Política de privacidade

A Digital Services LLC opera o ForestVPN. Esta política cobre os apps do ForestVPN para iPhone, iPad, Mac e Apple TV, para celulares e tablets Android, e para Android TV, os apps de desktop para Windows e Linux, o cliente de linha de comando para Linux e o app para roteador, os servidores que transportam seu tráfego, e este site.

Nosso compromisso

O ForestVPN não vende, usa nem divulga a terceiros os dados descritos nesta política, para nenhuma finalidade, exceto quando estritamente necessário para operar o serviço — ou seja, a Apple ou o Google para pagamento, e os provedores de infraestrutura listados abaixo, cada um atuando exclusivamente como operador sob nossas instruções e sob contrato. Não fazemos publicidade, não criamos perfis sobre você, e não compartilhamos nada com corretores de dados, fornecedores de análises ou redes de atribuição. Não há nenhum deles no app. Uma exceção não é nosso operador: quando o DNS da sua rede falha ou não é possível alcançar os nossos servidores nos endereços que ele deu, o app pode perguntar a um resolvedor DNS público (Cloudflare, Google ou Quad9) pelo endereço dos nossos próprios servidores, e esse resolvedor vê o seu endereço IP sob a própria política de privacidade. Veja O que acontece quando você se conecta.

O app não contém nenhum SDK de análises, nenhum SDK de atribuição e nenhum identificador de publicidade, em nenhuma plataforma. Nas plataformas Apple, isso é declarado no manifesto de privacidade do app, que declara nenhum rastreamento e nenhum domínio de rastreamento. Ele declara dez tipos de dados. Nove são marcados como vinculados à sua identidade: um identificador de usuário, um identificador de dispositivo (um pseudônimo que se junta à sua conta sempre que você associa uma), o histórico de compras, a localização aproximada, conteúdo de suporte ao cliente, outros conteúdos do usuário, dados de diagnóstico, dados de desempenho e outros dados de uso. Um, a interação com o produto, não é vinculado: o assistente de suporte conta de qual tela foi aberto, se você escolheu compartilhar diagnósticos e se a resposta resolveu o problema, sem nenhuma etiqueta de dispositivo ou de conta. O formulário da Apple aceita uma única resposta por tipo de dado; por isso os dados de diagnóstico e a localização aproximada são marcados como vinculados, já que o relatório que você escolhe enviar e os contadores de emissão de credenciais o são, mesmo que os relatórios de rota não sejam. Nove tipos são usados para a funcionalidade do app, e oito também para os nossos próprios contadores operacionais descritos em análises. No Android, o app nunca solicita o ID de publicidade e não adiciona nenhum SDK próprio de análises, atribuição ou relatório de falhas. A única biblioteca de terceiros que se comunica com o Google é a Google Play Billing Library, exigida pelo Google para compras no app e que opera sob a própria política de privacidade do Google.

O que nunca temos

• Sua navegação. Não existe nenhum campo em lugar nenhum dos nossos sistemas para os sites que você visita, os nomes que você consulta ou os endereços aos quais você se conecta. Não é um período de retenção curto — essa coluna simplesmente não existe.
• Sua identidade. Não há endereço de e-mail, não há senha, não há número de telefone e não há nome. Uma conta, se você criar uma, é um número aleatório de 128 bits. A tabela de contas não tem nenhum campo de contato de nenhum tipo.
• Seu cartão. O pagamento acontece na Apple ou no Google, ou — se você comprar na web — no processador que escolher: Stripe, CloudPayments ou NOWPayments. A Apple nos dá um recibo assinado e um token derivado do dispositivo; para uma compra no Google Play, verificamos o token de compra que o app nos encaminha — junto com um token derivado do dispositivo anexado à compra — diretamente com os próprios servidores do Google, nunca confiando apenas na palavra do app. Uma compra na web nos dá um número de referência único que geramos nós mesmos, nunca o seu cartão. De qualquer forma, nunca vemos um número de cartão, e para um pagamento em cripto o processador é a única parte que vê qualquer coisa. Veja pagando com cartão ou cripto.
• Permissões extras no Android. O app pede duas coisas em tempo de execução: a própria caixa de diálogo de consentimento de conexão VPN do sistema, e, no Android 13 e posterior, permissão para mostrar notificações — pedida uma única vez, na primeira vez que você se conecta, nunca na abertura a frio — cobrindo o status contínuo da conexão, avisos quando sua franquia de dados está acabando ou termina, e problemas de conexão. Ele não pede sua localização nem seus contatos. Duas outras permissões que ele declara ficam inteiramente no dispositivo e nunca são enviadas para nós: a leitura da lista de apps instalados, para a tela de split tunneling que exclui apps escolhidos do túnel, e o prompt de impressão digital, rosto ou bloqueio de tela do sistema, para controlar a exibição do seu próprio número de conta na tela.

