارائه‌دهندگان سرور

شرکت‌هایی که سرورهای خروجی ما را میزبانی می‌کنند. آن‌ها می‌توانند حجم ترافیک را در لبهٔ شبکهٔ خودشان ببینند، همان‌طور که هر میزبانی می‌تواند. دسترسی‌ای به حافظهٔ سرورها یا به ترافیک شما ندارند.

Bunny.net

تونل رمزنگاری‌شدهٔ یک اتصال Pro یا Premium، و درخواست‌های رمزنگاری‌شدهٔ خود اپ به سرویس‌های کنترل ما را رله می‌کند وقتی شبکه‌ای سرورهای خودمان را مسدود کند، و فقط آن‌وقت. حین رله‌کردن، آدرس IP‌ای را که از آن متصل می‌شوید، نام میزبان نقطهٔ رلهٔ ما و زمان ترافیک را می‌بیند، هرگز آنچه درون آن است، اینکه به کدام سرویس ما می‌رسید، حساب یا کلید دستگاه شما را. ثبت درخواست آن در منطقه‌های ما خاموش است. ببینید عبوردادن اتصال شما از یک CDN.

Gcore

ممکن است فقط درخواست‌های رمزنگاری‌شدهٔ خود اپ به سرویس‌های کنترل ما را رله کند، نه تونل را، وقتی شبکه‌ای سرورهای خودمان را مسدود کند، و فقط آن‌وقت. حین رله‌کردن، آدرس IP‌ای را که از آن متصل می‌شوید، نام میزبان نقطهٔ رلهٔ ما و زمان ترافیک را می‌بیند، هرگز آنچه درون آن است، اینکه به کدام سرویس ما می‌رسید، حساب یا کلید دستگاه شما را. برخلاف Bunny.net، ثبت آن را نمی‌توان روی حساب ما خاموش کرد: آدرس IP‌ای که از آن متصل می‌شوید، نام میزبانی که درخواست به آن فرستاده شده و زمان را به مدت 3 روز نگه می‌دارد. ببینید عبوردادن اتصال شما از یک CDN.

AWS

فهرست سرور امضاشده را آینه می‌کند، تا دستگاهی که به دامنهٔ خودمان نمی‌رسد بازهم بتواند یکی را دریافت کند. وقتی دستگاهی به این آینه بازمی‌گردد، AWS آدرس IP‌ای را که از آن متصل می‌شود و زمان آن دریافت را می‌بیند — هرگز حساب شما، کلید دستگاه شما، یا اینکه به کدام سرور می‌روید را نه.

سرویس‌های DNS عمومی

Cloudflare، Google و Quad9 سرویس‌های DNS عمومی دارند که برنامه ممکن است از طریق DNS رمزگذاری‌شده، وقتی DNS شبکهٔ شما شکست می‌خورد، دیر پاسخ می‌دهد، پاسخ نادرست می‌دهد یا نتوان با نشانی‌هایی که داده به سرورهای ما رسید، نشانی سرورهای خودِ ما را از آن‌ها بپرسد. آن‌ها پردازشگر ما نیستند: هر یک تحت سیاست حریم خصوصی خودش عمل می‌کند، نه سیاست ما، و نشانی IP شما، زمان و نام سرور جست‌وجوشده را می‌فهمد، نه حساب شما و نه آنچه مرور می‌کنید را. نگاه کنید به آنچه هنگام اتصال رخ می‌دهد.

