Политика конфиденциальности

Версия 2026-11-12 · Обновлено: 12 ноября 2026 г.

mr.enzo — мессенджер для iPhone со сквозным шифрованием чатов и звонков и офлайн-сетью, которая работает без интернета. Здесь простыми словами описано, какие данные обрабатывают приложение и наш сервер, зачем, как долго и что вы можете с этим сделать. Политика описывает текущую версию приложения; что и когда менялось в этом документе, сказано в разделе «История» в конце.

1. Кто отвечает за данные

mr.enzo разрабатывает и поддерживает Гарник Папян — независимый разработчик, физическое лицо, Россия («мы»). Он является оператором (контролёром) описанных здесь персональных данных. По любым вопросам о конфиденциальности, в том числе для реализации ваших прав, пишите на ajkzantokaev@gmail.com.

2. Какие данные мы обрабатываем и зачем

2.1 Аккаунт

• Адрес электронной почты. Вход — по email и одноразовому коду, который мы присылаем на него. Email нужен, чтобы вы могли войти, чтобы защищать аккаунт и чтобы отвечать вам. Код действует 10 минут; запись о нём — сам код и адрес, на который он отправлен, — удаляется с сервера сразу после использования кода либо примерно через минуту после истечения его срока. Пользователи, которые уже знают ваш email, могут найти по нему ваш аккаунт — введя его в поиске или через «Найти друзей» (см. 2.4); там, где приложение это предлагает, это можно запретить переключателем «Находить меня по почте» в разделе «Конфиденциальность» настроек приложения, а входить по email вы можете и тогда. Кому показывать сам email, вы выбираете в «Кто видит почту» — там, где приложение это предлагает: «Все», «Мои контакты», «Выбранные» или «Никто» (это значения из «Кто видит номер», ниже); по умолчанию — «Никто»: его видите только вы. Тому, кого вы заблокировали или кто заблокировал вас, адрес не показывается никогда, а при «Все» сервер показывает одному человеку не больше 100 чужих адресов в сутки.
• Номер телефона — у аккаунтов, которые входят по номеру, и у старых аккаунтов, созданных по номеру телефона; тот, кто знает номер, так же может найти по нему такой аккаунт — а там, где приложение предлагает поиск по номеру, только по номеру, подтверждённому по SMS, и как разрешает «Кто может найти меня по номеру» (ниже). Там, где приложение предлагает вход по номеру телефона, войти можно по номеру вместо email: мы присылаем на него одноразовый код по SMS, а запись о коде удаляется с нашего сервера так же, как запись о коде из письма. Чтобы отправить и проверить код, ваш номер, IP-адрес, тип устройства, версия и язык приложения передаются нашему SMS-провайдеру Prelude (Ding Negoce SAS, Франция) — только для этого; Prelude хранит данные в ЕС и может передавать их за пределы ЕС, а чтобы доставить SMS, номер и текст сообщения проходят через операторов связи страны номера. Мы записываем, когда номер подтверждён таким кодом, и входит только подтверждённый номер: номер, с которым старый аккаунт был создан, но который не подтверждён по SMS, для входа не годится. Вход по email остаётся. Номер можно добавить и к аккаунту, который входит по email, — тогда входить можно и так, и так. Если аккаунтом с номером не пользовались больше 45 дней, а номер подтверждает кодом из SMS новый владелец, он выбирает: войти в этот аккаунт (с кодом на почту аккаунта, если она есть) или создать новый; во втором случае номер отвязывается от старого аккаунта, а на его почту, если она есть, приходит письмо. Номер, записанный до версии 1.2.5 и не подтверждённый по SMS, снимается с аккаунта, когда этот номер подтверждает другой человек. Когда номер добавлен, изменён, удалён или отвязан, на почту аккаунта, если она есть, приходит письмо; номер в нём записан только кодом страны и двумя последними цифрами. Удалить номер можно, если у аккаунта есть почта: входить тогда можно только по ней. Чтобы защититься от злоупотреблений, наш сервер считает коды, отправленные на каждый номер и запрошенные с каждого сетевого адреса за сутки (по UTC), под ключевым отпечатком, а не под самим номером или адресом, и удаляет этот подсчёт, когда сутки закончились.
• Номер телефона в профиле (по желанию). Вы можете указать в профиле номер телефона, чтобы ваши собеседники могли сохранить его или позвонить по нему: мы храним его в том виде, в каком вы его ввели, и не проверяем. Там, где приложение это предлагает, номером в профиле становится подтверждённый по SMS номер, по которому вы входите, а номер, введённый вручную, удаляется. Кому его показывать, вы выбираете в «Кто видит номер»: «Все» (там, где приложение это предлагает) — любому пользователю mr.enzo, но одному человеку сервер показывает не больше 100 чужих номеров в сутки; «Мои контакты» — вашим контактам, то есть тем, кого вы добавили или кому написали и кто тоже добавил вас или написал вам; «Выбранные» — только тем из них, кого вы отметили (для этого сервер хранит список отмеченных); «Никто» — никому. Тому, кого вы заблокировали или кто заблокировал вас, номер не показывается никогда. Тот, у кого ваш номер уже записан в адресной книге, видит его на своём телефоне независимо от этих настроек. Номер, введённый вручную, мы не используем для поиска вашего аккаунта и для сверки с чьей-либо адресной книгой, и вы можете удалить его в любой момент. Кто может найти вас по подтверждённому номеру (поиском друзей, поиском по номеру или по ссылке mrenzo.com/+номер, п. 2.4), вы выбираете в «Кто может найти меня по номеру» — там, где приложение это предлагает: «Все» — любой, у кого есть ваш номер, или «Мои контакты» — только те, кто есть в ваших контактах в mr.enzo; тогда же тот, кого вы заблокировали, не находит вас ни по номеру, ни по почте.
• Дата рождения в профиле (по желанию). Вы можете указать день рождения — день и месяц, с годом или без него, — чтобы вашим контактам пришло напоминание о нём: мы храним дату в том виде, в каком вы её ввели, и показываем только вашим контактам (тем же людям, что и номер телефона при выборе «Мои контакты», и никогда тому, кого вы заблокировали или кто заблокировал вас) — либо никому, если вы выбрали «Никто». Напоминания создаются на iPhone ваших контактов по их списку контактов: наш сервер не рассылает уведомлений о днях рождения и не ведёт их расписания. Напоминание о дне рождения планируется на телефоне вашего контакта заранее (до 30 дней), показывается за день до дня рождения и в сам день рождения и исчезает после того, как его приложение обновит список контактов. Если вы скрыли или убрали дату, уже запланированное на чужом телефоне напоминание может сработать, пока этот телефон не обновил список. Контакт, который видит дату, может сохранить её у себя на устройстве — например, в Контактах iPhone. Мы не используем дату для поиска вашего аккаунта, для проверки возраста или для чего-либо ещё, и вы можете изменить или удалить её в любой момент.
• Имя пользователя, отображаемое имя, фото профиля и описание. Это ваш публичный профиль. Любой пользователь mr.enzo может найти вас по имени пользователя или отображаемому имени и увидеть этот профиль; поиск по имени пользователя, отображаемому имени или адресу почты не показывает вас тому, кого вы заблокировали. Новый аккаунт получает случайное имя пользователя — «user» и восемь цифр, — которое ничего не говорит о вашем адресе почты; его можно сменить в профиле. У аккаунта, созданного раньше, имя пользователя могло быть образовано из начала адреса почты (до знака «@»), а у аккаунта, созданного по номеру телефона, — из буквы «p» и цифр этого номера; оно остаётся таким, пока владелец его не сменит, но там, где приложение предлагает поиск по номеру, поиск не находит аккаунт по имени пользователя из буквы «p» и цифр номера. Имя пользователя можно менять не чаще раза в 14 дней; для этого сервер хранит время последней смены. Фото профиля хранится без шифрования, и его может открыть любой, у кого есть ссылка на него.
• Необязательные настройки защиты: облачный пароль (хранится только в виде хеша) и подсказка к нему, резервный email, секрет двухэтапной проверки и коды восстановления. Они хранятся, чтобы проверять их при входе.
• Сеансы. Токены входа (хранятся в виде хешей), срок их действия и метка устройства, время, когда вы последний раз были в сети, номер сборки приложения, с которой ваш аккаунт подключался последний раз (чтобы сервер знал, какие форматы сообщений понимает ваше приложение), какой вход записал каждый push-токен и токен рации, а также метка iPhone, на котором сейчас ключи вашего аккаунта. Там, где приложение предлагает «Выйти на других устройствах», другие входы вашего аккаунта завершаются, а их push-токены и токены рации удаляются, когда вы выбираете этот пункт, ставите, меняете или снимаете облачный пароль, включаете или выключаете двухэтапную проверку, меняете адрес для входа или входите, восстановив облачный пароль. На тех устройствах нужно войти снова; переписка на них остаётся.
• Запись о вашем согласии. Когда вы принимаете Согласие на обработку персональных данных, мы записываем, что ваш аккаунт его принял: версию документа, время, язык, на котором он был показан, и отпечаток (SHA-256) его текста. Сам текст каждой версии — в том виде, в каком он был показан, — мы тоже храним, начиная с версии, следующей за 2026-10-08.2; у согласия с версией 2026-10-08.2 или более ранней записаны только версия и время. Запись хранится до удаления аккаунта.

