Политика конфиденциальности

#1. Область применения и кто мы

Настоящая Политика конфиденциальности распространяется на colitu.com и его поддомены (включая docs.colitu.com), приложения Colitu для Android, Windows, Linux (бета) и iOS и VPN-сервис Colitu (вместе — «Сервис»). Сервис предоставляет COLITU LIMITED — компания, зарегистрированная в Англии и Уэльсе (юридический адрес: 128 City Road, London, Великобритания, EC1V 2NX; регистрационный номер компании 17520342); COLITU LIMITED является оператором ваших персональных данных. База данных аккаунтов работает на сервере в Турции; VPN-серверы находятся во многих странах. Технические подробности — в техническом документе по безопасности, сведения об операциях обработки — в Политике обработки данных.

#2. Что не записывают VPN-серверы

VPN-серверы не записывают:

• содержимое вашего трафика;
• сайты, доменные имена и IP-адреса, к которым вы подключаетесь;
• ваши DNS-запросы. На наших DNS-резолверах с блокировкой рекламы журналирование запросов и статистика отключены. По умолчанию приложения используют публичные резолверы (Cloudflare, Google), которые получают запросы с IP-адреса VPN-сервера, а не с вашего;
• ваш IP-адрес. Он используется в памяти только на время подключения;
• журналы подключений.

На стороне VPN мы записываем только объём трафика по каждому пользователю на каждом сервере интервалами около 15 секунд. Эти записи хранятся 90 дней для учёта квот и честного использования; после этого остаются только итоги за расчётный период. По ним видно, когда аккаунт был активен и сколько данных он использовал, но не куда шёл трафик. Поэтому Colitu не обещает полной анонимности.

#3. Какие данные мы храним и как долго

Этот перечень полный и совпадает с разделом «Журналирование и перечень данных» технического документа по безопасности.

Платёжные записи есть только у клиентов, которые покупают платный тариф. Номер карты, CVV, банковские реквизиты и ключи криптокошельков никогда не попадают в Colitu — они вводятся на странице платёжного провайдера.

Colitu Space

Colitu Space (space.colitu.com) — хранилище файлов со сквозным шифрованием. Эта политика распространяется и на него; данные Colitu Space перечислены в таблице выше отдельными строками. Коротко:

• Шифрование. Ваши файлы, миниатюры, имена файлов и папок, сведения о файлах и ваш профиль (имя и изображение профиля) шифруются в вашем браузере вашим ключом. Colitu не видит содержимое, имена, ваш профиль и ваш ключ, а пароль хранилища на сервер не отправляется.
• Что видит сервер. ID аккаунта, размер зашифрованных данных, число файлов, даты создания и изменения, структура папок (какой элемент в какой папке), число версий, отметка избранного, время окончания режима путешествия, настройки хранилища (время автоблокировки), зашифрованный ключевой материал (соль и параметры Argon2id, мастер-ключ, обёрнутый паролем и ключом восстановления) и записи passkey.
• Хранение. Зашифрованные данные хранятся в Backblaze B2, в отдельном аккаунте Colitu. Удалённые файлы остаются в корзине 30 дней, затем удаляются навсегда; хранится не более 10 прежних версий файла. При удалении хранилища или файла его объекты через очередь удаления стираются и из системы хранения. Если вы удалите хранилище или аккаунт Colitu, все ваши данные Colitu Space будут удалены.
• Общий доступ. Возможен только между пользователями Colitu Space и защищён сквозным шифрованием. Сервер хранит, кто, с кем и чем поделился (вместе с зашифрованным содержимым, но не видя его), и даты. Получатель может пожаловаться на общий доступ; в жалобе сохраняются причина (незаконное содержимое, преследование, спам или другое) и необязательная заметка. В жалобе администратор Colitu видит только, кто с кем поделился, дату, число файлов и причину; файлы он увидеть не может. Он может закрыть общий доступ или приостановить хранилище. О новом общем доступе письмо получает получатель, о запросе экстренного доступа — владелец хранилища; в письме нет имени файла, указан адрес электронной почты отправителя.
• Ссылка для запроса файлов. Человек без аккаунта может отправить файл в хранилище по ссылке; файл шифруется в его браузере. Публичная подпись, которую написал владелец ссылки, не шифруется. Сохраняются число полученных файлов и их размер. IP-адрес загружающего учитывается только в счётчике дневного лимита размера, хранится не более 25 часов и в базу данных не записывается.
• Экстренный доступ. Владелец хранилища может назначить другого пользователя Colitu Space контактом для экстренного доступа. Сохраняются: контакт, срок ожидания (1–30 дней), даты запроса и отказа и мастер-ключ, запечатанный ключом этого контакта.
• Дополнительное и бесплатное место. Бесплатное место — 5 ГБ (до 2 ГБ на файл). Дополнительное место — 50 ГБ, 200 ГБ или 1 ТБ на 1 месяц или 1 год — покупается разовым платежом; оно не продлевается автоматически и не зависит от вашего тарифа VPN. Заказы и платежи — бухгалтерские записи, как и остальные платежи (см. строку про тариф, платежи и заказы выше). По окончании срока файлы не удаляются, прекращается только новая загрузка. При возврате платежа или его отмене (чарджбэк) дополнительное место закрывается.