نگه‌داری

نگه‌داری برای هر رکورد در جدول بالا فهرست شده. خلاصه: رکوردهای نشست فقط تا وقتی نشست وجود دارد باقی می‌مانند؛ پیوندهای بلیت — تنها رکوردی که یک دستگاه و یک نشست را در یک سطر دارد — یک ساعت پس از تسویه یا در انقضای خود بلیت حذف می‌شوند، هرگز بیش از حدود 17 روز؛ کدهای پشتیبانی و گزارش‌های تشخیصی 72 ساعت دوام می‌آورند؛ مصرف روزانه پس از 31 روز حذف می‌شود؛ تحلیل آماری در 90 روز منقضی می‌شود و پیش از آن قابل‌حذف نیست؛ سطرهای دستگاه، سطرهای حساب، رکوردهای اشتراک و صورت‌حساب، مجموع بایت ماهانه و دفتر تصمیم‌ها نامحدود نگه داشته می‌شوند، چون یک اختلاف اشتراک یا یک سهمیهٔ ردشده باید بعداً قابل‌توضیح باشد. این نگه‌داری برای چیزی است که ما نگه می‌داریم — رسید یک خرید وبی، مکاتبات اختلاف و رکورد کارت نزد پردازشگر زندگی می‌کند و از سیاست نگه‌داری خودش پیروی می‌کند، نه این یکی.

حذف، و اینکه یک درخواست واقعاً به کجا می‌رسد

به support@fvpn.net با یک کد پشتیبانی از اپ ایمیل بزنید — Account → Get help روی پلتفرم‌های Apple؛ روی Android، روی وضعیت اتصال در بالای اپ بزنید، سپس Health → Report a problem → Get a support code روی گوشی یا تبلت، یا Connection details → Report a problem → Get a support code روی Android TV. کد تنها راهی است که می‌توانیم بگوییم کدام رکورد دستگاه مال شماست: ما هیچ آدرس ایمیل، نام کاربری یا نام حسابی برای احراز هویت شما نداریم. بدون آن نمی‌توانیم روی درخواستی دربارهٔ یک دستگاه مشخص اقدام کنیم.

صریح بگوییم که آن درخواست امروز واقعاً به کجا می‌رسد:

• سطرهای مصرف روزانه قابل‌حذف‌اند، و به‌هرحال پس از 31 روز منقضی می‌شوند.
• می‌شود یک دستگاه را بدون حذف حساب جدا کرد. یک دستگاه می‌تواند از صفحهٔ حساب در اپ خودش خارج شود و هر دستگاه دیگرِ روی حساب می‌تواند آن را در اپ یا در کنسول fvpn.net حذف کند؛ دستگاه روی طرح رایگان به کار خود ادامه می‌دهد. هر حساب تا ده دستگاه دارد، دستگاهی که در ۷ روز گذشته اضافه شده نمی‌تواند دستگاه‌های قدیمی‌تر را حذف کند، و روتر می‌تواند خودش خارج شود اما نمی‌تواند دستگاه‌های دیگر را حذف کند. حذف کل حساب موضوعی جداست، در زیر.
• حذف حساب درون‌اپی موجود است: Account → Delete account. دائمی است — حساب را حذف می‌کند، هر دستگاه پیوندخورده به آن را به حالت بدون حساب بازمی‌گرداند (هرکدام هرچه را جداگانه خریده نگه می‌دارد)، و نمی‌تواند اشتراک‌های متعلق به حساب را لغو کند، که فروشگاه — Apple یا Google — تا وقتی خودتان در تنظیمات اشتراک خودش لغوشان کنید صورت‌حساب می‌دهد. شمارهٔ کامل حساب را می‌خواهد به‌جای اعتمادکردن به اینکه روی یک دستگاه واردشده‌اید، چون هر دستگاه روی یک حساب به‌طور برابر همان اختیار را دارد و یکی از آن‌ها نباید بتواند از طرف بقیه آن را نابود کند. فقط یک حساب را حذف می‌کند: دستگاهی که هیچ حسابی به آن وصل نیست چیزی اینجا برای حذف ندارد.
• سطرهای تحلیل آماری اصلاً قابل‌حذف نیستند و در 90 روز منقضی می‌شوند.
• مجموع بایت ماهانه، رکوردهای صورت‌حساب و دفتر تصمیم‌ها نگه داشته می‌شوند. دفتر عمداً فقط‌افزایشی است: رکوردی که بی‌سروصدا قابل‌ویرایش باشد نمی‌تواند یک اختلاف را حل کند.

