Політика конфіденційності

Чинна з 10 жовтня 2026 року. Ця політика стосується десктопного застосунку Mysticals, термінального застосунку Mysticals (npm-пакет mysticals) і сайту mysticals.sashkoratushnyi.com. Mysticals має відкритий код, а веде проєкт Олександр Ратушний («ми»). Код лежить на GitHub, тож кожне твердження тут можна перевірити. Це переклад для зручності; якщо він десь розходиться з англійською версією, чинною є англійська.

З якими даними працюють застосунки

Щоб показати ваші календарі, застосунки підключаються напряму з вашого пристрою до провайдерів, яких ви додали:

• Акаунти Google. Вхід відбувається у вашому браузері через Google OAuth. Застосунок отримує токен доступу, токен оновлення та вашу адресу пошти.
• Акаунти CalDAV (iCloud, Fastmail, Private Email або ваш власний сервер). Ви вводите адресу сервера, імʼя користувача й пароль застосунку.

Де ці дані зберігаються:

• Облікові дані (токени, паролі) зашифровані на вашому пристрої. Десктопний застосунок використовує захищене сховище операційної системи (macOS Keychain, Windows DPAPI, GNOME Keyring або KWallet на Linux). Термінальний шифрує їх алгоритмом AES-256-GCM, а ключ тримає в системному сховищі ключів.
• Дані календарів (календарі, події, учасники) кешуються в папці даних застосунку на вашому пристрої, щоб він працював і без мережі.
• Акаунти ізольовані один від одного. Десктопний і термінальний застосунки не діляться даними.

Нічого з цього не надсилається ні нам, ні комусь іншому, крім провайдера, якому ці дані належать. У нас немає бекенду, і ми не бачимо ваших акаунтів чи подій.

Дані користувачів Google

Для акаунтів Google застосунки запитують такі дозволи (scopes):

• openid і email: щоб показати, який акаунт Google підключено.
• https://www.googleapis.com/auth/calendar.calendarlist.readonly: щоб отримати список календарів у вашому акаунті з їхніми назвами й кольорами та знати, які з них можна редагувати. Лише читання: застосунки не можуть створювати, видаляти календарі чи ділитися ними.
• https://www.googleapis.com/auth/calendar.events: щоб показувати ваші події, а також створювати, редагувати, видаляти їх і відповідати на них, коли ви про це просите.

Застосунки не запитують доступу до налаштувань спільного доступу до календарів, налаштувань календарів, Gmail, Контактів, Диска чи будь-якого іншого сервісу Google.

Дані Google використовуються лише для цих функцій календаря всередині застосунку на вашому пристрої. Вони ніколи не передаються нам чи третім сторонам, ніколи не продаються, не використовуються для реклами й не використовуються для навчання моделей ШІ чи машинного навчання. Жодна людина їх не читає.

Mysticals використовує й передає інформацію, отриману з Google API, відповідно до Google API Services User Data Policy, зокрема вимог Limited Use.

Щоб відʼєднати акаунт, видаліть його в застосунку. Це видалить його токени й кешовані події з вашого пристрою. Також ви будь-коли можете відкликати доступ на myaccount.google.com/permissions.

Як ми захищаємо ваші дані

Ваші облікові дані, зокрема токени Google OAuth, і дані календарів чутливі. Застосунки захищають їх так:

• Жодної копії на сервері. У Mysticals немає бекенду. Дані Google передаються тільки між вашим пристроєм і Google, тож немає центральної бази даних користувачів, яку можна зламати.
• Шифрування під час передавання. Увесь трафік до Google і серверів CalDAV іде через HTTPS (TLS). Вхід у Google використовує OAuth 2.0 з PKCE (S256) і випадковим значенням state, а одноразовий код авторизації приходить лише на loopback-адресу (127.0.0.1) на вашому ж пристрої.
• Шифрування під час зберігання. Токени доступу й оновлення OAuth і паролі CalDAV ніколи не зберігаються відкритим текстом. Десктопний застосунок шифрує їх за допомогою захищеного сховища операційної системи (macOS Keychain, Windows DPAPI, GNOME Keyring або KWallet); якщо жодного немає, він відмовляється їх зберігати, а не переходить на відкритий текст. Термінальний шифрує їх алгоритмом AES-256-GCM випадковим 256-бітним ключем, який лежить у системному сховищі ключів (на Windows під захистом DPAPI).
• Контроль доступу на пристрої. Файли з обліковими даними й кешем календарів записуються з правами лише для власника (0600 на macOS і Linux), тож інші користувачі того самого компʼютера не можуть їх прочитати. Облікові дані лишаються в головному процесі застосунку й ніколи не потрапляють до його інтерфейсу.
• Мінімальні привілеї. Застосунки запитують тільки перелічені вище дозволи Google, найвужчі з тих, що потрібні для їхніх функцій.
• Мінімум даних і строки зберігання. Застосунки тримають лише те, що потрібно, щоб показати ваші календарі: токени, вашу адресу пошти й кеш календарів і подій. Видалення акаунта одразу стирає з пристрою його токени й кешовані дані. Відкликати доступ можна будь-коли у вашому акаунті Google.
• Жодного людського доступу. Ми не маємо доступу до ваших даних Google, і жодна людина їх не читає. Телеметрія їх ніколи не містить.
• Відкритий код, який можна перевірити. Увесь код публічний, тож будь-хто може перевірити цей захист. Залежності ми оновлюємо, а про проблеми з безпекою можна приватно написати на адресу нижче; такі проблеми ми виправляємо першочергово.

