Kebijakan privasi

Digital Services LLC mengoperasikan ForestVPN. Kebijakan ini mencakup aplikasi ForestVPN untuk iPhone, iPad, Mac, dan Apple TV, untuk ponsel dan tablet Android, dan untuk Android TV, aplikasi desktop untuk Windows dan Linux, klien baris perintah Linux dan aplikasi router, server yang membawa lalu lintas Anda, serta situs web ini.

Komitmen kami

ForestVPN tidak menjual, menggunakan, atau mengungkapkan kepada pihak ketiga mana pun data yang dijelaskan dalam kebijakan ini, untuk tujuan apa pun, selain sejauh benar-benar diperlukan untuk mengoperasikan layanan — yaitu, Apple atau Google untuk pembayaran, dan penyedia infrastruktur yang tercantum di bawah, masing-masing bertindak semata-mata sebagai pemroses atas instruksi kami dan berdasarkan kontrak. Kami tidak menjalankan iklan, kami tidak membuat profil Anda, dan kami tidak membagikan apa pun dengan pialang data, vendor analitik, atau jaringan atribusi. Tidak ada satu pun dari itu di dalam aplikasi. Satu pengecualian bukan pemroses kami: saat DNS jaringan Anda gagal atau server kami tidak dapat dijangkau pada alamat yang diberikannya, aplikasi dapat bertanya ke resolver DNS publik (Cloudflare, Google, atau Quad9) tentang alamat server kami sendiri, dan resolver itu melihat alamat IP Anda berdasarkan kebijakan privasinya sendiri. Lihat Apa yang terjadi saat Anda tersambung.

Aplikasi ini tidak mengandung SDK analitik, SDK atribusi, atau pengenal iklan, di platform mana pun. Di platform Apple hal ini dinyatakan dalam manifes privasi aplikasi, yang menyatakan tidak ada pelacakan dan tidak ada domain pelacakan. Manifes itu menyatakan sepuluh jenis data. Sembilan ditandai sebagai tertaut ke identitas Anda: pengenal pengguna, pengenal perangkat (nama samaran yang digabungkan dengan akun Anda saat Anda mengaitkan satu akun), riwayat pembelian, lokasi perkiraan, konten dukungan pelanggan, konten pengguna lainnya, data diagnostik, data kinerja, dan data penggunaan lainnya. Satu, interaksi produk, tidak tertaut: asisten dukungan menghitung dari layar mana ia dibuka, apakah Anda memilih membagikan diagnostik, dan apakah jawabannya menyelesaikan masalah, tanpa tanda perangkat atau akun. Formulir Apple hanya menerima satu jawaban per jenis data, jadi data diagnostik dan lokasi perkiraan ditandai tertaut karena laporan yang Anda pilih untuk dikirim dan penghitung penerbitan kredensial memang tertaut, meskipun laporan rute tidak. Sembilan jenis digunakan untuk fungsi aplikasi, dan delapan di antaranya juga untuk penghitung operasional kami sendiri yang dijelaskan di bagian analitik. Di Android, aplikasi ini tidak pernah meminta ID iklan dan tidak menambahkan SDK analitik, atribusi, atau pelaporan crash miliknya sendiri. Satu-satunya pustaka pihak ketiga yang menjangkau Google adalah Google Play Billing Library, yang diwajibkan Google untuk pembelian dalam aplikasi dan beroperasi di bawah kebijakan privasi Google sendiri.

Yang tidak pernah kami miliki

• Riwayat penjelajahan Anda. Tidak ada kolom di mana pun dalam sistem kami untuk situs yang Anda kunjungi, nama yang Anda cari, atau alamat yang Anda sambungkan. Bukan masa penyimpanan yang singkat — kolom seperti itu memang tidak ada.
• Identitas Anda. Tidak ada alamat email, tidak ada kata sandi, tidak ada nomor telepon, dan tidak ada nama. Sebuah akun, jika Anda membuatnya, adalah angka acak 128-bit. Tabel akun tidak memiliki kolom kontak dalam bentuk apa pun.
• Kartu Anda. Pembayaran terjadi di Apple atau Google, atau — jika Anda membeli di web — di pemroses yang Anda pilih: Stripe, CloudPayments, atau NOWPayments. Apple memberi kami struk bertanda tangan dan token turunan perangkat; untuk pembelian Google Play, kami memverifikasi token pembelian yang diteruskan aplikasi — beserta token turunan perangkat yang melekat pada pembelian itu — langsung ke server Google sendiri, tidak pernah hanya mempercayai kata aplikasi begitu saja. Pembelian di web memberi kami nomor referensi sekali pakai yang kami buat sendiri, bukan kartu Anda. Bagaimanapun caranya kami tidak pernah melihat nomor kartu, dan untuk pembayaran kripto pemroseslah satu-satunya pihak yang melihat apa pun sama sekali. Lihat membayar dengan kartu atau kripto.
• Izin tambahan di Android. Aplikasi ini meminta dua hal saat runtime: dialog persetujuan koneksi VPN bawaan sistem, dan, di Android 13 ke atas, izin untuk menampilkan notifikasi — diminta sekali, saat pertama kali Anda tersambung, tidak pernah saat pertama kali dibuka — mencakup status koneksi yang sedang berlangsung, peringatan saat jatah data Anda menipis atau habis, dan masalah koneksi. Aplikasi ini tidak meminta lokasi atau kontak Anda. Dua izin lain yang dinyatakannya tetap sepenuhnya di perangkat dan tidak pernah dikirim kepada kami: membaca daftar aplikasi yang terpasang, untuk layar split-tunneling yang mengecualikan aplikasi pilihan dari tunnel, dan sidik jari, wajah, atau prompt kunci layar sistem, untuk membatasi siapa yang bisa menampilkan nomor akun Anda sendiri di layar.

