پرائیویسی پالیسی

0. مختصراً

آپ کے پیغامات کا متن آپ کی ڈیوائس پر خفیہ کیا جاتا ہے اور صرف وہی لوگ اسے پڑھ سکتے ہیں جنہیں آپ بھیجتے ہیں۔ نہ ہم اسے پڑھ سکتے ہیں، اور نہ Google، جس کے سرور ہم کرائے پر لیتے ہیں۔

جو ہم دیکھ سکتے ہیں وہ یہ ہے کہ ایک گفتگو ہوئی: اس میں کون سے اکاؤنٹس شامل ہیں، اور وہ کب فعال تھے۔ اسے ہٹانا مواد کو خفیہ کرنے سے زیادہ مشکل ہے، اور ہم نے ابھی یہ کام مکمل نہیں کیا۔ یہ پالیسی بالکل بتاتی ہے کہ فی الحال حد کہاں کھینچی گئی ہے۔

1. کیا چیز اینڈ ٹو اینڈ خفیہ کردہ ہے

آپ کی ڈیوائس پر خفیہ کردہ، ہمارے اور Google کے لیے ناقابل مطالعہ:

• آپ کے پیغامات کا متن۔
• آپ کے منسلک کردہ فائلوں، تصاویر، آڈیو اور ویڈیو کا مواد۔
• لنک پیش نظارے۔
• صوتی اور ویڈیو کالز، جو دونوں ڈیوائسز کے درمیان WebRTC کے لازمی DTLS-SRTP کا استعمال کرتی ہیں۔

زیادہ تر ون ٹو ون اور گروپ پیغامات مزید ایک ریچٹ (ratchet) استعمال کرتے ہیں، یعنی ہر پیغام کی اپنی کنجی ہوتی ہے، اس لیے آپ کی ڈیوائس سے سمجھوتہ پہلے کے پیغامات کو ظاہر نہیں کرتا۔ وہ گفتگوئیں جہاں کسی کے کلائنٹ نے ابھی نئی کنجی کا مواد شائع نہیں کیا، ایک واحد دیرپا کنجی پر واپس چلی جاتی ہیں، جس میں یہ خاصیت نہیں ہے۔ پیغام کے نیچے کا لیبل آپ کو بتاتا ہے کہ اسے دراصل کون سی کنجی ملی۔

صرف ایک چیز اس حد کو عبور کرتی ہے، اور صرف تب جب آپ خود کہیں: ویکیپیڈیا پر کسی نام کو تلاش کرنا صرف وہی ایک نام بھیجتا ہے، وہ پیغام نہیں جہاں سے یہ آیا۔ سیکشن 6 بتاتا ہے کہ اسے کون وصول کرتا ہے، اور تلاش صرف تھپتھپاہٹ پر چلتی ہے ورنہ نہیں، اس لیے بند کرنے کے لیے کچھ نہیں ہے۔ خلاصہ کرنا، ترجمہ کرنا اور متن میں تبدیل کرنا بھی اس حد کو عبور کریں گے — وہ اس ریلیز میں بند ہیں، اور ایپ میں کہیں بھی کوئی کنٹرول نہیں جو انہیں آن کرے۔

2. کیا چیز خفیہ کردہ نہیں ہے، اور ہم کیا دیکھ سکتے ہیں

خفیہ کاری مواد کی حفاظت کرتی ہے، گفتگو کے حقیقت میں ہونے کی نہیں۔ یہ ہمارے سرورز پر واضح طور پر موجود ہیں:

• ہر گفتگو میں کون ہے، اور یہ کب بنائی گئی اور آخری بار کب فعال تھی۔
• ہر پیغام کی ٹائم اسٹیمپ، اور آپ نے کتنے نہیں پڑھے۔
• کسی منسلکہ کا فائل نام، قسم اور سائز۔ بائٹس خفیہ ہیں؛ ان کی تفصیل نہیں، اور خفیہ متن کی لمبائی اصل کی لمبائی کو بھی محدود کرتی ہے۔
• آپ کے دوست اور دوستی کی درخواستیں۔
• کال سگنلنگ — کہ کوئی کال کی گئی، کسے، اور کب۔ اس کی آواز یا ویڈیو نہیں۔

ٹائپنگ اشارے اور پڑھنے کی رسیدیں اس وقت تک بند رہتی ہیں جب تک آپ انہیں آن نہ کریں، اور بند رہنے کے دوران کچھ نہیں لکھا جاتا۔

