Мы не собираем
ваши данные.

Ничего. У Onym нет серверов, которые хранят ваши данные, и нет системы аккаунтов, где они могли бы храниться. Создание личности происходит целиком на телефоне; результат — криптографические ключи, а не запись в нашей базе данных.

Мы не собираем имена, номера телефонов, адреса почты, списки контактов, геолокацию, идентификаторы устройства, статистику использования и отчёты о сбоях. Нет ни конвейера аналитики Onym, ни рекламы, ни сторонних трекеров или SDK атрибуции внутри приложения.

Ваши приватные ключи, секретная фраза, контакты, участие в группах и история сообщений хранятся локально на устройстве. Секретная фраза из двенадцати слов покидает устройство только если вы сами её запишете или скопируете.

Мы не можем это прочитать. У нас нет копии. Если вы удалите приложение или потеряете устройство без секретной фразы — эти данные пропадут, и мы не сможем их восстановить, потому что у нас их никогда не было.

Onym децентрализован, поэтому ваши сообщения идут через инфраструктуру, которой мы не владеем. Мы предпочитаем говорить об этом честно, а не делать вид, что её нет:

Релеи и медиасерверы. Сообщения и приглашения идут через релеи Nostr; медиа (изображения, видео, голос) хранится на серверах Blossom. Они несут шифротекст — никогда не открытый текст — но оператор релея может видеть метаданные соединения: IP-адрес и время. Для максимальной приватности вы можете указать свои релеи и серверы или поднять их сами.

Сеть Stellar и релеер. Состав группы закреплён в публичной сети Stellar через смарт-контракт; релеер отправляет подписанные транзакции и платит комиссии. Они видят шифротекст и обязательства в блокчейне — не ваши сообщения и не то, кто из участников отправил конкретное сообщение. Поднимите свой релеер и переключитесь на него в любой момент.

Магазин приложений и ОС. Загрузка и обновление приложения идут через App Store (или Google Play на Android) с их собственными политиками конфиденциальности, которые мы не контролируем.

Полный разбор того, кто что видит, — на странице модели угроз.

Каждое отправленное вами сообщение подписано вашим ключом личности. Подпись идёт вместе с сообщением, поэтому любой, кто его получил, может доказать третьей стороне — органу модерации, суду, журналисту, кому угодно — что владелец этого ключа написал именно эти слова. Отказаться от авторства позже нельзя, и забрать доказательство обратно тоже нельзя.

Это осознанный размен и цена возможности пожаловаться на злоупотребление. Жалоба должна нести доказательство, от которого обвиняемый не сможет отречься и которое обвинитель не сможет подделать. Если бы получатель мог изготовить такое доказательство сам, подставить можно было бы кого угодно; если бы его не мог изготовить никто, травля была бы неоспорима. Третьего варианта нет, и мы выбрали тот, где обвинение можно проверить.

Ваша личность — это публичный ключ, а не имя. Это не аккаунт, не номер телефона и не адрес почты, и ничто в Onym не связывает его с вами. Доказательство говорит «этот ключ написал вот это» — оно не говорит, кто владеет ключом. Доказательством про вас оно становится только если ключ уже связан с вами чем-то вне Onym: вы его опубликовали, использовали где-то ещё, кому-то назвали, или кто-то сопоставил данные. Считайте свой ключ личности публичным и долгоживущим — в этом отношении он так себя и ведёт.

Это касается каждого сообщения, а не только тех, на которые пожаловались, и не только случая, когда вы согласились на орган модерации. Подпись существует независимо от того, посмотрит ли на неё кто-нибудь когда-нибудь.

Чего это не делает: сообщение не становится доступно тем, кого не было в переписке. Подпись находится внутри шифрования, релеи по-прежнему несут только шифротекст. Меняется то, кто может доказать авторство уже имеющегося у него сообщения, а не то, кто может его прочитать.

У нас нет аккаунтов, хранилища сообщений и социального графа. Если мы получим юридический запрос на данные пользователя, честный ответ — предоставлять нечего. Единственное общее состояние — публичный смарт-контракт, который и так может прочитать любой.

Onym не предназначен для детей и не собирает сведения ни о ком осознанно — потому что не собирает никаких сведений вообще.

Если политика изменится, обновлённая версия будет опубликована здесь с новой датой. Существенные изменения отметим в списке изменений.

Вопросы о приватности? Пишите на lead@onym.app. Исходный код открыт во всех репозиториях Onym — проверьте эти утверждения сами.