Personvernerklæring

0. Kort sagt

Teksten i meldingene dine krypteres på enheten din og kan bare leses av personene du sender den til. Vi kan ikke lese den, og det kan heller ikke Google, som vi leier servere fra.

Det vi kan se, er at en samtale fant sted: hvilke kontoer som er involvert, og når de var aktive. Å fjerne det er vanskeligere enn å kryptere innholdet, og vi er ikke ferdige ennå. Denne policyen sier nøyaktig hvor grensen ligger akkurat nå.

1. Hva som er ende-til-ende-kryptert

Kryptert på enheten din, ikke lesbart for oss og Google:

• Teksten i meldingene dine.
• Innholdet i filer, bilder, lyd og video du legger ved.
• Lenkeforhåndsvisninger.
• Tale- og videosamtaler, som bruker WebRTCs obligatoriske DTLS-SRTP mellom de to enhetene.

De fleste en-til-en- og gruppemeldinger bruker i tillegg en ratchet, som betyr at hver melding har sin egen nøkkel, slik at kompromittering av enheten din ikke avslører tidligere meldinger. Samtaler der noens klient ikke har publisert det nyere nøkkelmaterialet, faller tilbake til en enkelt langlivet nøkkel, som ikke har den egenskapen. Etiketten under en melding forteller deg hvilken den faktisk fikk.

Én ting krysser denne grensen, og bare når du ber om det: å slå opp et navn på Wikipedia sender bare det ene navnet, ikke meldingen det kom fra. Del 6 sier hvem som mottar det, og oppslaget kjører bare ved trykk og ikke ellers, så det er ingenting å slå av. Å oppsummere, oversette og transkribere ville også krysse dette — de er slått av i denne utgivelsen, uten noen kontroll noe sted i appen som slår dem på.

2. Hva som ikke er kryptert, og hva vi kan se

Kryptering beskytter innhold, ikke det faktum at en samtale fant sted. Disse ligger åpent på våre servere:

• Hvem som er i hver samtale, og når den ble opprettet og sist var aktiv.
• Tidsstempelet for hver melding, og hvor mange du ikke har lest.
• Filnavn, type og størrelse på et vedlegg. Bytene er kryptert; beskrivelsen av dem er det ikke, og lengden på chifferteksten begrenser lengden på originalen.
• Vennene dine og venneforespørsler.
• Samtalesignalering — at en samtale ble ringt, til hvem, og når. Ikke lyden eller videoen.

Skriveindikatorer og lesekvitteringer er slått av med mindre du slår dem på, og mens de er slått av skrives ingenting.

Hva som ikke lenger er her: e-postadressen og navnet ditt. Siden september 2026 inneholder kontoposten bare en kontoidentifikator — og siden da har det ikke vært noen adresse å oppbevare noe sted. Registrering spør ikke om noe om deg: kontoen din er en gjenopprettingsfrase på 24 ord, og legitimasjonen som Firebase Authentication sjekker, er utledet fra den. Det den lagrer, er en tilfeldig etikett under et domene som ikke kan motta post.

Separat: fordi appen kjører på Google Firebase, kan Google se IP-adressen og tidspunktet for hver tilkobling enheten din gjør til den. Det er en egenskap ved hostingen, ikke appen, og vi kan ikke kryptere det bort.

3. Hvordan folk finner deg

De kan ikke søke etter deg. Det finnes ingen katalog — ingen søk på e-post, telefonnummer eller navn — og serveren avviser enhver forespørsel som prøver dette.

Du når noen ved å sende dem en invitasjonslenke utenfor kanalen, via noe du allerede bruker. En lenke fungerer én gang, utløper etter 24 timer, og kan tilbakekalles. Hva du enn kaller noen, er din egen etikett for dem, lagret for deg; hvis de presenterte seg selv, nådde det navnet deg kryptert.

4. Hva vi samler inn

• Kontodata: en kontoidentifikator, og en legitimasjon utledet fra gjenopprettingsfrasen din, holdt i Firebase Authentication. Ingen e-postadresse, ingen telefonnummer, ingen navn — registrering spør om ingen av disse.
• Melding- og vedleggschiffertekst, pluss metadataene i del 2.

