Privacybeleid

0. In het kort

De tekst van je berichten wordt op je apparaat versleuteld en kan alleen worden gelezen door de mensen aan wie je het stuurt. Wij kunnen het niet lezen, en Google, van wie we servers huren, ook niet.

Wat we wel kunnen zien is dat er een gesprek heeft plaatsgevonden: welke accounts erbij betrokken zijn en wanneer ze actief waren. Dat verwijderen is moeilijker dan de inhoud versleutelen, en we zijn nog niet klaar. Dit beleid vertelt precies waar de grens op dit moment ligt.

1. Wat is end-to-end versleuteld

Versleuteld op je apparaat, onleesbaar voor ons en voor Google:

• De tekst van je berichten.
• De inhoud van bestanden, foto's, audio en video die je bijvoegt.
• Linkvoorvertoningen.
• Spraak- en video-oproepen, die de verplichte DTLS-SRTP van WebRTC gebruiken tussen de twee apparaten.

De meeste één-op-één- en groepsberichten gebruiken bovendien een ratchet, wat betekent dat elk bericht zijn eigen sleutel heeft, zodat het compromitteren van je apparaat eerdere berichten niet blootlegt. Gesprekken waarbij iemands client het nieuwere sleutelmateriaal nog niet heeft gepubliceerd, vallen terug op één langlevende sleutel, die deze eigenschap niet heeft. Het label onder een bericht vertelt je welke het daadwerkelijk kreeg.

Eén ding overschrijdt deze grens, en alleen wanneer je erom vraagt: het opzoeken van een naam op Wikipedia stuurt die ene naam, niet het bericht waar het vandaan kwam. Sectie 6 vertelt wie het ontvangt, en de opzoeking loopt alleen bij de tik en niet anders, dus er is niets dat uitgeschakeld kan worden. Samenvatten, vertalen en transcriberen zouden dit ook overschrijden — ze zijn in deze release uitgeschakeld, zonder enige bediening ergens in de app die ze inschakelt.

2. Wat is niet versleuteld, en wat wij kunnen zien

Versleuteling beschermt inhoud, niet het feit van een gesprek. Deze staan onversleuteld op onze servers:

• Wie in elk gesprek zit, en wanneer het is aangemaakt en voor het laatst actief was.
• De tijdstempel van elk bericht, en hoeveel je er niet hebt gelezen.
• De bestandsnaam, het type en de grootte van een bijlage. De bytes zijn versleuteld; de beschrijving ervan niet, en de lengte van de cijfertekst begrenst de lengte van het origineel.
• Je vrienden en vriendschapsverzoeken.
• Belsignalering — dat er een oproep is geplaatst, aan wie, en wanneer. Niet de audio of video ervan.

Typindicatoren en leesbevestigingen staan uit tenzij je ze inschakelt, en terwijl ze uit staan wordt er niets geschreven.

Wat hier niet meer is: je e-mailadres en naam. Sinds september 2026 bevat het accountrecord alleen een accountidentificatie — en sindsdien is er nergens een adres om te bewaren. Aanmelden vraagt niets over jou: je account is een herstelzin van 24 woorden, en de credential die Firebase Authentication controleert, is daarvan afgeleid. Wat het opslaat is een willekeurig label onder een domein dat geen post kan ontvangen.

Apart: omdat de app draait op Google Firebase, kan Google het IP-adres en de timing zien van elke verbinding die je apparaat ermee maakt. Dat is een eigenschap van de hosting, niet van de app, en we kunnen dat niet wegversleutelen.

3. Hoe mensen je vinden

Ze kunnen je niet opzoeken. Er is geen adresboek — geen opzoeken op e-mail, telefoonnummer of naam — en de server weigert elke query die dat probeert.

Je bereikt iemand door hen buiten het kanaal om een uitnodigingslink te sturen, via wat je al gebruikt. Een link werkt eenmaal, verloopt na 24 uur, en kan worden ingetrokken. Hoe je iemand ook noemt, dat is jouw eigen label voor hen, voor jou bewaard; als ze zichzelf voorstelden, bereikte die naam je versleuteld.

4. Wat we verzamelen

• Accountgegevens: een accountidentificatie, en een credential afgeleid van je herstelzin, bewaard in Firebase Authentication. Geen e-mailadres, geen telefoonnummer, geen naam — bij aanmelden wordt naar geen van deze gevraagd.
• Bericht- en bijlagecijfertekst, plus de metadata uit sectie 2.

