Політика конфіденційності

Digital Services LLC керує ForestVPN. Ця політика охоплює застосунки ForestVPN для iPhone, iPad, Mac та Apple TV, для телефонів і планшетів Android і для Android TV, застосунки для стільниці на Windows і Linux, клієнт командного рядка для Linux і застосунок для роутера, сервери, що передають ваш трафік, і цей сайт.

Наше зобов'язання

ForestVPN не продає, не використовує й не розкриває жодній третій стороні дані, описані в цій політиці, з жодною метою, окрім суворо необхідного для роботи сервісу — тобто Apple чи Google для оплати та перелічені нижче постачальники інфраструктури, кожен з яких діє виключно як обробник за нашими інструкціями й за договором. Ми не займаємося рекламою, не профілюємо вас і нічим не ділимося з брокерами даних, постачальниками аналітики чи мережами атрибуції. У застосунку їх немає. Один виняток не є нашим обробником: коли DNS вашої мережі не працює або наші сервери недоступні за адресами, які він повернув, застосунок може запитати публічний DNS-резолвер (Cloudflare, Google або Quad9) про адресу наших власних серверів, і цей резолвер бачить вашу IP-адресу згідно з власною політикою конфіденційності. Див. Що відбувається під час підключення.

Застосунок не містить жодного SDK для аналітики, жодного SDK для атрибуції й жодного рекламного ідентифікатора на жодній платформі. На платформах Apple це зазначено в маніфесті конфіденційності застосунку, який декларує відсутність відстеження й доменів для відстеження. Він декларує десять типів даних. Дев'ять позначені як пов'язані з вашою особою: ідентифікатор користувача, ідентифікатор пристрою (псевдонім, що поєднується з вашим обліковим записом, коли ви його прив'язуєте), історія покупок, приблизне місцезнаходження, вміст звернень до підтримки, інший вміст користувача, діагностичні дані, дані про продуктивність та інші дані про використання. Один, взаємодія з продуктом, не пов'язаний: помічник підтримки рахує, з якого екрана його відкрито, чи ви вирішили поділитися діагностикою і чи його відповідь розв'язала проблему, без жодної позначки пристрою чи облікового запису. Форма Apple приймає одну відповідь на тип даних, тому діагностичні дані та приблизне місцезнаходження позначені як пов'язані, бо такими є звіт, який ви вирішуєте надіслати, і лічильники видачі облікових даних, хоча звіти про маршрути такими не є. Дев'ять типів використовуються для функціонування застосунку, а вісім також для наших власних операційних лічильників, описаних у розділі про аналітику. На Android застосунок ніколи не запитує рекламний ідентифікатор і не додає власного SDK для аналітики, атрибуції чи звітування про збої. Єдина стороння бібліотека, що звертається до Google, — це Google Play Billing Library, яку Google вимагає для покупок у застосунку і яка діє за власною політикою конфіденційності Google.

Чого в нас ніколи немає

• Ваш перегляд. У наших системах немає жодного поля для сайтів, які ви відвідуєте, імен, які ви шукаєте, чи адрес, до яких підключаєтеся. Не короткий термін зберігання — такого стовпця просто не існує.
• Ваша особа. Немає ні імейлу, ні пароля, ні номера телефону, ні імені. Акаунт, якщо ви його створите, — це 128-бітне випадкове число. У таблиці акаунтів немає жодного поля контактів.
• Ваша картка. Оплата відбувається в Apple чи Google або — якщо ви купуєте на сайті — в обраного вами процесора: Stripe, CloudPayments чи NOWPayments. Apple надає нам підписану квитанцію й токен, похідний від пристрою; для покупки через Google Play ми перевіряємо токен покупки, який пересилає застосунок, — разом із токеном, похідним від пристрою й прив'язаним до покупки, — безпосередньо на серверах самого Google, ніколи не покладаючись лише на слово застосунку. Покупка на сайті дає нам одноразовий референс-номер, який ми генеруємо самі, ніколи не вашу картку. У будь-якому разі ми ніколи не бачимо номер картки, а для криптоплатежу лише процесор бачить бодай щось. Дивіться оплату карткою чи криптовалютою.
• Додаткові дозволи на Android. Застосунок запитує дві речі під час роботи: власний системний діалог згоди на VPN-з'єднання та, на Android 13 і новіше, дозвіл на показ сповіщень — запитується один раз, під час першого підключення, ніколи під час холодного запуску, — що охоплює поточний статус з'єднання, попередження про вичерпання чи завершення обсягу даних і проблеми зі з'єднанням. Він не запитує вашу локацію чи контакти. Ще два дозволи, які він декларує, повністю лишаються на пристрої й ніколи не надсилаються нам: читання переліку встановлених застосунків — для екрана розділеного тунелювання, що виключає обрані застосунки з тунелю, — та системний запит відбитка пальця, обличчя чи блокування екрана, щоб дозволити показ вашого власного номера акаунта на екрані.

