Политика конфиденциальности NCraft

Действует с: 26 октября 2026 г. · NCraft для macOS (live.ncraft.browser), NCraft для iPhone и NCraft для Android (live.ncraft.mobile) и NCraft для Windows — из App Store (в том числе TestFlight), Mac App Store, Google Play, Microsoft Store или скачанный напрямую (в том числе приложение для Android с dl.ncraft.live) · Разработчик: Александр Павлов (Aleksandr Pavlov), физическое лицо («мы») · Связь: support@ncraft.live

Это перевод. Юридическую силу имеет английский текст; при расхождении действует он.

Коротко

• В NCraft нет учётных записей, паролей и сервера, который хранил бы ваши данные. Ваша личность — ключ, созданный на вашем устройстве.
• Резерв 24 слов лежит в вашей связке ключей iCloud (Mac, iPhone) или в диспетчере учётных данных Windows, а не на наших серверах. NCraft для Android резерва в облаке не хранит.
• Сообщения, заметки и задачи идут напрямую между устройствами участников группы и зашифрованы из конца в конец. Мы их прочитать не можем.
• Голосовые звонки идут между устройствами звонка в зашифрованном виде. Через наши серверы они не проходят и не записываются. Микрофон работает только во время звонка.
• Три наших сервера встречи помогают устройствам найти друг друга. Они видят сетевые адреса, но не содержимое, не имена и не группы, и ничего не пишут на диск.
• В NCraft нет аналитики, рекламы и слежки. Единственный сторонний SDK — Google Firebase Cloud Messaging в NCraft для Android, и он нужен только чтобы будить телефон ради уведомлений и звонков (раздел 3).
• Метка приватности NCraft в App Store — «Данные не собираются».

Ниже — что именно покидает устройство, кто это видит, как это защищено и как это удалить.

1. Ваша личность

При первом запуске NCraft создаёт на устройстве:

• ключ личности (Ed25519), который NCraft показывает вам 24 словами;
• ключ устройства, который нельзя скопировать с устройства: на Mac и iPhone он хранится в Secure Enclave; на Android — в Android Keystore, в защищённом оборудовании телефона; на Windows — в TPM, а на компьютере без пригодного TPM — в программном хранилище ключей Windows.

Ни ключи, ни 24 слова к нам не попадают. Ключ личности хранится в зашифрованной базе NCraft на устройстве (раздел 7), поэтому устройство, на котором он есть, может снова показать вам слова.

Резерв 24 слов. Чтобы личность можно было вернуть на новом устройстве, устройство с ключом личности хранит резерв 24 слов вместе с подписанным списком ваших устройств в хранилище паролей платформы:

• на Mac и iPhone — в связке ключей iCloud, которую Apple синхронизирует между вашими устройствами с тем же Apple ID;
• на Windows — в диспетчере учётных данных Windows (Credential Locker) вашего пользователя Windows. Если вы входите в Windows с учётной записью Microsoft и синхронизация паролей включена, Windows может перенести его на другие ваши компьютеры; с локальной учётной записью он остаётся на этом компьютере;
• NCraft для Android резерва в облаке не хранит: держите 24 слова записанными.

Резерв к нам не попадает. Тот, кто может открыть вашу связку ключей iCloud или вашу учётную запись Windows, может по резерву забрать вашу личность, поэтому берегите эти учётные записи так же, как слова. Удалить резерв можно, когда вы забываете личность (раздел 8).

В профиле — имя (обязательно), ник и аватар (по желанию). Их видят все группы, в которых вы состоите, — чтобы участники вас узнавали. Почта в профиле остаётся на устройстве и никуда не отправляется — разве что вы сами впишете её в жалобу нам (раздел 6).

2. Что видят люди в ваших группах

Группа — люди, которые сами решили общаться друг с другом. Всё, что вы публикуете в группе, — сообщения, темы, заметки, задачи, реакции — шифруется на вашем устройстве (MLS, RFC 9420) и доставляется на устройства участников. Каждый участник хранит свою копию. Когда вы связываете ещё одно своё устройство, оно получает ваши группы и их историю.

