Бюллетени конфиденциальности

Что мы делаем

Мы переписали нашПолитика конфиденциальности. Большая часть изменений носит структурный характер: политика стала короче и понятнее, а конкретные сроки хранения для каждого типа данных перенесены в нашуСтраница «Политики и обработка данных»чтобы их можно было поддерживать в актуальном состоянии по мере изменения наших систем.

Три изменения являются существенными, и мы хотим четко их разъяснить:

• Диагностические отзывы теперь могут храниться дольше. Ранее на отзывы распространялись наши общие правила хранения данных. Отчеты, включая любой необязательный адрес электронной почты, указанный вами, теперь могут храниться бессрочно, чтобы мы могли диагностировать проблемы и выявлять повторяющиеся. Если вы указали адрес электронной почты, вы можете в любое время попросить нас удалить ваш отчет, связавшись сprivacy@psiphon.ca.
• Мы описали исключение для случаев цензуры. В случае масштабного инцидента цензуры мы можем сохранять отфильтрованную часть неидентифицирующих данных о подключении дольше обычного срока, иногда бессрочно, чтобы изучить их позже. Это позволяет нам понимать масштабные блокировки и противодействовать им. Каждый раз, когда мы так делаем, мы будем публиковать здесь запись с описанием того, что было сохранено, почему и на какой срок.
• Указано, что агрегированная статистика хранится бессрочно. Это количественные данные и тенденции, которые невозможно соотнести с каким-либо отдельным лицом или подключением. Это отражает существующую практику, а не изменения в ней.

Мы также перестали делать несколько вещей, описанных в предыдущей политике:

• Мы больше не регистрируем какую-либо информацию о целевых ресурсах, к которым вы подключаетесь. В предыдущей политике описывалась фиксация объема данных, переданных на небольшое количество популярных доменов и на известные серверы с вредоносным ПО. Эта возможность была удалена. Мы не регистрируем сайты, приложения или сервисы, к которым вы подключаетесь, ни с какой степенью детализации.
• Ведение журнала доступа отключено для хранилища, где размещены наши страницы загрузки и списки серверов. Ранее в этих журналах фиксировались IP-адреса, user agent и метки времени. Это закрывает исключение, о котором мы сообщали 2020-06-19.
• Мы больше не запрашиваем необязательное приблизительное местоположение. Это отменяет изменение, о котором мы объявили 2023-11-16.
• Мы больше не работаем с Freestar. В предыдущей политике Freestar упоминался наряду с Google в качестве рекламного партнера. Теперь единственным рекламным партнером является Google AdMob.
• Поддержка PsiCash прекращена, и сервис больше недоступен, поэтому действие этой политики больше на него не распространяется.

Мы по-прежнему не регистрируем ваш IP-адрес и не записываем содержимое вашего трафика.

Почему мы это делаем

Предыдущая политика разрослась из-за накопившихся дополнений, и её было трудно читать. Разделение принципов, относящихся к политике, и конкретных сроков, меняющихся вместе с нашими системами, означает, что политика может оставаться стабильной, а детали — точными.

Когда мы это делаем

Вступает в силу с 2026-09-28T00:00Z

Что мы делаем

Мы обновляем нашиПолитика конфиденциальности, чтобы добавить упоминание о необязательном сборе приблизительных данных о местоположении. Точные изменения см. вКоммит GitHub.

Почему мы это делаем

Мы добавляем необязательный сбор данных о примерном местоположении на некоторые клиентские платформы.

Когда мы это делаем

Это вступит в силу 2023-11-17T00:00Z.

Затронутые приложения

Psiphon Android и Psiphon Windows, использующие туннельный протокол Conjure, который включен только для определенных стран и ISP.

Что произошло

Аутентификация для станций Conjure, подключающихся к регистратору Conjure, была ошибочно удалена в ходе рефакторинга, внедренного примерно в конце октября 2022 года.

Влияние

Любой субъект, осведомленный об этой проблеме, мог подключиться к регистратору Conjure и получить список данных об активных регистрациях, включая связанные IP-адреса клиентов. После обнаружения проблемы в конце апреля 2023 года велся мониторинг журналов, и никаких подозрительных подключений к регистратору Conjure зафиксировано не было.

Разрешение

Исправление, восстанавливающее аутентификацию,был реализовани теперь развернут.

