Boletins de Privacidade

O que estamos fazendo

Reescrevemos nossoPolítica de Privacidade. A maior parte da mudança é estrutural: a política agora está mais curta e mais simples, e os períodos de retenção específicos para cada tipo de dados foram movidos para a nossapágina Políticas & Tratamento de Dadospara que possam ser mantidos atualizados conforme nossos sistemas mudam.

Três mudanças são substanciais e queremos ser claros sobre elas:

• O feedback de diagnóstico agora pode ser mantido por mais tempo. Anteriormente, o feedback era coberto por nossas práticas gerais de retenção. Os relatórios, incluindo qualquer endereço de e-mail opcional que você incluir neles, agora podem ser mantidos indefinidamente para que possamos diagnosticar problemas e reconhecer os recorrentes. Se você incluiu um endereço de e-mail, pode solicitar que excluamos seu relatório a qualquer momento entrando em contato com"privacy@psiphon.ca".
• Descrevemos uma exceção para eventos de censura. Quando ocorre um evento de censura significativo, podemos manter um subconjunto filtrado de dados de conexão não identificáveis além do período habitual, às vezes indefinidamente, para que possa ser estudado posteriormente. É assim que entendemos e combatemos bloqueios em larga escala. Sempre que fizermos isso, publicaremos uma entrada aqui descrevendo o que foi retido, por que e por quanto tempo.
• As estatísticas agregadas são declaradas como mantidas indefinidamente. Trata-se de contagens e tendências que não podem ser rastreadas até nenhum indivíduo ou conexão. Isso reflete a prática existente, em vez de uma alteração nela.

Também deixamos de fazer várias coisas que a política anterior descrevia:

• Não registramos mais nenhuma informação sobre os destinos aos quais você se conecta. A política anterior descrevia o registro do volume de dados transferidos para um pequeno número de domínios populares e para servidores de malware conhecidos. Esse recurso foi removido. Não registramos os sites, aplicativos ou serviços aos quais você se conecta, em nenhum nível de detalhe.
• O registro de acesso está desativado para o armazenamento que hospeda nossas páginas de download e listas de servidores. Esses logs registravam anteriormente endereços IP, agentes de usuário e registros de data e hora. Isso encerra a exceção que relatamos em 2020-06-19.
• Não solicitamos mais a localização aproximada opcional. Isso reverte a alteração que anunciamos em 2023-11-16.
• Não trabalhamos mais com a Freestar. A política anterior mencionava a Freestar ao lado do Google como parceira de publicidade. O Google AdMob agora é o único parceiro de publicidade.
• O PsiCash foi descontinuado e o serviço não está mais disponível, portanto, não é mais coberto por esta política.

Ainda não registramos seu endereço IP e não gravamos o conteúdo do seu tráfego.

Por que estamos fazendo isso

A política anterior havia crescido por acúmulo e era difícil de ler. Separar os princípios, que pertencem à política, dos períodos específicos, que mudam à medida que nossos sistemas mudam, significa que a política pode permanecer estável enquanto os detalhes permanecem precisos.

Quando estamos fazendo isso

Em vigor a partir de 2026-09-28T00:00Z

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidadepara adicionar menção à coleta opcional de dados de localização aproximada. Para ver as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Estamos adicionando a coleta opcional de dados de localização aproximada a algumas plataformas de cliente.

Quando estamos fazendo isso

Isso entrará em vigor em 2023-11-17T00:00Z.

Aplicativos afetados

Psiphon Android e Psiphon Windows executando o protocolo de túnel Conjure, que está habilitado apenas para determinados países e ISPs.

O que aconteceu

A autenticação para estações Conjure que se conectam ao registrador Conjure foi removida por engano em uma refatoração introduzida por volta do final de outubro de 2022.

Impacto

Era possível que qualquer agente ciente do problema se conectasse ao registrador do Conjure e obtivesse uma lista de informações de registros ativos, incluindo endereços IP de clientes associados. Assim que o problema foi descoberto no final de abril de 2023, os logs foram monitorados e nenhuma conexão suspeita ao registrador do Conjure foi observada.

Resolução

Uma correção, restaurando a autenticação,foi implementadoe agora está implantado.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Removemos links para parceiros de publicidade que não usamos mais. Para as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Não estamos mais usando esses parceiros de publicidade, então os links para eles não são mais relevantes.

