Безопасность и приватность
Конфиденциальность
Какие данные хранит Colitu, что никогда не записывает и как долго всё хранится.
Принцип Colitu: хранить минимум данных, необходимых для работы сервиса и защиты от злоупотреблений. На этой странице прямо перечислено, что мы храним. Полный перечень — в Техническом документе по безопасности, юридический текст — в Политике конфиденциальности.
Что VPN-серверы не записывают
| Данные | Хранятся? |
|---|---|
| Содержимое вашего трафика | Никогда |
| Посещаемые сайты и IP-адреса | Не хранятся |
| Ваши DNS-запросы | Не хранятся. На наших DNS-серверах с блокировкой рекламы журнал запросов и статистика отключены. По умолчанию приложения используют публичные резолверы (Cloudflare, Google): они получают запросы с IP-адреса VPN-сервера, а не с вашего. |
| Ваш IP-адрес на VPN-серверах | Не хранится; используется в памяти только на время подключения |
Что VPN-серверы записывают
Объём трафика по пользователю: байты по каждому пользователю на каждом сервере интервалами примерно по 15 секунд; хранятся 90 дней для лимитов и честного использования, затем остаются только итоги за расчётный период. По ним видно, когда аккаунт был активен и сколько израсходовал, но не куда шёл трафик.
Аккаунт и сайт
| Данные | Срок хранения | Назначение |
|---|---|---|
| Адрес электронной почты, хеш пароля (Argon2id), язык, даты аккаунта | До удаления аккаунта; при удалении адрес заменяется заглушкой, а пароль становится непригодным | Аккаунт и вход |
| Коды подтверждения e-mail и сброса пароля (адрес, хеш кода, IP-адрес) | 7 дней | Подтверждение адреса, сброс пароля |
| События входа (IP-адрес, страна, браузер или приложение) | 180 дней | Безопасность аккаунта, предотвращение злоупотреблений |
| IP-адрес и страна при регистрации и при последнем входе | Регистрация: 180 дней. Последний вход: стирается, если 180 дней не было входа | Безопасность аккаунта, региональные правила |
| Регистрации и входы, отклонённые по региональным правилам (IP-адрес, страна) | 90 дней | Применение региональных правил |
| Веб-сессии (IP-адрес, страна, браузер, способ входа) | Удаляются через 30 дней после окончания сессии (выход, истечение срока или отзыв) | Вход, список сессий на странице аккаунта |
| Токены входа приложений (хранятся только в виде хешей, привязаны к устройству) | Удаляются через 30 дней после истечения срока или отзыва | Сохранение входа в приложениях |
| Двухэтапная проверка (зашифрованный секрет аутентификатора, хеши одноразовых кодов восстановления, 5-минутные шаги входа) | Секрет и коды восстановления — пока вы её не отключите или аккаунт не будет удалён; шаги входа удаляются через 1 день после истечения | Безопасность аккаунта |
| Passkey (открытый ключ, идентификатор учётных данных, указанное вами название, счётчик подписей, даты создания и последнего использования; закрытый ключ и биометрические данные никогда не покидают ваше устройство; одноразовые запросы проверки на 5 минут) | Пока вы не удалите passkey или аккаунт; запросы проверки удаляются сами через 5 минут | Вход без пароля и безопасность аккаунта |
| Учётные данные VPN-подключения (случайные секреты для каждого сервера, привязанные к устройству или ссылке подписки) | Пока устройство или ссылка используются; удаляются через 30 дней после удаления или замены | Доступ к VPN |
| Ссылки подписки (указанное вами название, даты создания, последнего использования и окончания, пометка «возможно, ссылкой делятся»; сама ссылка хранится только в виде хеша). IP-адреса, с которых используется ссылка, не сохраняются; на 48 часов остаётся лишь ежедневный анонимный приблизительный счётчик числа разных сетей на каждую ссылку | Пока вы не отзовёте ссылку или не удалите аккаунт (истёкшая ссылка отзывается автоматически); счётчик сетей удаляется сам через 48 часов | Отдельная ссылка для каждого устройства и предупреждение об общей ссылке |
| Запросы входа с ТВ (имя устройства, IP-адрес, страна) | Удаляются через 1 день после истечения 10-минутного кода | Вход по QR-коду |
| Устройства (имя, платформа, версия приложения и ОС, последний IP-адрес и страна, ключевой хеш идентификатора оборудования) | Хранятся, пока устройство привязано к аккаунту. Имя, IP-адрес, страна и хеш оборудования удалённого устройства стираются через 30 дней; IP-адрес и страна устройства, не появлявшегося 180 дней, стираются | Ограничение числа устройств, безопасность аккаунта |
