Política de privacidade

01Em resumo

Uma conta é uma chave aleatória. Guardamos o hash dela, não a chave, e nada mais que aponte para você: nem e-mail, nem nome, nem senha, nem número de telefone.
Nossos servidores veem seu endereço IP enquanto você está conectado, como qualquer servidor VPN, e não o gravam nos registros.
Não registramos os sites que você visita, o conteúdo do seu tráfego nem suas consultas DNS.
Este site tem um pequeno script próprio, nenhuma análise e nenhum recurso de terceiros. Ele grava um cookie quando você entra, e outro só se você escolher um idioma.

02Sua conta

Quando você cria uma conta, o site gera uma chave aleatória de 20 caracteres e a mostra uma vez. O banco de dados guarda:

um hash SHA-256 da chave. Basta para reconhecê-la ao entrar, não para recuperá-la.
o número da conta, a data de criação, o dia em que foi usada pela última vez e se ela está desativada.
seus dispositivos. De cada um: o número dele na conta, um nome aleatório como Quiet Otter, a data em que foi adicionado e o par de chaves que ele usa para falar com nossos servidores. Guardamos a metade privada para poder entregar o arquivo dele de novo. Para um dispositivo adicionado pelo aplicativo, também um identificador aleatório que o aplicativo inventou ao ser instalado, para o site reconhecê-lo da próxima vez. Remover um dispositivo apaga tudo isso.
suas chaves de acesso, se você adicionar alguma. De cada uma: o identificador que seu dispositivo deu a ela, a chave pública dela, o nome dela na sua conta, o contador de assinaturas que a própria chave mantém, se ela pediu seu PIN ou digital da última vez, a data em que foi adicionada e o dia em que foi usada pela última vez. Também um identificador aleatório pelo qual seu dispositivo sabe que essas chaves são de uma mesma conta. A chave privada nunca sai do seu dispositivo. Remover uma chave de acesso apaga tudo isso.
sua conversa com o suporte, se você nos escrever: as mensagens e quando foram enviadas. Ela é apagada 30 dias depois da última mensagem, ou antes, se você ou nós a apagarmos. Apagar a remove do banco de dados.

Não podemos enviar sua chave de novo, redefini-la nem dizer qual era. Nunca a tivemos, só o hash dela. Se você a perder, a conta não pode ser recuperada, a não ser que tenha uma chave de acesso: com ela você ainda entra aqui e obtém uma chave nova.

03Plano, tráfego e pagamentos

Seu plano e o início e o fim do período atual.
O tráfego que sua conta usou no período atual, por servidor, em bytes. Ele é necessário para aplicar a cota do plano e é substituído a cada novo período.
Totais diários de tráfego por servidor, de todos os usuários juntos. Eles não podem ser divididos por pessoa.
Pedidos: qual plano, o valor e a moeda, quando foi feito e se foi pago, cancelado ou expirou. Num pagamento em criptomoeda, também a rede e a transação com que foi pago. Se você pediu com um cupom, também o cupom e o preço sem ele. Um pedido cancelado ou expirado é apagado 30 dias depois de feito.

Os pagamentos são feitos como descrito ao lado do seu pedido. O que esse canal de pagamento nos mostra (por exemplo, o nome de quem fez uma transferência bancária) chega até nós só por esse canal. Usamos isso para associar o pagamento ao número do pedido e não o registramos no banco de dados de contas.

04Nos nossos servidores VPN

Um servidor vê o endereço IP de onde você se conecta, enquanto você estiver conectado. Ele não grava esse endereço nos registros.
O registro de serviço dele anota que uma sessão de um número de conta começou e terminou, por qual ponto de entrada e com qual limite de velocidade. Seu endereço não aparece. Esses registros servem para manter o serviço funcionando, e o registro do sistema os guarda por no máximo um mês.
Ele conta o tráfego de cada conta para aplicar as cotas e lembra quando uma conta se conectou pela última vez. Quando uma conta não tem mais acesso ao servidor e está há 30 dias sem se conectar, o servidor esquece as duas coisas.
Para que cada chave de dispositivo fique conectada a partir de um só computador por vez, o servidor lembra, enquanto o dispositivo está conectado, um número aleatório que o aplicativo escolhe a cada vez que abre. Ele não é gravado em lugar nenhum e é esquecido quando o dispositivo se desconecta.
Ele não registra os destinos a que você se conecta, o conteúdo do seu tráfego nem suas consultas DNS. Uma conexão que falha é registrada só com o erro. A única exceção: uma tentativa de alcançar pelo túnel um endereço de rede privada ou o próprio servidor é recusada, e essa recusa é registrada com o endereço, mas sem a sua conta e sem o seu endereço IP.
O compartilhamento de arquivos por redes ponto a ponto (BitTorrent, seus trackers e o DHT) é reconhecido pela forma do tráfego e bloqueado. O registro então anota que uma sessão de um número de conta estava compartilhando e como isso foi reconhecido. Os endereços envolvidos não aparecem.