می‌توانید هر زمان با حذف اپ و متصل‌نشدن، همهٔ جمع‌آوری را متوقف کنید. توجه کنید که این رکوردهای بالا را حذف نمی‌کند، و کلید دستگاه از حذف روی پلتفرم‌های Apple جان سالم به‌در می‌برد — ببینید چه چیزی روی دستگاه شما زندگی می‌کند.

اگر در اتحادیهٔ اروپا، بریتانیا یا کالیفرنیا هستید، حقوق دسترسی، اصلاح، حذف و قابلیت‌انتقال روی داده‌های شخصی‌ای که دربارهٔ شما نگه می‌داریم دارید. یک هش کلید دستگاه داده شخصی شبه‌نام است، نه دادهٔ ناشناخته، و ما با آن همین‌طور رفتار می‌کنیم. جایی که نتوانیم درخواستی را برآورده کنیم — موارد بالا — می‌گوییم کدام‌یک صدق می‌کند و چرا، به‌جای ادعای اینکه نمی‌توانیم شما را شناسایی کنیم.

آنچه این کار در برابرش محافظت نمی‌کند

یک رکورد دستگاه شما را به یک نشست پیوند می‌دهد، و از طریق دستگاه به حساب شما اگر یکی را پیوند داده باشید. این همان پیوند بلیتی است که در حساب‌ها و اشتراک‌ها بیان شده: وجود دارد تا سهمیه بتواند سنجیده شود و دستگاهی لغوشده در میانهٔ نشست قطع شود، و یک ساعت پس از تسویهٔ آن نشست حذف می‌شود. هیچ‌چیز در هیچ‌جا هیچ‌کدام از آن‌ها را به یک خروجی پیوند نمی‌دهد. این را این‌طور می‌گوییم به‌جای ادعای جدایی‌ای که نداریم — و این‌ها محدودیت‌های دیگر، به همان دلیل‌اند:

• سرویسی که اعتبارنامه صادر می‌کند و خروجی‌ای که ترافیک شما را حمل می‌کند، هرکدام کلید نشست شما را در لحظه‌ای متفاوت می‌بینند. طرف‌هایی که با هم واداشته شده باشند، یا با هم دست‌به‌یکی کرده باشند، می‌توانستند از این برای پیونددادن دوباره یک نشست سرتاسر استفاده کنند. ما هیچ رکوردی که این کار را انجام دهد نگه نمی‌داریم، و هیچ‌کدام به‌تنهایی نمی‌تواند این کار را انجام دهد.
• اگر از صفحهٔ دستگاه‌ها برای فرستادن یک روتر به خروجی دیگری استفاده کنید، مکانی که انتخاب کرده‌اید در برابر آن دستگاه — و اگر دستگاه به حسابی پیوند خورده، در برابر حساب شما هم — ذخیره می‌شود تا یکی دیگر را انتخاب کنید. این همان چیزی است که خواسته‌اید، هرگز چیزی که مشاهده کرده‌ایم: تأیید دستگاه یک شماره است که پژواک می‌شود، نه یک مکان.
• TLS برای دامنه‌های ما نزد Cloudflare پایان می‌یابد، پس فرادادهٔ درخواست‌ها به نام‌های میزبان ما، صرف‌نظر از کد خودمان، آنجا وجود دارد.
• هش کلید دستگاه شما پایدار است، و سطرهای تحلیل آماری شبه‌نام کلیدشده به آن 90 روز زنده‌اند.
• مجموعهٔ افرادی که شما در میانشان تشخیص‌ناپذیرید هرکسی است که بلیتی امضاشده با همان کلید رده در همان دوهفته را دارد — نه «همهٔ کاربران ما». در آغاز کار این مجموعه کوچک است. ترجیح می‌دهیم این را بگوییم تا اینکه ناشناختگی‌ای را توصیف کنیم که هنوز نداریم.

