Конфиденциальность / Privacy

Обновлено 13 ноября 2026 года. Эта страница описывает обработку данных приложением Independent и сервисом доставки. Ответственный за сервис — Oleksandr Shevchenko. Контакт по вопросам конфиденциальности — a.shevchenko@playboy.ua.

Содержимое сообщений и вложений

Текст, фотографии, файлы, голосовые сообщения и отправляемая геопозиция шифруются на устройстве отправителя и расшифровываются на устройстве получателя. Сервер временно хранит зашифрованные сообщения и вложения для доставки; он не получает ключи расшифровки содержимого. Имя профиля и сведения о вложении включаются в зашифрованное содержимое. Локальное имя собеседника остаётся на вашем устройстве. Для проверки собеседника пользователи сравнивают код безопасности и подтверждают подключение.

Геопозиция отправляется однократно после запроса, предпросмотра и подтверждения пользователя. Постоянное отслеживание перемещений не включается. Шифрование содержимого не скрывает все служебные данные, перечисленные ниже.

Голосовые и видеозвонки

Звук и видео звонка передаются напрямую между устройствами с шифрованием DTLS-SRTP через WebRTC. Сервис не записывает звонки и не ретранслирует их звук или видео. Сервер передаёт зашифрованные параметры соединения и обрабатывает служебные идентификаторы, время и состояние вызова. STUN помогает определить внешний сетевой адрес устройства; собеседники могут узнать сетевые адреса друг друга. В некоторых сетях прямое соединение невозможно.

Служебные данные сервера

Для продолжения чатов сервер сохраняет случайные идентификаторы чатов и хеши токенов участников. Для доставки он временно обрабатывает и хранит идентификаторы сообщений, роль отправителя и получателя внутри чата, размеры пакетов, время отправки, просмотра, удаления и сроки хранения. Эти сведения доступны сервису отдельно от зашифрованного содержимого.

Для уведомлений сохраняются токены Apple APNs и PushKit, их связь с чатом и участником, среда доставки, язык уведомлений и время обновления регистрации. Таким образом, служебные сведения могут быть связаны с устройством, даже если сервис не знает имя владельца. Они используются для работы приложения, уведомлений и защиты сервиса, а не для рекламного отслеживания.

При соединении сервис и хостинг обрабатывают IP-адреса. STUN ненадолго держит адреса и счётчики в оперативной памяти для ограничения частоты запросов. Технические сообщения об ошибках доставки могут сохраняться для диагностики; код приложения не добавляет в них содержимое переписки.

Данные на устройстве и разрешения

Профиль, контакты и секреты сохраняются локально с использованием Keychain. Номер телефона и загрузка адресной книги для общения не требуются. Приложение не содержит рекламных или аналитических SDK и не использует данные для рекламного отслеживания.

Камера используется для QR-приглашений, съёмки фотографии в чате и видеозвонков. Микрофон — для голосовых сообщений и звонков. Геопозиция запрашивается при выборе её отправки. Фотографии и файлы выбираются системными средствами; разрешение на добавление в медиатеку запрашивается при сохранении фотографии. Системные разрешения можно изменить в настройках устройства.

При записи голосового сообщения создаётся временный файл в защищённой папке приложения, исключённой из резервного копирования. Приложение удаляет его после подготовки записи или отмены, а также очищает оставшиеся временные записи при следующем запуске и стирании чатов. Полученное голосовое сообщение воспроизводится внутри приложения без функции экспорта.

Сроки хранения и удаление

Новые непросмотренные сообщения и вложения могут храниться на сервере до 7 дней. Таймер удаления — 30 секунд, 1, 3, 5, 10, 15, 30 или 60 минут — запускается при появлении входящего сообщения в открытом чате получателя. Доставка и уведомление сами по себе его не запускают. После синхронизации у обоих участников применяется один момент начала отсчёта. Сервер хранит содержимое в зашифрованном виде в оперативной памяти; перезапуск сервиса также может удалить ожидающие сообщения.

Удаление сообщения у обоих передаётся серверу и собеседнику при восстановлении соединения, если устройство было офлайн. Служебные отметки удаления и использованных идентификаторов могут оставаться в памяти дольше содержимого: как минимум сутки, а в отдельных случаях до 7 дней и 1 часа после операции. Они препятствуют повторному появлению удалённого сообщения из устаревшего ответа или задержанного запроса. Реестр контактов и регистрации уведомлений сохраняется отдельно для продолжения общения после перезапуска сервера. Удаление локального чата не является запросом удалить серверный реестр контактов; для такого запроса используйте контакт ниже.

