Политика конфиденциальности

Digital Services LLC управляет ForestVPN. Эта политика распространяется на приложения ForestVPN для iPhone, iPad, Mac и Apple TV, для телефонов и планшетов на Android и для Android TV, на десктопные приложения для Windows и Linux, на консольный клиент для Linux и приложение для роутера, на серверы, которые передают ваш трафик, и на этот сайт.

Наши обязательства

ForestVPN не продаёт, не использует и не раскрывает третьим лицам данные, описанные в этой политике, ни для каких целей, кроме случаев, строго необходимых для работы сервиса, — то есть Apple или Google для приёма платежей, и провайдеров инфраструктуры, перечисленных ниже, каждый из которых действует исключительно как обработчик по нашим инструкциям и на основании договора. Мы не показываем рекламу, не строим ваш профиль и ничего не передаём брокерам данных, поставщикам аналитики или сетям атрибуции. Их просто нет в приложении. Одно исключение не является нашим обработчиком: когда DNS вашей сети не работает или наши серверы недоступны по адресам, которые он вернул, приложение может спросить публичный DNS-резолвер (Cloudflare, Google или Quad9) об адресе наших собственных серверов, и этот резолвер видит ваш IP-адрес согласно собственной политике конфиденциальности. См. Что происходит при подключении.

Приложение не содержит ни SDK аналитики, ни SDK атрибуции, ни рекламного идентификатора ни на одной платформе. На платформах Apple это заявлено в манифесте конфиденциальности приложения, который декларирует отсутствие отслеживания и доменов отслеживания. Он декларирует десять типов данных. Девять помечены как связанные с вашей личностью: идентификатор пользователя, идентификатор устройства (псевдоним, который соединяется с вашей учётной записью, когда вы её привязываете), история покупок, приблизительное местоположение, содержимое обращений в поддержку, прочее содержимое пользователя, диагностические данные, данные о производительности и прочие данные об использовании. Один, взаимодействие с продуктом, не связан: помощник поддержки считает, с какого экрана его открыли, решили ли вы поделиться диагностикой и решил ли его ответ проблему, без метки устройства или учётной записи. Форма Apple принимает один ответ на тип данных, поэтому диагностические данные и приблизительное местоположение помечены как связанные: таковы отправляемый вами по вашему выбору отчёт и счётчики выдачи учётных данных, хотя отчёты о маршрутах таковыми не являются. Девять типов используются для работы приложения, а восемь также для наших собственных операционных счётчиков, описанных в разделе об аналитике. На Android приложение никогда не запрашивает рекламный идентификатор и не добавляет собственных SDK аналитики, атрибуции или сбора отчётов о сбоях. Единственная сторонняя библиотека, которая обращается к Google, — это Google Play Billing Library, которую Google требует для покупок внутри приложения и которая работает по собственной политике конфиденциальности Google.

Чего у нас никогда нет

• Вашей истории посещений. Нигде в наших системах нет поля для сайтов, которые вы посещаете, имён, которые вы ищете, или адресов, к которым вы подключаетесь. Не короткий срок хранения — такого столбца просто не существует.
• Вашей личности. Нет ни email-адреса, ни пароля, ни номера телефона, ни имени. Аккаунт, если вы его создаёте, — это случайное 128-битное число. В таблице аккаунтов нет вообще никакого контактного поля.
• Вашей карты. Оплата происходит у Apple или Google, либо — если вы покупаете на сайте — у выбранного вами процессинга: Stripe, CloudPayments или NOWPayments. Apple передаёт нам подписанную квитанцию и токен, производный от устройства; для покупки через Google Play мы проверяем токен покупки, который пересылает нам приложение, — вместе с производным от устройства токеном, привязанным к покупке, — напрямую на серверах самого Google, никогда не полагаясь только на слово приложения. Покупка на сайте даёт нам одноразовый референсный номер, который мы генерируем сами, а не вашу карту. В любом случае мы никогда не видим номер карты, а при оплате криптовалютой единственная сторона, которая вообще что-либо видит, — это сам процессинг. См. оплату картой или криптовалютой.
• Дополнительных разрешений на Android. Во время работы приложение запрашивает только две вещи: собственный системный диалог согласия на VPN-подключение и, начиная с Android 13, разрешение показывать уведомления — запрашивается один раз, при первом подключении, никогда при холодном запуске, — оно покрывает текущий статус соединения, предупреждения о том, что лимит данных заканчивается или закончился, и проблемы с подключением. Оно не запрашивает вашу геолокацию или контакты. Ещё два декларируемых разрешения полностью остаются на устройстве и никогда не отправляются нам: чтение списка установленных приложений — для экрана раздельного туннелирования, который исключает выбранные приложения из туннеля, — и системный запрос отпечатка пальца, лица или блокировки экрана, чтобы разрешить показ вашего собственного номера аккаунта на экране.

