Політика конфіденційності

0. Коротко

Текст ваших повідомлень шифрується на вашому пристрої, і прочитати його можуть лише ті, кому ви його надсилаєте. Ми не можемо його прочитати, як і Google, чиї сервери ми орендуємо.

Що ми можемо бачити, так це те, що розмова відбулася: які облікові записи в ній беруть участь і коли вони були активні. Прибрати це складніше, ніж зашифрувати вміст, і ми ще не закінчили. Ця політика точно каже, де зараз проходить межа.

1. Що зашифровано наскрізно

Зашифровано на вашому пристрої, недоступне для читання нам і Google:

• Текст ваших повідомлень.
• Вміст файлів, фото, аудіо та відео, які ви додаєте.
• Попередній перегляд посилань.
• Голосові та відеодзвінки, які використовують обов'язковий DTLS-SRTP протоколу WebRTC між двома пристроями.

Більшість особистих і групових повідомлень додатково використовують механізм ratchet, тобто кожне повідомлення має власний ключ, тож компрометація вашого пристрою не розкриває попередні повідомлення. Розмови, у яких клієнт співрозмовника ще не опублікував новіший ключовий матеріал, повертаються до єдиного довготривалого ключа, який не має цієї властивості. Позначка під повідомленням каже вам, яке саме воно фактично отримало.

Лише одна річ перетинає цю межу, і лише тоді, коли ви самі про це просите: пошук імені у Вікіпедії надсилає лише це одне ім'я, а не повідомлення, з якого воно взяте. Розділ 6 каже, хто його отримує, а пошук виконується лише за дотиком і в іншому разі — ні, тож немає чого вимикати. Підсумовування, переклад і транскрипція також перетнули б цю межу — вони вимкнені в цій версії, і в застосунку немає жодного елемента керування, який би їх увімкнув.

2. Що не зашифровано і що ми можемо бачити

Шифрування захищає вміст, а не сам факт існування розмови. Наступне зберігається у відкритому вигляді на наших серверах:

• Хто перебуває в кожній розмові та коли її створено й коли вона востаннє була активна.
• Часова мітка кожного повідомлення та скільки з них ви не прочитали.
• Ім'я файлу, тип і розмір вкладення. Байти зашифровані; їхній опис — ні, а довжина шифротексту також обмежує довжину оригіналу.
• Ваші друзі та запити на дружбу.
• Сигналізація дзвінка — те, що дзвінок було здійснено, кому і коли. Не його аудіо чи відео.

Індикатори набору тексту й підтвердження прочитання вимкнені, доки ви їх не увімкнете, і поки вони вимкнені, нічого не записується.

Чого тут більше немає: вашої електронної пошти та вашого імені. З вересня 2026 року запис облікового запису містить лише ідентифікатор облікового запису — і відтоді ніде немає адреси для зберігання. Реєстрація не запитує про вас нічого: ваш обліковий запис — це 24-слівна фраза відновлення, а облікові дані, які перевіряє Firebase Authentication, походять із неї. Те, що вона зберігає, — це лише випадкова мітка під доменом, який не може отримувати пошту.

Окремо: оскільки застосунок працює на Google Firebase, Google може бачити IP-адресу та час кожного з'єднання, яке ваш пристрій із ним встановлює. Це властивість хостингу, а не застосунку, і ми не можемо зашифрувати це геть.

3. Як люди вас знаходять

Вони не можуть вас шукати. Тут немає каталогу — жодного пошуку за електронною поштою, номером телефону чи ім'ям — і сервер відхиляє будь-який такий запит.

Ви досягаєте когось, надсилаючи посилання-запрошення поза застосунком, будь-яким каналом, яким уже користуєтеся. Посилання працює один раз, закінчується через 24 години, і його можна відкликати. Те, як ви когось називаєте, — це ваша власна мітка для нього, збережена лише у вас; якщо він представився сам, це ім'я дійшло до вас зашифрованим.

4. Що ми збираємо

• Дані облікового запису: ідентифікатор облікового запису та облікові дані, отримані з вашої фрази відновлення, що зберігаються у Firebase Authentication. Жодної електронної пошти, жодного номера телефону, жодного імені — реєстрація не запитує жодного з них.
• Шифротекст повідомлень і вкладень, а також метадані з розділу 2.

