Polityka prywatności

1. Kim jesteśmy

Hoekedex tworzą i udostępniają twórcy Hoekedex („my”). Możesz pisać do nas na info@hoekedex.net: w sprawach prywatności, żeby zgłosić nadużycie, i we wszystkich innych sprawach.

Hoekedex jest zbudowany inaczej niż większość aplikacji. Nie ma kont ani bazy danych. Wszystko, co tworzysz w aplikacji, jest na twoim własnym telefonie. Nie widzimy tego, nie możemy tego zmienić ani odzyskać za ciebie. Przetwarzamy coś tylko w relayu (rozdziały 3–6), przy sprzedaży kodów licencyjnych (rozdział 9) i na tej stronie (rozdział 10).

2. Co jest na twoim telefonie

Przy pierwszym uruchomieniu twój telefon sam tworzy dwie pary kluczy. Wynika z nich twoje ID: losowy kod z 26 znaków, z którego nikt nie wyczyta, kim jesteś. Wszystkie twoje dane są w sejfie na twoim urządzeniu, w pamięci aplikacji albo przeglądarki.

Twoje karty mogą zawierać wrażliwe informacje, na przykład o twoim życiu seksualnym. Te informacje nie opuszczają telefonu, chyba że w kopii zapasowej, którą robisz samodzielnie i która jest zaszyfrowana hasłem znanym tylko tobie.

3. Co widzi i przechowuje relay

Telefony nie zawsze mogą połączyć się bezpośrednio. Dlatego istnieje mały serwer, relay, który przekazuje zapieczętowane koperty między telefonami.

Co przetwarza relay

• Twoje ID i klucze publiczne. Przy łączeniu twój telefon podpisem udowadnia, że ID należy do ciebie.
• Twój adres IP, jak przy każdym połączeniu z internetem, także przy zestawianiu połączenia bezpośredniego (zapytanie STUN z rozdziału 4).
• Kiedy masz połączenie i czy aplikacja jest otwarta.
• Do jakiego ID wysyłasz kopertę i jak jest duża.
• Zawartość koperty, ale jest ona szyfrowana end-to-end. Relay nie może jej otworzyć.

Co przechowuje relay

• Co do zasady nic na dysku. Wszystko jest w pamięci roboczej i znika, gdy tylko relay się zrestartuje. Jedynym wyjątkiem są powiadomienia (rozdział 6).
• Skrzynka: jeśli odbiorca jest offline, a wiadomość może poczekać (wiadomość tekstowa, zaproszenie do znajomych, aktualizacja grupy), zaszyfrowana koperta zostaje w pamięci najwyżej 24 godziny, maksymalnie 300 wiadomości i 4 MB na odbiorcę. Po doręczeniu jest od razu usuwana. Z udostępnianej lokalizacji skrzynka trzyma tylko najnowszą.
• Status online: relay mówi, czy jesteś online, tylko komuś, kogo dodajesz ty i kto dodał też ciebie, i tylko jeśli się nie zablokowaliście.
• Logi: tylko liczby, na przykład ile połączeń jest otwartych. Nigdy ID, adresy IP ani treść.

Używamy tych danych tylko do doręczania wiadomości i ochrony relaya przed przeciążeniem. Podstawa prawna: nasz prawnie uzasadniony interes i umowa z tobą, żeby aplikacja działała.

4. Czat, grupy, pokoje gier i Nocny aparat

Czat i snapy

Wiadomości i snapy idą, gdzie się da, przez bezpośrednie połączenie między waszymi telefonami (WebRTC), szyfrowane end-to-end. To, co oboje już widzieliście, znika po zamknięciu czatu. Snapa można obejrzeć tylko raz.

• Żeby zestawić połączenie bezpośrednie, twój telefon pyta nasz własny relay o swój publiczny adres (zapytanie STUN). Nie bierze w tym udziału żadna firma trzecia, a poza zaszyfrowanym połączeniem ze znajomym nic nie opuszcza twojego telefonu.
• Przy połączeniu bezpośrednim wasze telefony widzą nawzajem swoje adresy IP. Tak działa peer-to-peer. Dlatego czatuj tylko z zaufanymi osobami.

