Какие данные мы храним

Содержимое вашего трафика и адреса, к которым вы обращаетесь, не записываются. Полностью «без логов» сервис при этом не работает: чтобы держать сеть, показывать вам расход и ловить злоупотребления, часть служебных записей мы храним. Ниже — точный перечень, без обтекаемых формулировок.

Что записывается

На каждый туннель сеть пишет пару записей — открытие и закрытие сессии. В них:

• Идентификатор аккаунта и идентификатор сессии.
• Узел, через который прошло подключение.
• IP-адрес, с которого вы подключились.
• Время начала и время завершения сессии.
• Объём переданных данных вверх и вниз.
• Причина завершения сессии.
• Отдельно от сессий — события аутентификации (успех или отказ и IP источника) и HTTP-логи веб-сервера сайта, также содержащие IP-адрес.

Зачем

Три вещи, и ничего сверх них. Статистика — показать вам ваш расход и загрузку локаций и понять, где сети не хватает мощности. Диагностика — когда подключение рвётся, без времени сессии и узла разбираться не с чем. Антифрод — отличить перепродажу одного аккаунта на сотню устройств или перебор по чужим ключам от нормального пользования; без IP-адреса это неразличимо.

Сколько

90 дней. Записи удаляются автоматически на уровне хранилища — правилом TTL самой базы данных, а не скриптом по расписанию, который можно забыть запустить. Платёжные записи живут дольше, потому что этого требует налоговое право; полные сроки по каждой категории данных — в политике приватности.

Кто имеет доступ

Инженеры эксплуатации сервиса — по служебной необходимости. Данные не продаются и не передаются третьим лицам. Государственным органам мы отвечаем только на юридически обязывающий запрос и только в объёме тех данных, которые у нас есть: данных, которых мы не собираем, по запросу не появится. Актуальный warrant canary — на странице политики приватности.

Что не записывается

Здесь мы отвечаем за формулировки буквально:

• Содержимое трафика: туннель зашифрован, и расшифровать его на своей стороне мы не можем.
• Домены и адреса назначения: механизм такой записи в коде есть, он выключен по умолчанию и на публичной сети не включён. Если он когда-нибудь понадобится, эта страница изменится раньше, чем он включится.
• DNS-запросы, история браузера, содержимое сообщений и файлов.
• Данные банковских карт.

Узлы корпоративных клиентов

Корпоративные клиенты могут подключать к сети собственные узлы — тогда трафик их сотрудников не покидает их инфраструктуру. Такой узел работает по политике логирования своего владельца, и она может отличаться от нашей: владелец узла вправе включить запись адресов назначения на своей стороне. Мы не решаем это за него и доступа к его записям не имеем. Клиентское приложение показывает, что подключение идёт через узел организации, — до соединения, а не после.

Как это устроено

Edge-узел не хранит состояние: локальных access-логов он не ведёт и отправляет в общее хранилище статистики только перечисленные выше служебные события. Ключи ротируются. Журналы операционной системы на узлах пишут события инфраструктуры, а не пользовательские соединения.

Как проверить

Свой расход и список активных сессий видно в личном кабинете — это ровно те записи, о которых идёт речь. Полную выгрузку всего, что привязано к аккаунту, можно запросить письмом на support@logrus.space.