2.2 Сообщения, вложения и звонки

• Личные чаты шифруются сквозным шифрованием на вашем устройстве (Double Ratchet с обменом ключами X3DH). Наш сервер лишь передаёт зашифрованные сообщения и не может их расшифровать. До 12 октября 2026 г.: если получатель не в сети, зашифрованное сообщение ждёт на сервере, пока устройство получателя его не заберёт, и затем удаляется. С 12 октября 2026 г.: зашифрованное сообщение хранится на сервере, пока приложение получателя не подтвердит, что получило его, — обычно доли секунды, в том числе когда получатель в сети, — и затем удаляется; так сообщение не теряется, если связь получателя только что пропала. В обоих случаях сообщение, получение которого никто не подтвердил, хранится не дольше 30 дней, после чего его удаляет очистка, которая запускается каждый час. Сообщение со скрытым отправителем (см. «Что сервер видит неизбежно» ниже) тоже ждёт доставки до 30 дней, и очистка удаляет его не позже чем через 31 день после отправки. Отметку о прочтении ваш телефон отправляет, если вы не выключили «Отчёты о прочтении» в разделе «Конфиденциальность» настроек приложения; пока они выключены, вы тоже не видите, прочитаны ли ваши сообщения. Отметки о доставке и прочтении, которые ждут отправителя, хранятся, пока их не получит его устройство, не дольше 8 дней.
• Постквантовая защита. Если у обоих собеседников версия 1.1 или новее, новый разговор начинается с гибридного согласования ключей: описанный выше обмен X25519 сочетается с постквантовым алгоритмом ML-KEM-768. Это нужно, чтобы сообщения, записанные сегодня, нельзя было прочитать и тому, у кого позже появится квантовый компьютер. Для этого сервер хранит ещё несколько ваших открытых ключей. Разговор с тем, у кого версия старее, начинается прежним способом.
• Карточка контакта и новый номер. Карточка контакта (имя, номера и адреса, которые вы отметили) и сообщение о том, что ваш номер изменился, — обычные сообщения со сквозным шифрованием: прочитать их сервер не может. О новом номере ваш телефон сообщает только тем, кого вы выбрали, и только тем, кому сервер показывает ваш номер; в группы и каналы такое сообщение не отправляется.
• Правки и «Удалить для всех». Новый текст отредактированного сообщения защищён сквозным шифрованием. Чтобы правка или удаление дошли и до того, кто не в сети, сервер хранит их — кто какое сообщение изменил и для кого, только по номеру сообщения, — пока устройство получателя их не получит, но не дольше 30 дней.
• Реакции. Реакция в личном чате защищена сквозным шифрованием, как сообщение; если собеседник не в сети, она ждёт на сервере до 30 дней, и сервер видит, кто и кому её отправил, но не видит, что это. Если у собеседника ещё версия приложения 1.0, реакция отправляется по-старому: сервер видит эмодзи, пока передаёт его, и не сохраняет. В группах и каналах реакции шифруются ключом, которого у сервера нет: сервер хранит, какой участник и когда отреагировал на какую публикацию, но не сам эмодзи, и удаляет эту запись при удалении публикации, при вашем выходе из группы или канала и при удалении аккаунта.
• Отложенная отправка. Если вы выбираете «Отправить позже», приложение шифрует сообщение сразу и передаёт его нашему серверу вместе со временем отправки; сервер хранит его до этого времени — не дольше 366 дней (сообщение со скрытым отправителем — не дольше суток) — и затем доставляет как обычное. Пока сообщение ждёт, сервер знает, что у вашего аккаунта есть отложенное сообщение, его время и размер; кому оно адресовано и само зашифрованное сообщение хранятся в закрытом виде, ключ от которого лежит отдельно от базы данных, а прочитать текст сервер не может, как и у любого сообщения. Отложенное сообщение можно отменить, изменить или отправить сразу; после отправки или отмены оно удаляется с сервера. Отметка о том, что сообщение отправлено или не могло быть доставлено (без содержания; адресат личного сообщения в ней не указан, а идентификатор сообщения хранится в ней в том же закрытом виде), хранится 30 дней, чтобы об этом узнали ваши устройства.
• Группы и каналы. Публикации шифруются сквозным шифрованием ключами, которые есть только у участников, и хранятся на сервере в зашифрованном виде, чтобы участники могли загрузить историю. Они удаляются, когда их удаляет автор, когда срабатывает таймер автоудаления группы, когда удаляется группа или канал или когда автор удаляет свой аккаунт. После удаления публикации сервер ещё некоторое время хранит запись о ней: её номер, номер, который ей дало приложение автора, кто и в какой группе её отправил и когда она удалена — без содержимого и без времени отправки. Так публикация не появится снова, если приложение автора повторит отправку, ответ на которую до него не дошёл. Запись хранится 90 дней, если публикацию удалил автор или администратор, и сутки, если её удалил таймер автоудаления; при удалении группы или аккаунта автора она удаляется сразу. Название, описание и фото группы, список участников, их роли и то, кто добавил каждого участника, а также короткие служебные уведомления (например, «автоудаление включено») хранятся без шифрования — иначе сервис не сможет управлять участниками.
• Фото, видео (в том числе видеосообщения), голосовые сообщения и файлы шифруются на вашем устройстве (XSalsa20-Poly1305) до загрузки. Видеосообщение — обычное видео со сквозным шифрованием; камера и микрофон работают только во время записи. Ключ передаётся только внутри сообщения со сквозным шифрованием. Сервер хранит зашифрованный файл вместе с его размером, временем загрузки, отправителем и получателем или группой, чтобы получатели могли его скачать. Расшифровать файл сервер не может. Если сообщение отправлено из версии приложения 1.2.5 или новее, файл исчезающего сообщения удаляется с сервера не позже чем через 31 день после того, как сообщение исчезло, а файл сообщения, которое отправитель удалил у всех, — вскоре после того, как удаление дошло до сервера. В группе или канале срок файла следует за таймером автоудаления группы: если таймер выключить, файлы, которые ещё на сервере, остаются. Файл стикера остаётся: приложение отправляет его повторно. Остальные файлы остаются на сервере, пока отправитель не удалит аккаунт, — в том числе после того, как сообщение удалили только у себя.
• Голосовые и видеозвонки защищены сквозным шифрованием (DTLS-SRTP; каждая сторона подписывает отпечаток своего ключа ключом личности). Сервер передаёт только служебные сообщения для установки звонка. Звук и видео идут напрямую между устройствами, а если прямое соединение невозможно — через наш ретранслятор (TURN), который пересылает зашифрованный поток и не может его расшифровать. Мы не записываем звонки. При прямом соединении устройство собеседника может видеть ваш IP-адрес. Если к началу звонка приложение не получило список наших серверов, оно узнаёт свой сетевой адрес у общедоступного сервера Google (STUN): Google при этом видит IP-адрес вашего устройства, а об аккаунте и о собеседнике в таком запросе ничего нет. История звонков хранится только на вашем устройстве.
• Вторая галочка из уведомления. Чтобы отправитель увидел вторую галочку, когда сообщение уже показано на вашем телефоне в уведомлении, сервер 8 дней хранит номер сообщения и время, когда уведомление дошло до телефона. Текст сообщения и имя отправителя при этом не хранятся.
• Что сервер видит неизбежно. Чтобы доставлять сообщения и звонки, сервер обрабатывает, кто с кем связывается, когда и какого размера сообщение, а также в сети ли вы. Отдельного журнала этого мы не ведём — кроме описанных выше очередей доставки и серверных журналов из п. 2.9. Если включить «Скрывать имя в уведомлениях», личные текстовые сообщения по возможности отправляются по схеме «запечатанный отправитель» (sealed sender): отправитель указан только внутри зашифрованного конверта, поэтому он не хранится вместе с сообщением, ожидающим доставки, и не виден в уведомлении.
• Ключи шифрования. Ваши открытые ключи хранятся на сервере, чтобы другие могли начать с вами зашифрованный разговор, — вместе с короткой записью, подписанной вашим устройством, о том, какие функции поддерживает ваша версия приложения. Закрытые ключи остаются на вашем устройстве.

