Политика конфиденциальности

01 Кто управляет Fokus IO

Fokus IO управляет разработчик приложения. Вопросы о конфиденциальности и запросы по данным: s.mohsunlu.dev@gmail.com. Сервер Семейной синхронизации размещён на fokusio.net, на инфраструктуре в Германии.

02 Данные, которые остаются на устройстве

При использовании без Семейной синхронизации сессии фокуса, настройки таймера, серия и прогресс пути, конфигурация Щита, выбор заблокированных приложений, расписания и большая часть сводок по использованию остаются на устройстве.

Системные API Android передают приложению данные об использовании, когда выдан доступ к статистике. Служба специальных возможностей определяет только то, какое приложение открыто, — чтобы применить настроенный Щит; она сконфигурирована так, что не получает содержимое экрана, и не читает сообщения, пароли, вводимый текст или скриншоты.

03 Аккаунт Семейной синхронизации и данные на сервере

Семейная синхронизация включается только тогда, когда родитель создаёт аккаунт, а ребёнок осознанно привязывает устройство родительским кодом. Сервер хранит данные, необходимые для работы семейной связи:

• Почта родителя, отображаемое имя и хеш пароля — вход, подтверждение почты и восстановление пароля. Пароли в открытом виде не хранятся никогда.
• Идентификатор и отображаемое имя ребёнка — поддержание связи и отображение нужного ребёнка в панели.
• Минуты фокуса, сессии, экранное время, серия и самые используемые приложения — показ синхронизированного прогресса привязанному родителю.
• Конфигурация Щита, список установленных приложений и статус применения — чтобы родитель мог выбрать приложения и убедиться, что настройки применились.
• Удалённые команды и семейные события — доставка изменений родительского контроля и прозрачные уведомления о подключении, отвязке и удалении.
• Токены аутентификации в виде хешей — поддержание сессий и их отзыв при выходе или сбросе пароля.

04 Геопозиция

Геопозиция необязательна и отделена от Семейной синхронизации. Она начинает работать только после того, как ребёнок увидит объяснение и выдаст разрешение Android. Привязанный родитель может запросить текущую позицию.

Каждое измерение содержит координаты, радиус точности в метрах, время, когда устройство получило координаты, признак того, было ли измерение периодическим или запрошенным родителем, и уровень заряда батареи устройства ребёнка. Заряд нужен, чтобы родитель мог отличить выключенный телефон от того, который прячут: он показывается на том же экране, что и позиция, и не хранится как история.

Сервер хранит только последнюю позицию ребёнка; новое значение заменяет предыдущее. Fokus IO не строит маршрут и не ведёт историю перемещений. Отзыв разрешения Android останавливает дальнейший сбор. Родитель может удалить сохранённую позицию.

05 История доменов и раскрытие о VPN

История сайтов необязательна и требует согласия на VPN на устройстве ребёнка. Пока она активна, Android показывает постоянное уведомление и индикатор VPN.

Локальный VPN наблюдает DNS-запросы и записывает доменные имена вида example.com вместе со счётчиком и временем. Он не записывает полные адреса страниц, содержимое страниц, поисковые запросы, сообщения или пароли. Сводки по доменам загружаются на самостоятельно размещённый сервер и видны только привязанному родителю.

Если запись не может безопасно передать DNS дальше, она отключает себя, чтобы не блокировать доступ в интернет. Android допускает только один активный VPN; другой VPN может помешать работе этой функции.

06 Контакты и «Друзья»

Для взрослых самостоятельных аккаунтов сопоставление контактов необязательно. С разрешения номера телефонов нормализуются и хешируются на устройстве. Сервер получает хеши — не имена из адресной книги и не сырые номера — чтобы найти других согласившихся пользователей Fokus IO. Для родительских и детских аккаунтов эта функция недоступна.

07 Подписки и платежи

Подписки покупаются через Google Play. Продавец и платёжный процессор — Google: номера карт, платёжные методы и адреса полностью обрабатываются Google, до Fokus IO они не доходят, и Fokus IO их не видит.

Google Play возвращает приложению токен покупки — непрозрачную строку, которая подтверждает, что покупка существует. Приложение отправляет этот токен на сервер Fokus IO, а сервер спрашивает у Google Play Developer API, что это на самом деле, и записывает ответ: какой продукт куплен, какому тарифу и периоду он соответствует, статус подписки, начало и конец текущего периода и продлевается ли она. Как идентификатор подписки хранится не сам токен, а его односторонняя свёртка; такая же односторонняя свёртка идентификатора аккаунта привязывается к покупке внутри записи самого Google, чтобы чек нельзя было предъявить с другого аккаунта.

