Deneb privacy policy

Коротко

• Аккаунтов, регистрации и паролей на сервере нет. Мы не знаем, кто вы.
• Сид-фраза и приватные ключи создаются и хранятся только на вашем устройстве, зашифрованными вашим паролем. К нам они не уходят никогда — ни в открытом, ни в зашифрованном виде.
• Рекламных трекеров и пикселей нет. На сайте (обозреватель и главная страница) и в мобильном приложении мы считаем анонимную статистику использования — на своём сервере, без cookies и идентификаторов устройств или пользователя. В приложении это только открытия экранов (без адресов, хешей и сумм), версия приложения и платформа, открытия приложения по уведомлению и шаги Deneb Connect; включена по умолчанию, выключается в Настройках. Подробности — раздел 4.
• Если вы подключаете к мосту на сайте кошелёк на телефоне (через WalletConnect) или в вашей сборке приложения включён Deneb Connect (подключение кошелька к сайтам), часть данных проходит через стороннюю сеть Reown — разделы 5 и 7. Ключи и сид-фраза и туда не уходят.
• Если вы включите уведомления (по умолчанию они выключены, отдельно для каждого кошелька), наш сервер сохранит технические данные подписки, а доставку обслуживает Google (Firebase Cloud Messaging) на Android и Apple (Apple Push Notification service, APNs) на iPhone — раздел 8. Содержимое уведомлений ни Google, ни Apple прочитать не могут; ключи и сид-фраза никуда не уходят.
• Что видит сервер: то же, что любой сайт в интернете, — IP-адрес и запрошенную страницу. Плюс, если вы пользуетесь кошельком, адреса и транзакции, которые вы запрашиваете. Это публичные данные блокчейна, но в паре с IP они становятся личными, поэтому ниже написано, где они оседают и на сколько.
• Если вы в России, запросы приложения и сайта могут идти через резервный сервер в России (ru.denebnav.app). Это запасной путь, не основной: он включается автоматически, только когда основной адрес недоступен, и выключить его в Настройках нельзя. Такой сервер и его хостер видят ваш IP-адрес и то, какие адреса, транзакции и валидаторы вы смотрите; ключи и сид-фразу они увидеть не могут. Подробности: раздел 4.

1. Что мы не собираем

• Сид-фразы и приватные ключи. Создание кошелька, импорт и подпись транзакций происходят в приложении на вашем устройстве. В сеть уходит только уже подписанная транзакция — то, что и так становится публичным в блокчейне.
• Пароль кошелька. Из него на устройстве выводится ключ шифрования (PBKDF2-SHA-256, 600 000 итераций, AES-256-GCM — одинаково в вебе и в приложении). Пароль никуда не передаётся, восстановить его мы не можем — только вы, по сид-фразе.
• Биометрия. Отпечаток и лицо проверяет операционная система (Face ID, Touch ID, Android Biometric). Приложение получает от неё только ответ «да» или «нет» и никогда не видит биометрические данные.
• Имя, e-mail, телефон, контакты, геолокацию, идентификаторы рекламы. Нет соответствующих полей, разрешений и запросов — кроме того, что вы сами напишете в чат поддержки (раздел 6). Приложение не просит доступ к контактам, файлам, микрофону. Камера нужна только для сканирования QR-кода в Deneb Connect: доступ запрашивается лишь в сборках с включённым Connect (Android и iOS) и только после нажатия «Сканировать QR-код» (раздел 7).
• Стороннюю аналитику. Ни Google Analytics, ни Яндекс.Метрики, ни Firebase Analytics, ни Sentry, ни других сторонних SDK для сбора событий и ошибок нет. Единственная статистика — своя, self-hosted, и описана в разделе 4 («Статистика использования сайта» и «Статистика использования приложения»). Приложение отправляет её простыми HTTPS-запросами на наш сервер, без чужих SDK. Шрифты и скрипты сайта раздаются с наших доменов, сторонних CDN нет.

2. Что хранится на вашем устройстве

Веб-кошелёк. Зашифрованная сид-фраза — одна запись в IndexedDB браузера (deneb-wallet/vault). В хранилище лежит только шифротекст; ключ расшифровки выводится из пароля при каждой разблокировке и не сохраняется. Удалили данные сайта в браузере — кошелёк с устройства пропал; вернуть его можно только по сид-фразе.

Сайт моста (bridge.denebnav.app). Если вы подключили кошелёк на телефоне через WalletConnect, браузер хранит сессию (IndexedDB, база deneb-wc): технические ключи сессии без ваших ключей, не дольше 24 часов. Подробности — раздел 5.