| Отклонённые попытки добавить устройство или получить пробный период (IP-адрес, данные устройства) | 180 дней | Ограничение числа устройств, защита от злоупотреблений |
| Проверки злоупотреблений бесплатным тарифом и пробным периодом (ключевые хеши HMAC-SHA256 адреса электронной почты, идентификатора оборудования и сети; ключ не хранится в базе данных) | Сеть: 30 дней. Адрес и идентификатор оборудования: пока существует аккаунт и 180 дней после его удаления. Хеши SHA-256 без ключа, записанные до этого изменения, удаляются не позднее чем через 180 дней после записи | Предотвращение повторного создания бесплатных аккаунтов |
| Автоматическая проверка на ботов и злоупотребления: для задержанных или заблокированных аккаунтов — оценка, сработавшие признаки, IP-адрес, страна, сеть (ASN) и user agent; для регистраций, отклонённых до создания аккаунта, также адрес электронной почты | Задержанные или заблокированные аккаунты: пока существует аккаунт, удаляются вместе с ним. Отклонённые регистрации: 30 дней | Защита от ботов, автоматической регистрации и сбора адресов серверов |
| Проверки злоупотреблений пробными промокодами (ключевые хеши HMAC-SHA256 нормализованного адреса электронной почты, идентификатора оборудования устройства и сети — IPv4 /32 и /24 или IPv6 /64 и /48; ключ не хранится в базе данных) | Сеть: 35 дней. Адрес и идентификатор оборудования: 365 дней, в том числе после удаления аккаунта | Один пробный промокод на человека |
| Заявки на перенос из прежнего сервиса (Telegram ID и имя, заметки, IP-адрес) | Удаляются через 30 дней после последнего изменения. От одобренной заявки остаётся только ключевой хеш Telegram ID на 2 года | Перенос старых подписок; защита от повторного переноса одной подписки |
| Метка источника регистрации (например, «github», «app:android») из utm/ref-метки ссылки на сайт, имени сайта, с которого вы пришли (например, github.com), или из приложения; cookie, пиксели и адреса не сохраняются. Время первого VPN-подключения. | Удаляется вместе с аккаунтом | Сводная оценка того, какие каналы приводят реальных пользователей и сколько длится первое подключение |
| Ваш код приглашения; связь между аккаунтом, созданным по ссылке-приглашению, и аккаунтом пригласившего, статус приглашения (ожидает, засчитано, недействительно и причина) и начисленные дни Premium. Пригласившему не показываются имя и e-mail приглашённого. | Удаляется при удалении любого из двух аккаунтов | Начисление наград за приглашения; защита от злоупотреблений (тот же IP-адрес или устройство, временный e-mail); сводный учёт регистраций по приглашениям |
| Анонимная статистика приложений: результаты подключений и тип ошибки, время подключения и восстановления (в виде счётчиков по диапазонам), неожиданные разрывы, переключения протоколов Adaptive Connect, измеренная задержка до серверов и выбор сервера в автоматическом режиме, используемые функции и состояние kill switch; тип сети, страна и номер интернет-провайдера (ASN) текущей сети (из подписанной метки, полученной при выключенном VPN). На сервере хранятся только суммы за день, причём сети (страна + ASN) и серверы — в отдельных таблицах; аккаунт, устройство, IP-адрес и посещённые сайты не сохраняются. К событиям серверов также добавляется местоположение с точностью до города: город определяется по IP-адресу отчёта при получении, адрес не сохраняется; город показывается отдельно, только если в этот день из него сообщили не менее пяти разных устройств (устройства считаются по почасовому псевдониму, который удаляется по окончании часа). Отключается в настройках приложения. | Суммы хранятся бессрочно (без связи с человеком); суммы по серверам с городом — 90 дней | Оценка и улучшение качества подключения, работы Adaptive Connect и использования функций |