Что хранится на вашем устройстве

Машинный ключ

При первом запуске приложение создаёт пару ключей, которая остаётся на устройстве: в системной связке ключей на платформах Apple; на Android — в приватном хранилище приложения, зашифрованном ключом, который хранится в Android Keystore. Он помечен так, чтобы никогда не покидать это устройство — ни на другие ваши устройства, ни в iCloud, а на Android — ни в резервную копию, ни в копию для переноса на другое устройство. Это не рекламный идентификатор, и он никому не передаётся. Мы храним хеш его публичной половины — именно так устройство распознаётся при каждом новом запуске.

На платформах Apple он постоянный. Он никогда не меняется и переживает удаление приложения. Переустановка там не даёт вам новой идентичности — переустановленное приложение предъявляет тот же ключ и распознаётся как то же устройство. Это сделано намеренно: именно это не даёт одному устройству получать неограниченное число бесплатных лимитов, и это значит, что удаление приложения там не является сбросом, — это стоит знать до установки. На Android ключ не переживает удаление приложения или очистку его хранилища. Переустановка создаёт новый ключ и регистрируется как новое устройство, а старая запись об устройстве остаётся на нашей стороне осиротевшей, в рамках срока хранения, указанного в таблице ниже. Также приложение один раз заменяет свой ключ на месте, если наши серверы когда-либо сообщат, что старый ключ неизвестен.

Ключ сеанса

У каждого билета есть собственный ключ сеанса, созданный на устройстве в момент выпуска билета, ещё до какой-либо попытки подключения. Он хранится в зашифрованном виде в собственном локальном хранилище платформы — системной связке ключей на платформах Apple, приватном хранилище приложения на Android — до тех пор, пока билет не будет использован или не истечёт срок его действия, а запасной билет, выпущенный для того же подключения, может использовать тот же ключ, что и билет, который он подстраховывает. Он никогда не покидает устройство — кроме как в виде своей публичной половины.

Аккаунты, подписки и лимиты данных

Один сервис выдаёт учётные данные для подключения и хранит записи, необходимые для подписки. Он хранит:

Строка «Привязка билета» выше — единственное исключение, и оно указано здесь, а не опущено: пока она существует, она называет и ваше устройство, и сеанс, к которому оно относится, — именно это позволяет засчитать завершённый сеанс в счёт вашего лимита и отключить отозванное устройство посреди сеанса. Она удаляется автоматически, не по запросу, — через час после того, как называемый ею сеанс завершается расчётом, либо когда истекает сам неиспользованный билет, смотря что наступит раньше. Ни одна из этих записей, включая эту, не содержит выходной сервер, адрес, с которого вы подключились, или куда вы ходили: выдающий сервис вообще никогда не узнаёт ничего из этого. Всё это существует только на отдельном сервисе, описанном в разделе [что происходит при подключении](#session), у которого нет способа выяснить, кто вы. Строка «Диагностический отчёт» выше хранится тоже на третьем, отдельном сервисе — как неподписанная загрузка, которую выдающий сервис никогда не видит и не может связать с устройством.

Сами учётные данные

Чтобы подключиться, ваше устройство запрашивает у этого сервиса билет. Билет подписывается вслепую: подпись создаётся поверх значения, которое мы никогда не видим, поэтому билет, который вы предъявляете при подключении, невозможно распознать как тот, что был выдан именно вам. Он несёт ровно два факта — какой тариф его подписал и ключ какой двухнедельки использовался, — и больше ничего. Выдающий сервис никогда не узнаёт ни локацию, ни выходной сервер, ни сеанс, ни то, поднимался ли вообще туннель.

