Prywatność w qubie

Data wejścia w życie: 1 maja 2026 Wersja: 1.0 — publikacja początkowa

W skrócie: Szyfrujemy Twoją treść na Twoim urządzeniu. Nie czytamy jej, nie przechowujemy tekstu jawnego, nie sprzedajemy danych i nie trenujemy na niej AI. Twój e-mail i pseudonim są używane tylko do funkcji, które włączysz. Zapieczętowana treść żyje na zawsze w trwałym magazynie — gdy tam jest, nawet my nie możemy jej usunąć. Przeczytaj §5 uważnie przed pieczęcią.

Kim jesteśmy

qub.social jest obsługiwany przez VSPRY AUSTRALIA PTY LIMITED (ABN 41 631 026 330), Level 38, 71 Eagle Street, Brisbane QLD 4000, Australia. Odniesienia do "qub", "my", "nas" i "nasz" oznaczają ten podmiot, który działa jako administrator danych (GDPR / UK GDPR), podmiot APP (Privacy Act 1988 (Cth)) i "biznes" (CCPA / CPRA) dla informacji osobowych przetwarzanych przez Usługę.

Kontakt prywatności: Mark Harper — support@qub.social z prefiksem tematu [PRIVACY].

1. Czym jest qub

qub jest platformą zobowiązań i publikacji czasowych. Piszesz qub, wybierasz przyszłą datę ujawnienia, a Twoja przeglądarka zamyka go z użyciem publicznej usługi czasowego uwalniania, tak by nie mógł być otwarty, dopóki ta data nie nadejdzie. Zapieczętowana kopia jest przechowywana w zdecentralizowanej trwałej warstwie magazynowania, której nie prowadzimy. Po dacie ujawnienia każdy z linkiem może odszyfrować i przeczytać treść.

Platforma jest zbudowana tak, że nie jesteśmy w łańcuchu zaufania. Zamykanie i odblokowywanie dzieje się na Twoim urządzeniu. Zanim qub dotrze do nas, jest już zapieczętowaną paczką, a mała część linku potrzebna do jego otwarcia zostaje w Twojej przeglądarce z założenia — z zastrzeżeniem założeń kryptograficznych ujawnionych w naszym Regulaminie §13.3 i wąskiego opt-in kanału odzyskiwania opisanego w §2.3 poniżej. Gdy coraz więcej internetu staje się generowane maszynowo, możliwość wskazania na zapieczętowaną wiadomość i udowodnienia "to istniało dokładnie w tej chwili" liczy się bardziej, nie mniej — a ten dowód działa, nawet gdy nasze serwery są offline, nawet gdy przestaniemy istnieć.

Ta polityka prywatności wyjaśnia, jakie dane zbieramy, jakich nie zbieramy i implikacje prywatności użycia trwałego publicznego magazynu.

2. Dane, które zbieramy

2.1 Treść, którą pieczętujesz

Gdy pieczętujesz qub w przeglądarce, Twoja treść jest szyfrowana na Twoim urządzeniu, zanim opuści Twoją przeglądarkę. Nasze serwery nie otrzymują Twojego tekstu jawnego w przeglądarkowym przepływie pieczętowania. Zaszyfrowany ładunek jest przesyłany do trwałego magazynu, nie do serwerów, które kontrolujemy. Istnieją dwa wyraźne wyjątki: (1) API /api/v1/seal Builder, gdzie klient API celowo wysyła tekst jawny oraz klucz opakowania wygenerowany przez wywołującego do pieczętowania po stronie serwera w pamięci (nie utrwalamy ani nie logujemy żadnej z tych wartości); oraz (2) opt-in kanału odzyskiwania opisany później w tej sekcji, gdzie klucz opakowania per-qub towarzyszy już zaszyfrowanemu uploadowi, byśmy mogli włączyć działający link dostarczenia do Twojego e-maila potwierdzającego pieczęć. Klienci API, którzy wymagają ślepoty na bajty przepływu przeglądarkowego, mogą pieczętować lokalnie i użyć /api/v1/upload.

Po dacie ujawnienia treść staje się publicznie odszyfrowywalna przez każdego, kto ma identyfikator transakcji trwałego magazynu (który jest osadzony w linku qub, który udostępniasz).

2.2 Identyfikator urządzenia

Przy pierwszym użyciu qub generuje losowy identyfikator urządzenia i przechowuje go w lokalnym magazynie Twojej przeglądarki (IndexedDB). Ten identyfikator jest używany do śledzenia Twojej kwoty użytkowania na poziomie darmowym i do powiązania płatnych uprawnień z Twoim urządzeniem. Nie jest wyprowadzony z odciskowania palców sprzętowych ani śledzenia międzywitrynowego.

Identyfikator urządzenia może zostać utracony, jeśli wyczyścisz dane przeglądarki, zmienisz urządzenia lub użyjesz przeglądania prywatnego. To nie jest trwała tożsamość — to wygodne powiązanie.

2.3 Adres e-mail

Zbieramy Twój adres e-mail tylko wtedy, gdy używasz funkcji, która tego wymaga. Każde użycie jest ograniczone do podanego celu. Nie wysyłamy e-maili marketingowych i nie budujemy profili z adresów e-mail.

Udostępniamy adresy e-mail tylko Stripe (dla zakupów) i naszemu dostawcy e-maila transakcyjnego (dla każdego innego e-maila wymienionego powyżej — zobacz §8 dla aktualnego dostawcy). Żadna ze stron nie otrzymuje adresów zebranych przez drugą.