| Colitu Passport сохраняется в вашем аккаунте и следует за вами на каждое устройство, где вы входите. По каждой стране марки: время открытия и число частей; достижения, коллекции, прогресс еженедельных экспедиций, псевдоним, звание, обложка, смещение часового пояса и номер коллекционера; итоги по дням (минуты использования, части, ночные и ранние минуты, список стран, использованных в этот день); текущая серия (страна, её длина и последняя засчитанная минута); события наград для анимаций в приложениях. Минуты считают наши серверы по времени подключения: минута засчитывается, если один из наших серверов сообщил о трафике вашего аккаунта в эту минуту (каждая минута не более одного раза, сколько бы ни было устройств), а страна — это страна сервера; приложения не могут добавлять минуты. Хранятся только итоги по дням и странам; журнала по минутам или сессиям, сайтов и IP-адресов нет. Прогресс, уже имевшийся на устройстве в старой версии, импортируется один раз для каждого устройства (в правдоподобных пределах, берётся большее значение). | Итоги по дням — 400 дней, события наград — 30 дней, остальное — до удаления аккаунта | Сохранение паспорта в аккаунте, показ на каждом устройстве и расчёт наград и еженедельных экспедиций |
| Необязательные анонимные счётчики Colitu Passport, не больше одного отчёта в день: число открытых марок, самая высокая открытая глава, число марок по уровням, завершённые еженедельные экспедиции, части, полученные за день, и открывался ли паспорт в этот день. Отправляются без аутентификации; сервер лишь добавляет каждый отчёт к суммам за день и не хранит ни строки отчёта, ни аккаунта, ни устройства, ни IP-адреса. Из каких стран и когда получены марки, не передаётся. Отправляют только старые версии приложений; новые не отправляют, так как паспорт теперь хранится в аккаунте (см. строку «Colitu Passport»). Настройка по умолчанию выключена и отключается в приложении. | Суммы хранятся бессрочно (без связи с человеком) | Сводная оценка того, насколько используется паспорт и сбалансированы ли его правила (темп уровней и частей) |
| Ваши ответы на опросы в приложении: оценка рекомендации (0–10), что вы почувствуете без Colitu, причина отказа от продления Premium, необязательный комментарий и платформа; закрытые опросы (не чаще одного опроса в 30 дней) | При удалении аккаунта связь с ним и комментарий удаляются; остаётся только анонимная оценка | Сводная оценка удовлетворённости (NPS), соответствия продукта рынку и причин ухода |
| Оценка 1–5 и необязательный комментарий к решённому обращению; время первого ответа и решения | Удаляется вместе с обращением | Сводная оценка качества поддержки (удовлетворённость, время ответа и решения) |
| Какие транспорты сработали для устройства, на каком сервере и с какой скоростью (без IP-адреса) | Перезаписывается при каждом отчёте; удаляется через 35 дней после последнего отчёта | Выбор работающих транспортов в первую очередь |
| Тариф, платежи и заказы (включая дополнительное место Colitu Space; сумма, тип способа оплаты, идентификатор транзакции у провайдера, уведомление провайдера; для оплат через Rialit — постоянный номер плательщика, привязанный к аккаунту) | Столько, сколько требует бухгалтерское и налоговое законодательство, в том числе после удаления аккаунта; автоматического удаления по окончании этого срока пока нет | Биллинг, возвраты, требования закона |
| Хранилище Colitu Space: ID аккаунта, размер зашифрованных данных, число файлов, даты создания и изменения, структура папок (какой элемент в какой папке), число версий, отметка избранного, время окончания режима путешествия, настройки хранилища (время автоблокировки), зашифрованный ключевой материал (соль и параметры Argon2id, мастер-ключ, обёрнутый паролем и ключом восстановления) и записи passkey. Пароль хранилища на сервер не отправляется | До удаления хранилища или аккаунта Colitu | Работа Colitu Space: открытие хранилища, показ файлов и папок, применение лимита места |
| Файлы, которые вы загружаете в Colitu Space, миниатюры, имена файлов и папок, сведения о файлах и ваш профиль (имя и изображение профиля): шифруются в вашем браузере вашим ключом; Colitu не видит содержимое, имена, ваш профиль и ваш ключ. Зашифрованные данные хранятся в Backblaze B2, в отдельном аккаунте Colitu | Удалённые файлы остаются в корзине 30 дней, затем удаляются навсегда; хранится не более 10 прежних версий файла; при удалении хранилища или файла его объекты через очередь удаления стираются и из системы хранения; при удалении хранилища или аккаунта Colitu удаляется всё | Хранение ваших файлов в зашифрованном виде и выдача их вам |
