Polityka prywatności

0. W skrócie

Tekst Twoich wiadomości jest szyfrowany na Twoim urządzeniu i mogą go odczytać tylko osoby, do których go wysyłasz. My nie możemy go odczytać, podobnie jak Google, którego serwery wynajmujemy.

To, co możemy zobaczyć, to fakt, że rozmowa się odbyła: które konta w niej uczestniczą i kiedy były aktywne. Usunięcie tego jest trudniejsze niż zaszyfrowanie treści, i jeszcze tego nie skończyliśmy. Ta polityka mówi dokładnie, gdzie obecnie przebiega granica.

1. Co jest zaszyfrowane end-to-end

Zaszyfrowane na Twoim urządzeniu, nieczytelne dla nas i dla Google:

• Tekst Twoich wiadomości.
• Zawartość plików, zdjęć, audio i wideo, które załączasz.
• Podglądy linków.
• Połączenia głosowe i wideo, które korzystają z obowiązkowego DTLS-SRTP protokołu WebRTC między dwoma urządzeniami.

Większość wiadomości jeden na jeden i grupowych dodatkowo korzysta z mechanizmu ratchet, co oznacza, że każda wiadomość ma własny klucz, więc naruszenie Twojego urządzenia nie ujawnia wcześniejszych wiadomości. Rozmowy, w których klient kogoś jeszcze nie opublikował nowszego materiału kluczowego, wracają do jednego, długotrwałego klucza, który nie ma tej właściwości. Etykieta pod wiadomością mówi Ci, którą z nich faktycznie otrzymała.

Jedna rzecz przekracza tę granicę, i tylko wtedy, gdy o to poprosisz: wyszukanie nazwy w Wikipedii wysyła tylko tę jedną nazwę, a nie wiadomość, z której pochodzi. Sekcja 6 mówi, kto ją otrzymuje, a wyszukiwanie działa tylko po dotknięciu i w innym przypadku nie, więc nie ma czego wyłączać. Podsumowywanie, tłumaczenie i transkrypcja również przekroczyłyby tę granicę — są wyłączone w tej wersji i nie ma żadnej kontroli w aplikacji, która by je włączyła.

2. Co nie jest zaszyfrowane i co możemy zobaczyć

Szyfrowanie chroni treść, a nie sam fakt istnienia rozmowy. Poniższe znajdują się jawnie na naszych serwerach:

• Kto jest w każdej rozmowie oraz kiedy została utworzona i kiedy była ostatnio aktywna.
• Znacznik czasu każdej wiadomości i ile z nich nie przeczytałeś.
• Nazwa, typ i rozmiar pliku załącznika. Bajty są zaszyfrowane; ich opis nie, a długość szyfrogramu ogranicza również długość oryginału.
• Twoi znajomi i prośby o znajomość.
• Sygnalizacja połączenia — że połączenie zostało nawiązane, do kogo i kiedy. Nie jego dźwięk ani obraz.

Wskaźniki pisania i potwierdzenia odczytu są wyłączone, chyba że je włączysz, a dopóki są wyłączone, nic nie jest zapisywane.

Czego już tu nie ma: Twój adres e-mail i Twoje imię. Od września 2026 roku rekord konta zawiera tylko identyfikator konta — i od tego czasu nigdzie nie ma adresu do przechowywania. Rejestracja nie pyta o nic na Twój temat: Twoje konto to 24-wyrazowa fraza odzyskiwania, a poświadczenie, które sprawdza Firebase Authentication, jest z niej wyprowadzone. To, co przechowuje, to tylko losowa etykieta pod domeną, która nie może odbierać poczty.

Osobno: ponieważ aplikacja działa na Google Firebase, Google może zobaczyć adres IP i czas każdego połączenia, jakie Twoje urządzenie z nim nawiązuje. To cecha hostingu, a nie aplikacji, i nie możemy jej zaszyfrować.

3. Jak ludzie Cię znajdują

Nie mogą Cię wyszukać. Nie ma tu katalogu — brak wyszukiwania po e-mailu, numerze telefonu czy nazwie — a serwer odrzuca każde takie zapytanie.

Docierasz do kogoś, wysyłając link z zaproszeniem poza aplikacją, dowolnym kanałem, którego już używasz. Link działa raz, wygasa po 24 godzinach i można go wycofać. To, jak kogoś nazywasz, jest Twoją własną etykietą dla tej osoby, przechowywaną tylko u Ciebie; jeśli ta osoba się przedstawiła, to imię dotarło do Ciebie zaszyfrowane.

4. Co zbieramy

• Dane konta: identyfikator konta oraz poświadczenie wyprowadzone z Twojej frazy odzyskiwania, przechowywane w Firebase Authentication. Bez adresu e-mail, bez numeru telefonu, bez imienia — rejestracja nie pyta o żadne z nich.
• Szyfrogram wiadomości i załączników, plus metadane z sekcji 2.