05Neste site

Um cookie, gravado quando você entra ou cria uma conta. Ele contém um token de sessão aleatório, e o banco de dados guarda só o hash dele. Expira em 14 dias, ou quando você sai. Se você usa chaves de acesso, o banco de dados também anota qual delas abriu ou confirmou a sessão.
Um segundo cookie, só se você escolher um idioma no menu do topo de uma página. Ele contém o código do idioma e nada mais, e dura um ano. Até lá, o site segue o idioma que seu navegador pede e não o guarda.
Um pequeno script próprio. Ele copia a chave da sua conta ou o endereço de pagamento quando você pede, lembra o tema de cores que você escolheu e fecha o menu de idiomas quando você clica fora. Quando você adiciona ou usa uma chave de acesso, ele a pede ao navegador e repassa a resposta do navegador a este site. O tema fica no armazenamento local do seu navegador e nunca é enviado para nós.
Nenhuma análise, nenhuma publicidade, nenhum script, fonte ou imagem de outros sites. Seu navegador fala só com este site.
O servidor web não guarda registro de acessos. Para frear a adivinhação de chaves e os cadastros em massa, o site conta as tentativas por endereço IP na memória por no máximo uma hora. Cupons desconhecidos são contados do mesmo jeito, e também por conta. Essas contagens nunca são gravadas em disco.

06No aplicativo

Se você entra com a chave da conta, o aplicativo envia essa chave e o identificador de instalação aleatório dele para este site por HTTPS a cada seis horas, para buscar o arquivo de conexão atualizado. Quando o túnel não está conectado, esse pedido sai do seu próprio endereço.
Depois de conectado, o aplicativo pergunta ao ipinfo.io, pelo túnel, de onde a conexão parece vir, para mostrar no mapa. O ipinfo.io vê o endereço do nosso servidor, não o seu.
As consultas de nomes passam por resolvedores DNS criptografados dentro do túnel, definidos pelo servidor a que você está conectado.
O aplicativo mantém um registro no seu computador para ajudar com problemas. Ele nunca sai do seu computador sozinho.

07Por quanto tempo guardamos

Tudo o que está acima é guardado enquanto a conta existir, exceto o que esta página diz que é apagado antes. Uma conta pela qual nunca se pagou e que não tem nem um plano pago em andamento nem um plano dado só por um administrador é excluída sozinha depois de 30 dias sem uso: sem conexão com nossos servidores, sem entrar neste site e sem pedidos do aplicativo. Seja excluída assim, por você na sua conta ou por um administrador, o hash da chave, os dispositivos, as chaves de acesso, o plano, os contadores de tráfego, os pedidos, a conversa com o suporte e as sessões são removidos juntos. As tabelas do banco de dados que os continham são reescritas sem eles, e os servidores tiram os dispositivos da conta das listas de acesso em cerca de um minuto. Um cupom que você usou guarda a contagem desse uso e o valor, sem ligação com a conta excluída.

O banco de dados não sobrescreve o espaço em disco que os registros removidos ocupavam. Até esse espaço ser reutilizado, alguém com acesso ao disco do servidor ainda poderia recuperar registros excluídos recentemente.

Uma cópia de segurança do banco de dados é feita uma vez por dia. Cada cópia é apagada 30 dias depois de feita, a menos que as cópias estejam falhando há mais de uma semana: aí as antigas são mantidas até uma nova dar certo. Uma conta excluída continua nas cópias feitas antes da exclusão até que essas cópias também sejam apagadas.

08Pedidos de terceiros

Só podemos entregar o que está nesta página. Não temos endereço de e-mail nem nome ligados a uma conta. Num pagamento em criptomoeda, temos a transação com que ele foi feito, e a blockchain pública a liga à carteira de origem. Não sabemos mais nada sobre como você pagou. Não temos uma lista dos sites que você visitou nem registro de qual endereço IP usou qual conta.

09Mudanças

Quando esta política muda, a data no topo muda junto. Uma mudança que colete mais sobre você será anunciada neste site antes de entrar em vigor.

10Contato

Escreva para nós pelo contato informado neste site. Respondemos sem perguntar quem você é. A chave da conta nunca é necessária para isso, e nunca vamos pedi-la.