Политика конфиденциальности

01 Кто управляет Fokus IO

Fokus IO управляет разработчик приложения. Вопросы о конфиденциальности и запросы по данным: s.mohsunlu.dev@gmail.com. Сервер Семейной синхронизации размещён на fokusio.net, на инфраструктуре в Германии.

02 Данные, которые остаются на устройстве

При использовании без Семейной синхронизации сессии фокуса, настройки таймера, серия и прогресс пути, конфигурация Щита, выбор заблокированных приложений, расписания и большая часть сводок по использованию остаются на устройстве.

Системные API Android передают приложению данные об использовании, когда выдан доступ к статистике. Служба специальных возможностей определяет только то, какое приложение открыто, — чтобы применить настроенный Щит; она сконфигурирована так, что не получает содержимое экрана, и не читает сообщения, пароли, вводимый текст или скриншоты. Название приложения, которое она видит, не покидает устройство.

Перед включением службы специальных возможностей приложение показывает собственный экран с объяснением, что она делает, и открывает настройки Android только после вашего согласия. На устройстве служба делает три вещи: закрывает приложения, которые вы сами заблокировали, во время сессии фокуса или по расписанию; на устройстве, привязанном к родителю, применяет приложения, расписания и лимиты времени, заданные родителем; а во время вашей собственной строгой сессии или на срок, выбранный привязанным родителем, может не давать открыть экран удаления приложения. Настройки остаются доступны, экстренные звонки никогда не блокируются, эти сроки ограничены, а родитель может освободить устройство в любой момент. Службу можно выключить в настройках Android в любой момент; тогда блокировка перестаёт работать.

Необязательное разрешение «поверх других приложений» нужно только для того, чтобы экран блокировки появлялся мгновенно. Пока работают блокировка или передача геопозиции, Android показывает постоянное уведомление приложения.

03 Аккаунт Семейной синхронизации и данные на сервере

Семейная синхронизация включается только тогда, когда родитель создаёт аккаунт, а ребёнок осознанно привязывает устройство родительским кодом. Сервер хранит данные, необходимые для работы семейной связи:

• Почта родителя, отображаемое имя и хеш пароля — вход, подтверждение почты и восстановление пароля. Пароли в открытом виде не хранятся никогда.
• Идентификатор и отображаемое имя ребёнка — поддержание связи и отображение нужного ребёнка в панели.
• Минуты фокуса, сессии, экранное время, серия и самые используемые приложения — показ синхронизированного прогресса привязанному родителю.
• Конфигурация Щита, список установленных приложений и статус применения — чтобы родитель мог выбрать приложения и убедиться, что настройки применились.
• Удалённые команды и семейные события — доставка изменений родительского контроля и прозрачные уведомления о подключении, отвязке и удалении.
• Токены аутентификации в виде хешей — поддержание сессий и их отзыв при выходе или сбросе пароля.

04 Геопозиция

Геопозиция необязательна и отделена от Семейной синхронизации. Она начинает работать только после того, как ребёнок увидит объяснение и выдаст разрешение Android. Привязанный родитель может запросить текущую позицию.

Каждое измерение содержит координаты, радиус точности в метрах, время, когда устройство получило координаты, признак того, было ли измерение периодическим или запрошенным родителем, и уровень заряда батареи устройства ребёнка. Заряд нужен, чтобы родитель мог отличить выключенный телефон от того, который прячут: он показывается на том же экране, что и позиция, и не хранится как история.

Сервер хранит только последнюю позицию ребёнка; новое значение заменяет предыдущее. Fokus IO не строит маршрут и не ведёт историю перемещений. Отзыв разрешения Android останавливает дальнейший сбор. Родитель может удалить сохранённую позицию.

05 История доменов и раскрытие о VPN

История сайтов необязательна и требует согласия на VPN на устройстве ребёнка. Пока она активна, Android показывает постоянное уведомление и индикатор VPN.

Локальный VPN наблюдает DNS-запросы и записывает доменные имена вида example.com вместе со счётчиком и временем. Он не записывает полные адреса страниц, содержимое страниц, поисковые запросы, сообщения или пароли. Сводки по доменам загружаются на самостоятельно размещённый сервер и видны только привязанному родителю.

Если запись не может безопасно передать DNS дальше, она отключает себя, чтобы не блокировать доступ в интернет. Android допускает только один активный VPN; другой VPN может помешать работе этой функции.

06 Контакты и «Друзья»

Для взрослых самостоятельных аккаунтов сопоставление контактов необязательно. С разрешения номера телефонов нормализуются и хешируются на устройстве. Сервер получает хеши — не имена из адресной книги и не сырые номера — чтобы найти других согласившихся пользователей Fokus IO. Для родительских и детских аккаунтов эта функция недоступна.

07 Подписки и платежи

Подписки покупаются через Google Play. Продавец и платёжный процессор — Google: номера карт, платёжные методы и адреса полностью обрабатываются Google, до Fokus IO они не доходят, и Fokus IO их не видит.

