Patakaran sa Privacy

0. Sa madaling salita

Ang teksto ng iyong mga mensahe ay naka-encrypt sa iyong device at mababasa lamang ng mga taong ipinadalhan mo. Hindi namin ito mababasa, at gayundin ang Google, na inuupahan naming mga server.

Ang nakikita namin ay may nangyaring pag-uusap: kung sinong mga account ang kasama, at kung kailan sila naging aktibo. Mas mahirap alisin iyon kaysa i-encrypt ang laman, at hindi pa namin ito natatapos. Sinasabi ng patakarang ito kung saan eksaktong nakatayo ang linya ngayon.

1. Ano ang end-to-end encrypted

Naka-encrypt sa iyong device, hindi mababasa ng amin at ng Google:

• Ang teksto ng iyong mga mensahe.
• Ang laman ng mga file, larawan, audio at video na iyong inilalakip.
• Mga preview ng link.
• Voice at video call, na gumagamit ng ipinag-uutos na DTLS-SRTP ng WebRTC sa pagitan ng dalawang device.

Karamihan sa one-to-one at group na mensahe ay gumagamit din ng ratchet, ibig sabihin ang bawat mensahe ay may sariling key, kaya ang pagkasira ng iyong device ay hindi nagbubunyag ng mga naunang mensahe. Ang mga pag-uusap kung saan hindi pa nailalathala ng kliyente ng ibang tao ang mas bagong key material ay bumabalik sa isang mahabang-buhay na key, na walang katangiang iyon. Sinasabi sa iyo ng label sa ilalim ng isang mensahe kung alin ang aktwal na natanggap nito.

Isang bagay ang lumalampas sa linyang ito, at tanging kapag hiniling mo lamang: ang paghahanap ng pangalan sa Wikipedia ay nagpapadala ng isang pangalang iyon, hindi ang mensaheng pinagmulan nito. Sinasabi ng Seksyon 6 kung sino ang tatanggap nito, at ang paghahanap ay tumatakbo sa tap at wala nang iba, kaya walang anumang kailangang i-off. Ang pagbubuod, pagsasalin, at pagsasatitik ay lalampas din dito — pinapatay ang mga ito sa release na ito, na walang kontrol kahit saan sa app na magbubukas sa mga ito.

2. Ano ang hindi naka-encrypt, at ano ang aming nakikita

Pinoprotektahan ng encryption ang laman, hindi ang katotohanan ng isang pag-uusap. Nananatili ang mga ito nang malinaw sa aming mga server:

• Sino ang kasama sa bawat pag-uusap, at kailan ito nilikha at huling naging aktibo.
• Ang timestamp ng bawat mensahe, at ilan ang hindi mo pa nababasa.
• Ang pangalan, uri, at laki ng file ng isang attachment. Ang mga byte ay naka-encrypt; ang deskripsyon ng mga ito ay hindi, at ang haba ng ciphertext ay naglilimita sa haba ng orihinal.
• Ang iyong mga kaibigan at mga kahilingan sa pagkakaibigan.
• Signaling ng tawag — na may tawag na ginawa, kanino, at kailan. Hindi ang audio o video nito.

Ang mga typing indicator at read receipt ay naka-off maliban kung i-on mo, at habang naka-off ay walang naisusulat.

Ano na ang wala na rito: ang iyong email address at pangalan. Simula Setyembre 2026, ang talaan ng account ay may lamang identifier ng account — at mula noon, walang address na itinatago kahit saan. Walang tinatanong ang pag-sign up tungkol sa iyo: ang iyong account ay isang 24-word na recovery phrase, at ang kredensyal na sinusuri ng Firebase Authentication ay hinango mula rito. Ang iniimbak nito ay isang random na label sa ilalim ng isang domain na hindi maaaring tumanggap ng mail.

Hiwalay: dahil ang app ay tumatakbo sa Google Firebase, makikita ng Google ang IP address at oras ng bawat koneksyon na ginagawa ng iyong device dito. Isa itong katangian ng hosting, hindi ng app, at hindi namin ito maaaring i-encrypt palayo.

3. Paano ka nahahanap ng mga tao

Hindi ka nila mahahanap sa paghahanap. Walang direktoryo — walang paghahanap gamit ang email, numero ng telepono, o pangalan — at tinatanggihan ng server ang anumang query na sumusubok nito.

Nakakarating ka sa isang tao sa pagpapadala sa kanila ng invite link nang labas sa channel, sa anumang ginagamit mo na. Isang beses gumagana ang link, mag-e-expire pagkatapos ng 24 oras, at maaaring bawiin. Anumang itawag mo sa isang tao ay ang sarili mong label para sa kanila, itinatago para sa iyo; kung nagpakilala sila sa kanilang sarili, ang pangalang iyon ay dumating sa iyo nang naka-encrypt.

4. Ano ang kinokolekta namin

• Data ng account: isang identifier ng account, at isang kredensyal na hinango mula sa iyong recovery phrase, na itinatago sa Firebase Authentication. Walang email address, walang numero ng telepono, walang pangalan — walang hinihinging alinman sa mga ito ang pag-sign up.
• Ciphertext ng mensahe at attachment, kasama ang metadata sa seksyon 2.