Yang tersimpan di perangkat Anda

Sebuah kunci mesin

Saat pertama kali dibuka, aplikasi membuat sepasang kunci yang tetap berada di perangkat: di keychain sistem pada platform Apple; di Android, di penyimpanan pribadi aplikasi, dienkripsi dengan kunci yang disimpan di Android Keystore. Kunci ini ditandai agar tidak pernah keluar dari perangkat itu — tidak ke perangkat Anda yang lain, tidak ke iCloud, dan di Android tidak masuk ke cadangan atau salinan pemindahan perangkat mana pun. Ini bukan pengenal iklan dan tidak dibagikan dengan siapa pun. Kami menyimpan hash dari bagian publiknya, yang menjadi cara sebuah perangkat dikenali di setiap peluncuran aplikasi.

Di platform Apple kunci ini permanen. Kunci ini tidak pernah dirotasi, dan tetap ada setelah aplikasi dihapus. Memasang ulang di sana tidak memberi Anda identitas baru — aplikasi yang dipasang ulang menampilkan kunci yang sama dan dikenali sebagai perangkat yang sama. Ini disengaja: inilah yang mencegah satu perangkat mengklaim jatah gratis tanpa batas, dan artinya menghapus-pasang aplikasi bukan cara mengatur ulang di sana, yang sebaiknya Anda ketahui sebelum memasangnya. Di Android, kunci ini tidak bertahan setelah aplikasi dihapus atau penyimpanannya dibersihkan. Pemasangan ulang membuat kunci baru dan didaftarkan sebagai perangkat baru, dan catatan perangkat lama tetap ada di pihak kami, tanpa pemilik, mengikuti masa penyimpanan pada tabel di bawah. Aplikasi ini juga mengganti kuncinya sekali, di tempat, jika server kami pernah melaporkan kunci lama tidak dikenali.

Sebuah kunci sesi

Setiap tiket membawa kunci sesinya sendiri, dibuat di perangkat saat tiket diterbitkan, sebelum koneksi apa pun dicoba. Kunci ini disimpan, terenkripsi, di penyimpanan lokal platform itu sendiri — keychain sistem di platform Apple, penyimpanan pribadi aplikasi di Android — sampai tiketnya digunakan atau kedaluwarsa, dan tiket cadangan yang dibuat untuk koneksi yang sama bisa berbagi kunci dengan tiket yang didukungnya. Kunci ini tidak pernah keluar dari perangkat kecuali sebagai bagian publiknya.

Akun, langganan, dan jatah

Satu layanan menerbitkan kredensial koneksi dan menyimpan catatan yang dibutuhkan sebuah langganan. Layanan ini menyimpan:

Baris pengikatan tiket di atas adalah satu-satunya pengecualian, dan itu dinyatakan di sini alih-alih dihilangkan dari tabel: selama baris itu ada, ia menyebutkan baik perangkat Anda maupun sesi tempatnya berada, dan itulah yang memungkinkan sesi yang selesai dikenakan ke jatah Anda dan perangkat yang dicabut diputus di tengah sesi. Baris ini dihapus secara otomatis, bukan atas permintaan — satu jam setelah sesi yang disebutkannya selesai, atau saat tiketnya sendiri kedaluwarsa tanpa digunakan, mana pun yang lebih dulu. Tidak satu pun dari catatan ini, termasuk yang satu ini, berisi server keluar, alamat tempat Anda tersambung, atau ke mana pun Anda pergi: layanan penerbit tidak pernah mempelajari satu pun dari itu. Semua itu hanya ada di layanan terpisah yang dijelaskan di [apa yang terjadi saat Anda tersambung](#session), yang tidak punya cara untuk mencari tahu siapa Anda. Baris laporan diagnostik di atas juga disimpan di layanan ketiga yang terpisah — sebuah unggahan tanpa tanda tangan yang tidak pernah dilihat layanan penerbit dan tidak bisa digabungkan dengan sebuah perangkat.

Kredensialnya sendiri

Untuk tersambung, perangkat Anda meminta tiket ke layanan ini. Tiket ini ditandatangani secara buta (blind-signed): tanda tangannya dihasilkan atas nilai yang tidak pernah kami lihat, sehingga tiket yang Anda tunjukkan saat tersambung tidak bisa dikenali sebagai tiket yang diterbitkan untuk Anda. Tiket ini membawa tepat dua fakta — tingkatan mana yang menandatanganinya dan kunci dua-mingguan mana yang digunakan — dan tidak ada lagi selain itu. Layanan penerbit tidak pernah mempelajari lokasi, exit, sesi, atau apakah sebuah tunnel pernah terbentuk.

Membayar dengan kartu atau kripto

Apple atau Google menagih setiap langganan yang dibeli di aplikasi, dan kami tidak pernah melihat nomor kartu. Di platform Apple, Apple mengirimkan kami struk bertanda tangan dan token turunan perangkat. Di Android, sebelum checkout server kami memberi aplikasi sebuah token yang diturunkan dari kunci perangkat; aplikasi melekatkannya ke pembelian sebagai obfuscated account id milik Google Play, dan Google mengembalikannya setiap kali kami memverifikasi pembelian, sehingga langganan bisa dicocokkan dengan perangkat yang membelinya — token ini tidak membawa nama, email, atau kartu. Aplikasi juga meneruskan token pembelian dan id produk yang diberikan Google Play kepada server kami, yang memverifikasi pembelian langsung terhadap API Google sendiri alih-alih mempercayai kata aplikasi; Google secara terpisah mengirimkan kami Real-Time Developer Notification saat sebuah langganan berubah, yang kami perlakukan sebagai isyarat untuk memverifikasi ulang dengan Google, tidak pernah sebagai bukti dengan sendirinya. Sebuah langganan juga bisa dibeli di web, melalui pemroses kartu — Stripe atau CloudPayments — atau pemroses kripto, NOWPayments, dan jalur itu cukup berbeda untuk dijelaskan tersendiri.