Що зберігається на вашому пристрої

Машинний ключ

Під час першого запуску застосунок генерує пару ключів, що лишається на пристрої: у системній зв'язці ключів на платформах Apple; на Android — у приватному сховищі застосунку, зашифрованому ключем, що зберігається в Android Keystore. Він позначений так, щоб ніколи не покидати цей пристрій — ні на інші ваші пристрої, ні в iCloud, а на Android — і в жодну резервну копію чи копію для перенесення пристрою. Це не рекламний ідентифікатор, і він ні з ким не ділиться. Ми зберігаємо хеш його публічної половини — так пристрій розпізнається між запусками.

На платформах Apple він постійний. Він ніколи не оновлюється й переживає видалення застосунку. Перевстановлення там не дає вам нової особи — перевстановлений застосунок пред'являє той самий ключ і розпізнається як той самий пристрій. Це навмисно: саме це зупиняє один пристрій від отримання необмеженої кількості безкоштовних обсягів даних, і це означає, що видалення там не є скиданням, про що варто знати до встановлення. На Android ключ не переживає видалення застосунку чи очищення його сховища. Перевстановлення генерує новий ключ і реєструється як новий пристрій, а старий запис пристрою лишається на нашому боці осиротілим, під зберіганням, зазначеним у таблиці нижче. Застосунок також один раз замінює свій ключ на місці, якщо наші сервери коли-небудь повідомлять, що старий невідомий.

Ключ сеансу

Кожен квиток несе власний ключ сеансу, згенерований на пристрої під час видачі квитка, до будь-якої спроби підключення. Він зберігається, зашифрований, у власному локальному сховищі платформи — системній зв'язці ключів на платформах Apple, приватному сховищі застосунку на Android — доки квиток не буде використано чи він не закінчиться, а запасний квиток, випущений для того самого з'єднання, може мати спільний ключ із тим, який він резервує. Він ніколи не покидає пристрій, окрім своєї публічної половини.

Акаунти, підписки та обсяги даних

Один сервіс видає облікові дані для з'єднання й зберігає записи, потрібні підписці. Він містить:

Рядок прив'язки квитка вище — єдиний виняток, і про нього сказано тут, а не замовчано: поки він існує, він називає і ваш пристрій, і сеанс, якому він належить, а це дозволяє зарахувати завершений сеанс до вашого обсягу даних і відключити відкликаний пристрій посеред сеансу. Він видаляється автоматично, а не за запитом — через годину після завершення сеансу, який він називає, або коли сам квиток закінчується невикористаним, залежно від того, що настане раніше. Жоден із цих записів, включно з цим, не містить вихідного вузла, адреси, з якої ви підключилися, чи того, куди ви ходили: служба видачі ніколи не дізнається жодного з цього. Вони існують лише в окремій службі, описаній у розділі [що відбувається під час підключення](#session), яка не має способу дізнатися, хто ви. Рядок діагностичного звіту вище зберігається також у третій, окремій службі — непідписане завантаження, якого служба видачі ніколи не бачить і не може зіставити з пристроєм.

Самі облікові дані

Щоб підключитися, ваш пристрій запитує в цієї служби квиток. Квиток підписується наосліп: підпис створюється над значенням, якого ми ніколи не бачимо, тож квиток, який ви пред'являєте під час підключення, неможливо розпізнати як той, що видано саме вам. Він несе рівно два факти — який рівень його підписав і ключ якого двотижневого періоду використано — і більше нічого. Служба видачі ніколи не дізнається локацію, вихідний вузол, сеанс чи те, чи взагалі піднявся тунель.

Оплата карткою чи криптовалютою

Apple або Google виставляє рахунок за кожну підписку, куплену в застосунку, і ми ніколи не бачимо номер картки. На платформах Apple Apple надсилає нам підписану квитанцію й токен, похідний від пристрою. На Android перед оформленням покупки наші сервери видають застосунку токен, похідний від ключа пристрою; застосунок додає його до покупки як обфускований ідентифікатор акаунта Google Play, і Google повертає його щоразу, коли ми перевіряємо покупку, тож підписку можна зіставити з пристроєм, який її купив, — він не несе ні імені, ні імейлу, ні картки. Застосунок також пересилає нашим серверам токен покупки та ідентифікатор продукту, які видає Google Play; наші сервери перевіряють покупку безпосередньо на API самого Google, а не довіряють слову застосунку; Google окремо надсилає нам сповіщення Real-Time Developer Notification, коли підписка змінюється, — ми сприймаємо це як привід перевірити з Google ще раз, а не як самостійний доказ. Підписку також можна купити на сайті через картковий процесор — Stripe чи CloudPayments — або криптопроцесор NOWPayments, і цей шлях достатньо відрізняється, щоб описати його окремо.

