Adatvédelmi irányelvek
0. Röviden
Üzeneteid szövege a készülékeden titkosított, és csak azok olvashatják, akiknek küldöd. Mi nem tudjuk elolvasni, és a Google sem, akiktől a szervereket béreljük.
Amit látunk, az az, hogy egy beszélgetés megtörtént: mely fiókok vesznek részt benne, és mikor voltak aktívak. Ennek eltávolítása nehezebb, mint a tartalom titkosítása, és még nem fejeztük be. Ez a szabályzat pontosan megmondja, hol húzódik jelenleg a határ.
1. Mi van végpontok között titkosítva
A készülékeden titkosított, számunkra és a Google számára olvashatatlan:
- Üzeneteid szövege.
- A csatolt fájlok, fotók, hang- és videótartalmak.
- A hivatkozás-előnézetek.
- A hang- és videóhívások, amelyek kötelező, eszközök közötti DTLS-SRTP WebRTC-t használnak.
A legtöbb egy-az-egyhez és csoportos üzenet emellett egy úgynevezett ratchet mechanizmust is használ, ami azt jelenti, hogy minden üzenetnek saját kulcsa van, így a készüléked feltörése nem fedi fel a korábbi üzeneteket. Azok a beszélgetések, ahol egy kliens nem tett közzé újabb kulcsanyagot valakinek, egyetlen hosszú élettartamú kulcsra esnek vissza, amelynek nincs ez a tulajdonsága. Az üzenet alatti jelvény megmondja, melyiket kapta valójában.
Egyetlen dolog lépi át ezt a határt, és csak akkor, ha kéred: egy név Wikipédián való keresése csak azt a nevet küldi el, nem az üzenetet, amelyből származik. A 6. szakasz elmondja, ki kapja ezt meg, és a keresés csak koppintásra fut, egyébként nem, így nincs mit kikapcsolni. Az összefoglalás, fordítás és átirat készítése szintén átlépné ezt a határt — ebben a kiadásban ki vannak kapcsolva, és az alkalmazásban sehol nincs olyan vezérlő, amely bekapcsolná őket.
2. Mi nincs titkosítva, és mit láthatunk
A titkosítás a tartalmat védi, nem azt a tényt, hogy egy beszélgetés megtörtént. Ezek a dolgok nyíltan állnak a szervereinken:
- Ki van benne minden beszélgetésben, és mikor jött létre, illetve mikor volt utoljára aktív.
- Minden üzenet időbélyege, és hogy hány olvasatlan van.
- A melléklet fájlneve, típusa és mérete. A bájtok titkosítottak; a leírásuk nem, és a titkosított szöveg hossza korlátozza az eredeti hosszát.
- A barátaid és a barátkérelmek.
- A hívás jelzése — hogy egy hívás megtörtént, kivel és mikor. Nem annak hangja vagy videója.
A gépelésjelzők és az olvasási visszaigazolások ki vannak kapcsolva, amíg be nem kapcsolod őket, és amíg ki vannak kapcsolva, semmi nem kerül rögzítésre.
Ami már nincs itt: az e-mail-címed és a neved. 2026 szeptemberétől a fiók bejegyzése csak egy fiókazonosítót tartalmaz — és azóta nincs is cím, amit tárolni lehetne. A regisztráció nem kér ilyet: a fiókod egy 24 szavas helyreállítási mondat, és a Firebase Authentication által ellenőrzött hitelesítő adat ebből származik. Amit tárol, az egy véletlenszerű címke egy olyan domain alatt, amely nem tud postát fogadni.
Külön: mivel az alkalmazás a Google Firebase-en fut, a Google láthatja az IP-címet és minden kapcsolat időzítését, amelyet a készüléked hozzá létesít. Ez a hosztolás tulajdonsága, nem az alkalmazásé, és ezt nem tudjuk titkosítással eltüntetni.
3. Hogyan találnak meg téged az emberek
Nem kereshetnek rád. Nincs névjegyzék — nincs keresés e-mail, telefonszám vagy név alapján —, és a szerver elutasít minden erre irányuló lekérdezést.
Valakit úgy érsz el, hogy egy meghívólinket küldesz neki a csatornán kívül, bármin keresztül, amit már használsz. A link egyszer működik, 24 óra után lejár, és visszavonható. Bárhogy is nevezel valakit, az a saját címkéd rá, neked megőrizve; ha ő mutatkozott be, az a név titkosítva érkezett hozzád.
4. Mit gyűjtünk
- Fiókadatok: egy fiókazonosító és egy, a helyreállítási mondatodból származó hitelesítő adat, a Firebase Authentication-ben tárolva. Nincs e-mail-cím, nincs telefonszám, nincs név — a regisztráció ezek egyikét sem kéri.
- Az üzenetek és mellékletek titkosított szövege, plusz a 2. szakaszban leírt metaadatok.