Iyon ang buong listahan. Walang analytics at walang crash reporting. Dati ay nagpapadala ang app ng screen view sa Firebase Analytics at crash report sa Firebase Crashlytics, na parehong may dalang identifier ng iyong account, kaya wala sa mga ito ang anonymous; wala na ang dalawa, kasama ang mga library na nagpadala ng mga ito. Ang mga error ay naka-print lamang sa sariling makina ng developer habang sa development at wala nang ibang pupuntahan.

5. Saan ito iniimbak

Sa Google Firebase — Firestore, Storage, at Authentication — sa ilalim ng mga panuntunan sa seguridad na nagpapasya kung sino ang maaaring magbasa at magsulat ng bawat dokumento.

Sa iyong device, ang mga na-cache na mensahe, setting, at iyong app-lock PIN ay naka-encrypt gamit ang isang per-device key na itinatago sa platform keystore (iOS Keychain, Android Keystore) sa halip na sa karaniwang imbakan ng app.

Ang pribadong key na nagde-decrypt ng iyong mga mensahe ay hindi kailanman umaalis sa iyong device, maliban bilang recovery phrase na piniling isulat mo. Hindi namin ito hawak at hindi namin ito maaaring bawiin para sa iyo. Kung mawala ito, ang mga mensaheng ipinadala sa device na iyon ay hindi na mababasang muli — ninuman, kabilang kami.

Ang mga bersyon 1.2.0 at mas luma ay nagse-save din ng kopya ng phrase sa Google Block Store, ang sariling backup ng Android, tuwing nagsa-sign in ka. Kung may screen lock ang iyong telepono, sini-sync ang kopyang iyon sa iyong Google account nang end-to-end encrypted. Mula sa bersyon 1.2.1, hindi na ito ginagawa ng app, at binubura nito ang kopyang iyon tuwing magsisimula ito.

6. Sino pa ang tumatanggap ng data

Hindi namin ibinebenta, ipinagpapalit, o inuupahan ang iyong personal na impormasyon. Ang data ay nakakarating sa:

• Google Firebase — ang aming provider ng hosting, gaya ng inilarawan sa itaas.
• Cloudflare Realtime — ang audio at video ng isang tawag, kapag hindi direktang maaabot ng iyong device at ng device ng ibang tao ang isa't isa.
• Wikimedia Foundation — isang pangalan, kapag na-tap mo ito para hanapin sa Wikipedia.
• Google Cloud Speech-to-Text — ang audio ng isang voice message, kapag humihiling ka ng transcript.
• Google Cloud Translation — ang teksto ng isang mensahe, kapag humihiling ka ng pagsasalin.
• Cloudflare Workers AI — hanggang sa huling 50 mensahe ng isang pag-uusap, kapag humihiling ka ng buod o nagtatanong tungkol dito.

Ang huling tatlo ay naka-off sa release na ito. Walang kontrol kahit saan sa app na magbubukas sa transcription, translation, o mga buod, kaya walang nakakarating sa tatlong serbisyong iyon. Nakalista ang mga ito sa halip na tanggalin dahil narito pa rin ang code at ang mga feature ay nilalayong bumalik — at kapag bumalik ang mga ito, babalik ito kasama ang paglalantad na ito at isang prompt bago ang unang paggamit. Anumang ipapadala sa oras na iyon ay ipapadala upang makagawa ng iyong resulta, hindi upang magsanay ng anuman; walang transcript o pagsasalin na naiimbak sa aming mga server.

Ang paghahanap sa Wikipedia ay walang switch dahil walang anumang kailangang i-off: tumatakbo lang ito sa tap at wala nang iba. Ang Wikipedia ay tumatanggap ng isang pangalang iyon at ng iyong IP address, kapareho ng kung na-type mo ito sa kanilang search box — walang account, walang mensahe, walang pag-uusap. Ang ibinabalik ay ipinapakita at hindi naiimbak, at walang anumang tungkol dito ang naisusulat sa pag-uusap.

Wala ring switch ang Cloudflare Realtime. Karamihan sa mga tawag ay hindi ito kailangan: dalawang device na maaaring direktang maabot ang isa't isa — karamihan sa mga tawag sa parehong network — ay kumokonekta nang wala ito, at walang ni-relay. Kapag hindi nila kaya — kadalasan dahil kayong dalawa ay nasa magkaibang mobile network — ang naka-encrypt na nang tawag ay ni-relay sa halip na iwang hindi makakonekta. Ang nakikita ng Cloudflare ay ang parehong IP address, ang oras ng tawag, at humigit-kumulang kung gaano karaming data ang gumalaw; ang audio at video ay nananatili sa ilalim ng parehong DTLS-SRTP encryption na inilarawan sa seksyon 2, kaya hindi ito ma-decrypt ng pag-relay.

