מדיניות הפרטיות

0. בקצרה

טקסט ההודעות שלכם מוצפן במכשיר שלכם וניתן לקריאה רק על ידי מי ששלחתם לו אותן. אנחנו לא יכולים לקרוא אותו, וגם לא Google, שאת השרתים שלה אנחנו שוכרים.

מה שכן אנחנו יכולים לראות הוא ששיחה התקיימה: אילו חשבונות נמצאים בה, ומתי היו פעילים. הסרת זה קשה יותר מהצפנת התוכן, ועדיין לא סיימנו. מדיניות זו אומרת בדיוק היכן עובר הקו כרגע.

1. מה מוצפן מקצה לקצה

מוצפן במכשיר שלכם, בלתי קריא לנו ול-Google:

• הטקסט של ההודעות שלכם.
• התוכן של קבצים, תמונות, שמע ווידאו שאתם מצרפים.
• תצוגות מקדימות של קישורים.
• שיחות קוליות ווידאו, המשתמשות ב-DTLS-SRTP המחייב של WebRTC בין שני המכשירים.

רוב ההודעות האישיות והקבוצתיות משתמשות בנוסף במנגנון רכטה (ratchet), כלומר לכל הודעה יש מפתח משלה, כך שפריצה למכשיר שלכם אינה חושפת הודעות קודמות. שיחות שבהן הלקוח של מישהו עדיין לא פרסם את חומר המפתח החדש יותר חוזרות למפתח יחיד ארוך טווח, שאין לו את התכונה הזו. התווית מתחת להודעה אומרת לכם איזה מהם היא בפועל קיבלה.

דבר אחד חוצה את הקו הזה, ורק כשאתם מבקשים זאת: חיפוש שם בוויקיפדיה שולח את השם הזה בלבד, לא את ההודעה שממנה הוא הגיע. סעיף 6 אומר מי מקבל אותו, והחיפוש רץ רק בעת ההקשה ולא אחרת, כך שאין מה לכבות. סיכום, תרגום ותמלול היו חוצים את הקו הזה גם הם — הם כבויים בגרסה זו, ואין שום פקד באפליקציה שמפעיל אותם.

2. מה לא מוצפן, ומה אנחנו יכולים לראות

הצפנה מגנה על תוכן, לא על עצם קיומה של שיחה. אלה נמצאים בגלוי בשרתים שלנו:

• מי נמצא בכל שיחה, ומתי היא נוצרה ומתי הייתה פעילה לאחרונה.
• חותמת הזמן של כל הודעה, וכמה הודעות לא קראתם.
• שם הקובץ, הסוג והגודל של קובץ מצורף. הבייטים מוצפנים; התיאור שלהם לא, ואורך הצופן גם מגביל את אורך המקור.
• החברים ובקשות החברות שלכם.
• איתות שיחה — שהתבצעה שיחה, למי, ומתי. לא השמע או הווידאו שלה.

חיווי הקלדה ואישורי קריאה כבויים אלא אם תפעילו אותם, וכל עוד הם כבויים שום דבר לא נכתב.

מה שכבר לא כאן: כתובת האימייל והשם שלכם. מאז ספטמבר 2026 רשומת החשבון מכילה רק מזהה חשבון — ומאז אין כתובת לשמור בשום מקום. ההרשמה לא שואלת עליכם שום דבר: החשבון שלכם הוא ביטוי שחזור בן 24 מילים, וההרשאה שאותה בודקת Firebase Authentication נגזרת ממנו. מה שהיא שומרת הוא רק תווית אקראית תחת דומיין שלא יכול לקבל דואר.

בנפרד: מכיוון שהאפליקציה פועלת על Google Firebase, Google יכולה לראות את כתובת ה-IP והתזמון של כל חיבור שהמכשיר שלכם יוצר אליה. זו תכונה של האחסון, לא של האפליקציה, ואנחנו לא יכולים להצפין אותה משם.

3. איך אנשים מוצאים אתכם

הם לא יכולים לחפש אתכם. אין כאן ספרייה — אין חיפוש לפי אימייל, מספר טלפון או שם — והשרת דוחה כל שאילתה שמנסה זאת.

אתם מגיעים למישהו על ידי שליחת קישור הזמנה בערוץ נפרד, דרך כל דבר שאתם כבר משתמשים בו. קישור עובד פעם אחת, פג לאחר 24 שעות, וניתן לבטלו. איך שאתם קוראים למישהו הוא התווית שלכם עבורו, נשמרת רק אצלכם; אם הוא הציג את עצמו, השם הזה הגיע אליכם מוצפן.

4. מה אנחנו אוספים

• נתוני חשבון: מזהה חשבון, והרשאה שנגזרת מביטוי השחזור שלכם, נשמרים ב-Firebase Authentication. ללא כתובת אימייל, ללא מספר טלפון, ללא שם — ההרשמה לא שואלת אף אחד מהם.
• צופן ההודעות והקבצים המצורפים, בתוספת המטא-דאטה שבסעיף 2.

