Informativa sulla privacy

0. In breve

Il testo dei tuoi messaggi viene cifrato sul tuo dispositivo e può essere letto solo dalle persone a cui lo invii. Noi non possiamo leggerlo, e nemmeno Google, di cui affittiamo i server.

Quello che possiamo vedere è che una conversazione è avvenuta: quali account ne fanno parte e quando sono stati attivi. Togliere anche questo è più difficile che cifrare i contenuti, e non abbiamo finito. Questa informativa dice esattamente dove passa oggi il confine.

1. Che cosa è cifrato end-to-end

Cifrato sul tuo dispositivo, illeggibile per noi e per Google:

• Il testo dei tuoi messaggi.
• Il contenuto di file, foto, audio e video che alleghi.
• Le anteprime dei link.
• Le chiamate vocali e video, che tra i due dispositivi usano il DTLS-SRTP obbligatorio di WebRTC.

La maggior parte dei messaggi individuali e di gruppo usa inoltre un ratchet: ogni messaggio ha la propria chiave, quindi compromettere il tuo dispositivo non espone quelli precedenti. Le conversazioni in cui il client di qualcuno non ha pubblicato il materiale di chiave più recente ricadono su un'unica chiave di lunga durata, che non ha questa proprietà. L'etichetta sotto un messaggio ti dice quale percorso ha davvero seguito.

Una cosa sola attraversa questa linea, e solo quando lo chiedi tu: cercare un nome su Wikipedia invia quel nome, non il messaggio da cui viene. La sezione 6 dice chi lo riceve, e la richiesta avviene al tocco e non altrimenti, quindi non c'è nulla da spegnere. Anche riassumere, tradurre e trascrivere la attraverserebbero: in questa versione sono spenti, e nell'app non c'è alcun comando che li accenda.

2. Che cosa non è cifrato, e che cosa vediamo

La cifratura protegge i contenuti, non il fatto che ci sia una conversazione. Questi dati stanno in chiaro sui nostri server:

• Chi partecipa a ogni conversazione, e quando è stata creata e usata l'ultima volta.
• L'orario di ogni messaggio e quanti non ne hai letti.
• Nome, tipo e dimensione di un allegato. I byte sono cifrati, la loro descrizione no, e la lunghezza del cifrato delimita quella dell'originale.
• I tuoi amici e le richieste di amicizia.
• La segnalazione delle chiamate: che una chiamata c'è stata, con chi e quando. Non il suo audio né il video.

Gli indicatori di scrittura e le conferme di lettura sono disattivati finché non li accendi, e mentre sono spenti non viene scritto nulla.

Che cosa non c'è più: il tuo indirizzo email e il tuo nome. Da settembre 2026 il record dell'account contiene solo un identificatore — e da allora non c'è più alcun indirizzo, da nessuna parte. La registrazione non chiede nulla su di te: il tuo account è una frase di recupero di 24 parole, e la credenziale che Firebase Authentication verifica ne deriva. Lì viene conservata un'etichetta casuale sotto un dominio che non può ricevere posta.

A parte questo: poiché l'app gira su Google Firebase, Google può vedere l'indirizzo IP e l'orario di ogni connessione che il tuo dispositivo apre verso di essa. È una caratteristica dell'hosting, non dell'app, e non possiamo eliminarla con la cifratura.

3. Come ti trovano

Non possono cercarti. Non esiste un elenco — nessuna ricerca per email, telefono o nome — e il server rifiuta qualsiasi interrogazione che ci provi.

Raggiungi qualcuno inviandogli un link d'invito fuori dall'app, con qualunque mezzo tu già usi. Un link funziona una volta, scade dopo 24 ore e può essere ritirato. Come chiami qualcuno è la tua etichetta per quella persona, e resta tua; se si è presentata, quel nome ti è arrivato cifrato.

4. Che cosa raccogliamo

• Dati dell'account: un identificatore dell'account e una credenziale derivata dalla tua frase di recupero, conservata in Firebase Authentication. Nessun indirizzo email, nessun numero di telefono, nessun nome: la registrazione non ne chiede alcuno.
• Il testo cifrato di messaggi e allegati, più i metadati della sezione 2.