Grupy

Grupa jest na telefonach członków: czat grupowy, wyzwania i ranking. Każda zmiana jest podpisana przez autora i trafia zaszyfrowana przez relay do wszystkich pozostałych członków. Także członkowie, których nie masz w znajomych, dostają twoje imię, kolor i to, co robisz w tej grupie.

Pokoje gier

Pokój gier to tymczasowy pokój na jedną grę. Istnieje tylko w pamięci telefonu osoby, która go tworzy; nic nie jest zapisywane. Współgracze widzą się tylko jako imię i kolor. Tajne informacje w grze, jak słowo albo rola, trafiają tylko do gracza, dla którego są przeznaczone. Własny quiz zostaje na telefonie twórcy. Pokój kończy się, gdy twórca go zamknie, zniknie na dłużej niż 2 minuty albo po 3 godzinach.

Nocny aparat

Nocnym aparatem członkowie grupy robią zdjęcia przez jeden wieczór. Zostają na telefonie osoby, która je zrobiła, i są udostępniane dopiero po wywołaniu, bezpośrednio między telefonami grupy, szyfrowane end-to-end. Jeśli połączenie bezpośrednie nie działa, relay przekazuje zaszyfrowane kawałki na żywo, nie zapisując ich ani nie wkładając do skrzynki. Zdjęcia nie zawierają lokalizacji ani innych metadanych i nie trafiają do kopii zapasowych. Swoje zdjęcia możesz kazać usunąć u wszystkich.

Uwaga: nie możemy zablokować zrzutów ekranu. Wysyłaj i udostępniaj tylko to, co możesz pokazać także na żywo, i zapytaj, zanim zrobisz komuś zdjęcie.

5. Radar i Radar znajomych

Wszyscy w pobliżu

Ten radar jest wyłączony, dopóki go nie włączysz, zawsze z timerem od 15 minut do 2 godzin. Potem sam się wyłącza.

• Twój telefon przelicza twoją lokalizację na pole: Blisko (ok. 50 metrów) albo Okolica (ok. 1 km). Tylko to pole trafia do relaya i tylko wtedy, gdy aplikacja jest otwarta. Twoja dokładna lokalizacja nie opuszcza telefonu.
• Po zamknięciu aplikacji twoje ostatnie pole pozostaje widoczne do końca timera. Nikt nie śledzi cię w tle.
• Inni w pobliżu widzą twoje imię, poziom trenera, kolor i rzadkość twojej najrzadszej karty, z tymczasowym, losowym kodem. Twoje prawdziwe ID pozostaje ukryte, dopóki oboje nie pomachacie; wtedy relay wymienia wasze ID i klucze publiczne, żebyście zostali znajomymi.
• Jeśli w pobliżu są mniej niż trzy inne osoby, nikt nikogo nie widzi. Kogo zablokujesz, tego nie widzisz, a on nie widzi ciebie.
• Relay zapomina o tobie, gdy tylko skończy się timer albo wyłączysz radar.

Radar znajomych

Radarem znajomych udostępniasz swoją lokalizację znajomym albo grupie, którą wybierzesz.

• Dla każdej osoby wybierasz Dokładnie (ok. 10 metrów) albo W przybliżeniu (ok. 1 km) i jak długo: od godziny do dwóch tygodni, do konkretnej daty, do końca grupy albo „zawsze” z cotygodniowym przypomnieniem.
• Uruchomienie, dodanie kogoś, wybór Dokładnie i długie udostępnianie wymagają PIN-u, Face ID albo odcisku palca.
• Twoja lokalizacja jest wysyłana tylko przy otwartej aplikacji, szyfrowana end-to-end dla każdej osoby. Relay nie może jej odczytać i trzyma najwyżej najnowszą jeszcze niedoręczoną. Nikt nie prowadzi historii.
• W „Kto mnie widzi?” zawsze widzisz, z kim się dzielisz. „Ukryj mnie teraz” zatrzymuje wszystko jednym stuknięciem; inni widzą tylko, że przestajesz udostępniać.
• Ustawienia są tylko na twoim telefonie i nie trafiają do kopii zapasowej, żeby udostępnianie nigdy samo nie ruszyło od nowa.