Коли ви оформлюєте покупку на сайті, ми самі генеруємо одноразовий референс-номер і передаємо його процесору — ніколи не номер вашого акаунта. За цією політикою номер акаунта — це облікові дані; розмістити його в панелі платіжного процесора, у даних вебхуків чи в інструментах підтримки означало б опублікувати пароль. Референс спливає протягом години і сам собою нічого не відкриває.

Що ми зберігаємо з покупки на сайті: який процесор виставив рахунок, власний ідентифікатор підписки цього процесора, рівень, дату, до якої оплачено, і чи її скасовано або відкликано. Що ми ніколи не отримуємо й не зберігаємо: ваше ім'я, ваш імейл, вашу платіжну адресу, відбиток вашої картки або — для криптоплатежу — будь-що про вас узагалі. Код, що записує платіжний рядок, не має поля, яке могло б утримати щось із цього; додавання такого поля було б помітною, перевіреною зміною у файлі, якого торкається кожен, хто працює над платіжним каналом, а не тим, що могло б статися непомітно через помилку.

Скажемо максимально прямо: запит на надання записів, поданий нам, дає рівень і дату, до якої оплачено. Той самий запит, поданий платіжному процесору, дає особу й картку. Це навмисно. Це та ціна, яку платите за оплату на сайті замість через Apple чи Google, і це також причина, чому ми радше довіримо ці дані компанії, створеній для їх зберігання, ніж триматимемо їх ще й у себе.

Скасування підписки, оформленої через магазин застосунків, відбувається у власних налаштуваннях магазину: Налаштування → Apple ID → Підписки на платформах Apple або екран «Підписки» в застосунку Google Play Store на Android. Карткова підписка скасовується через власний клієнтський портал процесора, який автентифікує вас за імейлом, що він тримає, — не нами, бо ми жодного не тримаємо. Криптоплатіж купує фіксований термін і просто спливає; скасовувати нічого.

Якщо ви втратите номер акаунта після покупки на сайті, підтримка може попросити процесор повернути вам кошти, але не може відновити доступ — на нашому боці немає ні імейлу, ні пароля, щоб довести, що покупка була вашою. Криптоплатіж узагалі не можна повернути. Ми воліємо, щоб ви прочитали обидва ці речення до оплати, а не після.

Що відбувається під час підключення

Окрема служба приймає квиток і відкриває сеанс. Вона бачить адресу, з якої ви підключаєтесь, обрану вами локацію та ваш одноразовий ключ сеансу, і зберігає запис сеансу, що містить рівень, епоху, цей ключ сеансу, вихідний вузол, адреси вашого тунелю, термін дії та бюджет байтів. Запис видаляється сам, коли сеанс завершується. Вашу вихідну адресу до нього ніколи не записують.

Ця служба взагалі не має жодної прив'язки до бази даних. У неї немає способу дістатися акаунта чи пристрою, тож помилка на шляху з'єднання не може записати вашу особу в запис сеансу — просто нема чим це записати. Збірка з тестом the privacy seam holds провалюється, якщо цю прив'язку колись додадуть. Це та єдина властивість конфіденційності тут, що не залежить від того, чи поводимося ми добросовісно.

Перед підключенням застосунку потрібні адреси наших власних серверів. Спочатку він запитує їх у DNS вашої мережі. Якщо той не працює, відповідає надто повільно або повертає хибну відповідь, вже так робив у цій самій мережі, чи наші сервери недоступні за адресами, які він повернув, застосунок може додатково, поряд із ним, а не замість нього, запитати Cloudflare (1.1.1.1), Google (8.8.8.8) або Quad9 (9.9.9.9) через зашифрований DNS — лише адреси наших власних серверів і ніколи адреси сайтів, які ви відвідуєте. У кожного з цих операторів є й інші публічні адреси, якими може скористатися застосунок. У мережі, DNS якої відповідає швидко й правильно і де наші сервери доступні за цими адресами, не запитують жодного з них. Кожен, кого запитали, дізнається IP-адресу, з якої надійшло запитання, час і те, що цей пристрій шукав одне з імен наших серверів, — і більше нічого: ні номера акаунта, ні облікових даних сеансу, нічого з того, що ви переглядаєте. Ми не надсилаємо їм нічого, крім самого запиту, і кожен із них застосовує до отриманого власну політику конфіденційності. Якщо ми колись дозволимо застосунку запитувати іншого DNS-провайдера, ми назвемо його тут раніше, ніж застосунок це зробить.