Saat Anda checkout di web, kami membuat sendiri nomor referensi sekali pakai dan menyerahkannya ke pemroses — tidak pernah nomor akun Anda. Berdasarkan kebijakan ini nomor akun adalah kredensial; memasukkannya ke dasbor pemroses pembayaran, payload webhook, atau perkakas dukungan sama saja dengan mempublikasikan sebuah kata sandi. Referensi ini kedaluwarsa dalam satu jam dan, jika berdiri sendiri, tidak membuka apa pun.

Yang kami simpan dari sebuah pembelian di web: pemroses mana yang menagihnya, id langganan milik pemroses itu sendiri, tingkatannya, tanggal dibayar sampai kapan, dan apakah sudah dibatalkan atau dicabut. Yang tidak pernah kami terima dan tidak pernah kami simpan: nama Anda, email Anda, alamat penagihan Anda, sidik jari kartu Anda, atau — untuk pembayaran kripto — apa pun tentang Anda sama sekali. Kode yang menulis sebuah baris pembayaran tidak memiliki kolom yang bisa menampung satu pun dari itu; menambahkan satu kolom akan menjadi perubahan yang terlihat dan ditinjau pada berkas yang harus disentuh setiap orang yang membangun jalur pembayaran, bukan sesuatu yang bisa dilakukan diam-diam oleh sebuah bug.

Dinyatakan sejelas mungkin: sebuah permintaan catatan yang diajukan kepada kami menghasilkan sebuah tingkatan dan sebuah tanggal dibayar-sampai-kapan. Permintaan yang sama yang diajukan kepada pemroses pembayaran menghasilkan seseorang dan sebuah kartu. Itu disengaja. Itulah pertukarannya karena membayar di web alih-alih lewat Apple atau Google, dan itu juga alasan kami lebih memilih data ini disimpan oleh perusahaan yang memang dibangun untuk menyimpannya daripada disimpan oleh kami juga.

Membatalkan langganan toko aplikasi dilakukan di pengaturan toko itu sendiri: Pengaturan → Apple ID → Langganan di platform Apple, atau layar Langganan di aplikasi Google Play Store di Android. Langganan kartu dibatalkan lewat portal pelanggan milik pemroses itu sendiri, yang mengautentikasi Anda dengan email yang dipegangnya — bukan oleh kami, karena kami tidak memegang satu pun. Pembayaran kripto membeli masa berlaku tetap dan cukup kedaluwarsa dengan sendirinya; tidak ada yang perlu dibatalkan.

Jika Anda kehilangan nomor akun setelah pembelian di web, dukungan bisa meminta pemroses mengembalikan dana Anda, tetapi tidak bisa memulihkan akses — tidak ada email atau kata sandi di pihak kami untuk membuktikan pembelian itu milik Anda. Pembayaran kripto sama sekali tidak bisa dikembalikan dananya. Kami lebih memilih Anda membaca kedua kalimat itu sebelum membayar daripada sesudahnya.

Apa yang terjadi saat Anda tersambung

Sebuah layanan terpisah menerima tiketnya dan membuka sesinya. Layanan ini melihat alamat tempat Anda tersambung, lokasi yang Anda pilih, dan kunci sesi sekali pakai Anda, dan menyimpan sebuah catatan sesi berisi tingkatan, epoch, kunci sesi tersebut, exit-nya, alamat tunnel Anda, waktu kedaluwarsa, dan jatah byte. Catatan ini menghapus dirinya sendiri saat sesinya berakhir. Alamat sumber Anda tidak pernah ditulis ke dalamnya.

Layanan ini sama sekali tidak memiliki pengikatan basis data. Layanan ini tidak punya cara untuk menjangkau sebuah akun atau perangkat, sehingga sebuah bug pada jalur koneksi tidak bisa menuliskan identitas Anda ke dalam catatan sesi — tidak ada apa pun untuk menuliskannya. Sebuah pekerjaan build bernama the privacy seam holds menggagalkan proses build jika pengikatan itu pernah ditambahkan. Ini adalah satu-satunya properti privasi di sini yang tidak bergantung pada perilaku baik kami.

