Gizlilik Politikası

0. Kısaca

Mesajlarının metni cihazında şifrelenir ve yalnızca gönderdiğin kişiler okuyabilir. Biz okuyamayız; sunucularını kiraladığımız Google da okuyamaz.

Görebildiğimiz şey, bir konuşmanın gerçekleştiği: içinde hangi hesapların olduğu ve ne zaman etkin olduklarıdır. Bunu da ortadan kaldırmak, içeriği şifrelemekten daha zor ve henüz bitirmedik. Bu politika, sınırın şu anda tam olarak nerede olduğunu söylüyor.

1. Uçtan uca şifreli olanlar

Cihazında şifrelenir; ne biz ne de Google okuyabilir:

• Mesajlarının metni.
• Eklediğin dosyaların, fotoğrafların, seslerin ve videoların içeriği.
• Bağlantı önizlemeleri.
• Sesli ve görüntülü aramalar; iki cihaz arasında WebRTC'nin zorunlu kıldığı DTLS-SRTP kullanılır.

Birebir ve grup mesajlarının çoğu ayrıca bir cırcır mekanizması kullanır: her mesajın kendi anahtarı vardır, bu yüzden cihazının ele geçirilmesi önceki mesajları açığa çıkarmaz. Birinin istemcisinin daha yeni anahtar malzemesini yayımlamadığı konuşmalar, bu özelliği taşımayan tek bir uzun ömürlü anahtara geri düşer. Mesajın altındaki etiket, o mesajın gerçekte hangisini kullandığını söyler.

Bu çizgiyi tek bir şey aşar, o da yalnızca sen istediğinde: Vikipedi'de bir isim aramak o ismi gönderir, geldiği mesajı değil. Kimin aldığı 6. bölümde yazıyor; sorgu yalnızca dokunduğun anda yapılır, başka zaman değil, dolayısıyla kapatılacak bir şey yok. Özetleme, çeviri ve yazıya dökme de bu çizgiyi aşardı — bu sürümde kapalılar ve uygulamada onları açan hiçbir denetim yok.

2. Şifreli olmayanlar ve bizim görebildiklerimiz

Şifreleme içeriği korur, bir konuşmanın var olduğu gerçeğini değil. Şunlar sunucularımızda açık hâlde durur:

• Her konuşmada kimlerin bulunduğu, ne zaman oluşturulduğu ve en son ne zaman etkin olduğu.
• Her mesajın zaman damgası ve kaç tanesini okumadığın.
• Bir ekin dosya adı, türü ve boyutu. Baytlar şifrelidir; onların tarifi değildir ve şifreli metnin uzunluğu aslının uzunluğunu sınırlar.
• Arkadaşların ve arkadaşlık istekleri.
• Arama sinyalleşmesi — bir aramanın yapıldığı, kiminle ve ne zaman. Sesi ya da görüntüsü değil.

Yazıyor göstergesi ve okundu bilgisi sen açmadıkça kapalıdır ve kapalıyken hiçbir şey yazılmaz.

Artık burada olmayanlar: e-posta adresin ve adın. Eylül 2026'dan beri hesap kaydında yalnızca bir hesap tanımlayıcısı bulunur — ve o tarihten beri hiçbir yerde tutulacak bir adres yok. Kayıt sırasında sana dair hiçbir şey sorulmaz: hesabın 24 kelimelik bir kurtarma ifadesidir ve Firebase Authentication'ın doğruladığı kimlik bilgisi ondan türetilir. Orada tutulan şey, posta alamayan bir alan adı altındaki rastgele bir etikettir.

Ayrıca: uygulama Google Firebase üzerinde çalıştığı için Google, cihazının kurduğu her bağlantının IP adresini ve zamanını görebilir. Bu, uygulamanın değil barındırmanın bir özelliğidir ve şifreleyerek yok edemeyiz.

3. Seni nasıl buluyorlar

Seni arayamazlar. Bir rehber yok — e-posta, telefon ya da adla arama yok — ve sunucu bunu deneyen her sorguyu reddeder.

Birine ulaşmak için ona uygulama dışından, zaten kullandığın herhangi bir yolla bir davet bağlantısı gönderirsin. Bağlantı bir kez çalışır, 24 saat sonra sona erer ve geri çekilebilir. Birine ne dediğin senin kendi etiketindir ve sende kalır; kendini tanıttıysa, o ad sana şifreli olarak ulaşmıştır.

4. Neleri topluyoruz

• Hesap verisi: bir hesap tanımlayıcısı ve kurtarma ifadenden türetilen bir kimlik bilgisi, Firebase Authentication'da tutulur. E-posta adresi yok, telefon numarası yok, ad yok — kayıt bunların hiçbirini istemez.
• Mesajların ve eklerin şifreli hâli, ayrıca 2. bölümdeki üst veri.