| Общий доступ в Colitu Space (только между пользователями Colitu Space, со сквозным шифрованием): кто, с кем и чем поделился, вместе с зашифрованным содержимым, но без доступа к нему; даты предоставления доступа; если получатель пожаловался на общий доступ, причина (незаконное содержимое, преследование, спам или другое) и необязательная заметка | Не дольше, чем до удаления хранилища или аккаунта Colitu | Предоставление общего доступа; предотвращение злоупотреблений путём рассмотрения жалоб |
| Ссылки для запроса файлов в Colitu Space: публичная подпись, которую написал владелец ссылки (не шифруется), число и размер полученных файлов. Человек без аккаунта может отправить файлы в хранилище по ссылке; файл шифруется в его браузере. IP-адрес загружающего хранится только в счётчике дневного лимита размера и в базу данных не записывается | Подпись, число файлов и размер — не дольше, чем до удаления хранилища или аккаунта Colitu; IP-адрес загружающего — не более 25 часов, в счётчике | Работа запросов файлов; предотвращение злоупотреблений с помощью дневного лимита размера |
| Экстренный доступ в Colitu Space: контакт, выбранный владельцем хранилища (другой пользователь Colitu Space), срок ожидания (1–30 дней), даты запроса и отказа и мастер-ключ, запечатанный ключом этого контакта | Не дольше, чем до удаления хранилища или аккаунта Colitu | Чтобы выбранный контакт мог открыть хранилище, если владелец не откажет в течение срока ожидания |
| Корпоративный аккаунт Colitu Business: название компании, адрес для счетов, страна, налоговый номер, число мест и срок их действия; членство (роль, даты приглашения, вступления и выхода, кто добавил участника); счета компании и журнал действий компании. Владелец и администраторы компании видят адрес электронной почты и роль каждого участника, а также название, платформу, версию приложения и время последней активности его устройств; трафик и посещённые сайты им не видны | Пока Colitu не закроет корпоративный аккаунт; счета компании — столько, сколько требует бухгалтерское и налоговое законодательство; ссылки для создания пароля действуют 7 дней. Если участник удаляет свой аккаунт, его членство закрывается, а место возвращается компании | Управление местами компании, выставление счетов компании, напоминания о продлении |
| Компании и авторы контента, которым мы отправляем предложения о партнёрстве Colitu Business: название компании или канала, адрес электронной почты, опубликованный ими для деловых контактов на сайте или в описании канала, страна и язык; отправленные письма и их даты; тема и первые 300 символов ответов, недоставленные письма | Записи об отправке и ответах в панели удаляются через 12 месяцев. Список контактов хранится, пока контакт не попросит больше не писать или адрес не перестанет быть нужен; на адрес, ответивший «не пишите мне», мы больше не пишем | Предложение партнёрства Colitu Business: реселлинг и white label (законный интерес; в каждом письме указано, как отказаться, и ссылка на эту политику) |
| Обращения в поддержку и вложения, включая журналы, которые прикладывает приложение (адреса, названия сайтов и секреты замаскированы) | Закрытые обращения: удаляются через 2 года после последнего сообщения | Поддержка, рассмотрение претензий |
| Сообщения о безопасности: текст сообщения об уязвимости (заголовок, описание, шаги, влияние) и переписка с командой; если вы хотите быть упомянуты в Зале славы, выбранное вами имя (публикуется открыто вместе с месяцем и уровнем серьёзности) | До удаления аккаунта; при удалении удаляются сообщения, переписка и запись в Зале славы | Исправление уязвимостей и выплата вознаграждений (по желанию: упоминание в Зале славы) |
| Отчёт о подключении: когда поддержка разбирается с проблемой подключения, приложение при следующем запуске отправляет данные о приложении и устройстве, события подключения и журналы приложения; названия сайтов и адреса маскируются на устройстве и на сервере, посещённые сайты не отправляются. Отчёт также содержит журнал последних решений Adaptive Connect (серверы-кандидаты, измерения, выбор и результат, скрытые серверы, проверки белого списка); по замаскированному отчёту для поддержки составляется диагностика с помощью ИИ | Удаляется через 90 дней | Устранение проблем с подключением (поддержка) |
| Переписка с Colitu Bot (текст, IP-адрес, отзыв «помог ли ответ») | 180 дней | Ответы на вопросы |
| Записи о доставке электронной почты (адрес получателя, тип письма) | 90 дней | Решение проблем с доставкой |