זו הרשימה כולה. אין אנליטיקה ואין דיווח על קריסות. האפליקציה נהגה לשלוח צפיות במסך ל-Firebase Analytics ודוחות קריסה ל-Firebase Crashlytics, שניהם נשאו את מזהה החשבון שלכם, כך שאף אחד מהם לא היה אנונימי; שניהם נעלמו, יחד עם הספריות ששלחו אותם. שגיאות מודפסות רק על המחשב של המפתח עצמו בזמן פיתוח ולא הולכות לשום מקום אחר.

5. איפה זה נשמר

ב-Google Firebase — Firestore, Storage ו-Authentication — תחת כללי אבטחה שקובעים מי רשאי לקרוא ולכתוב כל מסמך.

במכשיר שלכם, הודעות במטמון, הגדרות וקוד ה-PIN של נעילת האפליקציה מוצפנים במפתח ייחודי למכשיר הנשמר במחסן המפתחות של הפלטפורמה (Keychain באייפון, Keystore באנדרואיד) ולא באחסון אפליקציה רגיל.

המפתח הפרטי המפענח את ההודעות שלכם לעולם לא עוזב את המכשיר שלכם, מלבד כביטוי השחזור שאתם בוחרים לרשום. אנחנו לא מחזיקים אותו ולא יכולים לשחזר אותו עבורכם. אם תאבדו אותו, ההודעות שנשלחו לאותו מכשיר לא ניתנות עוד לקריאה — על ידי אף אחד, כולל אנחנו.

גרסאות 1.2.0 ומוקדמות יותר שמרו בכל התחברות גם עותק של הביטוי ב-Google Block Store, הגיבוי של Android עצמו. אם בטלפון הייתה נעילת מסך, העותק סונכרן לחשבון Google שלכם כשהוא מוצפן מקצה לקצה. מגרסה 1.2.1 האפליקציה כבר לא עושה זאת, והיא מוחקת את העותק הזה בכל הפעלה.

6. מי עוד מקבל נתונים

אנחנו לא מוכרים, סוחרים או משכירים את המידע האישי שלכם. נתונים מגיעים אל:

• Google Firebase — ספק האחסון שלנו, כמתואר לעיל.
• Cloudflare Realtime — השמע והווידאו של שיחה, כאשר המכשיר שלכם והמכשיר של הצד השני אינם יכולים להגיע זה לזה ישירות.
• קרן ויקימדיה — שם אחד, כשאתם מקישים עליו כדי לחפש אותו בוויקיפדיה.
• Google Cloud Speech-to-Text — השמע של הודעה קולית אחת, כשאתם מבקשים תמלול.
• Google Cloud Translation — הטקסט של הודעה אחת, כשאתם מבקשים תרגום.
• Cloudflare Workers AI — עד 50 ההודעות האחרונות של שיחה אחת, כשאתם מבקשים סיכום או שואלים עליה שאלה.

שלושת האחרונים כבויים בגרסה זו. אין שום פקד בשום מקום באפליקציה שמפעיל תמלול, תרגום או סיכומים, כך ששום דבר לא מגיע לשלושת השירותים האלה. הם מופיעים ברשימה במקום להימחק כי הקוד עדיין כאן והתכונות אמורות לחזור — וכשהן יחזרו, הן יחזרו עם הגילוי הזה ועם בקשת אישור לפני השימוש הראשון. מה שיישלח אז נשלח כדי לייצר עבורכם תוצאה, לא כדי לאמן דבר; לא תמלול ולא תרגום נשמרים בשרתים שלנו.

לחיפוש בוויקיפדיה אין פקד כי אין מה לכבות באופן קבוע: הוא רץ רק בעת ההקשה ולא אחרת. ויקיפדיה מקבלת את השם הזה בלבד ואת כתובת ה-IP שלכם, בדיוק כאילו הקלדתם אותו בעצמכם בתיבת החיפוש שלה — ללא חשבון, ללא הודעה, ללא שיחה. מה שחוזר מוצג ולא נשמר, ושום דבר ממנו לא נכתב לשיחה.

גם ל-Cloudflare Realtime אין מתג. רוב השיחות לא זקוקות לו: שני מכשירים שיכולים להגיע זה לזה ישירות — רוב השיחות באותה רשת — מתחברים בלעדיו, ושום דבר לא ממותב. כשהם לא יכולים — לרוב כי שניכם ברשתות סלולריות שונות — השיחה המוצפנת כבר עוברת ניתוב במקום להישאר ללא חיבור. מה ש-Cloudflare רואה הן שתי כתובות ה-IP, עיתוי השיחה, וכמות הנתונים שעברו בקירוב; השמע והווידאו נשארים תחת אותה הצפנת DTLS-SRTP המתוארת בסעיף 2, כך שהניתוב לא מפענח אותם.