Что мы делаем

Мы обновляем нашиПолитика конфиденциальности. Мы удалили ссылки на рекламных партнеров, которых мы больше не используем. Точный список изменений см.Коммит GitHub.

Почему мы это делаем

Мы больше не сотрудничаем с этими рекламными партнёрами, поэтому ссылки на них больше не актуальны.

Когда мы это делаем

Это вступит в силу 2023-02-01T00:00Z.

Что мы делаем

Мы обновляем нашиПолитика конфиденциальности. Мы изменили текст заголовка без изменения смысла. Точные изменения см.Коммит GitHub.

Почему мы это делаем

Во избежание возможной путаницы, вызванной предыдущим заголовком.

Когда мы это делаем

Это вступит в силу 2021-10-06T00:00Z.

Что мы делаем

Мы обновляем нашиПолитика конфиденциальности. Мы добавляем информацию о my.psi.cash. Точные изменения см.Коммит GitHub.

Зачем мы это делаем

Чтобы Политика конфиденциальности точно отражала нашу практику обработки данных.

Когда мы это делаем

Это вступит в силу 2021-09-09T00:00Z.

Что мы делаем

Мы обновляем нашиПолитика конфиденциальности. Мы добавляем информацию об учетных записях PsiCash. Точные изменения см. вКоммит GitHub.

Почему мы это делаем

Чтобы Политика конфиденциальности точно отражала наши методы работы с данными.

Когда мы это делаем

Это вступит в силу 2021-05-13T00:00Z.

Что мы делаем

Мы обновляем нашиПолитика конфиденциальности. Мы делаем информацию о ведении журналов почтового сервера более точной. Точные изменения см.Коммит GitHub.

Зачем мы это делаем

Чтобы Политика конфиденциальности точно отражала нашу практику работы с данными.

Когда мы это делаем

Это вступит в силу 2021-05-12T00:00Z.

Затронутые приложения

Psiphon для Windows v160.

Что произошло

В приложение Psiphon для Windows было внесено изменение, в результате которого некоторые журналы, создаваемые встроенным исполняемым файлом, могли быть классифицированы как журналы сбоев. Это позволило этим журналам обойти меры, принятые во избежание записи конфиденциальной информации. Если пользователь впоследствии отправлял отзыв и соглашался включить диагностическую информацию, эти журналы отправлялись в Psiphon.

Влияние

2021-01-26 в 8:23 EST был обнаружен единичный отзыв пользователя, содержавший лог, который включал путь к исполняемому файлу Psiphon на его компьютере. К счастью, путь к файлу не раскрывал никакой персонально идентифицируемой информации (PII). Известных внешних утечек этих данных не произошло. Других отзывов, содержащих конфиденциальную информацию, обнаружено не было.

Разрешение

2021-01-26 в 11:45 EST был развернут код для немедленного скрытия любых вхождений этих диагностических сообщений, обнаруженных в отзывах пользователей, отправляемых клиентами Psiphon. Приложение Psiphon для Windows было исправлено в версии 161.

Затронутые приложения

Psiphon для Android (загруженный из Google Play) до v314; Psiphon Pro до v314.

Фон

Клиенты Psiphon используют разрешение ACCESS_COARSE_LOCATION для определения WiFi BSSID. WiFi BSSID используется для запоминания внутренних настроек Psiphon, которые лучше всего работают в различных сетях WiFi. WiFi BSSID сохраняется только локально и не передается на серверы Psiphon. Версии клиента Psiphon для Android, которые используют сторонние рекламные SDK, предписывают этим SDK не использовать разрешение ACCESS_COARSE_LOCATION для таргетинга рекламы на основе местоположения.

Что произошло

В одном из сторонних рекламных SDK, используемых в клиентах Psiphon для Android, больше нет настройки, запрещающей ему использовать службы геолокации для таргетинга рекламы с учетом местоположения. Кроме того, в клиенты Psiphon были добавлены новые сторонние рекламные SDK, в которых также отсутствует настройка, запрещающая использование служб геолокации для таргетинга рекламы с учетом местоположения.

Влияние

Возможно, сторонние рекламные SDK, используемые клиентами Psiphon для Android, использовали службы определения местоположения для таргетинга рекламы с учетом местоположения при предоставлении разрешения ACCESS_COARSE_LOCATION.

