Boletins de Privacidade

O que estamos a fazer

Reescrevemos o nossoPolítica de Privacidade. A maior parte da alteração é estrutural: a política está agora mais curta e simples, e os períodos de retenção específicos para cada tipo de dados passaram para a nossaPágina de Políticas & Tratamento de Dadospara que possam ser mantidos atualizados à medida que os nossos sistemas mudam.

Três alterações são substanciais e queremos ser claros sobre elas:

• O feedback de diagnóstico pode agora ser mantido durante mais tempo. Anteriormente, o feedback estava abrangido pelas nossas práticas gerais de retenção. Os relatórios, incluindo qualquer endereço de e-mail opcional que inclua nos mesmos, podem agora ser mantidos indefinidamente para que possamos diagnosticar problemas e reconhecer os recorrentes. Se tiver incluído um endereço de e-mail, pode pedir-nos para eliminar o seu relatório a qualquer momento, contactandoprivacy@psiphon.ca.
• Descrevemos uma exceção para eventos de censura. Quando ocorre um evento de censura significativo, podemos manter um subconjunto filtrado de dados de ligação não identificáveis para além do prazo habitual, por vezes indefinidamente, para que possa ser estudado mais tarde. É assim que compreendemos e combatemos bloqueios em grande escala. Sempre que o fizermos, publicaremos aqui uma entrada a descrever o que foi retido, porquê e durante quanto tempo.
• As estatísticas agregadas são indicadas como sendo mantidas indefinidamente. Trata-se de contagens e tendências que não podem ser associadas a qualquer indivíduo ou ligação. Isto reflete a prática existente, em vez de uma alteração à mesma.

Também deixámos de fazer várias coisas que a política anterior descrevia:

• Já não registamos qualquer informação sobre os destinos a que se liga. A política anterior descrevia o registo do volume de dados transferidos para um pequeno número de domínios populares e para servidores de malware conhecidos. Essa capacidade foi removida. Não registamos os sites, aplicações ou serviços a que se liga, em nenhum nível de detalhe.
• O registo de acessos está desativado para o armazenamento que aloja as nossas páginas de transferência e listas de servidores. Esses registos guardavam anteriormente endereços IP, user agents e carimbos de data/hora. Isto encerra a exceção que comunicámos em 2020-06-19.
• Já não pedimos a localização aproximada opcional. Isto reverte a alteração que anunciámos em 2023-11-16.
• Já não trabalhamos com a Freestar. A política anterior mencionava a Freestar juntamente com a Google como parceiro publicitário. O Google AdMob é agora o único parceiro publicitário.
• O PsiCash foi descontinuado e o serviço já não está disponível, pelo que já não está abrangido por esta política.

Continuamos a não registar o seu endereço IP e não registamos o conteúdo do seu tráfego.

Porque o estamos a fazer

A política anterior tinha crescido por acumulação e era difícil de ler. Separar os princípios, que pertencem à política, dos períodos específicos, que mudam à medida que os nossos sistemas mudam, significa que a política pode manter-se estável enquanto o detalhe se mantém preciso.

Quando o estamos a fazer

Em vigor a partir de 2026-09-28T00:00Z

O que estamos a fazer

Estamos a atualizar o nossoPolítica de Privacidadepara adicionar a menção à recolha opcional de dados de localização aproximada. Para ver as alterações exatas, consulte oCommit do GitHub.

Porque o estamos a fazer

Estamos a adicionar a recolha opcional de dados de localização aproximada a algumas plataformas de cliente.

Quando o estamos a fazer

Isto estará em vigor em 2023-11-17T00:00Z.

Aplicações afetadas

Psiphon Android e Psiphon Windows a executar o protocolo de túnel Conjure, que está ativado apenas para determinados países e ISPs.

O que aconteceu

A autenticação das estações Conjure que se ligam ao registador Conjure foi removida por engano numa refatorização introduzida por volta do final de outubro de 2022.

Impacto

Era possível a qualquer interveniente com conhecimento do problema ligar-se ao serviço de registo do Conjure e obter uma lista de informações de registo ativas, incluindo endereços IP de clientes associados. Assim que o problema foi descoberto, em finais de abril de 2023, os registos foram monitorizados e não foram observadas ligações suspeitas ao serviço de registo do Conjure.

Resolução

Uma correção, que restaura a autenticação,foi implementadoe está agora implementado.

O que estamos a fazer

Estamos a atualizar os nossosPolítica de Privacidade. Removemos ligações para parceiros publicitários que já não utilizamos. Para ver as alterações exatas, consulte oCommit do GitHub.