Ez a teljes lista. Nincs elemzés (analytics) és nincs hibajelentés. Az alkalmazás korábban képernyőnézeteket küldött a Firebase Analyticsnek és hibajelentéseket a Firebase Crashlyticsnek, mindkettő a fiókazonosítódat hordozta, így egyik sem volt anonim; mindkettő megszűnt már, az őket küldő könyvtárakkal együtt. A hibák csak a fejlesztő saját gépén jelennek meg fejlesztés közben, és sehova máshova nem jutnak el.
5. Hol van tárolva
A Google Firebase-en — Firestore, Storage és Authentication —, olyan biztonsági szabályok alatt, amelyek eldöntik, ki olvashatja és írhatja az egyes dokumentumokat.
A készülékeden a gyorsítótárazott üzenetek, a beállítások és az alkalmazászár PIN-kódod egy eszközönkénti kulccsal vannak titkosítva, amelyet a platform kulcstárolójában (iOS Keychain, Android Keystore) tartunk, nem a szokásos alkalmazástárolóban.
A magánkulcs, amely dekódolja üzeneteidet, soha nem hagyja el a készülékedet, kivéve a helyreállítási mondat formájában, amelyet leírhatsz. Mi nem tartjuk meg, és nem tudjuk helyreállítani neked. Ha elveszíted, az arra a készülékre küldött üzenetek többé nem olvashatók el — senki által, minket is beleértve.
Az 1.2.0-s és korábbi verziók minden bejelentkezéskor a mondat egy másolatát is elmentették a Google Block Store-ba, az Android saját biztonsági mentésébe. Ha a telefonon volt képernyőzár, ez a másolat végpontok között titkosítva szinkronizálódott a Google-fiókodba. Az 1.2.1-es verziótól az alkalmazás ezt már nem teszi, és minden indításkor törli ezt a másolatot.
6. Ki más kap adatot
Nem adjuk el, nem cseréljük és nem béreljük ki a személyes adataidat. Az adatok eljutnak:
- A Google Firebase-hez — a fent leírt hosztolási szolgáltatónkhoz.
- Cloudflare Realtime — egy hívás hangja és videója, amikor a te eszközöd és a másik személy eszköze nem tudja közvetlenül elérni egymást.
- A Wikimedia Foundationhöz — egyetlen névhez, amikor rákoppintasz a Wikipédián való kereséshez.
- A Google Cloud Speech-to-Texthez — egyetlen hangüzenet hangjához, amikor átiratot kérsz.
- A Google Cloud Translationhöz — egyetlen üzenet szövegéhez, amikor fordítást kérsz.
- A Cloudflare Workers AI-hoz — egy beszélgetés utolsó legfeljebb 50 üzenetéhez, amikor összefoglalást kérsz, vagy kérdezel tőle.
Az utolsó három ebben a kiadásban ki van kapcsolva. Az alkalmazásban sehol nincs olyan vezérlő, amely bekapcsolná az átiratkészítést, a fordítást vagy az összefoglalást, így semmi nem jut el ehhez a három szolgáltatáshoz. Azért vannak felsorolva, nem törölve, mert a kód még mindig itt van, és a funkciók célja a visszatérés — és amikor visszatérnek, ezzel a nyilatkozattal és egy, az első használat előtti felszólítással térnek vissza. Amit akkor küldenénk, azt az eredményed előállítására küldenénk, nem bármi betanítására; sem az átirat, sem a fordítás nincs tárolva a szervereinken.
A Wikipédia-keresésnek nincs kapcsolója, mert nincs mit kikapcsolni: csak koppintásra fut, egyébként nem. A Wikipédia csak azt az egy nevet és az IP-címedet kapja meg, pontosan úgy, mintha te magad gépelted volna be a saját keresőmezőjükbe — nincs fiók, nincs üzenet, nincs beszélgetés. Ami visszajön, az megjelenik és nincs tárolva, és semmi nem kerül belőle a beszélgetésbe.
A Cloudflare Realtime-nak sincs kapcsolója. A legtöbb hívásnak nincs is rá szüksége: két eszköz, amely közvetlenül eléri egymást — a legtöbb hívás ugyanazon a hálózaton — enélkül is kapcsolódik, és semmi sem kerül továbbításra. Amikor nem tudják — jellemzően azért, mert mindketten különböző mobilhálózaton vagytok —, a már titkosított hívás továbbításra kerül ahelyett, hogy kapcsolat nélkül maradna. Amit a Cloudflare lát, az mindkét fél IP-címe, a hívás időpontja, és hozzávetőlegesen mennyi adat mozgott; a hang és a videó ugyanazon, a 2. szakaszban leírt DTLS-SRTP titkosítás alatt marad, így a továbbítás nem fejti vissza őket.
