Politica de confidențialitate

Aici scrie ce ține Pulsgram despre tine, de ce ține și când dispare. E scrisă ca să o poți verifica, nu ca să o răsfoiești. Acolo unde o regulă are o consecință care nu-ți place, e scrisă, nu îngropată.

1. Cine suntem

Pulsgram e operat de ANDIAMO SOFTWARE S.R.L., firmă înregistrată în România. Pentru tot ce scrie aici, noi suntem operatorul de date.

Nu avem un responsabil cu protecția datelor desemnat. Suntem o firmă mică și legea nu ne obligă să numim unul. Orice cerere despre datele tale merge la contact@andiamo.ro — aceeași adresă ca tot restul, citită de aceiași oameni. Nu publicăm intenționat o adresă separată de tip privacy@: o adresă care există doar într-o politică e o cutie poștală moartă, iar asta ai afla-o exact în momentul cel mai prost.

2. Ce ținem, de ce și cât timp

Mai jos e tot ce avem. Dacă o categorie nu e în tabel, înseamnă că nu o colectăm.

Unde temeiul e interesul nostru legitim, te poți opune — vezi §13. Unde temeiul e contractul, refuzul înseamnă că nu putem ține contul: nu există o versiune de Pulsgram care merge fără să știm care număr e al tău.

3. Ce nu facem

• Nu colectăm adrese de email de la utilizatori. Autentificarea e un număr de telefon și un cod de șase cifre. Tabela noastră de utilizatori nu are deloc coloană de email, deci nu există ce să se scurgă, ce să se vândă sau ce să ajungă din greșeală într-o listă de newsletter. Nu-ți trimitem niciodată emailuri — aplicația îți spune ce are de spus prin notificări.
• Nu-ți urcăm agenda. Vezi §6.
• Nu-ți citim mesajele. Panoul de administrare nu poate, fizic: niciun ecran, niciun query și niciun export din el nu atinge textul sau imaginile mesajelor. Aceeași regulă acoperă logurile și notificările push. Teste automate scanează codul sursă la fiecare modificare și opresc livrarea dacă cineva adaugă un ecran, o linie de log sau o notificare care ar putea căra conținut de mesaj. De-asta ne permitem să scriem asta aici.
• Nu folosim analytics și nici SDK-uri de publicitate. Fără Google Analytics, fără Firebase Analytics, fără SDK Facebook, fără rețele de atribuire sau de reclame, nici în aplicație, nici pe site. Cifrele pe care le urmărim le numără serverul nostru.
• Nu vindem, nu închiriem și nu împărțim datele tale cu nimeni pentru scopurile lui. Firmele din §10 prelucrează date la instrucțiunile noastre și pentru nimic altceva.
• Nu-ți construim profiluri și nicio decizie care te privește nu e luată automat de o mașină — o suspendare sau o blocare înseamnă un om care citește un raport și decide.

4. Cum trăiesc și cum mor mesajele

Un mesaj expiră la 24 de ore de la trimitere. Începe să pălească vizibil de la 12 ore, ca să-l vezi cum pleacă. La 24 de ore textul și imaginile se șterg din baza de date, iar fișierele imaginilor se șterg de pe disc.

Excepția e Keep, și are nevoie de amândoi. Unul care marchează face o cerere; celălalt care marchează la rândul lui oprește ceasul. Un mesaj marcat nu mai are termen, iar odată devenit permanent nu mai poate fi „de-marcat".

Câteva zile după ce un mesaj expiră rămâne o urmă goală a lui — fără text, fără imagine, fără fișier — cu identificatorul lui, ca un telefon care a fost offline să nu retrimită același mesaj de două ori. Urma se distruge după 7 zile.

Când o conversație ajunge la 0 BPM face flatline, iar 48 de ore mai târziu istoricul ei se șterge: fiecare mesaj pe care nu l-ați marcat amândoi și fiecare imagine care ținea de el. Mesajele Keep supraviețuiesc, pentru că ele n-au fost niciodată pe ceas. Un defibrilator folosit în cele 48 de ore readuce conversația cu tot cu istoric; după ele nu mai e nimic de adus, nici la noi.

Pozele pe care le trimiți stau pe un disc privat, în afara a orice poate servi serverul web. Aplicația primește un link semnat care nu mai merge după șase ore. Un link scurs expiră; nu devine o adresă publică permanentă.

Raw Mode — modul în care celălalt te vede scriind literă cu literă — nu stochează absolut nimic. Ce tastezi ajunge pe celălalt telefon și nu se scrie în nicio bază de date și în niciun fișier, nici măcar ca „ultima stare" pentru reconectare. Tot ce păstrăm e faptul că ați fost amândoi de acord să-l porniți.