Мобильное приложение. Зашифрованная сид-фраза — в защищённом хранилище системы (iOS Keychain / Android Keystore через Expo SecureStore), с флагом «только это устройство»: запись не попадает в iCloud Keychain, Android Auto Backup и не переносится при восстановлении на новый телефон (allowBackup=false). Если включена биометрия, рядом лежит случайный ключ, доступный только после проверки отпечатка/лица; сама фраза дополнительно зашифрована им. Приватный ключ не сохраняется — он выводится из фразы на время подписи и стирается из памяти. На Android удаление приложения удаляет кошелёк с устройства. На iPhone записи Keychain переживают удаление приложения: кошельки, мастер-ключ, счётчик неверных попыток пароля, настройки и данные Deneb Connect для экрана «Подключённые приложения» остаются на устройстве, и после новой установки кошельки открываются тем же паролем или биометрией; пропадают только поиск и кэши. Так сделано, чтобы случайное удаление приложения не стоило вам кошелька, а счётчик неверных попыток нельзя было сбросить переустановкой. Ключи сессий WalletConnect и записи для уведомлений приложение само удаляет при первом запуске после новой установки. Стереть кошельки с iPhone можно в приложении: «Кошельки» → кошелёк → «Удалить с устройства» или «Другой кошелёк / забыл пароль» на экране входа.

Настройки и удобства (не секреты). Сайт: настройки интерфейса — тема (светлая/тёмная/как в системе), режим обозревателя (Обычный/PRO) и отметка о закрытой плашке беты — в трёх технических cookie (deneb.theme, deneb.view, deneb.beta) на домене denebnav.app сроком на год, чтобы выбор был одним для обозревателя, кошелька и моста. Браузер отправляет их нашим серверам только чтобы сразу показать страницу в выбранном виде; в них нет ни адреса, ни других данных кошелька, и они не используются для отслеживания или аналитики. Последние поисковые запросы — в localStorage, только у вас в браузере. Если вы писали в поддержку с сайта — там же (deneb.support.v1) ключи доступа к вашим обращениям (раздел 6). Приложение: адрес кошелька (чтобы экран блокировки показывал, чей кошелёк, без запроса пароля), список кошельков, настройки, счётчик неверных попыток пароля — никуда не отправляются.

Буфер обмена при копировании сид-фразы (приложение). Фраза попадает в системный буфер только по явному нажатию «Скопировать». На iOS запись помечена «только это устройство» (не уходит в Universal Clipboard/Handoff) и стирается системой не позже чем через 60 секунд; на Android — помечена как конфиденциальная (нет превью в оверлее Android 13+), очищается приложением. Приложение дополнительно очищает буфер при уходе в фон, закрытии экрана и по таймеру 60 секунд. Честное ограничение: клавиатура или сторонний синхронизатор буфера (например, Samsung, Microsoft «Связь с Windows»), если они не уважают эту метку, могут прочитать фразу в это окно. Не копируйте фразу, если не уверены в своём устройстве, — запишите на бумаге.

3. Какие запросы уходят с устройства и куда

Вся связь по HTTPS. Ниже — все адреса, к которым обращаются сайт и приложение, и что они получают.

Что не уходит никуда: сид-фраза, приватный ключ, пароль, содержимое настроек. Неподписанный черновик перевода (получатель, сумма, сообщение, nonce) передаётся только нашему узлу — чтобы посчитать комиссию на шаге «Проверьте перевод»; запись этого запроса в журнал узла отключена.

