Integritetspolicy

0. I korthet

Texten i dina meddelanden krypteras på din enhet och kan bara läsas av personerna du skickar den till. Vi kan inte läsa den, och det kan inte heller Google, vars servrar vi hyr.

Det vi kan se är att en konversation ägde rum: vilka konton som är inblandade, och när de var aktiva. Att ta bort det är svårare än att kryptera innehållet, och vi är inte klara än. Denna policy säger exakt var gränsen ligger just nu.

1. Vad som är totalsträckskrypterat

Krypterat på din enhet, oläsligt för oss och Google:

• Texten i dina meddelanden.
• Innehållet i filer, foton, ljud och video du bifogar.
• Länkförhandsvisningar.
• Röst- och videosamtal, som använder WebRTC:s obligatoriska DTLS-SRTP mellan de två enheterna.

De flesta en-till-en- och gruppmeddelanden använder dessutom en ratchet, vilket innebär att varje meddelande har sin egen nyckel, så att komprometterande av din enhet inte exponerar tidigare meddelanden. Konversationer där någons klient inte har publicerat det nyare nyckelmaterialet faller tillbaka på en enda långlivad nyckel, som inte har den egenskapen. Etiketten under ett meddelande talar om vilken det faktiskt fick.

En sak korsar denna gräns, och bara när du ber om det: att slå upp ett namn på Wikipedia skickar bara det namnet, inte meddelandet det kom från. Avsnitt 6 säger vem som tar emot det, och uppslagningen körs vid tryckningen och inte annars, så det finns inget att stänga av. Att sammanfatta, översätta och transkribera skulle också korsa detta — de är avstängda i denna version, utan någon kontroll någonstans i appen som slår på dem.

2. Vad som inte är krypterat, och vad vi kan se

Kryptering skyddar innehåll, inte faktumet att en konversation ägde rum. Dessa ligger öppet på våra servrar:

• Vem som är med i varje konversation, och när den skapades och senast var aktiv.
• Tidsstämpeln för varje meddelande, och hur många du inte har läst.
• En bilagas filnamn, typ och storlek. Bytena är krypterade; beskrivningen av dem är det inte, och längden på chiffertexten begränsar längden på originalet.
• Dina vänner och vänförfrågningar.
• Samtalssignalering — att ett samtal ringdes, till vem, och när. Inte dess ljud eller video.

Skrivindikatorer och läskvitton är avstängda om du inte slår på dem, och medan de är avstängda skrivs ingenting.

Vad som inte längre finns här: din e-postadress och ditt namn. Sedan september 2026 innehåller kontoposten endast en kontoidentifierare — och sedan dess finns det ingen adress att hålla någonstans. Registrering frågar ingenting om dig: ditt konto är en återställningsfras på 24 ord, och autentiseringsuppgiften som Firebase Authentication kontrollerar är härledd från den. Vad den lagrar är en slumpmässig etikett under en domän som inte kan ta emot post.

Separat: eftersom appen körs på Google Firebase kan Google se IP-adressen och tidpunkten för varje anslutning din enhet gör till den. Det är en egenskap hos hostingen, inte appen, och vi kan inte kryptera bort det.

3. Hur folk hittar dig

De kan inte söka efter dig. Det finns ingen katalog — ingen sökning på e-post, telefonnummer eller namn — och servern avvisar alla förfrågningar som försöker det.

Du når någon genom att skicka dem en inbjudningslänk utanför kanalen, via vad du redan använder. En länk fungerar en gång, upphör efter 24 timmar, och kan återkallas. Vad du än kallar någon är din egen etikett för dem, sparad för dig; om de presenterade sig själva, nådde det namnet dig krypterat.

4. Vad vi samlar in

• Kontodata: en kontoidentifierare, och en autentiseringsuppgift härledd från din återställningsfras, som hålls i Firebase Authentication. Ingen e-postadress, inget telefonnummer, inget namn — registrering frågar efter inget av detta.
• Meddelande- och bilagechiffertext, plus metadata i avsnitt 2.

Det är hela listan. Det finns ingen analys och ingen kraschrapportering. Appen brukade skicka skärmvisningar till Firebase Analytics och kraschrapporter till Firebase Crashlytics, båda bärande din kontoidentifierare, så ingen av dem var anonym; båda är nu borta, tillsammans med biblioteken som skickade dem. Fel skrivs bara ut på en utvecklares egen maskin under utveckling och går ingen annanstans.

5. Var det lagras

På Google Firebase — Firestore, Storage och Authentication — under säkerhetsregler som avgör vem som får läsa och skriva varje dokument.

På din enhet är cachade meddelanden, inställningar och din app-låskod krypterade med en nyckel per enhet som hålls i plattformens nyckelringen (iOS Keychain, Android Keystore) snarare än i vanlig applagring.

Den privata nyckeln som dekrypterar dina meddelanden lämnar aldrig din enhet, förutom som återställningsfrasen du väljer att skriva ner. Vi håller den inte och kan inte återställa den åt dig. Förlorar du den kan meddelanden som skickats till den enheten inte läsas igen — av någon, inklusive oss.

Version 1.2.0 och tidigare sparade också en kopia av frasen i Google Block Store, Androids egen säkerhetskopia, varje gång du loggade in. Om telefonen hade ett skärmlås synkades kopian till ditt Google-konto, end-to-end-krypterad. Från version 1.2.1 gör appen inte längre det, och raderar den kopian varje gång den startar.

