Палітыка прыватнасці

0. Коратка

Тэкст вашых паведамленняў зашыфраваны на вашай прыладзе, і прачытаць яго могуць толькі тыя, каму вы яго дасылаеце. Мы не можам яго прачытаць, і Google, чые серверы мы арандуем, таксама не можа.

Тое, што мы можам бачыць, — гэта факт, што адбылася размова: якія акаунты ў ёй удзельнічалі і калі яны былі актыўныя. Прыбраць гэта складаней, чым зашыфраваць змест, і мы яшчэ не скончылі. Гэтая палітыка дакладна кажа, дзе зараз праходзіць гэтая мяжа.

1. Што зашыфравана скразным шыфраваннем

Зашыфравана на вашай прыладзе, нечытэльна для нас і для Google:

• Тэкст вашых паведамленняў.
• Змест файлаў, фота, аудыё і відэа, якія вы прымацоўваеце.
• Папярэднія прагляды спасылак.
• Галасавыя і відэазванкі, якія выкарыстоўваюць абавязковы DTLS-SRTP пратакол WebRTC паміж дзвюма прыладамі.

Большасць паведамленняў адзін-на-адзін і групавых дадаткова выкарыстоўваюць механізм ratchet, што азначае, што кожнае паведамленне мае свой уласны ключ, таму кампраметацыя вашай прылады не раскрывае больш раннія паведамленні. Размовы, дзе кліент кагосьці яшчэ не апублікаваў новы ключавы матэрыял, вяртаюцца да аднаго доўгачасовага ключа, які не мае гэтай уласцівасці. Метка пад паведамленнем кажа, які з іх яно сапраўды атрымала.

Адна рэч перасякае гэтую мяжу, і толькі калі вы гэтага просіце: пошук імя ў Вікіпедыі дасылае толькі гэтае адно імя, а не паведамленне, з якога яно ўзята. Раздзел 6 кажа, хто яго атрымлівае, а пошук працуе толькі пры націску і больш ніколі, таму няма чаго выключаць. Рэзюмаванне, пераклад і расшыфроўка голасу таксама перасеклі б гэтую мяжу — яны выключаны ў гэтай версіі, і ў праграме няма ніякага пераключальніка, які б іх уключыў.

2. Што не зашыфравана, і што мы можам бачыць

Шыфраванне абараняе змест, а не сам факт размовы. Гэта адкрыта ляжыць на нашых серверах:

• Хто ўдзельнічае ў кожнай размове, і калі яна была створана і апошні раз актыўная.
• Адзнака часу кожнага паведамлення, і колькі паведамленняў вы не прачыталі.
• Назва, тып і памер файла ўкладання. Байты зашыфраваны; іх апісанне — не, а даўжыня зашыфраванага тэксту абмяжоўвае даўжыню арыгінала.
• Вашы сябры і запыты на дружбу.
• Сігналізацыя званкоў — што званок быў зроблены, каму і калі. Не яго аудыё або відэа.

Індыкатары набору тэксту і пацвярджэнні прачытання выключаны, пакуль вы іх не ўключыце, і пакуль яны выключаны, нічога не запісваецца.

Чаго тут больш няма: вашага адраса электроннай пошты і вашага імя. З верасня 2026 года запіс акаунта захоўвае толькі ідэнтыфікатар акаунта — і з таго часу няма адраса, які можна было б дзе-небудзь захоўваць. Рэгістрацыя нічога пра вас не пытае: ваш акаунт — гэта фраза аднаўлення з 24 слоў, а іменныя даныя, якія правярае Firebase Authentication, атрыманы з яе. Тое, што яна захоўвае, — гэта выпадковая метка пад даменам, які не можа атрымліваць пошту.

Асобна: паколькі праграма працуе на Google Firebase, Google можа бачыць IP-адрас і час кожнага злучэння, якое ваша прылада да яго робіць. Гэта ўласцівасць хостынгу, а не праграмы, і мы не можам зашыфраваць гэта.

3. Як людзі знаходзяць вас

Яны не могуць шукаць вас. Тут няма даведніка — няма пошуку па электроннай пошце, нумары тэлефона ці імені — і сервер адхіляе любы запыт, які спрабуе гэта зрабіць.

Вы дасягаеце кагосьці, дасылаючы яму спасылку-запрашэнне па-за гэтым каналам, праз тое, чым вы ўжо карыстаецеся. Спасылка працуе адзін раз, дзейнічае 24 гадзіны і можа быць адклікана. Як бы вы кагосьці ні назвалі, гэта ваша ўласная метка для яго, захаваная толькі для вас; калі ён сам сябе прадставіў, гэтае імя дайшло да вас зашыфраваным.

4. Што мы збіраем

• Даныя акаунта: ідэнтыфікатар акаунта і іменныя даныя, атрыманыя з вашай фразы аднаўлення, захаваныя ў Firebase Authentication. Ніякага адраса электроннай пошты, ніякага нумара тэлефона, ніякага імя — рэгістрацыя не пытае нічога з гэтага.
• Зашыфраваны тэкст паведамленняў і ўкладанняў, плюс метаданыя з раздзела 2.