Передача вашого з'єднання через CDN

У деяких мережах наші власні сервери блокуються чи сповільнюються за адресою або за назвою. Коли так стається, застосунок може автоматично використати мережу доставки контенту (CDN) замість прямого підключення до нас. Таких маршрутів два: на планах Pro та Premium він може передавати ваш зашифрований тунель через CDN замість прямого підключення до нашого сервера; а для власних запитів до наших служб керування, як-от підписаний список серверів і квитки сеансу, він також може використовувати CDN. Сьогодні Bunny.net може передавати обидва маршрути, а Gcore — лише власні запити застосунку до наших служб керування, але не тунель; Fastly підключений так само і може передавати цей трафік у майбутньому. Це відбувається автоматично й використовується лише тоді, коли це потрібно вашому з'єднанню. Це ніколи не змінює те, що ми про вас збираємо: CDN лише передає байти, так само як він передає трафік будь-якого звичайного сайту, і не може прочитати ні номер вашого акаунта, ні облікові дані сеансу.

CDN, що передає ваше з'єднання, налаштований на досягнення одного конкретного нашого сервера — вихідного вузла для тунелю, ретрансляційного сервера для запитів до наших служб керування — і поки ваше з'єднання проходить через нього, він справді бачить адресу, з якої ви підключаєтесь, ім'я хоста нашої ретрансляційної точки, час і ритм вашого трафіку та грубе прочитання з'єднання — приблизну локацію та відбиток того, як ваш пристрій встановлює TLS-з'єднання, — сигнал, який може обчислити будь-який HTTPS-ретранслятор, так само як і при передачі будь-якого іншого зашифрованого сайту. Він не бачить того, що всередині: WireGuard шифрує тунель наскрізно між вашим пристроєм і нашим вихідним сервером, запити до наших служб керування шифруються між застосунком і нашим ретрансляційним сервером, а CDN передає і те, і те, не розкриваючи, тож ніколи не дізнається, якій із наших служб адресований запит. Наші власні сервери відкидають це грубе прочитання одразу після отримання й ніколи його не зберігають; що відрізняється залежно від постачальника, нижче, — це чи сам CDN зберігає запис, що пов'язує вашу IP-адресу із сервером, до якого вас передано.

• Bunny.net передає цей трафік сьогодні. Ми вимикаємо для нього журналювання запитів у наших зонах, тож Bunny не зберігає запис, що пов'язує вашу IP-адресу із сервером, якого ви досягли.
• Gcore може передавати лише власні запити застосунку до наших служб керування, але не тунель, і не передаватиме тунель, доки ми не скажемо про це тут. На відміну від Bunny, журналювання Gcore не можна вимкнути на нашому акаунті: воно 3 дні зберігає IP-адресу, з якої ви підключаєтесь, ім'я хоста, на яке було адресовано запит, та час, і його може прочитати будь-хто з токеном цього акаунта. Gcore також передає вашу IP-адресу нашому серверу в заголовку запиту; наш сервер відкидає її одразу після отримання й ніколи не зберігає. Ми розкриваємо це, а не приховуємо, і ми або перестанемо покладатися на Gcore для цього, або вимкнемо це того дня, коли Gcore дозволить.
• Fastly поки не передає жодного нашого трафіку. Якщо це почнеться, ми опишемо тут, що він може бачити, так само як для двох інших, ще до того, як він почне щось передавати.

Жоден із цих трьох не може прочитати номер вашого акаунта чи облікові дані для входу, і жодному не надано способу зіставити передане ним з'єднання з тим, хто ви на нашому боці. Щоб вирішити, чи потрібен мережі CDN, застосунок зберігає на вашому пристрої невелику нотатку для кожної мережі, з якої він підключався, заведену під хешованою назвою цієї мережі: чи там був потрібен CDN, день, коли він востаннє це з'ясував, і назви публічних локацій, які спрацювали. Він ніколи не тримає адресу, сервер чи назву мережі у відкритому вигляді, і його виключено з будь-якого діагностичного звіту, який ви надсилаєте. Застосунок звертається до CDN лише в мережі, де пряме підключення до нашого сервера не вдалося, зараз чи протягом останньої доби. Щоб преміум-маршрут лишався доступним за ціною, ми рахуємо для кожного пристрою й календарного місяця, скільки байтів через нього пройшло. Ми ніколи не записуємо, який сервер, коли і звідки.

