Kebijakan Privasi

0. Singkatnya

Teks pesan Anda dienkripsi di perangkat Anda dan hanya dapat dibaca oleh orang yang Anda kirimi. Kami tidak dapat membacanya, begitu pula Google, yang servernya kami sewa.

Yang dapat kami lihat adalah bahwa sebuah percakapan terjadi: akun mana saja yang terlibat, dan kapan mereka aktif. Menghilangkan ini lebih sulit daripada mengenkripsi isinya, dan kami belum menyelesaikannya. Kebijakan ini menyatakan dengan tepat di mana batasnya saat ini.

1. Apa yang dienkripsi ujung ke ujung

Dienkripsi di perangkat Anda, tidak dapat dibaca oleh kami dan Google:

• Teks pesan Anda.
• Isi file, foto, audio, dan video yang Anda lampirkan.
• Pratinjau tautan.
• Panggilan suara dan video, yang menggunakan DTLS-SRTP wajib dari WebRTC antara kedua perangkat.

Sebagian besar pesan satu-satu dan grup juga menggunakan ratchet, artinya setiap pesan memiliki kuncinya sendiri, sehingga kompromi pada perangkat Anda tidak mengungkap pesan-pesan sebelumnya. Percakapan di mana klien seseorang belum menerbitkan materi kunci yang lebih baru kembali ke satu kunci yang berumur panjang, yang tidak memiliki sifat itu. Label di bawah pesan memberi tahu Anda mana yang sebenarnya diterima.

Hanya satu hal yang melintasi batas ini, dan hanya ketika Anda memintanya: mencari nama di Wikipedia hanya mengirimkan nama tersebut, bukan pesan asalnya. Bagian 6 menjelaskan siapa yang menerimanya, dan pencarian hanya berjalan saat diketuk dan tidak dengan cara lain, jadi tidak ada yang perlu dimatikan. Meringkas, menerjemahkan, dan mentranskrip juga akan melintasi batas ini — fitur-fitur itu dimatikan pada rilis ini, dan tidak ada kontrol di mana pun dalam aplikasi yang menyalakannya.

2. Apa yang tidak dienkripsi, dan apa yang dapat kami lihat

Enkripsi melindungi isi, bukan fakta bahwa percakapan itu terjadi. Berikut ini tersimpan secara terbuka di server kami:

• Siapa saja yang ada di setiap percakapan, dan kapan itu dibuat serta terakhir aktif.
• Stempel waktu setiap pesan, dan berapa banyak yang belum Anda baca.
• Nama file, jenis, dan ukuran lampiran. Bytenya dienkripsi; deskripsinya tidak, dan panjang teks sandi juga membatasi panjang aslinya.
• Teman dan permintaan pertemanan Anda.
• Sinyal panggilan — bahwa panggilan telah dilakukan, kepada siapa, dan kapan. Bukan audio atau videonya.

Indikator mengetik dan tanda terima baca nonaktif kecuali Anda mengaktifkannya, dan selama nonaktif tidak ada yang dicatat.

Yang sudah tidak ada lagi di sini: alamat email dan nama Anda. Sejak September 2026, catatan akun hanya menyimpan pengenal akun — dan sejak itu tidak ada lagi alamat untuk disimpan di mana pun. Pendaftaran tidak menanyakan apa pun tentang Anda: akun Anda adalah frasa pemulihan 24 kata, dan kredensial yang diperiksa Firebase Authentication berasal dari itu. Yang disimpannya hanyalah label acak di bawah domain yang tidak dapat menerima surat.

Secara terpisah: karena aplikasi berjalan di Google Firebase, Google dapat melihat alamat IP dan waktu setiap koneksi yang dibuat perangkat Anda kepadanya. Itu adalah sifat dari hosting, bukan aplikasi, dan kami tidak dapat mengenkripsinya.

3. Bagaimana orang menemukan Anda

Mereka tidak dapat mencari Anda. Tidak ada direktori di sini — tidak ada pencarian berdasarkan email, nomor telepon, atau nama — dan server menolak permintaan semacam itu.

Anda menjangkau seseorang dengan mengirimkan tautan undangan di luar jalur, melalui apa pun yang sudah Anda gunakan. Tautan berfungsi sekali, kedaluwarsa setelah 24 jam, dan dapat ditarik. Apa pun sebutan Anda untuk seseorang adalah label Anda sendiri untuk mereka, disimpan hanya untuk Anda; jika mereka memperkenalkan diri, nama itu sampai kepada Anda dalam keadaan terenkripsi.

4. Apa yang kami kumpulkan

• Data akun: pengenal akun, dan kredensial yang berasal dari frasa pemulihan Anda, disimpan di Firebase Authentication. Tidak ada alamat email, tidak ada nomor telepon, tidak ada nama — pendaftaran tidak menanyakan salah satunya.
• Teks sandi pesan dan lampiran, ditambah metadata pada bagian 2.