2.3 Истории

История (текст, фото или видео), опубликованная в версии приложения 1.2.1 или новее, защищена сквозным шифрованием: она шифруется на вашем телефоне, а ключ уходит каждому, кто может видеть историю, по вашему зашифрованному чату с ним. Сервер хранит зашифрованную историю и 24 часа показывает её тем пользователям mr.enzo, с которыми вы выбрали друг друга, — вы добавили их в контакты или написали им, а они вас, — кроме тех, кого вы заблокировали или кто заблокировал вас. Прочитать её сервер не может, но видит, что и когда вы опубликовали историю, кто может её видеть, кому ваш телефон отправил ключ, сколько в истории файлов и какого они размера и кто их скачивал. История, опубликованная из более старой версии приложения, сквозным шифрованием не защищена. Через 24 часа история пропадает из ленты. Вы можете удалить историю раньше. Фото и видео истории хранятся на сервере как файл — зашифрованный у истории из версии 1.2.1 или новее, обычный, не зашифрованный у более старой — и удаляются с него примерно в течение часа после того, как история исчезла; если вы удалили историю раньше — не позже чем примерно через сутки после загрузки файла.

2.4 Контакты

• Ваши контакты в mr.enzo (люди, которых вы добавили в приложении или которым написали) хранятся на сервере в виде списка аккаунтов. Он нужен, чтобы восстановить контакты на новом устройстве и решать, кто чьи истории видит.
• Звонки и «в сети». Если вы сами позвонили человеку или ответили на его звонок, сервер запоминает только этот факт — чтобы показывать этому человеку, в сети ли вы, так же как если бы вы ему написали. Запись удаляется, когда вы удаляете контакт или аккаунт.
• Поиск друзей из адресной книги необязателен: он работает, только если вы разрешили доступ к Контактам. Тогда приложение само проверяет, кто из ваших контактов есть в mr.enzo, — после разрешения, при изменениях адресной книги и не чаще раза в сутки при открытии приложения или в фоне, если iOS это разрешает (там, где приложение это предлагает; иначе — когда вы нажмёте «Найти друзей из контактов»). Адресная книга на сервер не загружается. Приложение на вашем устройстве приводит номера к международному виду, превращает каждый номер телефона и адрес email в «ослеплённое» криптографическое значение (OPRF) и отправляет только такие значения; сервер обрабатывает их, не видя самих номеров и адресов, а совпадения ваше устройство определяет само. При самой проверке сервер узнаёт только, сколько записей было проверено, — но не какие именно и не какие из них совпали. Сервер их не сохраняет. Найденные люди добавляются в ваши контакты в mr.enzo (при проверке по нажатию — те, кого вы добавите сами) — так сервер узнаёт, кто из пользователей mr.enzo есть у вас в контактах, но не саму адресную книгу; как любой ваш контакт, они могут видеть, когда вы в сети, и добавлять вас в группы. Чтобы помешать перебору номеров, сервер считает число проверок вашего аккаунта за сутки (там, где приложение не предлагает поиск по номеру, — только в своей памяти). Поиск по номеру (там, где приложение его предлагает: во вкладке «Поиск», по ссылке mrenzo.com/+номер, по номеру в сообщении или в карточке контакта) устроен так же: номер уходит на сервер только «ослеплённым». Имена и другие данные адресной книги не покидают устройство: имена из неё приложение показывает только на вашем iPhone, а уведомление о том, что ваш контакт появился в mr.enzo, создаёт само, на iPhone. Там, где приложение это предлагает, проверку можно выключить: запретите mr.enzo доступ к Контактам в Настройках iOS → mr.enzo.
• Ссылки-приглашения. Ссылка, которой вы приглашаете человека (mrenzo.com/pair/…), содержит числовой идентификатор вашего аккаунта и имя пользователя — ничего секретного в ней нет. Прочитать их может любой, к кому попала ссылка, а когда её открывают в браузере, наш сервер записывает этот запрос в журнал, как любой другой (п. 2.9). Ссылка вида mrenzo.com/+номер содержит номер телефона; когда её открывают в браузере, сервер этот номер не ищет и записывает в журнал без всех цифр, кроме двух последних.