Quando estamos fazendo isso

Isso entrará em vigor em 2023-02-01T00:00Z.

O que estamos fazendo

Estamos atualizando nossoPolítica de Privacidade. Modificamos o texto de um título, sem alteração de significado. Para as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Para evitar uma possível confusão causada pelo título anterior.

Quando estamos fazendo isso

Isso entrará em vigor em 2021-10-06T00:00Z.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Estamos adicionando informações sobre o my.psi.cash. Para ver as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Para garantir que a Política de Privacidade reflita com precisão nossas práticas de dados.

Quando estamos fazendo isso

Isso entrará em vigor em 2021-09-09T00:00Z.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Estamos adicionando informações sobre contas PsiCash. Para ver as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Para garantir que a Política de Privacidade reflita com precisão nossas práticas de dados.

Quando estamos fazendo isso

Isso entrará em vigor em 2021-05-13T00:00Z.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Estamos tornando mais precisas as informações sobre o registro em log do servidor de e-mail. Para ver as alterações exatas, consulte oCommit do GitHub.

Por que estamos fazendo isso

Para garantir que a Política de Privacidade reflita com precisão nossas práticas de dados.

Quando estamos fazendo isso

Isso entrará em vigor em 2021-05-12T00:00Z.

Aplicativos afetados

Psiphon para Windows v160.

O que aconteceu

Uma alteração foi introduzida no aplicativo Psiphon para Windows, o que resultou na possibilidade de alguns logs emitidos pelo executável integrado serem classificados como logs de falha. Isso permitiu que esses logs contornassem as medidas implementadas para evitar o registro de informações sensíveis. Se o usuário posteriormente enviasse um feedback e optasse por incluir informações de diagnóstico, esses logs seriam enviados para a Psiphon.

Impacto

Em 2021-01-26 às 8:23 EST, foi descoberto um único feedback de usuário contendo um log que incluía o caminho do arquivo do executável do Psiphon em seu computador. Felizmente, o caminho do arquivo não revelou nenhuma informação de identificação pessoal (PII). Não ocorreu nenhum vazamento externo conhecido desses dados. Nenhum outro feedback contendo informações sensíveis foi encontrado.

Resolução

Em 2021-01-26 às 11:45 EST, foi implementado um código para ocultar imediatamente quaisquer ocorrências dessas mensagens de diagnóstico encontradas em feedbacks de usuários enviados por clientes Psiphon. O aplicativo Psiphon para Windows foi corrigido na versão 161.

Aplicativos afetados

Psiphon Android (baixado do Google Play) anterior à v314; Psiphon Pro anterior à v314.

Plano de fundo

Os clientes Psiphon usam a permissão ACCESS_COARSE_LOCATION para determinar o BSSID do WiFi. O BSSID do WiFi é usado para lembrar configurações internas do Psiphon que funcionam melhor em diferentes redes WiFi. O BSSID do WiFi é armazenado apenas localmente e não é transmitido para os servidores do Psiphon. As versões do cliente Psiphon para Android que usam SDKs de publicidade de terceiros instruem esses SDKs a não usar a permissão ACCESS_COARSE_LOCATION para direcionamento de anúncios baseado em localização.

O que aconteceu

Um dos SDKs de publicidade de terceiros usados nos clientes Psiphon para Android não possui mais uma configuração para impedir que ele use serviços de localização para o direcionamento de anúncios baseado em localização. Além disso, novos SDKs de publicidade de terceiros foram adicionados aos clientes Psiphon que também não possuem uma configuração para impedir o uso de serviços de localização para o direcionamento de anúncios baseado em localização.

Impacto

É possível que SDKs de publicidade de terceiros usados por clientes Psiphon para Android estejam usando serviços de localização para segmentação de anúncios baseada em localização quando a permissão ACCESS_COARSE_LOCATION é concedida.

Resolução

Todos os clientes Psiphon para Android v314 removem a permissão ACCESS_COARSE_LOCATION para impedir que SDKs de publicidade de terceiros usem serviços de localização para direcionamento de anúncios baseados em localização. Os clientes Psiphon para Android agora usam um mecanismo menos preciso para distinguir entre redes WiFi a fim de lembrar as configurações internas do Psiphon que funcionam melhor em diferentes redes WiFi.

