Политика конфиденциальности

Документ описывает, какие данные обрабатывает сервис «ФОНГ · связь» — приложение для iPhone и сервер messages.fong.ru, — зачем, где они хранятся и как их удалить. Обработка ведётся в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Оператор

Оператор персональных данных (далее — «мы»), работающий под брендом «ФОНГ»:

• наименование: [OWNER-FILL: полное наименование юрлица (ООО «…»), ИП Фамилия Имя Отчество или ФИО физического лица];
• ОГРН / ОГРНИП: [OWNER-FILL: ОГРН или ОГРНИП; для физического лица пункт удалить];
• ИНН: [OWNER-FILL: ИНН];
• адрес: [OWNER-FILL: почтовый адрес для официальных запросов и претензий].

По вопросам обработки данных пишите в Telegram @fongstudio, на support@fong.ru или письмом по адресу оператора.

Мы обрабатываем данные, чтобы исполнить соглашение с вами — Условия использования, которые вы принимаете при регистрации, — и с вашего согласия, которое вы даёте там же.

2. Какие данные мы обрабатываем

Если срок не указан, данные хранятся до удаления аккаунта.

Данные	Зачем	Срок
Email	Вход по одноразовому коду; связь по вопросам аккаунта. Виден другим участникам сервиса.	До удаления аккаунта
Имя, которое вы указали	Показывается собеседникам и другим участникам сервиса.	До удаления аккаунта
Публичный ключ	Собеседники шифруют им сообщения для вас; по нему вычисляется код безопасности. Виден другим участникам.	До удаления аккаунта или смены ключа
Зашифрованные сообщения	Доставка, в том числе на устройство, которое было не в сети; история переписки на новом телефоне. Вместе с шифротекстом хранятся отправитель, получатель и время.	До удаления аккаунта отправителя или получателя
Зашифрованная резервная копия ключа	Перенос переписки на новый телефон и на другие ваши устройства. Расшифровать её можно только паролем восстановления.	До удаления аккаунта или замены ключа
Приглашения	Закрытая регистрация: кто кого пригласил, коды инвайтов, даты. Участник видит имена тех, кто воспользовался его инвайтами.	Неиспользованные — до удаления аккаунта; использованные — см. раздел 8
Отметка о принятии условий	Подтверждение согласия с Условиями использования (дата и время).	До удаления аккаунта
Сессии	Вход без повторного кода. Хранится хэш токена (SHA-256), а не сам токен, и время последнего использования.	90 дней с последнего использования или до выхода
Токены push-уведомлений	Доставка уведомлений о сообщениях и звонках через Apple Push Notification service (APNs и VoIP).	До выхода на устройстве, удаления аккаунта или отзыва токена Apple
Блокировки	Список участников, которых вы заблокировали: сервер не доставляет вам их сообщения и звонки.	До снятия блокировки или удаления аккаунта
Жалобы	Разбор нарушений: кто пожаловался, на кого, причина и текст, который автор жалобы сам решил приложить.	Пока нужны для разбора и предотвращения повторных нарушений; после удаления аккаунта — без привязки к нему (раздел 8)
Коды входа	Подтверждение email. Код хранится в виде хэша.	10 минут
IP-адрес	Ограничение частоты запросов и защита от подбора кодов — в оперативной памяти сервера; журналы сервера для диагностики и расследования атак.	В памяти — до 15 минут; журналы — не дольше 14 дней
Статус «в сети» и набор текста	Показываются собеседникам в реальном времени.	Не сохраняются

3. Что сервер не видит

Текст сообщений

Сообщение шифруется на телефоне отправителя алгоритмом AES-256-GCM ключом пары. Ключ пары вычисляется на обоих телефонах из их ключей ECDH P-256 и на сервер не передаётся. Сервер хранит шифротекст и служебные поля: отправителя, получателя и время.

Закрытый ключ и пароль восстановления

Закрытый ключ хранится в связке ключей (Keychain) устройства. На сервер попадает только его резервная копия, зашифрованная ключом, который выводится из пароля восстановления (PBKDF2-SHA256, 600 000 итераций, AES-256-GCM). Пароль восстановления не передаётся ни нам, ни третьим лицам; восстановить или сбросить его мы не можем.

Звонки

Аудио и видео идут напрямую между устройствами или через наш TURN-ретранслятор и зашифрованы DTLS-SRTP. Ретранслятор видит IP-адреса участников и объём трафика, но не содержимое; журналов соединений он не ведёт. Сигнальные сообщения, включая параметры соединения и отпечатки DTLS, зашифрованы ключом пары. Сервер видит только служебные признаки: кто кому звонит, идентификатор звонка и тип — аудио или видео; эти признаки хранятся в памяти не дольше 60 секунд, чтобы доставить звонок на устройство. История звонков хранится только на вашем телефоне.

4. Уведомления

Уведомления о новых сообщениях доставляются через Apple Push Notification service. В уведомлении передаются зашифрованное сообщение и числовой идентификатор отправителя; текст расшифровывается на вашем устройстве. Apple видит токен устройства, время и размер уведомления, но не текст сообщения.