2.5 Уведомления

Мы храним push-токены ваших устройств (включая VoIP-токен, благодаря которому звонит входящий звонок) вместе со случайным идентификатором установки, который создаёт приложение, чтобы отправлять уведомления через Apple Push Notification service. Если аккаунт перенесён на другой iPhone в версии приложения 1.2.5 или новее, уведомления, звонки и вызовы рации на прежний iPhone больше не приходят. В уведомлении, которое мы отправляем, видно отображаемое имя отправителя (или нейтральный заголовок, если включено «Скрывать имя в уведомлениях») и общий текст вроде «Новое сообщение». Чтобы ваш iPhone мог показать, кто написал и что, уведомление может нести и само сообщение — зашифрованным так, что открыть его может только ваше устройство: Apple передаёт его и прочитать не может, как и наш сервер. iPhone расшифровывает сообщение и показывает его текст вместо слов «Новое сообщение»; если сообщение слишком велико для уведомления, iPhone сам забирает его с нашего сервера — тоже зашифрованным. Если включить в Настройках «Скрывать текст сообщений» (в версиях приложения до 1.2.4 — «Защищённый режим»), сообщение в уведомления не вкладывается, и вместо его текста видно «Новое сообщение»; имя отправителя этот переключатель не скрывает — это делает «Скрывать имя в уведомлениях». Вместе с уведомлением Apple получает служебные данные, по которым приложение открывает нужный чат: для личного сообщения — числовой идентификатор аккаунта отправителя и номер сообщения (не передаются, если включено «Скрывать имя в уведомлениях»), для группы или канала — их идентификатор и, если имя не скрыто, название. Вызов входящего звонка всегда содержит числовой идентификатор, имя пользователя и отображаемое имя звонящего, номер звонка и признак видеозвонка: без них iPhone не может показать экран звонка.

• Чаты без звука. Когда вы отключаете звук чата, приложение сообщает серверу, какой чат отключён и до какого времени, чтобы сервер перестал присылать по нему уведомления — кроме вызова по рации из такого чата, который приходит беззвучно (п. 2.11). Это хранится, пока вы не включите звук (это делает и ответ на такой вызов), пока не истечёт срок, пока вы не выйдете из группы или не удалите аккаунт.
• Скрытые чаты и уведомления. Чтобы ваш iPhone мог оставить уведомление скрытого чата нейтральным, сервер добавляет к уведомлению короткую подсказку — номер аккаунта отправителя или группу и номер сообщения, — зашифрованную ключом, который есть только у вашего устройства. Apple передаёт её и прочитать не может. Сервер не знает, какие из ваших чатов скрыты.

2.6 Офлайн-сеть (Bluetooth и локальный Wi‑Fi)

Пока офлайн-сеть включена (по умолчанию она включена в режиме «Авто»), ваш iPhone обменивается сообщениями с находящимися рядом устройствами с mr.enzo через Bluetooth и одноранговый Wi‑Fi Apple.

• Что видят устройства рядом. Ваше имя и номер вашего аккаунта в эфир не передаются. В эфире виден случайный код, который приложение время от времени заменяет новым. Если у вас и у собеседника версия приложения 1.2.3 или новее, сообщения, рация, фото и служебные кадры для него уходят запечатанными: ни устройство рядом, ни телефон, который несёт сообщение дальше, не видит ни отправителя, ни получателя и не может понять, что два кадра отправил один человек или что они адресованы одному человеку; узнать свой кадр и открыть его может только телефон получателя. Остальным видно лишь, что это кадр mr.enzo, его размер и время. Собеседнику с более старой версией приложение отправляет кадры как раньше: сообщение, рация или служебный кадр (например, «Найти рядом») тогда содержат числовой идентификатор вашего аккаунта и ваш открытый ключ подписи — чтобы устройства, передающие их дальше, могли проверить подлинность, — и устройство рядом может понять, что два таких кадра отправлены с одного аккаунта. В обоих случаях сообщения защищены сквозным шифрованием, и прочитать их устройства рядом не могут.
• «Люди рядом». Исключение — экран «Люди рядом». Пока вы держите его открытым, телефон каждые несколько секунд, до 10 минут подряд, рассылает телефонам в радиусе действия тот же подписанный код, что показывает ваш QR-код: имя пользователя, отображаемое имя, числовой идентификатор аккаунта и открытые ключи (без фото). Принять его может любое устройство в радиусе (сам радиоканал не шифруется); mr.enzo показывает его людям рядом, у которых открыт тот же экран, и дальше его не передаёт ни один телефон. Просьбы добавить в контакты, отправленные с этого экрана, и ответы на них тоже не запечатываются: в них номер вашего аккаунта и ключ подписи, а в просьбе — ещё и тот же код. Заблокированные вами люди вам не показываются; человек добавляется в контакты, только если одна сторона попросила, а другая приняла. Закрыли экран — рассылка прекращается.
• Переноска. Чтобы дойти до получателя, сообщение может до 24 часов находиться на устройствах других людей, а ваше устройство — переносить чужие. Переносящие устройства не могут их прочитать.
• Курьеры: сообщение может пройти через наш сервер. Телефон, который несёт ваше сообщение и у которого есть интернет, может передать его нашему серверу, и тот доставит его как обычное сообщение. О таком сообщении сервер знает то же, что о любом другом, — отправителя, получателя, время, размер — и никогда не знает содержимого. Адрес получателя (а в запечатанном кадре — и отправителя) передаётся запечатанным: открыть его может только наш сервер. Сервер не записывает, какой телефон какое сообщение передал; как и любой запрос, такая передача попадает в журналы сервера (п. 2.9) с IP-адресом курьера и временем. С версии приложения 1.3.0 каждый телефон с включённой офлайн-сетью — курьер: отдельно это не выключается, только вместе с офлайн-сетью (Условия использования, п. 6). В версиях до 1.3.0 отправку через курьеров и переноску чужих сообщений можно выключить в настройках офлайн-сети. Сообщения аккаунта, в котором включено «Скрывать имя в уведомлениях», через курьеров не передаются никогда: в них нет ничего, что курьер мог бы передать нашему серверу, и на сервер они попадают только с устройства самого отправителя.
• Режим ретранслятора держит радио включённым, пока приложение открыто, чтобы ваш iPhone передавал дальше чужие зашифрованные сообщения. Телефон в режиме ретранслятора — тоже курьер: когда у него есть интернет, он передаёт нашему серверу зашифрованные сообщения, которые несёт, — в том числе чужие, — как описано выше, и отдельно выключить это, пока режим ретранслятора включён, нельзя. На то, что видят устройства рядом, он не влияет.
• Без курьеров трафик офлайн-сети не проходит через наш сервер. Офлайн-сеть можно выключить в Настройках.

2.7 Предпросмотр ссылок

Если в сообщении, которое вы пишете, есть ссылка, ваш iPhone сам открывает страницу (с версии приложения 1.3.0 — всегда; в более ранних версиях — только при включённом предпросмотре ссылок, его можно было выключить в Настройках), чтобы взять её заголовок, описание и картинку. Поэтому сайт видит запрос с вашего IP-адреса. Дальше предпросмотр передаётся внутри сообщения со сквозным шифрованием: наш сервер ссылку не видит, а устройство получателя не обращается к сайту, чтобы показать предпросмотр.

Если приложение предлагает «Через сервер, если сайт не открывается», вы это включили, а страница не открылась с вашего iPhone, приложение передаёт ссылку нашему серверу, и он сам открывает страницу, чтобы взять её заголовок, описание и картинку. В этом случае наш сервер видит ссылку и то, с какого аккаунта пришёл запрос, но не видит чат и получателя; ссылку он не сохраняет и в журналы не записывает, а ответ сразу забывает. Сайт видит запрос с адреса нашего сервера, а не с вашего. По умолчанию этот путь выключен.

