Boletins de Privacidade

O que estamos fazendo

Reescrevemos o nossoPolítica de Privacidade. A maior parte da mudança é estrutural: a política agora está mais curta e mais simples, e os períodos de retenção específicos para cada tipo de dados foram transferidos para o nossoPágina de Políticas e Tratamento de Dadospara que possam ser mantidos atualizados à medida que os nossos sistemas mudam.

Três alterações são substanciais e queremos ser claros sobre elas:

• O feedback de diagnóstico agora pode ser mantido por mais tempo. Anteriormente, o feedback era coberto por nossas práticas gerais de retenção. Relatórios, incluindo qualquer endereço de e-mail opcional que você incluir neles, podem agora ser mantidos indefinidamente para que possamos diagnosticar problemas e reconhecer os recorrentes. Se você incluiu um endereço de e-mail, pode nos pedir para excluir seu relatório a qualquer momento entrando em contato comprivacy@psiphon.ca.
• Descrevemos uma exceção para eventos de censura. Quando ocorre um evento de censura significativo, podemos manter um subconjunto filtrado de dados de conexão não identificáveis além do período habitual, às vezes indefinidamente, para que possa ser estudado posteriormente. É assim que compreendemos e combatemos o bloqueio em grande escala. Sempre que fizermos isso, publicaremos uma entrada aqui descrevendo o que foi retido, por que e por quanto tempo.
• As estatísticas agregadas são declaradas como sendo mantidas indefinidamente. Estas são contagens e tendências que não podem ser rastreadas até qualquer indivíduo ou conexão. Isso reflete a prática existente, em vez de uma alteração nela.

Também deixamos de fazer várias coisas que a política anterior descrevia:

• Não registramos mais nenhuma informação sobre os destinos aos quais você se conecta. A política anterior descrevia o registro do volume de dados transferidos para um pequeno número de domínios populares e para servidores de malware conhecidos. Essa capacidade foi removida. Não registramos os sites, aplicativos ou serviços aos quais você se conecta, em nenhum nível de detalhe.
• O registro de acesso está desativado para o armazenamento que hospeda nossas páginas de download e listas de servidores. Esses registros gravavam anteriormente endereços IP, agentes de usuário e carimbos de data/hora. Isso encerra a exceção que relatamos em 2020-06-19.
• Não solicitamos mais a localização aproximada opcional. Isso reverte a alteração que anunciamos em 2023-11-16.
• Não trabalhamos mais com a Freestar. A política anterior mencionava a Freestar ao lado do Google como parceira de publicidade. O Google AdMob agora é o único parceiro de publicidade.
• O PsiCash foi descontinuado e o serviço não está mais disponível, portanto não está mais coberto por esta política.

Ainda não registramos o seu endereço IP e não gravamos o conteúdo do seu tráfego.

Por que estamos fazendo isso

A política anterior tinha crescido por acumulação e era difícil de ler. Separar os princípios, que pertencem à política, dos períodos específicos, que mudam à medida que os nossos sistemas mudam, significa que a política pode permanecer estável enquanto os detalhes se mantêm precisos.

Quando estamos fazendo isso

Em vigor a partir de 2026-09-28T00:00Z

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidadepara adicionar menção à coleta opcional de dados de localização aproximada. Para as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Estamos adicionando a coleta opcional de dados de localização aproximada a algumas plataformas de clientes.

Quando estamos fazendo isso

Isto entrará em vigor em 2023-11-17T00:00Z.

Aplicações afetadas

Psiphon Android e Psiphon Windows executando o protocolo de túnel Conjure, que está ativado apenas para determinados países e ISPs.

O que aconteceu

A autenticação para estações Conjure que se conectam ao registrador Conjure foi removida por engano em uma refatoração introduzida por volta do final de outubro de 2022.

Impacto

Era possível que qualquer agente ciente do problema se conectasse ao registrador Conjure e obtivesse uma lista de informações de registros ativos, incluindo endereços IP de clientes associados. Assim que o problema foi descoberto no final de abril de 2023, os logs foram monitorados e nenhuma conexão suspeita com o registrador Conjure foi observada.

Resolução

Uma correção, restaurando a autenticação,foi implementadoe agora está implantado.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Removemos links para parceiros de publicidade que não estamos mais usando. Para as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Não estamos mais usando esses parceiros de publicidade, portanto os links para eles não são mais relevantes.