Questa è tutta la lista. Non c'è analisi d'uso né segnalazione di crash. L'app mandava le visualizzazioni di schermata a Firebase Analytics e i crash a Firebase Crashlytics, entrambi con il tuo identificativo di account, quindi nessuno dei due era anonimo; sono spariti entrambi, insieme alle librerie che li mandavano. Gli errori vengono stampati sulla macchina di chi sviluppa, durante lo sviluppo, e non vanno da nessun'altra parte.

5. Dove viene conservato

Su Google Firebase — Firestore, Storage e Authentication — con regole di sicurezza che decidono chi può leggere e scrivere ogni documento.

Sul tuo dispositivo, i messaggi in cache, le impostazioni e il PIN di blocco sono cifrati con una chiave specifica del dispositivo custodita nel portachiavi della piattaforma (Keychain su iOS, Keystore su Android) e non nella normale memoria dell'app.

La chiave privata che decifra i tuoi messaggi non lascia mai il tuo dispositivo, se non come la frase di recupero che decidi di annotare. Non la possediamo e non possiamo recuperarla per te. Se la perdi, i messaggi inviati a quel dispositivo non saranno più leggibili — da nessuno, noi compresi.

Le versioni 1.2.0 e precedenti salvavano anche una copia della frase in Google Block Store, il backup proprio di Android, a ogni accesso. Se il telefono aveva un blocco schermo, quella copia veniva sincronizzata con il tuo account Google, cifrata end-to-end. Dalla versione 1.2.1 l'app non lo fa più, e cancella quella copia a ogni avvio.

6. Chi altro riceve dati

Non vendiamo, scambiamo né noleggiamo le tue informazioni personali. I dati arrivano a:

• Google Firebase — il nostro fornitore di hosting, come descritto sopra.
• Cloudflare Realtime — l'audio e il video di una chiamata, quando il tuo dispositivo e quello dell'altra persona non riescono a raggiungersi direttamente.
• La Wikimedia Foundation — un solo nome, quando lo tocchi per cercarlo su Wikipedia.
• Google Cloud Speech-to-Text — l’audio di un messaggio vocale, quando chiedi una trascrizione.
• Google Cloud Translation — il testo di un messaggio, quando chiedi una traduzione.
• Cloudflare Workers AI — fino agli ultimi 50 messaggi di una conversazione, quando chiedi un riassunto o fai una domanda su di essa.

Gli ultimi tre sono spenti in questa versione. Nell'app non c'è alcun comando che accenda trascrizione, traduzione o riassunti, quindi a quei tre servizi non arriva nulla. Sono elencati anziché cancellati perché il codice è ancora qui e le funzioni devono tornare: quando torneranno, torneranno con questa informativa e con una richiesta prima del primo uso. Ciò che verrebbe inviato allora è inviato per produrre il tuo risultato, non per addestrare nulla; né una trascrizione né una traduzione vengono conservate sui nostri server.

Questa ricerca non ha un interruttore perché non c’è nulla di permanente da spegnere: parte con il tocco e non altrimenti. Wikipedia riceve quel nome e il tuo indirizzo IP, esattamente come se lo avessi digitato nella sua casella di ricerca — nessun account, nessun messaggio, nessuna conversazione. Ciò che torna viene mostrato e non salvato, e nulla di tutto questo viene scritto nella conversazione.

Anche Cloudflare Realtime non ha un interruttore. La maggior parte delle chiamate non ne ha bisogno: due dispositivi che possono raggiungersi direttamente — la maggior parte delle chiamate sulla stessa rete — si collegano senza di esso, e nulla viene inoltrato. Quando non possono, spesso perché siete su reti mobili diverse, la chiamata già cifrata viene inoltrata invece di restare senza connessione. Ciò che Cloudflare vede sono entrambi gli indirizzi IP, l'orario della chiamata e approssimativamente quanti dati sono stati trasferiti; l'audio e il video restano sotto la stessa cifratura DTLS-SRTP descritta nella sezione 2, quindi l'inoltro non li decifra.