Оплата картой или криптовалютой

Apple или Google выставляет счёт за каждую подписку, купленную в приложении, и мы никогда не видим номер карты. На платформах Apple компания Apple присылает нам подписанную квитанцию и токен, производный от устройства. На Android перед оформлением покупки наши серверы выдают приложению токен, производный от ключа устройства; приложение прикрепляет его к покупке как obfuscated account id Google Play, и Google возвращает его нам при каждой проверке покупки, — так подписку можно сопоставить с купившим её устройством, и в нём нет ни имени, ни email, ни карты. Приложение также пересылает нашим серверам токен покупки и id продукта, которые ему выдаёт Google Play, а серверы проверяют покупку напрямую по собственному API Google, а не полагаясь на слово приложения; отдельно Google присылает нам Real-Time Developer Notification при изменении подписки, что мы рассматриваем лишь как повод перепроверить у Google, а не как самостоятельное доказательство. Подписку также можно купить на сайте — через карточный процессинг (Stripe или CloudPayments) или криптопроцессинг (NOWPayments), и этот путь достаточно отличается, чтобы описать его отдельно.

Когда вы оформляете покупку на сайте, мы сами создаём одноразовый референсный номер и передаём его процессингу — никогда не номер вашего аккаунта. Согласно этой политике номер аккаунта — это учётные данные; передать его в панель платёжного процессинга, в тело webhook’а или в инструменты поддержки означало бы опубликовать пароль. Референсный номер истекает в течение часа и сам по себе ничего не открывает.

Что мы храним от покупки на сайте: какой процессинг её оплатил, собственный идентификатор подписки этого процессинга, тариф, дату, до которой оплачено, и была ли она отменена или отозвана. Что мы никогда не получаем и никогда не храним: ваше имя, вашу почту, ваш платёжный адрес, отпечаток вашей карты или — для оплаты криптовалютой — вообще что-либо о вас. В коде, который записывает строку об оплате, нет поля, способного вместить что-либо из этого; добавить такое поле означало бы заметное, проходящее ревью изменение файла, который приходится трогать каждому, кто дорабатывает платёжный тракт, а не то, что могла бы незаметно сделать ошибка.

Скажем максимально прямо: запрос о раскрытии данных, поданный нам, даёт в ответ тариф и дату оплаты. Тот же запрос, поданный платёжному процессингу, даёт в ответ человека и карту. Это сделано намеренно. Это цена оплаты на сайте вместо оплаты через Apple или Google, и именно поэтому мы предпочитаем, чтобы эти данные хранились у компании, созданной для их хранения, а не ещё и у нас.

Отмена подписки, купленной в магазине приложений, происходит в настройках самого магазина: Настройки → Apple ID → Подписки на платформах Apple, либо экран «Подписки» в приложении Google Play Store на Android. Подписка, оплаченная картой, отменяется через собственный клиентский портал процессинга, который аутентифицирует вас по email, который хранится у него, — не у нас, поскольку у нас его нет. Оплата криптовалютой покупает фиксированный период и просто истекает; отменять нечего.

Если вы теряете номер аккаунта после покупки на сайте, поддержка может попросить процессинг вернуть вам деньги, но не может восстановить доступ — на нашей стороне нет ни email, ни пароля, чтобы доказать, что покупка была именно вашей. Оплату криптовалютой вернуть вообще нельзя. Мы предпочли бы, чтобы вы прочитали оба этих предложения до оплаты, а не после.

Что происходит при подключении

Отдельный сервис принимает билет и открывает сеанс. Он видит адрес, с которого вы подключаетесь, выбранную вами локацию и ваш одноразовый ключ сеанса, и хранит запись о сеансе, содержащую тариф, эпоху, этот ключ сеанса, выходной сервер, адреса вашего туннеля, срок действия и бюджет байт. Запись удаляет себя сама по истечении сеанса. Ваш исходный адрес в неё никогда не записывается.

У этого сервиса вообще нет привязки к базе данных. У него нет способа обратиться к аккаунту или устройству, поэтому ошибка на пути подключения не может записать вашу личность в запись о сеансе — просто нечем это сделать. Сборочная задача с именем the privacy seam holds проваливает сборку, если такая привязка вообще когда-либо будет добавлена. Это единственное свойство конфиденциальности здесь, которое не зависит от нашего добросовестного поведения.

Перед подключением приложению нужны адреса наших собственных серверов. Сначала оно запрашивает их у DNS вашей сети. Если он не работает, отвечает слишком медленно или возвращает неверный ответ, уже так делал в этой же сети, либо наши серверы недоступны по адресам, которые он вернул, приложение может дополнительно, рядом с ним, а не вместо него, спросить Cloudflare (1.1.1.1), Google (8.8.8.8) или Quad9 (9.9.9.9) по зашифрованному DNS — только адреса наших собственных серверов и никогда адреса сайтов, которые вы посещаете. У каждого из этих операторов есть и другие публичные адреса, которыми может воспользоваться приложение. В сети, DNS которой отвечает быстро и верно и где наши серверы доступны по этим адресам, не спрашивают никого из них. Каждый, кого спросили, узнаёт IP-адрес, с которого пришёл вопрос, время и то, что это устройство искало одно из имён наших серверов, — и больше ничего: ни номера аккаунта, ни учётных данных сеанса, ничего из того, что вы просматриваете. Мы не отправляем им ничего, кроме самого запроса, и каждый из них применяет к полученному собственную политику конфиденциальности. Если мы когда-нибудь позволим приложению спрашивать другого DNS-провайдера, мы назовём его здесь раньше, чем приложение это сделает.