5. Numărul tău de telefon

Îți păstrăm numărul de telefon. N-avem încotro: el e contul, acolo ajunge codul de intrare, și nu există un nume-de-utilizator-cu-parolă în spate la care să ne întoarcem.

Lângă el ținem o amprentă cu cheie a numărului — HMAC-SHA256 calculat cu un secret care stă doar în configurarea serverului, niciodată în baza de date. Cine ar ajunge cu o copie a bazei noastre de date și fără acel secret nu poate transforma amprentele înapoi în numere de telefon prin ghicire, adică exact situația care contează. Amprenta e ce supraviețuiește în evidențele de anti-fraudă și de moderare din §10 — numărul lizibil nu.

În panoul nostru de administrare un număr de telefon apare doar mascat, iar oamenii de la suport nu văd numărul întreg. Căutarea unui cont după număr de telefon transformă în amprentă ce s-a tastat, înainte să atingă baza de date.

6. Cum îți găsim prietenii, fără agenda ta

Când apeși „sincronizează contactele", telefonul tău citește contactele, normalizează fiecare număr și calculează o amprentă SHA-256 pentru fiecare. La noi ajung doar amprentele — niciodată nume, niciodată numere, niciodată altceva din agendă.

Serverul le compară cu amprentele numerelor deja înscrise pe Pulsgram, îți întoarce profilurile care s-au potrivit și aruncă lista. Nimic din ce ai trimis nu se scrie pe disc. Nu aflăm cine mai e în agenda ta și nu putem construi o rețea de relații din oameni care nu s-au înscris niciodată.

Două limite protejează pe toată lumea, inclusiv pe tine: cel mult 1.000 de amprente per cerere și 5.000 de amprente diferite pe zi. Există pentru că o căutare de amprentă e și un fel de a întreba „numărul ăsta are cont?", iar nimeni n-ar trebui să poată întreba asta de un milion de ori.

Suntem preciși aici, pentru că preferăm să crezi afirmația exactă în locul celei măgulitoare: amprentele trimise de telefonul tău sunt SHA-256 simplu al numărului, singurul lucru pe care un telefon îl poate calcula fără să aibă secretul serverului. Noi nu le stocăm, iar potrivirea se face cu numere pe care oricum le avem — dar un SHA-256 al unui număr de telefon nu e un secret în felul în care e o parolă criptată. Protecția aici e că aruncăm lista, nu că matematica e ireversibilă.

7. Notificările

Notificările push sunt livrate de OneSignal. Ce le dăm e: numărul tău intern de utilizator din Pulsgram, jetonul de notificări al dispozitivului, și textul notificării — pe care îl scriem și îl traducem noi, pe serverul nostru, înainte să plece.

Textul nu conține niciodată un mesaj. „Ana ți-a trimis 5 mesaje" e tot — un nume, un număr, un tip. Notificările tale sunt citite pe un ecran blocat de oricine stă lângă tine, iar asta a dictat regula. Consecința, spusă direct: numele afișat al expeditorului și faptul că a existat o conversație trec totuși prin OneSignal, pentru că o notificare fără niciunul din ele n-ar folosi la nimic.

Poți amuți conversații individuale, poți opri categorii întregi de notificări și poți seta ore de liniște, din aplicație. Oprirea notificărilor din setările telefonului funcționează la fel de bine, și atunci nu mai putem ajunge la acel dispozitiv.

8. Plățile

Tot ce cumperi, cumperi de la Apple sau de la Google, în magazinul lor, cu metoda de plată pe care ei o au deja. Noi nu vedem niciodată numărul cardului, numele de pe el sau adresa de facturare.

RevenueCat stă între magazine și noi: primește evenimentele de achiziție și îi spune serverului nostru că un cont are dreptul la Puls+ sau la un pachet de defibrilatoare. Ce are el despre tine e un identificator anonim și istoricul de achiziții legat de el.

Noi păstrăm evenimentele de achiziție, starea abonamentului și registrul fiecărui defibrilator primit sau cheltuit. Când îți ștergi contul, evidențele astea se desprind de tine și rămân ca documente contabile — legea românească ne cere să putem arăta ce am încasat și pentru ce.

9. Rapoarte, blocări și moderare

Când raportezi pe cineva, primim: motivul pe care l-ai ales, ce ai scris cu cuvintele tale, pe cine ai raportat și — pentru un mesaj raportat — doar metadate: ce fel de mesaj era, când a fost trimis și din ce conversație. Nu mesajul. Moderatorii noștri chiar nu-l pot citi, și preferăm să tratăm rapoartele cu o mână legată la spate decât să construim un panou care poate citi mesajele tuturor.