Разрешение

Во всех клиентах Psiphon для Android v314 удалено разрешение ACCESS_COARSE_LOCATION, чтобы сторонние рекламные SDK не могли использовать службы геолокации для таргетинга рекламы по местоположению. Теперь клиенты Psiphon для Android используют менее точный механизм различения сетей WiFi, чтобы запоминать внутренние настройки Psiphon, которые лучше всего подходят для различных сетей WiFi.

Затронутые приложения

Psiphon iOS до v1.0.48; Psiphon Android до v302; Psiphon Windows до v158; Psiphon Library до v2.0.12.

Фон

Клиенты Psiphon позволяют пользователям подключаться через вышестоящие прокси. Пользователи вручную настраивают параметры вышестоящего прокси, включая любые необходимые учетные данные. Psiphon записывает сообщения о сетевых ошибках в диагностические данные, включаемые в отзывы, которые пользователи отправляют в Psiphon; а также записывает сообщения о сетевых ошибках вместе с метриками сбоев подключения, автоматически отправляемыми в Psiphon. При сбое подключения к вышестоящему прокси регистрируются соответствующие ошибки.

Что случилось

Внутри системы настройки вышестоящего прокси представлены в виде URL и разбираются с помощью пакета net/url в Go. Сообщения об ошибках url.Parse возвращают URL, который содержит учетные данные, если они указаны. Эта ошибка, содержащая учетные данные, записывалась в журнал диагностики и метрики сбоев подключения, что приводило к раскрытию учетных данных Psiphon. Ситуация усугублялась отсутствием URL-кодирования введенных пользователем настроек вышестоящего прокси, что делало ошибку разбора более вероятной.

Влияние

Диагностические данные, содержащие учетные данные вышестоящего прокси и метрики сбоев подключения, отправлялись в Psiphon и хранились в наших внутренних системах в течение срока хранения «Данных об активности пользователей». Известных случаев внешней утечки этих данных не зафиксировано.

Разрешение

Был развернут код для немедленного скрытия любых вхождений этих диагностических сообщений, обнаруженных в отзывах пользователей и метриках сбоев подключения, отправляемых клиентами Psiphon. Все связанные диагностические сообщения и метрики были удалены из систем Psiphon. Клиенты были обновлены, чтобы удалять URL из сообщений об ошибках синтаксического анализа URL вышестоящего прокси перед отправкой ошибок в Psiphon.

Затронутые приложения

Версии Psiphon VPN для iOS 1.0.43, 1.0.44 и 10.45 (https://apps.apple.com/us/app/psiphon/id1276263909")."

Фон

VPN-приложение Psiphon для iOS использует функцию «VPN On Demand», предоставляемую iOS, чтобы гарантировать перезапуск VPN в случае перезагрузки устройства или сбоя VPN. Первый сетевой запрос, сделанный после перезагрузки устройства или сбоя VPN, активирует настроенные правила «VPN On Demand» для запуска Psiphon и поставит сетевые запросы в очередь до тех пор, пока Psiphon не восстановит подключение и снова не будет готов передавать трафик.

Что произошло

25 июня 2020 года мы выпустили изменение, которое регистрировало метаданные, предоставляемые ОС при запуске VPN. Мы решили регистрировать эти метаданные, поскольку во время тестирования они включали в себя неконфиденциальную информацию, например сведения о том, был ли VPN запущен ОС в соответствии с правилами «VPN On Demand» или пользователь запустил VPN из интерфейса Psiphon. 21 июля 2020 года нам стало известно, что имя хоста назначения или IP-адрес первого сетевого запроса, вызвавшего запуск Psiphon после перезагрузки устройства или сбоя процесса VPN, были включены в эти метаданные. После сохранения эти метаданные могли быть включены в отзыв, отправленный пользователем через форму обратной связи в приложении. При условии, что пользователь не отказался от включения диагностической информации в свой отзыв. Когда пользователь отправляет отзыв, он шифруется открытым ключом, который связан с закрытым ключом, принадлежащим нам и хранящимся в тайне. Это гарантирует, что только наши серверы обратной связи смогут расшифровать и прочитать содержимое отзыва пользователя после его отправки через интернет. Зашифрованный отзыв передается по TLS. Когда отзыв поступает на наши серверы, он расшифровывается, хранится в течение ограниченного периода времени, а затем удаляется.