Itulah seluruh daftarnya. Tidak ada analitik dan tidak ada pelaporan crash. Aplikasi ini dulunya mengirim tampilan layar ke Firebase Analytics dan laporan crash ke Firebase Crashlytics, keduanya membawa pengenal akun Anda, sehingga tidak ada yang anonim; keduanya sudah hilang, bersama pustaka yang mengirimkannya. Kesalahan dicetak hanya di komputer pengembang sendiri selama pengembangan dan tidak pergi ke mana pun.

5. Di mana ini disimpan

Di Google Firebase — Firestore, Storage, dan Authentication — di bawah aturan keamanan yang menentukan siapa yang boleh membaca dan menulis setiap dokumen.

Di perangkat Anda, pesan yang di-cache, pengaturan, dan PIN kunci aplikasi dienkripsi dengan kunci khusus per perangkat yang disimpan di penyimpanan kunci platform (Keychain di iOS, Keystore di Android) daripada di penyimpanan aplikasi biasa.

Kunci privat yang mendekripsi pesan Anda tidak pernah meninggalkan perangkat Anda, kecuali sebagai frasa pemulihan yang Anda pilih untuk dituliskan. Kami tidak menyimpannya dan tidak dapat memulihkannya untuk Anda. Jika hilang, pesan yang dikirim ke perangkat itu tidak dapat dibaca lagi — oleh siapa pun, termasuk kami.

Versi 1.2.0 dan sebelumnya juga menyimpan salinan frasa ke Google Block Store, cadangan bawaan Android, setiap kali Anda masuk. Jika ponsel Anda memiliki kunci layar, salinan itu disinkronkan ke akun Google Anda dalam keadaan terenkripsi end-to-end. Sejak versi 1.2.1 aplikasi tidak lagi melakukannya, dan menghapus salinan itu setiap kali dijalankan.

6. Siapa lagi yang menerima data

Kami tidak menjual, memperdagangkan, atau menyewakan informasi pribadi Anda. Data mencapai:

• Google Firebase — penyedia hosting kami, seperti dijelaskan di atas.
• Cloudflare Realtime — audio dan video panggilan, ketika perangkat Anda dan perangkat orang lain tidak dapat saling menjangkau secara langsung.
• Wikimedia Foundation — satu nama, ketika Anda mengetuknya untuk mencarinya di Wikipedia.
• Google Cloud Speech-to-Text — audio dari satu pesan suara, ketika Anda meminta transkrip.
• Google Cloud Translation — teks dari satu pesan, ketika Anda meminta terjemahan.
• Cloudflare Workers AI — hingga 50 pesan terakhir dari satu percakapan, ketika Anda meminta ringkasan atau mengajukan pertanyaan tentangnya.

Tiga yang terakhir dimatikan pada rilis ini. Tidak ada kontrol di mana pun dalam aplikasi yang menyalakan transkripsi, terjemahan, atau ringkasan, sehingga tidak ada yang mencapai tiga layanan itu. Layanan itu terdaftar alih-alih dihapus karena kodenya masih ada di sini dan fitur-fitur ini dimaksudkan untuk kembali — dan saat kembali, mereka akan kembali dengan pengungkapan ini dan permintaan sebelum penggunaan pertama. Apa yang akan dikirim saat itu dikirim untuk menghasilkan hasil Anda, bukan untuk melatih apa pun; baik transkrip maupun terjemahan tidak disimpan di server kami.

Pencarian Wikipedia tidak memiliki sakelar karena tidak ada yang bersifat tetap untuk dimatikan: itu hanya berjalan saat diketuk dan tidak dengan cara lain. Wikipedia menerima hanya nama itu dan alamat IP Anda, persis seperti jika Anda sendiri mengetiknya di kotak pencariannya — tanpa akun, tanpa pesan, tanpa percakapan. Apa yang dikembalikan hanya ditampilkan dan tidak disimpan, dan tidak ada apa pun tentangnya yang dituliskan ke percakapan.

Cloudflare Realtime juga tidak memiliki sakelar. Sebagian besar panggilan tidak memerlukannya: dua perangkat yang dapat saling menjangkau secara langsung — sebagian besar panggilan di jaringan yang sama — terhubung tanpanya, dan tidak ada yang diteruskan. Ketika tidak bisa — biasanya karena Anda berdua berada di jaringan seluler yang berbeda — panggilan yang sudah terenkripsi diteruskan alih-alih dibiarkan tidak dapat terhubung. Yang dilihat Cloudflare adalah kedua alamat IP, waktu panggilan, dan perkiraan jumlah data yang berpindah; audio dan video tetap berada dalam enkripsi DTLS-SRTP yang sama seperti dijelaskan di bagian 2, jadi penerusan tidak mendekripsinya.

