Бюлетені конфіденційності

Що ми робимо

Ми переписали нашуПолітика конфіденційності. Більшість змін має структурний характер: політика стала коротшою і простішою, а конкретні строки зберігання для кожного типу даних перенесено до нашоїСторінка «Політики та обробка даних»щоб їх можна було підтримувати в актуальному стані в міру зміни наших систем.

Три зміни є суттєвими, і ми хочемо чітко їх роз'яснити:

• Діагностичні відгуки тепер можуть зберігатися довше. Раніше на відгуки поширювалися наші загальні правила зберігання даних. Звіти, включно з будь-якою необов’язковою адресою електронної пошти, яку ви до них додаєте, тепер можуть зберігатися безстроково, щоб ми могли діагностувати проблеми та виявляти повторювані. Якщо ви вказали адресу електронної пошти, ви можете будь-коли попросити нас видалити ваш звіт, звернувшись до"privacy@psiphon.ca".
• Ми описали виняток для випадків цензури. Коли трапляється значний випадок цензури, ми можемо зберігати відфільтровану частину неідентифікаційних даних про з'єднання довше, ніж зазвичай, іноді безстроково, щоб їх можна було дослідити пізніше. Саме так ми розуміємо масштабні блокування та протидіємо їм. Щоразу, коли ми так робитимемо, ми публікуватимемо тут запис із описом того, що було збережено, чому і на який термін.
• Зазначається, що агрегована статистика зберігається безстроково. Це кількісні показники та тенденції, які неможливо пов'язати з жодною окремою особою чи підключенням. Це відображає наявну практику, а не зміни в ній.

Ми також припинили робити кілька речей, описаних у попередній політиці:

• Ми більше не записуємо жодної інформації про адреси призначення, до яких ви підключаєтеся. Попередня політика описувала запис обсягу даних, переданих до невеликої кількості популярних доменів і до відомих серверів шкідливого програмного забезпечення. Цю можливість було вилучено. Ми не записуємо сайти, застосунки чи сервіси, до яких ви підключаєтеся, на жодному рівні деталізації.
• Журналювання доступу вимкнено для сховища, де розміщено наші сторінки завантаження та списки серверів. У цих журналах раніше фіксувалися IP-адреси, агенти користувача та часові позначки. Це закриває виняток, про який ми повідомляли 2020-06-19.
• Ми більше не запитуємо необов'язкове приблизне місцезнаходження. Це скасовує зміну, про яку ми оголосили 2023-11-16.
• Ми більше не співпрацюємо з Freestar. У попередній політиці Freestar згадувався разом із Google як рекламний партнер. Тепер єдиним рекламним партнером є Google AdMob.
• Підтримку PsiCash припинено, і сервіс більше недоступний, тому ця політика більше на нього не поширюється.

Ми, як і раніше, не реєструємо вашу IP-адресу та не записуємо вміст вашого трафіку.

Чому ми це робимо

Попередня політика розрослася шляхом накопичення і була важкою для читання. Відокремлення принципів, які належать до політики, від конкретних періодів, що змінюються разом із нашими системами, означає, що політика може залишатися стабільною, тоді як деталі залишаються точними.

Коли ми це робимо

Набуває чинності з 2026-09-28T00:00Z

Що ми робимо

Ми оновлюємо нашіПолітика конфіденційностіщоб додати згадку про необов'язковий збір даних про приблизне місцезнаходження. Щоб переглянути точні зміни, див.Коміт GitHub.

Чому ми це робимо

Ми додаємо необов'язковий збір даних про приблизне місцезнаходження до деяких клієнтських платформ.

Коли ми це робимо

Це набуде чинності 2023-11-17T00:00Z.

Зачеплені програми

Psiphon для Android та Psiphon для Windows, що використовують тунельний протокол Conjure, який увімкнено лише для певних країн та ISP.

Що сталося

Автентифікацію для станцій Conjure, які підключаються до реєстратора Conjure, було помилково видалено під час рефакторингу, впровадженого приблизно наприкінці жовтня 2022 року.

Вплив

Будь-який суб'єкт, обізнаний із цією проблемою, міг підключитися до реєстратора Conjure й отримати список активних реєстраційних даних, включно з пов'язаними IP-адресами клієнтів. Після того як проблему було виявлено наприкінці квітня 2023 року, вівся моніторинг журналів, і жодних підозрілих підключень до реєстратора Conjure зафіксовано не було.

Роздільна здатність

Виправлення, що відновлює автентифікацію,було реалізованоі тепер розгорнуто.