Possiamo divulgare ciò che deteniamo se la legge lo impone. Ciò che deteniamo è l'elenco della sezione 2. Non possiamo produrre il contenuto dei messaggi, perché non riusciamo a leggerlo.

7. Notifiche push

Le notifiche vengono recapitate da Firebase Cloud Messaging. Il token del tuo dispositivo è conservato in una parte privata del tuo account, leggibile solo da te.

Le notifiche non contengono il testo del messaggio. È il tuo dispositivo a decifrarlo in locale e a comporre ciò che vedi; Google consegna la busta, non il contenuto.

8. Che cosa puoi fare

• Eliminare il tuo account dalla schermata Profilo. I contenuti che appartengono in comune a una conversazione — un registro di chiamata, per esempio — restano all'altro partecipante, perché sono anche il suo archivio.
• Esportare i tuoi dati dalla schermata Profilo.
• Far scadere i messaggi per singola chat: 1 ora, 24 ore, 7 giorni o 30 giorni.
• Attivare o disattivare indicatori di scrittura e conferme di lettura. Entrambi sono disattivati di default.
• Bloccare l'app con un PIN o con la biometria.
• Ritirare un link d'invito che hai già distribuito.

Se preferisci che cancelliamo qualcosa a mano, scrivici.

9. Conservazione

Conserviamo i tuoi dati finché il tuo account esiste. Eliminarlo li cancella, tranne i contenuti condivisi indicati sopra. La scadenza per chat rimuove i messaggi secondo i tempi che imposti.

10. Limiti che dovresti conoscere

Preferiamo dirteli noi piuttosto che fartene accorgere.

• Le chiavi vengono considerate attendibili la prima volta che si vedono. Se qualcuno avesse sostituito una chiave prima che vi scambiaste anche un solo messaggio, la conversazione sarebbe cifrata verso la persona sbagliata e sembrerebbe del tutto normale. L'app ti avvisa quando una chiave cambia in seguito e mostra un numero di sicurezza che potete confrontare per altre vie — ma nulla ti obbliga a confrontarlo.
• Un dispositivo alla volta. La tua frase di recupero ripristina la chiave che apre la cronologia, quindi accedere da un nuovo dispositivo non perde ciò che hai già ricevuto. Le conversazioni con segretezza in avanti usano una seconda chiave che non lascia mai il dispositivo che l'ha creata: arrivano all'ultimo dispositivo che ha effettuato l'accesso, e ciò che nel frattempo è stato sigillato per l'altro non può essere spostato.
• I messaggi inviati prima che esistesse la cifratura restano com'erano. Nulla è stato convertito retroattivamente.
• Questa app non è mai stata sottoposta a un audit di sicurezza indipendente.

11. Minori

Chatterbox non è destinata a minori di 13 anni e non raccogliamo consapevolmente le loro informazioni. Se ritieni che un minore ci abbia fornito dati personali, contattaci e li cancelleremo.

12. Modifiche

Potremmo aggiornare questa informativa. Le modifiche rilevanti verranno annunciate nell'app, e la data in alto indica l'ultima volta che è cambiata.

13. Contatti

Domande su questa informativa: [email protected]

14. Verificare una versione più recente dell'app

Google Play non è il modo in cui questa app arriva sul tuo telefono Android. Viene invece scaricata da chatterbox.fans, e uno store che non è coinvolto non può verificare gli aggiornamenti per tuo conto — quindi questa app può farlo, se glielo chiedi.

Toccando "Verifica ora" viene inviata un'unica richiesta a chatterbox.fans per sapere qual è la versione attuale. Quella richiesta porta con sé il tuo indirizzo IP e nient'altro — nessun account, nessun identificativo del dispositivo, nessun messaggio. Quello che torna è un numero di versione, confrontato sul tuo telefono con la versione che stai usando; nulla viene scaricato automaticamente, e nulla della verifica viene scritto nella conversazione.

Questo non ha un interruttore perché non c'è nulla da disattivare: si esegue solo al tocco e non altrimenti.

Se installi l'aggiornamento, sostituisce l'app al suo posto usando la stessa chiave di firma, allo stesso modo in cui lo farebbe un aggiornamento da Google Play.