Це весь список. Немає ні аналітики, ні звітів про збої. Цей застосунок раніше надсилав перегляди екранів до Firebase Analytics і звіти про збої до Firebase Crashlytics, обидва з вашим ідентифікатором облікового запису, тож жоден із них не був анонімним; тепер обидва зникли разом із бібліотеками, які їх надсилали. Помилки друкуються лише на власному комп'ютері розробника під час розробки й нікуди більше не потрапляють.

5. Де це зберігається

На Google Firebase — Firestore, Storage та Authentication — за правилами безпеки, які визначають, хто може читати й записувати кожен документ.

На вашому пристрої кешовані повідомлення, налаштування та PIN-код блокування застосунку зашифровані ключем, унікальним для пристрою, який зберігається в сховищі ключів платформи (Keychain на iOS, Keystore на Android), а не у звичайному сховищі застосунку.

Приватний ключ, який розшифровує ваші повідомлення, ніколи не залишає ваш пристрій, окрім як у вигляді фрази відновлення, яку ви вирішуєте записати. Ми його не зберігаємо і не можемо відновити для вас. Якщо ви його втратите, повідомлення, надіслані на той пристрій, більше не можна буде прочитати — нікому, включно з нами.

Версії 1.2.0 і раніші під час кожного входу також зберігали копію фрази в Google Block Store — системній резервній копії Android. Якщо на телефоні було блокування екрана, ця копія синхронізувалася з вашим обліковим записом Google з наскрізним шифруванням. Починаючи з версії 1.2.1 застосунок цього більше не робить і видаляє цю копію під час кожного запуску.

6. Хто ще отримує дані

Ми не продаємо, не обмінюємо й не здаємо в оренду вашу особисту інформацію. Дані потрапляють до:

• Google Firebase — нашого постачальника хостингу, як описано вище.
• Cloudflare Realtime — аудіо та відео дзвінка, коли ваш пристрій і пристрій співрозмовника не можуть з'єднатися напряму.
• Фонду Вікімедіа — одне ім'я, коли ви торкаєтеся його, щоб знайти у Вікіпедії.
• Google Cloud Speech-to-Text — аудіо одного голосового повідомлення, коли ви просите транскрипцію.
• Google Cloud Translation — текст одного повідомлення, коли ви просите переклад.
• Cloudflare Workers AI — до 50 останніх повідомлень однієї розмови, коли ви просите підсумок або ставите про неї запитання.

Останні три вимкнені в цій версії. У жодному місці застосунку немає елемента керування, який би вмикав транскрипцію, переклад чи підсумки, тож нічого не потрапляє до цих трьох служб. Вони перелічені, а не видалені, тому що код усе ще тут, а ці функції мають повернутися — і коли вони повернуться, вони повернуться з цим розкриттям інформації та підказкою перед першим використанням. Те, що буде надіслано тоді, надсилається, щоб створити ваш результат, а не щоб щось навчати; ані транскрипція, ані переклад не зберігаються на наших серверах.

У пошуку Вікіпедії немає перемикача, тому що немає нічого постійного, щоб вимкнути: він виконується лише за дотиком і в іншому разі — ні. Вікіпедія отримує лише те одне ім'я та вашу IP-адресу, точно так, ніби ви самі ввели його в поле пошуку — без облікового запису, без повідомлення, без розмови. Те, що повертається, лише показується й не зберігається, і нічого з цього не записується в розмову.

У Cloudflare Realtime також немає перемикача. Більшості дзвінків він не потрібен: два пристрої, які можуть з'єднатися напряму — більшість дзвінків в одній мережі — з'єднуються без нього, і нічого не ретранслюється. Коли це неможливо — зазвичай тому, що ви перебуваєте в різних мобільних мережах — уже зашифрований дзвінок ретранслюється, а не залишається без з'єднання. Cloudflare бачить обидві IP-адреси, час дзвінка та приблизний обсяг переданих даних; аудіо та відео залишаються під тим самим шифруванням DTLS-SRTP, описаним у розділі 2, тож ретрансляція їх не розшифровує.

