Dasar Privasi

0. Secara ringkas

Teks mesej anda disulitkan pada peranti anda dan hanya boleh dibaca oleh orang yang anda hantar mesej itu. Kami tidak dapat membacanya, begitu juga Google, yang pelayannya kami sewa.

Apa yang kami dapat lihat ialah perbualan telah berlaku: akaun mana yang terlibat, dan bila mereka aktif. Menghapuskan itu lebih sukar daripada menyulitkan kandungan, dan kami belum selesai. Dasar ini menyatakan dengan tepat di mana garis itu berada sekarang.

1. Apa yang disulitkan hujung ke hujung

Disulitkan pada peranti anda, tidak boleh dibaca oleh kami dan Google:

• Teks mesej anda.
• Kandungan fail, foto, audio dan video yang anda lampirkan.
• Pratonton pautan.
• Panggilan suara dan video, yang menggunakan DTLS-SRTP wajib WebRTC antara dua peranti.

Kebanyakan mesej satu-lawan-satu dan kumpulan juga menggunakan ratchet, bermakna setiap mesej mempunyai kuncinya sendiri, jadi kompromi peranti anda tidak mendedahkan mesej sebelumnya. Perbualan di mana klien seseorang belum menerbitkan bahan kunci yang lebih baharu kembali menggunakan satu kunci berjangka hayat panjang, yang tidak mempunyai ciri itu. Label di bawah mesej memberitahu anda yang mana sebenarnya diterima.

Satu perkara melintasi garis ini, dan hanya apabila anda memintanya: mencari nama di Wikipedia menghantar nama itu sahaja, bukan mesej asalnya. Bahagian 6 menyatakan siapa yang menerimanya, dan carian dijalankan hanya semasa ketikan dan tidak sebaliknya, jadi tiada apa untuk dimatikan. Meringkaskan, menterjemah dan mentranskripsi juga akan melintasi ini — ia dimatikan dalam keluaran ini, tanpa kawalan di mana-mana dalam apl untuk menghidupkannya.

2. Apa yang tidak disulitkan, dan apa yang kami boleh lihat

Penyulitan melindungi kandungan, bukan fakta perbualan. Perkara ini berada dalam bentuk jelas pada pelayan kami:

• Siapa yang terlibat dalam setiap perbualan, dan bila ia dicipta dan terakhir aktif.
• Cap masa setiap mesej, dan berapa banyak yang belum anda baca.
• Nama fail, jenis dan saiz lampiran. Bait disulitkan; keterangannya tidak, dan panjang teks sifer mengehadkan panjang asal.
• Rakan dan permintaan rakan anda.
• Isyarat panggilan — bahawa panggilan telah dibuat, kepada siapa, dan bila. Bukan audio atau videonya.

Penunjuk menaip dan resit bacaan dimatikan melainkan anda menghidupkannya, dan semasa dimatikan tiada apa yang ditulis.

Apa yang tiada lagi di sini: alamat e-mel dan nama anda. Sejak September 2026 rekod akaun hanya menyimpan pengecam akaun — dan sejak itu tiada alamat untuk disimpan di mana-mana. Pendaftaran tidak bertanya apa-apa tentang anda: akaun anda ialah frasa pemulihan 24 perkataan, dan bukti kelayakan yang diperiksa oleh Firebase Authentication diperoleh daripadanya. Apa yang disimpannya ialah label rawak di bawah domain yang tidak boleh menerima mel.

Berasingan: kerana apl berjalan pada Google Firebase, Google boleh melihat alamat IP dan masa setiap sambungan yang dibuat peranti anda kepadanya. Itu ciri pengehosan, bukan apl, dan kami tidak boleh menyulitkannya.

3. Bagaimana orang mencari anda

Mereka tidak boleh mencari anda. Tiada direktori — tiada carian mengikut e-mel, nombor telefon atau nama — dan pelayan menolak sebarang pertanyaan yang cuba berbuat demikian.

Anda menghubungi seseorang dengan menghantar pautan jemputan di luar talian, melalui apa sahaja yang anda sudah gunakan. Pautan berfungsi sekali, tamat tempoh selepas 24 jam, dan boleh ditarik balik. Apa sahaja yang anda panggil seseorang ialah label anda sendiri untuk mereka, disimpan untuk anda; jika mereka memperkenalkan diri, nama itu sampai kepada anda dalam bentuk disulitkan.

4. Apa yang kami kumpulkan

• Data akaun: pengecam akaun, dan bukti kelayakan yang diperoleh daripada frasa pemulihan anda, disimpan dalam Firebase Authentication. Tiada alamat e-mel, tiada nombor telefon, tiada nama — pendaftaran tidak meminta mana-mana daripadanya.
• Teks sifer mesej dan lampiran, ditambah metadata dalam bahagian 2.