Вихідні сервери

Вихідні сервери завантажуються з пам'яті. Немає диска, на який можна писати, стан стирається після кожного перезавантаження, і в програмному забезпеченні, що ними керує, немає жодних шляхів коду для журналювання.

Поки сеанс активний, вихідний вузол неминуче обробляє адресу, з якої ви підключаєтесь, — він завершує тунель, — разом із ключем сеансу, якого більше ніколи не побачить, і самим трафіком. Він нічого з цього не записує. Те, що він повідомляє назад, — це агреговані, затримані й округлені дані: байти на пір за період, ніколи на з'єднання чи призначення.

Щоб підтримувати роботу серверів, вихідний вузол може обмежувати швидкість чи відмовляти в обробці шаблонів зловживання трафіком локально, використовуючи лише те, що є в пам'яті цього сервера, і прив'язуючись до мережі, з якої надійшов трафік, ніколи до підписника. Немає жодного запису про зловживання, що переживає сеанс, бо його зберігання означало б розв'язання сеансу до особи.

Надання спільного доступу до пристрою або виходу

Якщо ви запрошуєте когось користуватися одним із ваших виходів, ця людина виходить в інтернет через ваше з'єднання так само, як будь-який гість у вашій мережі: вебсайти, ігри та ваш інтернет-провайдер бачать її трафік як такий, що надходить від вашого з'єднання, а ви постаєте перед ними як людина, яка його використовує. Якщо ви запрошуєте когось лише до одного пристрою, ця людина може дістатися лише цього пристрою і нічого більше у вашій мережі.

Трафік між вашими пристроями, а також трафік гостя через спільний доступ, зашифрований наскрізно. Коли пряме з'єднання неможливе, він проходить через ретранслятор ForestVPN, який не може його прочитати і не зберігає жодних записів про те, які пристрої спілкуються між собою. У мережах, що блокують нас, трафік також може проходити через мережу доставлення контенту, яка бачить лише те, що передаються зашифровані дані, так само, як і решта трафіку ForestVPN (див. вище «Передавання вашого з'єднання через CDN»).

Запису про те, хто що робив, не існує. ForestVPN не веде журналу того, що гість робить через спільний доступ, тому ні хост, ні ми не можемо показати, хто що зробив.

Спільний доступ зберігається як два випадкові ідентифікатори mesh і невеликий стан — для кого він призначений, що дозволяє і коли закінчується — але ніколи як журнал використання. Завершення спільного доступу видаляє його через 30 днів. Наш хостинг-провайдер Cloudflare все ще може відновити його протягом ще 30 днів після цього, для власних цілей аварійного відновлення.

Аналітика

Ми зберігаємо операційні лічильники: скільки облікових даних видано й відхилено, результати й час з'єднань, загальні обсяги байтів та агреговані дані по кожному серверу, щоденні кількості нових пристроїв, нових облікових записів, платних клієнтів і змін підписок та лічильники помічника підтримки (тема, точка входу, чи поділилися діагностикою, чи допомогла відповідь), жоден з яких не містить пристрою, облікового запису чи будь-якого тексту. Вони записуються до сховища аналітики, яке ніщо на шляху запиту не читає назад.

Про це варто сказати прямо дві речі.

• Рядки про видачу й розрахунок облікових даних несуть псевдонімну мітку на пристрій — ключований хеш хешу ключа вашого пристрою, а не сам хеш, — разом із кодом країни та номером мережевого оператора. За GDPR це персональні дані, а не анонімні.
• Зберігання становить 90 днів і не може бути змінене, і немає жодного API для видалення. Ми не можемо видалити чиїсь рядки аналітики за запитом; ми можемо лише чекати, доки вони спливуть. Ротація ключа, що формує мітку, робить майбутні рядки осиротілими від минулих; вона не прибирає минулі рядки й не скасовує кореляцію, зроблену, поки старий ключ був у використанні.

Жоден рядок не несе разом і суб'єкта, і вихідний вузол. Набори даних, що несуть мітку пристрою, не несуть сервер, а набори даних, що несуть сервер, не несуть суб'єкта. Звіти про маршрути — це агрегати без мітки пристрою, і вони публікуються на наших панелях лише за дні щонайменше з 10 пристроїв.

