1. Область действия
Эта политика применяется к мобильному приложению Ironclad для iOS и Android и к серверной инфраструктуре Ironclad. Оператором сервиса является Вадим Залетаев, Краснодар, Российская Федерация.
2. Основной принцип
Сервер хранит или передаёт зашифрованные данные и публичные криптографические материалы, необходимые для доставки и синхронизации. Сервер не выполняет полнотекстовый поиск по сообщениям и не создаёт незашифрованные копии файлов или медиапотоков звонков.
3. Регистрация и идентификаторы
Ironclad не требует номер телефона, адрес электронной почты, настоящее имя или пароль от серверной учётной записи. При регистрации создаются случайные псевдонимные идентификаторы аккаунта и устройства, а также публичные криптографические ключи.
Пользователь может добровольно создать публичное имя и разрешить его отображение в поиске. Публичное имя не проверяется как настоящее имя и само по себе не устанавливает личность человека.
3.1. Необязательная публичная фотография
По отдельному выбору пользователя можно установить фотографию профиля. Она видна другим пользователям, которым доступен аккаунт, в том числе в публичном поиске, если аккаунт показывается в поиске. Эта фотография не защищена сквозным шифрованием: сервер хранит уменьшенный JPEG и может обрабатывать его открытое содержимое. Перед загрузкой исходные метаданные местоположения удаляются. Это не меняет шифрование сообщений, вложений и звонков.
Фотографию можно заменить или удалить в настройках; при удалении аккаунта она удаляется из активного серверного хранилища. Отключение поиска само по себе не скрывает фотографию от людей, уже знающих аккаунт. Изображения в кеше обновляются с задержкой, а чужие сохранённые копии невозможно отозвать. Фотография не подтверждает личность или официальный статус аккаунта.
4. Какие технические данные обрабатываются
- случайные идентификаторы аккаунта, устройства, сессии и публичные ключи;
- публичное имя и настройка видимости, если пользователь их включил;
- идентификаторы чатов, состав участников, роли, приглашения, темы и политики доступа;
- псевдонимный идентификатор отправителя, время события, статусы доставки и прочтения;
- технические сведения о зашифрованных файлах: объект, размер, контрольная сумма, состояние загрузки, связанный чат и срок хранения;
- технические сведения о звонках: участники в виде псевдонимных идентификаторов, состояние и время звонка;
- токены доставки APNs и VoIP-уведомлений, зашифрованные при хранении на сервере, а также выбранные пользователем категории уведомлений;
- публичные криптографические обязательства, доказательства, контрольные точки и подписи аудиторов Key Transparency;
- IP-адрес, тип клиента, маршрут запроса, идентификатор запроса, время, результат и продолжительность сетевого обращения;
- события безопасности, необходимые для ограничения злоупотреблений, отзыва сессий и расследования сбоев;
- при жалобе: случайный ID жалобы, ID жалобщика и его устройства, ID автора, чата и объекта, категория причины, время, запрос блокировки, статус рассмотрения и добровольное согласие на контакт службы безопасности;
- если пользователь добровольно создаёт обращение на отдельном портале поддержки: указанные им имя и адрес электронной почты, тема, текст и вложения обращения, история ответов, состояние заявки, IP-адрес и технические журналы портала.
Технические сетевые журналы не содержат тела сообщений, содержимого файлов, ключей шифрования или открытого аудио. Зашифрованные полезные данные не записываются в журналы.
Жалоба не содержит текста сообщения, расшифрованного медиа, превью, скриншота, черновика, имени вложения, ключа содержимого или специального moderation evidence. Сервер проверяет только право жалобщика видеть указанный объект по служебным записям участия и авторства.
5. Что сервер может и не может определить
Для доставки и проверки прав сервер может связать зашифрованное событие с псевдонимным аккаунтом, устройством и чатом. Это не раскрывает серверу настоящее имя, номер телефона, email или содержание общения.
