DocCipher · мобильное приложение
Политика конфиденциальности
DocCipher хранит документы в зашифрованном хранилище на вашем устройстве. Учётной записи DocCipher и сервера документов BB16 Studio не существует.
Оператор данных
Оператор данных — BB16 Studio, издатель DocCipher. По любым вопросам или запросам о ваших данных пишите на bb16studio@gmail.com. Эта политика распространяется на версию DocCipher для Android, заявленную для Google Play. Приложение пока там недоступно.
Документы и локальное шифрование
Импортированные документы, изображения для предпросмотра, распознанный OCR текст, папки, теги и данные хранилища остаются в закрытом пространстве приложения. Хранилище шифруется на устройстве. BB16 Studio не получает ни документы, ни их содержимое, ни пароль, ни материалы для восстановления.
Оптическое распознавание текста (OCR) выполняется на устройстве с помощью встроенных в приложение моделей: изображения и текст не отправляются для этого на сервер.
Локальные напоминания и данные вне хранилища
Если вы включаете напоминания, DocCipher хранит в закрытом пространстве приложения, вне зашифрованного хранилища, ограниченный план: дни, счётчики, выбранное время и общие тексты. Этот план обеспечивает локальные напоминания, даже когда хранилище заблокировано. Он не содержит названия документа, имени, номера или категории. На экране блокировки показывается общее название уведомления. Эти данные не отправляются службой push-уведомлений.
Без сервера документов и синхронизации
BB16 Studio не использует серверы для размещения, анализа, синхронизации или резервного копирования документов. В этой версии нет ни синхронизации WebDAV или Nextcloud, ни другого интернет-хранилища. Документы покидают устройство только при экспорте, который запускаете вы сами.
Выбранные вами экспорт и резервные копии
Документ или резервная копия .dcvault покидает приложение, только когда вы явно запускаете экспорт и выбираете место назначения через системный выбор файлов или меню «Поделиться». Резервная копия .dcvault остаётся зашифрованной; документ, экспортированный в открытом виде, больше не зашифрован, и его безопасность зависит от выбранного места назначения.
Комплект восстановления (ваша фраза восстановления и её QR-код) покидает приложение, только если вы печатаете его, сохраняете как PDF в выбранное место или копируете фразу. После этого его безопасность зависит от выбранного принтера, места назначения или буфера обмена.
Автоматическое резервное копирование Android и автоматический перенос на новое устройство отключены.
SDK покупок Android может попросить Google Block Store сохранить псевдонимный идентификатор, связанный с покупками, чтобы упростить их восстановление. Этот канал отличается от отключённого выше резервного копирования файлов приложения и не переносит документы.
Биометрическая разблокировка
Если вы включаете эту функцию, биометрическая разблокировка выполняется через системный запрос Android. DocCipher получает только ответ о том, подтверждена ли личность: приложение не имеет доступа к отпечатку пальца, изображению лица или биометрическому шаблону, которые остаются в защищённой области устройства. Биометрия не заменяет PIN-код, который по-прежнему необходим.
Код паники и хранилище-приманка запланированы к запуску
Эти две необязательные функции планируется включить в пожизненное право Premium без дополнительной платы. Их локальная реализация проходит проверку; публичная доступность зависит от результатов необходимых проверок безопасности и испытаний на устройстве.
Код паники добровольно включается после аутентификации мастер-паролем: отдельный PIN-код вводится дважды, затем проходят два этапа согласия и подтверждение необратимого действия. Можно выбрать отдельные хранилища или все хранилища. После этого только точный ввод активированного PIN-кода паники без дополнительного диалога запускает логическое удаление файлов, локальных ключей, кэшей и миниатюр выбранных хранилищ. Физическое стирание данных в памяти не гарантируется. Экспортированные резервные копии, облачные копии и другие внешние резервные копии не удаляются.
Хранилище-приманка — это отдельное локальное хранилище со своим PIN-кодом, ключами и содержимым. Когда оно открыто, отображается только его содержимое. Эта защита от случайного постороннего взгляда описана публично; она не гарантирует, что наблюдатель не знает о её существовании или что анализ устройства не сможет её обнаружить.