جو اب یہاں نہیں ہے: آپ کا ای میل ایڈریس اور آپ کا نام۔ ستمبر 2026 سے، اکاؤنٹ ریکارڈ میں صرف ایک اکاؤنٹ شناخت کنندہ ہے — اور تب سے کہیں بھی رکھنے کے لیے کوئی پتہ نہیں ہے۔ سائن اپ آپ کے بارے میں کچھ نہیں پوچھتا: آپ کا اکاؤنٹ ایک 24 لفظی ریکوری فقرہ ہے، اور جو کریڈینشل Firebase Authentication چیک کرتا ہے وہ اسی سے ماخوذ ہے۔ یہ جو محفوظ کرتا ہے وہ صرف ایک تصادفی لیبل ہے ایسے ڈومین کے تحت جو کوئی میل حاصل نہیں کر سکتا۔

الگ سے: چونکہ ایپ Google Firebase پر چلتی ہے، Google آپ کی ڈیوائس کے اس سے ہونے والے ہر کنکشن کا IP ایڈریس اور وقت دیکھ سکتا ہے۔ یہ ہوسٹنگ کی خاصیت ہے، ایپ کی نہیں، اور ہم اسے خفیہ کاری سے ختم نہیں کر سکتے۔

3. لوگ آپ کو کیسے تلاش کرتے ہیں

وہ آپ کو تلاش نہیں کر سکتے۔ یہاں کوئی ڈائریکٹری نہیں ہے — ای میل، فون نمبر یا نام سے تلاش نہیں — اور سرور ایسی کوئی بھی درخواست مسترد کر دیتا ہے۔

آپ کسی تک ایک دعوتی لنک الگ ذریعے سے بھیج کر پہنچتے ہیں، جو کچھ بھی آپ پہلے سے استعمال کرتے ہیں اس کے ذریعے۔ ایک لنک ایک بار کام کرتا ہے، 24 گھنٹے بعد ختم ہو جاتا ہے، اور واپس لیا جا سکتا ہے۔ آپ کسی کو جو بھی کہتے ہیں وہ آپ کا اپنا لیبل ہے اس کے لیے، صرف آپ کے پاس محفوظ؛ اگر انہوں نے اپنا تعارف کرایا، تو وہ نام آپ تک خفیہ کردہ پہنچا۔

4. ہم کیا جمع کرتے ہیں

• اکاؤنٹ کا ڈیٹا: ایک اکاؤنٹ شناخت کنندہ، اور آپ کے ریکوری فقرے سے ماخوذ ایک کریڈینشل، جو Firebase Authentication میں رکھا جاتا ہے۔ نہ ای میل ایڈریس، نہ فون نمبر، نہ نام — سائن اپ ان میں سے کوئی نہیں پوچھتا۔
• پیغامات اور منسلکات کا خفیہ متن، اور سیکشن 2 میں بیان کردہ میٹا ڈیٹا۔

یہی پوری فہرست ہے۔ کوئی تجزیات نہیں ہیں اور کوئی کریش رپورٹنگ نہیں ہے۔ یہ ایپ پہلے اسکرین ویوز Firebase Analytics کو اور کریش رپورٹس Firebase Crashlytics کو بھیجتی تھی، دونوں آپ کے اکاؤنٹ شناخت کنندہ کے ساتھ، اس لیے کوئی بھی گمنام نہیں تھا؛ اب دونوں، ان لائبریریوں کے ساتھ جو انہیں بھیجتی تھیں، ختم کر دیے گئے ہیں۔ خرابیاں صرف ترقی کے دوران ایک ڈویلپر کی اپنی مشین پر پرنٹ ہوتی ہیں اور کہیں اور نہیں جاتیں۔

5. یہ کہاں محفوظ ہے

Google Firebase پر — Firestore، Storage اور Authentication — ایسے سیکیورٹی اصولوں کے تحت جو طے کرتے ہیں کہ ہر دستاویز کو کون پڑھ اور لکھ سکتا ہے۔

آپ کی ڈیوائس پر، کیش شدہ پیغامات، ترتیبات اور ایپ لاک پن کو ایک فی ڈیوائس کنجی سے خفیہ کیا جاتا ہے جو پلیٹ فارم کی کی اسٹور (iOS Keychain، Android Keystore) میں رکھی جاتی ہے، نہ کہ عام ایپ اسٹوریج میں۔

