Política de privacidad

0. En resumen

El texto de tus mensajes se cifra en tu dispositivo y solo pueden leerlo las personas a quienes se lo envías. Nosotros no podemos leerlo, y Google, cuyos servidores alquilamos, tampoco.

Lo que sí podemos ver es que hubo una conversación: qué cuentas participan y cuándo estuvieron activas. Quitar eso es más difícil que cifrar el contenido, y no hemos terminado. Esta política dice exactamente dónde está la línea ahora mismo.

1. Qué está cifrado de extremo a extremo

Cifrado en tu dispositivo, ilegible para nosotros y para Google:

• El texto de tus mensajes.
• El contenido de los archivos, fotos, audios y vídeos que adjuntas.
• Las vistas previas de enlaces.
• Las llamadas de voz y vídeo, que usan el DTLS-SRTP obligatorio de WebRTC entre los dos dispositivos.

La mayoría de los mensajes individuales y de grupo usan además un trinquete: cada mensaje tiene su propia clave, así que comprometer tu dispositivo no expone los anteriores. Las conversaciones en las que el cliente de alguien no ha publicado el material de clave más reciente recurren a una única clave de larga duración, que no tiene esa propiedad. La etiqueta bajo un mensaje te dice cuál le tocó realmente.

Una sola cosa cruza esta línea, y solo cuando tú lo pides: buscar un nombre en Wikipedia envía ese nombre, no el mensaje del que salió. La sección 6 dice quién lo recibe, y la consulta ocurre con el toque y no en otro momento, así que no hay nada que apagar. Resumir, traducir y transcribir también la cruzarían: están apagados en esta versión, y no hay ningún control en la aplicación que los encienda.

2. Qué no está cifrado, y qué podemos ver

El cifrado protege el contenido, no el hecho de que exista una conversación. Esto está en claro en nuestros servidores:

• Quién participa en cada conversación, y cuándo se creó y estuvo activa por última vez.
• La marca de tiempo de cada mensaje y cuántos no has leído.
• El nombre, el tipo y el tamaño de un archivo adjunto. Los bytes están cifrados; su descripción no, y la longitud del texto cifrado acota la del original.
• Tus amistades y solicitudes de amistad.
• La señalización de llamadas: que se hizo una llamada, a quién y cuándo. No su audio ni su vídeo.

El indicador de escritura y las confirmaciones de lectura están desactivados salvo que los actives, y mientras están desactivados no se escribe nada.

Lo que ya no está aquí: tu dirección de correo y tu nombre. Desde septiembre de 2026, el registro de la cuenta solo contiene un identificador de cuenta, y desde entonces no hay dirección alguna en ninguna parte. Registrarse no pregunta nada sobre ti: tu cuenta es una frase de recuperación de 24 palabras, y la credencial que comprueba Firebase Authentication se deriva de ella. Lo que allí se guarda es una etiqueta aleatoria bajo un dominio que no puede recibir correo.

Aparte: como la app funciona sobre Google Firebase, Google puede ver la dirección IP y el momento de cada conexión que tu dispositivo hace hacia allí. Eso es una propiedad del alojamiento, no de la app, y no podemos cifrarlo para que desaparezca.

3. Cómo te encuentran

No pueden buscarte. No hay directorio —ni búsqueda por correo, teléfono o nombre— y el servidor rechaza cualquier consulta que lo intente.

Llegas a alguien enviándole un enlace de invitación por fuera de la app, a través de lo que ya uses. Un enlace funciona una vez, caduca a las 24 horas y puedes retirarlo. Como llames a alguien es tu propia etiqueta para esa persona, y es tuya; si se presentó, ese nombre te llegó cifrado.

4. Qué recopilamos

• Datos de la cuenta: un identificador de cuenta y una credencial derivada de tu frase de recuperación, guardada en Firebase Authentication. Sin dirección de correo, sin número de teléfono y sin nombre: el registro no pide ninguno.
• El texto cifrado de los mensajes y los adjuntos, más los metadatos de la sección 2.