Гэта поўны спіс. Няма аналітыкі і няма справаздач пра збоі. Раней праграма дасылала прагляды экрана ў Firebase Analytics і справаздачы пра збоі ў Firebase Crashlytics, абодва з якіх неслі ідэнтыфікатар вашага акаунта, таму ніводнае з іх не было ананімным; абодва цяпер прыбраны разам з бібліятэкамі, якія іх дасылалі. Памылкі друкуюцца толькі на ўласнай машыне распрацоўшчыка падчас распрацоўкі і больш нікуды не ідуць.

5. Дзе гэта захоўваецца

На Google Firebase — Firestore, Storage і Authentication — паводле правілаў бяспекі, якія вызначаюць, хто можа чытаць і пісаць у кожны дакумент.

На вашай прыладзе кэшаваныя паведамленні, налады і PIN-код блакіроўкі праграмы зашыфраваны ключом, унікальным для гэтай прылады, захаваным у сховішчы ключоў платформы (iOS Keychain, Android Keystore), а не ў звычайным сховішчы праграмы.

Прыватны ключ, які расшыфроўвае вашы паведамленні, ніколі не пакідае вашу прыладу, за выключэннем як фраза аднаўлення, якую вы вырашаеце запісаць. Мы не захоўваем яго і не можам аднавіць яго для вас. Страціце яго — і паведамленні, дасланыя на тую прыладу, больш нельга прачытаць — нікому, уключаючы нас.

Версіі 1.2.0 і больш раннія пры кожным уваходзе таксама захоўвалі копію фразы ў Google Block Store — сістэмнай рэзервовай копіі Android. Калі на тэлефоне была блакіроўка экрана, гэтая копія сінхранізавалася з вашым уліковым запісам Google са скразным шыфраваннем. Пачынаючы з версіі 1.2.1 праграма гэтага больш не робіць і выдаляе гэтую копію пры кожным запуску.

6. Хто яшчэ атрымлівае даныя

Мы не прадаём, не абменьваем і не здаём у арэнду вашу асабістую інфармацыю. Даныя дасягаюць:

• Google Firebase — нашага пастаўшчыка хостынгу, як апісана вышэй.
• Cloudflare Realtime — аўдыя і відэа выкліку, калі ваша прылада і прылада іншага чалавека не могуць звязацца напрамую.
• Wikimedia Foundation — адно імя, калі вы націскаеце на яго, каб знайсці ў Вікіпедыі.
• Google Cloud Speech-to-Text — аудыё аднаго галасавога паведамлення, калі вы просіце расшыфроўку.
• Google Cloud Translation — тэкст аднаго паведамлення, калі вы просіце пераклад.
• Cloudflare Workers AI — да апошніх 50 паведамленняў адной размовы, калі вы просіце рэзюмэ або задаяце пытанне пра яе.

Апошнія тры выключаны ў гэтай версіі. У праграме няма ніякага пераключальніка, які б уключыў расшыфроўку, пераклад або рэзюмаванне, таму да гэтых трох сэрвісаў нічога не дасягае. Яны пералічаны, а не выдалены, бо код усё яшчэ тут, і гэтыя функцыі павінны вярнуцца — і калі яны вернуцца, яны вернуцца з гэтым раскрыццём і з запытам перад першым выкарыстаннем. Тое, што было б адпраўлена тады, дасылаецца, каб атрымаць ваш вынік, а не для навучання чагосьці; ні расшыфроўка, ні пераклад не захоўваюцца на нашых серверах.

У пошуку Вікіпедыі няма пераключальніка, бо няма чаго выключаць: ён працуе толькі пры націску і больш ніколі. Вікіпедыя атрымлівае толькі гэтае адно імя і ваш IP-адрас, гэтак жа, як калі б вы самі ўвялі яго ў іх уласнае поле пошуку — ніякага акаунта, ніякага паведамлення, ніякай размовы. Тое, што вяртаецца, паказваецца і не захоўваецца, і нічога пра гэта не запісваецца ў размову.

У Cloudflare Realtime таксама няма пераключальніка. Большасці выклікаў гэта не патрэбна: дзве прылады, якія могуць звязацца напрамую — большасць выклікаў у адной сетцы — злучаюцца без гэтага, і нічога не рэтранслюецца. Калі яны не могуць — звычайна таму, што вы абодва знаходзіцеся ў розных мабільных сетках — ужо зашыфраваны выклік рэтранслюецца, а не застаецца без злучэння. Тое, што бачыць Cloudflare, — гэта абодва IP-адрасы, час выкліку і прыблізна колькі дадзеных перамясцілася; аўдыя і відэа застаюцца пад тым жа шыфраваннем DTLS-SRTP, апісаным у раздзеле 2, так што рэтрансляцыя іх не расшыфроўвае.