Wszystkie e-maile wymienione powyżej są komunikacjami transakcyjnymi lub związanymi z usługą wysyłanymi w odpowiedzi na konkretne działanie użytkownika. Nie są komercyjnymi wiadomościami elektronicznymi w rozumieniu Spam Act 2003 (Cth) i nie są komercyjnymi wiadomościami pod amerykańskim CAN-SPAM Act. Nie wysyłamy e-maili marketingowych, a więc nie ma listy marketingowej do wypisania się. Każdy typ e-maila może być wyłączony u źródła: magic-link przez niezażądanie logowania; powiadom-mnie przez link wypisania się w e-mailu powiadomienia; e-maile cyklu życia / potwierdzenia pieczęci przez nieopt-in w czasie pieczęci.

Gdy ukończysz logowanie magic-link po raz pierwszy, qub również auto-alokuje publiczny pseudonim w Twoim rekordzie tożsamości. Pseudonim jest oddzielnym identyfikatorem od Twojego e-maila — jest publicznie widoczny i odwracalnie wyszukiwalny, ale nie ujawnia adresu e-mail, z którym jest powiązany. Zobacz §2.12.

URL-e odzyskiwania i opt-in e-maili cyklu życia. Każdy zapieczętowany qub jest zamknięty z kluczem per-qub, który żyje w części linku udostępniania po symbolu # (https://qub.social/c/<id>#<key>). Przeglądarki nie przesyłają tej części do żadnego serwera, więc domyślnie nigdy nie widzimy klucza — co oznacza, że nie możemy odzyskać Twojego qub, jeśli zgubisz link.

Możesz opt-in do kanału odzyskiwania: gdy włączysz e-maile cyklu życia twórcy dla konkretnego qub i e-mail, który dostarczasz, pasuje do Twojej zweryfikowanej tożsamości, akceptujemy klucz z uploadem, przechowujemy pełen link dostarczenia w rekordzie zapieczętowanej historii Twojej tożsamości i umieszczamy go w Twoim e-mailu potwierdzającym pieczęć, tak by URL w Twojej skrzynce faktycznie otwierał qub. To jest wymiana — kanał zapasowy w zamian za pewną czystość end-to-end — i angażuje się tylko wtedy, gdy zdecydujesz się na opt-in, tylko dla qub, dla którego zdecydowałeś się na opt-in. Bez opt-in (lub z e-mailem, którego nie możemy zweryfikować), klucz zostaje w Twojej przeglądarce i nigdy nie dociera do naszych serwerów.

2.4 Klucze podpisujące

Jeśli generujesz klucz podpisujący, para kluczy jest tworzona i przechowywana całkowicie na Twoim urządzeniu. Tylko Twój klucz publiczny jest przesyłany do naszego serwera — gdy podpisujesz quba lub weryfikujesz swoją tożsamość przez atestację e-mail. Twój klucz prywatny nigdy nie opuszcza Twojej przeglądarki. Klucze publiczne i rekordy atestacji są przechowywane w naszym magazynie metadanych.

2.5 Informacje o płatności

Płatności są przetwarzane całkowicie przez Stripe. Nie otrzymujemy ani nie przechowujemy Twojego numeru karty kredytowej, daty ważności ani CVC. Stripe może zbierać dodatkowe informacje podczas checkout, w tym Twoje nazwisko, adres rozliczeniowy i informacje o urządzeniu, w celu zapobiegania oszustwom i przetwarzania płatności. Polityka prywatności Stripe reguluje obsługę Twoich szczegółów płatności: https://stripe.com/privacy

Stripe może zacząć zbierać informacje (takie jak dane wprowadzone do formularza checkout) zanim ukończysz zakup. To jest standardowe zachowanie Stripe dla zapobiegania oszustwom i jest regulowane polityką prywatności Stripe, nie naszą.

2.6 Telemetria

qub zbiera minimalną, anonimową telemetrię produktu, by rozumieć, jak produkt jest używany i diagnozować błędy. Zdarzenia telemetrii obejmują akcje takie jak "seal completed", "viewer loaded" i "decryption succeeded", wraz z danymi taktowania.

Czego telemetria nie zawiera:

• Twojego identyfikatora urządzenia
• Twojego adresu IP — qub nie loguje adresów IP klienta wobec zdarzeń telemetrii w warstwie aplikacji; przejściowe logowanie metadanych żądania przez naszego dostawcę infrastruktury (zobacz §2.9) jest regulowane jego polityką prywatności i nie jest łączone z telemetrią
• Twojej treści ani jakiegokolwiek podglądu Twojej treści
• Żadnej informacji, która identyfikuje Cię osobiście

Ponieważ zdarzenia telemetrii nie zawierają informacji, która identyfikuje Cię, i żadnej informacji, którą moglibyśmy połączyć z innymi danymi, które posiadamy, by Cię zidentyfikować, traktujemy je jako anonimowe informacje, które wykraczają poza zakres "danych osobowych" pod GDPR Art. 4(1) i Recital 26 (oraz równoważnymi definicjami pod Privacy Act 1988 (Cth) i CCPA / CPRA). Reżim ochrony danych — w tym prawo sprzeciwu pod GDPR Art. 21 — nie stosuje się do anonimowych informacji, a my nie oferujemy oddzielnego opt-out dla telemetrii.

Jeśli regulator z jurysdykcją nad Tobą przyjmie inne stanowisko wobec tej klasyfikacji, będziemy traktować telemetrię jako dane osobowe na podstawie uzasadnionego interesu pod GDPR Art. 6(1)(f) dla celów operacyjnych opisanych powyżej. Obowiązująca podstawa prawna usiadłaby wtedy obok §4; Twoje inne prawa są nieaffektowane wyborem klasyfikacji.

Zdarzenia telemetrii są buforowane w pamięci i opróżniane okresowo. Jeśli opróżnianie zawiedzie, zdarzenia są odrzucane — telemetria nigdy nie ponawia ani nie utrwala do lokalnego magazynu. Telemetria nigdy nie może zakłócać doświadczenia produktu.