Porque o estamos a fazer

Já não utilizamos esses parceiros publicitários, pelo que as ligações para eles já não são relevantes.

Quando o estamos a fazer

Isto entrará em vigor a 2023-02-01T00:00Z.

O que estamos a fazer

Estamos a atualizar os nossosPolítica de Privacidade. Modificámos o texto de um cabeçalho, sem alteração de significado. Para as alterações exatas, consulte oCommit do GitHub.

Porque o estamos a fazer

Para evitar uma potencial confusão causada pelo título anterior.

Quando o estamos a fazer

Isto entrará em vigor a 2021-10-06T00:00Z.

O que estamos a fazer

Estamos a atualizar os nossosPolítica de Privacidade. Estamos a adicionar informações sobre o my.psi.cash. Para as alterações exatas, consulte oCommit do GitHub.

Porque o estamos a fazer

Para garantir que a Política de Privacidade reflete com precisão as nossas práticas de dados.

Quando o estamos a fazer

Isto entrará em vigor em 2021-09-09T00:00Z.

O que estamos a fazer

Estamos a atualizar os nossosPolítica de Privacidade. Estamos a adicionar informações sobre as contas PsiCash. Para as alterações exatas, consulte oCommit do GitHub.

Porque o estamos a fazer

Para garantir que a Política de Privacidade reflete com precisão as nossas práticas de dados.

Quando o estamos a fazer

Isto entrará em vigor em 2021-05-13T00:00Z.

O que estamos a fazer

Estamos a atualizar os nossosPolítica de Privacidade. Estamos a tornar as informações sobre o registo do servidor de e-mail mais precisas. Para ver as alterações exatas, consulte oCommit do GitHub.

Porque o estamos a fazer

Para garantir que a Política de Privacidade reflete com precisão as nossas práticas de dados.

Quando o estamos a fazer

Isto entrará em vigor a 2021-05-12T00:00Z.

Aplicações afetadas

Psiphon para Windows v160.

O que aconteceu

Foi introduzida uma alteração na aplicação Psiphon para Windows que resultou na possibilidade de alguns registos emitidos pelo executável incluído serem classificados como registos de falha. Isto permitiu que esses registos contornassem as medidas implementadas para evitar o registo de informações sensíveis. Se o utilizador enviasse posteriormente feedback e optasse por incluir informações de diagnóstico, estes registos seriam enviados para a Psiphon.

Impacto

A 2021-01-26, às 8:23 EST, foi descoberto um único feedback de um utilizador contendo um registo que incluía o caminho do ficheiro executável do Psiphon no seu computador. Felizmente, o caminho do ficheiro não revelou quaisquer informações de identificação pessoal (PII). Não ocorreu qualquer fuga externa conhecida destes dados. Não foram encontrados outros feedbacks com informações sensíveis.

Resolução

A 2021-01-26 às 11:45 EST, foi implementado código para ocultar imediatamente quaisquer ocorrências destas mensagens de diagnóstico encontradas no feedback dos utilizadores enviado a partir dos clientes Psiphon. A aplicação Psiphon para Windows foi corrigida na versão 161.

Aplicações afetadas

Psiphon Android (transferido do Google Play) anterior à v314; Psiphon Pro anterior à v314.

Fundo

Os clientes Psiphon utilizam a permissão ACCESS_COARSE_LOCATION para determinar o BSSID do WiFi. O BSSID do WiFi é utilizado para memorizar definições internas do Psiphon que funcionam melhor em diferentes redes WiFi. O BSSID do WiFi é apenas guardado localmente e não é transmitido para os servidores do Psiphon. As versões do cliente Psiphon para Android que utilizam SDKs de publicidade de terceiros instruem esses SDKs a não utilizar a permissão ACCESS_COARSE_LOCATION para a segmentação de publicidade baseada na localização.

O que aconteceu

Um dos SDKs de publicidade de terceiros utilizado nos clientes Psiphon para Android já não tem uma definição para impedir que utilize os serviços de localização para a segmentação de anúncios baseada na localização. Além disso, foram adicionados novos SDKs de publicidade de terceiros aos clientes Psiphon que também não têm uma definição para impedir a utilização dos serviços de localização para a segmentação de anúncios baseada na localização.

Impacto

É possível que os SDKs de publicidade de terceiros utilizados pelos clientes Psiphon para Android tenham estado a utilizar serviços de localização para segmentação de anúncios baseada na localização quando a permissão ACCESS_COARSE_LOCATION é concedida.