Google также присылает серверу уведомление, когда подписка продлевается, отменяется, истекает, попадает в льготный период или возвращается. Эти уведомления хранятся как датированный журнал изменений не дольше 400 дней, чтобы можно было разобрать спор по оплате. Удаление аккаунта удаляет и запись о подписке; история покупок в Google Play принадлежит Google и регулируется его собственной политикой.

Разовые добровольные чаевые — тот же поток Google Play, и они не открывают ничего, поэтому на сервере Fokus IO о них не записывается вообще ничего.

08 Google и другие поставщики услуг

В Fokus IO нет рекламного SDK, нет аналитического SDK и нет стороннего SDK для отчётов о сбоях. Отчёты о сбоях уходят только на сервер Fokus IO. Всё перечисленное ниже — либо обработчик, действующий по поручению Fokus IO, либо сервис, к которому приложение обращается с названной целью:

• Google Play Billing — подписки и добровольные чаевые. Саму покупку получает Google; Fokus IO получает токен и статус. Нужен, только если вы решите что-то купить.
• Google Play Developer API и Real-time Developer Notifications — то, как сервер проверяет токен покупки и узнаёт о продлениях, отменах и возвратах. Сервер с сервером; приложение в этом не участвует.
• Google Sign-In — опционально. Используется, только если вы выбрали вход через Google; в этом случае Google знает, что вы вошли в Fokus IO. Приложение получает токен личности, сервер проверяет его по открытым ключам Google; ни пароля Google, ни OAuth client secret у Fokus IO нет.
• Google Maps — карта только на экране РОДИТЕЛЯ. Загрузка карты отправляет Google IP-адрес устройства и область карты. Устройство ребёнка карту не рисует никогда.
• Google Fonts — три шрифта приложения скачиваются с шрифтового CDN Google при первом запуске и кэшируются на устройстве. Google получает запрос, а запрос содержит IP-адрес устройства. Данные аккаунта в этом не участвуют.
• Google Gmail SMTP — доставка писем подтверждения и восстановления пароля по зашифрованному каналу.
• Hetzner Online GmbH (Германия) — хостинг, хранение и резервные копии сервера Fokus IO.

09 Что не отправляется никуда

Сканирование QR-кода при привязке происходит целиком на устройстве: модель распознавания встроена в приложение, изображение с камеры никуда не загружается, ни снимок, ни результат сканирования телефон не покидают. Уведомления, таймер, серия, решения Щита и подсчёт экранного времени — всё локально. Fokus IO не продаёт персональные данные и не использует данные Семейной синхронизации для рекламы.

10 Сроки хранения и удаление

• Коды подтверждения действуют 10 минут.
• Выполненные удалённые команды и история доменов удаляются автоматически по серверным лимитам хранения (история сайтов — 14 дней).
• Хранится только последняя позиция ребёнка.
• Выход из аккаунта отзывает его активные сессии.
• Родитель может навсегда удалить родительский аккаунт и связанные семейные данные в приложении.
• Запрос на удаление привязанного детского аккаунта имеет видимую и отменяемую задержку в 48 часов.
• Отвязка удаляет семейный профиль ребёнка, синхронизированную статистику, геопозицию, историю сайтов и ожидающие команды.
• Запись о подписке хранится, пока существует аккаунт, и удаляется вместе с ним.
• Платёжные уведомления Google Play хранятся не дольше 400 дней как датированная запись о том, что и когда изменилось.

11 Безопасность

Соединения с fokusio.net используют HTTPS. Пароли хранятся в виде memory-hard хеша; коды подтверждения и refresh-токены не хранятся на сервере в открытом виде. База данных и резервные копии защищены ограниченными правами файловой системы.

Ни одна система безопасности не гарантирует абсолютной защиты, но для снижения риска применяются контроль доступа, ограничения частоты запросов, тесты изоляции, шифрование канала и регулярные резервные копии.

12 Дети и прозрачность для родителей

Семейная синхронизация рассчитана на настройку с ведома ребёнка. Функции наблюдения используют видимые экраны разрешений и постоянные индикаторы Android. Родитель не может незаметно выдать с другого устройства разрешения на геопозицию, VPN, специальные возможности, доступ к статистике или отображение поверх окон. Родителям стоит разобрать эти настройки и эту политику вместе с ребёнком.

13 Ваш выбор

Вы можете отказаться от необязательных разрешений, отключить историю сайтов, отозвать доступ к геопозиции, отвязать Семейную синхронизацию, выйти из аккаунта или запросить его удаление в приложении. Точные шаги, в том числе для устройства, где приложение уже не установлено, — на странице удаления аккаунта. Для запросов на доступ, исправление, удаление или других вопросов конфиденциальности: s.mohsunlu.dev@gmail.com.

14 Изменения

Если сбор данных, поставщики услуг или поведение Семейной синхронизации существенно изменятся, эта политика и дата вступления в силу будут обновлены. О существенных изменениях мы также сообщим в приложении, где это уместно.