Kaspa Гарант — политика приватности

Коротко

Kaspa Гарант некостодиален и без аккаунтов. Ключи вашей стороны сделки (ключ сделки, закладки и чата) рождаются и используются только в браузере и нам не передаются. Чат сделки зашифрован сквозным шифрованием — сервер релеит шифртекст, который прочитать не может. Единственное осознанное исключение — спор: чтобы арбитр рассудил, вы можете раскрыть свой чат-ключ (никогда не эскроу-ключ), и только тогда переписку можно расшифровать для арбитра. Без регистрации, рекламы и сторонней аналитики.

Что остаётся только в вашем браузере

Приватные ключи вашей стороны — эскроу-ключ (подписывает релиз/возврат/спор), ключ закладки (у покупателя) и ключ чата, — плюс сервисный токен. Живут в локальном хранилище этого браузера (в зашифрованном мастер key-file), удаляются кнопкой «Забыть сделку». Бэкап мастер key-file делаешь сам в Деске (Экспорт файла ключей); это единственная копия ключей, и к нам она не попадает.

Что получает и хранит сервер

• Условия сделки — тип, сумма и текст условий, который вы вводите. Хранятся в открытом виде (не шифруются): вторая сторона видит их в превью приглашения до входа, а арбитр — в споре.
• Публичные параметры — публичные ключи сторон и адреса ковенанта, нужные чтобы собрать и отслеживать ончейн-сделку.
• Сервисные токены — случайный токен на каждую сторону, дающий право читать/действовать по сделке в определённых пределах; сам по себе средства двигать не может. Хранится в мастер key-file (бэкап в Деске). Полный разбор: что может и чего не может.
• Ссылка-приглашение / код — это capability: кто откроет, тот присоединится как контрагент. Истекает через 72 часа, если не использована.
• Шифртекст чата и зашифрованные медиа — чат сделки идёт по BlockDAG Kaspa (протокол Kasia); сервер релеит и хранит только шифртекст и уже зашифрованные медиа-блобы. Сообщения, фото и видео он прочитать не может.
• Заявления в споре — если открыт спор, заявление каждой стороны «что требую и почему».
• Telegram chat ID — только если вы подключили Telegram-уведомления по сделке.
• Обычные логи веб-сервера (IP, путь запроса, user agent) — кратко, для защиты от абьюза, не для профилирования.

Все ончейн-транзакции и балансы ковенанта — публичные данные блокчейна Kaspa по своей природе.

OTC-сделки с ончейн-автопроверкой

В OTC-сделках любая крипто-нога фиксирует выбранный метод, метку валюты (для «другой крипты» вроде XMR), ожидаемую сумму и адрес получателя-покупателя как серверные поля сделки — они видны серверу и обеим сторонам вне спора, будь то поддерживаемая сеть (Tron, Ethereum/BSC/Polygon/Arbitrum/Base, Bitcoin, Litecoin — см. список сетей в визарде сделки) или «другая крипта» вроде Monero. Живую проверку получают только поддерживаемые сети: сервер проверяет заявленный продавцом txid автоматически, не дожидаясь спора, — те же сведения любой мог бы прочитать в публичном блокчейне, зная txid. Для «другой крипты» серверной проверки txid нет — заявление об оплате остаётся только в сквозно-зашифрованном чате. Фиат-ноги (перевод, карта, наличные) — единственная полностью E2E-категория: никаких серверных полей вообще, только зашифрованный чат сделки (сообщения «реквизиты» / «оплачено»).

Сервер хранит снапшот последней проверки (сумма, получатель, подтверждения, время), чтобы обе стороны видели один и тот же статус-бейдж. При закрытии сделки адрес покупателя, заявленный txid и этот снапшот стираются — остаются только выбранный метод и финальный итог проверки (обезличенно). Проверка — это сигнал, а не действие: сама по себе она не двигает средства. Релиз всегда остаётся собственной подписью покупателя в браузере — ни эта страница, ни проверка не могут отправить, вернуть или иначе потратить средства в эскроу.

Сервисный токен — что он может и чего не может

Каждая сторона сделки получает один случайный токен (192 бита, рождается в браузере при создании/входе), который панель отправляет с каждым запросом вместо логина. Сервер проверяет только совпадение со слотом стороны — это capability, а не доказательство личности. Токен живёт в вашем зашифрованном мастер key-file рядом с ключами (бэкап — в Деске).