Що ми робимо

Ми оновлюємо нашіПолітика конфіденційності. Ми видалили посилання на рекламних партнерів, яких більше не використовуємо. Щоб ознайомитися з точними змінами, див.Коміт GitHub.

Чому ми це робимо

Ми більше не використовуємо цих рекламних партнерів, тому посилання на них уже неактуальні.

Коли ми це робимо

Це набуде чинності 2023-02-01T00:00Z.

Що ми робимо

Ми оновлюємо нашіПолітика конфіденційності. Ми змінили текст заголовка без зміни змісту. Щоб переглянути точні зміни, див.Коміт GitHub.

Чому ми це робимо

Щоб уникнути потенційної плутанини, спричиненої попереднім заголовком.

Коли ми це робимо

Це набуде чинності 2021-10-06T00:00Z.

Що ми робимо

Ми оновлюємо нашіПолітика конфіденційності. Ми додаємо інформацію про my.psi.cash. Щоб дізнатися про точні зміни, перегляньтеКоміт GitHub.

Чому ми це робимо

Щоб Політика конфіденційності точно відображала наші методи роботи з даними.

Коли ми це робимо

Це набуде чинності 2021-09-09T00:00Z.

Що ми робимо

Ми оновлюємо нашіПолітика конфіденційності. Ми додаємо інформацію про облікові записи PsiCash. Щоб переглянути точні зміни, дивітьсяКоміт GitHub.

Чому ми це робимо

Щоб Політика конфіденційності точно відображала нашу практику роботи з даними.

Коли ми це робимо

Це набуде чинності 2021-05-13T00:00Z.

Що ми робимо

Ми оновлюємо нашіПолітика конфіденційності. Ми робимо інформацію про журналювання поштового сервера точнішою. Щоб ознайомитися з точними змінами, перегляньтеКоміт GitHub.

Чому ми це робимо

Щоб Політика конфіденційності точно відображала наші методи роботи з даними.

Коли ми це робимо

Це набуде чинності 2021-05-12T00:00Z.

Зачеплені застосунки

Psiphon для Windows v160.

Що сталося

У програмі Psiphon для Windows було впроваджено зміну, внаслідок якої виникла ймовірність класифікації деяких журналів, згенерованих вбудованим виконуваним файлом, як журналів збоїв. Це дозволило таким журналам оминати заходи, запроваджені для уникнення реєстрації конфіденційної інформації. Якщо згодом користувач надсилав відгук і давав згоду на включення діагностичної інформації, ці журнали надсилалися до Psiphon.

Вплив

2021-01-26 о 8:23 EST було виявлено один відгук користувача, який містив журнал зі шляхом до виконуваного файлу Psiphon на його комп'ютері. На щастя, шлях до файлу не розкривав жодної персонально ідентифіковної інформації (PII). Жодних відомих зовнішніх витоків цих даних не відбулося. Інших відгуків, які містили б конфіденційну інформацію, знайдено не було.

Роздільна здатність

2021-01-26 об 11:45am EST було розгорнуто код для негайного вилучення будь-яких згадок цих діагностичних повідомлень, виявлених у відгуках користувачів, надісланих із клієнтів Psiphon. Застосунок Psiphon для Windows було виправлено у версії 161.

Зачеплені програми

Psiphon Android (завантажений із Google Play) до v314; Psiphon Pro до v314.

Фон

Клієнти Psiphon використовують дозвіл ACCESS_COARSE_LOCATION для визначення BSSID WiFi. BSSID WiFi використовується для запам'ятовування внутрішніх налаштувань Psiphon, які найкраще працюють у різних мережах WiFi. BSSID WiFi зберігається лише локально та не передається на сервери Psiphon. Версії клієнта Psiphon для Android, які використовують сторонні рекламні SDK, вказують цим SDK не використовувати дозвіл ACCESS_COARSE_LOCATION для націлювання реклами з урахуванням місцезнаходження.

Що сталося

Один зі сторонніх рекламних SDK, що використовуються в клієнтах Psiphon для Android, більше не має налаштування, яке забороняє йому використовувати служби визначення місцезнаходження для націлювання реклами з урахуванням місцезнаходження. Крім того, до клієнтів Psiphon було додано нові сторонні рекламні SDK, які також не мають налаштування для заборони використання служб визначення місцезнаходження для націлювання реклами з урахуванням місцезнаходження.

Вплив

Можливо, що сторонні рекламні SDK, які використовуються клієнтами Psiphon для Android, використовували служби геолокації для таргетування реклами з урахуванням місцезнаходження, коли надано дозвіл ACCESS_COARSE_LOCATION.