Цей сайт взагалі не використовує аналітику. Він встановлює одну функціональну куку (fvpn_locale), яка запам'ятовує вашу мову на рік і більше нічого не робить. Він не завантажує сторонні скрипти, нічого не вбудовує й самостійно хостить свої шрифти.

Хто ще це обробляє

Кожен із них діє за нашими інструкціями, за договором, і зобов'язаний захищати дані щонайменше на рівні, визначеному тут. Публічні DNS-резолвери — виняток: вони діють за власними політиками конфіденційності, а не за нашою.

Cloudflare

Хостить контрольні служби, їхні бази даних і цей сайт, завершує TLS для наших доменів і зберігає діагностичний звіт, який ви можете надіслати, у сховищі, прив'язаному лише до вашого коду підтримки й окремому від будь-якого запису пристрою. Оскільки TLS завершується там, Cloudflare здатна бачити метадані запитів до наших хостнеймів незалежно від того, що записує наш власний код. Це реальне обмеження, і ми воліємо його визнати, а не применшувати.

Nebius

Запускає мовну модель за асистентом підтримки, у ЄС, за договором із нульовим зберіганням даних — вона не зберігає вашу розмову після відповіді й не навчається на ній. Вона ніколи не отримує номер вашого акаунта, вашу IP-адресу чи те, до яких серверів ви підключаєтесь. Дивіться асистент підтримки.

Apple

Продає й виставляє рахунки за кожну підписку, куплену в застосунку, і повідомляє нам, що підписка існує. Apple має власну політику конфіденційності й власні стосунки з вами. Ми отримуємо підписану квитанцію й токен, похідний від пристрою, — ніколи номер картки, ім'я чи імейл.

Google

Продає й виставляє рахунки за кожну підписку, куплену в застосунку для Android, і повідомляє нам, що підписка існує. Google має власну політику конфіденційності й власні стосунки з вами. Застосунок пересилає нам токен покупки та ідентифікатор продукту разом із токеном, похідним від пристрою й прив'язаним до покупки як обфускований ідентифікатор акаунта Google Play; ми перевіряємо все це безпосередньо на серверах самого Google, а Google окремо надсилає нам сповіщення Real-Time Developer Notification, коли підписка змінюється, — ніколи номер картки, ім'я чи імейл.

Stripe

Обробляє карткові платежі за підписки, куплені на сайті, і керує клієнтським порталом, де карткова підписка керується й скасовується. Stripe тримає ім'я покупця, імейл, платіжну адресу й дані картки — жодне з цього не доходить до нас.

CloudPayments

Альтернативний картковий процесор для покупок на сайті, запропонований там, де він краще служить покупцям, ніж Stripe. Та сама межа: він тримає платіжну особу, ми тримаємо рядок підписки без прив'язаного до нього імені.

NOWPayments

Обробляє криптовалютні платежі за покупки на сайті. Це спосіб оплати, де навіть процесор тримає найменше про вас — без картки, без банківського рахунку, — і, на відміну від інших, криптоплатіж не можна повернути. Дивіться оплату карткою чи криптовалютою.

Постачальники серверів

Компанії, що хостять наші вихідні сервери. Вони бачать обсяг трафіку на власному краю мережі, як і будь-який хостинг. Вони не мають доступу до пам'яті серверів чи до вашого трафіку.

Bunny.net

Передає зашифрований тунель з'єднання Pro чи Premium, а також зашифровані власні запити застосунку до наших служб керування, коли мережа блокує наші власні сервери, і тільки тоді. Поки він передає трафік, він бачить IP-адресу, з якої ви підключаєтесь, ім'я хоста нашої ретрансляційної точки та час трафіку, ніколи — те, що всередині, до якої з наших служб звернено запит, ваш акаунт чи ключ вашого пристрою. Його журналювання запитів вимкнено в наших зонах. Дивіться передачу вашого з'єднання через CDN.

Gcore

Може передавати лише власні зашифровані запити застосунку до наших служб керування, але не тунель, коли мережа блокує наші власні сервери, і тільки тоді. Поки він передає трафік, він бачить IP-адресу, з якої ви підключаєтесь, ім'я хоста нашої ретрансляційної точки та час трафіку, ніколи — те, що всередині, до якої з наших служб звернено запит, ваш акаунт чи ключ вашого пристрою. На відміну від Bunny.net, його журналювання не можна вимкнути на нашому акаунті: він зберігає IP-адресу, з якої ви підключаєтесь, ім'я хоста, на яке було адресовано запит, та час 3 дні. Дивіться передачу вашого з'єднання через CDN.

