Kryfo tidak punya akun, jadi tidak ada yang bisa dilekati data. Kryfo tidak pernah meminta nomor ponselmu, alamat emailmu, atau namamu. Kryfo tidak membaca kontakmu. Kryfo tidak punya analitik, iklan, atau pelacakan dalam bentuk apa pun. Pesanmu dienkripsi di ponselmu dan hanya bisa dibaca oleh orang yang kamu kirimi.
Yang tetap di ponselmu
Semua yang penting. Identitasmu, pesanmu, kontakmu, mediamu, dan pengaturanmu tinggal di database terenkripsi di perangkatmu dan tidak pernah diunggah ke mana pun.
Identitasmu adalah tiga kata yang dibuat di ponsel saat pertama kali kamu membuka aplikasi. Tidak ada yang didaftarkan pada siapa pun. Kalau kamu menghapus aplikasinya, identitas itu hilang.
Apa yang bisa dilihat server kami
Kryfo menjalankan dua relay yang membawa pesan, di dua perusahaan hosting yang berbeda, sehingga pesan juga sampai ke ponsel yang tadinya offline. Apa yang mereka lihat bergantung pada jalur yang kamu pilih di aplikasi, dan aplikasi memberitahumu hal ini sebelum kamu memilih.
- Privat. Jalur bawaan. Pesan berjalan lewat Tor ke kedua relay kami, masing-masing lewat onion-nya sendiri, dan ke beberapa relay Nostr publik. Tidak ada relay yang tahu alamatmu. Tidak ada orang lain juga.
- Cepat. Melewati Tor supaya lebih cepat. Jalur ini terhubung langsung ke dua relay kami, yang melihat alamat yang kamu pakai untuk terhubung selama kamu terhubung dan tidak mencatatnya. Setiap pesan dikirim ke keduanya, jadi satu bisa berhenti tanpa pesan ikut berhenti. Selama yang pertama mati, Cepat juga memakai beberapa relay Nostr publik, hanya lewat Tor, jadi mereka tidak pernah melihat alamatmu.
Di kedua jalur, yang dibawa relay terenkripsi, dan tidak ada relay yang bisa membaca pesan. Setiap percakapan punya alamat kotak surat sendiri, yang bukan identitasmu ataupun identitas orang lain. Pesan diisi hingga salah satu dari lima ukuran, jadi relay melihat kira-kira seberapa besar pesan, bukan seberapa panjang, meski berapa banyak yang kamu kirim dan kapan tetap terlihat. Di Cepat, setiap relay kami melihat kotak mana yang dibaca dan ditulis satu alamat IP, dan ketika kedua orang dalam obrolan memakai Cepat, bahwa dua alamat IP berbagi satu kotak. Ruang sekali pakai, kode pasangan, dan alamat di undanganmu lewat Tor di kedua jalur. Dengan nama pengguna di Cepat, relay kami tetap bisa mengaitkan nama itu dengan alamat IP-mu dengan mencocokkan waktu pesan-pesan pertama obrolan baru. Relay kami menyimpan pesan terenkripsi selama 14 hari supaya ponsel yang offline bisa menyusul, lalu menghapusnya.
Relay kami tidak menulis log koneksi ke disk.
Meminta jembatan ke Tor Project itu opsional, dan Kryfo hanya melakukannya setelah kamu setuju. Pertanyaan itu tidak lewat Tor, karena Tor mungkin diblokir di tempatmu. Sebagai gantinya, pertanyaan itu dikirim lewat jaringan pengiriman konten, jadi penyedia internetmu melihat koneksi ke jaringan itu, bukan ke Tor Project. Jaringan itu dan Tor Project melihat alamat yang kamu pakai untuk terhubung, dan bahwa ada seseorang yang meminta jembatan. Tidak ada apa pun tentang obrolanmu. Terpisah dari itu, setelah Tor terhubung, Kryfo memeriksa sekitar seminggu sekali apakah ada perubahan pada jembatan bawaannya. Pemeriksaan itu lewat Tor, jadi tidak menunjukkan alamatmu kepada siapa pun, dan tidak perlu persetujuanmu. Selengkapnya ada di Saat Tor diblokir.
Nama pengguna
Kalau kamu mengklaim nama pengguna publik, layanan nama pengguna kami menyimpan nama itu, undangan yang ditunjuknya, deskripsi singkat yang kamu tulis, dan kunci yang mengklaimnya. Layanan itu tidak menyimpan kapan nama itu diklaim. Kalau kamu menyalakan “Tampilkan aku di pencarian”, layanan itu juga menyimpan nama yang kamu pilih untuk pencarian dan bahwa nama penggunamu terdaftar di pencarian. Waktu perubahan terakhirmu, dan kapan terakhir kali kamu menyalakan atau mematikan pencarian, disimpan sekitar 20 menit untuk menolak perubahan yang diulang, lalu dihapus. Layanan itu tidak menyimpan catatan tentang siapa yang mencarimu. Apa yang kamu ketik di pencarian dikirim ke layanan itu untuk menemukan nama pengguna, dan tidak disimpan.
