Privatlivspolitik

0. Kort sagt

Teksten i dine beskeder krypteres på din enhed og kan kun læses af de personer, du sender den til. Vi kan ikke læse den, og det kan Google, hvis servere vi lejer, heller ikke.

Det, vi kan se, er, at en samtale fandt sted: hvilke konti der indgår, og hvornår de var aktive. At fjerne det er sværere end at kryptere indholdet, og vi er ikke færdige endnu. Denne politik siger præcis, hvor grænsen ligger lige nu.

1. Hvad er end-to-end-krypteret

Krypteret på din enhed, ulæseligt for os og Google:

• Teksten i dine beskeder.
• Indholdet af filer, fotos, lyd og video, du vedhæfter.
• Linkforhåndsvisninger.
• Tale- og videoopkald, som bruger WebRTC's obligatoriske DTLS-SRTP mellem de to enheder.

De fleste en-til-en- og gruppebeskeder bruger desuden en ratchet, hvilket betyder, at hver besked har sin egen nøgle, så en kompromitteret enhed ikke afslører tidligere beskeder. Samtaler, hvor en persons klient ikke har offentliggjort det nyere nøglemateriale, falder tilbage til en enkelt langlivet nøgle, som ikke har den egenskab. Etiketten under en besked fortæller dig, hvilken den faktisk fik.

Én ting krydser denne linje, og kun når du beder om det: at slå et navn op på Wikipedia sender kun det ene navn, ikke beskeden, det kom fra. Afsnit 6 siger, hvem der modtager det, og opslaget kører kun ved tryk og ikke ellers, så der er intet at slå fra. At opsummere, oversætte og transskribere ville også krydse dette — de er slået fra i denne udgivelse, uden nogen kontrol nogen steder i appen, der tænder dem.

2. Hvad er ikke krypteret, og hvad vi kan se

Kryptering beskytter indhold, ikke det faktum, at en samtale fandt sted. Disse ligger klart på vores servere:

• Hvem der er i hver samtale, og hvornår den blev oprettet og sidst var aktiv.
• Tidsstemplet for hver besked, og hvor mange du ikke har læst.
• Filnavn, type og størrelse på en vedhæftet fil. Bytes er krypteret; beskrivelsen af dem er ikke, og ciffertekstens længde begrænser originalens længde.
• Dine venner og venneanmodninger.
• Opkaldssignalering — at et opkald blev foretaget, til hvem, og hvornår. Ikke dets lyd eller video.

Skriveindikatorer og læsekvitteringer er slået fra, medmindre du slår dem til, og mens de er slået fra, skrives der intet.

Hvad der ikke længere er her: din e-mailadresse og dit navn. Siden september 2026 indeholder kontoposten kun en kontoidentifikator — og siden da har der ikke været nogen adresse at opbevare nogen steder. Tilmelding spørger ikke om noget om dig: din konto er en gendannelsessætning på 24 ord, og legitimationsoplysningen, som Firebase Authentication kontrollerer, er afledt af den. Det, den gemmer, er en tilfældig etiket under et domæne, der ikke kan modtage post.

Separat: fordi appen kører på Google Firebase, kan Google se IP-adressen og tidspunktet for hver forbindelse, din enhed laver til den. Det er en egenskab ved hostingen, ikke appen, og vi kan ikke kryptere det væk.

3. Sådan finder folk dig

De kan ikke søge efter dig. Der er ingen adressebog — ingen søgning efter e-mail, telefonnummer eller navn — og serveren afviser enhver forespørgsel, der forsøger det.

Du når nogen ved at sende dem et invitationslink uden for kanalen, via hvad du allerede bruger. Et link virker én gang, udløber efter 24 timer, og kan trækkes tilbage. Hvad du end kalder nogen, er din egen etiket for dem, gemt til dig; hvis de introducerede sig selv, nåede det navn dig krypteret.

4. Hvad vi indsamler

• Kontodata: en kontoidentifikator, og en legitimationsoplysning afledt af din gendannelsessætning, opbevaret i Firebase Authentication. Ingen e-mailadresse, intet telefonnummer, intet navn — tilmelding spørger om ingen af disse.
• Besked- og vedhæftningsciffertekst, plus metadata i afsnit 2.