To cała lista. Nie ma analityki ani raportowania awarii. Ta aplikacja wysyłała kiedyś widoki ekranu do Firebase Analytics i raporty o awariach do Firebase Crashlytics, oba niosące Twój identyfikator konta, więc żadne z nich nie było anonimowe; oba zniknęły, wraz z bibliotekami, które je wysyłały. Błędy są drukowane tylko na własnym komputerze programisty podczas rozwoju i nigdzie indziej nie trafiają.

5. Gdzie jest przechowywane

W Google Firebase — Firestore, Storage i Authentication — zgodnie z regułami bezpieczeństwa, które decydują, kto może odczytywać i zapisywać każdy dokument.

Na Twoim urządzeniu wiadomości w pamięci podręcznej, ustawienia i PIN blokady aplikacji są szyfrowane kluczem unikalnym dla urządzenia, przechowywanym w magazynie kluczy platformy (Keychain w iOS, Keystore w Androidzie), a nie w zwykłej pamięci aplikacji.

Klucz prywatny, który odszyfrowuje Twoje wiadomości, nigdy nie opuszcza Twojego urządzenia, z wyjątkiem frazy odzyskiwania, którą decydujesz się zapisać. My go nie przechowujemy i nie możemy go dla Ciebie odzyskać. Jeśli go zgubisz, wiadomości wysłane do tego urządzenia nie będą już mogły zostać odczytane — przez nikogo, łącznie z nami.

Wersje 1.2.0 i wcześniejsze przy każdym logowaniu zapisywały też kopię frazy w Google Block Store, kopii zapasowej samego Androida. Jeśli telefon miał blokadę ekranu, ta kopia była synchronizowana z Twoim kontem Google, zaszyfrowana end-to-end. Od wersji 1.2.1 aplikacja już tego nie robi i usuwa tę kopię przy każdym uruchomieniu.

6. Kto jeszcze otrzymuje dane

Nie sprzedajemy, nie wymieniamy ani nie wynajmujemy Twoich danych osobowych. Dane docierają do:

• Google Firebase — naszego dostawcy hostingu, jak opisano powyżej.
• Cloudflare Realtime — dźwięk i obraz rozmowy, gdy Twoje urządzenie i urządzenie drugiej osoby nie mogą połączyć się bezpośrednio.
• Fundacji Wikimedia — jedno imię, gdy dotkniesz go, aby wyszukać w Wikipedii.
• Google Cloud Speech-to-Text — dźwięk jednej wiadomości głosowej, gdy prosisz o transkrypcję.
• Google Cloud Translation — tekst jednej wiadomości, gdy prosisz o tłumaczenie.
• Cloudflare Workers AI — do 50 ostatnich wiadomości jednej rozmowy, gdy prosisz o podsumowanie lub zadajesz o nią pytanie.

Ostatnie trzy są wyłączone w tej wersji. Nie ma żadnej kontroli w żadnym miejscu aplikacji, która włączałaby transkrypcję, tłumaczenie czy podsumowania, więc nic nie dociera do tych trzech usług. Są wymienione, a nie usunięte, ponieważ kod nadal tu jest, a te funkcje mają wrócić — a kiedy wrócą, wrócą z tym ujawnieniem i z monitem przed pierwszym użyciem. To, co zostanie wtedy wysłane, jest wysyłane, aby wygenerować Twój wynik, a nie by cokolwiek trenować; ani transkrypcja, ani tłumaczenie nie są przechowywane na naszych serwerach.

Wyszukiwanie w Wikipedii nie ma przełącznika, ponieważ nie ma nic trwałego do wyłączenia: działa tylko po dotknięciu i w innym przypadku nie. Wikipedia otrzymuje tylko tę jedną nazwę i Twój adres IP, dokładnie tak, jakbyś sam wpisał ją w polu wyszukiwania — bez konta, bez wiadomości, bez rozmowy. To, co wraca, jest wyświetlane i nie zapisywane, i nic z tego nie jest zapisywane w rozmowie.

Cloudflare Realtime również nie ma przełącznika. Większość połączeń go nie potrzebuje: dwa urządzenia, które mogą połączyć się bezpośrednio — większość połączeń w tej samej sieci — łączą się bez niego, i nic nie jest przekazywane. Gdy nie mogą — zwykle dlatego, że oboje jesteście w różnych sieciach komórkowych — już zaszyfrowana rozmowa jest przekazywana zamiast pozostać bez połączenia. To, co widzi Cloudflare, to oba adresy IP, czas rozmowy i w przybliżeniu ilość przesłanych danych; dźwięk i obraz pozostają pod tym samym szyfrowaniem DTLS-SRTP opisanym w sekcji 2, więc przekazywanie ich nie odszyfrowuje.