Quando estamos fazendo isso

Isso entrará em vigor em 2023-02-01T00:00Z.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Modificamos o texto de um cabeçalho, sem alteração de significado. Para ver as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Para evitar potencial confusão causada pelo título anterior.

Quando estamos fazendo isso

Isso entrará em vigor em 2021-10-06T00:00Z.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Estamos adicionando informações sobre my.psi.cash. Para as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Para garantir que a Política de Privacidade reflita com precisão as nossas práticas de dados.

Quando estamos fazendo isso

Isto entrará em vigor em 2021-09-09T00:00Z.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Estamos adicionando informações sobre as contas PsiCash. Para ver as alterações exatas, consulte aCommit do GitHub.

Por que estamos fazendo isso

Para garantir que a Política de Privacidade reflita com precisão nossas práticas de dados.

Quando estamos fazendo isso

Isto entrará em vigor em 2021-05-13T00:00Z.

O que estamos fazendo

Estamos atualizando nossoPolítica de Privacidade. Estamos tornando as informações sobre o registro do servidor de e-mail mais precisas. Para ver as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Para garantir que a Política de Privacidade reflita com precisão as nossas práticas de dados.

Quando estamos fazendo isso

Isso entrará em vigor em 2021-05-12T00:00Z.

Aplicações afetadas

Psiphon para Windows v160.

O que aconteceu

Uma alteração foi introduzida no aplicativo Psiphon para Windows, o que resultou na possibilidade de alguns logs emitidos pelo executável integrado serem classificados como logs de falha. Isso permitiu que esses logs contornassem as medidas implementadas para evitar o registro de informações sensíveis. Se o usuário posteriormente enviasse um feedback e optasse por incluir informações de diagnóstico, esses logs seriam enviados para a Psiphon.

Impacto

Em 2021-01-26 às 8:23am EST, foi identificado um único feedback de usuário contendo um log que incluía o caminho do arquivo do executável do Psiphon em seu computador. Felizmente, o caminho do arquivo não revelou nenhuma informação de identificação pessoal (PII). Não ocorreu nenhum vazamento externo conhecido desses dados. Nenhum outro feedback contendo informações sensíveis foi encontrado.

Resolução

Em 2021-01-26 às 11:45am EST, um código foi implementado para ocultar imediatamente quaisquer ocorrências destas mensagens de diagnóstico encontradas em feedbacks de usuários enviados por clientes Psiphon. O aplicativo Psiphon para Windows foi corrigido na versão 161.

Aplicações afetadas

Psiphon Android (baixado do Google Play) anterior à v314; Psiphon Pro anterior à v314.

Plano de fundo

Os clientes Psiphon usam a permissão ACCESS_COARSE_LOCATION para determinar o BSSID do WiFi. O BSSID do WiFi é usado para lembrar configurações internas do Psiphon que funcionam melhor em diferentes redes WiFi. O BSSID do WiFi é armazenado apenas localmente e não é transmitido para os servidores do Psiphon. As versões do cliente Psiphon para Android que usam SDKs de publicidade de terceiros instruem esses SDKs a não usar a permissão ACCESS_COARSE_LOCATION para direcionamento de anúncios com base na localização.

O que aconteceu

Um dos SDKs de publicidade de terceiros utilizados nos clientes Psiphon para Android não possui mais uma configuração para impedir o uso de serviços de localização para a segmentação de anúncios baseada em localização. Além disso, novos SDKs de publicidade de terceiros foram adicionados aos clientes Psiphon que também não possuem uma configuração para impedir o uso de serviços de localização para a segmentação de anúncios baseada em localização.

Impacto

É possível que SDKs de publicidade de terceiros usados pelos clientes Psiphon para Android tenham utilizado serviços de localização para direcionamento de anúncios com base na localização quando a permissão ACCESS_COARSE_LOCATION é concedida.

Resolução

Todos os clientes Psiphon para Android v314 removem a permissão ACCESS_COARSE_LOCATION para impedir que SDKs de publicidade de terceiros usem serviços de localização para o direcionamento de anúncios com base na localização. Os clientes Psiphon para Android agora usam um mecanismo menos preciso para distinguir entre redes WiFi a fim de lembrar as configurações internas do Psiphon que funcionam melhor em diferentes redes WiFi.

