سیاست حریم خصوصی
0. خلاصه
متن پیام‌های شما روی دستگاه خودتان رمزنگاری می‌شود و فقط کسانی که برایشان می‌فرستید می‌توانند آن را بخوانند. ما نمی‌توانیم آن را بخوانیم، و Google هم که سرورهایش را اجاره می‌کنیم نمی‌تواند.
آنچه ما می‌توانیم ببینیم این است که گفتگویی رخ داده: چه حساب‌هایی در آن هستند و چه زمانی فعال بوده‌اند. حذف این بخش هم از رمزنگاری محتوا سخت‌تر است و ما هنوز تمامش نکرده‌ایم. این سیاست دقیقاً می‌گوید خط فعلاً کجا کشیده شده است.
1. چه چیزی سرتاسری رمزنگاری‌شده است
روی دستگاه شما رمزنگاری می‌شود و برای ما و Google خواندنی نیست:
- متن پیام‌های شما.
- محتوای فایل‌ها، عکس‌ها، صداها و ویدیوهایی که پیوست می‌کنید.
- پیش‌نمایش لینک‌ها.
- تماس‌های صوتی و ویدیویی، که از DTLS-SRTP اجباریِ WebRTC میان دو دستگاه استفاده می‌کنند.
بیشتر پیام‌های دونفره و گروهی، افزون بر این، از یک چرخ‌دنده (ratchet) استفاده می‌کنند، یعنی هر پیام کلید خودش را دارد، پس به‌خطر افتادن دستگاه شما پیام‌های قدیمی‌تر را افشا نمی‌کند. گفتگوهایی که کلاینت طرف مقابل هنوز مادهٔ کلید تازه‌تر را منتشر نکرده، به یک کلید دیرپای واحد برمی‌گردند که این ویژگی را ندارد. برچسب زیر یک پیام به شما می‌گوید آن پیام واقعاً کدام‌یک را دریافت کرده است.
فقط یک چیز از این خط عبور می‌کند، و فقط وقتی خودتان بخواهید: جستجوی نامی در ویکی‌پدیا فقط همان یک نام را می‌فرستد، نه پیامی که از آن آمده. بخش ۶ می‌گوید چه کسی آن را دریافت می‌کند، و جستجو فقط با همان ضربه اجرا می‌شود و در غیر آن اجرا نمی‌شود، پس چیزی برای خاموش کردن نیست. خلاصه‌سازی، ترجمه و پیاده‌سازی متن هم از این خط عبور می‌کنند — آن‌ها در این نسخه خاموش‌اند، و هیچ کنترلی در برنامه نیست که روشنشان کند.
2. چه چیزی رمزنگاری‌نشده است، و ما چه می‌بینیم
رمزنگاری از محتوا محافظت می‌کند، نه از اصل وجود یک گفتگو. این‌ها روی سرورهای ما به‌صورت خوانا هستند:
- چه کسی در هر گفتگوست، و کِی ساخته شده و آخرین‌بار کِی فعال بوده.
- زمان هر پیام، و اینکه چند تای آن‌ها را نخوانده‌اید.
- نام، نوع و اندازهٔ فایل یک پیوست. بایت‌ها رمزنگاری شده‌اند؛ توصیف آن‌ها نه، و طول متن رمزشده هم طول اصل فایل را کران‌دار می‌کند.
- دوستان و درخواست‌های دوستی شما.
- سیگنالینگ تماس — اینکه تماسی گرفته شده، با چه کسی، و چه زمانی. نه صدا یا تصویر آن.
نشانگر تایپ و رسید خواندن مگر خودتان روشنشان کنید خاموش‌اند، و تا وقتی خاموش‌اند چیزی نوشته نمی‌شود.
چیزی که دیگر اینجا نیست: آدرس ایمیل و نام شما. از سپتامبر ۲۰۲۶، رکورد حساب فقط یک شناسهٔ حساب دارد — و از آن زمان هیچ آدرسی جایی نگهداری نمی‌شود. ثبت‌نام هیچ چیزی دربارهٔ شما نمی‌پرسد: حساب شما همان عبارت ۲۴ کلمه‌ای است، و مدرکی که Firebase Authentication بررسی می‌کند از همان مشتق می‌شود. چیزی که ذخیره می‌شود فقط یک برچسب تصادفی زیر دامنه‌ای است که هیچ ایمیلی نمی‌تواند دریافت کند.