Влияние

Менее 10 записей журнала, содержавших сетевой адрес назначения запроса, исходящего от клиента, хранились на серверах Psiphon.

Разрешение

22 июля 2020 года в Psiphon iOS VPN версии 1.0.46 было выпущено исправление, и конфиденциальные журналы были удалены с серверов Psiphon. Кроме того, был развернут код для немедленного скрытия любых вхождений этих строк журнала, обнаруженных в отзывах пользователей, отправленных из затронутых версий клиента, по мере их расшифровки на серверах Psiphon.

Что произошло

Мы используем AWS S3 для размещения веб-сайтов, клиентских приложений и списков удаленных серверов. Мы обнаружили, что для многих наших ресурсов S3 с июня 2015 года было включено ведение журналов. Эти журналы содержат IP-адреса пользователей, обращавшихся к этим ресурсам.

Влияние

Мы не обнаружили признаков того, что какие-либо логи были получены третьей стороной, поэтому это не является утечкой данных пользователей. Однако это нарушение нашей Политики конфиденциальности.

Разрешение

Ведение журналов отключено для доступных пользователям бакетов S3, и все журналы удалены. Мы работаем над системой отслеживания исключений и проблем конфиденциальности, а также изучаем аудит ресурсов AWS.

Что мы делаем

Мы временно приостанавливаем очистку данных об активности пользователей, фактически продлевая срок хранения данных.

Почему мы это делаем

Нам нужно хранить детализированные данные об активности дольше, чтобы у нас было время проанализировать недавние события цензуры.

Когда мы это делаем

Это вступит в силу начиная с 2019-12-12T00:00Z. Срок действия составит один месяц. Мы обновим этот бюллетень, если потребуется продлить его действие.

Обновить

Срок хранения данных об активности пользователей вернулся к норме к 2020-04-10.

Что мы делаем

Мы обновляем нашиПолитика конфиденциальности. Мы изменяем срок хранения данных об активности пользователей с 60 до 90 дней. Мы также дополнили информацию о бюллетенях о конфиденциальности. Точный список изменений см. вКоммит GitHub.

Почему мы это делаем

Чтобы Политика конфиденциальности точно отражала наши методы работы с данными.

Когда мы это делаем

Это вступит в силу 2019-12-12T00:00Z.

Что мы делаем

Мы обновляем нашиПолитика конфиденциальности. Это включает в себя объединение с ним ответа на вопрос FAQ «Какую информацию собирает Psiphon?».

Почему мы это делаем

ЭтотПолитика конфиденциальностистраница теперь является единственным местом, где пользователи могут ознакомиться с политикой конфиденциальности и сбора данных Psiphon. Она была обновлена с учетом использования рекламы, аналитики и ведения журналов на некоторых наших веб-сайтах.

Когда мы это делаем

Это действует как минимум с 2015-06-01T00:00Z.

Что мы делаем

Мы включаем ведение журнала доступа для одного «бакета» (т. е. контейнера хранилища) Amazon S3 веб-сайта. (По техническим причинам мы размещаем десятки копий веб-сайта в разных бакетах S3.)

Почему мы это делаем

Мы делаем это, чтобы определить, сколько обращений поступает к «списку удаленных серверов», хранящемуся в бакете. Это поможет нам понять, скольким пользователям не удается подключиться.

Когда мы это делаем

Ведение журнала будет включено с 2014-04-17T15:00Z по 2014-04-18T15:00Z.

Какие пользовательские данные будут собираться

В ходе логирования будут собираться IP-адреса, юзер-агенты и отметки времени доступа к одному веб-сайту. После обработки этих данных мы получим количество пользователей, получивших доступ к данному файлу, с разбивкой по географическим регионам.

Как долго будут храниться данные

Данные будут храниться не более одной недели. Мы будем хранить количество пользователей дольше — возможно, бессрочно.

Сколько пользователей затронуто

Мы пока точно не знаем, сколько пользователей это затронет (именно поэтому мы это делаем), но предполагаем, что их будет менее 10 000 пользователей.

Кто, кроме Psiphon Inc., увидит эти данные

Журналы доступа также хранятся в корзине Amazon S3, поэтому у Amazon будет доступ к журналам. (Однако Amazon раздает файлы, поэтому у них уже есть доступ к этой информации.)