Aplicativos afetados

Psiphon iOS anterior à v1.0.48; Psiphon Android anterior à v302; Psiphon Windows anterior à v158; Biblioteca Psiphon anterior à v2.0.12.

Plano de fundo

Os clientes do Psiphon permitem que os usuários se conectem por meio de proxies upstream. Os usuários configuram manualmente as configurações de proxy upstream, incluindo quaisquer credenciais necessárias. O Psiphon registra mensagens de erro de rede em diagnósticos incluídos no feedback que os usuários enviam ao Psiphon; e registra mensagens de erro de rede com métricas de falha de conexão enviadas automaticamente ao Psiphon. Quando uma conexão com um proxy upstream falha, os erros relacionados são registrados.

O que aconteceu

Internamente, as configurações de proxy ascendente são representadas como uma URL e analisadas com o net/url do Go. As mensagens de erro do url.Parse ecoam a URL, que incluirá credenciais quando presentes. Esse erro, contendo credenciais, foi registrado em diagnósticos e métricas de falha de conexão, fazendo com que as credenciais fossem expostas ao Psiphon. Essa situação foi agravada pela falha ao codificar em URL as configurações de proxy ascendente inseridas pelo usuário, tornando a falha de análise mais provável.

Impacto

Diagnósticos contendo credenciais de proxy upstream e métricas de falha de conexão foram enviados para a Psiphon e armazenados, pelo período de retenção de "Dados de Atividade do Usuário", em nossos sistemas internos. Não houve vazamento externo conhecido desses dados.

Resolução

Um código foi implementado para remover imediatamente quaisquer ocorrências dessas mensagens de diagnóstico encontradas em feedbacks de usuários e métricas de falha de conexão enviadas pelos clientes Psiphon. Todas as mensagens de diagnóstico e métricas relacionadas foram excluídas dos sistemas do Psiphon. Os clientes foram atualizados para remover URLs de mensagens de erro de análise de URL do proxy a montante antes de enviar erros ao Psiphon.

Aplicativos afetados

Versões 1.0.43, 1.0.44 e 10.45 da VPN Psiphon para iOS (https://apps.apple.com/us/app/psiphon/id1276263909)."

Plano de fundo

O aplicativo de VPN para iOS do Psiphon usa o recurso “VPN On Demand” fornecido pelo iOS para garantir que a VPN seja reiniciada caso o dispositivo seja reiniciado ou a VPN trave. A primeira solicitação de rede feita após o dispositivo ser reiniciado, ou a VPN travar, acionará as regras configuradas de “VPN On Demand” para iniciar o Psiphon e enfileirar solicitações de rede até que o Psiphon tenha restabelecido sua conexão e esteja pronto para transmitir tráfego novamente.

O que aconteceu

Em 25 de junho de 2020, lançamos uma alteração que registrava metadados fornecidos pelo SO quando a VPN era iniciada. Optamos por registrar esses metadados porque, nos testes, eles incluíam informações não sensíveis, como se a VPN foi iniciada pelo SO devido a regras de "VPN On Demand" ou se o usuário iniciou a VPN a partir da interface de usuário do Psiphon. Em 21 de julho de 2020, chegou ao nosso conhecimento que o nome do host de destino, ou endereço IP, da primeira solicitação de rede que acionou a inicialização do Psiphon após uma reinicialização do dispositivo, ou uma falha no processo da VPN, estava incluído nesses metadados. Uma vez registrados, os metadados poderiam ser incluídos em um feedback enviado pelo usuário por meio do formulário de feedback no aplicativo. Desde que o usuário não tenha optado por não incluir informações de diagnóstico em seu feedback. Quando um usuário envia um feedback, ele é criptografado com uma chave pública emparelhada com uma chave privada que possuímos e mantemos em segredo. Isso garante que apenas nossos servidores de feedback possam descriptografar e ler o conteúdo do feedback de um usuário depois que ele for enviado pela internet. O feedback criptografado é enviado via TLS. Assim que o feedback chega aos nossos servidores, ele é descriptografado, armazenado por um período limitado e depois excluído.

Impacto

Menos de 10 logs que incluíam o destino de rede de uma requisição originada no cliente foram armazenados nos servidores do Psiphon.