• Страницы. Когда вы начинаете тему или заметку на странице сайта, в группу попадает адрес страницы без параметров запроса и якоря — чтобы участники могли её открыть. Просто посещение сайта в группу ничего не отправляет. Приватные вкладки ничего не добавляют в группы.
• Прямые соединения. Когда ваше устройство соединяется с другим напрямую (сообщения, синхронизация, связывание, звонки), оно узнаёт ваш IP-адрес — как при любом соединении «точка-точка».
• Голосовые звонки. Позвонить можно человеку или группе до шести человек. Микрофон работает только во время звонка, который вы начали или приняли. Голос идёт на другие устройства звонка по тому же зашифрованному соединению, что и сообщения (DTLS, подтверждённый ключом устройства), — напрямую или через ретранслятор группы, если он у группы есть (раздел 3). Наши серверы его не передают и не видят. Разговоры не записываются. В режиме Push-to-talk голос уходит, только пока вы держите клавишу или кнопку и только пока окно NCraft активно; клавиатуру в других программах NCraft не слушает.
• Удалённые действия. Участники ваших групп могут обращаться к вашему NCraft, но только в пределах выданных вами прав. По умолчанию участник может указать или подсветить место на открытой у вас странице и читать данные этой группы. Видеть ваши вкладки и адреса страниц, прокручивать, переходить, вводить, нажимать, писать от вашего имени, брать и сохранять файлы на вашем диске, читать логи — выключено, пока вы не включите; вкладки и диск выдаются только отдельному человеку, не всей группе, а опасные права — после ввода подтверждающего слова. Политика группы может ваши права только сузить, но не расширить. Приватные вкладки удалённым запросам не видны никогда. Пока кто-то показывает или действует на вашем экране, NCraft называет его и показывает кнопку «Стоп». Журнал удалённых запросов хранится на устройстве 30 дней. Любое право меняется или отзывается для группы и для отдельного человека в разделах «Права» и «Права участника».
• Логи. Ваши диагностические логи видит другой человек, только если вы выдали право — с уровнем, который выбираете вы, и, если хотите, со сроком; по умолчанию он видит только ошибки и предупреждения. Логи собираются только из заданных названий событий, чисел и хешей, которые меняются при каждом запуске: в них никогда не попадают коды приглашений и сопряжения, цифры сверки, ваши 24 слова, ключи, токены, пароли, имена, тексты сообщений и адреса страниц. Читающий ваши логи видит только события этой группы и свои запросы, но техническая активность — например, когда и как часто ваше устройство синхронизируется с группой, — ему видна.
• Боты. Бот — участник группы, которого запускает человек (обычно владелец группы) на своём компьютере или сервере. Он получает то же, что участник, и действует только в пределах своих прав. Что бот делает с полученным, в том числе передаёт ли его в другие сервисы, решает тот, кто его запустил. Мы ботов в ваши группы не добавляем.

3. Что видят наши серверы и ретрансляторы

Серверы встречи. NCraft использует три сервера встречи (asia.ncraft.live в Сингапуре и eu.ncraft.live во Франции, оба у провайдера Contabo, и ru.ncraft.live в России, у провайдера Selectel) только чтобы устройства нашли друг друга, открыли прямое соединение, обменялись кодами приглашений и будили друг друга (уведомления и звонки). Ваше устройство подключается к тому из них, который ответит первым; ru.ncraft.live нужен тем, кому два других недоступны. На всех трёх работает одна и та же программа, и устроены они одинаково.