Дополнительная настройка автоматического удаления при отсутствии сети по умолчанию выключена. Если её включить, потеря сети или открытие приложения без сети удаляет чаты, приглашения и их ключи на этом устройстве. Это определяется состоянием сети и может произойти при обычном обрыве связи, а не только при авиарежиме. Копии у собеседника и данные, сохранённые вне приложения, этим действием не удаляются.

Внешние сервисы и сохранённые копии

Сервер размещён у Hetzner. Apple APNs и PushKit доставляют уведомления; в них передаются служебные идентификаторы чата, сообщения или звонка и срок действия, но не текст личного сообщения, фотография, голосовая запись, геопозиция или ключи. Для обычного уведомления используется общий текст о новом сообщении. Обработка данных операционной системой, Apple, хостингом и выбранными пользователем файловыми провайдерами также регулируется их условиями.

Фотографии и файлы, явно сохранённые пользователем вне Independent, а также скопированный текст остаются в выбранном месте и могут синхронизироваться с iCloud или другим облаком. Таймер сообщений ими не управляет. Получатель может сделать внешнюю копию, снимок экрана или запись другим устройством. Шифрование и удаление не гарантируют защиту данных на уже взломанном устройстве или невозможность их восстановления специальными средствами.

Обращения и управление данными

Для вопросов о данных или запроса удаления служебных записей напишите на a.shevchenko@playboy.ua. Мы используем содержание обращения и обратный адрес для ответа и обработки запроса. Не присылайте ключи или активные приглашения. Для случайных идентификаторов может потребоваться безопасно уточнить, какие записи относятся к вашему запросу.

English summary

Independent offers one-to-one messaging and direct voice/video calls. Text, photos, files, voice messages and a location you explicitly choose to share are encrypted on the sending device and decrypted by the recipient. The relay temporarily stores ciphertext without receiving content-decryption keys. A shared location is a single fix, not continuous tracking. Call audio/video uses direct WebRTC DTLS-SRTP; the service does not record or relay call media. Encrypted call signaling passes through the service. STUN and the other call participant can see network addresses; some networks prevent direct calls.

The service can read operational metadata: random chat and message identifiers, participant roles, packet sizes, timing, read/deletion status and call state. Persistent contact records contain chat identifiers and hashed participant tokens. Optional notifications retain APNs/PushKit device tokens, chat associations, delivery environment, language and registration-update time. This metadata can be linked to a device. It is used for app functionality, delivery and service protection, not advertising or tracking. IP addresses are processed for networking; STUN briefly retains addresses and counters in memory for rate limiting. Delivery-error diagnostics may be recorded without message contents.

Unread messages may remain for up to seven days. The selected 30-second to 60-minute deletion timer starts when an incoming message appears in the recipient's open chat. Delivery or a notification does not start it. Deletion for both participants synchronizes when devices connect. Encrypted message content is held in server memory and may also be lost on a service restart. Contact and notification registries persist separately; deleting a local chat does not itself delete the server contact registry. Content-free deletion and used-identifier markers can remain in memory longer than content: at least one day and, in some cases, up to seven days and one hour after the operation, to prevent stale requests from restoring deleted messages.

Local profiles, contacts and secrets use Keychain. Camera, microphone and location access serve only the features you choose to use. Recording a voice message uses a temporary protected, backup-excluded file which the app removes during recording cleanup, and clears on launch or chat erasure. Received voice messages have no export function. The optional offline-deletion setting is off by default. When enabled, losing network access or opening the app offline erases chats, invitations and their keys on that device. An ordinary network interruption can trigger it; it does not erase recipients' copies or externally saved data.

Hetzner hosts the service. Apple APNs/PushKit receives notification metadata and generic alerts, not private message contents or decryption keys. No advertising or analytics SDKs are included. Exported photos/files and copied text remain outside Independent and may sync according to device settings. Recipients can retain external copies; encryption and deletion cannot guarantee security on a compromised device or prevent every form of forensic recovery. For privacy questions or requests to remove operational records, contact Oleksandr Shevchenko at a.shevchenko@playboy.ua. We use your support message and reply address to handle your request; do not send keys or active invitations.