Podstawa prawna obu radarów: twoja zgoda, którą wyrażasz, włączając je, i cofasz, wyłączając. Przeczytaj też jak używać radaru z głową.

6. Powiadomienia

Powiadomienia są wyłączone, dopóki ich nie włączysz. Powiadomienie mówi tylko, że coś na ciebie czeka (wiadomość, machnięcie, match, radar się wyłączył), nigdy co ani od kogo. Relay też tego nie wie.

• Jeśli włączysz powiadomienia, relay przechowuje twoje ID, adres powiadomień twojego telefonu, dwa klucze twojej przeglądarki, czas ostatniego odświeżenia i ewentualnie godzinę przypomnienia. Nic więcej. Żeby powiadomienia działały też po restarcie, może to być zapisane w pliku na serwerze.
• Jeśli wyłączysz powiadomienia albo twój telefon nie odświeży ich przez 30 dni, dane są usuwane.
• Powiadomienie idzie przez usługę twojego telefonu: Apple, Google albo Mozillę. Widzą one tylko, że wysłano zaszyfrowane powiadomienie o stałym rozmiarze, a nie, co w nim jest.
• Na iPhonie powiadomienia działają tylko wtedy, gdy Hoekedex jest na ekranie początkowym (iOS 16.4 lub nowszy).

Podstawa prawna: twoja zgoda.

Nowości i specjale. Jeśli włączysz to powiadomienie (domyślnie jest wyłączone), relay przechowuje jedną flagę przy twojej subskrypcji push, żeby kilka razy w roku dać znać, że zaczyna się Świąteczny special. Gdy je wyłączysz, flaga znika.

Świąteczne speciale. Żeby odblokować special, aplikacja pyta relay o datę, wysyłając prośbę podpisaną twoim identyfikatorem Hoekedex. Relay odsyła podpisany dowód i niczego więcej nie zapisuje.

7. Co masz pod kontrolą

• Blokada aplikacji: jeśli ustawisz PIN, twój sejf jest szyfrowany (AES-GCM, kluczem z PIN-u przez PBKDF2 z 600 000 rund). Domyślnie aplikacja blokuje się ponownie po 5 minutach w tle.
• Face ID albo odcisk palca: oprócz PIN-u możesz otwierać aplikację przez Face ID, Touch ID albo odcisk palca. Działa to przez passkey na twoim telefonie; klucze zostają na telefonie i nic nie trafia do nas ani do relaya. Uwaga: kto przejdzie zabezpieczenia twojego telefonu, także kodem, może wtedy otworzyć aplikację.
• Kopia zapasowa: plik .hoekedex zaszyfrowany osobnym hasłem do kopii. Ty wybierasz, gdzie go trzymasz, na przykład w iCloud Drive, na Dysku Google albo w Plikach. Te usługi widzą tylko zaszyfrowany plik. Jeśli zgubisz hasło, nikt już nie otworzy kopii, my też nie.
• Blokowanie: twój telefon wyrzuca wszystko, co ta osoba wysyła, a relay niczego już nie przekazuje, nie udostępnia twojego statusu online i nie pokazuje was sobie na radarze.
• Wymaż wszystko: przez „Wymaż wszystko” w aplikacji, usunięcie aplikacji albo wyczyszczenie danych strony aplikacji w przeglądarce. Znajomi i członkowie grup zachowują to, co już im udostępniono, dopóki sami tego nie usuną; wcześniej możesz kazać usunąć wszędzie swoje zdjęcia z Nocnego aparatu.

8. Gry, alkohol i Ekstremalny

Gry mają poziomy od Niewinnego do Gorącego. Ekstremalny jest wyłączony, dopóki dorosła osoba nie włączy go w Ustawieniach, a wszyscy grający najpierw potwierdzają. Tryb picia i wybrane poziomy to ustawienia na twoim telefonie; nic z tego nie przetwarzamy. Treści gier, jak pytania i zadania, są wbudowane w aplikację; Pakiet dla par jest dostarczany jako zaszyfrowany pakiet i otwierany na twoim telefonie.