• Они видят IP-адрес, размеры и время пакетов и короткоживущие случайные идентификаторы, по которым устройства одной группы находят друг друга (они меняются каждый час). Они не видят, кто вы, ваше имя, в каких вы группах, и не видят содержимого: ключей у них нет.
• Эти сведения хранятся только в памяти, секунды и минуты (например, запись присутствия живёт 90 секунд), на диск не пишутся, запросы не журналируются. Хранятся лишь общие счётчики без адресов.
• Когда вы приглашаете человека кодом, сервер держит окно приглашения и передаёт зашифрованный обмен ключами между двумя устройствами; вы оба сверяете шесть цифр, чтобы убедиться, что посередине никого нет.
• Чтобы участники, подключённые к разным серверам, всё равно нашли друг друга, три сервера передают друг другу случайные идентификаторы подключённых к ним устройств, открытые окна приглашений и зашифрованные сигналы между устройствами — и больше ничего. Эти копии тоже хранятся только в памяти, не дольше 75 минут, и забываются, когда связь между двумя серверами обрывается.

Уведомления на macOS. Если вы разрешили уведомления на Mac, NCraft может разбудить его, когда он не на связи. Mac получает от Apple адрес для уведомлений; наш сервер возвращает его запечатанным серверным ключом, и запечатанный адрес в зашифрованном виде расходится по вашим группам. Когда устройству участника нужно разбудить ваше, оно отправляет нашему серверу запечатанный адрес и зашифрованное тело (вид события, группа, автор и место — никогда не текст сообщения); сервер вскрывает адрес и передаёт тело в службу уведомлений Apple (APNs). Наш сервер видит адрес для уведомлений и время отправки, прочитать тело не может и не хранит ни того, ни другого. На какие события будить участников, решает владелец группы; свои уведомления вы можете убавить. NCraft для Windows показывает уведомления, только пока запущен, и службой push не пользуется.

Уведомления и звонки на iPhone. На iPhone NCraft будит устройство так же, как Mac, через службу уведомлений Apple. Для входящих звонков iPhone получает от Apple второй адрес — для звонков (VoIP push, PushKit); он запечатывается и расходится по группам так же. Когда участник звонит вам, а NCraft закрыт, его устройство будит ваш iPhone через этот адрес: система сразу показывает экран звонка, а кто звонит, номер звонка и группа идут в теле, зашифрованном ключом группы, — наш сервер видит только адрес, время и то, что это звонок или его окончание. Если вы ответили на другом устройстве или звонок отменили, тем же путём приходит знак окончания, и экран звонка гаснет. Звонки NCraft не попадают в журнал вызовов телефона.

Уведомления и звонки на Android. Когда в NCraft для Android есть ваша личность, он получает от Google Firebase Cloud Messaging (FCM) адрес для пробуждения (токен); чтобы выдать его, библиотека FCM от Google регистрирует установку приложения у Google. Как и на Mac, наш сервер возвращает токен запечатанным ключом сервера, и запечатанный адрес в зашифрованном виде расходится по вашим группам; списка адресов у нашего сервера нет. Когда устройству участника нужно разбудить ваше — ради сообщения, упоминания, звонка или его окончания, — оно отправляет нашему серверу запечатанный адрес и зашифрованную нагрузку (вид события, группа, автор и место — никогда не текст сообщения), а сервер распечатывает адрес и передаёт нагрузку в FCM. Нагрузка зашифрована ключом группы: ни Google, ни наш сервер её не прочитают. Google видит токен, время и размер сообщения, его вид (показать, разбудить тихо или снять звонок) и случайную метку, новую на каждое пробуждение. Ни адрес, ни нагрузку наш сервер не хранит; если Google сообщает, что адрес больше не действует, сервер держит в памяти только его отпечаток, до 10 минут, чтобы не пробовать его снова. Если вы выключили уведомления, пробуждение только даёт NCraft забрать новое и ничего не показывает. На телефоне без сервисов Google токена нет, и NCraft забирает новое в фоне примерно раз в 15 минут.

Ретрансляторы групп (TURN). Если прямой путь закрыт, владелец или администратор группы может подключить свой сервер-ретранслятор. Тогда сообщения и звонки этой группы могут идти через него. Ретранслятор видит IP-адреса соединений группы, объём и время трафика, но только зашифрованные данные. Такие серверы мы не держим и не контролируем.

