Получатель семейного предупреждения видит вид риска и время события, но не точный номер звонящего, контакты или содержание разговора.
Android-приложение и связанные сервисы
Политика конфиденциальности «АнтиСкам Семья»
Кто отвечает за данные
Разработчик и оператор данных:
Sivets Yuheni
Адрес и страна:
14 Chailitko St., Minsk, 220019, Belarus
Рабочий email по конфиденциальности:
yugeniy@yandex.ru
Поставщик VPS и страна дата-центра:
VPSVILLE — Нидерланды
В этой Политике слова «мы», «нас» и «Сервис» означают указанного выше разработчика и приложение «АнтиСкам Семья», его backend по адресу api.antiscamfamily.tech и сайт antiscamfamily.tech.
Адресная книга используется на устройстве только для ответа «знакомый или неизвестный». Список контактов и их имена на сервер не загружаются.
Приложение не запрашивает микрофон, не записывает и не расшифровывает телефонные разговоры, не читает SMS и журнал звонков.
1. Область действия
Политика описывает категории данных, обрабатываемые Android-версией «АнтиСкам Семья», связанным API и публичным сайтом. Она относится к входу по email, через Google или по семейному коду, семейной защите, предупреждениям о звонках, ручным проверкам, карте новых схем, STOP-режиму и оплате семейных тарифов через DigiSeller, когда соответствующие функции доступны пользователю. Разделы проверки личности близкого, восстановления и официальных организаций в текущей конфигурации приложения недоступны; относящиеся к ним категории данных ниже применимы только при отдельном включении таких функций.
Сервис помогает пользователю и его семье принять безопасное решение, но не гарантирует обнаружение каждого мошеннического звонка или сообщения и не заменяет полицию, банк, оператора связи или экстренную службу.
2. Какие данные мы обрабатываем
| Категория | Конкретные данные | Источник и назначение |
|---|---|---|
| Аккаунт и вход | Firebase UID, email и признак его подтверждения; при входе через Google — данные базового профиля, разрешённые Google; номер телефона только если он присутствует в подтверждённой учётной записи Firebase. Для входа по семейному коду email не требуется. | Поступают от пользователя и Firebase Authentication. Нужны для создания аккаунта, входа, восстановления доступа и защиты от подмены. Пароль Google или пароль от почты мы не получаем и не храним. |
| Семья | Название семьи, выбранное имя родственника, роль «под защитой» или «получатель уведомлений», статус участия, настройки согласия, время создания и действий. Одноразовые коды сохраняются на backend только как криптографические хеши. | Вводятся владельцем семьи или участником. Используются для управления составом семьи, правами, приглашениями и тем, кто вправе получать предупреждения. |
| Устройство и push | Псевдонимный идентификатор установки, созданный из Android ID и package name, FCM-токен, версия приложения и Android, время последней регистрации токена. | Создаются приложением и Firebase Cloud Messaging. Нужны для доставки семейных и защитных уведомлений. FCM-токен шифруется перед записью в базу. |
| Телефонные события | Входящий номер на устройстве, признак «есть в контактах», домашняя страна, код страны звонящего, случайный идентификатор события, признак неизвестного контакта и, для включённого предупреждения о долгом звонке, длительность в секундах. | Получаются Android Call Screening и состоянием телефонного вызова. Нужны для локальной оценки и, только при включённых пользователем настройках, семейного сигнала или истории защитных событий. |
| Материалы проверки | Текст, ссылка, номер телефона, распознанное из изображения содержимое QR или OCR; при отдельном включении проверки файлов — файл, ZIP или APK, который пользователь сам выбрал и отправил на проверку. | Передаются только по инициативе пользователя либо, для включённой истории звонков, по отдельно включённой настройке. Нужны для анализа риска, репутации и рекомендаций. |
| Результаты безопасности | Криптографические отпечатки входных данных, уровень и категория риска, оценка, обнаруженные сигналы, рекомендации, версия правил/модели, события Scam Session, статусы семейных предупреждений и время получения, открытия, подтверждения или разрешения ситуации. | Создаются приложением и backend для истории, связи событий одной атаки, улучшения репутации и согласованной реакции семьи. |