Mengklaim nama pengguna bersifat opsional dan mati kecuali kamu melakukannya, begitu juga muncul di pencarian. Kamu bisa melepas milikmu kapan saja. Itu langsung menghapus entrinya. Server menyimpan satu salinan cadangan per hari dan menghapus tiap salinan setelah berumur seminggu, jadi setelah 8 hari tidak ada lagi salinan dari nama pengguna yang sudah dilepas.
Hanya nama pengguna yang pemiliknya menyalakan “Tampilkan aku di pencarian” yang muncul, di samping nama jika mereka memilihnya, dan mematikannya langsung mengeluarkanmu dari pencarian. Semua yang ditanyakan aplikasi ke layanan nama pengguna dan layanan lencana lewat Tor di setiap jalur, termasuk Cepat, jadi keduanya tidak pernah melihat alamat IP-mu.
Obrolan dengan pengembang
Mulai Kryfo 0.5.0, obrolan “Marios · pembuat Kryfo” di bagian atas daftar obrolanmu tersambung ke orang yang membuat aplikasi ini. Kunci Marios tertanam di Kryfo, jadi tidak ada orang lain yang bisa membalas di sana. Tidak ada yang tersambung dan tidak ada yang dikirim sampai kamu menulis pesan pertama: tanpa sapaan, tanpa versi aplikasi, tanpa log.
Marios bisa membaca apa yang kamu kirim di sana, dan kapan, lalu membalasmu seperti kontak mana pun. Tiga katamu ikut terkirim; wajah yang kamu pilih, alamat onion-mu, dan lencana pendukungmu kalau ada tidak ikut. “Tulis secara anonim” sebagai gantinya membuat nama dan kunci baru khusus untuk obrolan itu, yang tetap di ponselmu, tidak ikut masuk ke cadangan, dan tidak dipakai di tempat lain. Ini menyembunyikan tiga katamu, tetapi tidak menyembunyikan gaya tulisanmu, apa yang kamu tulis di sana, atau alamat yang kamu pakai untuk terhubung di jalur Cepat.
Pesan suara di obrolan anonim selalu disamarkan. Menghapus obrolan itu menghapusnya di ponselmu, dan menarik apa yang kamu kirim dari ponsel Marios, sama seperti saat kamu menarik satu pesan. Kalau ponselnya tidak bisa dihubungi dalam setengah menit, aplikasi memberitahumu berapa pesan yang tidak bisa ditarik. Pesan yang sudah dia baca tetap sudah terbaca.
Pratinjau tautan
Mati kecuali kamu menyalakannya. Saat menyala, ponselmu sendiri mengambil judulnya lewat Tor dan mengirimkannya di dalam pesan terenkripsi. Situs web yang kamu tautkan melihat permintaan dari jaringan Tor dan tidak ada yang lain. Orang yang menerima pesan tidak pernah menyentuh tautannya.
Pencarian GIF
Mati kecuali kamu menyalakannya. Saat menyala, kata-kata yang kamu cari dikirim ke server kami, yang menanyakannya ke GIPHY atau Klipy untukmu. GIF-nya juga kembali lewat server kami. Cara GIF itu berjalan bergantung pada jalurmu:
- Privat. Lewat Tor, di sirkuitnya sendiri. Server kami melihat permintaan dari jaringan Tor, tidak pernah alamatmu.
- Cepat. Langsung ke server kami, tanpa Tor, seperti pesanmu di jalur ini. Server kami melihat alamat yang kamu pakai untuk terhubung dan kata yang kamu cari, dan tidak mencatat keduanya. Tidak ada relay publik yang terlibat.
Server kami tidak menyimpan catatan tentang apa yang dicari atau oleh siapa, dan tidak meneruskan alamat apa pun. GIPHY dan Klipy hanya melihat server kami yang bertanya, beserta kata pencarian dan bahasa aplikasi. Mereka tidak pernah melihat alamatmu, ponselmu, atau kepada siapa kamu mengirim GIF. GIF yang kamu pilih dikirim di dalam pesan terenkripsi, seperti foto.
Foto dan file
Foto yang diambil di dalam Kryfo dihapus lokasinya, detail perangkatnya, dan cap waktunya sebelum hal lain terjadi, dan tidak pernah muncul di galerimu kecuali kamu memilih menyimpan salinannya. Foto, video, pesan suara, dan file yang lebih besar dari satu pesan lewat layanan file kami begitu semua orang di obrolan punya versi yang memakainya. Ponselmu menyegel setiap file dengan kunci miliknya sendiri, dan kunci itu hanya ikut di dalam pesan terenkripsi, jadi layanan menyimpan byte yang tidak bisa dibukanya. Layanan ini dijangkau lewat Tor di kedua jalur dan tidak pernah melihat alamatmu. Ia tahu ID acak sebuah file, ukurannya yang dibulatkan ke atas, berapa penerimanya, dan kapan file diunggah dan diunduh. File dihapus begitu semua penerima sudah memilikinya, dan tidak ada yang tersimpan lebih dari seminggu.
