Акаунта немає, і застосунок не вимірює того, що ти робиш. Нижче — усе до кінця: що лишається на твоєму телефоні, що може його покинути, що зберігає наш сервер і як це видалити.
RIPEN робить Антон Козіонов — одна людина, не компанія. «Ми» в цьому документі означає саме цю одну людину. Пиши на hello@ripen.day.
що лишається на твоєму телефоні
Твоє дерево живе в тебе на телефоні. Немає ні акаунта, ні реєстрації, тож ми не знаємо, хто ти. Застосунок не вимірює того, що ти робиш: жодної аналітики, жодних звітів про збої, жодної реклами, жодних рекламних ідентифікаторів і жодних сторонніх трекерів.
Твій пін-код і фраза відновлення ніколи не покидають твій телефон. Назви звичок та ідентичностей, «після чого» й «о котрій» покидають його лише всередині онлайн-копії, про яку сказано нижче.
що може покинути телефон
Пʼять речей. Публічна сторінка, кадр чи фільм, повідомлення про збій, а також ідеї й зауваження покидають телефон лише тоді, коли ти їх вмикаєш або надсилаєш. Онлайн-копія робиться сама.
Публічна сторінка твого дерева — лише поки ввімкнено «публічне посилання». На наш сервер тоді йде форма дерева, усе, що сторінці потрібно, щоб його намалювати: число твоєї форми, день, коли посаджено дерево, і день, коли почато кожну ідентичність і звичку, які дні відмічено чи пропущено, розклади, дні перерви й те, чи ввімкнено нагадування про її кінець, коли завʼязалися плоди й коли звички вкорінено чи зрізано, коли змітали опале листя, день, коли застосунок востаннє відкривали, та імʼя на сторінці, якщо його вписано. Ніколи — назви звичок чи ідентичностей, «після чого», «о котрій», пін-код або фраза відновлення. Посилання випадкове, і лише воно захищає сторінку: будь-хто, у кого воно є, може її відкрити, без нього сторінку не знайти, і пошуковики її не показують. Вимкнеш посилання — і сторінки більше не існує.
Кадр або фільм твого дерева, коли ти ним ділишся. Застосунок створює його на твоєму телефоні й передає в системне меню «Поділитися»; куди він піде далі — вирішуєш ти, а через наш сервер він не проходить.
Онлайн-копія — щоб перенести дерево на новий телефон. Вона робиться сама, перемикача для неї немає, і оновлюється після твоїх змін. У ній усе дерево разом із назвами, але ніколи — пін-код чи фраза відновлення. Її шифрують на твоєму телефоні ключем, зробленим із твоєї фрази відновлення, і лише потім вивантажують на наш сервер разом із позначкою телефона, який її зберіг (тип телефона й 3 випадкові символи, наприклад «iPhone · 3fa»), і часом збереження. Сама фраза відновлення не надсилається ніколи, тож прочитати копію не можемо ні ми, ні будь-хто, хто забере її в нас. На iPhone з увімкненим iCloud вона йде ще й у твій iCloud: її зберігає Apple у твоєму власному акаунті, а застосунок її там не шифрує.
Повідомлення про збій — лише якщо ти надсилаєш його через «повідомити про збій» у вкладці «інше». Воно відкриває лист до нас із таблицею, яку ти бачиш перед надсиланням: версія застосунку, версія системи, розмір екрана й висота системної панелі внизу нього, розмір тексту, мова й регіон телефона, вік дерева, скільки на ньому ідентичностей і звичок і скільки з цих звичок ще ростуть, число твоєї форми, чи ввімкнено Pro, «публічне посилання», звук і «нерухомий світ», а також помилки цього сеансу — лише їхній тип, місце в коді застосунку, де вони сталися, і час, ніколи не їхній текст. Назв звичок чи ідентичностей і фрази відновлення в ньому немає. Список помилок застосунок тримає лише в памʼяті, поки відкритий, і телефон цей список покидає тільки в цьому листі. Як і будь-який лист, він показує нам адресу, з якої ти його надсилаєш.
Ідеї й зауваження — лише якщо ти надсилаєш їх через «ідеї й зауваження» у вкладці «інше»: твій текст, мова застосунку, версія застосунку, те, на чому працює телефон, — iOS чи Android, і адреса твоєї пошти — лише якщо ти її вписуєш, щоб ми могли відповісти. Більше разом із ними не йде нічого: ні імені, ні дерева, ні назв звичок чи ідентичностей.
нагадування
Нагадування планує сам телефон, і вони його не покидають: жоден наш сервер їх не надсилає. Коли встановлено пін-код, сповіщення не називає звичку, а пише: «Час для однієї з твоїх звичок.»
покупки
Покупки проходять через App Store або Google Play. Крамниця повідомляє застосунку, що щось куплено; твоє імʼя, картка й адреса лишаються в крамниці й до нас ніколи не доходять. Покупки належать твоєму акаунту в крамниці, а не дереву: вони лишаються й після стирання дерева, а на новому телефоні в ТІЙ САМІЙ крамниці їх повертає кнопка «відновити покупки» у вкладці «інше». Покупка з App Store не повертається в Google Play і навпаки.
сайт
Головна сторінка ripen.day, її демо-дерево й публічні сторінки дерев ідуть із нашого власного сайту разом зі шрифтами: жодна сторінка нічого не завантажує з Google чи інших сторонніх серверів. Сайт не ставить cookie і не має скрипта аналітики ні на одній сторінці.