Esa es la lista completa. No hay analítica ni informes de fallos. La aplicación enviaba vistas de pantalla a Firebase Analytics e informes de fallos a Firebase Crashlytics, ambos con tu identificador de cuenta, así que ninguno era anónimo; los dos han desaparecido, junto con las bibliotecas que los enviaban. Los errores se imprimen en la máquina de quien desarrolla, durante el desarrollo, y no van a ninguna otra parte.

5. Dónde se guarda

En Google Firebase —Firestore, Storage y Authentication— bajo reglas de seguridad que deciden quién puede leer y escribir cada documento.

En tu dispositivo, los mensajes en caché, los ajustes y tu PIN de bloqueo se cifran con una clave propia del dispositivo guardada en el almacén de claves del sistema (Keychain en iOS, Keystore en Android), no en el almacenamiento normal de la app.

La clave privada que descifra tus mensajes nunca sale de tu dispositivo, salvo como la frase de recuperación que decidas anotar. No la tenemos y no podemos recuperarla por ti. Si la pierdes, los mensajes enviados a ese dispositivo no se podrán volver a leer, por nadie, nosotros incluidos.

Las versiones 1.2.0 y anteriores también guardaban una copia de la frase en Google Block Store, la copia de seguridad propia de Android, cada vez que iniciabas sesión. Si tu teléfono tenía bloqueo de pantalla, esa copia se sincronizaba con tu cuenta de Google, cifrada de extremo a extremo. Desde la versión 1.2.1 la app ya no lo hace, y borra esa copia cada vez que se inicia.

6. Quién más recibe datos

No vendemos, intercambiamos ni alquilamos tu información personal. Los datos llegan a:

• Google Firebase, nuestro proveedor de alojamiento, como se describe arriba.
• Cloudflare Realtime — el audio y el vídeo de una llamada, cuando tu dispositivo y el de la otra persona no pueden conectarse directamente.
• La Fundación Wikimedia: un solo nombre, cuando lo tocas para buscarlo en Wikipedia.
• Google Cloud Speech-to-Text: el audio de un mensaje de voz, cuando pides una transcripción.
• Google Cloud Translation: el texto de un mensaje, cuando pides una traducción.
• Cloudflare Workers AI: hasta los últimos 50 mensajes de una conversación, cuando pides un resumen o haces una pregunta sobre ella.

Los tres últimos están apagados en esta versión. No hay ningún control en la aplicación que encienda la transcripción, la traducción o los resúmenes, así que nada llega a esos tres servicios. Están en la lista en vez de borrados porque el código sigue aquí y las funciones han de volver: cuando vuelvan, volverán con esta declaración y con una pregunta antes del primer uso. Lo que se enviaría entonces se envía para producir tu resultado, no para entrenar nada; ni una transcripción ni una traducción se guardan en nuestros servidores.

La búsqueda en Wikipedia no tiene interruptor porque no hay nada permanente que apagar: se ejecuta con el toque y no de otro modo. Wikipedia recibe ese nombre y tu dirección IP, igual que si lo hubieras escrito en su buscador; ninguna cuenta, ningún mensaje, ninguna conversación. Lo que vuelve se muestra y no se guarda, y nada de ello se escribe en la conversación.

Cloudflare Realtime tampoco tiene interruptor. La mayoría de las llamadas no lo necesitan: dos dispositivos que pueden conectarse directamente —la mayoría de las llamadas en la misma red— se conectan sin él, y nada se retransmite. Cuando no pueden, normalmente porque estáis en redes móviles distintas, la llamada ya cifrada se retransmite en lugar de quedar sin poder conectar. Lo que ve Cloudflare son ambas direcciones IP, el momento de la llamada y aproximadamente cuántos datos se movieron; el audio y el vídeo permanecen bajo el mismo cifrado DTLS-SRTP descrito en la sección 2, así que la retransmisión no los descifra.