4. Что видит наш сервер и сколько хранит

• Логи веб-сервера. На каждый запрос — одна строка: IP-адрес, время, домен, тип запроса без параметров и без адресов и хешей (например, /address/:id вместо адреса Mx…; сумма и получатель перевода не пишутся), код ответа, размер, время ответа, сайт, с которого пришёл запрос (только домен), User-Agent браузера. Используем для диагностики сбоев и защиты от перегрузки. Логи ротируются ежедневно и хранятся 14 дней, после чего удаляются.
• Журнал веб-сервера, принимающего запросы к сайту. Веб-сервер, через который открываются сайт, веб-кошелёк и страница моста, ведёт ещё и собственный журнал запросов, очищенный так же, как журнал выше: IP-адрес, время, домен, метод и путь запроса, код ответа, размер, время ответа, сайт, с которого пришёл запрос (Referer), и Origin (в обоих только схема и домен), User-Agent браузера. Не пишутся: параметры запроса (всё после «?» отбрасывается), адреса и хеши в пути (Mx…, Mt…, Mp…, 0x… заменяются на :id), остальные заголовки, cookie и данные TLS-соединения. Журнал хранится 14 дней, после чего удаляется, и в резервные копии не попадает. Общий журнал этого сервера (запуск, сертификаты, сбои) запрошенных адресов не содержит.
• Ограничение частоты запросов. IP-адрес держится в памяти веб-сервера для подсчёта запросов в секунду (защита от перебора и DDoS). Если лимит превышен или сервис за веб-сервером не ответил, запись попадает в технический журнал ошибок веб-сервера: IP-адрес, время и запрошенный адрес целиком — чтобы видеть злоупотребления и сбои. Этот журнал хранится те же 14 дней. Запрос расчёта комиссии с черновиком перевода не пишется ни в один журнал.
• Логи hub-api и API обозревателя. Служебные записи для диагностики: тип запроса (шаблон вроде /v1/transfer/{hash}), код ответа и время ответа; без IP-адресов, без параметров запроса, адресов, хешей и сумм. Хранятся 14 дней.
• Технические метрики. Счётчики запросов, кодов ответа и времени ответа по сайту и типу запроса — без IP-адресов, адресов кошельков и хешей транзакций. Хранятся 90 дней. Это не аналитика поведения: по ним нельзя узнать, кто и что смотрел.
• Статистика использования сайта (self-hosted Umami). На сайте — в обозревателе и на главной странице — мы считаем псевдонимную статистику использования: какие страницы и разделы открывают и какие действия на них делают, чтобы понимать, что востребовано, а где люди останавливаются. На мосте считаем только открытия страниц (шаблон пути) — без действий на них, монет, сумм и адресов; в веб-кошельке статистики нет. Инструмент — Umami, развёрнутый на нашем сервере; данные сторонним сервисам не передаются. Без cookies и без идентификаторов устройства. Umami хранит тип браузера, операционную систему, устройство, размер экрана, язык и страну (только страну — регион и город не хранятся). IP-адрес используется только для расчёта хеша посетителя и определения страны, а сам не хранится; хеш посетителя псевдонимный и меняется вместе с солью. Текст поиска, адреса, хеши и суммы мы не собираем. Статистика мобильного приложения описана в следующем пункте. События хранятся без адресов, хешей и сумм; срок хранения — до 90 дней. Do Not Track и Global Privacy Control уважаются: если они включены, события не отправляются.
• Статистика использования приложения (self-hosted Umami). Мобильное приложение (Android и iOS) отправляет в тот же Umami на нашем сервере (stats.denebnav.app) только обычный запрос POST /api/send. В нём: идентификатор сайта в Umami; имя узла — android.denebnav.app в приложении для Android и ios.denebnav.app в приложении для iOS (одно и то же у всех на своей платформе); шаблон экрана — «Главная», «Перевод», «Мост», «Стейки», «Настройки» и т. п. (для экрана транзакции это /tx/[hash] без самого хеша, для неизвестного экрана — /other); тип устройства «мобильное»; User-Agent вида Mozilla/5.0 (Linux; Android <версия ОС>) DenebAndroid/<версия приложения> (Android) или Mozilla/5.0 (iPhone; CPU iPhone OS <версия ОС> like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 DenebIOS/<версия приложения> (iOS) (то же значение и в заголовке запроса); для событий — название события и поля версия приложения и платформа (android или ios). События такие: открытие экрана; открытие приложения по уведомлению — одно событие, без типа и содержимого уведомления; шаги Deneb Connect — «открыт», «подключено», «отклонено» (при отказе добавляется лишь, кто отказал: вы или приложение). В Connect не уходят ни название, ни адрес, ни домен сайта, ни его сети, ни причина отказа, ни адрес кошелька. В кошельке и на мосте внутри приложения считаются только открытия экранов, без действий на них. Не отправляются язык, размер экрана, заголовок, источник перехода и IP-адрес в теле запроса. Чего нет: постоянного идентификатора — ни установки, ни устройства, ни пользователя, ни рекламного (приложение не создаёт и не хранит для статистики никакого идентификатора), адресов, хешей, сумм, монет, поисковых запросов, содержимого уведомлений и всего, что связано с ключами, фразой и паролем. Очереди нет: приложение не копит события, не повторяет отправку и не ведёт журнал — если сеть недоступна, событие просто теряется. Чужих SDK для этого в приложении нет (SDK Umami тоже нет): события уходят нашим собственным кодом простыми HTTPS-запросами. IP-адрес и страна: сервер видит ваш IP-адрес, как при любом запросе. Umami строит из него и заголовков запроса «посетителя» — хеш с солью, которая меняется каждые сутки, — и определяет вашу страну (только страну: регион и город не хранятся). Сам IP-адрес не хранится. Поэтому события разных суток нельзя связать между собой, а событие — с вами. Выключатель: Настройки → раздел «Статистика» → «Анонимная статистика». Она включена по умолчанию, отдельного запроса согласия нет; выключена только если вы сами её выключили. Строка видна всегда, в том числе при заблокированном кошельке; экраны считаются и при заблокированном кошельке. После выключения запросы прекращаются сразу. Пока приложение не прочитало сохранённые настройки, оно ничего не отправляет; если прочитать их не удалось — ничего не отправляется до перезапуска. В сборке без адреса сервера статистики этой строки нет и ничего не отправляется. Срок хранения — до 90 дней, дальше события удаляются автоматически. Do Not Track и Global Privacy Control — настройки браузера и к приложению не относятся; их роль выполняет выключатель.
• Ретранслятор в России (ru.denebnav.app). Для пользователей в России приложение и сайт могут отправлять запросы через сервер, расположенный в России. Это запасной путь, не основной: он включается автоматически при недоступности основного адреса, а приложение и сайт возвращаются на основной адрес, когда тот снова отвечает (проверка раз в несколько минут). Переключателя в Настройках нет. Ретранслятор принимает ваше соединение и открывает новое к нашему серверу, поэтому тот, кто его обслуживает, его хостер и любой, кто получит доступ к машине (в том числе государственные органы), видят запросы в расшифрованном виде: ваш IP-адрес; какие адреса, транзакции и валидаторы вы смотрите; уже подписанные транзакции до того, как они попадут в сеть (после отправки они всё равно публичны); параметры запросов к мосту при расчёте комиссии. Ключи и сид-фразу они увидеть не могут: подпись делается только на вашем устройстве. Изменить подписанную транзакцию они тоже не могут: подпись перестанет сходиться. Перенаправить средства моста нельзя: адреса контрактов моста заложены в приложение и сайт, а не берутся из ответов сервера. Но ретранслятор может подменить ответ на запрос чтения (баланс, котировку, статус) или не пропустить отправку. На диск ретранслятор пишет одну строку на запрос: время, метод, маршрут, код ответа, размер в байтах и время обработки. IP-адреса, пути и параметры запроса в строку не попадают. Кеша нет, журнал хранится 14 дней. Если данные для подписи пришли через ретранслятор, на экране проверки перед подписью есть пометка «через ретранслятор».
• Хостинг. Сайт и серверы размещены на арендованных серверах; у хостинг-провайдера могут быть собственные технические логи сетевого уровня, на которые наши правила не распространяются.
• Базы данных. База обозревателя содержит только публичные данные блокчейна Minter (блоки, транзакции, адреса, валидаторы, пулы) — то же, что видит любой узел сети. Пользовательских таблиц нет.