Det er hele listen. Det finnes ingen analyse og ingen krasjrapportering. Appen pleide å sende skjermvisninger til Firebase Analytics og krasjrapporter til Firebase Crashlytics, begge med kontoidentifikatoren din, så ingen av dem var anonym; begge er nå borte, sammen med bibliotekene som sendte dem. Feil skrives bare ut på en utviklers egen maskin under utvikling og går ingen andre steder.

5. Hvor det lagres

På Google Firebase — Firestore, Storage og Authentication — under sikkerhetsregler som avgjør hvem som kan lese og skrive hvert dokument.

På enheten din er bufrede meldinger, innstillinger og app-lås-PIN-koden din kryptert med en per-enhet-nøkkel som holdes i plattformens nøkkellager (iOS Keychain, Android Keystore) i stedet for i vanlig applagring.

Den private nøkkelen som dekrypterer meldingene dine, forlater aldri enheten din, bortsett fra som gjenopprettingsfrasen du velger å skrive ned. Vi holder den ikke og kan ikke gjenopprette den for deg. Mister du den, kan meldinger sendt til den enheten ikke leses igjen — av noen, oss inkludert.

Versjon 1.2.0 og tidligere lagret også en kopi av frasen i Google Block Store, Androids egen sikkerhetskopi, hver gang du logget inn. Hvis telefonen hadde skjermlås, ble kopien synkronisert til Google-kontoen din, ende-til-ende-kryptert. Fra versjon 1.2.1 gjør appen ikke dette lenger, og den sletter kopien hver gang den starter.

6. Hvem andre mottar data

Vi selger, bytter eller leier ikke ut din personlige informasjon. Data når:

• Google Firebase — vår hostingleverandør, som beskrevet ovenfor.
• Cloudflare Realtime — lyden og videoen i en samtale, når enheten din og den andre personens enhet ikke kan nå hverandre direkte.
• Wikimedia Foundation — ett navn, når du trykker for å slå det opp på Wikipedia.
• Google Cloud Speech-to-Text — lyden av én talemelding, når du ber om en transkripsjon.
• Google Cloud Translation — teksten i én melding, når du ber om en oversettelse.
• Cloudflare Workers AI — opptil de siste 50 meldingene i én samtale, når du ber om et sammendrag eller stiller et spørsmål om det.

De siste tre er slått av i denne utgivelsen. Det finnes ingen kontroll noe sted i appen som slår på transkripsjon, oversettelse eller sammendrag, så ingenting når disse tre tjenestene. De er listet opp i stedet for slettet fordi koden fortsatt er her og funksjonene er ment å komme tilbake — og når de gjør det, kommer de tilbake med denne opplysningen og en melding før første bruk. Det som da ville bli sendt, sendes for å produsere resultatet ditt, ikke for å trene noe; verken en transkripsjon eller oversettelse lagres på våre servere.

Wikipedia-oppslaget har ingen bryter fordi det ikke finnes noe å slå av: det kjører bare ved trykk og ikke ellers. Wikipedia mottar det ene navnet og IP-adressen din, akkurat som om du hadde skrevet det selv i søkeboksen deres — ingen konto, ingen melding, ingen samtale. Det som kommer tilbake vises og lagres ikke, og ingenting om det skrives inn i samtalen.

Cloudflare Realtime har heller ingen bryter. De fleste samtaler trenger det ikke: to enheter som kan nå hverandre direkte — de fleste samtaler på samme nettverk — kobler til uten det, og ingenting videresendes. Når de ikke kan — vanligvis fordi dere begge er på forskjellige mobilnett — blir den allerede krypterte samtalen videresendt i stedet for å bli stående uten forbindelse. Det Cloudflare ser er begge IP-adressene, tidspunktet for samtalen, og omtrent hvor mye data som ble flyttet; lyd og video forblir under den samme DTLS-SRTP-krypteringen som beskrevet i avsnitt 2, så videresending dekrypterer dem ikke.