Sebelum tersambung, aplikasi memerlukan alamat server kami sendiri. Aplikasi menanyakannya lebih dulu ke DNS jaringan Anda. Jika itu gagal, lambat menjawab atau memberi jawaban yang salah, pernah begitu sebelumnya di jaringan yang sama, atau server kami tidak dapat dijangkau pada alamat yang diberikannya, aplikasi dapat juga bertanya, berdampingan dengannya dan bukan sebagai pengganti, ke Cloudflare (1.1.1.1), Google (8.8.8.8) atau Quad9 (9.9.9.9) melalui DNS terenkripsi, hanya untuk alamat server kami sendiri dan tidak pernah untuk situs yang Anda kunjungi. Masing-masing operator ini memiliki alamat publik lain yang dapat dipakai aplikasi. Pada jaringan yang DNS-nya menjawab dengan cepat dan benar serta server kami dapat dijangkau pada alamat tersebut, tidak ada satu pun dari mereka yang ditanya. Setiap penyedia yang ditanya mengetahui alamat IP asal pertanyaan itu, waktunya, dan bahwa perangkat ini mencari salah satu nama server kami — tidak ada yang lain: bukan nomor akun, bukan kredensial sesi, bukan apa pun yang Anda jelajahi. Kami tidak mengirimkan apa pun kepada mereka selain pencarian itu, dan masing-masing menerapkan kebijakan privasinya sendiri pada apa yang diterimanya. Jika suatu hari kami mengizinkan aplikasi bertanya ke penyedia DNS lain, kami akan menyebutkannya di sini sebelum aplikasi melakukannya.

Membawa koneksi Anda lewat CDN

Di beberapa jaringan, server kami sendiri diblokir atau diperlambat berdasarkan alamat atau nama. Saat itu terjadi, aplikasi bisa secara otomatis memakai content delivery network (CDN) alih-alih tersambung langsung ke kami. Ada dua rute seperti itu: pada paket Pro dan Premium, aplikasi bisa merelai tunnel terenkripsi Anda lewat CDN alih-alih tersambung langsung ke server kami; dan untuk permintaannya sendiri ke layanan kontrol kami, seperti daftar server bertanda tangan dan tiket sesi, aplikasi juga bisa memakai CDN. Hari ini Bunny.net bisa membawa kedua rute, sedangkan Gcore hanya bisa membawa permintaan aplikasi sendiri ke layanan kontrol kami, bukan tunnel; Fastly sudah disiapkan dengan cara yang sama dan mungkin membawa lalu lintas ini di masa depan. Ini otomatis dan hanya digunakan saat koneksi Anda membutuhkannya. Ini tidak pernah mengubah apa yang kami kumpulkan tentang Anda: CDN hanya merelai byte, dengan cara yang sama seperti merelai lalu lintas situs web biasa mana pun, dan tidak bisa membaca nomor akun atau kredensial sesi Anda.

Sebuah CDN yang merelai koneksi Anda diatur untuk mencapai satu server kami tertentu — server keluar untuk tunnel, server relai untuk permintaan ke layanan kontrol kami — dan selama koneksi Anda melewatinya, CDN memang melihat alamat IP tempat Anda tersambung, nama host titik relai kami, waktu dan pola waktu lalu lintas Anda, dan pembacaan kasar atas koneksinya — perkiraan lokasi Anda dan sidik jari cara perangkat Anda membuat koneksi TLS, jenis sinyal yang bisa dihitung oleh relai HTTPS mana pun — sama seperti saat merelai situs web terenkripsi lain mana pun. CDN tidak melihat apa yang ada di dalamnya: WireGuard mengenkripsi tunnel ujung ke ujung antara perangkat Anda dan server keluar kami, permintaan ke layanan kontrol kami dienkripsi antara aplikasi dan server relai kami, dan CDN membawa keduanya tanpa membukanya, sehingga tidak pernah tahu layanan kami mana yang dituju sebuah permintaan. Server kami sendiri membuang pembacaan kasar itu begitu tiba dan tidak pernah menyimpannya; yang berbeda per penyedia, di bawah ini, adalah apakah CDN itu sendiri menyimpan catatan yang menghubungkan alamat IP Anda dengan server tempat Anda direlai.

• Bunny.net membawa lalu lintas ini hari ini. Kami mematikan pencatatan permintaannya di zona kami, sehingga Bunny tidak menyimpan catatan yang menghubungkan alamat IP Anda dengan server yang Anda tuju.
• Gcore hanya bisa membawa permintaan aplikasi sendiri ke layanan kontrol kami, bukan tunnel, dan tidak akan membawa tunnel kecuali kami menyatakannya lebih dulu di sini. Berbeda dari Bunny, pencatatan Gcore tidak bisa dimatikan di akun kami: ia menyimpan alamat IP tempat Anda tersambung, nama host yang dituju permintaan, dan waktunya selama 3 hari, dan bisa dibaca oleh siapa pun yang memegang token di akun tersebut. Gcore juga meneruskan alamat IP Anda ke server kami dalam sebuah header permintaan; server kami membuangnya begitu tiba dan tidak pernah menyimpannya. Kami mengungkapkan ini alih-alih menyembunyikannya, dan kami akan berhenti mengandalkan Gcore untuk ini, atau mematikannya, pada hari Gcore mengizinkan kami melakukannya.
• Fastly belum membawa lalu lintas kami sama sekali. Jika mulai melakukannya, kami akan menjelaskan di sini apa yang bisa dilihatnya, sama seperti untuk dua penyedia lainnya, sebelum ia membawa apa pun.

Tidak satu pun dari ketiganya bisa membaca nomor akun Anda atau kredensial masuk, dan tidak satu pun diberi cara untuk menghubungkan koneksi yang direlainya kembali ke siapa Anda di pihak kami. Untuk memutuskan apakah sebuah jaringan membutuhkan CDN, aplikasi menyimpan sebuah catatan kecil di perangkat Anda untuk setiap jaringan yang pernah disambunginya, disimpan di bawah nama yang di-hash untuk jaringan tersebut: apakah CDN dibutuhkan di sana, hari terakhir aplikasi mempelajarinya, dan nama-nama lokasi publik yang berhasil. Catatan ini tidak pernah menyimpan alamat, server, atau nama jaringan dalam bentuk polos, dan tidak disertakan dalam laporan diagnostik apa pun yang Anda kirim kepada kami. Aplikasi hanya menghubungi CDN di jaringan tempat koneksi langsung ke server kami sudah gagal, sekarang atau dalam satu hari terakhir. Agar rute Premium tetap terjangkau, kami menghitung per perangkat dan per bulan kalender berapa byte yang melewatinya. Kami tidak pernah mencatat server mana, kapan, atau dari mana.