Мы не продаём и не передаём эти данные третьим лицам. Раскрыть логи можем только по законному требованию.

5. Мост Minter Hub

Мост — сторонний сервис (Minter Hub, контракты в Ethereum и BNB Smart Chain, мультисиг в Minter). Deneb показывает его состояние и помогает собрать и подписать транзакцию на вашем устройстве; переводы исполняет хаб по своим правилам. Транзакция вывода из Minter содержит адрес получателя в другой сети открытым текстом — это публичная запись в блокчейне, видимая всем, включая оператора хаба.

Подключение EVM-кошелька на сайте моста (bridge.denebnav.app). Для ввода из Ethereum и BNB Smart Chain мост предлагает подключить внешний кошелёк. Расширение браузера или встроенный браузер кошелька работают прямо со страницей: Deneb не добавляет к этому сторонних сервисов. Кошелёк на телефоне подключается через WalletConnect v2 — сеть Reown (сторонний сервис, не Deneb): по QR-коду с компьютера или в браузере на самом телефоне. Соединение с Reown открывается, когда вы нажимаете «Подключить кошелёк» (на телефоне без кошелька в браузере — при открытии окна выбора), и при открытии моста, пока жива прошлая сессия. Reown видит ваш IP-адрес, адрес сайта моста, время, технические идентификаторы сессии и размер сообщений. Содержимое сообщений, в том числе адрес вашего EVM-кошелька и параметры транзакции, зашифровано — Reown его не читает. Проверку домена (Verify) тоже делает Reown: он видит IP и адрес сайта. Вашему кошельку мы сообщаем название Deneb, адрес сайта и значок, чтобы он показал, кто просит подключения. Телеметрию Reown мы отключили. Балансы вашего EVM-адреса запрашивает не Reown, а наш сервис моста (hub-api): он видит этот адрес и ваш IP; к публичным узлам ваш IP не уходит. Сид-фраза Minter, ключи и пароль никуда не отправляются: транзакцию подписывает ваш внешний кошелёк после вашего подтверждения. Сессия хранится только в вашем браузере (IndexedDB, база deneb-wc): технические ключи сессии, не ваши ключи, не дольше 24 часов с подтверждения в кошельке. «Отключить» и переход к выводу стирают её (сигнал об отключении идёт через Reown). Если вы больше не открываете мост, запись остаётся до следующего визита или пока вы не очистите данные сайта. Как Reown обрабатывает данные, написано в его политике конфиденциальности. Наши правила на его серверы не распространяются.

6. Чат поддержки

Чат поддержки работает через наш собственный сервер; переписка сторонним сервисам не передаётся. Оператор отвечает в программе Chatwoot с открытым кодом, которую мы установили и обслуживаем сами. На сайте (обозреватель и мост) чат — часть страницы: никаких сторонних скриптов, окон и cookie, и до того как вы откроете чат, страница к серверу поддержки не обращается. В веб-кошельке чата нет — там ссылки на Telegram-бот и почту поддержки.