Мы можам раскрыць тое, што маем, калі гэтага патрабуе закон. Тое, што мы маем, — гэта спіс з раздзела 2. Мы не можам прадаставіць змест паведамленняў, бо не можам яго прачытаць.

7. Push-апавяшчэнні

Firebase Cloud Messaging дастаўляе апавяшчэнні. Токен вашай прылады захоўваецца ў прыватнай частцы вашага акаунта, якую можаце прачытаць толькі вы.

Апавяшчэнні не нясуць тэкст паведамлення. Ваша прылада расшыфроўвае паведамленне лакальна і складае тое, што вы бачыце; Google дастаўляе канверт, а не змест.

8. Што вы можаце зрабіць

• Выдаліце свой акаунт з экрана Профіль. Змест, які з'яўляецца сумеснай часткай размовы — напрыклад, запіс званка — застаецца ў іншага ўдзельніка, бо гэта таксама яго запіс.
• Экспартуйце свае даныя з экрана Профіль.
• Задайце тэрмін дзеяння паведамленняў для кожнага чата: 1 гадзіна, 24 гадзіны, 7 дзён або 30 дзён.
• Уключыце або выключыце індыкатары набору тэксту і пацвярджэнні прачытання. Абодва па змаўчанні выключаны.
• Заблакіруйце праграму PIN-кодам або біяметрыяй.
• Адклічце спасылку-запрашэнне, якую вы раздалі.

Калі вы аддаеце перавагу, каб мы выдалілі нешта ўручную, напішыце нам.

9. Захаванне

Мы захоўваем вашы даныя, пакуль існуе ваш акаунт. Выдаленне акаунта выдаляе іх, за выключэннем сумесна захоўванага зместу, згаданага вышэй. Тэрмін дзеяння для кожнага чата выдаляе паведамленні паводле раскладу, які вы задалі.

10. Абмежаванні, пра якія вам варта ведаць

Мы аддаем перавагу расказаць вам пра гэта, а не каб вы самі гэта знайшлі.

• Ключам давяраюць з першага разу, калі іх бачаць. Калі б хтосьці замяніў ключ да таго, як вы калі-небудзь абмяняліся паведамленнем, размова была б зашыфравана не таму чалавеку і выглядала б цалкам звычайна. Праграма папярэджвае вас, калі ключ мяняецца пазней, і паказвае нумар бяспекі, які вы можаце параўнаць па-за каналам — але нішто не прымушае вас яго параўноўваць.
• Адна прылада ў кожны момант. Ваша фраза аднаўлення аднаўляе ключ, які адкрывае вашу гісторыю, таму ўваход на новай прыладзе не губляе тое, што вы ўжо атрымалі. Размовы з прамой сакрэтнасцю выкарыстоўваюць другі ключ, які ніколі не пакідае прыладу, якая яго стварыла: якая б прылада ні ўвайшла апошняй, менавіта яна атрымлівае паведамленні, а ўсё, што ў гэты час было запячатана для другой, не можа быць перанесена туды.
• Паведамленні, дасланыя да з'яўлення шыфравання, застаюцца такімі, якімі яны былі. Нічога не было пераўтворана заднім лікам.
• Гэтая праграма не праходзіла незалежны аўдыт бяспекі.

11. Дзеці

Chatterbox не прызначаны для дзяцей да 13 гадоў, і мы наўмысна не збіраем іх інфармацыю. Калі вы лічыце, што дзіця дало нам асабістую інфармацыю, звярніцеся да нас, і мы яе выдалім.

12. Змены

Мы можам абнаўляць гэтую палітыку. Значныя змены будуць абвешчаны ў праграме, а дата ўверсе паказвае, калі яна змянялася апошні раз.

13. Кантакт

Пытанні пра гэтую палітыку: [email protected]

14. Праверка навейшай версіі праграмы

Google Play — гэта не той спосаб, якім гэтая праграма трапляе на ваш тэлефон Android. Замест гэтага яна спампоўваецца з chatterbox.fans, а крама, якая не ўдзельнічае ў гэтым працэсе, не можа правяраць абнаўленні ад вашага імя — таму гэтая праграма можа рабіць гэта сама, калі вы яе папросіце.

Націск на «Праверыць зараз» адпраўляе адзін запыт на chatterbox.fans з пытаннем, якая версія актуальная. Гэты запыт нясе толькі ваш IP-адрас і больш нічога — ні акаўнта, ні ідэнтыфікатара прылады, ні паведамлення. Тое, што вяртаецца, — гэта нумар версіі, які параўноўваецца на вашым тэлефоне з версіяй, якую вы выкарыстоўваеце; нічога не спампоўваецца аўтаматычна, і нічога пра гэту праверку не запісваецца ў размову.

У гэтага няма пераключальніка, бо няма чаго выключаць: гэта працуе толькі пры націску і ніяк інакш.

Калі вы ўсталюеце абнаўленне, яно заменіць праграму на месцы з выкарыстаннем таго ж ключа подпісу — гэтак жа, як гэта зрабіла б абнаўленне з Google Play.