6. Vem mer tar emot data

Vi säljer, byter eller hyr inte ut din personliga information. Data når:

• Google Firebase — vår värdleverantör, som beskrivits ovan.
• Cloudflare Realtime — ljudet och videon i ett samtal, när din enhet och den andra personens enhet inte kan nå varandra direkt.
• Wikimedia Foundation — ett namn, när du trycker för att slå upp det på Wikipedia.
• Google Cloud Speech-to-Text — ljudet av ett röstmeddelande, när du ber om en transkription.
• Google Cloud Translation — texten i ett meddelande, när du ber om en översättning.
• Cloudflare Workers AI — upp till de senaste 50 meddelandena i en konversation, när du ber om en sammanfattning eller ställer en fråga om den.

De sista tre är avstängda i denna version. Det finns ingen kontroll någonstans i appen som slår på transkribering, översättning eller sammanfattningar, så inget når dessa tre tjänster. De listas snarare än raderas eftersom koden fortfarande finns här och funktionerna är avsedda att återkomma — och när de gör det, återkommer de med detta avslöjande och en uppmaning före första användning. Vad som då skulle skickas skickas för att producera ditt resultat, inte för att träna något; varken en transkription eller översättning lagras på våra servrar.

Wikipedia-uppslagningen har ingen brytare eftersom det inte finns något att stänga av: den körs vid tryckningen och inte annars. Wikipedia tar emot det ena namnet och din IP-adress, precis som om du hade skrivit in det i deras sökruta — inget konto, inget meddelande, ingen konversation. Det som kommer tillbaka visas och sparas inte, och inget om det skrivs in i konversationen.

Cloudflare Realtime har inte heller någon brytare. De flesta samtal behöver det inte: två enheter som kan nå varandra direkt — de flesta samtal på samma nätverk — ansluter utan det, och inget reläas. När de inte kan — vanligtvis för att ni befinner er på olika mobilnät — reläas det redan krypterade samtalet i stället för att lämnas utan anslutning. Det Cloudflare ser är båda IP-adresserna, samtalets tidpunkt och ungefär hur mycket data som flyttades; ljud och video förblir under samma DTLS-SRTP-kryptering som beskrivs i avsnitt 2, så reläning dekrypterar dem inte.

Vi kan avslöja vad vi håller om lagen kräver det. Vad vi håller är listan i avsnitt 2. Vi kan inte lämna ut meddelandeinnehåll, eftersom vi inte kan läsa det.

7. Push-aviseringar

Firebase Cloud Messaging levererar aviseringar. Din enhets token lagras i en privat del av ditt konto som bara du kan läsa.

Aviseringar bär ingen meddelandetext. Din enhet dekrypterar meddelandet lokalt och komponerar det du ser; Google levererar kuvertet, inte innehållet.

8. Vad du kan göra

• Radera ditt konto från profilskärmen. Innehåll som är en gemensam del av en konversation — en samtalspost, till exempel — stannar hos den andra deltagaren, eftersom det också är deras post.
• Exportera dina data från profilskärmen.
• Ställ in meddelanden att förfalla per chatt: 1 timme, 24 timmar, 7 dagar eller 30 dagar.
• Slå på eller av skrivindikatorer och läskvitton. Båda är avstängda som standard.
• Lås appen med en pinkod eller biometri.
• Återkalla en inbjudningslänk du delat ut.

Om du hellre vill att vi raderar något för hand, skriv till oss.

9. Bevarande

Vi behåller dina data så länge ditt konto finns. Att radera kontot raderar dem, förutom det gemensamt hållna innehållet som noterats ovan. Per-chatt-förfall tar bort meddelanden enligt det schema du ställer in.

10. Begränsningar du bör känna till

Vi vill hellre berätta detta för dig än att du hittar dem själv.

• Nycklar litas på första gången de ses. Om någon hade ersatt en nyckel innan du någonsin utbytte ett meddelande, skulle konversationen krypteras till fel person och se helt normal ut. Appen varnar dig när en nyckel ändras efteråt, och visar ett säkerhetsnummer du kan jämföra utanför kanalen — men inget tvingar dig att jämföra det.
• En enhet i taget. Din återställningsfras återställer nyckeln som öppnar din historik, så att logga in på en ny enhet förlorar inte det du redan tagit emot. Forward secret-konversationer använder en andra nyckel som aldrig lämnar enheten som skapade den: vilken enhet som senast loggade in är den de når, och allt som förseglats till den andra under tiden kan inte flyttas dit.
• Meddelanden som skickats innan kryptering fanns förblir som de var. Inget konverterades retroaktivt.
• Denna app har inte oberoende säkerhetsgranskats.

11. Barn

Chatterbox är inte avsedd för barn under 13 år, och vi samlar inte medvetet in deras information. Om du tror att ett barn har gett oss personlig information, kontakta oss så tar vi bort den.

12. Ändringar

Vi kan uppdatera denna policy. Betydande ändringar kommer att tillkännages i appen, och datumet högst upp är när den senast ändrades.

13. Kontakt

Frågor om denna policy: [email protected]

14. Söka efter en nyare appversion

Google Play är inte det sätt som den här appen når din Android-telefon på. Den laddas i stället ner från chatterbox.fans, och en butik som inte är inblandad i processen kan inte söka efter uppdateringar åt dig — så den här appen kan göra det själv, om du ber den.

Att trycka på "Sök nu" skickar en enda förfrågan till chatterbox.fans och frågar vilken version som är aktuell. Den förfrågan bär bara med sig din IP-adress och inget annat — inget konto, ingen enhetsidentifierare, inget meddelande. Det som kommer tillbaka är ett versionsnummer, som jämförs på din telefon med versionen du kör; inget laddas ner automatiskt, och inget om denna sökning skrivs till konversationen.

Det här har ingen brytare eftersom det inte finns något att stänga av: det körs bara vid tryck och inte annars.

Om du installerar uppdateringen ersätter den appen på plats med samma signeringsnyckel, precis som en uppdatering från Google Play skulle göra.