O que vive no seu dispositivo

Uma chave de máquina

Na primeira abertura, o app gera um par de chaves que permanece no dispositivo: no chaveiro do sistema, nas plataformas Apple; no Android, no armazenamento privado do app, criptografado com uma chave mantida no Android Keystore. Ele é marcado para nunca sair daquele dispositivo — não vai para seus outros dispositivos, não vai para o iCloud, e no Android também não entra em nenhum backup ou cópia de transferência de dispositivo. Não é um identificador de publicidade e não é compartilhado com ninguém. Armazenamos um hash da sua metade pública, que é como um dispositivo é reconhecido entre as aberturas do app.

Nas plataformas Apple, ela é permanente. Nunca é rotacionada, e sobrevive à exclusão do app. Reinstalar ali não te dá uma nova identidade — o app reinstalado apresenta a mesma chave e é reconhecido como o mesmo dispositivo. Isso é proposital: é o que impede que um único dispositivo reivindique um número ilimitado de franquias gratuitas, e significa que desinstalar não é um reset ali, o que você deveria saber antes de instalar. No Android, a chave não sobrevive à desinstalação do app ou à limpeza do seu armazenamento. Uma reinstalação gera uma nova chave e é registrada como um novo dispositivo, e o registro do dispositivo antigo fica do nosso lado, órfão, sob a retenção estabelecida na tabela abaixo. O app também substitui sua chave uma vez, no lugar, se nossos servidores alguma vez relatarem que a antiga é desconhecida.

Uma chave de sessão

Cada tíquete carrega sua própria chave de sessão, gerada no dispositivo quando o tíquete é emitido, antes de qualquer tentativa de conexão. Ela é mantida, criptografada, no próprio armazenamento local da plataforma — o chaveiro do sistema nas plataformas Apple, o armazenamento privado do app no Android — até que o tíquete seja usado ou expire, e um tíquete reserva gerado para a mesma conexão pode compartilhar a chave daquele que ele apoia. Ela nunca sai do dispositivo, exceto como sua metade pública.

Contas, assinaturas e franquias

Um serviço emite credenciais de conexão e mantém os registros de que uma assinatura precisa. Ele mantém:

A linha do vínculo do tíquete acima é a única exceção, e ela é declarada aqui em vez de omitida da tabela: enquanto existe, ela nomeia tanto o seu dispositivo quanto a sessão à qual ele pertence, o que é o que permite que uma sessão liquidada seja debitada da sua franquia e que um dispositivo revogado seja cortado no meio da sessão. Ela é excluída automaticamente, não por solicitação — uma hora depois que a sessão que ela nomeia se liquida, ou quando o próprio tíquete expira sem uso, o que vier primeiro. Nenhum desses registros, incluindo esse, contém um servidor de saída, o endereço a partir do qual você se conectou, ou para onde você foi: o serviço emissor nunca aprende nada disso. Eles existem apenas no serviço separado descrito em [o que acontece quando você se conecta](#session), que não tem como consultar quem você é. A linha do relatório de diagnóstico acima também é mantida em um terceiro serviço, separado — um upload não assinado que o serviço emissor nunca vê e não consegue associar a um dispositivo.

A própria credencial

Para se conectar, seu dispositivo pede um tíquete a este serviço. O tíquete é assinado às cegas: a assinatura é produzida sobre um valor que nunca vemos, então o tíquete que você apresenta no momento da conexão não pode ser reconhecido como o que foi emitido para você. Ele carrega exatamente dois fatos — qual plano o assinou e a chave de qual quinzena foi usada — e nada mais. O serviço emissor nunca aprende uma localização, uma saída, uma sessão, ou se um túnel chegou a subir.