Передача вашего соединения через CDN

В некоторых сетях наши собственные серверы блокируются или замедляются — по адресу или по имени. Когда это происходит, приложение может автоматически использовать сеть доставки контента (CDN) вместо прямого подключения к нам. Таких маршрутов два: на тарифах Pro и Premium оно может передавать ваш зашифрованный туннель через CDN вместо прямого подключения к нашему серверу; а для собственных запросов к нашим управляющим сервисам, таким как подписанный список серверов и билеты сеанса, оно тоже может использовать CDN. Сегодня Bunny.net может передавать оба маршрута, а Gcore — только собственные запросы приложения к нашим управляющим сервисам, но не туннель; Fastly подключён точно так же и в будущем может передавать этот трафик. Это происходит автоматически и используется только тогда, когда это нужно вашему соединению. Это никак не меняет то, что мы о вас собираем: CDN лишь передаёт байты — так же, как передаёт трафик любого обычного сайта, — и не может прочитать ни номер вашего аккаунта, ни ваши учётные данные сеанса.

CDN, передающий ваше соединение, настроен на выход к одному конкретному нашему серверу — выходному серверу для туннеля, ретрансляционному серверу для запросов к нашим управляющим сервисам, — и пока ваше соединение проходит через него, он действительно видит IP-адрес, с которого вы подключаетесь, имя хоста нашей ретрансляционной точки, время и тайминг вашего трафика и грубое считывание соединения — примерную геолокацию и отпечаток того, как ваше устройство устанавливает TLS-соединение, — такой сигнал может вычислить любой HTTPS-ретранслятор, точно так же, как при передаче трафика любого другого зашифрованного сайта. Он не видит, что внутри: WireGuard шифрует туннель сквозным образом между вашим устройством и нашим выходным сервером, запросы к нашим управляющим сервисам шифруются между приложением и нашим ретрансляционным сервером, а CDN передаёт и то и другое, не вскрывая, — поэтому он никогда не узнаёт, для какого из наших сервисов предназначен запрос. Наши собственные серверы отбрасывают это грубое считывание сразу по получении и никогда его не хранят; что различается у разных провайдеров — указано ниже — это хранит ли сам CDN запись, связывающую ваш IP-адрес с сервером, к которому он вас направил.

• Bunny.net передаёт этот трафик сегодня. Мы отключаем логирование запросов в наших зонах, поэтому Bunny не хранит запись, связывающую ваш IP-адрес с сервером, к которому вы обратились.
• Gcore может передавать только собственные запросы приложения к нашим управляющим сервисам, но не туннель, и не будет передавать туннель, пока мы не скажем об этом здесь. В отличие от Bunny, логирование Gcore нельзя отключить на нашем аккаунте: оно хранит 3 дня IP-адрес, с которого вы подключаетесь, имя хоста, на который был адресован запрос, и время, и его может прочитать любой, у кого есть токен на этом аккаунте. Gcore также передаёт ваш IP-адрес нашему серверу в заголовке запроса; наш сервер отбрасывает его сразу по получении и никогда не хранит. Мы раскрываем это, а не скрываем, и мы перестанем полагаться на Gcore для этого — или отключим логирование, — в тот день, когда Gcore нам это позволит.
• Fastly пока не передаёт наш трафик вообще. Если это начнётся, мы опишем здесь, что он может видеть, — так же, как для двух других, — прежде чем он начнёт передавать хоть что-то.

Ни один из этих трёх не может прочитать номер вашего аккаунта или учётные данные для входа, и ни одному не дан способ связать передаваемое им соединение с тем, кто вы такой на нашей стороне. Чтобы решить, нужен ли сети CDN, приложение хранит на вашем устройстве небольшую заметку по каждой сети, из которой оно подключалось, — под хешированным именем этой сети: нужен ли там был CDN, когда это было выяснено в последний раз, и какие публичные названия локаций сработали. Оно никогда не хранит адрес, сервер или имя сети в открытом виде, и это исключается из любого диагностического отчёта, который вы нам отправляете. Приложение обращается к CDN только в той сети, где прямое подключение к нашему серверу не удалось — сейчас или в течение последнего дня. Чтобы премиальный маршрут оставался доступным по цене, мы считаем по каждому устройству и календарному месяцу, сколько байт через него прошло. Мы никогда не записываем, какой сервер, когда и откуда.