Что видит оператор поддержки и что сохраняется в обращении:

• сообщения, которые вы отправили в чат, тема обращения и контакт (почта, Session или Telegram) — только если вы сами его указали;
• версия сайта, тип устройства («веб») и язык интерфейса.

Адрес открытой страницы, браузер и IP-адрес в обращение не попадают: сервер поддержки IP-адрес не сохраняет, а оператор его не видит. Сами мы в чат ничего о вас не передаём: ни адрес кошелька, ни баланс, ни историю — только то, что вы напишете. Аккаунта в чате нет.

Хранилище браузера. Доступ к переписке — ключ обращения и случайный идентификатор браузера — сохраняется в хранилище этого браузера (localStorage) на сайте, где вы открыли чат; на сервер ключ уходит только в заголовке запроса, у нас хранится лишь его хеш. Удалите данные сайта в браузере — доступ к переписке пропадёт, на сервере она останется до удаления по сроку.

Где и сколько хранится. Переписка хранится в базе данных на нашем сервере. Закрытые обращения автоматически удаляются через 90 дней, из резервных копий — ещё через 7 дней. Удалить раньше можно в самом чате («Удалить переписку»): у нас переписка стирается сразу, у оператора — в течение недели; или по вашему запросу (раздел 11).

Никогда не присылайте в чат сид-фразу, приватный ключ и пароль кошелька. Поддержка их не спрашивает — ни в чате, ни в письме, ни в соцсетях. Если кто-то просит — это мошенник.

7. Deneb Connect (подключение к сайтам)

Эта функция есть только в сборках приложения для Android и iOS, где она включена при сборке. Если в вашей сборке её нет (в том числе в закрытой бете без неё), ничего из этого раздела не происходит. Connect позволяет подключить кошелёк к стороннему сайту или приложению (dApp) по QR-коду или ссылке через протокол WalletConnect и подтверждать его запросы. Вы подключаете сайт сами и подтверждаете каждый запрос на подпись паролем или биометрией; автоматических подписей нет. Камера нужна только для сканирования QR-кода: система запрашивает доступ лишь после того, как вы нажмёте «Сканировать QR-код» в разделе Connect. Кадры обрабатываются на устройстве: на Android — открытой библиотекой zxing (Google ML Kit нет), на iOS — встроенным в систему распознаванием QR-кодов Apple AVFoundation (только тип QR, без VisionKit и сторонних библиотек). Кадры не сохраняются и никуда не отправляются, телеметрии нет; остаётся только распознанная строка — она проходит ту же строгую проверку ссылки WalletConnect, что и вставленная, и дальше вы сами подтверждаете подключение. Если отказать в доступе, сканер просто не откроется, а вставка ссылки wc: продолжит работать.

• Что получает сайт. Только то, что вы разрешили при подключении: адрес кошелька вида 0x… и сеть (Ethereum или BNB Smart Chain). Важно: 0x… — это тот же ключ, что и ваш адрес Mx… в Minter, поэтому сайт по нему может узнать ваш Mx… и всю его публичную историю. Подключайтесь только к сайтам, которым доверяете. Это же написано на экране подключения.
• Что идёт через Reown. Связь между приложением и сайтом идёт через сеть WalletConnect, которую обслуживает компания Reown (сторонний сервис, не Deneb). Сообщения сессии — запросы сайта и ваши ответы — зашифрованы, Reown их содержимое не читает. Reown видит служебные данные: ваш IP-адрес, время, идентификатор сессии, размер сообщений. Проверку домена сайта (Verify) тоже делает Reown: он видит IP и адрес сайта. Метаданные сайта (название, адрес, иконка) сайт заявляет сам, Deneb их не проверяет. Передачу телеметрии Reown мы в приложении отключили.
• Что не уходит никогда. Сид-фраза, приватный ключ и пароль никуда не отправляются — ни Reown, ни сайту, ни нам. Сайт получает только результат подписи, которую вы подтвердили, или хеш отправленной транзакции.
• Наш сервер. Балансы, комиссию и отправку подписанных транзакций Ethereum и BNB Smart Chain для Connect приложение выполняет через наш сервис hub-api, а не напрямую через публичные узлы; сервис ходит к ним сам, ваш IP к ним не уходит (раздел 3).
• Где хранятся сессии. Только на вашем устройстве: служебные данные WalletConnect (на Android — база в отдельном процессе приложения; на iOS — ключи сессий в iOS Keychain с флагом «только это устройство» и записи о подключениях в файлах приложения) и краткие данные для экрана «Подключённые приложения» (сеть, кошелёк, время подключения и последнего запроса) в защищённом хранилище системы. Резервные копии Android их не сохраняют; на iOS приложение помечает записи о подключениях как исключённые из резервных копий iCloud и компьютера (ключей в этих записях нет). На наш сервер они не отправляются.
• Как отключить. Настройки → «Подключённые приложения» → «Отключить» у нужного сайта или «Отключить все»; сайт получит сигнал об отключении через Reown. Сессии отключаются сами: при удалении кошелька, смене пароля, «забыть все кошельки», сбросе приложения; через 72 часа без запросов; через 7 дней после подключения. На Android удаление приложения стирает все данные сессий с устройства. На iPhone записи Keychain переживают удаление: краткие данные для экрана «Подключённые приложения» остаются (они исчезают при отключении сайта, удалении кошелька или сбросе приложения), а ключи сессий WalletConnect приложение удаляет само при первом запуске после новой установки, поэтому прежние сессии после неё не работают. Сайты узнают, что сессии больше нет, когда она истечёт.
• Политика Reown. Как Reown обрабатывает данные, написано в его политике конфиденциальности. Наши правила на его серверы не распространяются.