Listenin tamamı bu. Ne kullanım analizi var ne de çökme raporu. Uygulama eskiden ekran görüntülemelerini Firebase Analytics'e, çökmeleri Firebase Crashlytics'e gönderiyordu; ikisi de hesap kimliğini taşıdığı için hiçbiri anonim değildi. İkisi de, onları gönderen kütüphanelerle birlikte kaldırıldı. Hatalar geliştirme sırasında geliştiricinin kendi makinesine yazılır ve başka hiçbir yere gitmez.

5. Nerede saklanıyor

Google Firebase'de — Firestore, Storage ve Authentication — her belgeyi kimin okuyup yazabileceğine karar veren güvenlik kurallarıyla.

Cihazında, önbellekteki mesajlar, ayarlar ve uygulama kilidi PIN'in, sıradan uygulama deposunda değil, platformun anahtar deposunda (iOS Keychain, Android Keystore) tutulan cihaza özel bir anahtarla şifrelenir.

Mesajlarını çözen özel anahtar cihazından hiç çıkmaz; tek istisna, yazmayı seçtiğin kurtarma ifadesidir. O anahtar bizde değildir ve senin için geri getiremeyiz. Kaybedersen, o cihaza gönderilen mesajlar bir daha okunamaz — biz dâhil hiç kimse tarafından.

1.2.0 ve önceki sürümler, her oturum açtığında ifadenin bir kopyasını Android'in kendi yedeği olan Google Block Store'a da kaydediyordu. Telefonunda ekran kilidi varsa bu kopya, uçtan uca şifreli olarak Google hesabınla eşitleniyordu. 1.2.1 sürümünden itibaren uygulama bunu artık yapmaz ve her açılışta bu kopyayı siler.

6. Veriyi başka kim alıyor

Kişisel bilgilerini satmayız, takas etmeyiz, kiralamayız. Veri şuralara ulaşır:

• Google Firebase — yukarıda anlatıldığı gibi barındırma sağlayıcımız.
• Cloudflare Realtime — cihazın ve karşındaki kişinin cihazı birbirine doğrudan ulaşamadığında, aramanın sesini ve görüntüsünü aktarır.
• Wikimedia Vakfı — Vikipedi'de aramak için dokunduğun tek bir ad.
• Google Cloud Speech-to-Text — bir yazıya dökme istediğinde, tek bir sesli mesajın ses kaydı.
• Google Cloud Translation — bir çeviri istediğinde, tek bir mesajın metni.
• Cloudflare Workers AI — bir özet istediğinde ya da bir konuşma hakkında soru sorduğunda, o konuşmanın son 50 mesajına kadarı.

Son üçü bu sürümde kapalı. Uygulamada yazıya dökmeyi, çeviriyi ya da özetleri açan hiçbir denetim yok, dolayısıyla bu üç hizmete hiçbir şey ulaşmıyor. Silinmek yerine burada duruyorlar çünkü kod hâlâ burada ve bu özelliklerin geri gelmesi planlanıyor — geri geldiklerinde bu açıklamayla ve ilk kullanımdan önce sorulan soruyla birlikte gelecekler. O zaman gönderilecek olan şey senin sonucunu üretmek içindir, bir şeyi eğitmek için değil; ne bir döküm ne de bir çeviri sunucularımızda saklanır.

Bu aramanın anahtarı yok, çünkü kapatılacak kalıcı bir şey yok: dokunduğun anda çalışır, başka zaman çalışmaz. Vikipedi o adı ve IP adresini alır; tıpkı arama kutusuna kendin yazmış olsaydın olacağı gibi — hesap yok, mesaj yok, konuşma yok. Dönen şey gösterilir, saklanmaz ve hiçbiri konuşmaya yazılmaz.

Cloudflare Realtime'ın da bir anahtarı yok. Aramaların çoğunun buna ihtiyacı yok: birbirine doğrudan ulaşabilen iki cihaz — aynı ağdaki çoğu arama — onsuz bağlanır ve hiçbir şey aktarılmaz. Bağlanamadıklarında, genellikle farklı mobil ağlarda olduğunuz için, zaten şifrelenmiş olan arama, bağlantısız kalmak yerine aktarılır. Cloudflare'ın gördüğü şey her iki IP adresi, aramanın zamanı ve yaklaşık ne kadar veri taşındığıdır; ses ve görüntü, 2. bölümde açıklanan aynı DTLS-SRTP şifrelemesi altında kalır, bu yüzden aktarma onları çözmez.