Компрометация серверной инфраструктуры может раскрыть технические метаданные: псевдонимные идентификаторы, состав и роли в чатах, время и размеры событий, IP-адреса и журналы безопасности. Она не должна раскрывать ранее зашифрованное содержимое сообщений, файлов или медиапотоков без доступа к разблокированному устройству или его закрытым ключам.
6. Цели обработки
Данные используются только для работы приложения: регистрации устройств, аутентификации, доставки и синхронизации, управления чатами и правами, передачи зашифрованных файлов, организации звонков, защиты от злоупотреблений, технической диагностики и обработки добровольных обращений в поддержку.
Ironclad не использует данные для рекламы, рекламного профилирования или отслеживания пользователя между приложениями и сайтами и не продаёт пользовательские данные.
6.1. Жалобы, блокировки и официальный E2EE-контакт
Метаданные жалобы используются для немедленного локального скрытия, синхронизации блокировки, защиты от повторов и подмены автора, подсчёта независимых сигналов и ручного решения администратора. Три независимых жалобщика повышают приоритет, но не блокируют аккаунт автоматически. Администратор не получает средств расшифровки.
Необязательное согласие «Разрешить @ironclad связаться со мной» выключено по умолчанию. Только при его включении официальный, привязанный к конкретному account ID аккаунт может отправить обычный запрос на защищённый E2EE-чат. Ключи этого аккаунта находятся на отдельном устройстве, а содержимое чата недоступно административному сайту и backend. Пользователь сам решает, принимать ли запрос и отправлять ли описание или скриншот.
7. Хранение и удаление
Данные аккаунта и служебные метаданные хранятся, пока аккаунт и соответствующие объекты необходимы для работы сервиса. Данные обращения в поддержку хранятся отдельно от защищённых чатов, пока это необходимо для ответа, истории решения, предотвращения злоупотреблений и выполнения обоснованного запроса пользователя; удалить их можно по запросу, если хранение больше не требуется по закону или для безопасности. Незавершённые загрузки удаляются автоматически. Централизованные эксплуатационные журналы ротируются с периодом хранения до 30 дней. Отдельные минимальные записи аудита безопасности и публичный журнал Key Transparency могут храниться дольше, когда это необходимо для обнаружения подмены ключей, предотвращения злоупотреблений и доказуемой целостности.
Удаление аккаунта отзывает его сессии и запускает удаление серверных данных согласно правилам целостности групп, аудита безопасности и резервного копирования. Локальные ключи и расшифрованные данные управляются на каждом устройстве отдельно.
8. Передача и поставщики инфраструктуры
Для размещения и сетевой доставки используются инфраструктурные поставщики. Они могут технически обрабатывать зашифрованные данные и сетевые метаданные, но не получают клиентские закрытые ключи. Данные не передаются рекламным сетям или брокерам данных.
- Apple Push Notification service получает токен устройства и нейтральную категорию события, необходимую для доставки уведомления. Текст сообщения, имя отправителя, идентификатор чата и ключи в системный push не помещаются.
- Независимые серверы-аудиторы Key Transparency получают публичные криптографические обязательства, контрольные точки, доказательства и время обновлений. Они не получают закрытые ключи, содержимое переписок, файлов или звонков.
- Страница поддержки Ironclad обрабатывает только добровольно указанные пользователем контактные данные и содержимое обращения. Обращения в поддержку не защищены сквозным шифрованием Ironclad и не связаны автоматически с псевдонимным аккаунтом приложения. Ironclad не просит отправлять PIN-код, пароль, ключ восстановления, одноразовый код, защищённый QR-код, закрытый ключ или содержимое переписки.