Det er hele listen. Der er ingen analyse og ingen crashrapportering. Appen sendte tidligere skærmvisninger til Firebase Analytics og crashrapporter til Firebase Crashlytics, begge bærende din kontoidentifikator, så ingen af dem var anonym; begge er nu væk, sammen med de biblioteker, der sendte dem. Fejl udskrives kun på en udviklers egen maskine under udvikling og går ikke andre steder hen.

5. Hvor det gemmes

På Google Firebase — Firestore, Storage og Authentication — under sikkerhedsregler, der afgør, hvem der må læse og skrive hvert dokument.

På din enhed er cachede beskeder, indstillinger og din app-lås-PIN krypteret med en per-enhed-nøgle, der opbevares i platformens nøglelager (iOS Keychain, Android Keystore) frem for i almindelig applagring.

Den private nøgle, der dekrypterer dine beskeder, forlader aldrig din enhed, undtagen som den gendannelsessætning, du vælger at skrive ned. Vi opbevarer den ikke og kan ikke gendanne den for dig. Mister du den, kan beskeder sendt til den enhed ikke læses igen — af nogen, os inkluderet.

Version 1.2.0 og tidligere gemte også en kopi af sætningen i Google Block Store, Androids egen sikkerhedskopi, hver gang du loggede ind. Hvis telefonen havde skærmlås, blev kopien synkroniseret til din Google-konto, end-to-end-krypteret. Fra version 1.2.1 gør appen det ikke længere, og den sletter kopien, hver gang den starter.

6. Hvem ellers modtager data

Vi sælger, handler eller udlejer ikke dine personlige oplysninger. Data når:

• Google Firebase — vores hostingudbyder, som beskrevet ovenfor.
• Cloudflare Realtime — lyden og videoen fra et opkald, når din enhed og den anden persons enhed ikke kan nå hinanden direkte.
• Wikimedia Foundation — ét navn, når du trykker for at slå det op på Wikipedia.
• Google Cloud Speech-to-Text — lyden af én talebesked, når du beder om en transskription.
• Google Cloud Translation — teksten i én besked, når du beder om en oversættelse.
• Cloudflare Workers AI — op til de sidste 50 beskeder i én samtale, når du beder om et resumé eller stiller et spørgsmål om det.

De sidste tre er slået fra i denne udgivelse. Der er ingen kontrol nogen steder i appen, der slår transskription, oversættelse eller resuméer til, så intet når disse tre tjenester. De er listet i stedet for slettet, fordi koden stadig er her, og funktionerne er beregnet til at vende tilbage — og når de gør, vender de tilbage med denne oplysning og en prompt før første brug. Det, der så ville blive sendt, sendes for at producere dit resultat, ikke for at træne noget; hverken en transskription eller oversættelse gemmes på vores servere.

Wikipedia-opslaget har ingen kontakt, fordi der intet er at slå fra: det kører kun ved tryk og ikke ellers. Wikipedia modtager det ene navn og din IP-adresse, ligesom hvis du selv havde skrevet det i deres søgefelt — ingen konto, ingen besked, ingen samtale. Det, der kommer tilbage, vises og gemmes ikke, og intet om det skrives ind i samtalen.

Cloudflare Realtime har heller ingen kontakt. De fleste opkald har ikke brug for det: to enheder, der kan nå hinanden direkte — de fleste opkald på samme netværk — forbindes uden det, og intet videresendes. Når de ikke kan — typisk fordi I begge er på forskellige mobilnetværk — bliver det allerede krypterede opkald videresendt i stedet for at blive ude af stand til at forbinde. Det, Cloudflare ser, er begge IP-adresser, opkaldets tidspunkt og cirka hvor meget data der blev flyttet; lyd og video forbliver under den samme DTLS-SRTP-kryptering, der er beskrevet i afsnit 2, så videresendelse dekrypterer dem ikke.