Iframe embed qub strzela tymi samymi rodzajami anonimowych zdarzeń z powrotem do qub.social — viewer_arrival, gdy embed się ładuje, i share_clicked, gdy widz stuka CTA stopki embed. Te zdarzenia mają ten sam kształt co telemetria in-app powyżej: brak IP, brak identyfikatora urządzenia, brak podglądu treści i żaden tracker strony trzeciej nie jest zaangażowany.

2.7 Wykrywanie botów

qub używa prywatnościowo-zachowującej alternatywy CAPTCHA, by zapobiegać automatycznym nadużyciom przepływu pieczęci. Wyzwanie nie używa ciasteczek do śledzenia i nie odciska palca Twojego urządzenia w celach reklamowych. Dostawca upstream i jego polityka prywatności są wymienione w §8.

2.8 Zgłoszenia nadużyć

Jeśli zgłosisz qub, zbieramy powód zgłoszenia i opcjonalny tekst wyjaśniający, który dostarczasz. Przechowujemy jednokierunkowy hash Twojego adresu IP wraz ze zgłoszeniem — nie Twój adres IP w jasny sposób. Ten hash jest używany tylko do ograniczania częstotliwości nadużyć zgłoszeń.

2.9 Logi serwera

Nasz dostawca infrastruktury (Cloudflare) może logować metadane żądań (adresy IP, ścieżki żądań, znaczniki czasu) jako część standardowej operacji usługi. Te logi są regulowane polityką prywatności Cloudflare i podlegają jego okresom retencji, które są zwykle krótkie — w skali dni do tygodni. Nie eksportujemy ani nie archiwizujemy pełnych logów ruchu Cloudflare i nie wzbogacamy ich żadnymi innymi danymi, które posiadamy. Wąski zestaw sygnałów wyprowadzonych z sieci, które utrwalamy do triażu sankcji i nadużyć, jest opisany oddzielnie w §2.13.

2.10 Osadzone quby

Wydawcy mogą osadzać zapieczętowane quby na stronach stron trzecich (blogi, strony Notion, posty Substack itd.) z użyciem snippetu embed qub. Embed renderuje wewnątrz iframe ładowanego same-origin z qub.social, więc używa tego samego szyfrowania, tych samych pobrań z trwałego magazynu i drand oraz tej samej anonimowej telemetrii opisanej powyżej. Strona-gospodarz nie może odczytać DOM iframe embed — izolacja sandboxa przeglądarki to egzekwuje — a embed nie wprowadza nowego zbierania ani procesora strony trzeciej.

2.11 Metadane łańcucha odpowiedzi

Gdy autorujesz quba odpowiedzi z innego strony ujawnienia quba, identyfikator transakcji magazynu quba rodzica jest dołączany do uploadu nowego quba jako publiczny tag (Parent-Tx-Id). Ten tag jest tym, co pozwala stronie ujawnienia renderować back-link "Replied to {parent}" bez wymagania, by serwery kontrolowane przez qub utrzymywały odwrotny indeks. Tag jest publiczną właściwością magazynu i jest trwały z tych samych powodów co §3 i §5. qub_id rodzica (który jest kryptograficznym identyfikatorem, do którego wiąże się zaszyfrowana koperta) jest oddzielnym polem, które żyje wewnątrz zaszyfrowanej koperty i staje się widoczne tylko po tym, jak sam qub odpowiedzi się odblokuje.

Możesz autorować quba odpowiedzi bez używania UI odpowiedzi qub — ale jeśli dotrzesz do ekranu kompozycji przez CTA "Seal a reply →" na stronie ujawnienia, odniesienie do rodzica jest ustawiane automatycznie. Kontekst odpowiedzi może być wyczyszczony z ekranu kompozycji jednym stuknięciem przed pieczęcią.

2.11a Publiczne przypisanie (tag Author) — opt-in

Gdy pieczętujesz qub, upload zawiera opcjonalny tag magazynu Author, który niesie odcisk palca Twojego klucza podpisującego. Aplikacja referencyjna twórcy dołącza ten tag tylko wtedy, gdy wyraźnie włączysz "Public attribution" na etapie wyboru daty w czasie pieczęci. Gdy zostawiasz przełącznik wyłączony, upload pomija Twój odcisk palca, żaden tag Author nie jest pisany, a qub jest nieprzypisany w trwałym magazynie.

Gdy włączasz publiczne przypisanie, odcisk palca rozwiązuje się do Twojego zweryfikowanego @handle (i wszelkich powiązanych pól profilu publicznego pod §2.12) w czasie renderowania widza. Przypisanie jest decydowane per qub — możesz przypisać niektóre z Twoich qubów, a inne nie, a wybór jest rejestrowany trwale wraz z samym qubem.

Pole title tekstu jawnego na zapieczętowanym qubie (opcjonalna jednolinijkowa etykieta, którą możesz ustawić na etapie wyboru daty, domyślnie etykieta intencji) nie jest metadanymi tożsamości, ale jest tekstem jawnym na przechowywanym artefakcie i widoczne na odliczaniu widza przed ujawnieniem. Traktuj odpowiednio — wybierz tytuł, który czujesz się komfortowo, że będzie trwały i publiczny.