Aplicativos afetados

Psiphon iOS anterior a v1.0.48; Psiphon Android anterior a v302; Psiphon Windows anterior a v158; Biblioteca Psiphon anterior a v2.0.12.

Plano de fundo

Os clientes Psiphon permitem que os usuários se conectem através de proxies a montante. Os usuários configuram manualmente as configurações de proxy a montante, incluindo quaisquer credenciais necessárias. O Psiphon registra mensagens de erro de rede nos diagnósticos incluídos no feedback que os usuários enviam ao Psiphon; e registra mensagens de erro de rede com métricas de falha de conexão enviadas automaticamente ao Psiphon. Quando uma conexão com um proxy a montante falha, os erros relacionados são registrados.

O que aconteceu

Internamente, as configurações de proxy a montante são representadas como uma URL e analisadas com o net/url do Go. As mensagens de erro do url.Parse reproduzem a URL, que incluirá credenciais quando presentes. Este erro, contendo credenciais, foi registrado em diagnósticos e métricas de falha de conexão, fazendo com que as credenciais fossem expostas ao Psiphon. Esta situação foi agravada pela falha em codificar em URL as configurações de proxy a montante inseridas pelo usuário, tornando a falha de análise mais provável.

Impacto

Diagnósticos contendo credenciais de proxy a montante e métricas de falha de conexão foram enviados para o Psiphon e armazenados, durante o período de retenção de "Dados de Atividade do Usuário", em nossos sistemas internos. Não ocorreu nenhum vazamento externo conhecido desses dados.

Resolução

O código foi implementado para ocultar imediatamente quaisquer ocorrências dessas mensagens de diagnóstico encontradas em feedbacks de usuários e métricas de falha de conexão enviadas por clientes Psiphon. Todas as mensagens de diagnóstico e métricas relacionadas foram excluídas dos sistemas do Psiphon. Os clientes foram atualizados para remover URLs de mensagens de erro de análise de URL de proxy upstream antes de enviar erros para o Psiphon.

Aplicações afetadas

Versões 1.0.43, 1.0.44 e 10.45 da VPN Psiphon para iOS (https://apps.apple.com/us/app/psiphon/id1276263909)."

Plano de fundo

O aplicativo de VPN para iOS do Psiphon utiliza o recurso “VPN On Demand” fornecido pelo iOS para garantir que a VPN seja reiniciada caso o dispositivo seja reinicializado ou a VPN falhe. A primeira solicitação de rede feita após o dispositivo ser reinicializado, ou a VPN falhar, acionará as regras de “VPN On Demand” configuradas para iniciar o Psiphon e enfileirar as solicitações de rede até que o Psiphon restabeleça sua conexão e esteja pronto para transmitir tráfego novamente.

O que aconteceu

Em 25 de junho de 2020, lançamos uma alteração que registrou metadados fornecidos pelo OS quando a VPN era iniciada. Optamos por registrar esses metadados porque, em testes, eles incluíam informações não sensíveis, como se a VPN foi iniciada pelo OS devido a regras de “VPN On Demand” ou pelo usuário iniciando a VPN a partir da UI do Psiphon. Em 21 de julho de 2020, tomamos conhecimento de que o hostname de destino, ou endereço IP, da primeira solicitação de rede que acionou a inicialização do Psiphon após uma reinicialização do dispositivo, ou falha no processo da VPN, estava incluído nesses metadados. Uma vez registrados, os metadados poderiam ser incluídos em um feedback enviado pelo usuário através do formulário de feedback no aplicativo. Desde que o usuário não tenha optado por não incluir informações de diagnóstico em seu feedback. Quando um usuário envia um feedback, ele é criptografado com uma chave pública, que é emparelhada com uma chave privada de nossa propriedade e mantida em segredo. Isso garante que apenas nossos servidores de feedback possam descriptografar e ler o conteúdo do feedback de um usuário depois de enviado pela internet. O feedback criptografado é enviado via TLS. Assim que o feedback chega aos nossos servidores, ele é descriptografado, armazenado por um período limitado e depois excluído.

Impacto

Menos de 10 logs que incluíam o destino de rede de uma requisição originada no cliente foram armazenados nos servidores da Psiphon.