Vi kan afsløre, hvad vi opbevarer, hvis loven kræver det. Hvad vi opbevarer, er listen i afsnit 2. Vi kan ikke fremskaffe beskedindhold, fordi vi ikke kan læse det.

7. Push-notifikationer

Firebase Cloud Messaging leverer notifikationer. Din enheds token opbevares i en privat del af din konto, som kun du kan læse.

Notifikationer bærer ingen beskedtekst. Din enhed dekrypterer beskeden lokalt og sammensætter det, du ser; Google leverer konvolutten, ikke indholdet.

8. Hvad du kan gøre

• Slet din konto fra profilskærmen. Indhold, der er en fælles del af en samtale — en opkaldsregistrering, for eksempel — bliver hos den anden deltager, fordi det også er deres registrering.
• Eksportér dine data fra profilskærmen.
• Indstil beskeder til at udløbe pr. chat: 1 time, 24 timer, 7 dage eller 30 dage.
• Slå skriveindikatorer og læsekvitteringer til eller fra. Begge er slået fra som standard.
• Lås appen med en PIN-kode eller biometri.
• Tilbagekald et invitationslink, du har udleveret.

Hvis du hellere vil have, at vi sletter noget manuelt, så skriv til os.

9. Opbevaring

Vi opbevarer dine data, så længe din konto eksisterer. Sletning af kontoen sletter dem, bortset fra det fælles indhold nævnt ovenfor. Per-chat-udløb fjerner beskeder efter den tidsplan, du indstiller.

10. Begrænsninger, du bør kende

Vi vil hellere fortælle dig dette, end at du finder det selv.

• Nøgler betros første gang, de ses. Hvis nogen havde erstattet en nøgle, før du nogensinde udvekslede en besked, ville samtalen blive krypteret til den forkerte person og se helt normal ud. Appen advarer dig, når en nøgle ændrer sig bagefter, og viser et sikkerhedsnummer, du kan sammenligne uden for kanalen — men intet tvinger dig til at sammenligne det.
• Én enhed ad gangen. Din gendannelsessætning gendanner nøglen, der åbner din historik, så login på en ny enhed mister ikke det, du allerede har modtaget. Forward secret-samtaler bruger en anden nøgle, der aldrig forlader den enhed, der oprettede den: hvilken enhed der sidst loggede ind, er den, de når, og alt, der er forseglet til den anden i mellemtiden, kan ikke flyttes derhen.
• Beskeder sendt før kryptering fandtes, forbliver som de var. Intet blev konverteret med tilbagevirkende kraft.
• Denne app er ikke blevet uafhængigt sikkerhedstestet.

11. Børn

Chatterbox er ikke beregnet til børn under 13 år, og vi indsamler ikke bevidst deres oplysninger. Hvis du tror, at et barn har givet os personlige oplysninger, bedes du kontakte os, så sletter vi dem.

12. Ændringer

Vi kan opdatere denne politik. Væsentlige ændringer annonceres i appen, og datoen øverst er, hvornår den sidst blev ændret.

13. Kontakt

Spørgsmål om denne politik: [email protected]

14. Søgning efter en nyere app-version

Google Play er ikke den måde, denne app når din Android-telefon på. Den downloades i stedet fra chatterbox.fans, og en butik, der ikke er en del af den proces, kan ikke tjekke for opdateringer på dine vegne — så det kan denne app selv gøre, hvis du beder den om det.

Et tryk på "Tjek nu" sender én forespørgsel til chatterbox.fans om, hvilken version der er aktuel. Den forespørgsel bærer kun din IP-adresse og intet andet — ingen konto, intet enheds-id, ingen besked. Det, der kommer tilbage, er et versionsnummer, som sammenlignes på din telefon med den version, du kører; intet downloades automatisk, og intet om dette tjek skrives ind i samtalen.

Dette har ingen kontakt, fordi der ikke er noget at slukke for: det kører kun, når der trykkes, og ikke ellers.

Hvis du installerer opdateringen, erstatter den appen på stedet med samme signeringsnøgle, ligesom en opdatering fra Google Play ville gøre.