Server keluar

Server keluar melakukan boot dari memori. Tidak ada disk untuk ditulisi, statusnya dihapus di setiap reboot, dan tidak ada jalur kode pencatatan dalam perangkat lunak yang menjalankannya.

Selama sebuah sesi berlangsung, sebuah exit tentu saja menangani alamat tempat Anda tersambung — ia mengakhiri tunnel-nya — beserta sebuah kunci sesi yang tidak akan pernah dilihatnya lagi dan lalu lintasnya sendiri. Ia tidak mencatat satu pun dari itu. Yang dilaporkannya kembali bersifat agregat, tertunda, dan dibulatkan: byte per peer per periode, tidak pernah per koneksi atau per tujuan.

Untuk menjaga server tetap bisa di-hosting, sebuah exit bisa membatasi laju atau menolak pola lalu lintas yang bersifat penyalahgunaan secara lokal, hanya menggunakan apa yang ada di memori server itu dan berdasarkan jaringan asal lalu lintasnya, tidak pernah berdasarkan pelanggan. Tidak ada catatan penyalahgunaan yang bertahan lebih lama dari sebuah sesi, karena menyimpannya berarti harus menghubungkan sebuah sesi ke seseorang.

Berbagi perangkat atau exit

Jika Anda mengundang seseorang untuk menggunakan salah satu exit Anda, orang tersebut akan online melalui koneksi Anda seperti halnya tamu mana pun di jaringan Anda: situs web, game, dan penyedia internet Anda akan melihat lalu lintas datanya seolah berasal dari koneksi Anda, dan Anda akan tampak bagi mereka sebagai orang yang menggunakannya. Jika Anda mengundang seseorang untuk menjangkau satu perangkat saja, orang itu hanya bisa menjangkau perangkat tersebut dan tidak ada yang lain di jaringan Anda.

Lalu lintas antar-perangkat Anda, dan lalu lintas tamu melalui sebuah berbagi, dienkripsi ujung ke ujung. Saat koneksi langsung tidak memungkinkan, lalu lintas melewati relai ForestVPN yang tidak bisa membacanya dan tidak menyimpan catatan perangkat mana yang saling berkomunikasi. Pada jaringan yang memblokir kami, lalu lintas juga bisa melewati jaringan distribusi konten, yang hanya melihat bahwa data terenkripsi sedang mengalir, sama seperti lalu lintas ForestVPN lainnya (lihat “Membawa koneksi Anda melalui CDN” di atas).

Tidak ada catatan tentang siapa melakukan apa. ForestVPN tidak menyimpan log tentang apa yang dilakukan tamu melalui sebuah berbagi, sehingga baik host maupun kami tidak dapat menunjukkan siapa yang melakukan sesuatu.

Sebuah berbagi disimpan sebagai dua identitas mesh acak dan sedikit status — untuk siapa, apa yang diizinkan, dan kapan berakhir — bukan sebagai catatan penggunaan. Mengakhiri sebuah berbagi akan menghapusnya setelah 30 hari. Penyedia hosting kami, Cloudflare, masih dapat memulihkannya hingga 30 hari lagi setelah itu, untuk keperluan pemulihan bencananya sendiri.

Analitik

Kami menyimpan penghitung operasional: berapa banyak kredensial diterbitkan dan ditolak, hasil dan waktu koneksi, total byte, dan agregat per server, penghitungan harian perangkat baru, akun baru, pelanggan berbayar, dan perubahan langganan, serta penghitung asisten dukungan (topik, titik masuk, apakah diagnostik dibagikan, apakah jawaban membantu), yang tidak satu pun membawa perangkat, akun, atau teks apa pun. Semua itu ditulis ke penyimpanan analitik yang tidak dibaca kembali oleh apa pun di jalur permintaan.

Dua hal tentangnya perlu dinyatakan secara terus terang.

• Baris tentang penerbitan dan penyelesaian kredensial membawa tanda per perangkat yang bersifat pseudonim — sebuah hash berkunci dari hash kunci perangkat Anda, bukan hash-nya sendiri — beserta kode negara dan nomor operator jaringan. Itu adalah data pribadi berdasarkan GDPR, bukan data yang sepenuhnya tanpa identitas.
• Masa penyimpanannya 90 hari dan tidak bisa diubah, dan tidak ada API penghapusan. Kami tidak bisa menghapus baris analitik seseorang atas permintaan; kami hanya bisa menunggu baris itu kedaluwarsa. Merotasi kunci yang membuat tanda tersebut membuat baris-baris baru tanpa pemilik dari baris-baris lama; ini tidak menghapus yang lama, dan tidak menarik kembali korelasi yang dibuat selama kunci lama masih digunakan.

Tidak ada baris yang membawa subjek dan server keluar secara bersamaan. Kumpulan data yang membawa tanda perangkat tidak membawa server, dan kumpulan data yang membawa server tidak membawa subjek. Laporan rute adalah agregat tanpa tanda perangkat, dan hanya dipublikasikan ke dasbor kami untuk hari dengan setidaknya 10 perangkat.