Роздільна здатність

Усі клієнти Psiphon для Android v314 видаляють дозвіл ACCESS_COARSE_LOCATION, щоб запобігти використанню сторонніми рекламними SDK служб геолокації для таргетингу реклами з урахуванням місцезнаходження. Клієнти Psiphon для Android тепер використовують менш точний механізм для розрізнення мереж WiFi, щоб запам'ятовувати внутрішні налаштування Psiphon, які найкраще працюють у різних мережах WiFi.

Зачеплені програми

Psiphon iOS до v1.0.48; Psiphon Android до v302; Psiphon Windows до v158; Psiphon Library до v2.0.12.

Фон

Клієнти Psiphon дають змогу користувачам підключатися через висхідні проксі-сервери. Користувачі вручну налаштовують параметри висхідного проксі-сервера, включно з будь-якими необхідними обліковими даними. Psiphon записує повідомлення про помилки мережі в діагностичні дані, що додаються до відгуків, які користувачі надсилають до Psiphon; а також записує повідомлення про помилки мережі разом із метриками збоїв підключення, які автоматично надсилаються до Psiphon. У разі невдалого підключення до висхідного проксі-сервера відповідні помилки записуються до журналу.

Що сталося

Внутрішньо налаштування висхідного проксі представлені у вигляді URL і аналізуються за допомогою net/url у Go. Повідомлення про помилки url.Parse повертають URL, який за їхньої наявності міститиме облікові дані. Ця помилка, що містила облікові дані, записувалася в діагностику та метрики збоїв підключення, через що облікові дані розкривалися перед Psiphon. Ця ситуація погіршувалася відсутністю URL-кодування введених користувачем налаштувань висхідного проксі, що робило збій синтаксичного аналізу більш імовірним.

Вплив

Діагностичні дані, що містили облікові дані висхідного проксі та метрики збоїв підключення, надсилалися до Psiphon і зберігалися на наших внутрішніх системах протягом періоду зберігання "Даних про активність користувачів". Жодних відомих випадків зовнішнього витоку цих даних не сталося.

Роздільна здатність

Було розгорнуто код для негайного приховування будь-яких входжень цих діагностичних повідомлень, знайдених у відгуках користувачів і показниках збоїв підключення, надісланих із клієнтів Psiphon. Усі пов'язані діагностичні повідомлення та показники було видалено із систем Psiphon. Клієнти було оновлено для видалення URL-адрес із повідомлень про помилки синтаксичного аналізу URL-адреси висхідного проксі перед надсиланням помилок до Psiphon.

Зачеплені програми

Psiphon iOS VPN версії 1.0.43, 1.0.44 та 10.45 (https://apps.apple.com/us/app/psiphon/id1276263909).

Фон

VPN-застосунок Psiphon для iOS використовує функцію “VPN On Demand”, надану iOS, щоб забезпечити перезапуск VPN у разі перезавантаження пристрою або аварійного завершення роботи VPN. Перший мережевий запит, здійснений після перезавантаження пристрою або збою VPN, активує налаштовані правила “VPN On Demand”, щоб запустити Psiphon і поставити мережеві запити в чергу, доки Psiphon знову не встановить з'єднання та не буде готовий передавати трафік.

Що сталося

25 червня 2020 року ми випустили зміну, яка реєструвала метадані, надані OS під час запуску VPN. Ми вирішили реєструвати ці метадані, оскільки під час тестування вони містили нечутливу інформацію, таку як запуск VPN операційною системою OS згідно з правилами «VPN On Demand» або запуск VPN користувачем з UI Psiphon. 21 липня 2020 року нам стало відомо, що ім'я хоста призначення або IP-адреса першого мережевого запиту, який ініціював запуск Psiphon після перезавантаження пристрою або збою в процесі VPN, входили до цих метаданих. Після запису ці метадані могли бути включені до відгуку, надісланого користувачем через форму зворотного зв'язку в додатку. За умови, що користувач не відмовився від включення діагностичної інформації до свого відгуку. Коли користувач надсилає відгук, він шифрується відкритим ключем, який утворює пару із закритим ключем, що належить нам і зберігається в таємниці. Це гарантує, що тільки наші сервери зворотного зв'язку можуть розшифрувати та прочитати вміст відгуку користувача після його надсилання через інтернет. Зашифрований відгук передається через TLS. Щойно відгук надходить на наші сервери, він розшифровується, зберігається протягом обмеженого часу, а потім видаляється.