9. Безопасность устройства
Камера используется после разрешения пользователя для сканирования защищённых приглашений и QR-кодов проверки устройств, записи выбранных пользователем видеосообщений, а также при явном включении видео в защищённом звонке. Микрофон используется для разрешённых пользователем звонков, голосовых и видеосообщений. Круглое видеосообщение можно просмотреть локально перед добавлением в черновик; само видео, изображение предпросмотра и сведения о формате круглого видео передаются как зашифрованные вложения. Доступ к фотографиям используется только для выбранных пользователем изображений; безопасный режим вложений удаляет поддерживаемые метаданные перед шифрованием. Необязательная фотография профиля является публичной, как описано выше. Face ID или системная биометрия используется локально для разблокировки и не передаётся Ironclad. Приложение не запрашивает геопозицию.
Сквозное шифрование не защищает содержимое после его расшифровки на разблокированном или скомпрометированном устройстве. Защита снимков и записи экрана зависит от возможностей операционной системы и не является абсолютной на взломанном устройстве. Пользователю следует включить системную блокировку, биометрическую защиту Ironclad и своевременно отзывать потерянные устройства.
10. Выбор и управление данными
- публичное имя и видимость в поиске можно не включать или отключить;
- активные устройства и сессии можно просматривать и отзывать;
- аккаунт можно удалить из настроек приложения;
- локальное защищённое хранилище можно очистить на устройстве.
Вопросы о конфиденциальности и запросы, которые невозможно выполнить в приложении: vadimka.zaletaev@mail.ru.
11. Правовые основания и права
Обязательные технические данные обрабатываются для предоставления и защиты запрошенного пользователем сервиса. Необязательное публичное имя, видимость в поиске, уведомления и системные разрешения включаются по выбору пользователя и могут быть отключены. Защитные журналы и ограничения злоупотреблений обрабатываются для обеспечения безопасности сервиса и его участников.
Пользователь может запросить сведения о серверных данных, их исправление или удаление по адресу, указанному ниже. Для защиты аккаунта Ironclad может потребовать криптографическое подтверждение управления аккаунтом или устройством. Инфраструктура и её поставщики могут находиться в разных юрисдикциях; при этом передаваемое содержимое остаётся зашифрованным, а объём доступных метаданных ограничивается назначением сервиса.
12. Изменения политики
При существенном изменении способов обработки данных эта страница будет обновлена с новой датой вступления в силу. Изменения, требующие выбора пользователя, не применяются скрытно.
Privacy Policy
Scope and controller
This policy applies to the Ironclad mobile application for iOS and Android and its supporting infrastructure. The service controller is Vadim Zaletaev, Krasnodar, Russian Federation.
End-to-end encryption
Message and chat-attachment content, private group and topic titles, voice and video messages, and audio/video-call media are protected by end-to-end encryption. Private keys are generated and retained on user devices. Ironclad servers store or relay ciphertext and public cryptographic artifacts and do not receive the client private keys required to decrypt content.
Data processed
Ironclad does not require a phone number, email address, legal name, or server-account password. The service processes random pseudonymous account and device identifiers, public keys, optional public profile data, conversation membership and roles, invitation and access-control state, delivery and read state, encrypted-file operational metadata, call state, encrypted APNs and VoIP delivery tokens, notification preferences, public Key Transparency commitments and auditor signatures, and security events.
Network logs may contain IP address, client type, request path, request identifier, timestamp, status, and duration. They do not contain message bodies, file contents, encryption keys, or unencrypted call audio. Ciphertext payloads are not written to logs.
If a user voluntarily opens a ticket on the separate support portal, it processes the name and email address supplied by the user, ticket subject, message and attachments, reply history, ticket state, IP address, and portal security logs.
A content report contains a random report id, reporter account/device id, author/conversation/object ids, one reason category, time, a block request, review status, and optional Safety-contact consent. It never includes message text, decrypted media, a preview, screenshot, draft, attachment name, content key, or special moderation evidence. The backend verifies only that routing metadata proves the reporter was entitled to see the object and that the named account authored it.