جدا از این: چون برنامه روی Google Firebase اجرا می‌شود، Google می‌تواند آدرس IP و زمان هر اتصال دستگاه شما به آن را ببیند. این ویژگی میزبانی است، نه ویژگی برنامه، و ما نمی‌توانیم آن را با رمزنگاری از بین ببریم.
3. دیگران چطور شما را پیدا می‌کنند
آن‌ها نمی‌توانند شما را جستجو کنند. اینجا هیچ فهرستی نیست — نه جستجو با ایمیل، شماره تلفن یا نام — و سرور هر چنین درخواستی را رد می‌کند.
شما با فرستادن یک لینک دعوت از کانالی جدا، از طریق هرچه از قبل استفاده می‌کنید، به کسی می‌رسید. یک لینک یک‌بار کار می‌کند، پس از ۲۴ ساعت منقضی می‌شود، و می‌توان لغوش کرد. اسمی که برای کسی می‌گذارید برچسب خود شماست برای او، فقط نزد شما نگه‌داشته‌شده؛ اگر او خودش را معرفی کرده باشد، آن نام رمزنگاری‌شده به شما رسیده است.
4. ما چه چیزی جمع‌آوری می‌کنیم
- داده‌های حساب: یک شناسهٔ حساب، و مدرکی که از عبارت بازیابی شما مشتق شده، در Firebase Authentication نگهداری می‌شود. نه آدرس ایمیل، نه شماره تلفن، نه نام — ثبت‌نام هیچ‌کدام را نمی‌پرسد.
- متن رمزشدهٔ پیام‌ها و پیوست‌ها، به‌همراه ابرداده‌های بخش ۲.
همین است، تمام فهرست. نه آماری هست و نه گزارش خرابی. این برنامه قبلاً بازدید صفحه‌ها را به Firebase Analytics و گزارش‌های خرابی را به Firebase Crashlytics می‌فرستاد، هر دو همراه با شناسهٔ حساب شما، پس هیچ‌کدام ناشناس نبودند؛ حالا هر دو، همراه با کتابخانه‌هایی که آن‌ها را می‌فرستادند، حذف شده‌اند. خطاها فقط روی دستگاه خود توسعه‌دهنده در زمان توسعه چاپ می‌شوند و جای دیگری نمی‌روند.
5. کجا نگهداری می‌شود
روی Google Firebase — Firestore، Storage و Authentication — زیر قوانین امنیتی‌ای که تعیین می‌کنند چه کسی می‌تواند هر سند را بخواند یا در آن بنویسد.
روی دستگاه شما، پیام‌های ذخیره‌شده، تنظیمات و پین قفل برنامه با کلیدی مخصوص همان دستگاه رمزنگاری می‌شوند که در گاوصندوق کلید پلتفرم (کیچین iOS، کیستور اندروید) نگهداری می‌شود، نه در حافظهٔ معمولی برنامه.
کلید خصوصی‌ای که پیام‌های شما را رمزگشایی می‌کند هرگز دستگاه شما را ترک نمی‌کند، مگر به‌شکل عبارت بازیابی‌ای که خودتان تصمیم می‌گیرید یادداشتش کنید. ما آن را نگه نمی‌داریم و نمی‌توانیم برایتان بازیابی‌اش کنیم. اگر آن را گم کنید، پیام‌های فرستاده‌شده به آن دستگاه دیگر خوانده نمی‌شوند — توسط هیچ‌کس، حتی ما.
نسخه‌های 1.2.0 و پیش از آن، هر بار که وارد می‌شدید، یک نسخه از عبارت را در Google Block Store، پشتیبان خود Android، هم ذخیره می‌کردند. اگر گوشی شما قفل صفحه داشت، آن نسخه با رمزگذاری سرتاسری با حساب Google شما همگام می‌شد. از نسخهٔ 1.2.1 برنامه دیگر این کار را نمی‌کند و هر بار که اجرا می‌شود آن نسخه را پاک می‌کند.
6. چه کس دیگری داده را دریافت می‌کند
ما اطلاعات شخصی شما را نمی‌فروشیم، معامله نمی‌کنیم و اجاره نمی‌دهیم. داده به این‌ها می‌رسد:
- Google Firebase — ارائه‌دهندهٔ میزبانی ما، همان‌طور که بالا گفته شد.
- Cloudflare Realtime — صدا و تصویر یک تماس، وقتی دستگاه شما و دستگاه طرف مقابل نتوانند مستقیماً به هم برسند.