2.8 Жалобы и блокировки

• Жалобы. Когда вы жалуетесь на пользователя, сообщение, группу, канал или историю, мы сохраняем жалобу: ваш аккаунт, аккаунт и объект жалобы, причину, ваш комментарий (если есть) и — поскольку сообщения зашифрованы сквозным шифрованием — текст сообщений, которые вы решили приложить: ваше устройство расшифровывает их и отправляет только вместе с жалобой. Жалобы также приходят письмом в наш почтовый ящик модерации. Мы храним жалобу один год с момента подачи, в том числе после удаления любого из аккаунтов, а затем удаляем её вместе с приложенным текстом сообщений; жалобу на набор стикеров, которую ещё не рассмотрели, — до решения по ней. Письма о жалобах в почтовом ящике модерации мы раз в квартал удаляем, если им больше года.
• Блокировки. Мы храним, кого вы заблокировали, чтобы сервер не пропускал к вам их сообщения, звонки, истории и статус «в сети». Запись удаляется, когда вы разблокируете человека или удаляете аккаунт.

2.9 Диагностика и журналы сервера

• Диагностика. Приложение отправляет на сервер технические события — ошибки и предупреждения, этапы подключения и установки звонков, а также отчёты о сбоях и зависаниях, которые предоставляет iOS (MetricKit), с моделью устройства и версией iOS. Они связаны с идентификатором вашего аккаунта, чтобы мы могли разбираться в проблемах; некоторые события содержат и числовой идентификатор аккаунта собеседника (например, кому вы звонили или чьё сообщение не удалось расшифровать) и номер звонка. События устроены так, чтобы не содержать текст сообщений и ключи шифрования, и записываются в журналы сервера. Раз в сутки приложение также отправляет суммарные показатели работы, которые собирает для него iOS (MetricKit): сколько времени оно работало на экране и в фоне, процессорное время, объём переданных и полученных данных по Wi‑Fi и сотовой сети, среднюю яркость своего изображения и пик памяти, а также выбранный режим офлайн-сети. В них нет содержимого и идентификаторов других людей; как и остальная диагностика, они связаны с ID вашего аккаунта. О расшифровке голосовых и видеосообщений диагностика сообщает, каким способом и на каком языке она шла, удалась ли и сколько длилась, а о видеосообщении — что запись остановилась и почему; звука, текста и изображения в ней нет. Всю эту отправку можно выключить переключателем «Отчёты об ошибках» в разделе «Конфиденциальность» настроек приложения: тогда приложение не отправляет ничего из описанного в этом пункте и не собирает отчёты iOS о сбоях, а записанное, пока переключатель был выключен, не отправляется и после его включения. Журналы сервера (ниже) этот переключатель не выключает.
• Журналы сервера. Наши серверы записывают технические данные о запросах: IP-адрес, время, запрошенный адрес (поисковые запросы и токены входа удаляются из него до записи), версию приложения и системы, идентификатор аккаунта и имя пользователя для действий после входа и ошибки, а также служебные записи о доставке: числовые идентификаторы аккаунтов отправителя и получателя сообщения, звонка или передачи по рации и время. Ретранслятор звонков записывает IP-адреса устройств, которые к нему подключаются. Номер телефона и email в журналах записываются только частично: номер — кодом страны и двумя последними цифрами, email — первой буквой и доменом. Журналы используются только для безопасности, защиты от злоупотреблений и исправления ошибок. Они хранятся не дольше 30 дней и затем удаляются автоматически.
• Статистика использования. Сервер также ведёт подсчёты по дням — например, сколько аккаунтов подключалось, сколько сообщений передано, сколько звонков начато и уведомлений отправлено, какие версии приложения используются. Сохраняются только числа: без идентификатора аккаунта, идентификатора устройства, IP-адреса и содержимого сообщений. Чтобы посчитать, сколько разных аккаунтов подключалось за день, сервер держит идентификаторы аккаунтов в памяти только в течение этого дня и сохраняет лишь их количество. Пока сервис небольшой, отдельный разрез может описывать одного человека — например, число аккаунтов на одной версии приложения или длительность единственного звонка за день, — поэтому такие разрезы (по версиям приложения, длительность звонков, названия отдельных диагностических событий) удаляются через 30 дней, как журналы сервера; остальные подсчёты по дням хранятся до 2 лет. Мы используем эту статистику только для работы и улучшения сервиса.

2.10 Что хранится на устройстве

История сообщений, медиафайлы, контакты и история звонков хранятся на вашем iPhone. При удалении приложения они удаляются с устройства.

Две вещи приложение передаёт самой iOS — только на вашем iPhone. Звонки в mr.enzo попадают в «Недавние» приложения «Телефон»; это отключается переключателем «Звонки в «Недавних» телефона» во вкладке «Вы» → Конфиденциальность. А чтобы меню «Поделиться» в iOS могло предлагать ваши чаты, приложение сообщает iOS названия и картинки чатов, в которые вы пишете, — но никогда не сами сообщения. Приложение убирает такое предложение, когда вы удаляете или скрываете чат либо блокируете человека, и убирает все — при выходе из аккаунта и при его удалении; кроме того, такие предложения можно отключить в Настройках iOS, в разделе Siri.

2.11 Рация

В режиме рации вы удерживаете кнопку и говорите одному контакту, а он слышит вас почти сразу — в том числе на заблокированном iPhone. Рация выключена, пока вы сами не включите её в Настройках. Говорить можно только между двумя людьми, каждый из которых добавил другого в контакты, и только пока рация включена у обоих; конкретному контакту можно запретить вызывать вас по рации.

• Вызов. Контакт, которого вы не заблокировали и которому не запретили вызывать вас по рации, может позвать вас, даже если ваша рация выключена: придёт уведомление с его именем (нейтральный текст, если вы скрываете имя в уведомлениях), его можно принять или проигнорировать. Принять вызов — значит включить свою рацию. Это срочное уведомление: оно может пройти сквозь режим фокусирования, если вы не выключите срочные уведомления для mr.enzo в Настройках iOS, и звучит сигналом вызова. Если вы отключили звук чата с этим контактом, его вызов приходит в список уведомлений беззвучно — без сигнала и баннера, никогда не сквозь режим фокусирования — в версии приложения 1.2.5 и новее, а в более старых не приходит совсем; если принять такой вызов, звук чата включится. Наш сервер принимает не больше 10 вызовов в минуту от одного аккаунта. В вызове нет звука разговора. Вызов идёт через наш сервер или, когда вы рядом, через офлайн-сеть.
• Что сервер хранит о вызове. Уведомление о вызове идёт через Apple (раздел 4): Apple получает имя и числовой идентификатор аккаунта того, кто зовёт, и время вызова — ни имени, ни идентификатора, если вы скрываете имя в уведомлениях. Чтобы вызов не потерялся, если уведомление не дошло, сервер хранит вызов без ответа — только идентификатор аккаунта того, кто звал, и время — в памяти, не записывая на диск, не дольше 10 минут и один раз отдаёт его вашему приложению, когда оно спросит. Запись исчезает, как только приложение её забрало, когда вы включаете рацию или говорите с этим контактом.
• Звук защищён сквозным шифрованием. Сервер передаёт зашифрованный звук и держит его только в памяти, не дольше примерно трёх минут, — на случай, если телефон слушателя подключится с небольшим опозданием; на диск он не записывается.
• Как и при звонках, сервер видит, кто с кем говорит, когда и как долго, и кто кого зовёт.
• Чтобы разбудить iPhone слушателя, мы используем сервис Apple Push to Talk. Для каждой передачи Apple получает токен рации слушателя, время, случайный номер передачи и числовой идентификатор аккаунта говорящего — без имени и без звука. В отличие от уведомления о сообщении, этот идентификатор передаётся, даже если включено «Скрывать имя в уведомлениях».
• Мы храним токен рации вашего устройства и список контактов, которым вы запретили вызывать вас по рации. Токен удаляется, когда вы выключаете рацию, выходите из аккаунта или удаляете его.
• Между телефонами, находящимися рядом без интернета, рация и вызов работают через офлайн-сеть (п. 2.6) и наш сервер не затрагивают.

