Безопасность

Что есть, чего нет и что вы решаете сами

Коротко

Чтобы прислать вам копию удалённого сообщения, сервис должен это сообщение получить и сохранить. Значит переписка из подключённых чатов попадает на наш сервер — иначе восстанавливать было бы нечего. Всё остальное на этой странице про то, что мы с ней делаем и чего не делаем.

Что есть

• Шифрование AES-GCM. Каждое сообщение шифруется собственным ключом до того, как попадёт в базу.
• Смена ключей. Ключи данных меняются автоматически, каждые 1–7 дней.
• Подписи собеседников шифруются отдельно. Рядом с сообщением остаётся только числовой идентификатор Telegram, а имя и @логин лежат в отдельном зашифрованном справочнике.
• Резервные копии зашифрованы и хранятся отдельно от базы.
• Прогоны сканеров безопасности и внутренние ревизии кода.
• Полное удаление по вашей команде — /my_data в боте.

Чего нет — и мы об этом говорим прямо

• Независимого аудита сторонней компанией. Его не проводили. Всё, что написано выше, — наше собственное заявление, а не вывод независимой проверки.
• Открытого исходного кода. Проверить наши слова по коду нельзя.
• Программы вознаграждения за найденные уязвимости.
• Сквозного (end-to-end) шифрования.

Мы пишем это сами, потому что считаем: решение доверять сервису переписку человек должен принимать с полной картиной, а не с рекламной.

Что именно защищает шифрование

Содержимое каждого сообщения шифруется AES-256-GCM собственным ключом ещё до того, как попадёт в базу. Ключи в самой базе не лежат и меняются автоматически каждые 1–7 дней. Имена и @логины собеседников зашифрованы отдельно — рядом с сообщением остаётся только числовой идентификатор Telegram.

Отсюда главное: украденная база бесполезна. Ни копия базы, ни резервный архив, ни доступ хостинг-провайдера к диску не дают ни текста переписки, ни даже картины, кто с кем и когда общался. Резервные копии тоже хранятся зашифрованными.

Где всё это лежит

Сервер находится в России, у хостинг-провайдера Beget LLC. Данные не передаются третьим лицам и не используются для рекламы.

Сколько мы храним ваши данные

Срок хранения равен длине вашего доступа. После его окончания сохранённое исчезает не мгновенно: сначала три дня сервис работает как при активной подписке — этого хватает, чтобы продлить, — а затем открывается окно, в котором уже сохранённое остаётся доступным.

Этот срок — максимум, а не обязанность

Вы управляете им сами, командой /retention в боте:

• Укоротить можно в любой момент, вплоть до одного дня. Вариант «1 день» доступен всем, независимо от тарифа.
• Режим приватности — содержимое не сохраняется совсем, остаются только сами факты удаления, и те на 24 часа.
• Удлинить сверх оплаченного доступа нельзя. Мы храним ровно столько, сколько длится доступ, и ни днём больше.

Отключение бота в настройках Telegram останавливает сохранение новых сообщений, но само по себе не стирает уже сохранённое — для этого есть /my_data.

Что боту не выдано

Telegram показывает при подключении строку «бот управляет вашим аккаунтом». Это название целой группы разрешений, а не описание того, что получил наш бот. DeletedGuard не может сменить ваше имя, @имя, фото или описание, опубликовать историю, распорядиться подарками и звёздами.

Проверить можно за полминуты: Настройки Telegram → Telegram для бизнеса → Чат-боты → наш бот → Разрешения. В группе «Профиль» не должно быть включено ничего.

Вопросы о безопасности — @DeletedGuard_support. Полные формулировки — в политике конфиденциальности и пользовательском соглашении.