| Жалобы и обратная связь | Категория жалобы, криптографический отпечаток номера или URL, оценка результата пользователем, время и решение модератора. | Предоставляются добровольно. Нужны для борьбы с ложными срабатываниями, отравлением базы и повторяющимися мошенническими схемами. |
| Recovery и проверка личности — при отдельном включении | Выбранный тип инцидента, уровень риска, выполненные шаги восстановления, запрос помощи семье, статусы запросов проверки и подтверждённый email участника в предусмотренном сценарии обратного звонка. | Могут вводиться пользователем и создаваться Сервисом для безопасных инструкций после ошибки и проверки, что запрос поступил от участника семьи. Сейчас эти разделы недоступны. |
| Оплата и подписка | Случайный идентификатор платёжной сессии payment_ref, выбранный товар и тариф, срок, ожидаемая и подтверждённая сумма в USD, номер и состояние счёта DigiSeller, даты создания, оплаты и окончания подписки, а также ограниченные нормализованные сведения Purchase API. Мы не сохраняем email, IP-адрес или User-Agent покупателя из уведомления DigiSeller и не получаем реквизиты банковской карты. | Когда владелец семьи выбирает доступный платный тариф, backend создаёт платёжную сессию и проверяет факт оплаты через DigiSeller Purchase API. Данные нужны для активации или продления тарифа, защиты от повторной активации, обработки возвратов и разбора спорных платежей. Email DigiSeller не используется для связи покупки с аккаунтом. |
| Технические данные | IP-адрес, дата и время запроса, endpoint, код ответа, request ID и ограниченные диагностические журналы. Токены авторизации, полный номер, email и исходный контент проверок не должны записываться в прикладные журналы. | Автоматически обрабатываются сервером и хостингом для соединения, защиты от злоупотреблений, диагностики и доступности. |
Мы не продаём персональные данные, не используем их для рекламного профилирования и в текущей версии не подключаем Firebase Analytics, рекламные SDK или Crashlytics.
На публичном сайте нет формы сбора email для раннего доступа. Для обращения можно воспользоваться контактным адресом, указанным в разделе «Оператор и контакты».
3. Как обрабатываются звонки и контакты
3.1. Локальная проверка
При наличии выданной Android роли защиты звонков приложение получает номер текущего входящего вызова. С разрешением READ_CONTACTS оно локально спрашивает системную адресную книгу, известен ли номер. Имена, записи и полный список контактов не копируются в приложение и не отправляются на наш backend.
3.2. Семейное предупреждение
Если пользователь включил семейные предупреждения и незнакомый номер относится к другой стране, на backend отправляются случайный ID события, домашняя страна, телефонный код страны звонящего и признак неизвестного контакта. Для предупреждения после пяти минут разговора также кратковременно передаётся длительность. Backend создаёт общую категорию риска и отправляет её разрешённым получателям семьи.
Участник с ролью «Под защитой» может дополнительно сохранить тестовый номер. Он хранится только на этом устройстве до отключения функции и сравнивается локально. Звонок с совпавшего номера создаёт явно помеченное тестовое предупреждение владельцу и получателям семьи даже тогда, когда номер есть в контактах. На backend и родственникам тестовый номер не передаётся: отправляется только случайный идентификатор события.
Точный номер звонящего, имя из контактов и аудио разговора родственникам не передаются. Push содержит идентификатор предупреждения и общую категорию, например «незнакомый иностранный звонок» или «долгий иностранный звонок».
3.3. История телефонных событий
Если пользователь отдельно включает историю событий, точный входящий номер передаётся по HTTPS на backend для немедленной нормализации, проверки репутации и вычисления секретного HMAC-отпечатка. Исходный номер не записывается в базу; сохраняются отпечаток, результат риска и связанные события Scam Session. Эту настройку можно выключить.
Приложение не читает журнал прошлых звонков, не записывает разговор, не запрашивает микрофон и не анализирует речь. Store-сборка не читает уведомления Viber, WhatsApp, Telegram или других приложений.
