Как ваш архив остаётся закрытым

Закрытый архив, только по приглашению

Каждый архив принадлежит одной семье. Открытой регистрации нет: учётная запись есть только у тех, кого пригласил владелец или администратор семьи, и приглашение действует один раз. Ничего в архиве не публикуется.

• Владельцы, администраторы, редакторы, участники и читатели делают то, что позволяет их роль: участники предлагают изменения, редакторы вносят их, администраторы проверяют изменения и управляют участниками, а владельцы решают то, что касается всей семьи, например ИИ-ассистентов и резервные копии.
• Владелец или администратор может ограничить любого участника одной ветвью и скрыть от него сведения о живых, ДНК или фотографии и файлы.
• Каждое изменение хранится с автором и временем, а владельцы и администраторы могут читать журнал действий.

Зашифрован собственным ключом вашей семьи

• У каждой семьи свой ключ. Фотографии, сканы, документы, видео, их превью и файлы ДНК шифруются им (AES-256-GCM) сразу при загрузке, и незашифрованных копий не остаётся.
• Ключ семьи, в свою очередь, зашифрован главным ключом сервиса, который хранится отдельно от базы данных.
• Древо — имена, даты, места и заметки — хранится в базе данных, которая отделяет записи каждой семьи от записей всех остальных (защита на уровне строк).
• В каждой ночной резервной копии часть каждой семьи запечатана её собственным ключом.
• Если владельцы держат оригиналы в своём хранилище Amazon S3 или совместимом, они лежат там зашифрованными, и компания, которой принадлежит хранилище, не может их прочитать.

Кто ещё может его видеть

• Те, кто ведёт сервис, обслуживают сервер. В самом приложении они могут открыть архив семьи только через доступ, ограниченный по времени, с указанием причины; он записывается в журнал, и как только он начинается, каждый владелец семьи получает письмо. Даже тогда они не видят ДНК.
• ИИ-ассистенты, например Claude, могут читать архив семьи, только если это разрешили её владельцы. Ассистент видит лишь то, что видит его участник, и всё прочитанное уходит компании, которая стоит за ассистентом. Исходных файлов и сырых данных ДНК он не получает никогда.
• Названия мест — и только названия — ищутся в OpenStreetMap, чтобы показать их на карте. Изображения карты ваш браузер загружает прямо из OpenStreetMap.

Живые люди

• Возможно живым считается каждый, кто отмечен как живой или у кого не записаны смерть или похороны и кто родился или крещён меньше 110 лет назад.
• Участники видят живых в соответствии со своей ролью. Владелец или администратор может скрыть сведения о живых от любого участника — тогда тот видит у каждого из них только фамилию, без фотографий и ДНК.
• Ссылка на одну ветвь показывает семейную книгу человеку без учётной записи — не дольше 30 дней, и её можно сразу отозвать. Сведений о живых и фотографий она не показывает никогда.
• Выгрузка GEDCOM для передачи оставляет от живых только фамилию — без дат, мест, заметок и источников.
• Если владельцы разрешили ИИ-ассистентов без сведений о живых, ассистент видит у них только имена, родство и годы рождения.

ДНК

• Файлы с сырыми данными из 23andMe, AncestryDNA, MyHeritage и FamilyTreeDNA читаются на собственном сервере сервиса. Свой набор может добавить каждый; наборы других людей добавляют только владельцы и администраторы. У каждого набора записано, кто и когда дал согласие: сам человек, опекун, ближайшие родственники или кто-то с его разрешения.
• Файл с сырыми данными шифруется ключом семьи и сравнивается только с наборами той же семьи. Он никогда не отправляется в другой сервис. Семья может решить хранить только те данные, которые нужны для сравнения, без самого файла.
• Набор видят человек, которому он принадлежит, а также владельцы и администраторы семьи. Если он отмечен как закрытый, его видят только сам человек и владельцы. Совпадение видит тот, кто видит оба набора, а также человек каждого из наборов, если другой не закрытый.
• Администраторы сервиса никогда не видят ДНК, даже при доступе, ограниченном по времени, а ИИ-ассистенты никогда не получают сырых данных.
• Удаление набора сразу удаляет его файлы, совпадения и всё, что из него выведено.
• ДНК, восстановленная для родителя, который никогда не проходил тест, сохраняется, только если об этом попросит владелец и укажет, чьё это согласие. Её видят только владельцы и сам этот человек, и она удаляется, как только удаляется любой набор, из которого она составлена.

Забрать всё с собой

• Загрузите файл GEDCOM 7 или 5.5.1 из любой генеалогической программы. Выгрузите всё древо в GEDCOM 7 или, для старых программ, в 5.5.1; то, чем Ancestral Nest сам не пользуется, например собственные идентификаторы другой программы, сохраняется и записывается обратно.
• Владельцы и администраторы могут скачать весь архив одним ZIP-файлом: древо в обеих версиях GEDCOM и все исходные фотографии, видео и документы.
• Владельцы могут включить отправку этого архива каждую ночь в собственное хранилище, совместимое с S3 (Amazon S3, Cloudflare R2, Backblaze B2, Wasabi или MinIO). Эта копия не зашифрована, поэтому держите хранилище закрытым.

Удаление

• Удалённая фотография или файл 30 дней лежит в корзине, где владельцы и администраторы могут её восстановить; потом она уничтожается.
• Владелец может удалить всю семью. Все сразу теряют доступ, и ещё 30 дней сервис может её восстановить, если это была ошибка. Потом древо, файлы и ключи уничтожаются, в том числе в резервных копиях сервиса.
• Копии, которые вы скачали или отправили в своё хранилище, остаются вашими.

Никаких трекеров

• На ancestralnest.com нет ни куки, ни скриптов, ни аналитики, ни рекламы. Шрифты и картинки загружаются отсюда же, так что о вашем визите больше никто не узнаёт.
• Приложение использует только те куки, без которых нельзя оставаться в аккаунте и защитить сеанс. Аналитики и рекламы в нём нет.

Вопросы

Пишите на [email protected].