8. Push-уведомления

Уведомления выключены, пока вы сами не включите их, — отдельно для каждого кошелька. Если вы их не включали, ничего из этого раздела не происходит.

• Что хранит наш сервер уведомлений. Когда вы включаете уведомления, приложение создаёт на телефоне случайный идентификатор устройства, случайный секрет и пару ключей шифрования. Наш сервер хранит: идентификатор устройства; хеш секрета; ваш push-токен (на Android — Firebase Cloud Messaging; на iPhone — токен APNs и среда доставки, production или sandbox: она зависит от типа сборки приложения и нужна, чтобы выбрать нужный сервер Apple); открытую половину ключа шифрования; для каждого включённого кошелька — хеш адреса с ключом (не сам адрес) и случайный номер-ссылку; какие типы событий вы хотите получать; время последнего обращения приложения. Имени, e-mail, телефона и IP-адреса нет. События, которые мы отправляем, мы не храним: на сервере они существуют только на время отправки, плюс 24-часовой фильтр повторов, где лежат случайный идентификатор события и хеш.
• Сколько хранится. Выключение уведомлений, удаление кошелька или сброс приложения сразу удаляют соответствующую подписку с нашего сервера. Если приложение не выходит на связь 90 дней или Google (Android) либо Apple (iPhone) сообщает, что push-токен недействителен (например, после удаления приложения), подписка удаляется автоматически; так же удаляется регистрация устройства, если приложение не подтвердило получение первого проверочного сообщения за 10 минут. Резервных копий этих данных нет.
• Что видит Google (Android). Уведомления доставляются через Firebase Cloud Messaging (FCM) — сервис Google. Google получает ваш push-токен, соединение вашего телефона с FCM (его поддерживают сервисы Google Play, включая IP-адрес) и время доставки каждого сообщения. Само сообщение шифруется на нашем сервере ключом, который существует только на вашем телефоне, и дополняется до фиксированного размера: Google не может прочитать тип события, сумму, монету, адрес или транзакцию и не может отличить их друг от друга по размеру. Firebase мы используем только для доставки сообщений — без Firebase Analytics. Вместе с FCM работает служба Firebase Installations: при получении push-токена Google видит идентификатор установки приложения и IP-адрес. Без сервисов Google Play уведомления недоступны.
• Что видит Apple (iPhone). На iPhone уведомления доставляются через Apple Push Notification service (APNs) — сервис Apple. Apple получает ваш токен APNs, соединение вашего iPhone с APNs (включая IP-адрес) и время доставки каждого сообщения; видит и то, что сообщение адресовано приложению Deneb. Тип события, сумму, монету, кошелёк, адрес и транзакцию Apple не видит: наш сервер шифрует содержимое ключом, который существует только на вашем телефоне (RFC 8291, тот же формат, что и для FCM), и дополняет сообщение до фиксированного размера, так что по размеру события тоже не различить. Единственный видимый для Apple элемент сообщения — ключ нейтральной строки («Новое событие в кошельке»), одинаковый для всех событий. Зашифрованный блок расшифровывает на самом телефоне расширение уведомлений (Notification Service Extension) — небольшая отдельная часть приложения, которую iOS запускает перед показом уведомления. Ключ расшифровки лежит в Keychain вашего iPhone в группе, общей для приложения и расширения; сид-фраза, пароль и ключи кошелька в эту группу не попадают, а само расширение в сеть не ходит. Если расширение не успело или не смогло расшифровать сообщение, iOS показывает только нейтральную строку без подробностей: ни типа события, ни суммы, ни кошелька. Подтверждение канала доставки при включении уведомлений мы отправляем отдельным фоновым сообщением без текста: Apple отличает его от обычных уведомлений, но прочитать его не может. Политика конфиденциальности Apple.
• Суммы на экране блокировки. По умолчанию в уведомлении только «Новый входящий перевод» (или «Перевод отправлен», «Выплата через мост завершена»). Если включить в настройках «Показывать суммы», в нём будет, например, «Получено 120 BIP». Этот выбор делается на вашем телефоне: наш сервер в любом случае отправляет одно и то же зашифрованное сообщение и не знает вашей настройки. Показывается ли содержимое уведомлений на заблокированном экране, зависит и от системных настроек.
• Что остаётся видимым. Транзакции в блокчейне публичны. Тот, кто видит, когда пришло уведомление (Google, Apple или любой, у кого есть доступ к вашему разблокированному телефону), может сопоставить это время с транзакцией в блокчейне. Все кошельки, для которых вы включили уведомления на одном телефоне, делят один идентификатор устройства и один push-токен, поэтому наш сервер может понять, что они на одном устройстве. Если вы держите отдельные кошельки ради приватности, включайте уведомления только для тех, которые не боитесь связать.
• Содержимое сообщений. Текст уведомлений берётся только из наших шаблонов. Сообщения, memo и имена, которые другие люди записали в блокчейн, в уведомлении не появляются.