Dat is de hele lijst. Er is geen analytics en geen crashrapportage. De app stuurde vroeger schermweergaven naar Firebase Analytics en crashrapporten naar Firebase Crashlytics, beide met je accountidentificatie, dus geen van beide was anoniem; beide zijn nu weg, samen met de bibliotheken die ze verstuurden. Fouten worden alleen tijdens ontwikkeling op de eigen machine van een ontwikkelaar afgedrukt en gaan verder nergens heen.

5. Waar het wordt opgeslagen

Op Google Firebase — Firestore, Storage en Authentication — onder beveiligingsregels die bepalen wie elk document mag lezen en schrijven.

Op je apparaat worden gecachete berichten, instellingen en je app-vergrendelings-pincode versleuteld met een per-apparaat-sleutel die wordt bewaard in de platformsleutelopslag (iOS Keychain, Android Keystore) in plaats van in gewone app-opslag.

De privésleutel die je berichten ontsleutelt, verlaat je apparaat nooit, behalve als de herstelzin die je ervoor kiest om op te schrijven. Wij bewaren die niet en kunnen die niet voor je herstellen. Verlies je die, dan kunnen de berichten die naar dat apparaat zijn gestuurd nooit meer worden gelezen — door niemand, ons inbegrepen.

Versies 1.2.0 en eerder bewaarden bij elke aanmelding ook een kopie van de zin in Google Block Store, de eigen back-up van Android. Had je telefoon een schermvergrendeling, dan werd die kopie end-to-end versleuteld met je Google-account gesynchroniseerd. Vanaf versie 1.2.1 doet de app dat niet meer, en verwijdert hij die kopie bij elke start.

6. Wie nog meer gegevens ontvangt

We verkopen, verhandelen of verhuren je persoonlijke informatie niet. Gegevens bereiken:

• Google Firebase — onze hostingprovider, zoals hierboven beschreven.
• Cloudflare Realtime — de audio en video van een gesprek, wanneer jouw apparaat en dat van de ander elkaar niet rechtstreeks kunnen bereiken.
• De Wikimedia Foundation — één naam, wanneer je erop tikt om op Wikipedia op te zoeken.
• Google Cloud Speech-to-Text — het audio van één spraakbericht, wanneer je om een transcript vraagt.
• Google Cloud Translation — de tekst van één bericht, wanneer je om een vertaling vraagt.
• Cloudflare Workers AI — tot de laatste 50 berichten van één gesprek, wanneer je om een samenvatting vraagt of er een vraag over stelt.

De laatste drie zijn in deze release uitgeschakeld. Er is nergens in de app een bediening die transcriptie, vertaling of samenvattingen inschakelt, dus er bereikt niets die drie diensten. Ze staan vermeld in plaats van verwijderd omdat de code hier nog is en de functies bedoeld zijn om terug te keren — en wanneer ze terugkeren, doen ze dat met deze openbaarmaking en een prompt vóór het eerste gebruik. Wat dan wordt verzonden, wordt verzonden om je resultaat te produceren, niet om iets te trainen; geen transcript of vertaling wordt op onze servers opgeslagen.

De Wikipedia-opzoeking heeft geen schakelaar omdat er niets is om uit te schakelen: het loopt alleen bij de tik en niet anders. Wikipedia ontvangt die ene naam en je IP-adres, net zoals wanneer je het zelf in hun zoekvak had getypt — geen account, geen bericht, geen gesprek. Wat terugkomt wordt getoond en niet opgeslagen, en niets erover wordt in het gesprek geschreven.

Cloudflare Realtime heeft ook geen schakelaar. De meeste gesprekken hebben het niet nodig: twee apparaten die elkaar rechtstreeks kunnen bereiken — de meeste gesprekken op hetzelfde netwerk — verbinden zonder het, en er wordt niets doorgestuurd. Wanneer dat niet lukt — meestal omdat jullie op verschillende mobiele netwerken zitten — wordt het al versleutelde gesprek doorgestuurd in plaats van geen verbinding te kunnen maken. Wat Cloudflare ziet zijn beide IP-adressen, het tijdstip van het gesprek, en ongeveer hoeveel data er is verplaatst; audio en video blijven onder dezelfde DTLS-SRTP-versleuteling die in sectie 2 wordt beschreven, dus het doorsturen ontsleutelt ze niet.