Необязательные покупки
Обмен данными между DocCipher и RevenueCat служит для показа предложений, совершения и восстановления покупки и проверки доступа к Premium, связанного с этими необязательными действиями. DocCipher можно использовать без покупок. Платёж проводит Google Play. Проверка покупки и доступа к Premium поручена RevenueCat — поставщику, который действует от имени BB16 Studio и по его инструкциям (обработчик по смыслу GDPR). После настройки SDK приложение может снова запросить состояние доступа к Premium при возвращении на передний план. По этому каналу не передаются документы, хранилища, PIN-коды, пароли или ключи.
Открытие предложений, покупка, восстановление или известное право Premium также оставляет локальную отметку об интересе к Premium. При последующих запусках эта отметка может вызвать настройку SDK и новую проверку доступа, даже если предложения не открывались. Нечитаемая отметка считается присутствующей, чтобы право можно было восстановить. Такая инициализация может начаться при первой разблокировке процесса; она не гарантирует ни запроса при каждом запуске, ни ответа по сети.
При каждом таком обмене RevenueCat получает:
- случайный идентификатор пользователя, созданный SDK RevenueCat при первом обращении приложения к нему;
- технические сведения, прилагаемые к каждому запросу: платформа и версия Android, модель и марка устройства, язык или языки устройства, страна учётной записи Google Play, идентификатор приложения, версия приложения и версия SDK;
- IP-адрес вашего подключения, который получает любой сервер при обращении и по которому можно приблизительно определить страну.
При покупке или восстановлении RevenueCat дополнительно получает токен покупки (квитанцию) Google Play, купленный продукт, его цену и валюту, а также даты транзакции. По этим данным определяется состояние доступа к Premium (активен или истёк).
Этот идентификатор не содержит ни имени, ни адреса электронной почты, но он не анонимен: он связан с вашими покупками в Google Play, которые, в свою очередь, связаны с учётной записью Google, а восстановление покупки может связать его с идентификаторами других установок. Это псевдонимные данные. Учётная запись не создаётся, автоматический сбор идентификаторов устройства (рекламного идентификатора и идентификатора Android) отключён, как и диагностика SDK.
Как и при любой покупке в Play Store, Google Play получает данные вашей учётной записи Google, сведения о продукте и платеже. Google обрабатывает эти данные как отдельный оператор в соответствии со своей политикой конфиденциальности. В своей консоли Google Play предоставляет BB16 Studio сведения о заказе, необходимые для управления продажами, в том числе номер заказа, продукт, цену и страну покупки. BB16 Studio никогда не видит ваши банковские реквизиты.
Цель и правовое основание
Обмен данными с RevenueCat используется для управления вашими покупками и правами Premium:
- проверять доступ к Premium каждый раз, когда приложение обращается к RevenueCat, даже если вы ничего не покупали: такая обработка необходима для исполнения договора об использовании приложения (статья 6, пункт 1, подпункт b GDPR);
- обрабатывать покупку или восстановление: такая обработка необходима для исполнения договора купли-продажи (статья 6, пункт 1, подпункт b GDPR).
Данные о покупках также используются для формирования статистики продаж и подписок в RevenueCat. Они не используются для рекламы, рекламного профилирования или рекламного отслеживания. Если вы напишете нам, мы используем ваше сообщение и адрес электронной почты, чтобы ответить вам, на основании нашего законного интереса в предоставлении ответа или наших юридических обязательств, когда вы осуществляете свои права.
Передача за пределы Европейского союза
RevenueCat, Inc. зарегистрирована в США, где обрабатываются описанные выше данные о покупках. Передача регулируется стандартными договорными положениями Европейской комиссии, включёнными в соглашение RevenueCat об обработке данных. Запросить их копию можно по адресу bb16studio@gmail.com.
Срок хранения
RevenueCat хранит данные о покупках, пока они нужны для управления покупкой и её восстановления, и удаляет их по вашему запросу (см. «Удаление и ваши права»). Если вы никогда ничего не покупали, но приложение обращалось к RevenueCat, RevenueCat от имени BB16 Studio хранит псевдонимную запись, ограниченную идентификатором и описанными выше техническими сведениями, пока она нужна для такого обращения, и удаляет её по запросу (см. «Удаление и ваши права»). Google Play хранит собственные данные заказов согласно своей политике. Документы остаются на устройстве, пока вы не удалите их в приложении. Стирание кодом паники логически удаляет выбранные хранилища и их локальные данные; внешние резервные копии остаются в местах назначения, пока вы не удалите их там.