Kami dapat mengungkapkan apa yang kami simpan jika hukum mengharuskannya. Apa yang kami simpan adalah daftar pada bagian 2. Kami tidak dapat memberikan isi pesan, karena kami tidak dapat membacanya.

7. Notifikasi push

Firebase Cloud Messaging mengirimkan notifikasi. Token perangkat Anda disimpan di bagian pribadi akun Anda yang hanya dapat Anda baca.

Notifikasi tidak membawa teks pesan apa pun. Perangkat Anda mendekripsi pesan secara lokal dan menyusun apa yang Anda lihat; Google mengirimkan amplopnya, bukan isinya.

8. Apa yang dapat Anda lakukan

• Hapus akun Anda dari layar Profil. Konten yang menjadi bagian bersama dari sebuah percakapan — misalnya catatan panggilan — tetap ada pada peserta lain, karena itu juga catatan mereka.
• Ekspor data Anda dari layar Profil.
• Atur kedaluwarsa pesan per obrolan: 1 jam, 24 jam, 7 hari, atau 30 hari.
• Aktifkan atau nonaktifkan indikator mengetik dan tanda terima baca. Keduanya nonaktif secara default.
• Kunci aplikasi dengan PIN atau biometrik.
• Tarik tautan undangan yang telah Anda bagikan.

Jika Anda lebih suka kami menghapus sesuatu secara manual, tulis kepada kami.

9. Retensi

Kami menyimpan data Anda selama akun Anda ada. Menghapus akun akan menghapusnya, kecuali konten yang dimiliki bersama yang disebutkan di atas. Kedaluwarsa per obrolan menghapus pesan sesuai jadwal yang Anda atur.

10. Batasan yang perlu Anda ketahui

Kami lebih suka memberi tahu Anda tentang ini daripada membiarkan Anda menemukannya sendiri.

• Kunci dipercaya pada pertama kali dilihat. Jika seseorang mengganti kunci sebelum Anda pernah bertukar pesan, percakapan akan dienkripsi ke orang yang salah dan akan tampak sepenuhnya normal. Aplikasi memperingatkan Anda saat kunci berubah setelahnya, dan menampilkan nomor keamanan yang dapat Anda bandingkan di luar jalur — tetapi tidak ada yang memaksa Anda untuk membandingkannya.
• Satu perangkat pada satu waktu. Frasa pemulihan Anda memulihkan kunci yang membuka riwayat Anda, sehingga masuk di perangkat baru tidak menghilangkan apa yang sudah Anda terima. Percakapan dengan kerahasiaan maju menggunakan kunci kedua yang tidak pernah meninggalkan perangkat yang membuatnya: perangkat mana pun yang terakhir masuk adalah yang dijangkau oleh pesan-pesan itu, dan apa pun yang disegel untuk perangkat lain sementara itu tidak dapat dipindahkan ke sana.
• Pesan yang dikirim sebelum enkripsi ada tetap seperti semula. Tidak ada yang dikonversi secara retroaktif.
• Aplikasi ini belum pernah diaudit keamanannya secara independen.

11. Anak-anak

Chatterbox tidak ditujukan untuk anak-anak di bawah usia 13 tahun, dan kami tidak secara sengaja mengumpulkan informasi mereka. Jika Anda yakin seorang anak telah memberi kami informasi pribadi, hubungi kami dan kami akan menghapusnya.

12. Perubahan

Kami dapat memperbarui kebijakan ini. Perubahan signifikan akan diumumkan di aplikasi, dan tanggal di bagian atas adalah kapan kebijakan ini terakhir diubah.

13. Kontak

Pertanyaan tentang kebijakan ini: [email protected]

14. Memeriksa versi aplikasi yang lebih baru

Google Play bukan cara aplikasi ini sampai ke ponsel Android Anda. Aplikasi ini diunduh dari chatterbox.fans, dan toko yang tidak dilibatkan tidak dapat memeriksa pembaruan atas nama Anda — jadi aplikasi ini bisa melakukannya sendiri, jika Anda memintanya.

Mengetuk "Periksa sekarang" mengirim satu permintaan ke chatterbox.fans yang menanyakan versi mana yang terbaru. Permintaan itu hanya membawa alamat IP Anda dan tidak ada yang lain — tanpa akun, tanpa pengenal perangkat, tanpa pesan. Yang kembali adalah nomor versi, dibandingkan di ponsel Anda dengan versi yang sedang Anda jalankan; tidak ada yang diunduh secara otomatis, dan tidak ada apa pun tentang pemeriksaan ini yang ditulis ke percakapan.

Ini tidak memiliki sakelar karena tidak ada yang perlu dimatikan: ini hanya berjalan saat diketuk dan tidak dengan cara lain.

Jika Anda menginstal pembaruan, itu akan mengganti aplikasi di tempatnya menggunakan kunci penandatanganan yang sama, sama seperti yang akan dilakukan pembaruan dari Google Play.