2.12 Стикеры и общий каталог стикеров

• Создание стикера происходит на вашем iPhone (объект вырезается из фото средствами iOS на устройстве). Ваши собственные наборы хранятся на устройстве.
• Отправка стикера в чате устроена как отправка фото: он шифруется на вашем устройстве, и сервер не может его открыть. По размеру и по повторной отправке одного и того же файла сервер может догадаться, что вложение, вероятно, стикер.
• Публикация набора — ваш выбор, и опубликованный набор публичен. Если вы отправляете набор в каталог, его изображения и название хранятся на нашем сервере без сквозного шифрования. Каждый набор и каждое его обновление мы просматриваем до появления в каталоге (премодерация). После одобрения набор показывается пользователям приложения, и они могут добавить его себе. Ваше имя и имя пользователя показываются рядом с набором, только если вы это включите; при этом ваш аккаунт в любом случае записан как владелец набора и виден модераторам.
• Чего мы не записываем: какой аккаунт какой набор добавил, открыл или искал. У набора есть только счётчик добавлений. Как и для любого запроса, в журналах сервера (п. 2.9) до их ротации остаются IP-адрес, время и адрес такого запроса, в котором есть номер набора.
• Удаление. Вы можете в любой момент снять набор с публикации или удалить его; у тех, кто уже добавил набор, копия остаётся. На набор можно пожаловаться из приложения, а правообладатели могут написать на ajkzantokaev@gmail.com. Набор, нарушающий Условия использования, удаляется из каталога и с устройств, на которые он был добавлен. Изображения набора, удалённого модерацией, некоторое время хранятся как доказательство (обычно 30 дней; иной срок — если этого требует вид нарушения или закон), в том числе если аккаунт автора за это время удалён. В жалобах и в записях о решениях модерации остаются числовые идентификаторы аккаунтов.
• Изображения, загруженные для набора, который так и не был отправлен на проверку, удаляются через 24 часа.

2.13 Функции, которые работают только на вашем iPhone

• Перевод сообщения выполняет системный переводчик Apple (Translation) на вашем устройстве; язык тоже определяется на устройстве. Текст не отправляется нам, и приложение не отправляет его никому другому. iOS может загружать языковые пакеты с серверов Apple; при этом Apple узнаёт, что ваше устройство запросило язык, но не что вы переводите.
• Расшифровка голосового сообщения или видеосообщения в текст использует распознавание речи Apple только на вашем iPhone: звук не покидает ваш iPhone. Язык расшифровки можно выбрать — общий для всех чатов и для отдельного чата; выбор хранится только на вашем iPhone. Для некоторых языков iOS загружает языковой пакет с серверов Apple — только после вашего нажатия; если сети нет, iOS загрузит его позже сама. Apple при этом узнаёт, что устройство запросило язык, но не что сказано. Если язык нельзя распознать на устройстве, расшифровка для него недоступна. Сначала iOS спросит ваше разрешение.
• Переводы и расшифровки хранятся в памяти, пока открыт чат, и не сохраняются.
• Блокировка приложения, скрытые чаты и второй код-пароль. Коды и список скрытых чатов существуют только на вашем iPhone. У нас их нет, и мы не можем их сбросить или восстановить; Face ID и Touch ID обрабатывает iOS.
• «Найти рядом» (там, где приложение это предлагает: для поиска с расстоянием и направлением нужен сверхширокополосный модуль, который Apple включает не на каждом iPhone и не в каждой стране). Поиск начинается, только когда вы пригласили сохранённый контакт и он согласился. Два iPhone обмениваются короткоживущими токенами через сообщения со сквозным шифрованием — через наш сервер, который не может их прочитать, или, когда интернета нет, через офлайн-сеть — и затем сами измеряют расстояние и направление друг до друга с помощью Apple Nearby Interaction. Поиск идёт, только пока у вас обоих открыт его экран, и прекращается, как только один из вас его закроет. Расстояние и направление никогда не отправляются на наш сервер, а токены не сохраняются. Пока вы и ваш контакт ищете друг друга по Bluetooth («Найти рядом» там, где нет Ultra Wideband), ваш телефон каждые 20 секунд передаёт по Bluetooth зашифрованный служебный кадр. Если у контакта версия приложения 1.2.3 или новее, кадр запечатан, как и другие кадры офлайн-сети (п. 2.6), и не показывает ни вас, ни его; у контакта со старой версией кадр, как раньше, содержит номер вашего аккаунта и ключ подписи; принять его может любое устройство в радиусе Bluetooth (сам канал Bluetooth не шифруется), а телефоны с mr.enzo дальше его не передают. Кому он адресован и что в нём, видит только ваш контакт; расстояние и уровень сигнала телефон никуда не передаёт.
• Личная проверка номера безопасности контакта записывается только на вашем устройстве.
• Кнопка «Вставить» на экранах с кодом читает буфер обмена только по вашему нажатию и берёт из него только код; ничего из буфера не сохраняется и не отправляется.

3. Чего мы не делаем

• Не показываем рекламу и не используем ваши данные для рекламы.
• Не отслеживаем вас в приложениях и на сайтах других компаний и не используем рекламный идентификатор.
• Не встраиваем сторонние SDK аналитики, рекламы или отслеживания.
• Не продаём ваши персональные данные и не передаём их за деньги.

4. Подрядчики и раскрытие данных

Ежедневные резервные копии баз данных хранятся на основном сервере и, в зашифрованном виде, на втором сервере владельца сервиса: хостинг-провайдер Timeweb Cloud, Амстердам, Нидерланды. Ключ для их расшифровки на серверах не хранится. Срок хранения копий — 7 дней.

Три запроса уходят к другим, минуя нас: сайт, ссылку на который вы отправляете, получает запрос предпросмотра, описанный в п. 2.7, напрямую с вашего устройства (или, если вы включили запасной путь из п. 2.7, — с нашего сервера); iOS может загружать с серверов Apple языковые пакеты для перевода и распознавания речи (п. 2.13); а при звонке приложение может обратиться к общедоступному серверу Google, чтобы узнать свой сетевой адрес (п. 2.2). Остальные функции из п. 2.13 ваше содержимое в Apple не отправляют.

Больше мы ни с кем данными не делимся.

Запросы государственных органов

Мы раскрываем данные, только когда этого требует закон — по законному требованию уполномоченного органа — или когда это нужно, чтобы защитить людей от серьёзного вреда.