یک VPN تغییر می‌دهد چه کسی می‌تواند ترافیک شما را ببیند. شما را ناشناخته نمی‌کند، و این یکی چنین ادعایی ندارد.

کودکان، تغییرات و تماس

این خدمت متوجه کودکان زیر 13 سال نیست، و آگاهانه از آن‌ها داده جمع‌آوری نمی‌کنیم. هیچ راهی برای دانستن سن یک کاربر نداریم، چون چیزی که این را به ما بگوید جمع‌آوری نمی‌کنیم.

اگر این سیاست به‌طور اساسی تغییر کند، تاریخ بالای صفحه را عوض می‌کنیم، آنچه را تغییر کرده همین‌جا توصیف می‌کنیم، و در اپ‌هایی که یکی را پشتیبانی می‌کنند اعلانی نشان می‌دهیم. چون هیچ آدرس ایمیلی در پرونده نیست، نمی‌توانیم با نامه به شما اطلاع دهیم.

11 October 2026: بخشی دربارهٔ اشتراک‌گذاری یک دستگاه یا خروجی با فردی دیگر اضافه کردیم: ترافیک مهمان چگونه دیده می‌شود، رله‌های ما چه چیزی را می‌توانند و نمی‌توانند ببینند، و چه چیزی دربارهٔ یک اشتراک‌گذاری نگه داشته می‌شود. به اشتراک‌گذاری دستگاه یا خروجی مراجعه کنید.

۴ اکتبر ۲۰۲۶: وقتی DNS شبکهٔ شما شکست می‌خورد، دیر پاسخ می‌دهد، پاسخ نادرستی برمی‌گرداند یا نتوان با نشانی‌هایی که داده به سرورهای ما رسید، برنامه ممکن است علاوه بر آن از Cloudflare، Google یا Quad9 از طریق DNS رمزگذاری‌شده نشانی سرورهای خودِ ما را بپرسد؛ هر کدام که پرسیده شود نشانی IP شما، زمان، و اینکه دستگاه یکی از نام‌های سرور ما را جست‌وجو کرده است را می‌فهمد و چیز دیگری نمی‌فهمد. نگاه کنید به آنچه هنگام اتصال رخ می‌دهد.

۴ اکتبر ۲۰۲۶: Gcore (gcore.com) در کنار Bunny.net (bunny.net) به‌عنوان CDN اضافه می‌شود، و حالا یک CDN می‌تواند درخواست‌های خود اپ به سرویس‌های کنترل ما را هم رله کند، نه فقط تونل را؛ Gcore فقط می‌تواند همین درخواست‌ها را رله کند، نه تونل را. یک CDN روی هر یک از دو مسیر ممکن است آدرس IP شما، نام میزبان نقطهٔ رلهٔ ما و زمان را ببیند، هرگز محتوا یا اینکه به کدام سرویس ما می‌رسید را. Gcore آدرس IP شما، نام میزبانی که درخواست به آن فرستاده شده و زمان را 3 روز نگه می‌دارد؛ ثبت Bunny در منطقه‌های ما خاموش است. ببینید عبوردادن اتصال شما از یک CDN.

۱۰ اکتبر ۲۰۲۶: اپ‌ها اکنون می‌توانند گزارش مسیر بفرستند — عیب‌یابی شبکهٔ ناشناس و تجمیعی که به هویت یا حساب شما پیوند نخورده است. آن‌ها را به آنچه سرویس‌های کنترل ما نگه می‌دارند افزودیم و توصیف خود از بیانیهٔ حریم خصوصی Apple را اصلاح کردیم.

سؤال‌ها، درخواست‌ها یا شکایت‌ها: support@fvpn.net. کنترل‌کننده Digital Services LLC است.