- بنیاد ویکی‌مدیا — یک نام، وقتی روی آن ضربه می‌زنید تا در ویکی‌پدیا جستجویش کنید.
- Google Cloud Speech-to-Text — صدای یک پیام صوتی، وقتی متن پیاده‌شده می‌خواهید.
- Google Cloud Translation — متن یک پیام، وقتی ترجمه می‌خواهید.
- Cloudflare Workers AI — تا ۵۰ پیام آخر یک گفتگو، وقتی خلاصه می‌خواهید یا دربارهٔ آن سؤالی می‌پرسید.
سه مورد آخر در این نسخه خاموش‌اند. هیچ کنترلی در هیچ‌جای برنامه نیست که پیاده‌سازی متن، ترجمه یا خلاصه‌سازی را روشن کند، پس چیزی به این سه سرویس نمی‌رسد. آن‌ها به‌جای حذف‌شدن فهرست شده‌اند چون کد هنوز اینجاست و قرار است این ویژگی‌ها بازگردند — و وقتی بازگردند، همراه با همین افشاگری و درخواستی پیش از نخستین استفاده بازمی‌گردند. آنچه در آن زمان فرستاده شود برای تولید نتیجهٔ شماست، نه برای آموزش چیزی؛ نه متن پیاده‌شده و نه ترجمه روی سرورهای ما ذخیره نمی‌شود.
جستجوی ویکی‌پدیا کلیدی ندارد چون چیز پایداری برای خاموش‌کردن نیست: فقط با همان ضربه اجرا می‌شود و جز آن اجرا نمی‌شود. ویکی‌پدیا همان یک نام و آدرس IP شما را دریافت می‌کند، درست مثل اینکه خودتان در کادر جستجوی آن تایپش کرده باشید — بدون حساب، بدون پیام، بدون گفتگو. آنچه برمی‌گردد فقط نمایش داده می‌شود و ذخیره نمی‌شود، و چیزی از آن در گفتگو نوشته نمی‌شود.
Cloudflare Realtime هم کلیدی ندارد. بیشتر تماس‌ها به آن نیاز ندارند: دو دستگاهی که می‌توانند مستقیماً به هم برسند — بیشتر تماس‌ها در یک شبکه — بدون آن متصل می‌شوند و چیزی رله نمی‌شود. وقتی نتوانند — معمولاً به این دلیل که هرکدام در یک شبکهٔ موبایل متفاوت هستید — تماسی که از قبل رمزگذاری شده، به‌جای باقی ماندن بدون اتصال، رله می‌شود. آنچه Cloudflare می‌بیند هر دو آدرس IP، زمان تماس، و تقریباً میزان داده‌ی جابه‌جاشده است؛ صدا و تصویر همچنان تحت همان رمزگذاری DTLS-SRTP توضیح داده‌شده در بخش ۲ باقی می‌مانند، پس رله کردن آن‌ها را رمزگشایی نمی‌کند.
اگر قانون ایجاب کند، ممکن است آنچه را داریم افشا کنیم. آنچه داریم همان فهرست بخش ۲ است. ما نمی‌توانیم محتوای پیام‌ها را ارائه کنیم، چون نمی‌توانیم آن‌ها را بخوانیم.
7. اعلان‌های فشاری
Firebase Cloud Messaging اعلان‌ها را تحویل می‌دهد. توکن دستگاه شما در بخشی خصوصی از حساب شما نگهداری می‌شود که فقط خودتان می‌توانید آن را بخوانید.
اعلان‌ها هیچ متن پیامی حمل نمی‌کنند. دستگاه شما پیام را محلی رمزگشایی می‌کند و آنچه می‌بینید را می‌سازد؛ Google پاکت را تحویل می‌دهد، نه محتوایش را.
8. شما چه می‌توانید بکنید
- حساب خود را از صفحهٔ پروفایل حذف کنید. محتوایی که مشترکاً بخشی از یک گفتگوست — برای مثال یک رکورد تماس — نزد طرف دیگر می‌ماند، چون رکورد او هم هست.
- داده‌های خود را از صفحهٔ پروفایل خروجی بگیرید.
- انقضای پیام‌ها را برای هر گفتگو تنظیم کنید: ۱ ساعت، ۲۴ ساعت، ۷ روز یا ۳۰ روز.
- نشانگر تایپ و رسید خواندن را روشن یا خاموش کنید. هر دو به‌طور پیش‌فرض خاموش‌اند.
- برنامه را با پین یا بیومتریک قفل کنید.