Situs web ini sama sekali tidak menjalankan analitik. Ia memasang satu cookie fungsional (fvpn_locale) yang mengingat bahasa Anda selama satu tahun dan tidak melakukan hal lain. Ia tidak memuat skrip pihak ketiga, tidak menyematkan apa pun, dan menghosting sendiri fontnya.

Siapa lagi yang memprosesnya

Masing-masing bertindak atas instruksi kami, berdasarkan kontrak, dan terikat untuk melindungi data setidaknya sesuai standar yang dinyatakan di sini. Resolver DNS publik adalah pengecualian: mereka bertindak berdasarkan kebijakan privasinya sendiri, bukan kebijakan kami.

Cloudflare

Menghosting layanan kontrol, basis datanya, dan situs web ini, mengakhiri TLS untuk domain kami, dan menyimpan laporan diagnostik yang bisa Anda pilih untuk kirimkan kepada kami, dalam sebuah bucket yang hanya berkunci pada kode dukungan Anda dan terpisah dari catatan perangkat mana pun. Karena TLS berakhir di sana, Cloudflare berada pada posisi bisa melihat metadata permintaan ke hostname kami terlepas dari apa yang dicatat kode kami sendiri. Ini adalah batasan nyata dan kami lebih memilih menyatakannya daripada menyiratkan seolah tidak ada.

Nebius

Menjalankan model bahasa di balik asisten dukungan, di UE, berdasarkan kontrak dengan penyimpanan data nol — ia tidak menyimpan percakapan Anda setelah menjawab dan tidak melatih modelnya dengan itu. Ia tidak pernah menerima nomor akun Anda, alamat IP Anda, atau server mana yang Anda sambungkan. Lihat asisten dukungan.

Apple

Menjual dan menagih setiap langganan yang dibeli di aplikasi, dan memberi tahu kami bahwa sebuah langganan ada. Apple memiliki kebijakan privasinya sendiri dan hubungannya sendiri dengan Anda. Kami menerima struk bertanda tangan dan token turunan perangkat, tidak pernah nomor kartu, nama, atau email.

Google

Menjual dan menagih setiap langganan yang dibeli di aplikasi Android, dan memberi tahu kami bahwa sebuah langganan ada. Google memiliki kebijakan privasinya sendiri dan hubungannya sendiri dengan Anda. Aplikasi meneruskan token pembelian dan id produk kepada kami, beserta token turunan perangkat yang melekat pada pembelian sebagai obfuscated account id milik Google Play; kami memverifikasi semuanya langsung terhadap server Google sendiri, dan Google secara terpisah mengirimkan kami Real-Time Developer Notification saat sebuah langganan berubah — tidak pernah nomor kartu, nama, atau email.

Stripe

Memproses pembayaran kartu untuk langganan yang dibeli di web, dan menjalankan portal pelanggan tempat langganan kartu dikelola dan dibatalkan. Stripe memegang nama pembeli, email, alamat penagihan, dan detail kartu — tidak satu pun mencapai kami.

CloudPayments

Pemroses kartu alternatif untuk pembelian di web, ditawarkan di tempat ia melayani pembeli lebih baik daripada Stripe. Batasan yang sama: ia memegang identitas pembayaran, kami memegang baris langganan tanpa nama yang tertaut padanya.

NOWPayments

Memproses pembayaran mata uang kripto untuk pembelian di web. Ini adalah metode pembayaran yang bahkan pemrosesnya memegang paling sedikit informasi tentang Anda — tanpa kartu, tanpa rekening bank — dan, berbeda dari yang lain, pembayaran kripto tidak bisa dikembalikan dananya. Lihat membayar dengan kartu atau kripto.

Penyedia server

Perusahaan-perusahaan yang menghosting server keluar kami. Mereka bisa melihat volume lalu lintas di tepi jaringan mereka sendiri, sebagaimana bisa dilakukan host mana pun. Mereka tidak memiliki akses ke memori server atau ke lalu lintas Anda.

Bunny.net

Merelai tunnel terenkripsi dari koneksi Pro atau Premium, serta permintaan terenkripsi aplikasi sendiri ke layanan kontrol kami, saat sebuah jaringan memblokir server kami sendiri, dan hanya pada saat itu. Selama merelai, ia melihat alamat IP tempat Anda tersambung, nama host titik relai kami, dan waktu lalu lintasnya, tidak pernah apa yang ada di dalamnya, layanan kami mana yang dituju, akun Anda, atau kunci perangkat Anda. Pencatatan permintaannya dimatikan di zona kami. Lihat membawa koneksi Anda lewat CDN.

Gcore

Hanya bisa merelai permintaan terenkripsi aplikasi sendiri ke layanan kontrol kami, bukan tunnel, saat sebuah jaringan memblokir server kami sendiri, dan hanya pada saat itu. Selama merelai, ia melihat alamat IP tempat Anda tersambung, nama host titik relai kami, dan waktu lalu lintasnya, tidak pernah apa yang ada di dalamnya, layanan kami mana yang dituju, akun Anda, atau kunci perangkat Anda. Berbeda dari Bunny.net, pencatatannya tidak bisa dimatikan di akun kami: ia menyimpan alamat IP tempat Anda tersambung, nama host yang dituju permintaan, dan waktunya selama 3 hari. Lihat membawa koneksi Anda lewat CDN.

AWS

Mencerminkan daftar server bertanda tangan, sehingga perangkat yang tidak bisa menjangkau domain kami sendiri tetap bisa mengambil satu. Saat sebuah perangkat beralih ke cermin ini, AWS melihat alamat IP tempatnya tersambung dan waktu pengambilan itu — tidak pernah akun Anda, kunci perangkat Anda, atau server mana yang akan Anda gunakan selanjutnya.