Yasa gerektirirse elimizdekileri açıklayabiliriz. Elimizdeki, 2. bölümdeki listedir. Mesaj içeriğini veremeyiz, çünkü onu okuyamıyoruz.

7. Anlık bildirimler

Bildirimleri Firebase Cloud Messaging iletir. Cihaz belirtecin, hesabının yalnızca senin okuyabildiğin özel bir bölümünde saklanır.

Bildirimler mesaj metni taşımaz. Mesajı yerel olarak cihazın çözer ve gördüğün şeyi o oluşturur; Google zarfı iletir, içindekini değil.

8. Neler yapabilirsin

• Profil ekranından hesabını sil. Bir konuşmanın ortak parçası olan içerik — örneğin bir arama kaydı — karşı tarafta kalır, çünkü o kayıt onun da kaydıdır.
• Profil ekranından verilerini dışa aktar.
• Mesajların sohbet başına süresini ayarla: 1 saat, 24 saat, 7 gün veya 30 gün.
• Yazıyor göstergesini ve okundu bilgisini aç ya da kapat. İkisi de varsayılan olarak kapalıdır.
• Uygulamayı PIN veya biyometriyle kilitle.
• Dağıttığın bir davet bağlantısını geri çek.

Bir şeyi elle silmemizi tercih edersen bize yaz.

9. Saklama

Hesabın var olduğu sürece verilerini saklarız. Hesabı silmek onları da siler; yukarıda belirtilen ortak içerik hariç. Sohbet başına süre, mesajları belirlediğin takvime göre kaldırır.

10. Bilmen gereken sınırlar

Bunları kendin keşfetmen yerine sana söylemeyi tercih ederiz.

• Anahtarlara ilk görüldüklerinde güvenilir. Biri, siz daha tek bir mesaj alışverişi yapmadan önce bir anahtarı değiştirmiş olsaydı, konuşma yanlış kişiye şifrelenir ve tamamen normal görünürdü. Uygulama, sonrasında bir anahtar değiştiğinde seni uyarır ve başka bir kanaldan karşılaştırabileceğin bir güvenlik numarası gösterir — ama karşılaştırman için seni zorlayan bir şey yoktur.
• Aynı anda tek cihaz. Kurtarma ifaden geçmişini açan anahtarı geri getirir, dolayısıyla yeni bir cihazda giriş yapmak zaten aldıklarını kaybettirmez. İleri gizlilikli konuşmalar, kendisini üreten cihazdan hiç ayrılmayan ikinci bir anahtar kullanır: bunlar en son giriş yapılan cihaza ulaşır ve bu arada diğerine mühürlenmiş olanlar taşınamaz.
• Şifreleme var olmadan önce gönderilen mesajlar olduğu gibi kalır. Geriye dönük hiçbir dönüştürme yapılmadı.
• Bu uygulama hiçbir zaman bağımsız bir güvenlik denetiminden geçmedi.

11. Çocuklar

Chatterbox 13 yaşından küçük çocuklar için tasarlanmamıştır ve bilerek onların bilgilerini toplamayız. Bir çocuğun bize kişisel bilgi verdiğini düşünüyorsan bizimle iletişime geç, sileriz.

12. Değişiklikler

Bu politikayı güncelleyebiliriz. Önemli değişiklikler uygulama içinde duyurulur ve yukarıdaki tarih, en son ne zaman değiştiğini gösterir.

13. İletişim

Bu politikayla ilgili sorular: [email protected]

14. Uygulamanın daha yeni bir sürümünü kontrol etme

Google Play, bu uygulamanın Android telefonuna ulaşma yolu değildir. Bunun yerine chatterbox.fans'tan indirilir ve sürece dahil olmayan bir mağaza senin adına güncellemeleri kontrol edemez — bu yüzden istersen uygulama bunu kendisi yapabilir.

"Şimdi kontrol et"e dokunmak chatterbox.fans'a hangi sürümün güncel olduğunu soran tek bir istek gönderir. Bu istek yalnızca IP adresini taşır, başka hiçbir şey taşımaz — hesap yok, cihaz kimliği yok, mesaj yok. Geri gelen şey bir sürüm numarasıdır, telefonunda kullandığın sürümle karşılaştırılır; hiçbir şey otomatik olarak indirilmez ve kontrolle ilgili hiçbir şey sohbete yazılmaz.

Bunun bir anahtarı yoktur, çünkü kapatılacak bir şey yoktur: yalnızca dokunulduğunda çalışır, başka türlü çalışmaz.

Güncellemeyi kurarsan, aynı imzalama anahtarını kullanarak uygulamayı yerinde değiştirir — tıpkı Google Play'den gelecek bir güncelleme gibi.