نجی کنجی جو آپ کے پیغامات کو ڈی کرپٹ کرتی ہے کبھی آپ کی ڈیوائس نہیں چھوڑتی، سوائے ریکوری فقرے کی صورت میں جسے آپ خود لکھنے کا انتخاب کرتے ہیں۔ ہم اسے نہیں رکھتے اور آپ کے لیے اسے بحال نہیں کر سکتے۔ اگر آپ اسے کھو دیں، تو اس ڈیوائس کو بھیجے گئے پیغامات دوبارہ نہیں پڑھے جا سکتے — کسی کے ذریعے بھی نہیں، ہمارے سمیت۔

ورژن 1.2.0 اور اس سے پہلے کے ورژن ہر سائن اِن پر فقرے کی ایک نقل Android کے اپنے بیک اپ Google Block Store میں بھی محفوظ کرتے تھے۔ اگر آپ کے فون میں اسکرین لاک تھا تو وہ نقل اینڈ ٹو اینڈ انکرپٹڈ شکل میں آپ کے Google اکاؤنٹ سے سنک ہوتی تھی۔ ورژن 1.2.1 سے ایپ ایسا نہیں کرتی، اور ہر بار شروع ہونے پر وہ نقل حذف کر دیتی ہے۔

6. اور کون ڈیٹا حاصل کرتا ہے

ہم آپ کی ذاتی معلومات فروخت، تجارت یا کرائے پر نہیں دیتے۔ ڈیٹا ان تک پہنچتا ہے:

• Google Firebase — ہمارا ہوسٹنگ فراہم کنندہ، جیسا کہ اوپر بیان کیا گیا۔
• Cloudflare Realtime — کال کی آواز اور ویڈیو، جب آپ کا ڈیوائس اور دوسرے شخص کا ڈیوائس براہ راست ایک دوسرے تک نہ پہنچ سکیں۔
• ویکی میڈیا فاؤنڈیشن — ایک نام، جب آپ اسے ویکیپیڈیا پر تلاش کرنے کے لیے تھپتھپاتے ہیں۔
• Google Cloud Speech-to-Text — ایک صوتی پیغام کی آواز، جب آپ متن میں تبدیلی مانگتے ہیں۔
• Google Cloud Translation — ایک پیغام کا متن، جب آپ ترجمہ مانگتے ہیں۔
• Cloudflare Workers AI — ایک گفتگو کے آخری 50 پیغامات تک، جب آپ خلاصہ مانگتے ہیں یا اس کے بارے میں سوال پوچھتے ہیں۔

آخری تین اس ریلیز میں بند ہیں۔ ایپ میں کہیں بھی کوئی کنٹرول نہیں جو متن میں تبدیلی، ترجمہ یا خلاصے کو آن کرے، اس لیے ان تینوں خدمات تک کچھ نہیں پہنچتا۔ انہیں حذف کرنے کے بجائے فہرست میں رکھا گیا ہے کیونکہ کوڈ ابھی بھی یہاں ہے اور یہ خصوصیات واپس آنے والی ہیں — اور جب وہ واپس آئیں گی، تو وہ اس انکشاف اور پہلے استعمال سے پہلے ایک اشارے کے ساتھ واپس آئیں گی۔ اس وقت جو بھیجا جائے گا وہ آپ کا نتیجہ تیار کرنے کے لیے بھیجا جائے گا، کسی چیز کی تربیت کے لیے نہیں؛ نہ تحریری متن اور نہ ترجمہ ہمارے سرورز پر محفوظ کیا جاتا ہے۔

ویکیپیڈیا کی تلاش کا کوئی سوئچ نہیں ہے کیونکہ بند کرنے کے لیے کوئی مستقل چیز نہیں ہے: یہ صرف تھپتھپاہٹ پر چلتی ہے ورنہ نہیں۔ ویکیپیڈیا صرف وہ ایک نام اور آپ کا IP ایڈریس وصول کرتا ہے، بالکل ویسے ہی جیسے آپ نے خود اسے اس کے سرچ باکس میں ٹائپ کیا ہو — کوئی اکاؤنٹ نہیں، کوئی پیغام نہیں، کوئی گفتگو نہیں۔ جو واپس آتا ہے وہ صرف دکھایا جاتا ہے اور محفوظ نہیں کیا جاتا، اور اس کے بارے میں کچھ بھی گفتگو میں نہیں لکھا جاتا۔