9. Zakupy

Płatne dodatki (motywy, Hoekedex Pro, Pakiet dla par i Letnia przepustka) pojawią się później. Do tego czasu niczego w Hoekedex nie kupujesz, a ten rozdział jeszcze nie obowiązuje.

• App Store i Google Play: Apple i Google obsługują płatność według własnych zasad prywatności. Aplikacja dowiaduje się tylko, jaki produkt został kupiony, i zapisuje to na twoim telefonie. Nie dostajemy od nich żadnych danych z twojego Hoekedex ani danych płatniczych.
• Kody licencyjne: kod jest sprawdzany na twoim telefonie podpisem cyfrowym. Aplikacja niczego przy tym nie zgłasza. Przy zakupie kodu twój adres e-mail (żeby wysłać kod) i dane płatnicze przetwarza operator płatności. Zachowujemy tylko to, co musimy przechowywać dla księgowości zgodnie z prawem.

10. Ta strona i pobieranie

Ta strona nie używa ciasteczek, analityki, trackerów ani czcionek czy skryptów od innych firm. Pamięta tylko, w twojej własnej przeglądarce, czy podpowiedź językowa została zamknięta. Strona jest dostarczana przez Cloudflare. Jak każdy hosting, Cloudflare przetwarza dane techniczne, takie jak twój adres IP, żeby dostarczyć strony i pobieranie aplikacji oraz blokować ataki. Nie włączamy tam żadnych statystyk odwiedzin.

11. Dane o innych osobach

Na swoich kartach zapisujesz informacje o innych osobach. Dopóki są tylko na twoim telefonie i używasz ich dla siebie, to użytek osobisty. RODO co do zasady się do tego nie stosuje (wyjątek dla działalności czysto osobistej). My nigdy nie dostajemy tych danych.

Jeśli udostępniasz informacje albo zdjęcia innej osoby, na przykład zrzutem ekranu albo w Nocnym aparacie, odpowiadasz za to ty. Rób to tylko za zgodą. Przeczytaj też zasady.

12. Jak długo co jest przechowywane

13. Twoje prawa

Zgodnie z RODO masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu i przenoszenia. Ponieważ nie mamy kont ani bazy danych, prawie wszystkie twoje dane są na twoim własnym telefonie. Tam możesz je samodzielnie przeglądać, zmieniać i usuwać. Tego, co relay ma przez chwilę w pamięci, nie jesteśmy w stanie powiązać z tobą.

Z pytaniami albo wnioskami pisz na info@hoekedex.net. Odpowiadamy w ciągu miesiąca. Jeśli się z nami nie zgadzasz, możesz złożyć skargę do organu ochrony danych w swoim kraju; w Holandii jest to Autoriteit Persoonsgegevens.

Hoekedex jest tylko dla osób, które mają co najmniej 18 lat.

14. Bezpieczeństwo

• Klucze: ECDSA P-256 do podpisywania i ECDH P-256 do uzgadniania kluczy, tworzone na twoim własnym telefonie.
• Wiadomości, lokalizacje i zdjęcia między telefonami: AES-256-GCM z kluczem, który mają tylko dwa telefony (wyprowadzonym przez HKDF-SHA256).
• Grupy: każde zdarzenie jest podpisane przez autora, a każdy telefon sprawdza ten podpis.
• Nocny aparat: każde zdjęcie jest sprawdzane z odciskiem (SHA-256) z podpisanej wiadomości osoby, która je zrobiła.
• Kod kontrolny: porównajcie na żywo 24-cyfrowy kod, żeby mieć pewność, że rozmawiacie z właściwą osobą.
• Połączenie z relayem jest szyfrowane (TLS).

Żaden system nie jest szczelny w stu procentach. Jeśli znajdziesz problem z bezpieczeństwem, zgłoś go na info@hoekedex.net.

15. Zmiany i kontakt

Jeśli zmieni się coś w tym, jak Hoekedex obchodzi się z danymi, aktualizujemy tę politykę i wpisujemy na górze nową datę. Duże zmiany pokazujemy też w aplikacji.

Kontakt: info@hoekedex.net.