2.12 Osobiste pseudonimy i publiczne strony profilu

Gdy ukończysz logowanie magic-link, qub auto-alokuje osobisty pseudonim w Twoim rekordzie tożsamości w formie @adjective_noun_NNN (np. @orange_fox_612). Pseudonim jest domyślną publiczną sygnaturą pokazywaną na qubach, które wyraźnie wybrałeś, by publicznie przypisać (§2.11a), zastępując surowy kryptograficzny odcisk palca przyjazną dla człowieka etykietą. Pseudonim jest publicznie widoczny i odwracalnie wyszukiwalny przez GET /api/v1/handle/{handle}, który zwraca posiadający odcisk palca klucza publicznego (60-sekundowy cache krawędzi). Odwrotne wyszukiwanie nie zwraca adresu e-mail powiązanego z tą tożsamością — widz, który podąża za pseudonimem, nie uczy się Twojego e-maila. Endpoint odwrotnego wyszukiwania jest nieuwierzytelniony i ograniczony częstotliwościowo na krawędzi; to jest celowe (jest publiczną powierzchnią weryfikacji tożsamości), ale oznacza to, że każda strona, która zna Twój pseudonim, może potwierdzić podstawowy odcisk palca klucza publicznego.

Możesz przemianować pseudonim w dowolnym momencie z /podpis. Żądanie zmiany nazwy jest uwierzytelniane przez kryptograficzny podpis z Twojego klucza prywatnego (z użyciem schematu podpisu post-kwantowego ML-DSA-65), ograniczone do jednej zmiany nazwy co 30 dni. Zmiana nazwy zwalnia poprzedni pseudonim z powrotem do puli przestrzeni nazw z zastrzeżeniem standardowych reguł rezerwacji.

Każdy zażądany pseudonim ma publiczną stronę profilu pod /u/{handle} (i /@{handle}, która 302-przekierowuje do tej samej strony). Profil jest czystą kartą zweryfikowanej tożsamości — pokazuje:

• Twój pseudonim.
• Opcjonalną nazwę wyświetlaną i opcjonalny URL profilu, które sam dostarczasz. Oba pola są puste, dopóki ich nie ustawisz, i publicznie widoczne, gdy je ustawisz. Ustawianie ich jest uwierzytelniane przez oddzielne podpisane żądanie z ochroną przed replay. Nazwa wyświetlana jest normalizowana do NFC, ograniczona do 50 punktów kodowych i pozbawiona znaków kontrolnych; URL musi być http:// lub https:// i jest ograniczony do 512 znaków.
• Plakietkę "verified email", gdy atestacja e-mail jest w rekordzie. Sam adres e-mail nigdy nie jest wyświetlany — tylko boolean badge potwierdzający, że atestacja istnieje.
• Krótki kryptograficzny odcisk palca (qub:abcd…1234) jako kotwica tożsamości na poziomie protokołu.

Profil jest celowo kartą tożsamości. Nie wymienia qubów, które autoryzowałeś. Publiczne przypisanie jest opt-in per qub (§2.11a) — tylko quby, które wyraźnie wybrałeś, by przypisać, niosą Twój odcisk palca w trwałym magazynie w ogóle, a strona profilu ich nie wylicza. By skierować odwiedzających do konkretnego quba, udostępnij URL dostarczenia quba (link, który otrzymujesz w czasie pieczęci).

Gdy crawler wyszukiwarki lub unfurler social-media pobiera stronę profilu, qub renderuje małą odpowiedź po stronie serwera zawierającą tytuł strony i JSON-LD Person schema. Przeglądarki przechodzą do tej samej powłoki single-page-app, co reszta widza. Odpowiedź po stronie bota nie niesie informacji, która nie jest już publiczna na samej stronie.

Wyczyszczenie nazwy wyświetlanej lub URL profilu usuwa te pola z następnego renderu Twojego profilu. Publicznie przypisane przez Ciebie quby nie mogą być usunięte z trwałego magazynu — na żądanie umieścimy quba na liście blokowania, co usuwa go z widoku qub; podstawowe przechowywane dane pozostają, jak opisano w §5.

2.13 Sygnały sieciowe dla triażu sankcji i nadużyć

Dla znaczących uwierzytelnionych lub wpływających na konto akcji (logowanie, tworzenie i użycie klucza API, pieczętowanie, żądania zarządzania kontem), możemy przechwytywać i utrwalać mały zestaw sygnałów wyprowadzonych z sieci, ujawnionych naszemu backendowi przez Cloudflare: przybliżony kraj żądania, operator sieci (ASN), identyfikator żądania Cloudflare (CF-Ray) oraz solony jednokierunkowy hash IP żądania i ciągu user-agent. Nie utrwalamy surowego adresu IP w rekordzie użytkownika ani w naszym logu zdarzeń po stronie aplikacji.

Te sygnały są używane pod naszą Polityką Sankcji i Ograniczonego Użytkowania do zarządzania ryzykiem, zapobiegania nadużyciom i by umożliwić nam odpowiadanie na zapytania o ograniczony dostęp. Kraj wyprowadzony z IP jest przybliżony i nie jest traktowany jako rozstrzygający dowód tożsamości.

Najnowsze wartości są przechowywane w Twoim rekordzie tożsamości dla szybkiego triażu; rekord zdarzeń tylko-doklejany jest również pisany do naszych wewnętrznych logów za każdym razem, gdy znacząca akcja jest obserwowana, a ten log zdarzeń — nie rekord użytkownika — jest autorytatywną warstwą dowodową, jeśli kiedykolwiek musimy wyjaśnić decyzję. Wewnętrzna dokumentacja opisująca dokładnie, jakie pola trzymamy, gdzie są przechowywane i okres retencji, żyje pod docs/sanctions-geo-triage.md w naszym open-source'owym repozytorium.

3. Dane, których nie zbieramy

• Nie czytamy, nie skanujemy ani nie moderujemy Twojej treści przed jej zapieczętowaniem; szyfrowanie dzieje się na Twoim urządzeniu. Wąski opt-in kanału odzyskiwania opisany w §2.3 jest jedyną ścieżką, na której klucz opakowania per-qub dociera do naszych serwerów, a nawet wtedy Twój tekst jawny tego nie robi.
• Nie używamy trackerów reklamowych, pikseli analitycznych ani skryptów marketingowych stron trzecich.
• Nie sprzedajemy, nie wynajmujemy ani nie handlujemy żadnymi danymi stronom trzecim. Pod California Consumer Privacy Act (CCPA) nie "sprzedajemy" ani "udostępniamy" Twoich informacji osobowych dla cross-context reklamy behawioralnej.
• Nie używamy Twoich danych do trenowania modeli uczenia maszynowego.
• Nie budujemy profili użytkowników ani grafów behawioralnych.