Pagando com cartão ou cripto

A Apple ou o Google cobra toda assinatura comprada no app, e nunca vemos um número de cartão. Nas plataformas Apple, a Apple nos envia um recibo assinado e um token derivado do dispositivo. No Android, antes do checkout, nossos servidores dão ao app um token derivado da chave do dispositivo; o app o anexa à compra como o id de conta ofuscado do Google Play, e o Google o retorna sempre que verificamos a compra, para que a assinatura possa ser associada ao dispositivo que a comprou — ele não carrega nome, e-mail ou cartão. O app também encaminha aos nossos servidores o token de compra e o id do produto que o Google Play lhe entrega, e nossos servidores verificam a compra diretamente com a própria API do Google, em vez de confiar na palavra do app; o Google, separadamente, nos envia uma Real-Time Developer Notification quando uma assinatura muda, o que tratamos como um sinal para reverificar com o Google, nunca como prova por si só. Uma assinatura também pode ser comprada na web, por um processador de cartão — Stripe ou CloudPayments — ou um processador de cripto, NOWPayments, e esse caminho é diferente o suficiente para ser descrito separadamente.

Quando você finaliza a compra na web, geramos nós mesmos um número de referência único e o entregamos ao processador — nunca o seu número de conta. Sob esta política, o número de conta é uma credencial; colocá-lo no painel de um processador de pagamento, em payloads de webhook ou em ferramentas de suporte seria publicar uma senha. A referência expira dentro de uma hora e, sozinha, não abre nada.

O que mantemos de uma compra na web: qual processador a cobrou, o id de assinatura do próprio processador, o plano, a data até quando está pago, e se ela foi cancelada ou revogada. O que nunca recebemos e nunca armazenamos: seu nome, seu e-mail, seu endereço de cobrança, a impressão digital do seu cartão, ou — para um pagamento em cripto — qualquer coisa sobre você. O código que grava uma linha de pagamento não tem nenhum campo que pudesse conter nada disso; adicionar um seria uma mudança visível e revisada em um arquivo que todo mundo que constrói um meio de pagamento precisa tocar, não algo que um bug pudesse fazer silenciosamente.

Dito da forma mais clara possível: um pedido de registros feito a nós produz um plano e uma data até quando está pago. O mesmo pedido feito ao processador de pagamento produz uma pessoa e um cartão. Isso é proposital. É a troca de pagar na web em vez de pela Apple ou pelo Google, e também é por isso que preferimos que esses dados fiquem com uma empresa construída para mantê-los do que fiquem conosco também.

Cancelar uma assinatura da loja de apps acontece nos próprios ajustes da loja: Ajustes → Apple ID → Assinaturas nas plataformas Apple, ou na tela de Assinaturas do app Google Play Store no Android. Uma assinatura via cartão é cancelada pelo próprio portal do cliente do processador, que te autentica pelo e-mail que ele mantém — não por nós, já que não temos nenhum. Um pagamento em cripto compra um período fixo e simplesmente expira; não há nada para cancelar.

Se você perder seu número de conta depois de uma compra na web, o suporte pode pedir ao processador que te reembolse, mas não pode restaurar o acesso — não há e-mail ou senha do nosso lado para provar que a compra era sua. Um pagamento em cripto não pode ser reembolsado de forma alguma. Preferimos que você leia as duas frases antes de pagar do que depois.

O que acontece quando você se conecta

Um serviço separado aceita o tíquete e abre a sessão. Ele vê o endereço a partir do qual você está se conectando, a localização que você escolheu e sua chave de sessão de uso único, e mantém um registro de sessão contendo o plano, a época, essa chave de sessão, a saída, seus endereços de túnel, uma expiração e um orçamento de bytes. O registro se autoexclui quando a sessão expira. Seu endereço de origem nunca é gravado nele.

Este serviço não tem absolutamente nenhuma ligação com banco de dados. Ele não tem nenhum identificador pelo qual uma conta ou um dispositivo pudesse ser alcançado, então um bug no caminho de conexão não consegue gravar sua identidade em um registro de sessão — não há nada com que gravá-la. Uma tarefa de build chamada the privacy seam holds falha o build se essa ligação for adicionada algum dia. Esta é a única propriedade de privacidade aqui que não depende de nós nos comportarmos bem.

Antes de se conectar, o app precisa dos endereços dos nossos próprios servidores. Ele os pede primeiro ao DNS da sua rede. Quando este falha, demora a responder ou devolve uma resposta errada, já fez isso antes na mesma rede, ou não é possível alcançar os nossos servidores nos endereços que ele deu, o app também pode perguntar, ao lado dele e não em seu lugar, à Cloudflare (1.1.1.1), ao Google (8.8.8.8) ou à Quad9 (9.9.9.9) por DNS criptografado, apenas pelos endereços dos nossos próprios servidores e nunca por um site que você visita. Cada um desses operadores tem outros endereços públicos que o app pode usar. Numa rede cujo DNS responde rápido e corretamente e em que os nossos servidores são alcançáveis nesses endereços, nenhum deles é consultado. Cada um que for consultado fica sabendo o endereço IP de onde vem a pergunta, a hora e que este dispositivo procurou o nome de um dos nossos servidores — nada além disso: nem número de conta, nem credencial de sessão, nem nada do que você navega. Não enviamos a eles nada além da consulta, e cada um aplica a própria política de privacidade ao que recebe. Se um dia deixarmos o app consultar outro provedor de DNS, nós o nomearemos aqui antes de o app fazê-lo.