We kunnen onthullen wat we bewaren als de wet dat vereist. Wat we bewaren is de lijst in sectie 2. We kunnen geen berichtinhoud produceren, omdat we die niet kunnen lezen.

7. Pushmeldingen

Firebase Cloud Messaging levert meldingen af. Je apparaattoken wordt bewaard in een privédeel van je account dat alleen jij kunt lezen.

Meldingen bevatten geen berichttekst. Je apparaat ontsleutelt het bericht lokaal en stelt samen wat je ziet; Google levert de envelop af, niet de inhoud.

8. Wat je kunt doen

• Verwijder je account vanuit het Profielscherm. Inhoud die gezamenlijk deel uitmaakt van een gesprek — bijvoorbeeld een gespreksregistratie — blijft bij de andere deelnemer, omdat het ook hun registratie is.
• Exporteer je gegevens vanuit het Profielscherm.
• Stel berichten in om per chat te verlopen: 1 uur, 24 uur, 7 dagen of 30 dagen.
• Zet typindicatoren en leesbevestigingen aan of uit. Beide staan standaard uit.
• Vergrendel de app met een pincode of biometrie.
• Trek een uitnodigingslink in die je hebt uitgedeeld.

Als je liever hebt dat we iets handmatig verwijderen, schrijf ons dan.

9. Bewaring

We bewaren je gegevens zolang je account bestaat. Het verwijderen van het account verwijdert deze, met uitzondering van de hierboven genoemde gezamenlijk gehouden inhoud. Per-chat vervaltijd verwijdert berichten volgens het schema dat je instelt.

10. Beperkingen die je moet kennen

We vertellen je dit liever dan dat je het zelf ontdekt.

• Sleutels worden vertrouwd de eerste keer dat ze worden gezien. Als iemand een sleutel had vervangen voordat je ooit een bericht had uitgewisseld, zou het gesprek versleuteld worden naar de verkeerde persoon en er volkomen normaal uitzien. De app waarschuwt je wanneer een sleutel achteraf verandert, en toont een veiligheidsnummer dat je buiten het kanaal om kunt vergelijken — maar niets dwingt je om het te vergelijken.
• Eén apparaat tegelijk. Je herstelzin herstelt de sleutel die je geschiedenis opent, dus inloggen op een nieuw apparaat verliest niet wat je al hebt ontvangen. Forward-secret gesprekken gebruiken een tweede sleutel die het apparaat dat hem heeft aangemaakt nooit verlaat: welk apparaat het laatst is ingelogd, is het apparaat dat ze bereiken, en alles wat ondertussen aan het andere is verzegeld, kan er niet naartoe worden verplaatst.
• Berichten die zijn verzonden voordat encryptie bestond, blijven zoals ze waren. Niets is met terugwerkende kracht geconverteerd.
• Deze app is niet onafhankelijk beveiligingsgeaudit.

11. Kinderen

Chatterbox is niet bedoeld voor kinderen onder de 13 jaar, en we verzamelen niet bewust hun informatie. Als je gelooft dat een kind ons persoonlijke informatie heeft gegeven, neem dan contact met ons op en we zullen het verwijderen.

12. Wijzigingen

We kunnen dit beleid bijwerken. Significante wijzigingen worden in de app aangekondigd, en de datum bovenaan is wanneer het voor het laatst is veranderd.

13. Contact

Vragen over dit beleid: [email protected]

14. Controleren op een nieuwere app-versie

Google Play is niet de manier waarop deze app op je Android-telefoon terechtkomt. Hij wordt in plaats daarvan gedownload van chatterbox.fans, en een store die niet in dat proces zit, kan geen updates namens jou controleren — dus deze app kan dat zelf, als je erom vraagt.

Tikken op "Nu controleren" stuurt één verzoek naar chatterbox.fans om te vragen welke versie actueel is. Dat verzoek bevat alleen je IP-adres en verder niets — geen account, geen apparaat-ID, geen bericht. Wat terugkomt is een versienummer, dat op je telefoon wordt vergeleken met de versie die je gebruikt; er wordt niets automatisch gedownload, en er wordt niets over deze controle in het gesprek geschreven.

Hier zit geen schakelaar op omdat er niets is om uit te zetten: het draait alleen bij het tikken en niet anders.

Als je de update installeert, vervangt die de app ter plekke met dezelfde ondertekeningssleutel, op dezelfde manier als een update van Google Play zou doen.