Felfedhetjük, amit tartunk, ha a törvény ezt megköveteli. Amit tartunk, az a 2. szakaszban lévő lista. Az üzenetek tartalmát nem tudjuk kiadni, mert nem tudjuk elolvasni.
7. Push-értesítések
A Firebase Cloud Messaging kézbesíti az értesítéseket. A készülékazonosítód a fiókod egy privát részében van tárolva, amelyet csak te olvashatsz.
Az értesítések nem tartalmaznak üzenetszöveget. A készüléked helyben dekódolja az üzenetet, és felépíti, amit látsz; a Google a borítékot kézbesíti, nem a tartalmat.
8. Mit tehetsz
- Töröld a fiókodat a Profil képernyőről. A beszélgetés közös részét képező tartalom — például egy híváslejegyzés — a másik résztvevőnél marad, mert az az ő feljegyzése is.
- Exportáld az adataidat a Profil képernyőről.
- Állítsd be az üzenetek lejáratát beszélgetésenként: 1 óra, 24 óra, 7 nap vagy 30 nap.
- Kapcsold be vagy ki a gépelésjelzőket és az olvasási visszaigazolásokat. Mindkettő alapértelmezetten ki van kapcsolva.
- Zárold az alkalmazást PIN-kóddal vagy biometrikus azonosítással.
- Vonj vissza egy általad kiadott meghívólinket.
Ha inkább azt szeretnéd, hogy kézzel töröljünk valamit, írj nekünk.
9. Megőrzés
Az adataidat addig őrizzük meg, amíg a fiókod létezik. A fiókod törlése eltávolítja azokat, kivéve a fent említett közösen tartott tartalmat. A beszélgetésenkénti lejárat az általad beállított ütemezés szerint távolítja el az üzeneteket.
10. Korlátok, amelyekről tudnod kell
Inkább elmondjuk neked, minthogy magadtól fedezd fel.
- A kulcsok az első látásra megbízhatók. Ha valaki egy kulcsot kicserélt volna, mielőtt valaha üzenetet váltottatok volna, a beszélgetés a rossz személyhez titkosítana, és teljesen normálisnak tűnne. Az alkalmazás figyelmeztet, ha egy kulcs később megváltozik, és megjelenít egy biztonsági számot, amelyet a csatornán kívül összehasonlíthatsz — de semmi nem kényszerít arra, hogy összehasonlítsd.
- Egyszerre egy készülék. A helyreállítási mondatod visszaállítja azt a kulcsot, amely megnyitja az előzményeidet, így az új készüléken való bejelentkezés nem veszíti el, amit már megkaptál. A forward secrecy-vel rendelkező beszélgetések egy második kulcsot használnak, amely soha nem hagyja el az azt létrehozó készüléket: amelyik készülék legutóbb jelentkezett be, az az, amelyiket elérik, és bármi, ami közben a másiknak lett lezárva, oda nem tud átkerülni.
- A titkosítás létezése előtt küldött üzenetek olyanok maradnak, amilyenek voltak. Semmi nem lett visszamenőlegesen konvertálva.
- Ezt az alkalmazást nem auditálta függetlenül biztonsági szempontból.
11. Gyermekek
A Chatterbox nem 13 év alatti gyermekeknek készült, és tudatosan nem gyűjtjük az adataikat. Ha úgy gondolod, hogy egy gyermek személyes adatokat adott meg nekünk, lépj kapcsolatba velünk, és töröljük azokat.
12. Változások
Frissíthetjük ezt a szabályzatot. A jelentős változásokról az alkalmazásban tájékoztatunk, és a tetején lévő dátum mutatja, mikor változott utoljára.
13. Kapcsolat
Kérdések ezzel a szabályzattal kapcsolatban: [email protected]
14. Újabb alkalmazásverzió keresése
A Google Play nem az a mód, ahogyan ez az alkalmazás eljut az Android telefonodra. Ehelyett a chatterbox.fans oldalról töltődik le, és egy áruház, amely nem vesz részt ebben a folyamatban, nem tud a nevedben frissítéseket keresni — így ezt maga az alkalmazás is megteheti, ha megkéred rá.
A "Ellenőrzés most" megérintése egyetlen kérést küld a chatterbox.fans-nak, megkérdezve, melyik verzió az aktuális. Ez a kérés csak az IP-címedet hordozza, semmi mást — nincs fiók, nincs eszközazonosító, nincs üzenet. Ami visszaérkezik, az egy verziószám, amelyet a telefonodon összehasonlítanak a futtatott verzióval; semmi sem töltődik le automatikusan, és semmi nem kerül be a beszélgetésbe erről az ellenőrzésről.
Ennek nincs kapcsolója, mert nincs mit kikapcsolni: csak érintésre fut, máskor nem.
Ha telepíted a frissítést, az ugyanazzal az aláírási kulccsal cseréli le az alkalmazást a helyén, ugyanúgy, ahogy egy Google Play-es frissítés is tenné.