9. Дети

Сервис не предназначен для лиц младше 18 лет; специально данные детей не собираем — впрочем, как и данные взрослых.

10. Изменения политики

Новая версия публикуется по тому же адресу с новыми датой и номером версии; список изменений — внизу документа. Если начнём собирать что-то новое (например, анонимную статистику сбоев), об этом будет отдельное сообщение в приложении и в канале проекта до включения. Так и сделано для статистики приложения (версия 0.9): она включается только в сборке, где есть и это сообщение, и выключатель в Настройках.

11. Контакт

Вопросы о данных и запросы на удаление логов (по IP и периоду) или переписки в чате поддержки — в чате поддержки или по контактам проекта, указанным в условиях использования. В закрытой бете связь с тестерами идёт в закрытом чате.

12. Как удалить свои данные

Аккаунтов у нас нет, поэтому нет и «удаления аккаунта»: ваши данные — это то, что лежит на вашем устройстве, и несколько технических записей на нашем сервере. Ниже — что и как можно удалить самому, что удалится само и чего мы удалить не можем.

Что можно удалить самому

• Уведомления (приложение для Android и iOS). Выключите их для нужного кошелька: Настройки → «Уведомления» → переключатель «Уведомлять о …». Подписка этого кошелька сразу удаляется с нашего сервера. То же происходит, когда вы удаляете кошелёк с устройства или сбрасываете приложение.
• Кошелёк. Удалите кошелёк в приложении: «Кошельки» → кошелёк → «Удалить с устройства»; в веб-кошельке — данные сайта в браузере. Вместе с кошельком с устройства пропадёт и его зашифрованная сид-фраза. На Android то же делает удаление приложения. На iPhone удаление приложения кошельки не стирает (раздел 2), поэтому сначала удалите их в приложении; «Другой кошелёк / забыл пароль» на экране входа удаляет с телефона все кошельки и работает без пароля. Если приложение на iPhone уже удалено, установите его снова: кошельки откроются прежним паролем или биометрией, и их можно стереть так же. Прежде чем удалять, убедитесь, что сид-фраза записана: вернуть кошелёк можно только по ней (раздел 2).
• Статистика приложения. Выключите её в Настройках (раздел «Статистика» → «Анонимная статистика»): новые события перестанут отправляться. Уже отправленные события нельзя привязать к вам (у них нет идентификатора), поэтому удалить их по запросу мы не можем — они удаляются сами через 90 дней.
• Подключённые сайты (Deneb Connect). Настройки → «Подключённые приложения» → «Отключить» у нужного сайта или «Отключить все». Сессии хранятся только на вашем устройстве; удаление приложения на Android стирает их, на iPhone ключи сессий приложение удаляет при первом запуске после новой установки, а краткие данные для экрана «Подключённые приложения» остаются до отключения сайта, удаления кошелька или сброса приложения. Сами сессии заканчиваются при удалении кошелька, смене пароля, сбросе приложения, через 72 часа без запросов и через 7 дней после подключения (раздел 7).
• Чат поддержки. В самом чате нажмите «Удалить переписку»: у нас она стирается сразу, у оператора — в течение недели. Если не удалять, закрытые обращения удаляются автоматически через 90 дней, из резервных копий — ещё через 7 дней. Чат есть на сайте (обозреватель и мост) и в сборках приложения, где он включён. Если вы очистили данные сайта в браузере, доступ к переписке пропал, и удалить её из чата уже нельзя — напишите нам по контакту ниже (раздел 6).