Выходные серверы

Выходные серверы загружаются из памяти. Диска, на который можно было бы что-то записать, нет, состояние стирается при каждой перезагрузке, а в программном обеспечении, которое на них работает, нет путей кода для логирования.

Пока сеанс открыт, выходной сервер неизбежно обрабатывает адрес, с которого вы подключаетесь, — ведь именно он завершает туннель, — вместе с ключом сеанса, который он больше никогда не увидит, и самим трафиком. Он ничего из этого не записывает. То, что он сообщает обратно, — это агрегированные, отложенные и округлённые данные: байты на пира за период, никогда — по отдельному подключению или назначению.

Чтобы серверы продолжали хоститься, выходной сервер может локально ограничивать скорость или отклонять паттерны трафика, похожие на злоупотребление, используя только то, что есть в памяти этого сервера, и привязываясь к сети, из которой пришёл трафик, а не к подписчику. Никакой записи о злоупотреблении, переживающей сеанс, не остаётся, потому что её хранение означало бы связывание сеанса с конкретным человеком.

Предоставление доступа к устройству или выходу

Если вы приглашаете кого-то пользоваться одним из ваших выходов, этот человек выходит в интернет через ваше соединение — так же, как любой гость в вашей сети: сайты, игры и ваш интернет-провайдер видят его трафик как исходящий от вашего соединения, а вы предстаёте перед ними как человек, который им пользуется. Если вы приглашаете кого-то только к одному устройству, этот человек может обратиться только к этому устройству и ни к чему больше в вашей сети.

Трафик между вашими устройствами, а также трафик гостя через общий доступ, зашифрован сквозным шифрованием. Когда прямое соединение невозможно, он проходит через ретранслятор ForestVPN, который не может его прочитать и не хранит записей о том, какие устройства общаются между собой. В сетях, которые нас блокируют, трафик может также проходить через сеть доставки контента, которая видит только то, что передаются зашифрованные данные — так же, как и остальной трафик ForestVPN (см. выше «Передача вашего соединения через CDN»).

Записи о том, кто что делал, не существует. ForestVPN не ведёт журнал того, что гость делает через общий доступ, поэтому ни хост, ни мы не можем показать, кто что сделал.

Общий доступ хранится как два случайных идентификатора mesh и небольшое состояние — для кого он предназначен, что разрешает и когда заканчивается — но никогда как журнал использования. После завершения общий доступ удаляется через 30 дней. Наш хостинг-провайдер Cloudflare всё ещё может восстановить его в течение ещё 30 дней после этого, в собственных целях аварийного восстановления.

Аналитика

Мы храним операционные счётчики: сколько учётных данных было выдано и сколько отклонено, результаты и тайминги подключений, суммарные объёмы байт и агрегаты по серверам, ежедневные количества новых устройств, новых учётных записей, платящих клиентов и изменений подписок, а также счётчики помощника поддержки (тема, точка входа, делились ли диагностикой, помог ли ответ), ни один из которых не содержит устройства, учётной записи или какого-либо текста. Они записываются в хранилище аналитики, которое ничто на пути обработки запроса не читает обратно.

Об этом стоит сказать прямо две вещи.

• Строки о выдаче учётных данных и расчётах несут псевдонимную метку устройства — хеш с ключом от хеша ключа вашего устройства, а не сам этот хеш, — вместе с кодом страны и номером сетевого оператора. По GDPR это персональные данные, а не обезличенные.
• Срок хранения — 90 дней, его нельзя изменить, и API для удаления не существует. Мы не можем удалить строки аналитики конкретного человека по запросу — мы можем только дождаться их истечения. Смена ключа, который формирует метку, отделяет будущие строки от прошлых; она не убирает прошлые строки и не отменяет сопоставление, сделанное пока действовал старый ключ.

Ни одна строка не несёт одновременно субъекта данных и выходной сервер. Наборы данных с меткой устройства не содержат сервер, а наборы данных с сервером не содержат субъекта. Отчёты о маршрутах — это агрегаты без метки устройства, и на наши панели они попадают только за дни не менее чем с 10 устройствами.