Шрифти застосунку вбудовані в нього самого, ззовні він їх не завантажує.
що зберігає наш сервер
П’ять видів записів — і більше нічого.
Форма опублікованого дерева за його посиланням — те, що перелічено вище, — і картинка того самого дерева, яку показують у прев'ю, коли посиланням діляться. Картинку малює твій телефон і ставить на ній день, коли намалював, тож старе прев'ю не бреше, а має дату. Обидві лежать там лише поки ввімкнено «публічне посилання». Якщо вимкнути посилання або стерти дерево, зникають обидві.
Онлайн-копія з кожного телефона: зашифрований блок, позначка телефона, час збереження й номер версії. Вона зберігається за адресою, яку твій телефон обчислює з твоєї фрази відновлення, доки дерево не буде стерто. Прочитати її ми не можемо.
Запис для кожного посилання, яке будь-коли вмикали: випадкова частина посилання, випадкова сіль і хеш, обчислений із твоєї фрази відновлення. Він доводить, якому дереву належить посилання, тож ніхто інший не може його зайняти. Цей запис лишається й тоді, коли сторінки вже немає, — про це нижче.
Ідеї й зауваження, які ти надсилаєш: текст, мова застосунку, версія застосунку, iOS чи Android, час, коли їх отримано, і адреса твоєї пошти, якщо ти її вписуєш. Цю адресу ми використовуємо лише для того, щоб відповісти на те повідомлення. Повідомлення без неї ні на кого не вказує, тож ми не можемо ні відповісти на нього, ні дізнатися, хто його надіслав.
Адреса зі списку запуску, якщо ти лишаєш її на нашому сайті: сама адреса й день, коли вона надійшла, і більше нічого. Вона потрібна для одного листа — у день, коли RIPEN з’явиться в крамницях, — і щойно той лист піде, увесь список видаляється. Напиши нам раніше, і твоя адреса зникне раніше.
Наш сайт і сервер працюють на Cloudflare, тож кожен запит разом з IP-адресою, з якої він надходить, проходить через Cloudflare. Код нашого сервера не зберігає жодної IP-адреси й не записує, хто відкриває сторінки чи зберігає копії.
діти
RIPEN не призначений для дітей. Він нікого, хоч якого віку, не просить указати справжнє імʼя, вік чи місцеперебування. Адресу пошти він просить у двох місцях, і в обох вона необовʼязкова: «ідеї й зауваження» в застосунку та список запуску на нашому сайті.
як видалити свої дані
Акаунта тут немає, тож і видаляти акаунт не потрібно. Дерево, його онлайн-копію й публічну сторінку видаляєш ти, просто в застосунку, щойно твій телефон може дістатися нашого сервера. Лише ідеї й зауваження видаляються на прохання до нас — про це нижче.
Вимкни «публічне посилання» (у вкладці «інше» або кнопкою «посилання» у вкладці «дерево») — і публічної сторінки більше не існує: це посилання вже ніколи не запрацює, а якщо ввімкнеш його знову, буде нове. Якщо мережі немає, сторінка лишається відкритою, доки ти не спробуєш ще раз.
Кнопка «стерти дерево» внизу вкладки «інше» назавжди стирає дерево з твого телефона. У ту саму мить вона видаляє онлайн-копію — з нашого сервера і з твого iCloud — і знімає публічну сторінку. До нашого сервера можна дістатися лише через мережу: без мережі застосунок нічого не стирає й каже про це, бо коли фрази відновлення вже не буде, ніхто не зможе прибрати те, що там лишилося. Тоді можна підʼєднатися й спробувати ще раз або вибрати «все ж стерти». Пін-код і покупки лишаються.
Видалити застосунок недостатньо. Так дерево зникне з твого телефона, але онлайн-копія — на нашому сервері й у твоєму iCloud — і публічна сторінка лишаться там, де є. Спершу скористайся кнопкою «стерти дерево».
Одне лишається навмисно: описаний вище запис для кожного посилання, з випадковою сіллю й хешем, обчисленим із твоєї фрази відновлення. Саме він не дає нікому іншому зайняти це посилання, коли воно тобі більше не потрібне. У ньому немає ні назв, ні днів, ні фрази відновлення, і нічого з нього витягти не можна.
Можна також попросити нас. Напиши на hello@ripen.day з будь-якої адреси й скажи, що саме видалити. Ми відповідаємо протягом 24 годин. Публічну сторінку ми можемо видалити, якщо надішлеш її посилання, але поки в застосунку ввімкнено «публічне посилання», сторінка повернеться з наступною твоєю зміною, тож вимкни й його. Онлайн-копію на нашому сервері вручну ми знайти не можемо: вона зберігається за адресою, обчисленою з твоєї фрази відновлення, а цієї фрази ми ніколи не бачимо. Щоб видалити копію, скористайся кнопкою «стерти дерево».
Ідеї й зауваження в застосунку видалити не можна. Якщо ти надсилаєш їх з адресою пошти, напиши на hello@ripen.day з тієї самої адреси — і ми видалимо всі повідомлення з нею. Повідомлення без адреси ні на кого не вказує, тож ми не можемо знайти, яке з них твоє.
зміни
Ця політика однакова в застосунку (розділ «приватність» у вкладці «інше») і на ripen.day/privacy. Коли вона змінюється, змінюється й дата вгорі вебсторінки.