Transportando sua conexão por uma CDN

Em algumas redes, nossos próprios servidores são bloqueados ou desacelerados por endereço ou por nome. Quando isso acontece, o app pode usar automaticamente uma rede de distribuição de conteúdo (CDN) em vez de se conectar diretamente a nós. Existem duas rotas assim: nos planos Pro e Premium, ele pode retransmitir seu túnel criptografado pela CDN em vez de se conectar diretamente ao nosso servidor; e, para as próprias requisições aos nossos serviços de controle, como a lista de servidores assinada e os tickets de sessão, ele também pode usar a CDN. Hoje a Bunny.net pode transportar qualquer uma das duas rotas, enquanto a Gcore só pode transportar as requisições próprias do app aos nossos serviços de controle, não o túnel; a Fastly está configurada da mesma forma e pode transportar esse tráfego no futuro. Isso é automático e usado somente quando sua conexão precisa. Isso nunca muda o que coletamos sobre você: a CDN apenas retransmite bytes, da mesma forma que retransmite o tráfego de qualquer site comum, e não consegue ler seu número de conta nem sua credencial de sessão.

Uma CDN que retransmite sua conexão é configurada para alcançar um servidor nosso específico — um servidor de saída para o túnel, um servidor de retransmissão para as requisições aos nossos serviços de controle — e enquanto sua conexão passa por ela, ela vê o endereço IP a partir do qual você está se conectando, o nome de host do nosso ponto de retransmissão, o horário e o timing do seu tráfego, e uma leitura grosseira da conexão — sua localização aproximada e uma impressão digital de como seu dispositivo faz uma conexão TLS, o tipo de sinal que qualquer relay HTTPS consegue calcular — o mesmo que ela faria ao retransmitir qualquer outro site criptografado. Ela não vê o que está dentro: o WireGuard criptografa o túnel de ponta a ponta entre seu dispositivo e nosso servidor de saída, as requisições aos nossos serviços de controle são criptografadas entre o app e nosso servidor de retransmissão, e a CDN transporta ambos sem abri-los, então nunca descobre para qual dos nossos serviços uma requisição se destina. Nossos próprios servidores descartam essa leitura grosseira ao chegar e nunca a armazenam; o que muda de provedor para provedor, abaixo, é se a própria CDN mantém um registro que ligue seu endereço IP ao servidor para o qual ela te retransmitiu.

• A Bunny.net transporta esse tráfego hoje. Desativamos o registro de solicitações dela nas nossas zonas, então a Bunny não mantém um registro que ligue seu endereço IP ao servidor que você alcançou.
• A Gcore só pode transportar as requisições próprias do app aos nossos serviços de controle, não o túnel, e não transportará o túnel sem que antes o digamos aqui. Diferente da Bunny, o registro da Gcore não pode ser desativado na nossa conta: ele guarda por 3 dias o endereço IP a partir do qual você se conecta, o nome de host para o qual a requisição foi endereçada e o horário, e pode ser lido por qualquer pessoa que tenha um token nessa conta. A Gcore também repassa seu endereço IP ao nosso servidor em um cabeçalho da requisição, e nosso servidor o descarta ao chegar e nunca o armazena. Estamos divulgando isso em vez de escondê-lo, e vamos parar de depender da Gcore para isso, ou desativá-lo, no dia em que a Gcore permitir.
• A Fastly ainda não transporta nenhum do nosso tráfego. Se começar a transportar, descreveremos aqui o que ela pode ver, da mesma forma que para as outras duas, antes que ela transporte qualquer coisa.

Nenhuma dessas três consegue ler seu número de conta ou uma credencial de login, e nenhuma recebe uma forma de ligar a conexão que retransmite de volta a quem você é do nosso lado. Para decidir se uma rede precisa da CDN, o app mantém uma pequena nota no seu dispositivo para cada rede da qual já se conectou, arquivada sob um nome com hash para essa rede: se a CDN foi necessária ali, o dia em que isso foi aprendido pela última vez, e os nomes de localização públicos que funcionaram. Ela nunca mantém um endereço, um servidor ou um nome de rede em texto claro, e é deixada de fora de qualquer relatório de diagnóstico que você nos envia. O app só contata a CDN em uma rede onde a conexão direta ao nosso servidor falhou, agora ou no último dia. Para manter a rota Premium acessível, contamos por dispositivo e por mês-calendário quantos bytes passaram por ela. Nunca registramos qual servidor, quando ou de onde.