Itulah keseluruhan senarai. Tiada analitik dan tiada laporan ranap. Apl dahulu menghantar paparan skrin ke Firebase Analytics dan laporan ranap ke Firebase Crashlytics, kedua-duanya membawa pengecam akaun anda, jadi tiada satu pun tanpa nama; kedua-duanya kini hilang, bersama pustaka yang menghantarnya. Ralat dicetak pada mesin pembangun sendiri semasa pembangunan dan tidak pergi ke mana-mana lagi.

5. Di mana ia disimpan

Pada Google Firebase — Firestore, Storage dan Authentication — di bawah peraturan keselamatan yang menentukan siapa boleh membaca dan menulis setiap dokumen.

Pada peranti anda, mesej yang dicache, tetapan dan PIN kunci apl anda disulitkan dengan kunci setiap peranti yang disimpan dalam keystore platform (iOS Keychain, Android Keystore) berbanding storan apl biasa.

Kunci peribadi yang menyahsulit mesej anda tidak pernah meninggalkan peranti anda, kecuali sebagai frasa pemulihan yang anda pilih untuk ditulis. Kami tidak menyimpannya dan tidak boleh memulihkannya untuk anda. Kehilangannya bermakna mesej yang dihantar ke peranti itu tidak boleh dibaca semula — oleh sesiapa, termasuk kami.

Versi 1.2.0 dan sebelumnya turut menyimpan salinan frasa dalam Google Block Store, sandaran Android sendiri, setiap kali anda log masuk. Jika telefon anda mempunyai kunci skrin, salinan itu disegerakkan ke akaun Google anda dalam keadaan disulitkan hujung ke hujung. Mulai versi 1.2.1 aplikasi tidak lagi berbuat demikian, dan memadamkan salinan itu setiap kali ia bermula.

6. Siapa lagi yang menerima data

Kami tidak menjual, berdagang atau menyewakan maklumat peribadi anda. Data sampai kepada:

• Google Firebase — pembekal pengehosan kami, seperti yang diterangkan di atas.
• Cloudflare Realtime — audio dan video panggilan, apabila peranti anda dan peranti orang lain tidak dapat menghubungi satu sama lain secara langsung.
• Wikimedia Foundation — satu nama, apabila anda mengetik untuk mencarinya di Wikipedia.
• Google Cloud Speech-to-Text — audio satu mesej suara, apabila anda meminta transkrip.
• Google Cloud Translation — teks satu mesej, apabila anda meminta terjemahan.
• Cloudflare Workers AI — sehingga 50 mesej terakhir satu perbualan, apabila anda meminta ringkasan atau bertanya soalan mengenainya.

Tiga yang terakhir dimatikan dalam keluaran ini. Tiada kawalan di mana-mana dalam apl untuk menghidupkan transkripsi, terjemahan atau ringkasan, jadi tiada apa sampai ke tiga perkhidmatan itu. Ia disenaraikan berbanding dipadam kerana kod masih ada di sini dan ciri-ciri itu dimaksudkan untuk kembali — dan apabila ia kembali, ia kembali dengan pendedahan ini dan gesaan sebelum penggunaan pertama. Apa yang akan dihantar pada masa itu dihantar untuk menghasilkan keputusan anda, bukan untuk melatih apa-apa; tiada transkrip atau terjemahan yang disimpan pada pelayan kami.

Carian Wikipedia tiada suis kerana tiada apa untuk dimatikan: ia berjalan hanya semasa ketikan dan tidak sebaliknya. Wikipedia menerima nama itu sahaja dan alamat IP anda, sama seperti jika anda menaipnya sendiri dalam kotak carian mereka — tiada akaun, tiada mesej, tiada perbualan. Apa yang dikembalikan dipaparkan dan tidak disimpan, dan tiada apa mengenainya ditulis ke dalam perbualan.

Cloudflare Realtime juga tiada suis. Kebanyakan panggilan tidak memerlukannya: dua peranti yang boleh menghubungi satu sama lain secara langsung — kebanyakan panggilan pada rangkaian yang sama — menyambung tanpanya, dan tiada apa yang direlai. Apabila mereka tidak boleh — biasanya kerana anda berdua berada pada rangkaian mudah alih yang berbeza — panggilan yang sudah disulitkan itu direlai berbanding dibiarkan tidak dapat menyambung. Apa yang Cloudflare lihat ialah kedua-dua alamat IP, masa panggilan, dan anggaran berapa banyak data yang dipindahkan; audio dan video kekal di bawah penyulitan DTLS-SRTP yang sama seperti yang diterangkan dalam seksyen 2, jadi merelai tidak menyahsulitkannya.