4. Podstawa prawna przetwarzania

Tam, gdzie prawo ochrony danych wymaga podstawy prawnej dla przetwarzania danych osobowych, nasze są następujące:

Zdarzenia telemetrii (§2.6) są anonimowe i dlatego nie są danymi osobowymi w rozumieniu GDPR Art. 4(1) — żadna podstawa prawna nie jest wymagana i nie pojawiają się w tej tabeli.

5. Trwałe przechowywanie — ważne ujawnienie

To jest najważniejsza sekcja tej polityki. Przeczytaj ją uważnie.

Pakt trwale publikuje adresy e-mail obu stron. Gdy pakt jest współpodpisany i zapieczętowany, nazwiska obu stron i adresy e-mail, które każda dostarczyła, są zapisane w zaszyfrowanym ciele. Po dacie ujawnienia to ciało jest publicznie odszyfrowywalne, a adresy stają się trwałe i publiczne. Nie staged paktu wobec adresu e-mail, którego właściciel nie wyraźnie zgodził się na tę publikację. To jest nieodwracalne.

qub przechowuje zapieczętowaną treść w trwałym, odpornym na manipulacje publicznym magazynie. Ten magazyn jest zaprojektowany, by być trwałym i niezmiennym. Gdy Twoja treść zostanie przesłana do trwałego magazynu, nie może być usunięta, modyfikowana ani odwołana — przez Ciebie, przez nas ani przez nikogo.

Co to oznacza w praktyce:

• Przed datą ujawnienia: Twoja treść jest zaszyfrowana i nieczytelna (z zastrzeżeniem założeń kryptograficznych ujawnionych w Regulaminie §13.3).
• Po dacie ujawnienia: Twoja treść staje się publicznie odszyfrowywalna. Każdy z identyfikatorem transakcji trwałego magazynu (zawartym w linku qub) może odszyfrować i przeczytać.
• Jeśli zmienisz zdanie: Nie możemy usunąć ani zmienić treści przechowywanej w trwałym magazynie. Możemy dodać qub do listy blokowania, tak by widok qub odmawiał jego wyświetlania, ale podstawowe dane pozostają w trwałym magazynie i mogą być dostępne innymi sposobami.

Model listy blokowania zapewnia praktyczne usunięcie z powierzchni produktu qub. Nie zapewnia usunięcia z internetu.

Powinieneś pieczętować tylko treść, którą czujesz się komfortowo, że będzie trwale i publicznie dostępna po dacie ujawnienia. Rozważaj uważnie przed pieczęcią treści, która zawiera informacje osobowe o Tobie lub innych.

Pakty (szczegół techniczny). Ciało paktu rejestruje nazwiska obu stron i dane kontaktowe (w tym adresy e-mail) wewnątrz podpisanego ciała CBOR. Gdy obie strony współpodpiszą i zapieczętowany pakt zostanie przesłany do trwałego magazynu, te identyfikatory stają się częścią trwałego rekordu i są publicznie odszyfrowywalne po dacie ujawnienia. Zobacz pogrubione ostrzeżenie na górze tej sekcji.

Publiczne strony profilu. Strona profilu pod /u/{handle} jest kartą zweryfikowanej tożsamości opisaną w §2.12 — pseudonim, opcjonalna nazwa wyświetlana, opcjonalny URL, plakietka "verified email", krótka forma odcisku palca. Nie wymienia qubów, które autoryzowałeś. Zmiana nazwy Twojego pseudonimu zastępuje publiczne powiązanie natychmiast. Quby, które publicznie przypisałeś pod poprzednim pseudonimem, nadal są przypisywane do tego samego odcisku palca klucza publicznego, który teraz rozwiązuje się do nowego pseudonimu przez łańcuch atestacji.

5.1 Strony trzecie w Twojej treści

Gdy włączysz informacje osobowe innej osoby do zapieczętowanego qub lub paktu (na przykład, wymieniając ją, włączając jej adres e-mail jako kontrahenta paktu lub cytując jej korespondencję), jesteś odpowiedzialny za zapewnienie, że masz podstawę prawną, by to zrobić pod prawem swojej jurysdykcji. Przetwarzamy te informacje wyłącznie na Twoje instrukcje, w naszej roli dostawcy usług dla Ciebie. Nie mamy bezpośredniej relacji ze stroną trzecią i polegamy na Tobie, by dostarczyć jej każde powiadomienie, którego wymaga jej obowiązujące prawo prywatności. Ta odpowiedzialność jest wzmocniona w naszym Regulaminie §15 (indemnizacja) i Polityce Treści Generowanych przez Użytkowników.

6. Twoje prawa i wybory

6.1 Dostęp i przenośność

Twoje zapieczętowane quby są przechowywane w trwałym publicznym magazynie. Masz już bezpośredni dostęp do nich przez identyfikatory transakcji w Twoich linkach qub. Żadne żądanie dostępu do danych do nas nie jest potrzebne.

6.2 Usuwanie i wymazanie

Trwały magazyn jest trwały, więc nie możemy usuwać zapieczętowanej treści. Jeśli poprosisz nas o wymazanie qub, przejrzymy żądanie pod procedurą w naszej Polityce Treści Generowanych przez Użytkowników §6. Jeśli ją uznamy, dodajemy qub do naszej listy blokowania — widok i cache qub przestają go serwować. Podstawowe dane w trwałym magazynie pozostają; to jest najwięcej, na co nasza architektura pozwala.

