Коротко
- Никаких учётных записей, отслеживания и рекламы.
- Мы не храним IP-адреса.
- Всё, что вы отправляете, шифруется на вашем устройстве до отправки. Наш сервер не может это прочитать.
- Комментарии становятся публичными после одобрения редактором.
- Единственный файл cookie устанавливает антиспам-проверка в формах.
Что мы собираем
| Когда вы | Что сохраняется | Что не сохраняется |
|---|---|---|
| Читаете сайт | Анонимная статистика просмотров страниц от системы аналитики нашего хостинг-провайдера, работающей без cookie. | Ваш IP-адрес, ваш профиль и всё, что могло бы следовать за вами на другие сайты. |
| Отправляете свидетельство, сведения о деле или материалы | Ваш текст и файлы, зашифрованные так, что на сервере мы не можем их прочитать; время их поступления; хеш вашего кода получения. Контактный адрес — только если вы его укажете, и он шифруется вместе со всем остальным. | Ваш IP-адрес, сам код получения и ваше имя, если вы сами его не напишете. |
| Комментируете | Выбранное вами отображаемое имя (или «Аноним») и ваш текст. Комментарии не шифруются, поскольку они предназначены для публикации после модерации. | Ваш адрес электронной почты, IP-адрес и какая-либо учётная запись. |
| Отправляете ответ в порядке права на ответ | То же, что и для присланного материала: шифруется на вашем устройстве. | Ваш IP-адрес. |
Как работает шифрование
Когда вы нажимаете «Отправить», ваш браузер создаёт новый случайный ключ, шифрует им ваш текст и каждый файл (XChaCha20-Poly1305), а затем отдельно запирает этот ключ открытым ключом каждого редактора. Ваше устройство покидают только запертые копии.
Наш сервер хранит результат и не имеет ключа, которым его можно открыть. Закрытые ключи редакторов хранятся офлайн, с распечатанными резервными копиями, и загружаются в браузер только на то время, пока редактор читает присланные материалы.
Ограничения: от чего это не может защитить
- Наш хостинг-провайдер видит ваш IP-адрес. Сайт работает в сети хостинг-провайдера, которая видит адрес каждого подключения. Мы его не храним, но провайдер его обрабатывает.
- Взломанный сайт может отдавать изменённый код. Тот, кто захватил бы этот сайт, мог бы изменить форму так, чтобы она отправляла ваши слова без шифрования. Опубликованный хеш скрипта формы позволяет любому проверить полученный код; см. ниже.
- Ваше собственное устройство. Шифрование не защищает от того, кто может видеть ваш экран, историю вашего браузера или пользуется тем же компьютером. Если такой риск есть, прочитайте, как безопасно отправить материалы: используйте приватное окно, Tor Browser или устройство, которое вам не принадлежит.
- То, что вы пишете, может вас выдать. Даты, места и мелкие подробности могут указать на автора, даже если имя не названо. Перед публикацией редакция удаляет из текста всё, что позволяет установить личность, но подумайте о том, что вы включаете в текст.
Как долго мы храним данные
| Присланные материалы | Пока редакция не закончит работу по делу; зашифрованные резервные копии удаляются по истечении срока, который будет установлен до запуска. Отправленный материал нельзя отозвать. |
|---|---|
| Комментарии | Одобренные комментарии остаются на странице, к которой они относятся. Комментарии, ожидающие модерации, и отклонённые комментарии удаляются по истечении срока, который будет установлен до запуска. |
| Действия редакторов | Что редактор сделал с присланным материалом (например, «учтено в качестве подтверждения»), фиксируется в журнале для подотчётности, без содержания самого материала. |
| Статистика посещений | Только обобщённые цифры; их хранит хостинг-провайдер в соответствии со своими правилами хранения. |
Юридические запросы
Если мы получим юридическое требование в отношении присланного материала, максимум, что мы можем передать с сервера, — это шифротекст, который мы не можем прочитать, время его поступления и хеш его кода получения. IP-адресов, которые можно было бы передать, у нас нет.
Офлайн-ключи редакторов в принципе могут быть истребованы у самих редакторов. Это ещё одна причина не сообщать нам ничего, что нам знать не обязательно.
Проверка формы отправки
Скрипт формы отправки загружается с проверкой целостности (Subresource Integrity): ваш браузер откажется его выполнять, если он отличается от версии, которую ожидает страница. Мы публикуем здесь хеш скрипта, чтобы его можно было сравнить с тем, что получил ваш браузер, и с копиями этой страницы, сохранёнными в других архивах.
- Хеш скрипта формы
- Будет опубликован с первым выпуском
Контакты и ответственный за обработку данных
Вопросы о конфиденциальности можно направить через зашифрованную форму.
- Ответственный за обработку данных
- Будет назван до запуска