Анонімна статистика в застосунках

Щоб знати, скільки людей користуються Mysticals, застосунки надсилають дві події в PostHog з серверами в ЄС:

• app_installed, один раз, під час першого запуску.
• account_added, коли ви додаєте акаунт. Містить тип провайдера (Google чи CalDAV) і обране готове налаштування (iCloud, Fastmail, Private Email або інший).

Кожна подія містить тип застосунку (десктопний чи термінальний), його версію, вашу ОС і архітектуру процесора та випадковий ID, згенерований на вашому пристрої. Це все. Жодних адрес пошти, імен, адрес серверів, календарів чи подій. Визначення місця за IP вимкнене, а PostHog налаштовано так, щоб він не зберігав IP-адреси.

Як вимкнути статистику:

• Десктоп: Налаштування → Загальні → Конфіденційність → зніміть позначку «Надсилати анонімну статистику використання».
• Обидва застосунки: задайте змінну середовища MYSTICALS_TELEMETRY=0 або DO_NOT_TRACK=1.

Цей сайт

Сайт рахує перегляди сторінок і натискання кнопок завантаження через PostHog (ЄС). Він не ставить cookie і нічого не зберігає у вашому браузері для аналітики: її стан живе в памʼяті й зникає, коли ви закриваєте вкладку. Запису сесій немає, а сигнал Do Not Track вимикає аналітику. Окремо сайт памʼятає у вашому браузері (localStorage) вибрані тему й мову й нікуди їх не надсилає. Шрифти завантажуються з Google Fonts, який отримує вашу IP-адресу разом із запитом.

Інші сервіси, до яких звертаються застосунки

• Google (accounts.google.com, googleapis.com) і ваш сервер CalDAV: дані ваших календарів, відповідно до їхніх власних політик конфіденційності.
• GitHub: десктопний застосунок перевіряє нові версії на api.github.com і завантажує оновлення з GitHub Releases.
• npm: термінальний застосунок перевіряє registry.npmjs.org, чи немає новішої версії.
• PostHog (ЄС): анонімна статистика, описана вище.

Ці перевірки оновлень не надсилають жодних особистих даних, крім того, що містить будь-який HTTP-запит, наприклад вашої IP-адреси.

Видалення даних

Усе лежить на вашому пристрої, тож контроль у вас. Видаліть акаунт у застосунку, щоб стерти його облікові дані й кеш. Щоб прибрати все, видаліть папку даних:

• Десктоп: ~/Library/Application Support/mysticals на macOS, %APPDATA%\mysticals на Windows, ~/.config/mysticals на Linux.
• Термінал: ~/Library/Application Support/mysticals-terminal на macOS, %APPDATA%\mysticals-terminal на Windows, ~/.local/share/mysticals-terminal на Linux (або $MYSTICALS_HOME).

Ми не тримаємо копії ваших даних, тож нам нічого видаляти. Анонімну статистику не можна повʼязати з вами, але якщо ви надішлете нам випадковий ID з файлу telemetry-id у папці даних, ми видалимо його події.

Діти

Mysticals не призначений для дітей до 13 років, і ми свідомо не збираємо їхніх даних.

Зміни

Якщо ця політика зміниться, ми оновимо цю сторінку й дату набрання чинності. Історія всіх змін є в публічному репозиторії.

Контакти

Питання чи запити: forcewizu@gmail.com.