Kami mungkin mendedahkan apa yang kami pegang jika undang-undang memerlukannya. Apa yang kami pegang ialah senarai dalam bahagian 2. Kami tidak boleh menghasilkan kandungan mesej, kerana kami tidak boleh membacanya.

7. Pemberitahuan tolak

Firebase Cloud Messaging menyampaikan pemberitahuan. Token peranti anda disimpan dalam bahagian peribadi akaun anda yang hanya anda boleh baca.

Pemberitahuan tidak membawa teks mesej. Peranti anda menyahsulit mesej secara tempatan dan menyusun apa yang anda lihat; Google menyampaikan sampul, bukan kandungan.

8. Apa yang anda boleh lakukan

• Padam akaun anda daripada skrin Profil. Kandungan yang menjadi sebahagian bersama perbualan — rekod panggilan, contohnya — kekal bersama peserta lain, kerana ia juga rekod mereka.
• Eksport data anda daripada skrin Profil.
• Tetapkan mesej untuk tamat tempoh setiap sembang: 1 jam, 24 jam, 7 hari atau 30 hari.
• Hidup atau matikan penunjuk menaip dan resit bacaan. Kedua-duanya dimatikan secara lalai.
• Kunci apl dengan PIN atau biometrik.
• Tarik balik pautan jemputan yang telah anda berikan.

Jika anda lebih suka kami memadamkan sesuatu secara manual, tulis kepada kami.

9. Pengekalan

Kami menyimpan data anda selagi akaun anda wujud. Memadam akaun memadamkannya, kecuali kandungan yang dipegang bersama yang dinyatakan di atas. Tamat tempoh setiap sembang mengeluarkan mesej mengikut jadual yang anda tetapkan.

10. Had yang perlu anda ketahui

Kami lebih suka memberitahu anda perkara ini berbanding anda menemuinya sendiri.

• Kunci dipercayai kali pertama ia dilihat. Jika seseorang menggantikan kunci sebelum anda pernah bertukar mesej, perbualan itu akan disulitkan kepada orang yang salah dan akan kelihatan sepenuhnya normal. Apl memberi amaran apabila kunci berubah selepas itu, dan menunjukkan nombor keselamatan yang boleh anda bandingkan di luar talian — tetapi tiada apa yang memaksa anda membandingkannya.
• Satu peranti pada satu masa. Frasa pemulihan anda memulihkan kunci yang membuka sejarah anda, jadi mendaftar masuk pada peranti baharu tidak kehilangan apa yang telah anda terima. Perbualan rahsia-hadapan menggunakan kunci kedua yang tidak pernah meninggalkan peranti yang menciptanya: peranti mana sahaja yang mendaftar masuk terakhir adalah yang dicapai, dan apa sahaja yang dimeterai kepada peranti lain sementara itu tidak boleh dipindahkan.
• Mesej yang dihantar sebelum penyulitan wujud kekal seperti sedia ada. Tiada apa yang ditukar secara retroaktif.
• Apl ini belum diaudit keselamatan secara bebas.

11. Kanak-kanak

Chatterbox tidak ditujukan untuk kanak-kanak di bawah 13 tahun, dan kami tidak mengumpul maklumat mereka secara sedar. Jika anda percaya seorang kanak-kanak telah memberikan kami maklumat peribadi, hubungi kami dan kami akan memadamkannya.

12. Perubahan

Kami mungkin mengemas kini dasar ini. Perubahan ketara akan diumumkan dalam apl, dan tarikh di bahagian atas ialah bila ia terakhir berubah.

13. Hubungi

Soalan mengenai dasar ini: [email protected]

14. Menyemak versi aplikasi yang lebih baharu

Google Play bukanlah cara aplikasi ini sampai ke telefon Android anda. Sebaliknya ia dimuat turun daripada chatterbox.fans, dan kedai yang tidak terlibat dalam proses ini tidak dapat menyemak kemas kini bagi pihak anda — jadi aplikasi ini boleh melakukannya sendiri, jika anda memintanya.

Mengetik "Semak sekarang" menghantar satu permintaan ke chatterbox.fans untuk bertanya versi mana yang terkini. Permintaan itu hanya membawa alamat IP anda dan tiada apa-apa lagi — tiada akaun, tiada pengecam peranti, tiada mesej. Yang kembali ialah nombor versi, dibandingkan pada telefon anda dengan versi yang sedang anda gunakan; tiada apa-apa dimuat turun secara automatik, dan tiada apa-apa mengenai semakan ini ditulis ke dalam perbualan.

Ini tiada suis kerana tiada apa-apa untuk dimatikan: ia hanya berjalan apabila diketik dan tidak dengan cara lain.

Jika anda memasang kemas kini itu, ia akan menggantikan aplikasi di tempatnya menggunakan kunci tandatangan yang sama, sama seperti kemas kini daripada Google Play akan lakukan.