Ce poate face un moderator: nimic, un avertisment, o suspendare temporară, o blocare definitivă sau — la rapoartele despre autovătămare — trimiterea unor resurse de ajutor. Fiecare acțiune se scrie cu un motiv, iar evidența supraviețuiește contului despre care a fost. Nu-ți spunem ce am făcut cu contul altcuiva.

Blocarea e separată și imediată: celălalt nu-ți mai poate scrie, dispăreți unul din căutarea și din potrivirea de contacte a celuilalt, și lui nu i se spune. Reține lucrul care surprinde lumea: blocarea nu oprește pulsul conversației. Ea scade și moare ca oricare alta.

10. Cine altcineva atinge datele tale

O listă scurtă, pentru că fiecare nume de pe ea e o copie a ceva despre tine care stă pe calculatorul altcuiva.

OneSignal și RevenueCat sunt firme americane, deci datele care ajung la ele ies din Uniunea Europeană. Transferul se face pe baza clauzelor contractuale standard adoptate de Comisia Europeană. Dacă vrei detaliile unui contract anume, cere-ni-le și îți spunem ce avem.

Suntem obligați să predăm date autorităților române când ni le cer legal — o hotărâre judecătorească, sau o solicitare emisă în regulă de poliție. Ți-am spune, dacă am avea voie.

11. Ștergerea contului

Îți poți șterge contul din aplicație sau scriindu-ne. Instrucțiunile complete sunt pe pagina de ștergere a contului. Nu e un semn pus pe un rând care rămâne în baza noastră de date — contul și datele lui se șterg.

Ce se distruge: profilul, poza, prietenii, cererile de prietenie, blocările, dispozitivele și jetoanele de notificări, intrările din Pulsul zilnic și pozele lor, toate conversațiile și fiecare mesaj din ele, inclusiv cele marcate amândoi cu Keep. Ultimul lucru are un cost care merită spus tare: un mesaj marcat aparține la doi oameni, iar când îți ștergi contul îl pierde și celălalt. Am decis că un produs care pune confidențialitatea pe primul loc șterge toată copia, în loc să lase jumătate din ea în viață.

Ce supraviețuiește și de ce. Asta e lista onestă:

Niciunul dintre supraviețuitorii ăștia nu conține un număr de telefon lizibil, un mesaj sau o poză. Sunt amprente, contoare și date calendaristice.

Cere-ți arhiva ÎNAINTE să ștergi, nu după. Ștergerea contului șterge și arhiva de export pe care ți-am construit-o. Dreptul la o copie a datelor și dreptul la ștergere se anulează reciproc dacă le folosești în ordinea greșită.

12. Cum îți iei o copie a datelor

Din aplicație: Profil → ⬇ Descarcă-mi datele. Construim o arhivă ZIP și îți dăm un link de descărcare. Linkul merge 72 de ore, apoi arhiva se șterge de pe serverul nostru.

Arhiva conține profilul, prietenii, cererile de prietenie, blocările și rapoartele făcute de tine, metadatele conversațiilor, mesajele trimise de tine cu tot cu conținut, intrările tale din Pulsul zilnic, registrul de defibrilatoare, starea abonamentului, pauzele, dispozitivele și invitațiile — plus un fișier text care explică fiecare secțiune.

Nu conține mesajele pe care ți le-au trimis alții. Alea sunt cuvintele lor, într-o conversație, iar o cerere de-a ta nu are voie să devină o cale de a extrage partea celuilalt. Și nu-ți spune cine te-a blocat sau cine te-a raportat.

Linkul de descărcare e semnat, nu protejat cu parolă, ceea ce înseamnă că oricine îl are îl poate folosi până expiră. Nu-l da mai departe. Dacă preferi arhiva pe altă cale, scrie-ne.

13. Drepturile tale

Conform GDPR, ne poți cere:

• Acces — o copie a datelor personale pe care le avem despre tine, din aplicație sau pe email, cum preferi.
• Rectificare — să corectăm ce e greșit. Limba și fusul orar se schimbă din aplicație, iar numele afișat oriunde aplicația îți oferă câmpul. Pozele de profil nu există încă — produsul nu are cum să încarce una, deci nu există nimic de corectat acolo. Numele de utilizator, data nașterii și numărul de telefon nu se pot schimba, prin construcție; dacă unul din ele e cu adevărat greșit, scrie-ne și o facem noi.
• Ștergere — contul și datele lui, cu excepțiile din §11.
• Portabilitate — exportul e o arhivă JSON, citibilă de o mașină, făcută exact pentru asta.
• Restricționare — să oprim prelucrarea cât timp e deschisă o dispută despre ea.
• Opoziție — la prelucrările întemeiate pe interesul nostru legitim. Spune-ne care și de ce; ne oprim, dacă nu putem arăta un motiv imperativ care să cântărească mai greu, și îți explicăm oricum.