4. Ручные проверки, изображения и файлы
- Текст, URL и номер: отправляются на backend после действия пользователя. Исходное значение обрабатывается в памяти запроса, но в постоянной базе сохраняются HMAC-отпечаток и результат анализа.
- Изображение или скриншот: QR и текст распознаются локально средствами ML Kit. Само изображение на наш backend не загружается; онлайн может быть отправлен только распознанный текст или QR-payload.
- Файл, ZIP или APK — только если проверка файлов отдельно включена: выбранный файл загружается целиком на backend по инициативе пользователя, проверяется в памяти и не устанавливается. Исходные байты не записываются в базу или постоянное файловое хранилище. Сохраняются криптографический отпечаток, тип, размер, технические признаки и результат.
- AI-анализ: если он включён серверной настройкой, перед отправкой текст или обычная URL-ссылка проходят автоматическое удаление распознаваемых email, телефонов, номеров карт, секретных параметров ссылки и похожих секретов. Очищенный фрагмент может быть передан настроенному провайдеру OpenAI, OpenModel, GigaChat или операторскому LocalAI-совместимому endpoint. В AI не передаются Wi-Fi-пароли, платёжные QR-payload и исходные изображения. Ошибка AI не понижает риск, и AI не принимает решение о блокировке звонка.
- Проверка URL: нормализованный полный URL может передаваться PhishTank и/или Google Web Risk в зависимости от активной серверной настройки. Эти сервисы получают URL и технические данные сетевого запроса и обрабатывают их по собственным правилам.
Не отправляйте на проверку пароли, одноразовые коды, полные данные банковской карты, документы или чужие сведения, если это не требуется для вашей безопасности. Перед отправкой удалите лишние персональные данные.
5. Для чего используются данные
- создание и защита аккаунта, вход по email, Google или семейному коду;
- создание семьи, управление ролями, согласиями и одноразовыми приглашениями;
- локальное обнаружение незнакомого иностранного звонка и доставка разрешённого семейного предупреждения;
- проверка текста, ссылок, номеров и QR, а при отдельном включении функции — ZIP и APK, с выдачей рекомендаций;
- помощь в STOP-сценарии; объединение сигналов в Scam Session и Recovery — только при отдельном включении;
- при выборе платного тарифа — создание платёжной сессии, проверка оплаты, активация или продление семейного тарифа, предотвращение повторной активации одного счёта и учёт возвратов;
- формирование обезличенной репутации и выявление повторяющихся мошеннических кампаний;
- защита от спама, повторной отправки, подделки запросов и других злоупотреблений;
- диагностика, поддержка пользователей, соблюдение закона и защита прав участников.
Где применимо, обработка основана на исполнении пользовательского соглашения, явном выборе или согласии пользователя, законном интересе обеспечить безопасность Сервиса и обязанностях, установленных законом. Согласие на семейную передачу событий можно отозвать в настройках.
7. Разрешения и системные роли Android
| Разрешение или роль | Как используется | Можно ли отказаться |
|---|---|---|
INTERNET | Вход, API, актуальная репутация, семейные события и push-регистрация. | Системно не отключается отдельно; без сети остаются только доступные локальные функции. |
POST_NOTIFICATIONS | Показ семейных и защитных уведомлений. | Да, в настройках Android; без него предупреждения могут не отображаться. |
READ_CONTACTS | Только локальный ответ, есть ли входящий номер в контактах. Список контактов не загружается. | Да; без разрешения семейный сигнал для неизвестного номера не создаётся. |
READ_PHONE_STATE | Отслеживание состояния текущего звонка и, при включённой функции, достижения порога долгого разговора. Журнал звонков и звук недоступны. | Да; предупреждение о длительном звонке не будет работать. |
SCHEDULE_EXACT_ALARM | Планирование проверки порога в пять минут после ответа на подозрительный звонок, в том числе при заблокированном экране. Android может задержать таймер; если разговор уже завершился, приложение проверяет его фактическую длительность. | Если точный таймер недоступен, предупреждение во время разговора может задержаться или не появиться. |
| Роль Call Screening | Получение текущего входящего номера для локальной проверки и разрешённой пользователем защиты. Сетевой ответ не задерживает и не определяет пропуск звонка. | Да, роль можно отозвать в Android; автоматическая защита звонков прекратится. |
Store-сборка не запрашивает чтение или получение SMS, журнал звонков, микрофон, запись аудио, Accessibility Service или доступ ко всем уведомлениям устройства.