Resolução

Todos os clientes Psiphon para Android v314 removem a permissão ACCESS_COARSE_LOCATION para impedir que SDKs de publicidade de terceiros utilizem serviços de localização para a segmentação de anúncios baseada na localização. Os clientes Psiphon para Android utilizam agora um mecanismo menos preciso para distinguir entre redes WiFi, de modo a memorizar as definições internas do Psiphon que funcionam melhor em diferentes redes WiFi.

Aplicações afetadas

Psiphon iOS anterior à v1.0.48; Psiphon Android anterior à v302; Psiphon Windows anterior à v158; Biblioteca Psiphon anterior à v2.0.12.

Fundo

Os clientes Psiphon permitem que os utilizadores se liguem através de proxies a montante. Os utilizadores configuram manualmente as definições de proxy a montante, incluindo quaisquer credenciais necessárias. O Psiphon regista mensagens de erro de rede nos diagnósticos incluídos no feedback que os utilizadores enviam para o Psiphon; e regista mensagens de erro de rede com métricas de falha de ligação enviadas automaticamente para o Psiphon. Quando uma ligação a um proxy a montante falha, os erros relacionados são registados.

O que aconteceu

Internamente, as configurações de proxy a montante são representadas como um URL e analisadas com o net/url do Go. As mensagens de erro do url.Parse reproduzem o URL, que incluirá credenciais quando presentes. Este erro, contendo credenciais, foi registado nos diagnósticos e nas métricas de falha de ligação, fazendo com que as credenciais fossem expostas à Psiphon. Esta situação foi agravada pela falha ao codificar em URL as configurações de proxy a montante introduzidas pelo utilizador, tornando a falha de análise mais provável.

Impacto

Diagnósticos contendo credenciais de proxy a montante e métricas de falhas de ligação foram enviados para a Psiphon e armazenados, durante o período de retenção de "Dados de Atividade do Utilizador", nos nossos sistemas internos. Não ocorreu qualquer fuga externa conhecida destes dados.

Resolução

Foi implementado código para ocultar imediatamente quaisquer ocorrências destas mensagens de diagnóstico encontradas no feedback dos utilizadores e nas métricas de falha de ligação enviadas pelos clientes Psiphon. Todas as mensagens de diagnóstico e métricas relacionadas foram eliminadas dos sistemas da Psiphon. Os clientes foram atualizados para remover URLs das mensagens de erro de análise de URL de proxy upstream antes de enviar os erros para a Psiphon.

Aplicações afetadas

Versões 1.0.43, 1.0.44 e 10.45 da Psiphon iOS VPN (https://apps.apple.com/us/app/psiphon/id1276263909")."

Fundo

A aplicação VPN para iOS da Psiphon utiliza a funcionalidade “VPN On Demand” disponibilizada pelo iOS para garantir que a VPN é reiniciada caso o dispositivo seja reiniciado ou a VPN falhe. O primeiro pedido de rede efetuado após o dispositivo ser reiniciado, ou a VPN falhar, irá acionar as regras de “VPN On Demand” configuradas para iniciar o Psiphon e colocar os pedidos de rede em fila de espera até que o Psiphon restabeleça a sua ligação e esteja pronto para encaminhar tráfego novamente.

O que aconteceu

A 25 de junho de 2020, lançámos uma alteração que registava metadados fornecidos pelo OS quando a VPN era iniciada. Optámos por registar estes metadados porque, nos testes, incluíam informações não sensíveis, como o facto de a VPN ter sido iniciada pelo OS devido a regras de “VPN On Demand” ou pelo utilizador a partir da UI do Psiphon. A 21 de julho de 2020, tomámos conhecimento de que o hostname de destino, ou endereço IP, do primeiro pedido de rede que acionou o início do Psiphon após o reinício do dispositivo, ou uma falha no processo da VPN, estava incluído nestes metadados. Uma vez registados, os metadados podiam ser incluídos num feedback enviado pelo utilizador através do formulário de feedback na aplicação. Desde que o utilizador não tenha optado por não incluir informações de diagnóstico no seu feedback. Quando um utilizador envia feedback, este é encriptado com uma chave pública, emparelhada com uma chave privada que nos pertence e mantemos em segredo. Isto garante que apenas os nossos servidores de feedback conseguem desencriptar e ler o conteúdo do feedback de um utilizador assim que este é enviado pela Internet. O feedback encriptado é enviado através de TLS. Assim que o feedback chega aos nossos servidores, é desencriptado, armazenado por um período limitado e depois eliminado.

Impacto

Menos de 10 registos que incluíam o destino de rede de um pedido com origem no cliente foram armazenados nos servidores da Psiphon.

