Zásady ochrany osobních údajů

0. Ve zkratce

Text vašich zpráv je šifrován na vašem zařízení a mohou ho číst pouze lidé, kterým ho posíláte. My ho číst nemůžeme, a nemůže ani Google, jehož servery si pronajímáme.

Co vidíme, je, že proběhla konverzace: které účty jsou v ní zapojeny a kdy byly aktivní. Odstranění toho je těžší než šifrování obsahu, a ještě jsme to nedokončili. Tyto zásady přesně říkají, kde tato hranice v současnosti leží.

1. Co je šifrováno end-to-end

Šifrováno na vašem zařízení, nečitelné pro nás a pro Google:

• Text vašich zpráv.
• Obsah souborů, fotografií, zvuku a videa, které přikládáte.
• Náhledy odkazů.
• Hlasové a video hovory, které používají povinné DTLS-SRTP WebRTC mezi dvěma zařízeními.

Většina zpráv jeden na jednoho a skupinových zpráv navíc používá ratchet, což znamená, že každá zpráva má svůj vlastní klíč, takže kompromitace vašeho zařízení neodhalí dřívější zprávy. Konverzace, kde klient někoho nezveřejnil novější klíčový materiál, se vrací k jednomu dlouhodobému klíči, který tuto vlastnost nemá. Štítek pod zprávou vám řekne, který skutečně dostala.

Jedna věc tuto hranici překračuje, a to jen když o to požádáte: vyhledání jména na Wikipedii odešle pouze toto jméno, ne zprávu, ze které pochází. Oddíl 6 říká, kdo to dostane, a vyhledávání běží pouze při klepnutí a jinak ne, takže není co vypnout. Shrnutí, překlad a přepis by tuto hranici také překročily — v tomto vydání jsou vypnuty, bez jakéhokoli ovládání kdekoli v aplikaci, které by je zapnulo.

2. Co není šifrováno, a co vidíme

Šifrování chrání obsah, ne skutečnost, že konverzace proběhla. Tyto věci leží jasně na našich serverech:

• Kdo je v každé konverzaci a kdy byla vytvořena a naposledy aktivní.
• Časové razítko každé zprávy a kolik jich nemáte přečteno.
• Název souboru přílohy, typ a velikost. Bajty jsou šifrovány; jejich popis ne, a délka šifrovaného textu omezuje délku originálu.
• Vaši přátelé a žádosti o přátelství.
• Signalizace hovoru — že hovor byl uskutečněn, komu a kdy. Ne jeho zvuk nebo video.

Indikátory psaní a potvrzení o přečtení jsou vypnuté, dokud je nezapnete, a dokud jsou vypnuté, nic se nezapisuje.

Co už tady není: vaše e-mailová adresa a jméno. Od září 2026 obsahuje záznam účtu pouze identifikátor účtu — a od té doby neexistuje adresa, kterou by bylo kde uchovávat. Registrace se vás na nic neptá: váš účet je obnovovací fráze o 24 slovech, a přihlašovací údaj, který Firebase Authentication kontroluje, je z ní odvozen. Co ukládá, je náhodný štítek pod doménou, která nemůže přijímat poštu.

Odděleně: protože aplikace běží na Google Firebase, Google vidí IP adresu a čas každého připojení, které vaše zařízení k němu vytvoří. To je vlastnost hostingu, ne aplikace, a nemůžeme to zašifrovat pryč.

3. Jak vás lidé najdou

Nemohou vás vyhledat. Neexistuje adresář — žádné vyhledávání podle e-mailu, telefonního čísla nebo jména — a server odmítá jakýkoli dotaz, který se o to pokusí.

Někoho oslovíte tak, že mu mimo kanál pošlete pozvánkový odkaz, prostřednictvím čehokoli, co již používáte. Odkaz funguje jednou, po 24 hodinách vyprší platnost a lze ho odvolat. Jakkoli někoho nazýváte, je to váš vlastní štítek pro něj, uchovávaný pro vás; pokud se představili sami, dostalo se k vám toto jméno zašifrované.

4. Co shromažďujeme

• Údaje o účtu: identifikátor účtu a přihlašovací údaj odvozený z vaší obnovovací fráze, uchovávaný ve Firebase Authentication. Žádná e-mailová adresa, žádné telefonní číslo, žádné jméno — registrace se na nic z toho neptá.
• Šifrovaný text zprávy a přílohy, plus metadata v oddílu 2.