Servidores de saída

Os servidores de saída inicializam a partir da memória. Não há disco para gravar, o estado é apagado a cada reinicialização, e não existem caminhos de código de registro no software que os executa.

Enquanto uma sessão está ativa, uma saída necessariamente lida com o endereço a partir do qual você se conecta — ela termina o túnel — junto com uma chave de sessão que nunca mais vai ver e com o próprio tráfego. Ela não registra nada disso. O que ela reporta de volta é agregado, atrasado e arredondado: bytes por peer por período, nunca por conexão ou por destino.

Para manter os servidores hospedados, uma saída pode limitar a taxa ou recusar padrões de tráfego abusivos localmente, usando apenas o que está na memória daquele servidor e indexado pela rede de onde o tráfego veio, nunca por um assinante. Não existe registro de abuso que sobreviva a uma sessão, porque manter um significaria resolver uma sessão até chegar a uma pessoa.

Compartilhar um dispositivo ou uma saída

Se você convidar alguém para usar uma das suas saídas, essa pessoa navega pela internet através da sua conexão, como qualquer visitante na sua rede faria: sites, jogos e seu provedor de internet verão o tráfego dela como vindo da sua conexão, e você aparecerá para eles como a pessoa que a está usando. Se você convidar alguém para acessar apenas um dispositivo, essa pessoa pode alcançar esse dispositivo e nada mais na sua rede.

O tráfego entre seus dispositivos, e o tráfego de um convidado por meio de um compartilhamento, é criptografado de ponta a ponta. Quando uma conexão direta não é possível, ele passa por um relay do ForestVPN que não consegue lê-lo e não guarda nenhum registro de quais dispositivos conversam entre si. Em redes que nos bloqueiam, ele também pode passar por uma rede de distribuição de conteúdo, que vê apenas que dados criptografados estão fluindo, da mesma forma que o restante do tráfego do ForestVPN (veja acima, “Transportando sua conexão por uma CDN”).

Não existe nenhum registro de quem fez o quê. O ForestVPN não guarda nenhum log do que um convidado faz através de um compartilhamento, então nem o anfitrião nem nós podemos mostrar quem fez algo.

Um compartilhamento é armazenado como dois identificadores de mesh aleatórios e um pequeno estado — para quem é, o que permite e quando termina — nunca um registro de uso. Encerrar um compartilhamento o exclui após 30 dias. Nosso provedor de hospedagem, a Cloudflare, ainda pode recuperá-lo por até mais 30 dias depois disso, para seus próprios fins de recuperação de desastres.

Análises

Mantemos contadores operacionais: quantas credenciais foram emitidas e recusadas, resultados e tempos de conexão, totais de bytes, e agregados por servidor, contagens diárias de novos dispositivos, novas contas, clientes pagantes e mudanças de assinatura, e contadores do assistente de suporte (assunto, ponto de entrada, se os diagnósticos foram compartilhados, se a resposta ajudou), nenhum dos quais carrega um dispositivo, uma conta ou qualquer texto. Eles são gravados em um armazenamento de análises que nada no caminho da requisição lê de volta.

Duas coisas sobre isso devem ser ditas claramente.

• As linhas sobre emissão e liquidação de credenciais carregam uma tag pseudônima por dispositivo — um hash com chave do hash da chave do seu dispositivo, não o hash em si — junto com um código de país e um número de operadora de rede. Isso é dado pessoal sob o GDPR, não dado anonimizado.
• A retenção é de 90 dias e não pode ser alterada, e não existe API de exclusão. Não podemos excluir as linhas de análises de um indivíduo mediante solicitação; só podemos esperar que expirem. Rotacionar a chave que gera a tag torna as linhas futuras órfãs em relação às passadas; isso não remove as passadas, e não retrata uma correlação feita enquanto a chave antiga estava em uso.

Nenhuma linha carrega um sujeito e um servidor de saída juntos. Os conjuntos de dados que carregam uma tag de dispositivo não carregam um servidor, e os conjuntos de dados que carregam um servidor não carregam um sujeito. Os relatórios de rota são agregados sem tag de dispositivo e só são publicados em nossos painéis para dias com pelo menos 10 dispositivos.