Dla danych, które trzymamy bezpośrednio (adres e-mail, identyfikator urządzenia, rekordy uprawnień, rekordy tożsamości i atestacji, osobisty pseudonim, nazwa wyświetlana profilu i URL), możesz zażądać usunięcia, pisząc na support@qub.social z prefiksem tematu [PRIVACY]. Zadziałamy na te żądania w ramach czasowych ustawowych — zwykle w ciągu 30 dni, z rozszerzeniami, gdy żądanie jest złożone lub liczne, jak dozwolone przez obowiązujące prawo (GDPR Art. 12(3); APP 12.4; CCPA §1798.130(a)(2)).

6.3 Korekta

Jeśli jakakolwiek informacja, którą trzymamy o Tobie, jest niepoprawna (na przykład e-mail powiązany z Twoim zakupem), skontaktuj się z nami, a poprawimy.

6.4 Sprzeciw wobec przetwarzania

Możesz sprzeciwić się naszemu przetwarzaniu uzasadnionego interesu pod GDPR Art. 21(1). Przetwarzania wykonywane na tej podstawie są wymienione w §4 i są ograniczone do (a) powiązania identyfikatora urządzenia, które stoi za Twoją kwotą darmowego poziomu i płatnym uprawnieniem, (b) jednokierunkowego hashu IP dołączonego do zgłoszeń nadużyć i (c) sygnałów wykrywania botów w przepływie pieczęci. Każdy jest konieczny albo do dostarczenia Usługi Tobie, albo do ochrony integralności platformy dla innych użytkowników. Po zasadniczo kompletnym sprzeciwie ocenimy go na meritum i albo zaprzestaniemy przetwarzania, albo, gdy Art. 21(1) pozwala, zademonstrujemy nadrzędne uzasadnione podstawy, które przeważają nad Twoimi interesami, albo polegamy na carve-out Art. 21(1) dla przetwarzania koniecznego do ustanowienia, wykonania lub obrony roszczeń prawnych. By sprzeciwić się, napisz na support@qub.social z prefiksem tematu [PRIVACY].

Telemetria (§2.6) nie podlega temu prawu, bo nie są to dane osobowe — zobacz wyjaśnienie na końcu §2.6.

7. Ciasteczka i lokalny magazyn

7.1 Ciasteczka ustawiane przez qub

qub nie ustawia ciasteczek — nie do śledzenia, nie do reklamy, nie do zarządzania sesją, nie do żadnego innego celu. Nie emitujemy nagłówków Set-Cookie z naszej aplikacji. Uwierzytelnianie używa HMAC-podpisanych tokenów magic-link dostarczanych do Twojego e-maila i zużywanych raz; telemetria używa anonimowych beaconów; powiązanie uprawnień używa identyfikatora urządzenia w lokalnym magazynie przeglądarki (§7.3). Żaden z tych mechanizmów nie wymaga ciasteczka. Ponieważ qub nie ustawia własnych ciasteczek, nie wyświetlamy bannera zgody na ciasteczka.

7.2 Ciasteczka ustawiane przez infrastrukturę stron trzecich

Dwóch dostawców infrastruktury, od których zależymy, może interakcjonować z magazynem ciasteczek Twojej przeglądarki jako część normalnej operacji ich usług. Nie kontrolujemy tych ciasteczek i nie zyskujemy zdolności śledzenia z nich:

• Cloudflare, nasz CDN i runtime krawędzi (§8), może ustawiać krótkotrwałe ściśle-konieczne ciasteczka w domenie qub.social (na przykład __cf_bm) do zarządzania botami i egzekwowania ograniczeń częstotliwości. Te ciasteczka nie są używane do śledzenia międzywitrynowego ani reklamy behawioralnej. Polityka prywatności Cloudflare i addendum Turnstile je regulują.
• Stripe prowadzi przepływ checkout płatności wewnątrz iframe ładowanego z checkout.stripe.com. Ciasteczka ustawiane tam należą do własnej domeny Stripe, są regulowane polityką prywatności Stripe i nie są czytelne przez qub. Istnieją tylko, gdy odwiedzasz przepływ checkout.

Nie używamy żadnych ciasteczek reklamowych ani analitycznych stron trzecich. Nie ma żadnych tagów Google Analytics, żadnych pikseli Meta i żadnych SDK reklamowych nigdzie na qub.social.

7.3 Lokalny magazyn (IndexedDB)

qub używa lokalnego magazynu przeglądarki (IndexedDB) do przechowywania:

• Twojego identyfikatora urządzenia (do powiązania uprawnień).
• Treści szkicu (zapisanej lokalnie na Twoim urządzeniu, nigdy nie przesyłanej, dopóki jej nie zapieczętujesz).
• Lokalnego cache Twojego rekordu powiązanej tożsamości i indeksu zapieczętowanej historii, tak by wracające urządzenie renderowało bez round-tripu serwera.
• Markerów per-tx_id (na przykład "już obejrzałeś tego quba", "już zareagowałeś") używanych przez widz, by tłumić duplikujące się inkrementy liczników.
• Stanu aplikacji.

Te dane zostają na Twoim urządzeniu i nie są przesyłane do nas, chyba że opisano w tej polityce. Identyfikator urządzenia jest wysyłany z żądaniami pieczęci i uploadu do weryfikacji uprawnień.

8. Usługi stron trzecich

9. Dzieci i wiek zgody

qub nie jest skierowany do dzieci poniżej 13 roku życia. Świadomie nie zbieramy informacji osobowych od dzieci poniżej 13, zgodnie ze Stanami Zjednoczonymi Children's Online Privacy Protection Act (COPPA, 15 U.S.C. §6501 et seq.). Jeśli lokalne prawo w Twojej jurysdykcji wymaga wyższego minimalnego wieku dla zgody cyfrowej (na przykład 16 pod GDPR w niektórych państwach członkowskich UE), musisz spełniać ten wyższy wiek, by używać qub.