С одним токеном (без ключа) держатель может:

• Читать состояние сделки — статус, суммы, таймеры, адреса, публичные чат-ключи обеих сторон.
• Читать состояние спора — заявления, вердикт ИИ, флаги раскрытия, статус эскалации.
• Писать в чат сделки от имени этой стороны, читать тред и скачивать вложения — всегда шифртекст / уже зашифрованные блобы, никогда plaintext (сервер тоже расшифровать их не может).
• Подавать или обновлять заявление этой стороны в споре («что требую и почему»), отправлять материалы в тикет арбитру и эскалировать спор человеку-арбитру.
• Отправлять свою половину mutual-подписи для развязки (сервер сохраняет присланный hex как есть — не проверяет, что подпись валидна; это делает только сеть Kaspa, когда транзакция реально уходит в сеть) и читать обе половины, когда они есть.
• Запрашивать код привязки Telegram-уведомлений по сделке — в том числе алерт «средства выведены», который отправляется, когда выплата любой стороны подтвердилась ончейн.

Один токен (без ключа) не может:

• Двигать средства. Релиз, возврат, ончейн-спор и финальная mutual-транзакция подписываются в браузере эскроу-ключом сделки и уходят в сеть Kaspa через отдельный релей, который вообще не завязан на токен — он просто принимает уже полностью подписанную транзакцию. Токен без ключа умеет смотреть и говорить, но не тратить.
• Читать расшифрованный чат. Единственный путь расшифровки, /dispute/reveal, дополнительно проверяет, что присланный ключ действительно выводит записанный публичный чат-ключ этой стороны — токен вместо ключа не подставить.
• Отправить деньги куда-то ещё, кроме сделки. Даже эскроу-ключ ограничен ковенантом треугольником «покупатель / продавец / комиссия» — адреса за его пределами подписать нечем.

Перевыпуска токена пока нет — если вы подозреваете утечку мастер key-file, токен внутри утёк вместе с ним, и отозвать отдельно только его сейчас нельзя. Что это значит на практике — на странице восстановления сделки: поскольку пути траты ограничены треугольником «покупатель/продавец/комиссия» выше, утёкший токен (и даже утёкший ключ сделки) не даёт увести ваши монеты — реальный риск в том, что кто-то получит доступ к вашему шифртексту чата или подействует чуть раньше вас от имени вашей стороны.

Споры: раскрытие и что видит арбитр

До спора сервер держит только шифртекст, и переписку никто прочитать не может. В споре для развязки нужны доказательства, поэтому сторона может осознанно раскрыть свой ключ чата (отправляется на /dispute/reveal) — это единственный случай, когда ключ покидает устройство, и ключ чата не может двигать средства. При раскрытии сервер расшифровывает тред этой стороны и хранит расшифровку только для арбитра, вместе с медиа, которые арбитр расшифровывает ключами внутри раскрытых сообщений. ИИ-медиатор читает это, чтобы предложить необязывающий исход; человек-арбитр — только если дело эскалируется. Расшифрованный тред стирается при закрытии сделки, зашифрованные медиа-блобы удаляются через 24 часа после закрытия сделки. Ончейн-шифртекст остаётся (это защищённая от подделки запись), но без раскрытого ключа он нечитаем.

Что мы никогда не собираем

Ваши приватные ключи эскроу, закладки или чата, seed-фразы, recovery-листы (мы их не спрашиваем); имена, документы, KYC (аккаунтов нет); контакты, геолокацию или файлы сверх медиа, которые вы прикрепили к сделке; рекламные идентификаторы.

Третьи стороны

Шрифты сайта грузятся с Google Fonts (ваш IP виден Google при загрузке). Виджет поддержки использует Cloudflare Turnstile (Cloudflare обрабатывает проверку). Telegram доставляет уведомления по сделке, если вы подключили. ИИ-медиатор работает на стороннем LLM-провайдере, который получает только условия сделки, раскрытый тред и заявления — никогда ни один приватный ключ. Сеть Kaspa — публичная инфраструктура. Мы не продаём и не передаём данные кому-либо ещё.

Хранение и удаление

Записи сделки существуют, чтобы сделка работала и отслеживалась. Расшифрованный тред стирается при закрытии; медиа-блобы удаляются через 24 часа после закрытия — сохраните всё нужное, включая полученную покупку, до этого момента. Чтобы удалить оставшиеся записи сделки (включая Telegram-привязку), напишите на kaspa@officeforge.co, указав сделку. Ончейн-данные удалить нельзя — такова природа блокчейна.

Изменения

Обновления этой политики публикуются на этой странице с новой датой вступления в силу.