• Что у нас есть — то, что перечислено в разделах 2 и 5: прежде всего аккаунт и профиль, списки контактов, зашифрованные сообщения, которые ещё ждут доставки, вместе с тем, кто, кому и когда их отправил, журналы с IP-адресами и то, что хранится без сквозного шифрования, — истории, опубликованные из версий приложения до 1.2.1, профили, названия и списки участников групп и каналов, опубликованные наборы стикеров, жалобы и приложенные к ним сообщения.
• Чего у нас нет и что мы поэтому выдать не можем: читаемое содержимое личных чатов, публикаций в группах и каналах, вложений, звонков и историй, опубликованных в версии приложения 1.2.1 или новее, — если что-то из этого и хранится на сервере, то в зашифрованном виде, а ключа у сервера нет, — и закрытые ключи: они остаются на устройствах пользователей.

5. Сроки хранения

6. Удаление аккаунта

Откройте в приложении Вы → Мой профиль → Удалить аккаунт и подтвердите, введя имя пользователя; приложение может также попросить код, отправленный на ваш email. Если воспользоваться приложением не получается, напишите на ajkzantokaev@gmail.com с адреса, привязанного к аккаунту, и мы удалим аккаунт сами.

Там, где приложение это предлагает, аккаунт, которым не пользовались выбранный вами срок — 1, 3, 6 или 12 месяцев, а если вы срок не выбирали, 12 месяцев, — удаляется сам, так же как при удалении в приложении (Настройки → Конфиденциальность → «Если я не захожу»).

Сразу удаляются с наших серверов:

• аккаунт и профиль, фото профиля, список контактов, блокировки, push-токены, открытые ключи, сеансы входа и запись о вашем согласии;
• ваши истории, загруженные вами файлы, ваши публикации и реакции в группах и каналах, отложенные сообщения, настройки чатов без звука и рации;
• зашифрованные сообщения, которые ждали вас, — в том числе их копии в очереди доставки;
• опубликованные вами наборы стикеров: они убираются из каталога, а их изображения удаляются (у тех, кто уже добавил набор, копия остаётся).

Созданная вами группа переходит одному из её администраторов, а если их нет — участнику, который состоит в ней дольше всех; созданный вами канал переходит одному из администраторов или удаляется.

Что остаётся и на сколько:

• уже отправленные вами сообщения остаются на устройствах получателей, а зашифрованные копии ваших сообщений, которые получатель ещё не забрал, остаются в очереди доставки до получения или до истечения срока — не дольше 30 дней;
• сообщение, которое кто-то отправит на ваш бывший аккаунт уже после удаления, и ожидавшая вас копия, которую в тот момент удалить не удалось, уходят с той же ежечасной очисткой — не позже чем через 30 дней;
• резервные копии базы данных — до истечения их срока (раздел 5);
• журналы сервера — до их удаления, не дольше 30 дней;
• жалобы и решения модерации (пп. 2.8 и 2.12) и изображения набора стикеров, удалённого модерацией, — до конца срока их хранения.

7. Ваш выбор и ваши права

Вы можете в любой момент изменить профиль, выбрать, кто видит ваш номер, выключить офлайн-сеть (а в версиях приложения до 1.3.0 — и курьеров отдельно, и предпросмотр ссылок), рацию, «Отчёты о прочтении» и «Отчёты об ошибках», снять с публикации набор стикеров, скрывать имя в уведомлениях, оставить уведомления без текста («Скрывать текст сообщений») и отозвать доступ к Контактам, камере, микрофону, распознаванию речи или Bluetooth в Настройках iOS; там, где приложение это предлагает, — ещё и выбрать, кто видит вашу почту и кто может найти вас по номеру, запретить находить вас по почте («Находить меня по почте»), в версиях приложения до 1.3.0 — выключить «Синхронизацию контактов» и удалить найденных (с 1.3.0 проверка прекращается, когда вы запрещаете доступ к Контактам), и выйти на других устройствах. В зависимости от места вашего проживания (например, по GDPR в ЕС и Великобритании) у вас есть право получить доступ к своим данным, исправить их, удалить, получить в переносимом формате, ограничить обработку или возразить против неё, а также в любой момент отозвать согласие. Пишите на ajkzantokaev@gmail.com — мы отвечаем в течение месяца, а на запросы по российскому закону о персональных данных — в течение 10 рабочих дней. Вы также можете подать жалобу в надзорный орган по защите данных (в России — в Роскомнадзор). Адрес email — или, там, где приложение предлагает вход по номеру телефона, номер — нужен, чтобы создать аккаунт; всё остальное в профиле необязательно. Мы не принимаем в отношении вас автоматизированных решений с юридическими последствиями и не составляем ваш профиль.

При создании аккаунта приложение просит у каждого согласие на обработку персональных данных. Это отдельный документ — Согласие на обработку персональных данных; его требует российский закон о персональных данных; это согласие не ограничивает ни одного права, которое у вас есть по другим законам. Правовые основания по GDPR такие:

По российскому закону о персональных данных (152‑ФЗ) мы обрабатываем данные, чтобы заключить и исполнять соглашение с вами (Условия использования), чтобы защищать права и законные интересы — наши и других пользователей (безопасность, жалобы, диагностика), — и на основании вашего согласия там, где оно требуется.

8. Дети

mr.enzo не предназначен для детей младше 13 лет, а там, где закон страны устанавливает для подобных сервисов более высокий возраст (в некоторых странах ЕС — до 16 лет), — для тех, кто младше этого возраста. Если вам нет 18 лет — или вы не достигли совершеннолетия по закону своей страны, если оно наступает позже, — пользоваться mr.enzo можно только с разрешения родителя или опекуна. Возраст мы не спрашиваем, а день рождения, который можно указать в профиле, для его проверки не используется. Мы сознательно не собираем данные детей младше 13 лет; если вы считаете, что mr.enzo пользуется ребёнок младше 13 лет, напишите нам, и мы удалим аккаунт.

9. Безопасность и трансграничная передача

Все соединения с нашим сервером защищены TLS, а содержимое защищено сквозным шифрованием, как описано выше. Абсолютно защищённых систем не бывает, но мы стараемся защищать ваши данные и хранить как можно меньше. Наши серверы находятся в Европейском союзе: в Германии и — для зашифрованных резервных копий (раздел 4) — в Нидерландах. Разработчик находится в России и управляет сервисом оттуда: администрирование сервера, рассмотрение жалоб и переписка с поддержкой ведутся из России. Решения Европейской комиссии о достаточном уровне защиты данных для России нет. Apple, Google и Resend могут обрабатывать данные, которые они обрабатывают для нас (раздел 4), в других странах, включая США, со своими мерами защиты.

10. Изменения

Если мы изменим эту политику, новая версия появится на этой странице с новой датой и номером версии, а в «Истории» ниже — строка о том, что изменилось. Изменение, которое существенно влияет на использование ваших данных, публикуется на этой странице до того, как начнёт действовать, с датой, с которой оно применяется. Если по существу меняется согласие на обработку персональных данных, приложение при следующем запуске просит принять его новую версию.

11. Связь

Вопросы и запросы: ajkzantokaev@gmail.com.

