Политика безопасности

1Подход к безопасности

Аутентификация, авторизация, операции с данными и административный доступ строятся вокруг серверных контролей. Меры пересматриваются по мере развития сервиса, но Политика не является сертификацией, гарантией или обещанием предотвратить каждый инцидент.

2Передача данных

Production-трафик приложения обслуживается по HTTPS за настроенным reverse proxy. Служебные credentials хранятся в ограниченной серверной конфигурации и не должны попадать в клиентский код или пользовательские ошибки. Ohlim не заявляет, что все хранимые данные защищены end-to-end encryption или конкретным сертифицированным стандартом шифрования at rest.

3Аутентификация

Ohlim использует настроенных OAuth-провайдеров и не ведёт отдельную базу пользовательских паролей. Google поддерживается при настройке; Apple доступен лишь там, где настроены credentials и показана кнопка. Production-сессии используют защищённые cookies, а мобильный вход — краткоживущие одноразовые server-managed handoffs.

Package ID, User-Agent, специальный header или заявление устройства сами по себе не доказывают официальность приложения. Выход из Ohlim не завершает сессию аккаунта Google или Apple.

4Сессии и отзыв

Защищённые запросы требуют актуального server-recognized session ID и generation аккаунта. Пользователь может завершить текущую, выбранную или все веб- и мобильные сессии Ohlim; отозванные сессии отклоняются сервером. Legacy-токены без обязательных claims не принимаются.

5Авторизация и изоляция

Серверная аутентификация, ownership и role checks привязывают операции аккаунта, дневника, питания, файлов и health к авторизованному пользователю. Для администрирования действуют отдельные роли; уполномоченный персонал получает доступ лишь для работы, защиты, поддержки и модерации. Входные данные и uploads ограничиваются и проверяются.

6Health Connect

На Android Ohlim запрашивает только чтение шагов, веса, активных калорий и сна. Можно остановить синхронизацию, управлять Android-разрешениями и отдельно удалить импортированные серверные данные. Серверное удаление не равно отзыву OS permission на offline/недоступном устройстве, поэтому результаты отображаются отдельно.

7Удаление и экспорт

Авторизованный экспорт создаёт ограниченный ZIP во временном серверном файле, исключает credentials и внутренние anti-abuse secrets и очищает временный архив после streaming. Удаление аккаунта требует явного подтверждения, блокирует мутации, отзывает сессии, удаляет приватные записи и известные файлы только из разрешённых roots и допускает retry после файлового сбоя. Одобренный общий каталог может остаться лишь без attribution аккаунта.

8Операционные меры

Существенные auth, admin, moderation, deletion и security действия создают audit/security события. Для выбранных endpoints действуют rate limits, а проверки deployment включают automated tests и dependency/build validation. Доступ к инфраструктуре и сетевое раскрытие должны ограничиваться операционной необходимостью. Backup может помогать восстановлению, но результат любого инцидента без потери и задержки не гарантируется.

9Рекомендации пользователю

Защищайте OAuth-аккаунт, обновляйте устройство и ОС, используйте screen lock, проверяйте сессии Ohlim и выходите на общем устройстве. Бережно обращайтесь с ZIP-экспортом и screenshots: там могут быть чувствительные сведения. При подозрении на компрометацию защитите OAuth-аккаунт, завершите доступные сессии Ohlim и обратитесь в поддержку.

10Сообщение об уязвимости и ограничения

Используйте публичную форму безопасности: укажите затронутую функцию, воспроизводимые шаги и возможное влияние. Вложения не принимаются. Передавайте минимум доказательств; не отправляйте пароли, токены, чужие записи или лишние персональные данные. Действуйте добросовестно, не нарушайте приватность, не мешайте сервису, не проводите разрушительное тестирование и не публикуйте преждевременно. Ohlim не обещает bug bounty или SLA ответа.

У сторонних поставщиков, ОС и устройств есть собственные ограничения. Ohlim может принять защитные меры во время расследования, но ни одна система не защищена на 100%. Версия 1.6 действует с 2026-09-06. Сервис работает под именем Ohlim. Юридические вопросы, вопросы приватности и безопасности можно направить через публичную форму Ohlim.