Resolver DNS publik

Cloudflare, Google, dan Quad9 menjalankan resolver DNS publik yang dapat ditanya aplikasi, melalui DNS terenkripsi, tentang alamat server kami sendiri saat DNS jaringan Anda gagal, lambat, memberi jawaban yang salah, atau server kami tidak dapat dijangkau pada alamat yang diberikannya. Mereka bukan pemroses kami: masing-masing bertindak berdasarkan kebijakan privasinya sendiri, bukan kebijakan kami, dan mengetahui alamat IP Anda, waktu, serta nama server yang dicari, tidak pernah akun Anda atau apa yang Anda jelajahi. Lihat Apa yang terjadi saat Anda tersambung.

Masa penyimpanan

Masa penyimpanan tercantum per catatan pada tabel di atas. Ringkasnya: catatan sesi bertahan hanya selama sesinya berlangsung; pengikatan tiket — satu-satunya catatan dengan perangkat dan sesi pada baris yang sama — dihapus satu jam setelah penyelesaian atau pada waktu kedaluwarsa tiketnya sendiri, tidak pernah lebih dari sekitar 17 hari; kode dukungan dan laporan diagnostik bertahan 72 jam; penggunaan harian berguling habis setelah 31 hari; analitik kedaluwarsa pada 90 hari dan tidak bisa dihapus lebih awal; baris perangkat, baris akun, catatan langganan dan penagihan, total byte bulanan, dan buku catatan keputusan disimpan selamanya, karena sengketa langganan atau jatah yang ditolak harus bisa dijelaskan di kemudian hari. Ini adalah masa penyimpanan untuk apa yang kami simpan — struk pembelian di web, korespondensi sengketa, dan catatan kartu berada di pemroses dan mengikuti kebijakan masa penyimpanannya sendiri, bukan yang ini.

Penghapusan, dan apa yang benar-benar bisa dijangkau sebuah permintaan

Kirim email ke support@fvpn.net dengan kode dukungan dari aplikasi — Akun → Dapatkan bantuan di platform Apple; di Android, ketuk status koneksi di bagian atas aplikasi, lalu Kesehatan → Laporkan masalah → Dapatkan kode dukungan di ponsel atau tablet, atau Detail koneksi → Laporkan masalah → Dapatkan kode dukungan di Android TV. Kode ini adalah satu-satunya cara kami bisa mengetahui catatan perangkat mana yang milik Anda: kami tidak punya alamat email, nama pengguna, atau nama akun untuk mengautentikasi Anda. Tanpa kode itu kami tidak bisa bertindak atas permintaan tentang perangkat tertentu.

Secara tepat, inilah yang bisa dijangkau permintaan itu hari ini:

• Baris penggunaan harian bisa dihapus, dan kedaluwarsa setelah 31 hari bagaimanapun juga.
• Sebuah perangkat dapat dilepas tanpa menghapus akun. Perangkat dapat keluar sendiri dari halaman Akun di aplikasi, dan perangkat lain di akun itu dapat menghapusnya, di aplikasi atau di konsol fvpn.net; perangkat itu tetap berfungsi di paket Free. Satu akun menampung hingga sepuluh perangkat, perangkat yang bergabung dalam 7 hari terakhir tidak bisa menghapus perangkat yang lebih lama, dan router dapat keluar sendiri tetapi tidak bisa menghapus perangkat lain. Penghapusan seluruh akun adalah hal terpisah, di bawah ini.
• Penghapusan akun dalam aplikasi tersedia: Akun → Hapus akun. Ini permanen — menghapus akunnya, mengembalikan setiap perangkat yang tertaut kepadanya menjadi tidak tertaut ke akun mana pun (masing-masing tetap memiliki apa pun yang dibelinya sendiri secara terpisah), dan tidak bisa membatalkan langganan yang dimiliki akun tersebut, yang terus ditagih oleh toko — Apple atau Google — sampai Anda membatalkannya sendiri di pengaturan langganan toko itu. Ini meminta nomor lengkap akun tersebut alih-alih mempercayai bahwa Anda sedang masuk di sebuah perangkat, karena setiap perangkat di sebuah akun memiliki wewenang yang sama, dan satu perangkat sebaiknya tidak bisa menghancurkannya atas nama yang lain. Ini hanya menghapus sebuah akun: sebuah perangkat tanpa akun yang tertaut tidak punya apa pun di sini untuk dihapus.
• Baris analitik sama sekali tidak bisa dihapus dan kedaluwarsa pada 90 hari.
• Total byte bulanan, catatan penagihan, dan buku catatan keputusan disimpan. Buku catatan itu memang sengaja dibuat tambah-saja (append-only): sebuah catatan yang bisa diam-diam diubah tidak bisa menyelesaikan sebuah sengketa.

Anda bisa menghentikan semua pengumpulan data kapan saja dengan menghapus aplikasinya dan tidak tersambung. Perhatikan bahwa ini tidak menghapus catatan-catatan di atas, dan bahwa kunci mesin tetap ada setelah penghapusan di platform Apple — lihat yang tersimpan di perangkat Anda.

Jika Anda berada di UE, Inggris, atau California, Anda memiliki hak untuk mengakses, mengoreksi, menghapus, dan memindahkan data pribadi yang kami simpan tentang Anda. Hash kunci perangkat adalah data pribadi yang bersifat pseudonim, bukan data yang sepenuhnya tanpa identitas, dan kami memperlakukannya seperti itu. Jika kami tidak bisa memenuhi sebuah permintaan — kasus-kasus di atas — kami akan menyatakan yang mana yang berlaku dan alasannya, alih-alih mengklaim bahwa kami tidak bisa mengidentifikasi Anda.