Este site não executa nenhuma análise. Ele define um único cookie funcional (fvpn_locale) que lembra o seu idioma por um ano e não faz mais nada. Não carrega scripts de terceiros, não incorpora nada, e hospeda suas próprias fontes.

Quem mais processa esses dados

Cada um destes atua sob nossas instruções, sob contrato, e é obrigado a proteger os dados pelo menos no padrão estabelecido aqui. Os resolvedores DNS públicos são a exceção: atuam sob a própria política de privacidade, não a nossa.

Cloudflare

Hospeda os serviços de controle, seus bancos de dados e este site, termina o TLS dos nossos domínios, e armazena o relatório de diagnóstico que você pode optar por nos enviar, em um bucket indexado apenas pelo seu código de suporte e separado de qualquer registro de dispositivo. Como o TLS termina ali, a Cloudflare está em posição de ver os metadados das requisições aos nossos hostnames, independentemente do que nosso próprio código registra. Este é um limite real, e preferimos declará-lo a fingir que ele não existe.

Nebius

Executa o modelo de linguagem por trás do assistente de suporte, na UE, sob um contrato com retenção zero de dados — não mantém sua conversa depois de responder e não treina com ela. Nunca recebe seu número de conta, seu endereço IP, ou a quais servidores você se conecta. Veja assistente de suporte.

Apple

Vende e cobra toda assinatura comprada no app, e nos informa que uma assinatura existe. A Apple tem sua própria política de privacidade e seu próprio relacionamento com você. Recebemos um recibo assinado e um token derivado do dispositivo, nunca um número de cartão, nome ou e-mail.

Google

Vende e cobra toda assinatura comprada no app Android, e nos informa que uma assinatura existe. O Google tem sua própria política de privacidade e seu próprio relacionamento com você. O app nos encaminha um token de compra e o id do produto, junto com um token derivado do dispositivo anexado à compra como o id de conta ofuscado do Google Play; verificamos tudo isso diretamente com os próprios servidores do Google, e o Google, separadamente, nos envia uma Real-Time Developer Notification quando uma assinatura muda — nunca um número de cartão, nome ou e-mail.

Stripe

Processa pagamentos com cartão para assinaturas compradas na web, e opera o portal do cliente onde uma assinatura via cartão é gerenciada e cancelada. A Stripe mantém o nome, e-mail, endereço de cobrança e dados do cartão do comprador — nada disso chega até nós.

CloudPayments

Um processador de cartão alternativo para compras na web, oferecido onde serve melhor aos compradores do que a Stripe. Mesma fronteira: ela mantém a identidade de pagamento, nós mantemos uma linha de assinatura sem nenhum nome anexado a ela.

NOWPayments

Processa pagamentos em criptomoeda para compras na web. É a forma de pagamento em que até mesmo o processador mantém o mínimo possível sobre você — sem cartão, sem conta bancária — e, diferente dos outros, um pagamento em cripto não pode ser reembolsado. Veja pagando com cartão ou cripto.

Provedores de servidor

As empresas que hospedam nossos servidores de saída. Elas podem ver o volume de tráfego na borda da própria rede delas, como qualquer host pode. Elas não têm acesso à memória dos servidores nem ao seu tráfego.

Bunny.net

Retransmite o túnel criptografado de uma conexão Pro ou Premium, e as requisições criptografadas do próprio app aos nossos serviços de controle, quando uma rede bloqueia nossos próprios servidores, e somente então. Enquanto retransmite, ela vê o endereço IP a partir do qual você se conecta, o nome de host do nosso ponto de retransmissão e o horário do tráfego, nunca o que está dentro, qual dos nossos serviços é alcançado, sua conta ou a chave do seu dispositivo. O registro de solicitações dela está desativado nas nossas zonas. Veja transportando sua conexão por uma CDN.

Gcore

Pode retransmitir somente as requisições criptografadas próprias do app aos nossos serviços de controle, não o túnel, quando uma rede bloqueia nossos próprios servidores, e somente então. Enquanto retransmite, ela vê o endereço IP a partir do qual você se conecta, o nome de host do nosso ponto de retransmissão e o horário do tráfego, nunca o que está dentro, qual dos nossos serviços é alcançado, sua conta ou a chave do seu dispositivo. Diferente da Bunny.net, o registro dela não pode ser desativado na nossa conta: ela guarda o endereço IP a partir do qual você se conecta, o nome de host para o qual a requisição foi endereçada e o horário por 3 dias. Veja transportando sua conexão por uma CDN.