AWS

Дзеркалить підписаний список серверів, тож пристрій, який не може дістатися нашого власного домену, усе одно може отримати список. Коли пристрій переходить на це дзеркало, AWS бачить IP-адресу, з якої він підключається, і час цього запиту — ніколи ваш акаунт, ключ вашого пристрою чи те, який сервер ви потім використовуєте.

Публічні DNS-резолвери

Cloudflare, Google і Quad9 тримають публічні DNS-резолвери, у яких застосунок може запитати через зашифрований DNS адреси наших власних серверів, коли DNS вашої мережі не працює, відповідає надто повільно або повертає хибну відповідь, чи наші сервери недоступні за адресами, які він повернув. Вони не наші обробники: кожен діє за власною політикою конфіденційності, а не за нашою, і дізнається вашу IP-адресу, час і шукане ім'я сервера, але ніколи ваш акаунт і те, що ви переглядаєте. Див. Що відбувається під час підключення.

Зберігання

Термін зберігання вказано для кожного запису в таблиці вище. Коротко: записи сеансів існують лише поки триває сеанс; прив'язки квитків — єдиний запис, де пристрій і сеанс на одному рядку, — видаляються за годину після розрахунку або за власним терміном дії квитка, ніколи не пізніше приблизно 17 днів; коди підтримки й діагностичні звіти зберігаються 72 години; денне використання спливає через 31 день; аналітика спливає через 90 днів і не може бути видалена достроково; записи пристроїв, записи акаунтів, записи підписок і платежів, місячні підсумки байтів та журнал рішень зберігаються безстроково, бо спір щодо підписки чи відхилений обсяг даних має бути пояснюваним пізніше. Це зберігання для того, що тримаємо ми, — квитанція покупки на сайті, листування щодо спору та запис картки живуть у процесора й підпорядковані його власній політиці зберігання, а не цій.

Видалення та чого запит справді може досягти

Напишіть на support@fvpn.net з кодом підтримки із застосунку — Account → Get help на платформах Apple; на Android торкніться статусу з'єднання вгорі застосунку, а тоді Health → Report a problem → Get a support code на телефоні чи планшеті або Connection details → Report a problem → Get a support code на Android TV. Код — єдиний спосіб визначити, який запис пристрою ваш: у нас немає ні імейлу, ні імені користувача, ні назви акаунта, щоб автентифікувати вас. Без нього ми не можемо діяти за запитом щодо конкретного пристрою.

Точно про те, чого цей запит сьогодні справді досягає:

• Рядки денного використання можна видалити, і вони й так спливають через 31 день.
• Пристрій можна відв'язати, не видаляючи акаунт. Пристрій може вийти з акаунта сам на сторінці «Акаунт» у застосунку, а будь-який інший пристрій на акаунті може його видалити, у застосунку або в консолі на fvpn.net; пристрій і далі працює на тарифі Free. На акаунті до десяти пристроїв, пристрій, що приєднався за останні 7 днів, не може видаляти старіші, а роутер може вийти сам, але не може видаляти інші пристрої. Видалення всього акаунта — окрема дія, нижче.
• Видалення акаунта в застосунку доступне: Акаунт → Видалити акаунт. Це остаточно: воно видаляє акаунт, повертає кожен пов'язаний із ним пристрій у стан без прив'язки до акаунта (кожен зберігає те, що купив окремо), і не може скасувати підписки, що належать акаунту, — їх продовжує виставляти магазин, Apple чи Google, доки ви самі не скасуєте їх у власних налаштуваннях підписок. Він запитує повний номер акаунта, а не покладається на те, що ви ввійшли на пристрої, бо кожен пристрій на акаунті має рівні повноваження, і жоден із них не повинен мати змогу знищити його від імені інших. Він видаляє лише акаунт: у пристрою без прив'язаного акаунта тут нічого видаляти.
• Рядки аналітики взагалі не можна видалити, і вони спливають через 90 днів.
• Місячні підсумки байтів, платіжні записи й журнал рішень зберігаються. Журнал навмисно незмінний: запис, який можна тихо відредагувати, не може врегулювати спір.

Ви можете будь-коли зупинити весь збір даних, видаливши застосунок і не підключаючись. Зауважте, що це не видаляє записи вище і що машинний ключ переживає видалення на платформах Apple — дивіться що зберігається на вашому пристрої.

Якщо ви в ЄС, Великій Британії чи Каліфорнії, ви маєте права доступу, виправлення, видалення та перенесення персональних даних, які ми про вас тримаємо. Хеш ключа пристрою — це псевдонімні персональні дані, а не анонімні, і ми ставимося до них саме так. Там, де ми не можемо задовольнити запит — випадки вище, — ми скажемо, який саме і чому, а не стверджуватимемо, що не можемо вас ідентифікувати.