#4. Удаление аккаунта, резервные копии и оставшиеся пробелы

Записи с истёкшим сроком удаляет автоматическая задача, которая запускается каждый час и использует сроки из раздела 3. Мы открыто называем оставшиеся пробелы; их устранение включено в план работ:

• Для записей о тарифах, платежах и заказах и для журнала аудита автоматического удаления пока нет.
• Резервные копии базы данных шифруются с помощью age на открытый ключ, поэтому для их создания нужен только этот ключ. Ключ расшифровки хранится офлайн, не на каком-либо сервере. Ежедневная копия остаётся на нашем сервере 3 дня, а зашифрованная копия хранится в Backblaze B2 (EU Central, Амстердам) с защитой от удаления на 30 дней и удаляется не позднее чем через 36 дней. До этого момента копии могут содержать данные, которые вы уже удалили. Снимки базы данных, сделанные перед развёртыванием, не шифруются и удаляются с нашего сервера не позднее чем через 7 дней.

Вы можете сами удалить аккаунт в настройках аккаунта на сайте. Удаление выполняется сразу:

Удаляется сразу: ваш адрес электронной почты (заменяется заглушкой) и пароль; секрет двухэтапной проверки и коды восстановления; passkey (открытый ключ и название); IP-адрес, страна, метка источника регистрации, время первого подключения и заметки администраторов в записи аккаунта; события входа; веб-сессии, токены приложений и ссылки подписки; учётные данные VPN-подключений; имена, ключи, IP-адреса, страны и хеши оборудования устройств; отклонённые попытки добавить устройство или получить пробный период; коды подтверждения и сброса; записи о доставке писем; переписка с Colitu Bot; запросы входа с ТВ; заявки на перенос; итоги трафика за периоды, предпочтения серверов и транспортов, отчёты о транспортах; ваш Colitu Passport (марки, достижения, коллекции, итоги по дням и события наград); участие в бесплатном тарифе, ожидающий промокод, код и записи приглашений, блокировки аккаунта, а также ваши сообщения о безопасности с перепиской и запись в Зале славы; ваше хранилище Colitu Space (зашифрованные файлы, структура папок, ключевой материал, записи об общем доступе, запросах файлов и экстренном доступе). Ответы на опросы отвязываются от аккаунта и остаются только анонимными оценками без комментариев.