Vi kan avsløre hva vi oppbevarer hvis loven krever det. Hva vi oppbevarer er listen i del 2. Vi kan ikke fremskaffe meldingsinnhold, fordi vi ikke kan lese det.

7. Push-varsler

Firebase Cloud Messaging leverer varsler. Enhetstokenet ditt lagres i en privat del av kontoen din som bare du kan lese.

Varsler bærer ingen meldingstekst. Enheten din dekrypterer meldingen lokalt og setter sammen det du ser; Google leverer konvolutten, ikke innholdet.

8. Hva du kan gjøre

• Slett kontoen din fra profilskjermen. Innhold som er en felles del av en samtale — en samtaleregistrering, for eksempel — blir hos den andre deltakeren, fordi det også er deres registrering.
• Eksporter dataene dine fra profilskjermen.
• Sett meldinger til å utløpe per samtale: 1 time, 24 timer, 7 dager eller 30 dager.
• Slå skriveindikatorer og lesekvitteringer på eller av. Begge er slått av som standard.
• Lås appen med en PIN-kode eller biometri.
• Tilbakekall en invitasjonslenke du har delt ut.

Hvis du heller vil at vi sletter noe manuelt, skriv til oss.

9. Oppbevaring

Vi beholder dataene dine så lenge kontoen din eksisterer. Å slette kontoen sletter dem, bortsett fra det felles innholdet nevnt ovenfor. Per-samtale-utløp fjerner meldinger etter tidsplanen du angir.

10. Begrensninger du bør kjenne til

Vi vil heller fortelle deg dette enn at du oppdager det selv.

• Nøkler stoles på første gang de sees. Hvis noen hadde erstattet en nøkkel før du noensinne utvekslet en melding, ville samtalen bli kryptert til feil person og se helt normal ut. Appen advarer deg når en nøkkel endrer seg etterpå, og viser et sikkerhetsnummer du kan sammenligne utenfor kanalen — men ingenting tvinger deg til å sammenligne det.
• Én enhet om gangen. Gjenopprettingsfrasen din gjenoppretter nøkkelen som åpner historikken din, så innlogging på en ny enhet mister ikke det du allerede har mottatt. Forward secret-samtaler bruker en andre nøkkel som aldri forlater enheten som opprettet den: hvilken enhet som sist logget inn, er den de når, og alt som er forseglet til den andre i mellomtiden, kan ikke flyttes dit.
• Meldinger sendt før kryptering fantes, forblir som de var. Ingenting ble konvertert retroaktivt.
• Denne appen er ikke uavhengig sikkerhetsrevidert.

11. Barn

Chatterbox er ikke ment for barn under 13 år, og vi samler ikke bevisst inn informasjonen deres. Hvis du tror at et barn har gitt oss personlig informasjon, kontakt oss, så sletter vi den.

12. Endringer

Vi kan oppdatere denne policyen. Betydelige endringer vil bli kunngjort i appen, og datoen øverst er når den sist ble endret.

13. Kontakt

Spørsmål om denne policyen: [email protected]

14. Se etter en nyere appversjon

Google Play er ikke måten denne appen når Android-telefonen din på. Den lastes i stedet ned fra chatterbox.fans, og en butikk som ikke er en del av den prosessen, kan ikke se etter oppdateringer på dine vegne — så denne appen kan gjøre det selv, hvis du ber den om det.

Å trykke på "Sjekk nå" sender én forespørsel til chatterbox.fans om hvilken versjon som er aktuell. Den forespørselen inneholder bare IP-adressen din og ingenting annet — ingen konto, ingen enhets-ID, ingen melding. Det som kommer tilbake er et versjonsnummer, som sammenlignes på telefonen din med versjonen du kjører; ingenting lastes ned automatisk, og ingenting om denne sjekken skrives inn i samtalen.

Dette har ingen bryter fordi det ikke er noe å slå av: det kjører bare ved trykk og ikke ellers.

Hvis du installerer oppdateringen, erstatter den appen på stedet med samme signeringsnøkkel, akkurat slik en oppdatering fra Google Play ville gjort.