Resolução

Em 22 de julho de 2020, uma correção foi lançada no Psiphon iOS VPN versão 1.0.46 e os logs confidenciais foram excluídos dos servidores do Psiphon. Além disso, um código foi implementado para ocultar imediatamente quaisquer ocorrências dessas linhas de log encontradas nos feedbacks de usuários enviados a partir das versões de cliente afetadas, à medida que são descriptografados nos servidores do Psiphon.

O que aconteceu

Usamos o AWS S3 para hospedar sites, aplicativos cliente e listas de servidores remotos. Descobrimos que o registro de logs havia sido ativado para muitos dos nossos recursos do S3 desde junho de 2015. Esses logs incluem endereços IP de usuários que acessaram esses recursos.

Impacto

Não encontramos nenhum indício de que quaisquer logs tenham sido obtidos por qualquer parte externa, portanto, isso não é uma violação de dados de usuários. No entanto, é uma violação da nossa Política de Privacidade.

Resolução

O registro em log foi desativado para buckets do S3 acessíveis por usuários e todos os logs foram excluídos. Estamos trabalhando em um sistema para acompanhar exceções e problemas de privacidade e investigando a auditoria de recursos da AWS.

O que estamos fazendo

Estamos suspendendo temporariamente a limpeza de Dados de Atividade do Usuário, estendendo efetivamente o período de retenção de dados.

Por que estamos fazendo isso

Precisamos manter dados granulares de atividade por mais tempo para nos dar tempo de analisar eventos recentes de censura.

Quando estamos fazendo isso

Isso entrará em vigor a partir de 2019-12-12T00:00Z. Ficará em vigor por um mês. Atualizaremos este boletim se for necessário estendê-lo além disso.

Atualizar

A retenção de dados de atividade do usuário voltou ao normal até 2020-04-10.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Estamos alterando o período de retenção dos Dados de Atividade do Usuário de 60 dias para 90 dias. Também expandimos as informações sobre os Boletins de Privacidade. Para ver as alterações exatas, consulte ocommit do GitHub.

Por que estamos fazendo isso

Para garantir que a Política de Privacidade reflita com precisão as nossas práticas de dados.

Quando estamos fazendo isso

Isso entrará em vigor em 2019-12-12T00:00Z.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade". Isso inclui mesclar a ele a resposta à pergunta do FAQ “Que informações o Psiphon coleta?”."

Por que estamos fazendo isso

OPolítica de Privacidadepágina agora é o único local que os usuários precisam consultar para verificar as políticas de privacidade e coleta de dados do Psiphon. Ela foi atualizada para refletir o uso de anúncios, análises e registros em alguns dos nossos sites.

Quando estamos fazendo isso

Isto está em vigor desde pelo menos 2015-06-01T00:00Z.

O que estamos fazendo

Estamos ativando o registro de acesso para um “bucket” (isto é, contêiner de armazenamento) do Amazon S3 do site. (Por motivos técnicos, executamos dezenas de cópias do site em diferentes buckets do S3.)

Por que estamos fazendo isso

Estamos fazendo isso para determinar quantos acessos há à “lista de servidores remotos” armazenada no bucket. Isso nos ajudará a ter uma ideia de quantos usuários estão falhando ao se conectar.

Quando estamos fazendo isso

O registro estará ativado de 2014-04-17T15:00Z a 2014-04-18T15:00Z.

Quais dados do usuário serão coletados

O registro coletará endereços IP, agentes de usuário e registros de data/hora de acesso a um site. Quando esses dados forem processados, teremos uma contagem de usuários dividida por região geográfica que acessaram o arquivo em questão.

Por quanto tempo os dados serão retidos

Os dados serão retidos por no máximo uma semana. Manteremos a contagem de usuários por mais tempo — possivelmente indefinidamente.

Quantos usuários são afetados

Ainda não sabemos com certeza quantos usuários serão afetados (é por isso que estamos fazendo isso), mas suspeitamos que serão menos de 10,000 usuários.

Quem além da Psiphon Inc. verá estes dados

Os logs de acesso também são armazenados em um bucket do Amazon S3, portanto a Amazon terá acesso aos logs. (No entanto, a Amazon serve os arquivos, então eles já podem acessar essas informações.)