Этот сайт вообще не использует аналитику. Он устанавливает один функциональный cookie (fvpn_locale), который запоминает ваш язык на год и больше ничего не делает. Он не загружает сторонние скрипты, ничего не встраивает и сам размещает у себя свои шрифты.

Кто ещё это обрабатывает

Каждый из них действует по нашим инструкциям, на основании договора, и обязан защищать данные как минимум по стандарту, установленному здесь. Публичные DNS-резолверы — исключение: они действуют по собственным политикам конфиденциальности, а не по нашей.

Cloudflare

Размещает управляющие сервисы, их базы данных и этот сайт, терминирует TLS для наших доменов и хранит диагностический отчёт, который вы можете отправить нам, — в хранилище, ключом к которому служит только ваш код поддержки, отдельно от любой записи об устройстве. Поскольку TLS терминируется именно там, Cloudflare в состоянии видеть метаданные запросов к нашим доменам независимо от того, что записывает наш собственный код. Это реальное ограничение, и мы предпочитаем прямо о нём сказать, а не подразумевать, что его нет.

Nebius

Запускает языковую модель, на которой работает ассистент поддержки, в ЕС, по договору с нулевым сроком хранения данных — он не хранит ваш разговор после ответа и не обучается на нём. Он никогда не получает номер вашего аккаунта, ваш IP-адрес или сведения о том, к каким серверам вы подключаетесь. См. ассистент поддержки.

Apple

Продаёт и выставляет счета за каждую подписку, купленную в приложении, и сообщает нам о том, что подписка существует. У Apple своя собственная политика конфиденциальности и собственные отношения с вами. Мы получаем подписанную квитанцию и токен, производный от устройства, но никогда — номер карты, имя или email.

Google

Продаёт и выставляет счета за каждую подписку, купленную в приложении на Android, и сообщает нам о том, что подписка существует. У Google своя собственная политика конфиденциальности и собственные отношения с вами. Приложение пересылает нам токен покупки и id продукта вместе с производным от устройства токеном, прикреплённым к покупке как obfuscated account id Google Play; мы проверяем всё это напрямую на серверах самого Google, а Google отдельно присылает нам Real-Time Developer Notification при изменении подписки — но никогда номер карты, имя или email.

Stripe

Обрабатывает карточные платежи за подписки, купленные на сайте, и предоставляет клиентский портал, где подписка, оплаченная картой, управляется и отменяется. Stripe хранит имя покупателя, email, платёжный адрес и данные карты — ничего из этого до нас не доходит.

CloudPayments

Альтернативный карточный процессинг для покупок на сайте, предлагаемый там, где он удобнее для покупателей, чем Stripe. Граница та же: он хранит платёжную идентичность, а мы — строку подписки без привязанного к ней имени.

NOWPayments

Обрабатывает платежи криптовалютой за покупки на сайте. Это способ оплаты, при котором даже сам процессинг хранит о вас меньше всего — ни карты, ни банковского счёта, — и, в отличие от остальных, оплату криптовалютой нельзя вернуть. См. оплату картой или криптовалютой.

Поставщики серверов

Компании, которые хостят наши выходные серверы. Они видят объём трафика на границе собственной сети — как и любой хостинг. У них нет доступа ни к памяти серверов, ни к вашему трафику.

Bunny.net

Передаёт зашифрованный туннель подключения на тарифе Pro или Premium, а также зашифрованные собственные запросы приложения к нашим управляющим сервисам, когда сеть блокирует наши собственные серверы, — и только тогда. Пока идёт передача, он видит IP-адрес, с которого вы подключаетесь, имя хоста нашей ретрансляционной точки и время трафика, но никогда — что внутри, к какому из наших сервисов обращён запрос, ваш аккаунт или ключ вашего устройства. Логирование запросов в наших зонах отключено. См. передачу вашего соединения через CDN.

Gcore

Может передавать только собственные зашифрованные запросы приложения к нашим управляющим сервисам, но не туннель, когда сеть блокирует наши собственные серверы, — и только тогда. Пока идёт передача, он видит IP-адрес, с которого вы подключаетесь, имя хоста нашей ретрансляционной точки и время трафика, но никогда — что внутри, к какому из наших сервисов обращён запрос, ваш аккаунт или ключ вашего устройства. В отличие от Bunny.net, его логирование нельзя отключить на нашем аккаунте: он хранит IP-адрес, с которого вы подключаетесь, имя хоста, на который был адресован запрос, и время 3 дня. См. передачу вашего соединения через CDN.

