1. О документе и операторе
Эта Политика относится к мобильному приложению и сервису Libyra Messenger, включая серверную доставку, сайт libyra.su, каналы, истории, ботов, звонки и mesh-функции. Оператор сервиса — команда Libyra Messenger. Запросы о данных принимаются по адресу privacy@libyra.su.
2. Какие данные обрабатываются
Аккаунт и профиль
Username, публичный идентификатор, имя и фамилия, описание, дата рождения, настройки видимости, аватары, обложка и видео профиля, если пользователь их добавил.
Ключи, вход и устройства
Публичные криптографические ключи и их отпечатки, идентификатор установки, сведения о сессии и токены авторизации. Закрытые ключи должны оставаться на устройстве; токены не публикуются и не передаются другим пользователям.
Сообщения, звонки и вложения
Шифртекст поддерживаемых личных сообщений и вложений, служебные идентификаторы, отправитель и получатель, время, статус доставки и прочтения, реакции и необходимые данные сигналинга звонка. Аудио и видео звонка передаются во время соединения; сервис не предназначен для записи разговоров.
Публичные функции
Профили, каналы, публикации, комментарии, реакции, истории, публичные боты и бизнес-заявки могут быть доступны выбранной аудитории или публично. Содержимое постов, комментариев и историй шифруется на устройстве (см. раздел 5), но название, описание и аватар канала, состав аудитории, реакции и время публикаций серверу видны.
Технические данные
IP-адрес, версия приложения и Android, модель устройства, сетевое состояние, события безопасности и обезличенные сведения о сбоях. Диагностика Sentry включается только при настроенном production-проекте и должна проходить фильтрацию персональных данных.
Музыкальный статус и проверка устройства
При отдельно включённом музыкальном статусе приложение получает сведения о воспроизведении из медиасессий поддерживаемых плееров. Для внешних плееров пользователь отдельно выдаёт системный «Доступ к уведомлениям»; эта служба не разбирает текст обычных уведомлений.
«Проверка устройства» локально оценивает доступные Android сведения о специальных разрешениях и известных приложениях риска. Это не антивирус и не доказательство слежки: проверка может быть неполной. Передача предупреждений друзьям по умолчанию выключена; названия найденных приложений требуют отдельного согласия. Передача идёт через зашифрованное присутствие.
3. Разрешения Android
- Камера и микрофон — фото, видеосообщения, голосовые сообщения и звонки по действию пользователя.
- Фото и видео — выбор и отправка конкретных материалов с устройства.
- Уведомления — новые сообщения и входящие звонки.
- Специальный доступ к уведомлениям — необязательный музыкальный статус внешнего плеера. Это отдельный доступ Android, не обычное разрешение показывать уведомления.
- Bluetooth и устройства рядом — экспериментальная mesh-доставка.
- Местоположение на старых версиях Android — системное требование обнаружения Bluetooth/Wi-Fi Direct; Libyra не использует его для показа или сохранения координат.
- Отображение поверх окон и полноэкранные уведомления — пузырь чата и экран входящего звонка, если пользователь включил их в Android.
Необязательное разрешение запрашивается в момент использования соответствующей функции. Его можно отозвать в настройках Android.
Libyra Link и приложения .lapp
Link показывает данные телефона на компьютере через зашифрованную сессию. При новом входе по QR одинаковый код подтверждается на обоих устройствах. Сведения о доверенных устройствах и их правах сохраняются отдельно от сеансовой переписки; доверие можно отозвать в настройках. Вручную скачанные файлы остаются у пользователя.
Приложения .lapp работают в изолированной среде. Возможности выдаются через разрешения Libyra; сетевой доступ, если он запрошен, ограничивается заявленными адресами. Разработчики могут получать сводные сведения Магазина и добровольно отправленные отчёты о сбоях приложений. Наличие подписи и модерации не гарантирует отсутствие ошибок или вредоносного поведения.
4. Зачем используются данные
- создать аккаунт, выполнить вход и управлять сессиями;
- доставить сообщения, медиа, уведомления и звонки;
- показать профиль, друзей, каналы, истории и ботов согласно настройкам видимости;
- обеспечить безопасность, ограничить злоупотребления и расследовать сбои;
- ответить на обращение поддержки или выполнить законный запрос.
Libyra Messenger не продаёт персональные данные и не использует содержимое личной переписки для рекламного профилирования.
5. Шифрование и границы E2EE
Поддерживаемые личные сообщения и вложения шифруются на устройстве и передаются серверу как шифртекст. Сервер всё равно обрабатывает данные, нужные для маршрутизации и защиты сервиса: идентификаторы участников и объектов, время, статусы доставки, IP и события безопасности.