To je celý seznam. Neexistuje žádná analytika ani hlášení chyb. Aplikace dříve posílala zobrazení obrazovky do Firebase Analytics a hlášení chyb do Firebase Crashlytics, obě nesla identifikátor vašeho účtu, takže žádné z nich nebylo anonymní; obě jsou nyní pryč, spolu s knihovnami, které je odesílaly. Chyby se vytisknou pouze na vlastním počítači vývojáře během vývoje a nikam jinam nejdou.

5. Kde je to uloženo

Na Google Firebase — Firestore, Storage a Authentication — pod bezpečnostními pravidly, která rozhodují, kdo může každý dokument číst a zapisovat.

Na vašem zařízení jsou zprávy uložené v mezipaměti, nastavení a váš PIN zámku aplikace šifrovány klíčem pro jednotlivé zařízení, uchovávaným v úložišti klíčů platformy (iOS Keychain, Android Keystore) namísto v běžném úložišti aplikace.

Soukromý klíč, který dešifruje vaše zprávy, nikdy neopustí vaše zařízení, kromě jako obnovovací fráze, kterou se rozhodnete si zapsat. My ho nedržíme a nemůžeme ho pro vás obnovit. Ztratíte-li ho, zprávy odeslané na toto zařízení již nelze znovu přečíst — nikým, včetně nás.

Verze 1.2.0 a starší při každém přihlášení ukládaly kopii fráze také do Google Block Store, vlastní zálohy Androidu. Pokud měl telefon zámek obrazovky, tato kopie se synchronizovala s vaším účtem Google, šifrovaná end-to-end. Od verze 1.2.1 to aplikace už nedělá a tuto kopii při každém spuštění smaže.

6. Kdo další dostává data

Vaše osobní údaje neprodáváme, neobchodujeme s nimi ani je nepronajímáme. Data se dostávají k:

• Google Firebase — náš poskytovatel hostingu, jak je popsáno výše.
• Cloudflare Realtime — zvuk a obraz hovoru, když se vaše zařízení a zařízení druhé osoby nemohou spojit přímo.
• Wikimedia Foundation — jedno jméno, když na něj klepnete pro vyhledání na Wikipedii.
• Google Cloud Speech-to-Text — zvuk jedné hlasové zprávy, když požádáte o přepis.
• Google Cloud Translation — text jedné zprávy, když požádáte o překlad.
• Cloudflare Workers AI — až posledních 50 zpráv jedné konverzace, když požádáte o shrnutí nebo se na ni zeptáte.

Poslední tři jsou v tomto vydání vypnuty. Nikde v aplikaci není žádné ovládání, které by zapínalo přepis, překlad nebo shrnutí, takže k těmto třem službám nic nedosáhne. Jsou uvedeny místo smazány, protože kód je stále zde a funkce mají v úmyslu se vrátit — a když se vrátí, vrátí se s tímto zveřejněním a výzvou před prvním použitím. Co by se tehdy odesílalo, je odesíláno k vytvoření vašeho výsledku, ne k trénování čehokoli; na našich serverech se neukládá ani přepis, ani překlad.

Vyhledávání na Wikipedii nemá přepínač, protože není co vypnout: běží pouze při klepnutí a jinak ne. Wikipedie dostane pouze toto jedno jméno a vaši IP adresu, stejně jako kdybyste ho sami napsali do jejich vyhledávacího pole — žádný účet, žádná zpráva, žádná konverzace. Co se vrátí, je zobrazeno a neuloženo, a nic o tom se nezapíše do konverzace.

Cloudflare Realtime také nemá přepínač. Většina hovorů to nepotřebuje: dvě zařízení, která se mohou spojit přímo — většina hovorů ve stejné síti — se připojí bez toho a nic se nepřeposílá. Když nemohou — obvykle proto, že jste oba v různých mobilních sítích — již zašifrovaný hovor je přeposlán, místo aby zůstal bez spojení. Co Cloudflare vidí, jsou obě IP adresy, čas hovoru a přibližně kolik dat se přesunulo; zvuk a obraz zůstávají pod stejným šifrováním DTLS-SRTP popsaným v části 2, takže přeposílání je nedešifruje.