AWS

Зеркалирует подписанный список серверов, чтобы устройство, которое не может дозвониться до нашего собственного домена, всё равно могло его получить. Когда устройство переключается на это зеркало, AWS видит IP-адрес, с которого оно подключается, и время запроса — но никогда ваш аккаунт, ключ вашего устройства или то, каким сервером вы в итоге воспользуетесь.

Публичные DNS-резолверы

Cloudflare, Google и Quad9 держат публичные DNS-резолверы, у которых приложение может спросить по зашифрованному DNS адреса наших собственных серверов, когда DNS вашей сети не работает, отвечает слишком медленно или возвращает неверный ответ, либо наши серверы недоступны по адресам, которые он вернул. Они не наши обработчики: каждый действует по собственной политике конфиденциальности, а не по нашей, и узнаёт ваш IP-адрес, время и искомое имя сервера, но никогда ваш аккаунт и то, что вы просматриваете. См. Что происходит при подключении.

Сроки хранения

Сроки хранения перечислены по каждой записи в таблице выше. Коротко: записи о сеансе живут ровно столько, сколько длится сеанс; привязки билета — единственная запись, где на одной строке и устройство, и сеанс, — удаляются через час после расчёта или по истечении самого билета, не более чем примерно через 17 дней; коды поддержки и диагностические отчёты живут 72 часа; дневное использование стирается через 31 день; аналитика истекает через 90 дней и не может быть удалена досрочно; записи об устройствах, записи об аккаунтах, записи о подписках и оплатах, месячные суммы байт и журнал решений хранятся бессрочно, потому что спор по подписке или отказ в лимите должны оставаться объяснимыми и позже. Это сроки хранения того, что храним мы, — квитанция о покупке на сайте, переписка по спору и запись о карте находятся у процессинга и следуют его собственной политике хранения, а не этой.

Удаление и чего запрос может реально достичь

Напишите на support@fvpn.net с кодом поддержки из приложения — Аккаунт → Получить помощь на платформах Apple; на Android нажмите на статус соединения вверху приложения, затем Диагностика → Сообщить о проблеме → Получить код поддержки на телефоне или планшете, либо Данные подключения → Сообщить о проблеме → Получить код поддержки на Android TV. Этот код — единственный способ для нас определить, какая запись об устройстве принадлежит вам: у нас нет ни email-адреса, ни имени пользователя, ни названия аккаунта, чтобы аутентифицировать вас. Без него мы не можем выполнить запрос по конкретному устройству.

Точно о том, чего этот запрос реально достигает сегодня:

• Строки дневного использования можно удалить, и в любом случае они истекают через 31 день.
• Устройство можно отвязать, не удаляя аккаунт. Устройство может выйти из аккаунта само на странице «Аккаунт» в приложении, а любое другое устройство на аккаунте может его удалить, в приложении или в консоли на fvpn.net; устройство продолжает работать на тарифе Free. На аккаунте до десяти устройств, устройство, присоединившееся за последние 7 дней, не может удалять более старые, а роутер может выйти сам, но не может удалять другие устройства. Удаление аккаунта целиком — отдельная операция, ниже.
• Удаление аккаунта доступно прямо в приложении: Аккаунт → Удалить аккаунт. Оно необратимо — удаляет аккаунт, возвращает каждое привязанное к нему устройство обратно в анонимное состояние (за каждым сохраняется то, что оно купило отдельно) и не может отменить подписки, привязанные к аккаунту, которые магазин — Apple или Google — продолжает оплачивать, пока вы сами не отмените их в его собственных настройках подписок. Оно запрашивает полный номер аккаунта, а не полагается на то, что вы вошли на устройстве, потому что все устройства на аккаунте обладают равными правами, и ни одно из них не должно иметь возможность уничтожить его от имени остальных. Оно удаляет только аккаунт: устройству без привязанного аккаунта здесь нечего удалять.
• Строки аналитики вообще нельзя удалить — они истекают через 90 дней.
• Месячные суммы байт, записи об оплатах и журнал решений хранятся. Журнал намеренно только дополняется: запись, которую можно незаметно отредактировать, не способна урегулировать спор.

Вы можете в любой момент остановить весь сбор данных, удалив приложение и не подключаясь. Учтите, что это не удаляет записи, перечисленные выше, и что машинный ключ переживает удаление на платформах Apple — см. что хранится на вашем устройстве.