8. Сроки хранения
Мы используем разные сроки в зависимости от цели. Истечение кода немедленно прекращает его действие, но техническая запись может храниться дольше по правилам ниже.
| Данные | Срок | Что происходит после |
|---|---|---|
| Исходный текст, URL или номер при ручной проверке | Только на время выполнения запроса; в постоянной базе не сохраняется. | Остаются HMAC-отпечаток и результат. Внешний threat/AI-провайдер применяет собственные сроки. |
| Изображение/скриншот | Обрабатывается локально на устройстве; на наш сервер не загружается. | Серверная копия не создаётся. Исходный файл остаётся под управлением пользователя и приложения, из которого он был выбран. |
| Загруженный файл, ZIP или APK | Только в оперативной памяти на время запроса; в постоянное хранилище не записывается. | Остаются отпечаток, метаданные и результат анализа. |
| История проверок и результаты | До 365 дней, если пользователь не удалит аккаунт раньше. | Удаляются плановой очисткой; связанные обезличенные наблюдения могут храниться отдельно. |
| Истёкшие приглашения и запросы проверки личности | До 30 дней после истечения. | Удаляются плановой очисткой. Сами коды хранятся только как хеши. |
| Обезличенные наблюдения мошеннических кампаний | До 180 дней. | Удаляются или агрегируются без исходного контента и идентификатора пользователя. |
| Административный аудит | До 730 дней. | Удаляется плановой очисткой, кроме обязательного legal hold. |
| Платёжные сессии, транзакции и подписки | Пока аккаунт активен и сведения нужны для предоставления тарифа, предотвращения повторной активации, проверки возврата или решения платёжного спора. | Удаляются вместе с серверным аккаунтом по разделу 11. DigiSeller хранит собственные сведения о платеже независимо и по своим правилам. |
| Аккаунт, семья, устройства, согласия, предупреждения, Scam Session и Recovery | Пока аккаунт активен и данные нужны для функции; раньше — при удалении аккаунта, семьи, участника или отзыве устройства, где это применимо. | Удаляются или отвязываются согласно разделу 11. Отозванный FCM-токен очищается. |
| Журналы reverse proxy | До 14 ежедневных ротаций. Прикладные container-журналы ограничены по размеру и перезаписываются. | Файлы автоматически ротируются и перезаписываются. |
| Резервные копии базы данных | Копии старше 30 суток удаляются при ближайшем успешном ежедневном резервном копировании. При штатной работе это происходит не позднее следующих 24 часов; при сбое задания — после восстановления его работы. | Удаляются по графику; восстановленные данные вновь подпадают под запрос пользователя на удаление. |
Срок может быть продлён только если это необходимо для обязательного требования закона, расследования злоупотребления, защиты прав или legal hold. В таком случае данные изолируются от обычного использования и удаляются после прекращения основания.
9. Как мы защищаем данные
- передача между приложением и production backend выполняется по HTTPS/TLS;
- backend проверяет Firebase ID token и семейные права для каждого защищённого запроса;
- FCM-токены и доступный из Firebase номер телефона шифруются перед записью, а номера и проверяемые значения для репутации хешируются секретным HMAC-ключом;
- push-сообщения содержат минимальный payload без точного номера, контактов, исходного текста, OTP или банковских реквизитов;
- для API действуют ограничения частоты, размера запросов, типов файлов и защита от повторной отправки;
- административный доступ требует отдельного Firebase-признака администратора и разрешённого UID;
- приложение отключает Android backup пользовательских данных и не разрешает незашифрованный HTTP в release-сборке.
Ни один способ передачи и хранения не даёт абсолютной гарантии. При подтверждённом инциденте мы ограничим доступ, оценим последствия и выполним уведомления, требуемые применимым законом.