Możemy ujawnić to, co przechowujemy, jeśli wymaga tego prawo. To, co przechowujemy, to lista z sekcji 2. Nie możemy udostępnić treści wiadomości, ponieważ nie możemy ich odczytać.

7. Powiadomienia push

Firebase Cloud Messaging dostarcza powiadomienia. Token Twojego urządzenia jest przechowywany w prywatnej części Twojego konta, którą tylko Ty możesz odczytać.

Powiadomienia nie niosą żadnego tekstu wiadomości. Twoje urządzenie odszyfrowuje wiadomość lokalnie i tworzy to, co widzisz; Google dostarcza kopertę, a nie treść.

8. Co możesz zrobić

• Usuń swoje konto z ekranu Profilu. Treść, która jest wspólną częścią rozmowy — na przykład zapis połączenia — pozostaje u drugiego uczestnika, ponieważ to również jego zapis.
• Wyeksportuj swoje dane z ekranu Profilu.
• Ustaw wygasanie wiadomości dla każdego czatu: 1 godzina, 24 godziny, 7 dni lub 30 dni.
• Włącz lub wyłącz wskaźniki pisania i potwierdzenia odczytu. Oba są domyślnie wyłączone.
• Zablokuj aplikację PIN-em lub biometrią.
• Wycofaj wydany przez siebie link z zaproszeniem.

Jeśli wolisz, abyśmy coś usunęli ręcznie, napisz do nas.

9. Przechowywanie danych

Przechowujemy Twoje dane tak długo, jak istnieje Twoje konto. Usunięcie konta je usuwa, z wyjątkiem wspólnie posiadanej treści wymienionej powyżej. Wygasanie dla każdego czatu usuwa wiadomości zgodnie z ustawionym przez Ciebie harmonogramem.

10. Ograniczenia, które powinieneś znać

Wolelibyśmy Ci o nich powiedzieć, niż żebyś sam je odkrył.

• Kluczom ufa się przy pierwszym ich zobaczeniu. Gdyby ktoś podmienił klucz, zanim kiedykolwiek wymieniliście wiadomość, rozmowa byłaby zaszyfrowana dla niewłaściwej osoby i wyglądałaby zupełnie normalnie. Aplikacja ostrzega Cię, gdy klucz zmienia się później, i pokazuje numer bezpieczeństwa, który możesz porównać poza aplikacją — ale nic nie zmusza Cię do jego porównania.
• Jedno urządzenie naraz. Twoja fraza odzyskiwania przywraca klucz, który otwiera Twoją historię, więc zalogowanie się na nowym urządzeniu nie traci tego, co już otrzymałeś. Rozmowy z poufnością z wyprzedzeniem korzystają z drugiego klucza, który nigdy nie opuszcza urządzenia, które go utworzyło: docierają do niego na tym urządzeniu, które zalogowało się ostatnio, a wszystko zapieczętowane w międzyczasie dla innego urządzenia nie może zostać tam przeniesione.
• Wiadomości wysłane, zanim istniało szyfrowanie, pozostają takie, jakie były. Nic nie zostało przekonwertowane wstecznie.
• Ta aplikacja nigdy nie przeszła niezależnego audytu bezpieczeństwa.

11. Dzieci

Chatterbox nie jest przeznaczony dla dzieci poniżej 13 roku życia, i świadomie nie zbieramy ich informacji. Jeśli uważasz, że dziecko przekazało nam dane osobowe, skontaktuj się z nami, a je usuniemy.

12. Zmiany

Możemy aktualizować tę politykę. Istotne zmiany zostaną ogłoszone w aplikacji, a data na górze to moment jej ostatniej zmiany.

13. Kontakt

Pytania dotyczące tej polityki: [email protected]

14. Sprawdzanie nowszej wersji aplikacji

Google Play nie jest sposobem, w jaki ta aplikacja trafia na Twój telefon z Androidem. Zamiast tego jest pobierana z chatterbox.fans, a sklep, który nie jest częścią tego procesu, nie może sprawdzać aktualizacji w Twoim imieniu — więc ta aplikacja może to zrobić sama, jeśli o to poprosisz.

Dotknięcie „Sprawdź teraz" wysyła jedno zapytanie do chatterbox.fans z pytaniem, jaka wersja jest aktualna. To zapytanie niesie tylko Twój adres IP i nic więcej — żadnego konta, żadnego identyfikatora urządzenia, żadnej wiadomości. To, co wraca, to numer wersji, porównywany na Twoim telefonie z wersją, której używasz; nic nie jest pobierane automatycznie, a nic z tego sprawdzenia nie jest zapisywane w rozmowie.

To nie ma przełącznika, bo nie ma czego wyłączać: działa tylko po dotknięciu i w żaden inny sposób.

Jeśli zainstalujesz aktualizację, zastąpi ona aplikację w tym samym miejscu, używając tego samego klucza podpisu — tak samo, jak zrobiłaby to aktualizacja z Google Play.