حریم خصوصی و امنیت توکن‌ها

۱چه داده‌ای می‌گیریم

نمی‌گیریم: ایمیل (مگر خودت برای فاکتور بدهی)، رمز عبور، رمز اینستاگرام، دفترچه‌ی مخاطبان گوشی، موقعیت مکانی.

۲امنیت توکن‌ها

توکن ربات، کلید کانال توست؛ به همین دلیل با آن مثل رمز رفتار می‌کنیم:

• رمزنگاری در حالت سکون: توکن‌ها با کلیدی جدا از پایگاه داده رمزنگاری می‌شوند؛ نشت پایگاه داده به‌تنهایی توکن را فاش نمی‌کند.
• هیچ‌وقت به مرورگر برنمی‌گردند: وب‌اپ فقط «وضعیت اتصال» را می‌بیند، نه خود توکن. برای تعویض، توکن جدید می‌دهی.
• در هیچ لاگی نوشته نمی‌شوند و پیام حاوی توکن بعد از دریافت در ربات حذف می‌شود.
• فقط برای کار خودت: توکن فقط برای کانال‌های همان حساب و فقط برای انتشار، ویرایش، حذف و تست استفاده می‌شود.
• لغو هر لحظه: با حذف کانال، توکنش همان لحظه پاک می‌شود. برای اطمینان بیشتر می‌توانی در BotFather توکن را باطل کنی.
• دسترسی تیم: فقط برای رفع خطا با رضایت تو و با ثبت در لاگ دسترسی.

۳چرا و چطور استفاده می‌کنیم

• ارائه‌ی سرویس: انتشار، زمان‌بندی، گزارش، پاسخ خودکار، پیشنهاد خبر.
• پشتیبانی: وقتی پیام می‌دهی، وضعیت کانال‌هایت را می‌بینیم تا لازم نباشد توضیح بدهی.
• امنیت: شناسایی ورود مشکوک، محدودیت نرخ، جلوگیری از سوءاستفاده.
• اطلاع‌رسانی: یادآوری انقضا، نتیجه‌ی انتشار، تغییرات مهم. پیام تبلیغاتی فقط با رضایت و قابل خاموش‌کردن.
• بهبود محصول: آمار جمعی و بی‌نام (مثلاً «چند درصد کاربران زمان‌بندی را استفاده می‌کنند»).

۴کجا نگه‌داری می‌شود

سرور اصلی و پایگاه داده در ایران است. برای ارتباط با پیام‌رسان‌هایی که از داخل ایران در دسترس نیستند، یک سرور واسط خارج از ایران فقط پیام‌ها را عبور می‌دهد و چیزی ذخیره نمی‌کند. پردازش هوش مصنوعی خبرخوان روی سرور خارج انجام می‌شود و فقط متن عمومی خبر را می‌بیند، نه شماره یا نام تو. پشتیبان‌گیری روزانه و رمزنگاری‌شده است.

۵اشتراک‌گذاری با دیگران

• پیام‌رسان‌ها: محتوای پست به مقصدهایی که خودت انتخاب کرده‌ای ارسال می‌شود.
• ایتایار: برای انتشار در ایتا، محتوای پست و توکن ایتایار تو به سرویس ایتایار می‌رود.
• زرین‌پال: برای پرداخت آنلاین؛ ما شماره‌ی کارت تو را نمی‌بینیم.
• سرویس هوش مصنوعی: فقط متن عمومی خبرها (خبرخوان) یا متن پیام بدون شناسه (دستیار دایرکت، فاز بعد).
• مراجع قانونی: فقط با دستور قانونی معتبر و در حد همان دستور.
• داده را نمی‌فروشیم و به شبکه‌های تبلیغاتی نمی‌دهیم.

۶چقدر نگه می‌داریم

۷حق‌های تو

• دیدن و دریافت: از تنظیمات، خروجی داده‌های حسابت را بگیر.
• اصلاح: نام، امضاها و تنظیمات را هر وقت خواستی عوض کن.
• حذف: «بستن حساب» در تنظیمات؛ ۳۰ روز فرصت انصراف داری، بعد همه‌چیز پاک می‌شود.
• خاموش‌کردن پیام‌ها: اعلان‌های غیرضروری را در تنظیمات اعلان خاموش کن.
• خروج از راه دور: هر دستگاه یا نشست را از بخش «دستگاه‌ها» ببند.

۸کوکی و تحلیل

سایت عمومی هیچ کوکی ردیابی ندارد. فقط یک تنظیم محلی برای تم (تیره/روشن) در مرورگر خودت ذخیره می‌شود. وب‌اپ یک کوکی نشست امن (HttpOnly) برای ورود دارد. آمار بازدید به‌صورت جمعی و بدون شناسه‌ی فردی جمع می‌شود.

۹دایرکت هوشمند و خبرخوان

• دایرکت هوشمند با Instagram Login و وب‌هوک رسمی متا کار می‌کند؛ رمز اینستاگرامت را هیچ‌وقت نمی‌پرسیم و پیام‌ها فقط برای پاسخ‌گویی و صندوق ورودی نگه‌داری می‌شود.
• شماره یا ایمیلی که مخاطبان در فرم‌های تو می‌دهند مال توست؛ ما از آن برای هیچ کار دیگری استفاده نمی‌کنیم.
• خبرخوان فقط منابع عمومی‌ای را می‌خواند که خودت معرفی کرده‌ای.

۱۰امنیت و گزارش

ارتباط‌ها رمزنگاری‌شده (HTTPS) است، کوکی نشست HttpOnly است، درخواست‌ها محدودیت نرخ دارند و کارهای مخرب (حذف گروهی، بستن حساب) تأیید دوم می‌خواهند. اگر نقطه‌ضعفی دیدی، به security@bazhiko.com بگو؛ ظرف ۴۸ ساعت پاسخ می‌دهیم و اگر رخنه‌ای روی داده‌ی تو اثر بگذارد، ظرف ۷۲ ساعت اطلاع می‌دهیم.

۱۱تغییرات

تغییر مهم این سیاست حداقل ۱۴ روز قبل در وب‌اپ و ربات اعلام می‌شود. سؤالی مانده؟ تماس با ما · قوانین استفاده