4. Браузер

NCraft — браузер на системном движке: Apple WebKit на macOS и iPhone, Android System WebView на Android и Microsoft Edge WebView2 на Windows. Сайты получают то же, что от любого браузера (IP-адрес, свои cookie и т. п.), и действуют по своим политикам.

• История, поисковые запросы, cookie и данные сайтов хранятся на вашем устройстве. Приватные вкладки после закрытия ничего не хранят.
• Запросы из адресной строки уходят в поисковик: на Mac и iPhone — выбранный в настройках системы, а если NCraft не может прочитать эту настройку, — DuckDuckGo; на Android — DuckDuckGo; на Windows — выбранный в NCraft (Google, если вы не выбрали Bing, Yahoo, Ecosia или DuckDuckGo).
• Сайты могут запросить местоположение, камеру или микрофон. На Mac и iPhone это обычные запросы системы; на Windows и Android сначала спрашивает NCraft, затем действуют настройки конфиденциальности системы. Доступ NCraft к местоположению, камере и микрофону можно выключить в любой момент в настройках системы (на Windows — «Параметры» → «Конфиденциальность и защита»).
• На Windows WebView2 — компонент Microsoft Edge, который устанавливает и обновляет Microsoft. Как и Microsoft Edge, он может проверять адреса страниц и загрузок через Microsoft Defender SmartScreen и отправлять диагностические данные Microsoft — по настройкам Windows и по Заявлению о конфиденциальности Microsoft.
• На Android Android System WebView — компонент, который устанавливает и обновляет Google через Google Play. Он может проверять адреса страниц через Google Safe Browsing — по Политике конфиденциальности Google.

5. Камера, микрофон и местоположение у самого NCraft

• Микрофон — только во время голосового звонка (раздел 2).
• Камера — только пока открыт скан QR-кода, например при связывании своих устройств или приглашении человека рядом. Кадры обрабатываются на устройстве, не сохраняются и не покидают его.
• Местоположение — сам NCraft им не пользуется никогда. Запросить его могут только сайты (раздел 4).

6. Жалобы и блокировка

• Блокировка скрывает содержимое человека на ваших устройствах. Список заблокированных хранится только на них.
• Жалоба на человека или сообщение уходит владельцу группы в зашифрованном виде — он её и разбирает. Если выбрать ещё «Также сообщить разработчику», откроется письмо на abuse@ncraft.live в вашей почте; мы получим только то, что вы решите отправить, со своего почтового адреса.

7. Данные на устройстве и их защита

Группы, история и настройки хранятся в зашифрованной базе (SQLCipher). Её ключ защищает система: на Mac и iPhone он в связке ключей только этого устройства; на Android — в файле, зашифрованном ключом из Android Keystore, а резервное копирование Android для NCraft выключено; на Windows — в файле, зашифрованном DPAPI для вашей учётной записи Windows. Резервных копий групп, истории и настроек NCraft никуда не выгружает; единственный резерв — резерв 24 слов (раздел 1). Содержимое передаётся зашифрованным из конца в конец (MLS — группы, Noise — соединения с серверами и устройствами, DTLS — звонки).

Только в сборках для Mac и Windows, скачанных напрямую (не в App Store, не в Google Play и не в Microsoft Store): владелец группы может поставить бота или ретранслятор TURN на свой сервер по ssh. Адреса серверов и ключи ssh хранятся на устройстве (на Windows — под DPAPI), сборка бота скачивается с asia.ncraft.live и проверяется нашей подписью, а секрет ретранслятора уходит только на ваш сервер и в настройки вашей группы.

Программы на этом компьютере. У NCraft есть локальный интерфейс: через него программы на этом же компьютере пользуются NCraft в тех же пределах прав, что и участники групп. По умолчанию он выключен. Если включить его после предупреждения, он слушает только внутренний адрес компьютера (127.0.0.1), требует показанный вам секретный токен, никогда не даёт доступа к личности, ключам, файлам на диске, логам и удалению и зажигает ту же плашку с кнопкой «Стоп», что и удалённые действия. Выключение его закрывает; «Забыть личность» стирает и токен.