Můžeme odhalit, co držíme, pokud to vyžaduje zákon. Co držíme, je seznam v oddílu 2. Nemůžeme poskytnout obsah zpráv, protože ho nemůžeme přečíst.

7. Push oznámení

Firebase Cloud Messaging doručuje oznámení. Token vašeho zařízení je uložen v soukromé části vašeho účtu, kterou můžete číst pouze vy.

Oznámení nenesou žádný text zprávy. Vaše zařízení dešifruje zprávu lokálně a sestaví, co vidíte; Google doručuje obálku, ne obsah.

8. Co můžete dělat

• Smazat svůj účet z obrazovky Profil. Obsah, který je společnou součástí konverzace — například záznam hovoru — zůstává u druhého účastníka, protože je to i jeho záznam.
• Exportovat svá data z obrazovky Profil.
• Nastavit vypršení zpráv podle konverzace: 1 hodina, 24 hodin, 7 dní nebo 30 dní.
• Zapnout nebo vypnout indikátory psaní a potvrzení o přečtení. Obě jsou ve výchozím nastavení vypnuté.
• Uzamknout aplikaci PINem nebo biometrikou.
• Odvolat pozvánkový odkaz, který jste rozdali.

Pokud byste raději, abychom něco smazali ručně, napište nám.

9. Uchovávání

Vaše data uchováváme, dokud váš účet existuje. Smazání účtu je smaže, kromě společně drženého obsahu uvedeného výše. Vypršení podle konverzace odstraňuje zprávy podle harmonogramu, který nastavíte.

10. Omezení, o kterých byste měli vědět

Raději bychom vám to řekli, než abyste to zjistili sami.

• Klíčům se důvěřuje při prvním zobrazení. Pokud by někdo nahradil klíč dříve, než jste si kdy vyměnili zprávu, konverzace by se šifrovala nesprávné osobě a vypadala by naprosto normálně. Aplikace vás upozorní, když se klíč později změní, a zobrazí bezpečnostní číslo, které můžete porovnat mimo kanál — ale nic vás nenutí ho porovnávat.
• Jedno zařízení najednou. Vaše obnovovací fráze obnoví klíč, který otevírá vaši historii, takže přihlášení na novém zařízení neztratí to, co jste již obdrželi. Konverzace s forward secrecy používají druhý klíč, který nikdy neopustí zařízení, které ho vytvořilo: ať už se naposledy přihlásilo jakékoli zařízení, je to to, které dosáhnou, a cokoli mezitím zapečetěné pro to druhé tam nelze přesunout.
• Zprávy odeslané před existencí šifrování zůstávají tak, jak byly. Nic nebylo zpětně převedeno.
• Tato aplikace nebyla nezávisle bezpečnostně auditována.

11. Děti

Chatterbox není určen pro děti mladší 13 let, a jejich informace vědomě neshromažďujeme. Pokud se domníváte, že nám dítě poskytlo osobní údaje, kontaktujte nás a my je smažeme.

12. Změny

Tyto zásady můžeme aktualizovat. Významné změny budou oznámeny v aplikaci a datum nahoře je, kdy se naposledy změnily.

13. Kontakt

Dotazy ohledně těchto zásad: [email protected]

14. Kontrola novější verze aplikace

Google Play není způsob, jakým se tato aplikace dostává do vašeho telefonu s Androidem. Místo toho se stahuje z chatterbox.fans, a obchod, který není součástí tohoto procesu, nemůže kontrolovat aktualizace vaším jménem — takže to může udělat sama tato aplikace, pokud ji o to požádáte.

Klepnutím na „Zkontrolovat nyní" se odešle jeden požadavek na chatterbox.fans s dotazem, jaká verze je aktuální. Tento požadavek nese pouze vaši IP adresu a nic jiného — žádný účet, žádný identifikátor zařízení, žádnou zprávu. To, co se vrátí, je číslo verze, které se na vašem telefonu porovná s verzí, kterou používáte; nic se automaticky nestahuje a nic o této kontrole se nezapisuje do konverzace.

Toto nemá přepínač, protože není co vypínat: spouští se pouze klepnutím, a jinak ne.

Pokud aktualizaci nainstalujete, nahradí aplikaci na místě pomocí stejného podpisového klíče, stejně jako by to udělala aktualizace z Google Play.