Resolução

A 22 de julho de 2020, foi lançada uma correção na versão 1.0.46 do Psiphon iOS VPN e os registos sensíveis foram eliminados dos servidores do Psiphon. Além disso, foi implementado código para ocultar imediatamente quaisquer ocorrências destas linhas de registo encontradas no feedback dos utilizadores enviado a partir das versões de cliente afetadas, à medida que são desencriptadas nos servidores do Psiphon.

O que aconteceu

Utilizamos o AWS S3 para alojar websites, aplicações de cliente e listas de servidores remotos. Descobrimos que o registo tinha sido ativado para muitos dos nossos recursos S3 desde junho de 2015. Estes registos incluem endereços IP de utilizadores que acederam a esses recursos.

Impacto

Não encontrámos qualquer indicação de que quaisquer registos tenham sido obtidos por qualquer entidade externa, pelo que não se trata de uma violação de dados de utilizadores. No entanto, é uma violação da nossa Política de Privacidade.

Resolução

O registo foi desativado para os buckets S3 acessíveis aos utilizadores e todos os registos foram eliminados. Estamos a trabalhar num sistema para acompanhar exceções e problemas de privacidade, e a investigar a auditoria de recursos da AWS.

O que estamos a fazer

Estamos a suspender temporariamente a purga de Dados de Atividade do Utilizador, prolongando efetivamente o período de retenção de dados.

Porque o estamos a fazer

Precisamos de manter dados granulares de atividade durante mais tempo para nos dar tempo de analisar eventos recentes de censura.

Quando o estamos a fazer

Isto estará em vigor a partir de 2019-12-12T00:00Z. Estará em vigor durante um mês. Atualizaremos este boletim se for necessário prolongá-lo para além disso.

Atualizar

A retenção de dados de atividade do utilizador voltou à normalidade até 2020-04-10.

O que estamos a fazer

Estamos a atualizar o nossoPolítica de Privacidade. Estamos a alterar o período de retenção dos Dados de Atividade do Utilizador de 60 dias para 90 dias. Também expandimos a informação sobre os Boletins de Privacidade. Para consultar as alterações exatas, consulte oCommit do GitHub.

Porque o estamos a fazer

Para garantir que a Política de Privacidade reflete com precisão as nossas práticas de dados.

Quando o estamos a fazer

Isto entrará em vigor a 2019-12-12T00:00Z.

O que estamos a fazer

Estamos a atualizar os nossosPolítica de Privacidade. Isto inclui fundir nela a resposta à pergunta das FAQ “Que informação recolhe o Psiphon?”.

Porque o estamos a fazer

OPolítica de Privacidadepágina é agora o único local onde os utilizadores precisam de consultar as políticas de privacidade e de recolha de dados da Psiphon. Foi atualizada para refletir a utilização de anúncios, análises e registos em alguns dos nossos websites.

Quando o estamos a fazer

Isto está em vigor até pelo menos 2015-06-01T00:00Z.

O que estamos a fazer

Estamos a ativar o registo de acessos para um “bucket” (ou seja, contentor de armazenamento) do Amazon S3 de um website. (Por razões técnicas, executamos dezenas de cópias do website em diferentes buckets do S3.)

Porque é que o estamos a fazer

Estamos a fazer isto para determinar quantos acessos existem à “lista de servidores remotos” armazenada no bucket. Isto ajudará a dar-nos uma ideia de quantos utilizadores não estão a conseguir ligar-se.

Quando o estamos a fazer

O registo estará ativado de 2014-04-17T15:00Z a 2014-04-18T15:00Z.

Que dados do utilizador serão recolhidos

O registo irá recolher endereços IP, agentes de utilizador e carimbos de data/hora de acesso a um website. Quando esses dados forem processados, teremos uma contagem de utilizadores dividida por região geográfica que acederam ao ficheiro em questão.

Durante quanto tempo os dados serão conservados

Os dados serão retidos durante não mais de uma semana. Manteremos a contagem de utilizadores durante mais tempo — possivelmente por tempo indeterminado.

Quantos utilizadores são afetados

Ainda não sabemos ao certo quantos utilizadores serão afetados (é por isso que estamos a fazer isto), mas suspeitamos que serão menos de 10,000 utilizadores.

Quem além da Psiphon Inc. verá estes dados

Os registos de acesso também são armazenados num bucket Amazon S3, pelo que a Amazon terá acesso aos registos. (No entanto, a Amazon serve os ficheiros, pelo que já pode aceder a esta informação.)