Сохраняется и почему:

• Записи о тарифах, платежах и заказах: столько, сколько требует бухгалтерское и налоговое законодательство (вместе с ними остаются очищенная запись аккаунта и строки устройств — ID, даты, платформа, версия приложения).
• Членство в Colitu Business: членство сразу закрывается, а место возвращается компании; закрытая запись о членстве (роль, даты), а также счета и журнал действий компании сохраняются, пока существует корпоративный аккаунт. Ожидающая ссылка для создания пароля удаляется.
• Ключевые хеши проверок злоупотреблений: адрес и идентификатор оборудования — 180 дней, сеть — 30 дней, чтобы удалённый аккаунт не мог сразу получить новый бесплатный тариф.
• Записи об объёме трафика: удаляются через 90 дней после записи.
• Обращения в поддержку: открытые закрываются; удаляются через 2 года после последнего сообщения (для претензий и споров).
• Записи журнала аудита (по ID аккаунта, например само удаление): бессрочно; необязательная причина удаления — 180 дней. Хеш Telegram ID одобренного переноса: 2 года. Запись о доставке письма с подтверждением удаления: 90 дней.

Резервные копии: Зашифрованные резервные копии базы данных, сделанные до удаления, сохраняют данные не более 36 дней, а незашифрованные снимки, сделанные перед развёртыванием, — не более 7 дней. Ключ расшифровки копий хранится офлайн.

Если вы хотите, чтобы оставшиеся записи были удалены раньше, насколько это допускает закон, напишите на privacy@colitu.com.

#5. Правовые основания

Мы обрабатываем данные для заключения и исполнения договора с вами (аккаунт, доступ к VPN, оплата), на основании законного интереса (безопасность Сервиса, предотвращение злоупотреблений и мошенничества, улучшение Сервиса), для выполнения требований закона (бухгалтерский учёт) и, когда это требуется, с вашего согласия. Рассылка отправляется только с вашего согласия: подписка начинает действовать после подтверждения по ссылке из письма, а в каждом письме есть ссылка для отписки в одно нажатие; после отписки адрес удаляется из списка. То же относится к Colitu Space: предоставление хранилища основано на исполнении договора, а жалобы и счётчик IP-адресов загружающих — на нашем законном интересе в предотвращении злоупотреблений.

#6. Приложения, телеметрия и трафик в обход VPN

• Ни одно приложение Colitu (Android, iOS, Windows, Linux) не содержит библиотек аналитики, рекламы или отчётов о сбоях; в приложении для iOS их нет начиная с версии 5.4.1.
• Приложения Colitu и браузерное расширение могут отправлять анонимную статистику использования (отключается в настройках; в расширении для Firefox выключена, пока вы её не включите): только числа — успешность подключений, время и используемые функции. Сервер хранит их как суммы по дню, платформе и версии; аккаунт, устройство, IP-адрес и посещённые сайты не отправляются и не сохраняются. Это не сторонняя библиотека аналитики. Результаты подключений и события Adaptive Connect собираются так же анонимно; сети (страна и провайдер) и серверы хранятся в отдельных таблицах. Чтобы видеть проблемы серверов по регионам, к событиям серверов добавляется местоположение с точностью до города: сервер определяет город по IP-адресу, с которого пришёл отчёт, и не сохраняет адрес; город показывается отдельно, только если в этот день из него сообщили не менее пяти разных устройств, а эти суммы удаляются через 90 дней. Подробнее: Анонимная статистика использования.
• Все приложения сообщают Colitu, какие транспорты сработали на каком сервере и с какой скоростью, с привязкой к устройству, чтобы работающие транспорты пробовались в первую очередь.
• При создании обращения в поддержку приложение прикладывает последние журналы, в которых адреса и секреты замаскированы.

Региональные сайты в обход VPN. Некоторые региональные сайты (домены и диапазоны IP-адресов из встроенного списка) открываются напрямую, в обход туннеля, чтобы продолжали работать сервисы, которые не принимают иностранные IP-адреса; часть таких сервисов отклоняет подключения с иностранных IP-адресов. При подключении к серверу в этом регионе это не применяется. В приложениях для Windows, Android, iOS и Linux это правило действует только при выключенном режиме приватности. В новых установках режим приватности включён по умолчанию (Windows и Android 2.7.0, iOS 5.6.0, Linux 1.3.0 и новее), то есть по умолчанию региональные сайты идут через VPN; установки более ранних версий сохраняют прежнюю настройку. Пока режим приватности выключен, для этого трафика сайт и ваш интернет-провайдер видят ваш реальный IP-адрес.

