Приватность

Ниже — полный перечень. Не общие слова о том, что мы «ценим вашу приватность», а список того, что действительно лежит в базе, и того, чего в ней нет.

Что мы храним

Ваш email: Это ваш логин, если вы зарегистрировались по email и паролю — сейчас это основной способ входа. Пароль хранится не как текст, а как необратимый хеш: даже у нас нет способа узнать, что вы вводите.
Ваш Telegram: числовой идентификатор и имя пользователя: Хранится, если вы вошли через Telegram. Имя пользователя обновляется при каждом таком входе, потому что в Telegram его можно менять.
Подписка: тариф, дата окончания, состояние: Чтобы знать, действует ли доступ.
Устройства: название, которое вы дали, и отпечаток ссылки: Саму ссылку мы не храним — только её хеш и первые восемь символов, чтобы вы отличали одно устройство от другого. Поэтому потерянную ссылку нельзя восстановить, можно только выпустить новую.
Письма: сброс пароля и уведомления о подписке: Адрес получателя и содержимое письма лежат в очереди зашифрованными, пока письмо не отправлено (или не признано неотправимым), и ещё 30 дней после этого — затем удаляются автоматически, независимо от того, дошло письмо или нет.
Журнал действий: что вы делали со своей подпиской и когда: Создание, переименование, отзыв и замена устройств. В журнале стоит внутренний идентификатор аккаунта — ни email, ни Telegram-идентификатора, ни имени пользователя там нет.

Чего мы не храним

Ничего из перечисленного не пишется ни в базу, ни в логи, ни в метрики, ни в резервные копии.

Какие сайты вы открываете
IP-адреса и домены, к которым вы подключаетесь
DNS-запросы
Содержимое трафика
История подключений и их длительность
Адрес, с которого вы подключаетесь к узлу
Платёжные данные — их мы не получаем и не видим

Ключи

Приватный ключ Reality и локальный токен Hysteria не покидают узел — они не попадают ни в центральную базу, ни в резервные копии. Данные доступа к устройствам хранятся зашифрованными.

Удаление

Устройство можно отозвать в кабинете в любой момент — доступ пропадает немедленно. Полное удаление аккаунта — email, пароль (или Telegram-идентификатор), подписка и устройства целиком — пока не самообслуживание: это делает по вашему запросу оператор, который развернул этот сервер.

Журнал действий остаётся: он защищён от изменения задним числом цепочкой хешей, и удалять из него записи — значит ломать эту защиту. В нём нет ни вашего Telegram, ни имени пользователя, только внутренний идентификатор, который после удаления аккаунта ни на что не указывает.