אנו עשויים לחשוף את מה שאנחנו מחזיקים אם החוק מחייב זאת. מה שאנחנו מחזיקים הוא הרשימה שבסעיף 2. אנחנו לא יכולים למסור תוכן הודעות, כי אנחנו לא יכולים לקרוא אותן.

7. התראות דחיפה

Firebase Cloud Messaging מספקת התראות. אסימון המכשיר שלכם נשמר בחלק פרטי של החשבון שלכם שרק אתם יכולים לקרוא.

התראות לא נושאות טקסט הודעה כלשהו. המכשיר שלכם מפענח את ההודעה מקומית ומרכיב את מה שאתם רואים; Google מספקת את המעטפה, לא את התוכן.

8. מה אתם יכולים לעשות

• מחקו את החשבון שלכם ממסך הפרופיל. תוכן שהוא חלק משותף משיחה — רשומת שיחה, למשל — נשאר אצל המשתתף האחר, כי זו גם הרשומה שלו.
• ייצאו את הנתונים שלכם ממסך הפרופיל.
• הגדירו הודעות לפוג לפי צ'אט: שעה, 24 שעות, 7 ימים או 30 יום.
• הפעילו או כבו חיווי הקלדה ואישורי קריאה. שניהם כבויים כברירת מחדל.
• נעלו את האפליקציה עם קוד PIN או זיהוי ביומטרי.
• בטלו קישור הזמנה שכבר חילקתם.

אם תעדיפו שנמחק משהו ידנית, כתבו לנו.

9. שמירת נתונים

אנחנו שומרים את הנתונים שלכם כל עוד החשבון שלכם קיים. מחיקת החשבון מוחקת אותם, מלבד התוכן המשותף שצוין לעיל. תפוגה לפי צ'אט מסירה הודעות בלוח הזמנים שקבעתם.

10. מגבלות שכדאי לכם לדעת

היינו מעדיפים לספר לכם על אלה מאשר שתגלו אותן בעצמכם.

• מפתחות זוכים לאמון בפעם הראשונה שהם נראים. אם מישהו החליף מפתח לפני שאי פעם החלפתם הודעה, השיחה הייתה מוצפנת לאדם הלא נכון והייתה נראית לגמרי רגילה. האפליקציה מזהירה אתכם כשמפתח משתנה לאחר מכן, ומציגה מספר בטיחות שאתם יכולים להשוות בערוץ נפרד — אך שום דבר לא מכריח אתכם להשוות אותו.
• מכשיר אחד בכל פעם. ביטוי השחזור שלכם משחזר את המפתח שפותח את ההיסטוריה שלכם, כך שהתחברות במכשיר חדש לא מאבדת את מה שכבר קיבלתם. שיחות עם סודיות קדימה משתמשות במפתח שני שלעולם לא עוזב את המכשיר שיצר אותו: המכשיר שהתחבר אחרון הוא זה שאליו הן מגיעות, וכל מה שנחתם לאחר עבור המכשיר האחר לא ניתן להעביר בינתיים.
• הודעות שנשלחו לפני שהייתה הצפנה נשארות כפי שהיו. שום דבר לא הומר רטרואקטיבית.
• אפליקציה זו מעולם לא עברה ביקורת אבטחה עצמאית.

11. ילדים

Chatterbox אינה מיועדת לילדים מתחת לגיל 13, ואנחנו לא אוספים ביודעין את המידע שלהם. אם אתם סבורים שילד מסר לנו מידע אישי, צרו איתנו קשר ואנחנו נמחק אותו.

12. שינויים

אנחנו עשויים לעדכן מדיניות זו. שינויים משמעותיים יפורסמו באפליקציה, והתאריך למעלה הוא מתי שהיא השתנתה לאחרונה.

13. יצירת קשר

שאלות על מדיניות זו: [email protected]

14. בדיקת גרסה חדשה יותר של האפליקציה

Google Play אינו הדרך שבה האפליקציה הזו מגיעה לטלפון האנדרואיד שלכם. היא מורדת במקום זאת מ-chatterbox.fans, וחנות שאינה שותפה לתהליך אינה יכולה לבדוק עדכונים בשמכם — ולכן האפליקציה יכולה לעשות זאת בעצמה, אם תבקשו זאת.

הקשה על "בדקו עכשיו" שולחת בקשה אחת ל-chatterbox.fans ושואלת מהי הגרסה הנוכחית. הבקשה הזו נושאת רק את כתובת ה-IP שלכם ולא כלום מעבר לכך — לא חשבון, לא מזהה מכשיר, לא הודעה. מה שחוזר הוא מספר גרסה, שמושווה בטלפון שלכם לגרסה שבה אתם משתמשים; שום דבר לא מורד אוטומטית, ושום דבר על הבדיקה הזו לא נכתב לשיחה.

לפעולה הזו אין מתג, כי אין מה לכבות: היא פועלת רק בהקשה ולא בדרך אחרת.

אם תתקינו את העדכון, הוא יחליף את האפליקציה במקומה באמצעות אותו מפתח חתימה, בדיוק כפי שהיה עושה עדכון מ-Google Play.