Каналы и истории шифруются отдельной групповой схемой. Для канала или истории создаётся ключ содержимого; каждому подписчику канала или другу автора истории он передаётся отдельно, зашифрованным для его устройства. Текст постов, комментариев и историй, фото и видео шифруются на устройстве автора, сервер хранит только шифртекст и после включения шифрования канала отклоняет открытые публикации. Материалы, опубликованные до включения шифрования канала, задним числом не шифруются. Новый подписчик открывает защищённые посты после того, как владелец или администратор канала передаст ему ключ.
Шифрование каналов и историй не скрывает служебные и публичные данные: название, описание и аватар канала, авторов и состав аудитории, роли, время публикации, размеры и тип файлов, реакции. Официальный канал Libyra — открытая лента новостей: его публикации не шифруются сквозным шифрованием, чтобы их видели все подписчики.
В каналах без сквозного шифрования — официальном канале Libyra и каналах, где владелец не включил шифрование (в приложении они отмечены «Открытый» или «Без E2EE»), — посты, комментарии подписчиков, фото, видео и файлы передаются серверу и хранятся на нём в открытом виде. Перед комментарием в таком канале учитывайте, что его увидят все подписчики.
Чаты с ботами, публичные боты, профили и бизнес-заявки не используют сквозное шифрование: бот получает то, что ему пишут. Текущая реализация не заявляет Double Ratchet или forward secrecy до завершения отдельной миграции и аудита.
7. Сроки хранения
Как хранится личная переписка
Новая схема хранения применяется к личным сообщениям, отправленным в зашифрованном конверте новой версии. Она работает так:
- Шифрование и доставка. Телефон шифрует сообщение для устройств участников, указанных при отправке. Сервер хранит зашифрованный конверт до подтверждений сохранения.
- Запись на телефон. Устройство расшифровывает сообщение и записывает его в локальный зашифрованный архив. Только успешная запись разрешает отправить серверу подтверждение от этого устройства. Подтверждение сохранения отличается от статуса «прочитано».
- Очистка шифртекста. Когда подтвердили все устройства из конверта, сервер заменяет шифртекст служебной меткой. Идентификатор сообщения, время, участники, реакции и статусы могут оставаться до очистки самой записи. Редактирование сообщения снова требует подтверждений сохранения нового текста.
Если устройство офлайн или запись архива не удалась, его подтверждение не отправляется: сервер продолжает хранить конверт в пределах сроков ниже. Для старых сообщений и клиентов, не поддерживающих новую схему, действуют прежние сроки хранения.
Локальный архив и восстановление
Android-приложение хранит до 5000 обычных серверных сообщений на диалог и до 100 диалогов. Архив зашифрован ключом Android Keystore в приватном каталоге приложения и исключён из стандартного резервного копирования Android. Одноразовые, исчезающие и IMAP/mesh-сообщения не включаются в этот постоянный архив.
Вложения и публичные функции
Очистка конверта сообщения не означает немедленное удаление файла вложения. Зашифрованные фото, видео, голосовые и документы обрабатываются отдельно. При удалении сообщения доступ к его вложению отзывается; последующая очистка файлов выполняется серверной логикой хранения. Чаты с ботами, каналы, комментарии и истории не используют это правило очистки личных конвертов.
История, уже сохранённая на устройствах участников, не удаляется сервером автоматически. Активные данные принятого запроса на удаление аккаунта удаляются или необратимо обезличиваются не позднее 30 дней. Минимальная запись, не позволяющая восстановить профиль, может храниться до 45 дней, чтобы удаление не отменилось после восстановления резервной копии.
8. Выбор пользователя и удаление
Пользователь может изменить профиль и видимость, удалить собственный контент доступными средствами, отозвать разрешения Android и выйти из активных сессий. Выход из приложения не удаляет аккаунт.
Запросить удаление аккаунта и связанных данных можно на странице удаления аккаунта. Пароль, закрытый ключ и токены для такого запроса не требуются и не должны отправляться по электронной почте.
9. Возраст
Libyra Messenger рассчитан на пользователей от 16 лет и не предназначен для детей младше этого возраста. Если применимое право требует более высокого возраста цифрового согласия, пользователь должен соответствовать этому возрасту либо действовать с согласия законного представителя.
Как сервис запрещает вред детям и как сообщить о нём, описано в стандартах защиты детей.
10. Изменения и контакты
При существенном изменении обработки данных новая версия публикуется здесь с обновлённой датой и, когда это требуется, показывается в приложении до продолжения использования.
Вопросы о данных: privacy@libyra.su
Общая поддержка: support@libyra.su