AWS

Espelha a lista de servidores assinada, para que um dispositivo que não consiga alcançar nosso próprio domínio ainda assim possa buscar uma. Quando um dispositivo recorre a esse mirror, a AWS vê o endereço IP a partir do qual ele se conecta e o horário dessa busca — nunca sua conta, a chave do seu dispositivo, ou qual servidor você acaba usando.

Resolvedores DNS públicos

A Cloudflare, o Google e a Quad9 operam resolvedores DNS públicos que o app pode consultar, por DNS criptografado, pelos endereços dos nossos próprios servidores quando o DNS da sua rede falha, demora, devolve uma resposta errada ou não é possível alcançar os nossos servidores nos endereços que ele deu. Eles não são nossos operadores: cada um atua sob a própria política de privacidade, não a nossa, e fica sabendo o seu endereço IP, a hora e o nome de servidor procurado, nunca a sua conta nem o que você navega. Veja O que acontece quando você se conecta.

Retenção

A retenção é listada por registro na tabela acima. Em resumo: os registros de sessão duram apenas enquanto a sessão dura; os vínculos de tíquete — o único registro com um dispositivo e uma sessão na mesma linha — são excluídos uma hora após a liquidação ou na própria expiração do tíquete, nunca mais do que cerca de 17 dias; códigos de suporte e relatórios de diagnóstico duram 72 horas; o uso diário expira após 31 dias; as análises expiram aos 90 dias e não podem ser excluídas antes disso; as linhas de dispositivo, as linhas de conta, os registros de assinatura e cobrança, os totais mensais de bytes e o registro de decisões são mantidos indefinidamente, porque uma disputa de assinatura ou uma franquia recusada precisa poder ser explicada mais tarde. Esta é a retenção para o que mantemos — o recibo de uma compra na web, a correspondência de disputa e o registro do cartão ficam com o processador e seguem a própria política de retenção dele, não esta.

Exclusão, e o que um pedido realmente pode alcançar

Envie um e-mail para support@fvpn.net com um código de suporte do app — Account → Get help nas plataformas Apple; no Android, toque no status da conexão no topo do app, depois Health → Report a problem → Get a support code em um celular ou tablet, ou Connection details → Report a problem → Get a support code na Android TV. O código é a única forma de sabermos qual registro de dispositivo é o seu: não temos endereço de e-mail, nome de usuário ou nome de conta para te autenticar. Sem ele, não conseguimos agir sobre um pedido a respeito de um dispositivo específico.

Sendo exatos sobre o que esse pedido alcança hoje:

• As linhas de uso diário podem ser removidas, e expiram após 31 dias de qualquer forma.
• Um dispositivo pode ser desvinculado sem excluir a conta. Um dispositivo pode sair da conta por conta própria na página Conta do app, e qualquer outro dispositivo da conta pode removê-lo, no app ou no console em fvpn.net; o dispositivo continua funcionando no plano Free. Uma conta comporta até dez dispositivos, um dispositivo que entrou nos últimos 7 dias não pode remover os mais antigos, e um roteador pode sair por conta própria, mas não pode remover outros dispositivos. A exclusão da conta inteira é separada, abaixo.
• A exclusão de conta pelo app está disponível: Conta → Excluir conta. É permanente — remove a conta, devolve cada dispositivo vinculado a ela ao anonimato (cada um mantém o que comprou separadamente), e não pode cancelar assinaturas pertencentes à conta, que a loja — Apple ou Google — continua cobrando até que você mesmo as cancele nos próprios ajustes de assinatura dela. Ela pede o número completo da conta em vez de confiar que você está conectado em um dispositivo, porque todo dispositivo em uma conta compartilha essa autoridade igualmente, e um deles não deveria conseguir destruí-la em nome dos outros. Ela só exclui uma conta: um dispositivo sem conta vinculada não tem nada aqui para excluir.
• As linhas de análises não podem ser excluídas de forma alguma e expiram aos 90 dias.
• Os totais mensais de bytes, os registros de cobrança e o registro de decisões são mantidos. O registro é somente-anexação de propósito: um registro que pode ser editado silenciosamente não consegue resolver uma disputa.

Você pode parar toda a coleta a qualquer momento excluindo o app e não se conectando. Observe que isso não remove os registros acima, e que a chave de máquina sobrevive à exclusão nas plataformas Apple — veja o que vive no seu dispositivo.