Maaari naming ilantad ang aming hawak kung ito ay hinihiling ng batas. Ang aming hawak ay ang listahan sa seksyon 2. Hindi namin maibibigay ang laman ng mensahe, dahil hindi namin ito mababasa.

7. Push notification

Ang Firebase Cloud Messaging ang naghahatid ng mga notification. Ang token ng iyong device ay naka-imbak sa isang pribadong bahagi ng iyong account na ikaw lamang ang makakabasa.

Ang mga notification ay walang dalang teksto ng mensahe. Ang iyong device ang nagde-decrypt ng mensahe nang lokal at bumubuo ng nakikita mo; ang Google ang naghahatid ng sobre, hindi ng laman.

8. Ano ang magagawa mo

• Burahin ang iyong account mula sa Profile screen. Ang nilalamang magkasamang bahagi ng isang pag-uusap — halimbawa, isang tala ng tawag — ay mananatili sa ibang kalahok, dahil ito ay tala rin nila.
• I-export ang iyong data mula sa Profile screen.
• Itakda ang mga mensahe na mag-expire kada chat: 1 oras, 24 oras, 7 araw, o 30 araw.
• I-on o i-off ang typing indicator at read receipt. Naka-off ang pareho bilang default.
• I-lock ang app gamit ang PIN o biometrics.
• Bawiin ang isang invite link na ipinamahagi mo na.

Kung mas gugustuhin mong burahin namin nang manu-mano ang isang bagay, sumulat sa amin.

9. Pagpapanatili

Iniingatan namin ang iyong data habang umiiral ang iyong account. Ang pagbura ng account ay bumubura nito, maliban sa nilalamang magkasamang hawak na nabanggit sa itaas. Ang per-chat na expiry ay nag-aalis ng mga mensahe sa iskedyul na itinakda mo.

10. Mga limitasyong dapat mong malaman

Mas gugustuhin naming sabihin sa iyo ang mga ito kaysa hayaan kang makita mo ang mga ito.

• Ang mga key ay pinagkakatiwalaan sa unang pagkakataong makita. Kung may nagpalit ng key bago ka kailanman nakipagpalitan ng mensahe, ang pag-uusap ay maie-encrypt sa maling tao at magiging ganap na normal ang itsura. Binabalaan ka ng app kapag nagbago ang key pagkatapos, at ipinapakita ang isang safety number na maaari mong ihambing sa labas ng channel — pero walang pumipilit sa iyong ihambing ito.
• Isang device sa isang pagkakataon. Ang iyong recovery phrase ay nagbabalik ng key na nagbubukas sa iyong history, kaya ang pag-sign in sa isang bagong device ay hindi nawawalan ng natanggap mo na. Ang mga pag-uusap na forward-secret ay gumagamit ng pangalawang key na hindi kailanman umaalis sa device na lumikha nito: alinmang device ang pinakahuling nag-sign in ang siyang naaabot nila, at anumang naka-seal sa ibang device sa pagitan ay hindi maililipat.
• Ang mga mensaheng ipinadala bago magkaroon ng encryption ay nananatiling gaya ng dati. Walang na-convert nang retroactive.
• Ang app na ito ay hindi pa nasuri sa seguridad ng independiyenteng partido.

11. Mga bata

Ang Chatterbox ay hindi inilaan para sa mga batang wala pang 13 taong gulang, at hindi namin sinasadyang kinokolekta ang kanilang impormasyon. Kung naniniwala kang nagbigay sa amin ng personal na impormasyon ang isang bata, makipag-ugnayan sa amin at ito ay aming buburahin.

12. Mga pagbabago

Maaari naming i-update ang patakarang ito. Ianunsyo ang mga makabuluhang pagbabago sa app, at ang petsa sa itaas ay kung kailan huling nagbago ito.

13. Contact

Mga tanong tungkol sa patakarang ito: [email protected]

14. Pagtingin kung may mas bagong bersyon ng app

Hindi Google Play ang paraan kung paano nakakarating ang app na ito sa iyong Android phone. Dini-download ito mula sa chatterbox.fans sa halip, at ang isang store na wala sa loop ay hindi makakapag-check ng mga update para sa iyo — kaya kaya itong gawin mismo ng app na ito, kung hihilingin mo.

Ang pag-tap sa "Tingnan ngayon" ay nagpapadala ng isang kahilingan sa chatterbox.fans na nagtatanong kung ano ang kasalukuyang bersyon. Ang kahilingang iyon ay may dalang IP address mo lamang at wala nang iba — walang account, walang device identifier, walang mensahe. Ang bumabalik ay isang numero ng bersyon, na inihahambing sa iyong telepono sa bersyong pinapatakbo mo; walang awtomatikong dina-download, at walang anuman tungkol sa pagsusuring ito ang isinusulat sa usapan.

Walang switch dito dahil walang dapat i-off: tumatakbo lamang ito kapag na-tap, at hindi sa ibang paraan.

Kapag na-install mo ang update, papalitan nito ang app sa kasalukuyang lugar gamit ang parehong signing key, kagaya ng gagawin ng update mula sa Google Play.