История

• 12 ноября 2026 г. (версия 2026-11-12). Таблица сроков хранения: с сервера, который выходит вместе с версией приложения 1.3.4, для того, чей телефон во время звонка был не в сети, сервер хранит запись о пропущенном звонке — кто звонил, когда и был ли звонок с видео, — пока приложение её не заберёт, не дольше 8 дней (в резервной копии при обрыве связи — не дольше 30 дней). Приложение вносит её в историю звонков. Раньше о таком звонке говорило только уведомление.
• 6 ноября 2026 г. (версия 2026-11-06). Разделы 2.7 и 7 и таблица оснований: с версии приложения 1.3.0 выключателей «Синхронизация контактов» и предпросмотра ссылок нет — адресная книга проверяется, пока разрешён доступ к Контактам (чтобы прекратить, запретите его в Настройках iOS), а предпросмотр ссылки, которую вы отправляете, ваш iPhone делает всегда.
• 1 ноября 2026 г. (версия 2026-11-01). Раздел 2, «Курьеры»: с версии приложения 1.3.0 каждый телефон с включённой офлайн-сетью — курьер, отдельного выключателя нет; раздел 7 — то же.
• 28 октября 2026 г. (версия 2026-10-28). Политика приведена в соответствие с версией приложения 1.2.5 и сервером, который выходит вместе с ней. Раздел 2.1: «Кто видит номер» — «Мои контакты», «Выбранные» или «Никто»; по умолчанию email видите только вы; имя пользователя меняется не чаще раза в 14 дней; поиск по имени пользователя, отображаемому имени или адресу почты не показывает вас тому, кого вы заблокировали; там, где приложение это предлагает, — переключатель «Находить меня по почте», который запрещает находить вас по адресу, и «Выйти на других устройствах» со сменами аккаунта, которые завершают другие входы. Раздел 2.2: видеосообщения; файлы исчезающих сообщений и сообщений, удалённых у всех, удаляются с сервера; сообщение со скрытым отправителем ждёт доставки до 30 дней; переключатель «Отчёты о прочтении». Раздел 2.5: после переноса аккаунта уведомления на прежний iPhone не приходят; из чата без звука вызов по рации всё равно приходит, беззвучно. Раздел 2.8: жалобы хранятся один год. Раздел 2.9: переключатель «Отчёты об ошибках»; журналы сервера хранятся не дольше 30 дней. Раздел 2.11: контакт, чей чат у вас без звука, зовёт вас беззвучно, а ответ на вызов включает звук чата; вместо одного вызова в минуту от контакта сервер принимает не больше 10 вызовов в минуту от одного аккаунта. Раздел 2.13: расшифровка видеосообщений и выбор языка расшифровки. Разделы 2.1 и 4: там, где приложение это предлагает, войти можно по номеру телефона; код по SMS отправляет и проверяет наш SMS-провайдер Prelude, и входит только номер, подтверждённый по SMS. Разделы 2.1, 2.2, 2.4, 2.9, 4, 5 и 7 — номер телефона: номер можно добавить, подтвердить, сменить и удалить, о чём приходит письмо; аккаунт, которым не пользовались больше 45 дней, не открывается одним SMS; неподтверждённый номер снимается с аккаунта, когда его подтверждает другой человек; там, где приложение это предлагает, номер в профиле — подтверждённый номер, «Кто видит номер» — ещё и «Все», появились «Кто может найти меня по номеру» и «Кто видит почту», поиск друзей идёт сам, а найденные люди добавляются в контакты, есть поиск по номеру и ссылка mrenzo.com/+номер, а имя пользователя из буквы «p» и цифр номера поиск не находит; карточка контакта и сообщение о новом номере; номер и email в журналах записываются частично. Разделы 5 и 6: там, где приложение это предлагает, аккаунт, которым не пользовались выбранный вами срок (по умолчанию 12 месяцев), удаляется сам. Изменена таблица сроков.
• 26 октября 2026 г. (версия 2026-10-26). Политика приведена в соответствие с версией приложения 1.2.4. Раздел 2.6: между телефонами с версией приложения 1.2.3 или новее кадры офлайн-сети запечатаны и не показывают ни отправителя, ни получателя; описан экран «Люди рядом», который, пока открыт, показывает телефонам рядом ваше имя и аккаунт. Раздел 2.11: вызов по рации — срочное уведомление — и вызов без ответа, который сервер хранит в памяти не дольше 10 минут. Раздел 2.3: истории, опубликованные в версии приложения 1.2.1 или новее, защищены сквозным шифрованием. Раздел 2.7: необязательный запасной предпросмотр ссылок через наш сервер. Раздел 2.2: кто добавил участника в группу. Раздел 2.5: «Защищённый режим» теперь называется «Скрывать текст сообщений»; уточнено, что имя отправителя он не скрывает. Добавлена строка в таблицу сроков.
• 21 октября 2026 г. (версия 2026-10-21). Чтобы удалённая публикация группы или канала не появилась снова, когда приложение автора повторяет отправку, ответ на которую до него не дошёл, сервер после удаления хранит запись о ней без содержимого: 90 дней после удаления автором или администратором, сутки после удаления таймером автоудаления (раздел 2.2). Добавлена строка в таблицу сроков.
• 20 октября 2026 г. (версия 2026-10-20). С версии приложения 1.2: если вы сами позвонили человеку или ответили на его звонок, сервер запоминает этот факт, чтобы показывать ему, в сети ли вы (раздел 2.4); чтобы отправитель видел вторую галочку, когда сообщение показано в уведомлении, сервер 8 дней хранит номер сообщения и время доставки уведомления, без текста и имени отправителя (раздел 2.2). Добавлены две строки в таблицу сроков.
• 11 октября 2026 г. (версия 2026-10-11). С 12 октября 2026 г. сервер хранит каждое зашифрованное личное сообщение до подтверждения от приложения получателя — обычно доли секунды, — а не только когда получатель не в сети: так сообщение не теряется, если связь получателя только что пропала. Наибольший срок хранения прежний — 30 дней; прочитать сообщение сервер по-прежнему не может. Добавлено, как долго хранятся отметки о доставке и прочтении (не дольше 8 дней). Изменены раздел 2.2 и таблица сроков.
• 9 октября 2026 г. (версия 2026-10-09). Политика приведена в соответствие с сервером, который выходит вместе с версией приложения 1.1.1: одноразовый код и адрес, на который он отправлен, удаляются примерно через минуту после истечения срока кода; недоставленные сообщения через 30 дней удаляет ежечасная очистка; при удалении аккаунта удаляются и ожидавшие его копии сообщений; имя пользователя нового аккаунта больше не образуется из адреса почты; вход по номеру телефона отключён; описана запись о согласии. Исправлен п. 2.5: уведомление может нести зашифрованное сообщение. Добавлено: запасной запрос к серверу Google при звонке (п. 2.2 и раздел 4), ссылки-приглашения (п. 2.4), что приложение передаёт iOS (п. 2.10), запросы государственных органов (раздел 4), разрешение родителя для тех, кому нет 18 лет (раздел 8). Разделы 4–7 оформлены таблицами и списками. Пометки «с версии 1.1» из текста убраны.
• 30 сентября – 8 октября 2026 г. Несколько редакций; последняя из них описывала версию приложения 1.1: рацию, общий каталог стикеров, «Отправить позже», постквантовое согласование ключей, зашифрованные реакции, курьеров и режим ретранслятора в офлайн-сети, необязательные номер телефона и день рождения в профиле, чаты без звука и скрытые чаты, функции, которые работают только на iPhone, и «Найти рядом». В этих редакциях также назван оператор и сказано, где хранятся резервные копии.
• 28 сентября 2026 г. Первая версия.