- لینک دعوتی را که داده‌اید لغو کنید.
اگر ترجیح می‌دهید ما چیزی را دستی حذف کنیم، برایمان بنویسید.
9. نگهداری
ما داده‌های شما را تا زمانی که حسابتان وجود دارد نگه می‌داریم. حذف حساب آن را حذف می‌کند، به‌جز محتوای مشترک ذکرشده در بالا. انقضای هر گفتگو پیام‌ها را طبق زمان‌بندی‌ای که تعیین کرده‌اید حذف می‌کند.
10. محدودیت‌هایی که باید بدانید
ترجیح می‌دهیم این‌ها را به شما بگوییم تا اینکه خودتان پیدایشان کنید.
- کلیدها بار اول که دیده می‌شوند مورد اعتماد قرار می‌گیرند. اگر کسی پیش از آنکه هرگز پیامی رد و بدل کنید کلیدی را جایگزین کرده باشد، گفتگو برای شخص اشتباهی رمزنگاری می‌شود و کاملاً عادی به‌نظر می‌رسد. برنامه وقتی کلیدی بعداً تغییر کند به شما هشدار می‌دهد و شمارهٔ امنیتی‌ای نشان می‌دهد که می‌توانید از کانالی جدا مقایسه کنید — اما چیزی شما را مجبور به مقایسه‌اش نمی‌کند.
- یک دستگاه در هر زمان. عبارت بازیابی شما کلیدی را برمی‌گرداند که تاریخچهٔ شما را باز می‌کند، پس ورود روی دستگاه تازه چیزی از آنچه قبلاً دریافت کرده‌اید را از دست نمی‌دهد. گفتگوهای دارای محرمانگی پیش‌رونده از کلید دومی استفاده می‌کنند که هرگز دستگاهی را که ساخته‌اش ترک نمی‌کند: هر دستگاهی که آخرین‌بار وارد شده همان است که به آن‌ها می‌رسند، و هرچه در این میان برای دستگاه دیگر مهروموم شده قابل انتقال نیست.
- پیام‌های فرستاده‌شده پیش از وجود رمزنگاری همان‌طور که بودند می‌مانند. چیزی به‌عقب تبدیل نشده است.
- این برنامه هرگز به‌طور مستقل ممیزی امنیتی نشده است.
11. کودکان
Chatterbox برای کودکان زیر ۱۳ سال در نظر گرفته نشده، و ما آگاهانه اطلاعات آن‌ها را جمع‌آوری نمی‌کنیم. اگر باور دارید کودکی اطلاعات شخصی به ما داده، با ما تماس بگیرید و آن را حذف خواهیم کرد.
12. تغییرات
ممکن است این سیاست را به‌روزرسانی کنیم. تغییرات مهم در برنامه اعلام خواهند شد، و تاریخ بالای صفحه زمان آخرین تغییر است.
13. تماس
سؤالات دربارهٔ این سیاست: [email protected]
14. بررسی نسخهٔ جدیدتر برنامه
Google Play راهی نیست که این برنامه از طریق آن به گوشی اندرویدی شما می‌رسد. این برنامه در عوض از chatterbox.fans دانلود می‌شود، و فروشگاهی که در این چرخه نیست نمی‌تواند از طرف شما به‌روزرسانی‌ها را بررسی کند — پس این برنامه می‌تواند این کار را انجام دهد، اگر از آن بخواهید.
ضربه زدن روی «اکنون بررسی کن» یک درخواست به chatterbox.fans می‌فرستد که می‌پرسد نسخهٔ فعلی چیست. آن درخواست فقط آدرس IP شما را حمل می‌کند و چیز دیگری نه — نه حساب کاربری، نه شناسهٔ دستگاه، نه پیام. آنچه برمی‌گردد یک شمارهٔ نسخه است که روی گوشی شما با نسخه‌ای که در حال اجراست مقایسه می‌شود؛ هیچ‌چیز به‌طور خودکار دانلود نمی‌شود و هیچ‌چیز دربارهٔ این بررسی در گفتگو نوشته نمی‌شود.
این کار کلیدی ندارد، چون چیزی برای خاموش کردن وجود ندارد: فقط با ضربه زدن اجرا می‌شود و نه به شکل دیگری.
اگر به‌روزرسانی را نصب کنید، برنامه را در جای خود با همان کلید امضا جایگزین می‌کند، درست همان‌طور که یک به‌روزرسانی از Google Play این کار را می‌کرد.