Resolução

Em 22 de julho de 2020, uma correção foi lançada na versão 1.0.46 do Psiphon iOS VPN e os logs sensíveis foram excluídos dos servidores do Psiphon. Além disso, foi implementado um código para ocultar imediatamente quaisquer ocorrências dessas linhas de log encontradas em feedbacks de usuários enviados pelas versões afetadas do cliente conforme forem descriptografados nos servidores do Psiphon.

O que aconteceu

Usamos o AWS S3 para hospedar sites, aplicativos cliente e listas de servidores remotos. Descobrimos que o registro de logs havia sido ativado para muitos dos nossos recursos do S3 desde junho de 2015. Esses logs incluem endereços IP de usuários que acessaram esses recursos.

Impacto

Não encontramos nenhuma indicação de que quaisquer logs tenham sido obtidos por qualquer parte externa, portanto, isso não é uma violação de dados do usuário. No entanto, é uma violação da nossa Política de Privacidade.

Resolução

O registro de logs foi desativado para buckets do S3 acessíveis a usuários e todos os logs foram excluídos. Estamos trabalhando em um sistema para acompanhar exceções e problemas de privacidade, e investigando a auditoria de recursos da AWS.

O que estamos fazendo

Estamos suspendendo temporariamente o expurgo dos Dados de Atividade do Usuário, estendendo efetivamente o período de retenção de dados.

Por que estamos fazendo isso

Precisamos manter dados granulares de atividade por mais tempo para nos dar tempo de analisar eventos recentes de censura.

Quando estamos fazendo isso

Isso entrará em vigor a partir de 2019-12-12T00:00Z. Ficará em vigor por um mês. Atualizaremos este boletim se precisar ser estendido além disso.

Atualizar

A retenção de dados de atividade do usuário voltou ao normal até 2020-04-10.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Estamos alterando o período de retenção dos Dados de Atividade do Usuário de 60 dias para 90 dias. Também expandimos as informações sobre os Boletins de Privacidade. Para ver as alterações exatas, consulte aCommit do GitHub.

Por que estamos fazendo isso

Para garantir que a Política de Privacidade reflita com precisão nossas práticas de dados.

Quando estamos fazendo isso

Isso entrará em vigor em 2019-12-12T00:00Z.

O que estamos fazendo

Estamos atualizando nossosPolítica de Privacidade. Isso inclui mesclar a ele a resposta à pergunta do FAQ “Quais informações o Psiphon coleta?”."

Por que estamos fazendo isso

OPolítica de Privacidadepágina agora é o único lugar que os usuários precisam consultar para conferir as políticas de privacidade e coleta de dados do Psiphon. Ela foi atualizada para refletir o uso de anúncios, análises e registros em alguns dos nossos sites.

Quando estamos fazendo isso

Isso está em vigor até pelo menos 2015-06-01T00:00Z.

O que estamos fazendo

Estamos ativando o registro de acesso para um “bucket” (ou seja, contêiner de armazenamento) do Amazon S3 do site. (Por motivos técnicos, executamos dezenas de cópias do site em diferentes buckets do S3.)

Por que estamos fazendo isso

Estamos fazendo isso para determinar quantos acessos existem à “lista de servidores remotos” armazenada no bucket. Isso nos ajudará a ter uma ideia de quantos usuários não estão conseguindo se conectar.

Quando estamos fazendo isso

O registro de logs estará ativado de 2014-04-17T15:00Z até 2014-04-18T15:00Z.

Quais dados do usuário serão coletados

O registro coletará endereços IP, agentes de usuário e registros de data e hora de acesso a um site. Quando esses dados forem processados, teremos uma contagem de usuários dividida por região geográfica que acessaram o arquivo em questão.

Por quanto tempo os dados serão retidos

Os dados serão retidos por no máximo uma semana. Manteremos a contagem de usuários por mais tempo — possivelmente indefinidamente.

Quantos usuários são afetados

Ainda não sabemos com certeza quantos usuários serão afetados (é por isso que estamos fazendo isso), mas suspeitamos que serão menos de 10.000 usuários.

Quem além da Psiphon Inc. verá esses dados

Os logs de acesso também são armazenados em um bucket do Amazon S3, portanto a Amazon terá acesso aos logs. (No entanto, a Amazon distribui os arquivos, então ela já pode acessar essas informações.)