Кроме того, приложения отправляют в обход туннеля проверки и загрузки обновлений и измерения задержки до серверов, а приложение для Windows определяет имена серверов через DNS-over-HTTPS Cloudflare или Google. В режиме прокси, который используется по умолчанию, приложения для Windows и Linux не охватывают программы, игнорирующие системный прокси, системный DNS-резолвер, UDP-трафик браузера (QUIC/WebRTC) и IPv6; режим TUN их охватывает. Подробнее: технический документ по безопасности.

#7. Передача данных третьим лицам

Мы не продаём ваши данные и не передаём их для рекламы. Данные получают следующие стороны:

При получении юридически обязательного запроса мы можем передать только те данные, которые у нас есть, то есть перечисленные в разделе 3. Содержимого трафика и истории посещений у нас нет. Записи об объёме трафика могут показать, когда аккаунт был активен на сервере.

#8. Трансграничная передача

База данных аккаунтов находится на сервере в Турции. VPN-серверы расположены в странах, указанных на странице серверов, а перечисленные выше провайдеры могут обрабатывать данные в других странах. Данные шифруются при передаче, доступ к нашим серверам есть только у команды Colitu.

#9. Безопасность

• Пароли хешируются с Argon2id и никогда не хранятся в открытом виде.
• При регистрации и при смене пароля мы проверяем, не встречается ли он в известных утечках: в сервис Have I Been Pwned (Pwned Passwords) отправляются только первые 5 символов SHA-1-хеша пароля; сам пароль, его полный хеш, ваш e-mail и IP-адрес не передаются. Регистрация с временных (одноразовых) адресов e-mail не принимается; эта проверка выполняется на нашем сервере по открытым спискам доменов, персональные данные никуда не отправляются.
• Соединения с сайтом и API защищены TLS; между управляющим контуром и VPN-серверами используется взаимный TLS.
• Учётные данные платёжного, почтового и ИИ-провайдеров хранятся в базе данных в зашифрованном виде (AES-256-GCM). Учётные данные VPN-подключений и ключи серверов сейчас хранятся в базе данных без шифрования; их шифрование запланировано.
• Панель администратора находится на отдельном адресе, с ролевыми правами и журналом аудита. Двухэтапная проверка (TOTP) для аккаунтов администраторов обязательна.
• Проверки злоупотреблений хранят только хеши HMAC-SHA256 с серверным ключом, который не хранится в базе данных.
• Диски серверов не зашифрованы, независимого аудита безопасности пока не было.

Подробно: технический документ по безопасности.

#10. Ваши права

Вы вправе получить доступ к своим персональным данным, потребовать их исправления или удаления, возразить против обработки и получить копию данных в переносимом формате. Функции самостоятельной выгрузки данных пока нет; такие запросы мы обрабатываем вручную. Напишите на privacy@colitu.com с адреса электронной почты вашего аккаунта, чтобы мы могли подтвердить вашу личность; можно также воспользоваться разделом Поддержка в приложении. Мы отвечаем в течение 30 дней. Удалить аккаунт можно самостоятельно (раздел 4).

#11. Дети

Сервис не предназначен для лиц младше 16 лет. Если мы узнаем, что обрабатываем данные такого лица, мы удалим аккаунт и данные.

#12. Cookie

Сайт использует только cookie, необходимые для входа, безопасности и выбора языка, а также несколько записей в хранилище браузера для таких функций, как Colitu Bot; на docs.colitu.com Cloudflare может установить cookie безопасности. Рекламных и отслеживающих cookie нет. Подробнее: Политика cookie.

#13. Изменения

Мы можем обновлять эту политику. О существенных изменениях мы сообщаем на сайте или по e-mail до вступления их в силу. Актуальная версия всегда на этой странице.

#14. Контакты

Вопросы о конфиденциальности: privacy@colitu.com. Сообщения об уязвимостях: security@colitu.com