Что удаляется само

• Подписка на уведомления: через 90 дней без обращения приложения или когда Google (Android) либо Apple (iPhone) сообщает, что push-токен недействителен (например, после удаления приложения). Фильтр повторов событий — 24 часа (раздел 8).
• Логи веб-сервера, включая журнал ошибок, а также журнал сервера с логами hub-api и API обозревателя — 14 дней (раздел 4).
• Журнал ретранслятора в России (время, метод, маршрут, код ответа, размер и время обработки, без IP-адресов): 14 дней (раздел 4).
• Технические метрики без IP-адресов и адресов кошельков — 90 дней; события статистики сайта и приложения — до 90 дней (раздел 4).
• Закрытые обращения в чате поддержки — 90 дней, резервные копии — ещё 7 дней (раздел 6).

Чего мы удалить не можем

• Ключи и сид-фразу. У нас их нет: они хранятся только на вашем устройстве и никогда не передаются нам. Поэтому мы не можем ни удалить их, ни восстановить.
• Записи в блокчейне. Транзакции, адреса и суммы публичны и неизменяемы — их не может удалить никто, в том числе мы. Это относится и к адресу получателя в другой сети, который содержит транзакция вывода через мост (раздел 5).
• Данные сторонних сервисов. Reown (WalletConnect), Google (Firebase Cloud Messaging), Apple (Apple Push Notification service) и публичный API обозревателя команды Minter — отдельные сервисы; наши правила на их серверы не распространяются, запросы к ним — по их политикам (разделы 3, 5, 7, 8);политика Apple.

Запрос на удаление

Если нужно удалить что-то, чего нет в списке выше, например логи за определённый период или переписку, до которой у вас больше нет доступа, напишите нам по контактам из раздела «Контакт». Записи в логах привязаны только к IP-адресу и времени, поэтому укажите IP-адрес и период. Сид-фраза, приватные ключи и пароль в такой запрос не нужны — никогда их не присылайте.

История изменений: 0.1 (29 сентября 2026) — первая версия для закрытой беты; 1 октября 2026 — раздел 6 «Чат поддержки»; 6 октября 2026 — раздел 4 «Статистика использования сайта»; 10 октября 2026 — мост в разделе 4: только открытия страниц; 12 октября 2026 — раздел 7 «Deneb Connect» (подключение к сайтам через WalletConnect / Reown); 12 октября 2026 (версия 0.5) — раздел 8 «Push-уведомления» (Firebase Cloud Messaging) и строка в таблице раздела 3; 12 октября 2026 (версия 0.6) — раздел 12 «Как удалить свои данные»; 12 октября 2026 (версия 0.7) — камера: доступ только для сканера QR-кода в Deneb Connect; 14 октября 2026 (версия 0.8) — логотипы валидаторов в приложении с explorer-static.minter.network; 15 октября 2026 (версия 0.9) — статистика использования мобильного приложения (Umami): открытия экранов, версия и платформа, нажатия на уведомления, шаги Deneb Connect; выключатель в Настройках; 16 октября 2026 (версия 0.10) — ретранслятор в России (ru.denebnav.app) как запасной путь: что он видит и что пишет; строка в разделе 3, пункт в разделе 4, строка в «Коротко»; 17 октября 2026 (версия 0.11) — сайт моста: подключение EVM-кошелька на телефоне через WalletConnect / Reown (абзац в разделе 5), хранение сессии (раздел 2), строка в разделе 3 и в «Коротко». 18 октября 2026 (версия 0.12) — ретранслятор в России включается автоматически при недоступности основного адреса, выключателя в Настройках нет; строка в разделе 3, пункт в разделе 4, строка в «Коротко»; 18 октября 2026 (версия 0.13) — Deneb Connect и сканер QR-кода есть и в сборках для iOS: на iOS кадры распознаёт системный AVFoundation (без сторонних библиотек), хранение сессий на iOS (раздел 7, пункт про камеру в разделе 1). 18 октября 2026 (версия 0.14) — статистика использования мобильного приложения есть и на iOS: хост ios.denebnav.app, User-Agent DenebIOS, платформа ios; текст раздела 4 общий для Android и iOS. 18 октября 2026 (версия 0.15) — журнал веб-сервера, принимающего запросы к сайту: что в строке и чего нет, 14 дней, без резервных копий; пункт в разделе 4 и абзац в английской краткой версии. 18 октября 2026 (версия 0.16) — на iPhone записи Keychain переживают удаление приложения: кошельки, настройки и данные Connect остаются, пропадают только поиск и кэши, ключи сессий WalletConnect и записи для уведомлений приложение удаляет при новой установке; как стереть кошельки; разделы 2, 7 и 12 и английская краткая версия. 18 октября 2026 (версия 0.17) — уведомления на iPhone через Apple Push Notification service (APNs): токен APNs и среда доставки на сервере, что видит Apple и как сообщение расшифровывает на телефоне расширение уведомлений, нейтральная строка при сбое; строка APNs в таблице раздела 3, строка notify-api для Android и iOS, Apple в разделах 8 и 12 и в «Коротко», английская краткая версия.