Чего DocCipher не делает
- Не требуется учётная запись DocCipher или адрес электронной почты.
- Нет рекламы, рекламного идентификатора или продажи данных.
- RevenueCat обрабатывает описанные выше данные о покупках, в том числе для статистики продаж. SDK для отслеживания использования документов или отправки отчётов о сбоях не добавляются; диагностические компоненты библиотек ML Kit удалены.
- Нет отслеживания между приложениями или сайтами.
Отчёты Android о сбоях
Если в настройках устройства вы согласились передавать Google данные об использовании и диагностике, Android может отправлять Google отчёты о сбоях и производительности. Google Play предоставляет их BB16 Studio в консоли (Android Vitals) в виде сводной статистики и технических отчётов: модель устройства, версия Android, трассировка ошибки. Этот механизм принадлежит системе, а не DocCipher. Отчёты не содержат документов, имени или адреса электронной почты, и их можно отключить в настройках устройства.
Отзывы в Google Play
DocCipher может вызвать официальный API Google Play In-App Review после успешной защиты документа или успешного резервного копирования. Запрос никогда не выполняется при запуске, во время обработки, после ошибки или с экранов кода паники и хранилища-приманки. Между запросами выдерживается локальный интервал не менее 90 дней. Google Play решает, показывать ли интерфейс; DocCipher не получает оценку, комментарий или балл и не знает, была ли показана карточка. По этому каналу не передаются документы, хранилища, PIN-коды или введённый текст.
Разрешения Android
В манифесте сборки Android, подготовленной для Google Play, объявлены ровно семь записей:
android.permission.INTERNET— покупки и ничего больше;com.android.vending.BILLING— оплата через Google Play;android.permission.USE_BIOMETRIC— отображение системного биометрического запроса; разрешение не предоставляет доступ к биометрическим данным;android.permission.USE_FINGERPRINT, только для Android 9 и более ранних версий — выполняет на этих версиях ту же роль;android.permission.RECEIVE_BOOT_COMPLETED— повторное планирование локальных напоминаний после перезапуска;android.permission.POST_NOTIFICATIONS— отображение локальных напоминаний с системным разрешением, когда оно требуется;- внутреннее разрешение приложения на основе подписи, которое не открывает доступ ни к каким возможностям устройства.
Разрешения на камеру, местоположение, контакты, микрофон или широкий доступ к хранилищу не запрашиваются: файлы выбираются через системные средства.
Удаление и ваши права
Документы можно удалить в приложении. Если вы добровольно активировали функцию паники Premium, её отдельный PIN-код может логически стереть выбранные локальные хранилища или все локальные хранилища. Это действие необратимо в приложении, но оно не гарантирует физического стирания и не удаляет внешние резервные копии. Можно также стереть все локальные данные DocCipher в настройках Android или удалить приложение. Экспортированная копия остаётся в выбранном месте, пока вы не удалите её там. BB16 Studio не может удалённо извлечь, расшифровать или восстановить ваше хранилище.
В отношении данных, которые RevenueCat обрабатывает от имени BB16 Studio, вы можете запросить доступ, исправление, удаление, ограничение обработки или переносимость, а также возразить против обработки, когда она основана на нашем законном интересе. Напишите на bb16studio@gmail.com. Если вы совершали покупку, укажите номер заказа Google Play: он начинается с «GPA.» и указан в письме-квитанции от Google Play. Если вы никогда ничего не покупали, но приложение обращалось к RevenueCat, укажите приблизительную дату и модель устройства: поскольку приложение не запрашивает вашу личность, этих сведений и собственного идентификатора RevenueCat достаточно, чтобы найти запись без номера заказа. Никогда не прикладывайте документ, пароль, ключ или фразу восстановления. GDPR предоставляет нам один месяц для ответа.
Удаление этих данных не отменяет покупку: Google Play хранит её, а последующее восстановление вновь находит её, снова передавая RevenueCat описанные выше данные. Подпиской можно управлять и отменять её в Google Play.
Если вы считаете, что ваши права нарушены, вы можете подать жалобу в орган по защите данных, во Франции — в CNIL.
Изменения
Эта страница будет обновлена, если изменятся потоки данных, сторонние сервисы или разрешения приложения.