Apa yang tidak dilindungi oleh ini

Satu catatan menghubungkan perangkat Anda dengan sebuah sesi, dan melalui perangkat itu dengan akun Anda jika Anda menautkan satu. Itulah pengikatan tiket yang dijelaskan di akun dan langganan: catatan ini ada agar jatah bisa diukur dan perangkat yang dicabut bisa diputus di tengah sesi, dan dihapus satu jam setelah sesi itu selesai. Tidak ada apa pun di mana pun yang menghubungkan salah satu dari keduanya dengan sebuah exit. Kami menyatakannya dengan cara itu alih-alih mengklaim pemisahan yang tidak kami miliki — dan berikut batasan-batasan lain, dengan alasan yang sama:

• Layanan yang menerbitkan kredensial dan exit yang membawa lalu lintas Anda masing-masing melihat kunci sesi Anda pada momen yang berbeda. Pihak-pihak yang dipaksa bekerja sama, atau yang berkolusi, bisa menggunakan itu untuk menyatukan kembali sebuah sesi ujung ke ujung. Kami tidak menyimpan catatan yang bisa melakukannya, dan tidak satu pun dari mereka yang bisa melakukannya sendirian.
• Jika Anda menggunakan halaman perangkat untuk mengirim sebuah router ke exit yang berbeda, lokasi yang Anda pilih disimpan terhadap perangkat itu — dan jika perangkat itu tertaut ke sebuah akun, terhadap akun Anda — sampai Anda memilih yang lain. Itu adalah apa yang Anda minta, bukan apa yang kami amati: konfirmasi dari perangkat itu adalah sebuah angka yang digemakan kembali, bukan sebuah tempat.
• TLS untuk domain kami berakhir di Cloudflare, sehingga metadata tentang permintaan ke hostname kami ada di sana terlepas dari kode kami sendiri.
• Hash kunci perangkat Anda bersifat stabil, dan baris analitik pseudonim yang berkunci padanya bertahan selama 90 hari.
• Kumpulan orang yang tidak bisa dibedakan dari Anda adalah setiap orang yang memegang tiket yang ditandatangani oleh kunci tingkatan yang sama pada dua-mingguan yang sama — bukan "semua pengguna kami". Saat peluncuran, kumpulan itu kecil. Kami lebih memilih mengatakan itu daripada menggambarkan kondisi identitas yang sepenuhnya tersembunyi, yang belum kami miliki.

Sebuah VPN memindahkan siapa yang bisa melihat lalu lintas Anda. Ini tidak membuat identitas Anda sepenuhnya tersembunyi, dan yang ini tidak mengklaim demikian.

Anak-anak, perubahan, dan kontak

Layanan ini tidak ditujukan untuk anak-anak di bawah 13 tahun, dan kami tidak dengan sengaja mengumpulkan data dari mereka. Kami tidak punya cara untuk mengetahui usia seorang pengguna, karena kami tidak mengumpulkan apa pun yang bisa memberitahukannya kepada kami.

Jika kebijakan ini berubah secara material, kami akan mengubah tanggal di bagian atas, menjelaskan apa yang berubah di sini, dan menampilkan sebuah pemberitahuan di aplikasi yang mendukungnya. Karena tidak ada alamat email yang tercatat, kami tidak bisa memberi tahu Anda lewat surat.

11 October 2026: Kami menambahkan bagian tentang berbagi perangkat atau exit dengan orang lain: bagaimana lalu lintas tamu terlihat, apa yang bisa dan tidak bisa dilihat relai kami, dan apa yang disimpan tentang sebuah berbagi. Lihat berbagi perangkat atau exit.

4 Oktober 2026: Saat DNS jaringan Anda gagal, lambat menjawab, memberi jawaban yang salah, atau server kami tidak dapat dijangkau pada alamat yang diberikannya, aplikasi dapat juga bertanya ke Cloudflare, Google atau Quad9 melalui DNS terenkripsi untuk alamat server kami sendiri; setiap pihak yang ditanya mengetahui alamat IP Anda, waktunya, dan bahwa perangkat mencari salah satu nama server kami, dan tidak ada yang lain. Lihat Apa yang terjadi saat Anda tersambung.

4 Oktober 2026: Gcore (gcore.com) kini bergabung dengan Bunny.net (bunny.net) sebagai CDN, dan sebuah CDN kini juga bisa merelai permintaan aplikasi sendiri ke layanan kontrol kami, tidak hanya tunnel; Gcore hanya bisa merelai permintaan itu, bukan tunnel. CDN di salah satu rute bisa melihat alamat IP Anda, nama host titik relai kami, dan waktunya, tidak pernah isinya atau layanan kami mana yang dituju. Gcore menyimpan alamat IP Anda, nama host yang dituju permintaan, dan waktunya selama 3 hari; pencatatan Bunny dimatikan di zona kami. Lihat membawa koneksi Anda lewat CDN.

10 Oktober 2026: Aplikasi kini dapat mengirim laporan rute — diagnostik jaringan anonim dan agregat, tidak tertaut ke identitas atau akun Anda. Kami menambahkannya ke apa yang disimpan layanan kontrol kami dan memperbaiki penjelasan kami tentang manifes privasi Apple.

Pertanyaan, permintaan, atau keluhan: support@fvpn.net. Pengendali datanya adalah Digital Services LLC.