Jeśli dowiemy się, że zebraliśmy informacje osobowe od dziecka poniżej obowiązującego minimalnego wieku, usuniemy te informacje z naszych systemów w rozsądnym czasie. Zapieczętowana treść już w trwałym magazynie nie może być usunięta; ograniczenie listy blokowania w §5 stosuje się. Jeśli wierzysz, że dziecko poniżej obowiązującego minimalnego wieku używało qub, skontaktuj się z nami pod support@qub.social z prefiksem tematu [PRIVACY], a podejmiemy odpowiednie działanie.

10. Bezpieczeństwo danych

Treść zapieczętowana przez qub jest szyfrowana na Twoim urządzeniu szyfrowaniem czasowym i dodatkowym zewnętrznym opakowaniem przed transmisją, więc nasze serwery nie trzymają tekstu jawnego (z zastrzeżeniem wąskich wyjątków ujawnionych w §2.1 i §2.3). Infrastruktura operacyjna obsługuje tylko metadane — rekordy uprawnień, wpisy listy blokowania, liczniki telemetrii, zgłoszenia nadużyć, rekordy tożsamości i dane atestacji.

Stosujemy techniczne i organizacyjne środki odpowiednie do ryzyka przetwarzania (GDPR Art. 32; APP 11.1):

• Bezpieczeństwo transportu (TLS) na każdym połączeniu.
• Szyfrowanie spoczywające w naszych magazynach klucz-wartość i obiektów, zapewniane przez naszą platformę infrastruktury.
• Operacyjny dostęp ograniczony rolą do endpointów administracyjnych, ogrodzony podpisanymi tokenami bearer.
• Logowanie audytowe na operacjach podpisujących, wydawaniu uprawnień i zmianach listy blokowania.
• Kontrole ograniczania częstotliwości i wykrywania botów (Cloudflare Turnstile) na publicznych endpointach.
• Okresowe audyty zależności i rutynowe łatanie toolchainów budowania i runtime.

Żaden system nie może być zagwarantowany jako bezpieczny. Jeśli dowiemy się o naruszeniu danych osobowych, które prawdopodobnie skutkuje ryzykiem dla Twoich praw i wolności, powiadomimy odpowiedni organ nadzorczy w ciągu 72 godzin, gdzie wymagane (GDPR Art. 33; UK GDPR), oraz powiadomimy OAIC i dotknięte osoby tak szybko, jak to praktycznie możliwe, gdy stosuje się schemat Privacy Act 1988 (Cth) Part IIIC Notifiable Data Breaches.

Dla obaw bezpieczeństwa lub zgłoszenia podatności, zobacz naszą politykę bezpieczeństwa pod https://qub.social/security lub napisz na support@qub.social z prefiksem tematu [SECURITY].

11. Użytkownicy międzynarodowi i regionalne prawa prywatności

11.1 Transgraniczne transfery danych

qub działa z Australii. Twoja zaszyfrowana treść żyje w globalnym trwałym publicznym magazynie, a metadane są przetwarzane przez Cloudflare, Stripe i Twilio / SendGrid (wszystkie w Stanach Zjednoczonych).

Gdy przesyłamy dane osobowe poza Australię lub EEA / Wielką Brytanię do kraju bez decyzji o adekwatności (zwłaszcza Stanów Zjednoczonych), polegamy na jednym z tych mechanizmów:

• EU–US Data Privacy Framework (i UK Extension), gdy odbiorca jest samocertyfikowany;
• Standardowe Klauzule Umowne 2021 Komisji Europejskiej lub International Data Transfer Addendum brytyjskiego ICO, włączone do umów przetwarzania danych z każdym procesorem wymienionym w §8; lub
• Twoja wyraźna zgoda pod GDPR Art. 49(1)(a) / APP 8.2(b), gdzie żaden inny mechanizm nie jest dostępny.

By dowiedzieć się, który mechanizm stosuje się do Twoich danych, napisz na support@qub.social z prefiksem tematu [PRIVACY].

11.2 Użytkownicy europejscy (GDPR i UK GDPR)

Jeśli jesteś w EEA lub Wielkiej Brytanii, masz prawo dostępu, korekty, usunięcia, ograniczenia lub przenoszenia swoich danych osobowych oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. By wykonać którekolwiek z tych praw, napisz na support@qub.social z prefiksem tematu [PRIVACY].

Dla zapieczętowanej treści w trwałym magazynie, usunięcie na warstwie magazynu jest technicznie niemożliwe. To mieści się w uznawanych ograniczeniach pod Artykułem 17(3) GDPR — zwłaszcza 17(3)(a) (wolność wyrażania i informacji) i 17(3)(e) (gdzie usunięcie jest technicznie niewykonalne). Po zasadniczo kompletnym żądaniu wymazania od osoby, której dane dotyczą, ocenimy żądanie pod procedurą opisaną w naszej Polityce Treści Generowanych przez Użytkowników §6 i, gdzie uznane, umieścimy qub na liście blokowania z widoku i iframe embed qub. Możemy odrzucać lub odraczać żądania, które są oczywiście nieuzasadnione lub nadmierne, które są sprzeczne z prawami innej strony (na przykład kontrahenta do zapieczętowanego paktu) lub które są wykluczone przez wstrzymanie prawne. Podstawowe przechowywane dane pozostają dostępne innymi sposobami.