Scrie la contact@andiamo.ro. Răspundem în cel mult 30 de zile — ăsta e termenul legal și îl tratăm ca pe un termen, nu ca pe o ambiție. Cererile sunt gratuite; am cere bani doar pentru una repetată și vădit excesivă, și ți-am spune înainte.

Pentru că un cont Pulsgram n-are nicio adresă de email atașată, s-ar putea să fim nevoiți să te rugăm să dovedești că ești omul căruia îi aparține contul. Cum facem asta scrie pe pagina de ștergere a contului — și niciodată nu înseamnă să ne trimiți un cod de autentificare.

Plângeri împotriva noastră

Dacă crezi că ți-am gestionat prost datele, spune-ne întâi nouă — e mai rapid și preferăm să reparăm. Nu ești obligat. Poți depune plângere direct la autoritatea română de supraveghere:

Dacă locuiești în altă țară din Uniunea Europeană, poți depune plângere și la autoritatea din țara ta.

14. Vârsta

Pulsgram e pentru oameni de 16 ani și peste. La înscriere îți dai data nașterii, iar aplicația refuză să creeze contul dacă te pune sub 16. Nu verificăm acte de identitate — nimeni din categoria asta de aplicații nu o face — deci verificarea e la fel de onestă ca răspunsul.

Dacă ești părinte sau tutore și crezi că un copil sub 16 ani are cont, scrie la contact@andiamo.ro și îl ștergem. Spune-ne numărul de telefon al contului; e singura cale prin care îl putem găsi.

15. Cum îl ținem în siguranță

• Totul circulă prin HTTPS. Site-ul și API-ul refuză HTTP simplu.
• Pozele stau pe un disc privat, de unde serverul web nu poate servi nimic, și se dau doar prin linkuri semnate care expiră în șase ore.
• Secretul cu care se calculează amprentele numerelor de telefon stă în configurarea serverului, niciodată în baza de date, și nu e în codul nostru sursă.
• Codurile de autentificare se păstrează criptate, expiră în cinci minute și permit cinci încercări.
• Accesul la panoul de administrare e limitat la conturi nominale cu roluri, fiecare acțiune de moderare se loghează cu omul care a făcut-o, iar panoul nu poate ajunge la conținutul mesajelor prin construcție.
• Copiile de siguranță ale bazei de date sunt criptate și ținute separat de server.

Nimic din toate astea nu face o breșă imposibilă. Dacă se întâmplă una și te pune în pericol, îți spunem ție și autorității de supraveghere, în termenele pe care le cere legea.

16. Site-ul ăsta

Fără cookie-uri. pulsgram.com nu pune niciunul — nici de analiză, nici de publicitate, nici „de preferințe". Nu există banner de cookie-uri pentru că nu există la ce să-ți dai acordul.

Fără analytics. Fără Google Analytics, fără Plausible, fără Matomo, fără niciun pixel. Nu știm câți dintre voi citesc pagina asta.

Nu se încarcă nimic de la altcineva. Fonturile pe care le citești acum vin de pe serverul nostru, deliberat. Un font luat de la Google ar trimite adresa ta IP către Google la fiecare vizită — o pagină care își contrazice propria politică e mai rea decât una urâtă. Nu există scripturi externe, filmulețe încorporate sau cadre de la terți. Deschide fila de rețea din browser și verifică: fiecare cerere merge la pulsgram.com.

O singură excepție, și nu e urmărire. Pagina de invitație de la pulsgram.com/i/… salvează codul de invitație din adresă în localStorage-ul browserului tău, sub cheia pulsgram.invite. O face ca acel cod să supraviețuiască drumului până la App Store sau Google Play — niciunul din magazine nu îl poate duce mai departe în locul tău. Nimic altceva nu se salvează, valoarea nu pleacă niciodată din browserul tău, nu se face nicio cerere către serverul nostru despre ea, iar ștergerea datelor de navigare o șterge. Tot pagina aia întreabă browserul ce limbă preferă, ca să se arate în română sau engleză, și nu trimite răspunsul nicăieri.

Serverul nostru web ține loguri de acces obișnuite — adresa IP, ce s-a cerut, când — pentru securitate și depanare. Se rotesc în câteva zile și nu sunt legate de niciun cont.

17. Modificări ale acestei politici

Când schimbăm ceva aici, se schimbă data din capul paginii. Dacă o schimbare chiar te privește — o firmă nouă care îți prelucrează datele, o categorie nouă de date, o păstrare mai lungă — îți spunem în aplicație înainte să intre în vigoare, nu editând tăcut pagina asta.

Politica e publicată în română și în engleză. Amândouă spun același lucru. Dacă vreodată se contrazic, versiunea în română e cea care guvernează, pentru că asta e legea sub care operăm.