Cloudflare Realtime کا بھی کوئی سوئچ نہیں ہے۔ زیادہ تر کالز کو اس کی ضرورت نہیں ہوتی: دو ڈیوائسز جو براہ راست ایک دوسرے تک پہنچ سکتے ہیں — ایک ہی نیٹ ورک پر زیادہ تر کالز — اس کے بغیر جڑ جاتی ہیں، اور کچھ بھی ری لے نہیں ہوتا۔ جب وہ نہیں پہنچ سکتے — عام طور پر اس لیے کہ آپ دونوں مختلف موبائل نیٹ ورکس پر ہیں — پہلے سے مرموز کال کو رابطہ نہ ہونے کے بجائے ری لے کیا جاتا ہے۔ Cloudflare جو دیکھتا ہے وہ دونوں کے IP پتے، کال کا وقت، اور تقریباً کتنا ڈیٹا منتقل ہوا ہے؛ آواز اور ویڈیو سیکشن 2 میں بیان کردہ اسی DTLS-SRTP خفیہ کاری کے تحت رہتے ہیں، اس لیے ری لے کرنے سے وہ ڈی کرپٹ نہیں ہوتے۔

اگر قانون تقاضا کرے تو ہم اپنے پاس موجود چیز ظاہر کر سکتے ہیں۔ ہمارے پاس جو ہے وہ سیکشن 2 کی فہرست ہے۔ ہم پیغام کا مواد پیش نہیں کر سکتے، کیونکہ ہم انہیں پڑھ نہیں سکتے۔

7. پش اطلاعات

Firebase Cloud Messaging اطلاعات پہنچاتا ہے۔ آپ کی ڈیوائس کا ٹوکن آپ کے اکاؤنٹ کے ایک نجی حصے میں محفوظ ہے جسے صرف آپ پڑھ سکتے ہیں۔

اطلاعات میں کوئی پیغام کا متن نہیں ہوتا۔ آپ کی ڈیوائس مقامی طور پر پیغام کو ڈی کرپٹ کرتی ہے اور جو آپ دیکھتے ہیں اسے بناتی ہے؛ Google لفافہ پہنچاتا ہے، مواد نہیں۔

8. آپ کیا کر سکتے ہیں

• پروفائل اسکرین سے اپنا اکاؤنٹ حذف کریں۔ ایسا مواد جو گفتگو کا مشترکہ حصہ ہو — مثلاً ایک کال ریکارڈ — دوسرے شریک کے پاس رہتا ہے، کیونکہ یہ ان کا بھی ریکارڈ ہے۔
• پروفائل اسکرین سے اپنا ڈیٹا ایکسپورٹ کریں۔
• فی چیٹ پیغامات کی میعاد سیٹ کریں: 1 گھنٹہ، 24 گھنٹے، 7 دن یا 30 دن۔
• ٹائپنگ اشارے اور پڑھنے کی رسیدیں آن یا بند کریں۔ دونوں پہلے سے طے شدہ طور پر بند ہیں۔
• ایپ کو پن یا بایومیٹرکس سے لاک کریں۔
• آپ کا دیا گیا کوئی دعوتی لنک واپس لیں۔

اگر آپ چاہیں کہ ہم کچھ ہاتھ سے حذف کریں، تو ہمیں لکھیں۔

9. ڈیٹا کی برقراری

جب تک آپ کا اکاؤنٹ موجود ہے ہم آپ کا ڈیٹا رکھتے ہیں۔ اکاؤنٹ حذف کرنا اسے حذف کر دیتا ہے، سوائے اوپر بیان کردہ مشترکہ مواد کے۔ فی چیٹ میعاد آپ کے مقرر کردہ شیڈول پر پیغامات ہٹا دیتی ہے۔