Przedstawiciel Artykułu 27. Oceniliśmy nasze przetwarzanie danych osobowych EEA i obecnie polegamy na wyjątku GDPR Art. 27(2): nasze przetwarzanie jest okazjonalne, nie obejmuje specjalnych kategorii danych na dużą skalę i jest mało prawdopodobne, by skutkowało ryzykiem dla praw i wolności osób fizycznych. Wyznaczymy przedstawiciela Art. 27 w EEA i oddzielnego przedstawiciela Art. 27 UK GDPR dla Wielkiej Brytanii, gdy (a) zaczniemy oferować płatne plany na któryś rynek na nie-okazjonalnej podstawie, (b) proporcja użytkowników EEA / Wielkiej Brytanii w naszym rekordzie tożsamości przekroczy poziom, na którym wyjątek Art. 27(2) może być rozsądnie obroniony, lub (c) kompetentny organ nadzorczy zażąda. Do tego czasu polegamy na wyjątku Art. 27(2) i ponownie oceniamy przy każdej materialnej zmianie produktu lub objętości.

Jeśli wierzysz, że nie zaadresowaliśmy adekwatnie Twoich obaw, możesz złożyć skargę do organu ochrony danych Twojego miejsca zwykłego zamieszkania — na przykład brytyjskiego Information Commissioner's Office (ico.org.uk) dla użytkowników Wielkiej Brytanii lub organu nadzorczego Twojego państwa członkowskiego dla użytkowników EEA.

11.3 Użytkownicy Kalifornii (CCPA / CPRA)

Jeśli jesteś mieszkańcem Kalifornii, CCPA / CPRA zapewnia Ci konkretne prawa dotyczące Twoich informacji osobowych. W ciągu poprzednich 12 miesięcy zebraliśmy następujące kategorie informacji osobowych:

• Identyfikatory: adres e-mail (zbierany podczas zakupów, logowania, atestacji tożsamości lub subskrypcji powiadom-mnie); identyfikator urządzenia (losowo generowany, przechowywany lokalnie); auto-alokowany osobisty pseudonim i każdy spersonalizowany pseudonim, nazwa wyświetlana lub URL profilu, który ustawisz na swoim publicznym profilu (§2.12).
• Informacje komercyjne: historia zakupów i rekordy uprawnień.
• Informacje o aktywności w internecie lub innej sieci elektronicznej: metadane żądania logowane przez naszego dostawcę infrastruktury (§2.9), jednokierunkowy hash adresu IP dołączony do zgłoszeń nadużyć (§2.8) i nagłówki żądań dostarczone przez przeglądarkę konieczne do dostarczenia usługi.

Zachowujemy informacje osobowe przez okresy ustalone w §2.3 i §6, ogólnie nie dłużej niż jest to konieczne dla celu, dla którego zostały zebrane. Nie zbieramy ani nie przetwarzamy wrażliwych informacji osobowych w celach, które wywołałyby prawo ograniczenia użycia pod CPRA §1798.121.

Nie sprzedajemy ani nie udostępniamy Twoich informacji osobowych. Nie używamy ani nie ujawniamy wrażliwych informacji osobowych w celach poza dozwolonymi przez CCPA. Masz prawo żądać dostępu do, usunięcia, korekty i informacji o informacjach osobowych, które zbieramy, oraz wyznaczyć upoważnionego agenta, by złożył żądanie w Twoim imieniu. Nie będziemy dyskryminować Cię za wykonanie praw CCPA.

By wykonać te prawa, napisz na support@qub.social z prefiksem tematu [PRIVACY]. Żądania muszą być weryfikowalne — poprosimy Cię o zademonstrowanie własności adresu e-mail lub identyfikatora urządzenia w rekordzie. Jeśli wyznaczasz upoważnionego agenta, możemy wymagać od Ciebie weryfikacji upoważnienia agenta i potwierdzenia żądania bezpośrednio.

11.4 Użytkownicy australijscy (Privacy Act 1988)

qub jest związany Australian Privacy Principles (APPs) pod Privacy Act 1988 (Cth). Możesz zażądać dostępu lub korekty informacji osobowych, które trzymamy o Tobie, pod APP 12 / APP 13, pisząc na support@qub.social z prefiksem tematu [PRIVACY]. Potwierdzimy Twoje żądanie w rozsądnym okresie (zwykle 30 dni). Prawa direct-marketing pod APP 7 nie są zaangażowane, bo nie wysyłamy e-maili marketingowych (zobacz §2.3).

Ujawnienia zagraniczne (APP 8.1). Informacje osobowe mogą być ujawnione odbiorcom zlokalizowanym w Stanach Zjednoczonych (Cloudflare, Stripe, Twilio / SendGrid) oraz globalnej sieci bramek trwałego magazynu. Gdzie wyjątki APP 8.2 nie stosują się, używając Usługi, zgadzasz się na te ujawnienia zagraniczne i przyjmujesz do wiadomości, że odpowiedzialność APP 8.1 za działanie lub praktykę odbiorcy zagranicznego jest, w tym zakresie, zmodyfikowana.

Skargi. Jeśli nie jesteś zadowolony z naszej odpowiedzi na skargę dotyczącą prywatności, możesz złożyć skargę do Office of the Australian Information Commissioner (OAIC) pod oaic.gov.au.

12. Zmiany w tej polityce

Możemy aktualizować tę politykę od czasu do czasu. Aktualny numer wersji i data wejścia w życie pojawiają się na górze tej strony.

Materialne zmiany redukujące Twoje prawa wchodzą w życie 30 dni po tym, jak opublikujemy zrewidowaną politykę i dostarczymy powiadomienie in-app. Inne zmiany wchodzą w życie w zrewidowanej dacie wejścia w życie.

Podsumowanie materialnych poprawek jest utrzymywane w §13 poniżej.

13. Dziennik zmian

Podsekcje wstawione do stabilnej sekcji zachowują sufiks litery (na przykład §2.11a), tak by odsyłacze do otaczających sekcji pozostawały ważne w rewizjach.