| Подписка на рассылку (адрес электронной почты, язык, время подтверждения); только если вы подтвердили её по ссылке из письма | До отписки; неподтверждённые заявки удаляются через 7 дней | Письма с анонсами, заметками о выпусках и предложениями (с вашего согласия) |
| Журналы доступа к сайту и API (IP-адрес, запрошенный адрес, браузер) | 14 дней | Эксплуатация и защита Сервиса |
| Тест на утечку DNS на нашем сайте | 10 минут, только в памяти | Отображение результата теста |
| Журнал аудита (действия администраторов и некоторые действия с аккаунтом, например его удаление, по ID аккаунта) | Бессрочно; необязательная причина, указанная при удалении аккаунта: 180 дней | Подотчётность действий |
Удаление и оставшиеся пробелы: сроки выше применяет ежечасная задача. Удаление аккаунта сразу стирает историю входов, IP-адреса, сеансы, данные устройств и другие записи, перечисленные в Политике конфиденциальности; записи биллинга, ключевые хеши проверок злоупотреблений (180 дней), объём трафика (90 дней) и закрытые обращения в поддержку (2 года) хранятся указанный срок. Для записей о тарифах, платежах и заказах и для журнала аудита автоматического удаления пока нет. Резервные копии шифруются на открытый ключ, а ключ расшифровки хранится офлайн; зашифрованная копия хранится в Backblaze B2 (EU Central). Копии, сделанные до удаления, хранят данные не более 36 дней, а незашифрованные снимки, сделанные перед развёртыванием, — не более 7 дней. Остальное — в плане работ.
База аккаунтов находится на сервере в Турции. Colitu управляет компания COLITU LIMITED, зарегистрированная в Англии и Уэльсе (128 City Road, London, Великобритания, EC1V 2NX; регистрационный номер компании 17520342).
Трафик, который идёт мимо VPN
- Региональные сайты: только когда режим приватности выключен, приложения для Android, Windows, iOS и Linux отправляют некоторые региональные сайты (домены и диапазоны IP из встроенного списка) напрямую, мимо VPN, чтобы продолжали работать сервисы, которые не принимают иностранные IP-адреса; если выбранный сервер находится в том же регионе, это правило не действует. Для этого трафика сайт и ваш провайдер видят ваш настоящий IP-адрес. В новых установках режим приватности включён по умолчанию (Windows и Android 2.7.0, iOS 5.6.0, Linux 1.3.0 и новее), поэтому по умолчанию весь трафик идёт через VPN; установки, сделанные раньше, сохраняют прежнюю настройку.
- Трафик локальной сети, проверки обновлений и замеры задержки до серверов.
Подробнее: Раздельное туннелирование.
Третьи стороны
- Платёжный провайдер (только платные тарифы): номер заказа, сумма, тариф и способ оплаты. Colitu не передаёт ваш e-mail и IP-адрес.
- Resend (письма аккаунта) и Brevo (ответы из нашего ящика поддержки).
- DeepSeek (Colitu Bot): ваш вопрос и несколько последних сообщений; данные аккаунта не передаются, но всё, что вы напишете, передаётся.
- Без аналитики и отчётов о сбоях: ни одно приложение Colitu (Android, iOS, Windows, Linux) не содержит библиотек аналитики, рекламы или отчётов о сбоях; в приложении для iOS их нет начиная с версии 5.4.1.
- Приложения Colitu и браузерное расширение могут отправлять анонимную статистику использования (отключается в настройках; в расширении для Firefox выключена, пока вы её не включите): только числа — успешность подключений, время и используемые функции. Сервер хранит их как суммы по дню, платформе и версии; аккаунт, устройство, IP-адрес и посещённые сайты не отправляются и не сохраняются. Это не сторонняя библиотека аналитики.
- Cloudflare: хостинг DNS-записей, DNS-резолверы по умолчанию в приложениях и выход для нескольких доменов на двух серверах.
- Хостинг-провайдеры обслуживают наши серверы и имеют к ним технический доступ.
Как определяется страна?
Страна IP-адреса, а для анонимной статистики серверов и его город, определяются по локальным базам данных на нашем сервере (IP to Country Lite и IP to City Lite от DB-IP, https://db-ip.com, CC BY 4.0). Ваш IP-адрес для этого не передаётся третьим лицам.
Ваши права
Вы можете запросить копию персональных данных вашего аккаунта, их исправление или удаление аккаунта. Просто напишите в поддержку. Подробнее: Управление аккаунтом.
Статья была полезной?
Нужна помощь?
Colitu Bot отвечает за секунды, а поддержка помогает на трёх языках.