Ми можемо розкрити те, що ми зберігаємо, якщо цього вимагає закон. Те, що ми зберігаємо, — це список із розділу 2. Ми не можемо надати вміст повідомлень, тому що ми не можемо їх прочитати.

7. Push-сповіщення

Firebase Cloud Messaging доставляє сповіщення. Токен вашого пристрою зберігається в приватній частині вашого облікового запису, яку можете прочитати лише ви.

Сповіщення не містять жодного тексту повідомлення. Ваш пристрій розшифровує повідомлення локально й складає те, що ви бачите; Google доставляє конверт, а не вміст.

8. Що ви можете зробити

• Видалити свій обліковий запис з екрана Профілю. Вміст, який є спільною частиною розмови — наприклад, запис дзвінка — залишається в іншого учасника, оскільки це також і його запис.
• Експортувати свої дані з екрана Профілю.
• Встановити термін дії повідомлень для кожного чату: 1 годину, 24 години, 7 днів або 30 днів.
• Увімкнути або вимкнути індикатори набору тексту й підтвердження прочитання. Обидва вимкнені за замовчуванням.
• Заблокувати застосунок PIN-кодом або біометрією.
• Відкликати видане вами посилання-запрошення.

Якщо ви хочете, щоб ми видалили щось вручну, напишіть нам.

9. Зберігання даних

Ми зберігаємо ваші дані, поки існує ваш обліковий запис. Видалення облікового запису видаляє їх, окрім спільно збереженого вмісту, зазначеного вище. Термін дії для кожного чату видаляє повідомлення за встановленим вами графіком.

10. Обмеження, про які варто знати

Ми б краще розповіли вам про них, ніж дозволили вам їх виявити самостійно.

• Ключам довіряють, коли їх бачать вперше. Якби хтось підмінив ключ до того, як ви коли-небудь обмінялися повідомленням, розмова була б зашифрована не для тієї людини і виглядала б цілком нормально. Застосунок попереджає вас, коли ключ пізніше змінюється, і показує номер безпеки, який можна порівняти поза застосунком — але ніщо не змушує вас його порівнювати.
• Один пристрій за раз. Ваша фраза відновлення повертає ключ, який відкриває вашу історію, тож вхід на новому пристрої не втрачає те, що ви вже отримали. Розмови з випереджувальною таємністю використовують другий ключ, який ніколи не залишає пристрій, що його створив: до нього доходить той пристрій, який увійшов останнім, а все, що тим часом запечатане для іншого пристрою, не може бути туди перенесено.
• Повідомлення, надіслані до появи шифрування, залишаються такими, якими були. Нічого не було перетворено заднім числом.
• Цей застосунок ніколи не проходив незалежного аудиту безпеки.

11. Діти

Chatterbox не призначений для дітей віком до 13 років, і ми свідомо не збираємо їхню інформацію. Якщо ви вважаєте, що дитина надала нам особисту інформацію, зв'яжіться з нами, і ми її видалимо.

12. Зміни

Ми можемо оновлювати цю політику. Про суттєві зміни буде оголошено в застосунку, а дата вгорі — це коли вона востаннє змінювалася.

13. Контакти

Питання щодо цієї політики: [email protected]

14. Перевірка новішої версії застосунку

Google Play — це не той спосіб, яким цей застосунок потрапляє на ваш телефон Android. Натомість він завантажується з chatterbox.fans, а магазин, який не бере участі в цьому процесі, не може перевіряти оновлення від вашого імені — тож це може робити сам застосунок, якщо ви попросите.

Натискання «Перевірити зараз» надсилає один запит до chatterbox.fans із запитанням, яка версія є актуальною. Цей запит містить лише вашу IP-адресу і більше нічого — жодного облікового запису, жодного ідентифікатора пристрою, жодного повідомлення. У відповідь приходить номер версії, який порівнюється на вашому телефоні з версією, яку ви використовуєте; нічого не завантажується автоматично, і нічого про цю перевірку не записується в розмову.

У цього немає перемикача, бо нічого вимикати: це виконується лише при натисканні і ніяк інакше.

Якщо ви встановите оновлення, воно замінить застосунок на місці, використовуючи той самий ключ підпису — так само, як це зробило б оновлення з Google Play.