10. حدود جو آپ کو جاننی چاہئیں

ہم یہ چاہیں گے کہ ہم آپ کو یہ بتائیں، بجائے اس کے کہ آپ خود انہیں تلاش کریں۔

• کنجیوں پر پہلی بار دیکھے جانے پر اعتماد کیا جاتا ہے۔ اگر کسی نے کبھی آپ کے پیغام کے تبادلے سے پہلے کوئی کنجی بدل دی ہوتی، تو گفتگو غلط شخص کے لیے خفیہ ہوتی اور بالکل عام لگتی۔ ایپ آپ کو خبردار کرتی ہے جب بعد میں کوئی کنجی بدلتی ہے، اور ایک سیفٹی نمبر دکھاتی ہے جسے آپ الگ ذریعے سے موازنہ کر سکتے ہیں — لیکن کچھ بھی آپ کو اس کا موازنہ کرنے پر مجبور نہیں کرتا۔
• ایک وقت میں ایک ڈیوائس۔ آپ کا ریکوری فقرہ وہ کنجی بحال کرتا ہے جو آپ کی تاریخ کھولتی ہے، اس لیے نئی ڈیوائس پر سائن اِن کرنے سے وہ نہیں کھوتا جو آپ کو پہلے ہی مل چکا ہے۔ فارورڈ سیکریسی والی گفتگوئیں دوسری کنجی استعمال کرتی ہیں جو اسے بنانے والی ڈیوائس کو کبھی نہیں چھوڑتی: جو بھی ڈیوائس آخری بار سائن اِن ہوئی وہی وہ ہے جس تک وہ پہنچتی ہیں، اور اس دوران دوسری ڈیوائس کے لیے سیل کیا گیا کچھ بھی وہاں منتقل نہیں کیا جا سکتا۔
• خفیہ کاری موجود ہونے سے پہلے بھیجے گئے پیغامات ویسے ہی رہتے ہیں جیسے وہ تھے۔ کچھ بھی پیچھے جا کر تبدیل نہیں کیا گیا۔
• اس ایپ کا کبھی آزادانہ سیکیورٹی آڈٹ نہیں ہوا ہے۔

11. بچے

Chatterbox 13 سال سے کم عمر بچوں کے لیے نہیں ہے، اور ہم جان بوجھ کر ان کی معلومات جمع نہیں کرتے۔ اگر آپ کو یقین ہے کہ کسی بچے نے ہمیں ذاتی معلومات دی ہیں، تو ہم سے رابطہ کریں اور ہم اسے حذف کر دیں گے۔

12. تبدیلیاں

ہم اس پالیسی کو اپ ڈیٹ کر سکتے ہیں۔ اہم تبدیلیوں کا اعلان ایپ میں کیا جائے گا، اور اوپر دی گئی تاریخ وہ ہے جب اسے آخری بار تبدیل کیا گیا۔

13. رابطہ

اس پالیسی کے بارے میں سوالات: [email protected]

14. ایپ کے نئے ورژن کی جانچ کرنا

Google Play وہ طریقہ نہیں ہے جس سے یہ ایپ آپ کے اینڈرائیڈ فون تک پہنچتی ہے۔ یہ اس کے بجائے chatterbox.fans سے ڈاؤن لوڈ کی جاتی ہے، اور جو اسٹور اس عمل کا حصہ نہیں ہے وہ آپ کی جانب سے اپ ڈیٹس چیک نہیں کر سکتا — اس لیے اگر آپ کہیں تو یہ ایپ خود ایسا کر سکتی ہے۔

"ابھی چیک کریں" پر ٹیپ کرنے سے chatterbox.fans کو ایک درخواست بھیجی جاتی ہے جو پوچھتی ہے کہ موجودہ ورژن کیا ہے۔ اس درخواست میں صرف آپ کا IP ایڈریس ہوتا ہے اور کچھ نہیں — نہ اکاؤنٹ، نہ ڈیوائس شناخت کنندہ، نہ پیغام۔ جو واپس آتا ہے وہ ایک ورژن نمبر ہے، جس کا موازنہ آپ کے فون پر چل رہے ورژن سے کیا جاتا ہے؛ کچھ بھی خودکار طور پر ڈاؤن لوڈ نہیں ہوتا، اور اس جانچ کے بارے میں کچھ بھی گفتگو میں نہیں لکھا جاتا۔

اس کا کوئی سوئچ نہیں ہے کیونکہ بند کرنے کے لیے کچھ ہے ہی نہیں: یہ صرف ٹیپ کرنے پر چلتا ہے اور کسی اور طرح نہیں۔

اگر آپ اپ ڈیٹ انسٹال کرتے ہیں، تو یہ اسی سائننگ کی کا استعمال کرتے ہوئے ایپ کو اسی جگہ تبدیل کر دیتا ہے، بالکل ویسے ہی جیسے Google Play کا اپ ڈیٹ کرتا۔