Se você está na UE, no Reino Unido ou na Califórnia, você tem direitos de acesso, correção, exclusão e portabilidade sobre os dados pessoais que mantemos sobre você. Um hash da chave de dispositivo é dado pessoal pseudônimo, não dado anonimizado, e o tratamos como tal. Quando não pudermos atender a um pedido — os casos acima — diremos qual se aplica e por quê, em vez de alegar que não conseguimos identificar você.

Contra o que isto não protege

Um registro liga seu dispositivo a uma sessão, e por meio do dispositivo, à sua conta, se você tiver vinculado uma. É o vínculo do tíquete estabelecido em contas e assinaturas: ele existe para que a franquia possa ser medida e um dispositivo revogado cortado no meio da sessão, e é excluído uma hora depois que essa sessão se liquida. Nada em lugar nenhum liga qualquer um dos dois a uma saída. Dizemos isso dessa forma em vez de alegar uma separação que não temos — e estes são os outros limites, pelo mesmo motivo:

• O serviço que emite credenciais e a saída que transporta seu tráfego veem sua chave de sessão cada um em um momento diferente. Partes que fossem compelidas juntas, ou que conluiassem, poderiam usar isso para reunir uma sessão de ponta a ponta. Não mantemos nenhum registro que faria isso, e nenhuma delas sozinha consegue fazê-lo.
• Se você usar a página de dispositivos para enviar um roteador a uma saída diferente, a localização que você escolheu fica armazenada em relação a esse dispositivo — e, portanto, se o dispositivo estiver vinculado a uma conta, em relação à sua conta — até você escolher outra. É o que você pediu, nunca o que observamos: a confirmação do dispositivo é um número ecoado de volta, não um lugar.
• O TLS dos nossos domínios termina na Cloudflare, então metadados sobre requisições aos nossos hostnames existem ali, independentemente do nosso próprio código.
• O hash da chave do seu dispositivo é estável, e as linhas de análises pseudônimas indexadas a ele existem por 90 dias.
• O conjunto de pessoas das quais você é indistinguível é todo mundo que segura um tíquete assinado pela mesma chave de plano na mesma quinzena — não “todos os nossos usuários”. No lançamento, esse conjunto é pequeno. Preferimos dizer isso a descrever um anonimato que ainda não temos.

Uma VPN muda quem pode ver seu tráfego. Ela não te dá anonimato, e esta não afirma fazê-lo.

Crianças, alterações e contato

O serviço não é direcionado a crianças menores de 13 anos, e não coletamos conscientemente dados delas. Não temos como saber a idade de um usuário, porque não coletamos nada que nos diria isso.

Se esta política mudar materialmente, mudaremos a data no topo, descreveremos o que mudou aqui, e mostraremos um aviso nos apps que suportam um. Como não há endereço de e-mail registrado, não podemos te notificar por e-mail.

11 October 2026: Adicionamos uma seção sobre compartilhar um dispositivo ou uma saída com outra pessoa: como o tráfego de um convidado aparece, o que nossos relays podem e não podem ver e o que é guardado sobre um compartilhamento. Veja compartilhar um dispositivo ou uma saída.

4 de outubro de 2026: quando o DNS da sua rede falha, demora a responder, devolve uma resposta errada ou não é possível alcançar os nossos servidores nos endereços que ele deu, o app também pode perguntar à Cloudflare, ao Google ou à Quad9 por DNS criptografado pelos endereços dos nossos próprios servidores; cada um que for consultado fica sabendo o seu endereço IP, a hora e que o dispositivo procurou o nome de um dos nossos servidores, e nada além disso. Veja O que acontece quando você se conecta.

4 de outubro de 2026: a Gcore (gcore.com) passa a se somar à Bunny.net (bunny.net) como CDN, e uma CDN agora também pode retransmitir as requisições do próprio app aos nossos serviços de controle, não só o túnel; a Gcore só pode retransmitir essas requisições, não o túnel. Uma CDN, em qualquer das duas rotas, pode ver seu endereço IP, o nome de host do nosso ponto de retransmissão e o horário, nunca o conteúdo nem qual dos nossos serviços é alcançado. A Gcore guarda seu endereço IP, o nome de host para o qual a requisição foi endereçada e o horário por 3 dias; o registro da Bunny está desativado nas nossas zonas. Veja transportando sua conexão por uma CDN.

10 de outubro de 2026: os apps agora podem enviar relatórios de rota — diagnósticos de rede anônimos e agregados, não vinculados à sua identidade nem à sua conta. Nós os acrescentamos a o que nossos serviços de controle guardam e corrigimos nossa descrição do manifesto de privacidade da Apple.

Perguntas, pedidos ou reclamações: support@fvpn.net. O controlador é a Digital Services LLC.