Google Play возвращает приложению токен покупки — непрозрачную строку, которая подтверждает, что покупка существует. Приложение отправляет этот токен на сервер Fokus IO, а сервер спрашивает у Google Play Developer API, что это на самом деле, и записывает ответ: какой продукт куплен, какому тарифу и периоду он соответствует, статус подписки, начало и конец текущего периода и продлевается ли она. Как идентификатор подписки хранится не сам токен, а его односторонняя свёртка; такая же односторонняя свёртка идентификатора аккаунта привязывается к покупке внутри записи самого Google, чтобы чек нельзя было предъявить с другого аккаунта.

Google также присылает серверу уведомление, когда подписка продлевается, отменяется, истекает, попадает в льготный период или возвращается. Эти уведомления хранятся как датированный журнал изменений не дольше 400 дней, чтобы можно было разобрать спор по оплате. Удаление аккаунта удаляет и запись о подписке; история покупок в Google Play принадлежит Google и регулируется его собственной политикой.

Разовые добровольные чаевые — тот же поток Google Play, и они не открывают ничего, поэтому на сервере Fokus IO о них не записывается вообще ничего.

08 Google и другие поставщики услуг

В Fokus IO нет рекламного SDK, нет аналитического SDK и нет стороннего SDK для отчётов о сбоях. Отчёты о сбоях уходят только на сервер Fokus IO. Всё перечисленное ниже — либо обработчик, действующий по поручению Fokus IO, либо сервис, к которому приложение обращается с названной целью:

• Google Play Billing — подписки и добровольные чаевые. Саму покупку получает Google; Fokus IO получает токен и статус. Нужен, только если вы решите что-то купить.
• Google Play Developer API и Real-time Developer Notifications — то, как сервер проверяет токен покупки и узнаёт о продлениях, отменах и возвратах. Сервер с сервером; приложение в этом не участвует.
• Google Sign-In — опционально. Используется, только если вы выбрали вход через Google; в этом случае Google знает, что вы вошли в Fokus IO. Приложение получает токен личности, сервер проверяет его по открытым ключам Google; ни пароля Google, ни OAuth client secret у Fokus IO нет.
• Google Maps — карта только на экране РОДИТЕЛЯ. Загрузка карты отправляет Google IP-адрес устройства и область карты. Устройство ребёнка карту не рисует никогда.
• Google Fonts — три шрифта приложения скачиваются с шрифтового CDN Google при первом запуске и кэшируются на устройстве. Google получает запрос, а запрос содержит IP-адрес устройства. Данные аккаунта в этом не участвуют.
• Google Gmail SMTP — доставка писем подтверждения и восстановления пароля по зашифрованному каналу.
• Hetzner Online GmbH (Германия) — хостинг, хранение и резервные копии сервера Fokus IO.

09 Что не отправляется никуда

Сканирование QR-кода при привязке происходит целиком на устройстве: модель распознавания встроена в приложение, изображение с камеры никуда не загружается, ни снимок, ни результат сканирования телефон не покидают. Уведомления, таймер, серия, решения Щита и подсчёт экранного времени — всё локально. Fokus IO не продаёт персональные данные и не использует данные Семейной синхронизации для рекламы.

10 Сроки хранения и удаление

• Коды подтверждения действуют 10 минут.
• Выполненные удалённые команды и история доменов удаляются автоматически по серверным лимитам хранения (история сайтов — 14 дней).
• Хранится только последняя позиция ребёнка.
• Выход из аккаунта отзывает его активные сессии.
• Родитель может навсегда удалить родительский аккаунт и связанные семейные данные в приложении.
• Запрос на удаление привязанного детского аккаунта имеет видимую и отменяемую задержку в 48 часов.
• Отвязка удаляет семейный профиль ребёнка, синхронизированную статистику, геопозицию, историю сайтов и ожидающие команды.
• Запись о подписке хранится, пока существует аккаунт, и удаляется вместе с ним.
• Платёжные уведомления Google Play хранятся не дольше 400 дней как датированная запись о том, что и когда изменилось.

11 Безопасность

Соединения с fokusio.net используют HTTPS. Пароли хранятся в виде memory-hard хеша; коды подтверждения и refresh-токены не хранятся на сервере в открытом виде. База данных и резервные копии защищены ограниченными правами файловой системы.

Ни одна система безопасности не гарантирует абсолютной защиты, но для снижения риска применяются контроль доступа, ограничения частоты запросов, тесты изоляции, шифрование канала и регулярные резервные копии.

12 Дети и прозрачность для родителей

Семейная синхронизация рассчитана на настройку с ведома ребёнка. Функции наблюдения используют видимые экраны разрешений и постоянные индикаторы Android. Родитель не может незаметно выдать с другого устройства разрешения на геопозицию, VPN, специальные возможности, доступ к статистике или отображение поверх окон. Родителям стоит разобрать эти настройки и эту политику вместе с ребёнком.

13 Ваш выбор

Вы можете отказаться от необязательных разрешений, отключить историю сайтов, отозвать доступ к геопозиции, отвязать Семейную синхронизацию, выйти из аккаунта или запросить его удаление в приложении. Точные шаги, в том числе для устройства, где приложение уже не установлено, — на странице удаления аккаунта. Для запросов на доступ, исправление, удаление или других вопросов конфиденциальности: s.mohsunlu.dev@gmail.com.

14 Изменения

Если сбор данных, поставщики услуг или поведение Семейной синхронизации существенно изменятся, эта политика и дата вступления в силу будут обновлены. О существенных изменениях мы также сообщим в приложении, где это уместно.