10. Настройки, согласие и права пользователя
В приложении или настройках Android пользователь может:
- включать и выключать семейные предупреждения, историю телефонных событий и предупреждение о долгом звонке;
- не выдавать или отозвать доступ к контактам, уведомлениям, состоянию телефона и роль Call Screening;
- выбирать, какие события доступны семье, подтверждать или разрешать предупреждение;
- удалять ожидающего или активного родственника из своей семьи, если у пользователя есть соответствующее право;
- исправить отображаемое имя или обратиться за доступом, исправлением, ограничением, переносом либо возражением в объёме, предусмотренном применимым законом;
- удалить собственный аккаунт и связанные данные.
Отзыв разрешения не влияет на законность обработки, выполненной до отзыва. Некоторые основные функции перестанут работать без необходимых разрешений или семейного согласия.
11. Удаление аккаунта и данных
11.1. В приложении
- Откройте «АнтиСкам Семья» и войдите в аккаунт.
- Перейдите в раздел «Профиль».
- Нажмите «Удалить аккаунт» и подтвердите действие.
Backend сначала удаляет учётную запись Firebase, затем пользовательскую запись и связанные с ней данные в активной базе, включая платёжные сессии и транзакции Сервиса. Если пользователь является владельцем семьи, удаление аккаунта также удаляет созданную им семью, её связи, приглашения и семейные предупреждения. Перед удалением приложение должно показать это последствие. Удаление данных Сервиса не удаляет сведения о платеже, которые DigiSeller обязан или вправе хранить независимо по своей политике и применимому закону.
11.2. Если войти в приложение невозможно
Отправьте запрос на yugeniy@yandex.ru с темой «Удаление аккаунта АнтиСкам Семья». Укажите email аккаунта или выбранное имя в семье и сведения, достаточные для безопасной проверки владения. Не присылайте пароль, OTP, полный номер карты или документы без отдельной защищённой инструкции.
Публичный адрес инструкции для Google Play: https://antiscamfamily.tech/privacy.html#account-deletion.
11.3. Срок и исключения
Автоматическое удаление в приложении начинается сразу. Запрос через поддержку рассматривается обычно не дольше 30 календарных дней после достаточной проверки личности. Данные в активной базе удаляются или необратимо обезличиваются; резервные копии исчезают по сроку ротации из раздела 8.
Мы можем сохранить минимальные обезличенные показатели угроз, записи безопасности или сведения, которые обязаны хранить по закону. Они не используются для рекламы или восстановления удалённого профиля. Удаление приложения с телефона само по себе не удаляет серверный аккаунт. Удаление родственника из семьи также не удаляет его самостоятельный аккаунт.
12. Несовершеннолетние
Приложение может использоваться для защиты ребёнка в семейной группе, но его установку, настройку разрешений и согласие на семейную передачу событий должен контролировать родитель или законный представитель в соответствии с применимым возрастом цифрового согласия. Мы сознательно не просим ребёнка передавать документы, банковские данные или содержание частных разговоров.
Родитель или законный представитель может запросить доступ, исправление или удаление данных ребёнка через контакт из раздела 14. Если мы обнаружим, что данные ребёнка были получены без необходимого согласия, мы удалим их после безопасной проверки запроса.
13. Обработка в других странах
Пользователь и его родственники могут находиться в разных странах. Firebase, Google, DigiSeller, PhishTank, внешний AI-провайдер и поставщики сетевой инфраструктуры могут обрабатывать данные за пределами страны пользователя. Страна основного VPS/дата-центра указана в начале Политики. Передача ограничивается объёмом, необходимым для соответствующей функции, и выполняется с договорными и техническими мерами защиты, доступными оператору.
Если законодательство пользователя требует отдельного основания или локализации для такой передачи, соответствующая функция должна быть ограничена до выполнения этих требований.
14. Изменения Политики и контакты
Мы обновляем Политику при изменении состава данных, разрешений Android, внешних провайдеров, целей обработки или сроков хранения. Новая версия публикуется по этому же URL с новой датой. При существенных изменениях, требующих согласия, приложение покажет уведомление до начала новой обработки.
Вопросы, жалобы и запросы о данных:
yugeniy@yandex.ru
Оператор:
Sivets Yuheni. 14 Chailitko St., Minsk, 220019, Belarus