8. Удаление данных

• «Забыть личность на этом устройстве» (в профиле) удаляет с этого устройства личность, базу и её ключ. На Windows — ещё историю браузера, cookie и данные сайтов и ключ устройства. Галочка, включённая по умолчанию, удаляет и резерв 24 слов из связки ключей iCloud или из диспетчера учётных данных Windows (раздел 1). Резерв общий для ваших устройств этой учётной записи: если галочку снять, он останется и сможет вернуть личность, а устройство, на котором ещё есть ключ, сохранит его снова.
• Покиньте группу, чтобы перестать её получать. Автор может удалить у всех своё сообщение; владелец и администраторы группы — убрать чужие сообщения и исключить участников; владелец — закрыть группу у всех.
• Копии, которые участники уже получили, остаются у них — как в любом приложении со сквозным шифрованием. У нас копии нет, удалять нечего.
• Удалить данные с наших серверов: их там нет. Если вы писали нам, попросите удалить письмо (раздел 10).

Пошагово: Удаление данных.

9. Дети

NCraft — инструмент для работы и не предназначен для лиц младше 18 лет: в нём неограниченный доступ в интернет и обмен содержимым между участниками группы, поэтому в App Store он отнесён к взрослой категории. Пользоваться NCraft можно с 18 лет (см. Пользовательское соглашение). Мы сознательно не собираем сведений о детях — через приложение мы вообще ни о ком их не собираем. См. также Защита детей.

10. Что к нам всё-таки попадает

• Письма на support@ncraft.live и abuse@ncraft.live: ваш адрес и то, что вы написали или приложили. Используем только чтобы ответить и разобрать жалобу, храним 12 месяцев после закрытия обращения (жалобы о сексуальном насилии над детьми — столько, сколько требует закон). Входящая почта ncraft.live размещена у Apple (iCloud), ответы уходят через Namecheap (Private Email).
• Статистика магазинов. Apple, Google и Microsoft могут передавать нам общую статистику установок и, если вы согласились на это в настройках системы, отчёты о сбоях. Отчёты о сбоях на Mac и iPhone обрабатывает Apple по своей политике, на Android — Google Play (Android vitals: сбои и зависания) по Политике конфиденциальности Google, на Windows — служба отчётов об ошибках Windows по Заявлению о конфиденциальности Microsoft. Используем их только чтобы чинить NCraft.
• Тестирование. Если вы тестируете NCraft через TestFlight или тестовый канал Google Play, мы видим адрес почты, на который пришло приглашение, а Apple или Google могут передавать нам то, что собирает их служба тестирования: какую сборку и когда вы поставили, отчёты о сбоях, а также отзывы и снимки экрана, которые вы решите отправить. Используем это только чтобы вести тест и чинить NCraft.
• Этот сайт. ncraft.live не ведёт журналов посетителей и не использует аналитику. Он ставит одну cookie, lang, — только если вы переключили язык, чтобы запомнить выбор. Выбранная тема оформления хранится только в вашем браузере (localStorage).

Мы не продаём и не передаём личные сведения и не используем их для рекламы. Раскрываем сведения, только когда этого требует закон, и только то немногое, что у нас есть.

11. Кто что получает

12. Ваши права

В зависимости от того, где вы живёте (например, по GDPR в ЕС и Великобритании), у вас может быть право на доступ к своим персональным данным, их исправление, удаление и получение копии, право возразить против их использования или ограничить его и подать жалобу в надзорный орган по защите данных. Почти все ваши данные — на ваших устройствах и в вашем распоряжении (раздел 8). О том, что есть у нас, — на практике это ваши письма — пишите на support@ncraft.live. Наши правовые основания: оказание услуги, о которой вы попросили (соединения, уведомления), наш законный интерес в безопасной и рабочей программе (жалобы, статистика сбоев) и обязанности по закону.

13. Изменения и связь

Изменения приходят с обновлением приложения и на этой странице, с новой датой; о существенных сообщается при запуске. Вопросы: support@ncraft.live · Жалобы: abuse@ncraft.live