Если вы находитесь в ЕС, Великобритании или Калифорнии, у вас есть права на доступ, исправление, удаление и перенос персональных данных, которые мы о вас храним. Хеш ключа устройства — это псевдонимные персональные данные, а не обезличенные, и мы относимся к нему именно так. Там, где мы не можем удовлетворить запрос — случаи выше, — мы скажем, какой именно это случай и почему, а не станем утверждать, что не можем вас идентифицировать.

От чего это не защищает

Одна запись связывает ваше устройство с сеансом, а через устройство — с вашим аккаунтом, если вы его привязали. Это привязка билета, описанная в разделе аккаунты и подписки: она существует для того, чтобы можно было измерять лимит данных и отключать отозванное устройство посреди сеанса, и она удаляется через час после завершения этого сеанса расчётом. Ничто и нигде не связывает ни то, ни другое с выходным сервером. Мы говорим именно так, а не заявляем о разделении, которого у нас нет, — и вот остальные ограничения по той же причине:

• Сервис, который выдаёт учётные данные, и выходной сервер, который передаёт ваш трафик, каждый в свой момент видят ключ вашего сеанса. Стороны, которых принудили действовать вместе или которые сговорились, могли бы использовать это, чтобы восстановить сеанс целиком. Мы не храним записи, которая позволила бы это сделать, и ни одна из них не может сделать это в одиночку.
• Если вы через страницу устройств отправляете роутер на другой выходной сервер, выбранная вами локация сохраняется за этим устройством — а значит, если устройство привязано к аккаунту, то и за вашим аккаунтом, — пока вы не выберете другую. Это то, о чём вы попросили, а не то, что мы наблюдали: подтверждение устройства — это возвращённый обратно номер, а не место.
• TLS для наших доменов терминируется у Cloudflare, поэтому метаданные о запросах к нашим доменам существуют там независимо от нашего собственного кода.
• Хеш ключа вашего устройства стабилен, а псевдонимные строки аналитики, привязанные к нему, живут 90 дней.
• Круг людей, от которых вас невозможно отличить, — это все, у кого есть билет, подписанный тем же ключом тарифа в ту же двухнедельку, — а не «все наши пользователи». На старте этот круг невелик. Мы предпочитаем сказать это прямо, а не описывать анонимность, которой у нас пока нет.

VPN меняет то, кто может видеть ваш трафик. Он не делает вас анонимными, и этот VPN на это не претендует.

Дети, изменения и контакты

Сервис не предназначен для детей младше 13 лет, и мы сознательно не собираем данные о них. У нас нет способа узнать возраст пользователя, потому что мы не собираем ничего, что могло бы нам об этом сказать.

Если эта политика существенно изменится, мы изменим дату вверху страницы, опишем здесь, что изменилось, и покажем уведомление в приложениях, которые это поддерживают. Поскольку у нас нет вашего email-адреса, мы не можем уведомить вас по почте.

11 October 2026: Добавлен раздел о предоставлении доступа к устройству или выходу другому человеку: как выглядит трафик гостя, что наши ретрансляторы могут и не могут видеть и что хранится об общем доступе. См. предоставление доступа к устройству или выходу.

4 октября 2026 г.: если DNS вашей сети не работает, отвечает слишком медленно или возвращает неверный ответ, либо наши серверы недоступны по адресам, которые он вернул, приложение может дополнительно спросить Cloudflare, Google или Quad9 по зашифрованному DNS адреса наших собственных серверов; каждый, кого спросили, узнаёт ваш IP-адрес, время и то, что устройство искало одно из имён наших серверов, и больше ничего. См. Что происходит при подключении.

4 октября 2026 г.: Gcore (gcore.com) присоединяется к Bunny.net (bunny.net) как CDN, а CDN теперь может передавать и собственные запросы приложения к нашим управляющим сервисам, а не только туннель; Gcore может передавать только эти запросы, но не туннель. CDN на любом из двух маршрутов может видеть ваш IP-адрес, имя хоста нашей ретрансляционной точки и время, но никогда — содержимое или то, к какому из наших сервисов обращён запрос. Gcore хранит ваш IP-адрес, имя хоста, на который был адресован запрос, и время 3 дня; логирование Bunny в наших зонах отключено. См. передачу вашего соединения через CDN.

10 октября 2026 г.: Приложения теперь могут отправлять отчёты о маршрутах — анонимную, агрегированную диагностику сети, не связанную с вашей личностью или учётной записью. Мы добавили их в раздел что хранят наши управляющие службы и исправили описание манифеста конфиденциальности Apple.

Вопросы, запросы или жалобы: support@fvpn.net. Оператором данных является Digital Services LLC.