Metadata and server compromise
The server must associate an encrypted event with a pseudonymous account, device, and conversation to route it and enforce access controls. A server compromise may expose pseudonymous identifiers, membership and role metadata, timing and size information, IP addresses, and security logs. It should not expose previously encrypted message content, file content, or call media without access to an unlocked user device or its private keys.
Optional public profile photo
You may separately choose a profile photo. Other users who can access your account can see it, including in public search when your account appears there. This photo is not end-to-end encrypted: the server stores a reduced JPEG and can process its plaintext content. Original location metadata is removed before upload. This does not change encryption of messages, attachments or calls.
You can replace or remove the photo in Settings; account deletion removes it from active server storage. Disabling search does not hide the photo from people who already know your account. Cached images may take time to refresh, and copies saved by other people cannot be recalled. A photo does not establish identity or official account status.
Purposes and sharing
Data is processed only for app functionality, synchronization, access control, encrypted file transfer, calls, abuse prevention, report-metadata review, manual sanctions, diagnostics, and voluntary support requests. Three independent reports raise queue priority but never automatically disable an account. Administrators receive no decryption capability. Ironclad does not use data for advertising, cross-app tracking, or advertising profiling, does not sell user data, and does not share it with data brokers. Infrastructure providers may process ciphertext and network metadata but do not receive client private keys.
Optional official Safety outreach
The separate “Allow @ironclad to contact me” choice is off by default. If enabled, the cryptographically bound official account may send a normal E2EE contact request. Its private keys remain on a dedicated device; neither the administrator website nor the backend can read that chat. The reporter decides whether to accept and whether to share any description or screenshot.
Retention and choices
Account data and operational metadata are retained while needed to provide the service. Support requests are stored separately from protected chats while needed to respond, preserve resolution history, prevent abuse, and honor a justified user request; they may be deleted on request unless retention remains legally or security-necessary. Incomplete uploads expire automatically. Central operational logs are rotated with retention of up to 30 days. Minimal security-audit records and the public Key Transparency log may be retained longer when needed to detect key substitution, prevent abuse, and preserve verifiable integrity. Users can disable public-profile visibility, revoke devices and sessions, delete their account in the app, and clear protected local storage.
Push, Key Transparency, and support providers
Apple Push Notification service receives a device token and a neutral event category needed for delivery; system push payloads do not contain message text, sender names, conversation identifiers, or encryption keys. Independent Key Transparency auditors receive only public commitments, checkpoints, proofs, update timing, and auditor signatures, not private keys or communication content. The Ironclad support page processes only contact details and request content submitted voluntarily by the user. Support requests are not protected by Ironclad end-to-end encryption and are not automatically linked to a pseudonymous app account. Support will never ask for an app PIN, password, recovery key, one-time code, protected QR code, private key, or conversation content.
Device permissions and local protection
The camera is used with permission to scan protected invitations and device-verification QR codes, record video messages you choose to create, and when you explicitly enable video in a protected call. The microphone is used for user-authorized calls, voice messages and video messages. A round video message can be reviewed locally before adding it to a draft; the video, poster image and round-video presentation metadata are transmitted through encrypted attachments. Photo access is limited to images selected by the user; safe-photo mode for attachments removes supported metadata before encryption. The optional profile photo is public as described above. Face ID or system biometrics are used locally for unlocking and are not sent to Ironclad. The app does not request location. Screen-capture protections depend on operating-system capabilities and cannot be absolute on a compromised device.
Legal basis and rights
Required technical data is processed to provide and secure the service requested by the user. Public profile visibility, notifications, and system permissions are optional and can be withdrawn. A user may request access, correction, or deletion of server-held data using the contact below. To protect the account, Ironclad may require cryptographic proof of control of the account or device. Infrastructure may operate across jurisdictions, while content remains encrypted and metadata access is limited to service purposes.
Contact and updates
Privacy inquiries: vadimka.zaletaev@mail.ru. Material changes will be published here with an updated effective date.