Від чого це не захищає

Один запис пов'язує ваш пристрій із сеансом, а через пристрій — і з вашим акаунтом, якщо ви його прив'язали. Це прив'язка квитка, описана в розділі акаунти й підписки: вона існує, щоб можна було вимірювати обсяг даних і відключати відкликаний пристрій посеред сеансу, і вона видаляється через годину після завершення цього сеансу. Ніщо ніде не пов'язує будь-яке з них із вихідним вузлом. Ми кажемо це так, а не стверджуємо поділ, якого в нас немає, — і ось інші межі, з тієї ж причини:

• Служба, що видає облікові дані, і вихідний вузол, що передає ваш трафік, кожна бачить ваш ключ сеансу в різні моменти. Сторони, яких примусили діяти разом, чи які змовилися, могли б використати це, щоб відновити сеанс наскрізно. Ми не зберігаємо жодного запису, що дав би це зробити, і жодна зі сторін не може зробити це самостійно.
• Якщо ви скористаєтеся сторінкою пристроїв, щоб надіслати роутер на інший вихідний вузол, обрана вами локація зберігається за цим пристроєм — а отже, якщо пристрій прив'язано до акаунта, і за вашим акаунтом — доки ви не оберете іншу. Це те, про що ви попросили, а не те, що ми спостерігали: підтвердження пристрою — це число, відлунене назад, а не місце.
• TLS для наших доменів завершується в Cloudflare, тож метадані про запити до наших хостнеймів існують там незалежно від нашого власного коду.
• Хеш ключа вашого пристрою стабільний, а псевдонімні рядки аналітики, прив'язані до нього, живуть 90 днів.
• Множина людей, від яких вас неможливо відрізнити, — це кожен, хто тримає квиток, підписаний тим самим ключем рівня в той самий двотижневий період, — а не «всі наші користувачі». На старті ця множина невелика. Ми воліємо сказати це прямо, ніж описувати анонімність, якої в нас поки немає.

VPN змінює, хто бачить ваш трафік. Він не робить вас анонімними, і цей сервіс не заявляє про це.

Діти, зміни й контакти

Сервіс не орієнтований на дітей молодше 13 років, і ми свідомо не збираємо дані про них. У нас немає способу дізнатися вік користувача, бо ми нічого не збираємо, що могло б це показати.

Якщо ця політика суттєво зміниться, ми змінимо дату вгорі, опишемо тут, що змінилося, і покажемо повідомлення в застосунках, що це підтримують. Оскільки на файлі немає імейлу, ми не можемо повідомити вас поштою.

11 October 2026: Додано розділ про надання спільного доступу до пристрою або виходу іншій людині: як виглядає трафік гостя, що наші ретранслятори можуть і не можуть бачити та що зберігається про спільний доступ. Див. надання спільного доступу до пристрою або виходу.

4 жовтня 2026 р.: якщо DNS вашої мережі не працює, відповідає надто повільно або повертає хибну відповідь, чи наші сервери недоступні за адресами, які він повернув, застосунок може додатково запитати Cloudflare, Google або Quad9 через зашифрований DNS адреси наших власних серверів; кожен, кого запитали, дізнається вашу IP-адресу, час і те, що пристрій шукав одне з імен наших серверів, і більше нічого. Див. Що відбувається під час підключення.

4 жовтня 2026 р.: Gcore (gcore.com) приєднується до Bunny.net (bunny.net) як CDN, а CDN тепер може передавати й власні запити застосунку до наших служб керування, не лише тунель; Gcore може передавати лише ці запити, але не тунель. CDN на будь-якому з двох маршрутів може бачити вашу IP-адресу, ім'я хоста нашої ретрансляційної точки та час, ніколи — вміст чи те, до якої з наших служб звернено запит. Gcore зберігає вашу IP-адресу, ім'я хоста, на яке було адресовано запит, та час 3 дні; журналювання Bunny вимкнено в наших зонах. Дивіться передачу вашого з'єднання через CDN.

10 жовтня 2026 р.: Застосунки тепер можуть надсилати звіти про маршрути — анонімну, агреговану діагностику мережі, не пов'язану з вашою особою чи обліковим записом. Ми додали їх до розділу що зберігають наші служби керування і виправили опис маніфесту конфіденційності Apple.

Запитання, запити чи скарги: support@fvpn.net. Контролер — Digital Services LLC.