Вплив

Менше ніж 10 записів журналу, які містили мережеве призначення запиту, що надходив від клієнта, зберігалися на серверах Psiphon.

Роздільна здатність

22 липня 2020 року було випущено виправлення у Psiphon iOS VPN версії 1.0.46, а конфіденційні логи було видалено із серверів Psiphon. Крім того, було розгорнуто код для негайного маскування будь-яких входжень цих рядків логів, виявлених у відгуках користувачів, надісланих з уражених версій клієнта, під час їх розшифрування на серверах Psiphon.

Що сталося

Ми використовуємо AWS S3 для розміщення вебсайтів, клієнтських застосунків і списків віддалених серверів. Ми виявили, що для багатьох наших ресурсів S3 з червня 2015 року було ввімкнено ведення журналів. Ці журнали містять IP-адреси користувачів, які отримували доступ до цих ресурсів.

Вплив

Ми не виявили жодних ознак того, що будь-які журнали були отримані будь-якою сторонньою стороною, тому це не є витоком даних користувачів. Проте це є порушенням нашої Політики конфіденційності.

Роздільна здатність

Журналювання було вимкнено для доступних користувачам бакетів S3, а всі журнали видалено. Ми працюємо над системою відстеження винятків і проблем конфіденційності та досліджуємо аудит ресурсів AWS.

Що ми робимо

Ми тимчасово призупиняємо очищення даних про активність користувачів, фактично подовжуючи період зберігання даних.

Чому ми це робимо

Нам потрібно зберігати деталізовані дані про активність довше, щоб мати час проаналізувати нещодавні випадки цензури.

Коли ми це робимо

Це діятиме починаючи з 2019-12-12T00:00Z. Це діятиме протягом одного місяця. Ми оновимо цей бюлетень, якщо його потрібно буде продовжити після цього.

Оновити

Зберігання даних про активність користувачів повернулося до норми до 2020-04-10.

Що ми робимо

Ми оновлюємо нашіПолітика конфіденційності. Ми змінюємо термін зберігання Даних про активність користувачів із 60 днів до 90 днів. Ми також розширили інформацію про Бюлетені конфіденційності. Щоб дізнатися про точні зміни, перегляньтекоміт GitHub.

Чому ми це робимо

Щоб Політика конфіденційності точно відображала наші методи роботи з даними.

Коли ми це робимо

Це набуде чинності 2019-12-12T00:00Z.

Що ми робимо

Ми оновлюємо нашіПолітика конфіденційності. Це включає об'єднання з ним відповіді на запитання з FAQ «Яку інформацію збирає Psiphon?».

Чому ми це робимо

ЦейПолітика конфіденційностісторінка тепер є єдиним місцем, де користувачам потрібно перевіряти політики конфіденційності та збору даних Psiphon. Її було оновлено, щоб відобразити використання реклами, аналітики та ведення журналів для деяких із наших вебсайтів.

Коли ми це робимо

Це діє щонайпізніше з 2015-06-01T00:00Z.

Що ми робимо

Ми вмикаємо журналювання доступу для одного “бакета” Amazon S3 (тобто контейнера для зберігання) вебсайту. (З технічних причин ми запускаємо десятки копій вебсайту в різних бакетах S3.)

Чому ми це робимо

Ми робимо це, щоб визначити, скільки звернень здійснюється до «списку віддалених серверів», збереженого в бакеті. Це допоможе нам зрозуміти, скільком користувачам не вдається підключитися.

Коли ми це робимо

Журналювання буде увімкнено з 2014-04-17T15:00Z до 2014-04-18T15:00Z.

Які дані користувача збиратимуться

Журналювання збиратиме IP-адреси, агенти користувача та позначки часу доступу до одного вебсайту. Коли ці дані буде оброблено, ми матимемо кількість користувачів, розподілених за географічним регіоном, які отримали доступ до відповідного файлу.

Як довго зберігатимуться дані

Дані зберігатимуться не більше одного тижня. Ми зберігатимемо кількість користувачів довше — можливо, безстроково.

Скільки користувачів зазнали впливу

Ми ще не знаємо напевно, скільки користувачів це торкнеться (саме тому ми це робимо), але припускаємо, що це буде менше ніж 10,000 користувачів.

Хто, крім Psiphon Inc., бачитиме ці дані

Журнали доступу також зберігаються в бакеті Amazon S3, тому Amazon матиме доступ до журналів. (Однак Amazon роздає файли, тому вони вже мають доступ до цієї інформації.)