Уведомления о звонках (VoIP) содержат идентификатор звонка, числовой идентификатор звонящего и признак видеозвонка. Имён и текста в них нет: имя собеседника приложение берёт из данных на устройстве.

5. Кому передаются данные

• Yandex Cloud (ООО «Яндекс.Облако») — хостинг сервера и базы данных в дата-центрах на территории Российской Федерации. Сервис Yandex Cloud Postbox отправляет письма с кодами входа с адреса noreply@messages.fong.ru и для этого получает ваш email и текст письма.
• Apple Inc. — доставка push-уведомлений (APNs). Токен устройства и зашифрованное содержимое уведомления передаются на серверы Apple за пределами Российской Федерации; это трансграничная передача, необходимая для работы уведомлений на iPhone.
• Google — сайт messages.fong.ru загружает шрифты с Google Fonts, поэтому Google получает IP-адрес и сведения о браузере посетителя сайта. Приложение шрифты с Google не загружает.

Другим лицам мы данные не передаём, кроме случаев, прямо предусмотренных законодательством Российской Федерации. Содержимое сообщений мы передать не можем: расшифрованным оно на сервере не хранится.

6. Реклама, аналитика, cookie

В приложении и на сайте нет рекламы, сторонней аналитики и трекеров. Сайт не устанавливает cookie; cookie использует только панель администратора сервиса. Мы не продаём данные и не передаём их для рекламы.

Если в настройках iOS вы разрешили делиться аналитикой с разработчиками, Apple может передавать нам обезличенные отчёты о сбоях приложения. Это настраивается в iOS: Настройки → Конфиденциальность и безопасность → Аналитика и улучшения.

7. Кто имеет доступ

Другие участники сервиса видят ваше имя, email в сокращённом виде (например, a***@example.com), публичный ключ и статус «в сети». Полный адрес видите только вы и администратор. Собеседники получают ваши сообщения и расшифровывают их на своих устройствах.

Администратор сервиса видит служебные данные: список участников, даты регистрации и последнего входа, кто кого пригласил, число устройств, отпечаток ключа, наличие резервной копии, жалобы. Вход в панель администратора защищён паролем и одноразовым кодом (TOTP), каждое действие записывается в журнал. Содержимое сообщений недоступно никому, кроме собеседников.

8. Сроки хранения и удаление

Удалить аккаунт можно в приложении: Настройки → Удалить аккаунт. При удалении с сервера сразу удаляются:

• учётная запись: email, имя, публичный ключ, резервная копия ключа;
• сессии, устройства и токены push-уведомлений;
• сообщения, которые вы отправили и которые отправили вам;
• блокировки — ваши и в отношении вас;
• все приглашения, которые вы создали, и приглашение, по которому вы зарегистрировались;
• ожидающие доставки сигналы звонков.

После удаления на сервере остаются:

• аккаунты участников, которых вы пригласили: они продолжают работать, связь «кто пригласил» с вами удаляется;
• жалобы, которые подали вы или на вас: ссылка на ваш аккаунт удаляется, причина и текст, приложенный автором жалобы, сохраняются, пока нужны для разбора нарушений и предотвращения повторной регистрации нарушителя;
• журнал действий администратора: записи о действиях с вашим аккаунтом (например, блокировка или удаление администратором) содержат внутренний номер учётной записи и email и хранятся для контроля действий администраторов и расследования нарушений.

Копии сообщений, уже расшифрованные на устройствах собеседников, остаются у них: удалить их с чужого телефона мы не можем.

Резервные копии базы данных создаются ежедневно и хранятся 14 дней, затем удаляются. Удалённые данные исчезают из резервных копий не позднее чем через 14 дней.

Технические журналы сервера хранятся не дольше 14 дней, затем удаляются.

9. Ваши права

• Получить сведения о том, какие ваши данные мы обрабатываем.
• Уточнить данные: имя меняется в приложении, email — по запросу.
• Удалить аккаунт и данные в приложении: Настройки → Удалить аккаунт.
• Отозвать согласие на обработку. Без обработки данных работа сервиса невозможна, поэтому отзыв согласия означает удаление аккаунта.
• Обжаловать наши действия в Роскомнадзоре или в суде.

Запросы принимаем в Telegram @fongstudio, на support@fong.ru и письмом по адресу оператора, указанному в разделе 1. Отвечаем в течение 10 рабочих дней.

10. Защита данных

Соединения с сервером защищены TLS. Сообщения и резервная копия ключа шифруются на устройстве и хранятся на сервере только в зашифрованном виде. Токены сессий и коды входа хранятся в виде хэшей. Число запросов кодов и попыток входа ограничено.

11. Возраст

Сервис не предназначен для лиц младше 16 лет. Если вы узнали, что аккаунт создал человек младше 16 лет, напишите нам — мы удалим аккаунт.

12. Изменения политики

Новая редакция публикуется на этой странице с датой вступления в силу. О существенных изменениях мы сообщаем заранее в приложении или по email.

13. Контакты

[OWNER-FILL: полное наименование оператора], ИНН [OWNER-FILL: ИНН], адрес: [OWNER-FILL: почтовый адрес]. Реквизиты оператора — в разделе 1.

Telegram @fongstudio, email support@fong.ru.