Podemos revelar lo que tenemos si la ley lo exige. Lo que tenemos es la lista de la sección 2. No podemos entregar el contenido de los mensajes, porque no podemos leerlo.

7. Notificaciones push

Firebase Cloud Messaging entrega las notificaciones. El token de tu dispositivo se guarda en una parte privada de tu cuenta que solo tú puedes leer.

Las notificaciones no llevan el texto del mensaje. Tu dispositivo lo descifra localmente y compone lo que ves; Google entrega el sobre, no el contenido.

8. Qué puedes hacer

• Eliminar tu cuenta desde la pantalla de Perfil. El contenido que forma parte conjunta de una conversación —un registro de llamada, por ejemplo— permanece con la otra persona, porque también es su registro.
• Exportar tus datos desde la pantalla de Perfil.
• Hacer que los mensajes caduquen por chat: 1 hora, 24 horas, 7 días o 30 días.
• Activar o desactivar el indicador de escritura y las confirmaciones de lectura. Ambos vienen desactivados.
• Bloquear la app con un PIN o con biometría.
• Retirar un enlace de invitación que ya hayas repartido.

Si prefieres que borremos algo a mano, escríbenos.

9. Conservación

Conservamos tus datos mientras exista tu cuenta. Eliminarla los borra, salvo el contenido compartido indicado arriba. La caducidad por chat elimina los mensajes según el plazo que fijes.

10. Límites que deberías conocer

Preferimos contártelos a que los descubras tú.

• Las claves se confían la primera vez que se ven. Si alguien sustituyó una clave antes de que llegarais a intercambiar un mensaje, la conversación estaría cifrada hacia la persona equivocada y parecería totalmente normal. La app te avisa cuando una clave cambia después, y muestra un número de seguridad que podéis comparar por otro canal, pero nada te obliga a compararlo.
• Un dispositivo a la vez. Tu frase de recuperación restaura la clave que abre tu historial, así que iniciar sesión en un dispositivo nuevo no pierde lo que ya recibiste. Las conversaciones con secreto hacia adelante usan una segunda clave que nunca sale del dispositivo que la creó: llegan al que inició sesión más recientemente, y lo que se selló para el otro mientras tanto no se puede trasladar.
• Los mensajes enviados antes de que existiera el cifrado siguen tal cual. No se convirtió nada de forma retroactiva.
• Esta app nunca ha pasado una auditoría de seguridad independiente.

11. Menores

Chatterbox no está pensada para menores de 13 años, y no recopilamos conscientemente su información. Si crees que un menor nos ha facilitado datos personales, ponte en contacto con nosotros y los eliminaremos.

12. Cambios

Podemos actualizar esta política. Los cambios importantes se anunciarán en la app, y la fecha de arriba es la de la última modificación.

13. Contacto

Dudas sobre esta política: [email protected]

14. Buscar una versión más reciente de la app

Google Play no es la forma en que esta app llega a tu teléfono Android. Se descarga desde chatterbox.fans, y una tienda que no está en el bucle no puede buscar actualizaciones en tu nombre — así que esta app puede hacerlo, si se lo pides.

Tocar "Buscar ahora" envía una única solicitud a chatterbox.fans preguntando cuál es la versión actual. Esa solicitud lleva tu dirección IP y nada más — sin cuenta, sin identificador de dispositivo, sin mensaje. Lo que vuelve es un número de versión, comparado en tu teléfono con la versión que tienes instalada; no se descarga nada automáticamente, y nada de la comprobación se escribe en la conversación.

Esto no tiene interruptor porque no hay nada que apagar: se ejecuta al tocar y no de otra forma.

Si instalas la actualización, reemplaza la app en el mismo lugar usando la misma clave de firma, igual que lo haría una actualización de Google Play.