Notifikasi
Secara bawaan Kryfo tidak memakai layanan push apa pun. Aplikasi memeriksa pesan sendiri, lewat jalur yang sama dengan jalur kirimnya, dan tidak ada pihak di luar aplikasi yang diberi tahu bahwa ada pesan menunggumu. Di Notifikasi kamu bisa memilih salah satu dari dua cara lain sebagai gantinya.
- Lewat aplikasi pembantu. Mati secara bawaan, dan hanya di Privat. Aplikasi pembantu UnifiedPush, seperti ntfy, menjaga satu koneksi untuk semua aplikasimu, dan relay kami mengetuknya saat ada sesuatu untukmu, dengan permintaan kosong: tanpa pengirim, tanpa jumlah, tanpa isi. Lalu Kryfo mengambil lewat Tor seperti biasa. Relay kami menyimpan enam belas alamat di server aplikasi pembantu untukmu, paling lama 30 hari. Server aplikasi pembantu melihat alamat IP ponselmu, bahwa kamu memakai Kryfo, dan kapan ia diketuk, dicampur ketukan palsu. Ia tidak pernah tahu isi pesan, siapa pengirimnya, atau berapa banyak yang datang.
- Push Google. Hanya di versi Google Play, di ponsel dengan layanan Google Play. Tidak ada bagian Google yang berjalan sebelum kamu memilihnya. Memilihnya meminta satu token dari Google untuk ponsel ini. Relay kami menyimpannya dalam enam belas segel terpisah yang tidak bisa dibuka atau dihubungkan satu sama lain olehnya. Layanan push yang membukanya berjalan di server kedua kami. Kedua server itu bersama-sama bisa menghubungkan keenam belasnya dan melihat token, yang bisa dicocokkan Google dengan ponselmu dan akun Google-mu. Menyita satu saja tidak cukup, tapi kami menjalankan keduanya, jadi kami bisa. Kalau itu penting bagimu, pilih cara lain. Google melihat bahwa ponsel ini memakai Kryfo, kapan ia dibangunkan, dicampur panggilan bangun palsu, dan alamat IP ponselmu, seperti biasa untuk layanan Play. Google tidak pernah melihat siapa yang menulis, apa yang dikatakan, atau berapa banyak. Layanan push tidak menyimpan apa pun di disk dan tidak mencatat apa pun per ponsel, dan analitik, ID iklan, serta metrik pengiriman Firebase dimatikan di aplikasi.
Cadangan
Cadangan adalah file di ponselmu, dienkripsi dengan frasa sandi yang hanya kamu tahu. Cadangan tidak pernah dikirim ke kami. Mulai Kryfo 0.5.1, cadangan juga memuat pengaturan privasimu: blokir tangkapan layar, penyamaran suara, pratinjau tersembunyi, perisai penipuan, perkenalan, cara pesan diantarkan, serta tema dan bahasa yang kamu pilih. Cadangan tidak pernah memuat PIN.
Donasi
Kalau kamu berdonasi, pembayarannya terjadi di blockchain publik, yang berada di luar kendali kami dan di luar kebijakan ini. Kami tidak meminta nama atau alamatmu, dan donasi tidak terhubung dengan identitas Kryfo-mu kecuali kamu memilih menautkan keduanya.
Tip di versi Google Play dibayar melalui Google Play. Google yang memproses pembayarannya, dan kami tidak pernah melihat data kartumu atau namamu. Laporan penjualan Google menunjukkan kepada kami nomor pesanan, jumlah, tanggal, dan negara setiap tip, dan di beberapa negara juga wilayah, kota, atau kode posnya.
Situs web ini
Tanpa cookie, tanpa analitik, tanpa skrip pihak ketiga, dan tanpa font yang dimuat dari tempat lain. Server tidak mencatat pengunjung.
Anak-anak
Kryfo tidak ditujukan untuk anak-anak. Ada penjelasan lebih lanjut tentang bagaimana desainnya membatasi kontak dari orang asing di catatan keselamatan anak kami.
Hapus datamu
Hanya sedikit sekali yang bisa dihapus, dan sebagian besarnya bisa kamu hapus sendiri, saat itu juga.
- Di ponselmu. Menghapus obrolan berarti obrolan itu terhapus. “Hapus total Kryfo dari ponsel ini”, di bagian Zona bahaya pada Pengaturan, menghapus semua yang disimpan Kryfo di ponsel ini. Mencopot pemasangan aplikasi juga melakukan hal yang sama.
- Nama penggunamu. Buka nama penggunamu di aplikasi lalu pilih “Hapus nama pengguna ini”. Entrinya langsung terhapus, dan salinan cadangan harian di server hilang dalam 8 hari.
- Obrolan dengan pengembang. Menghapusnya akan menarik apa yang kamu kirim dari ponsel Marios. Untuk apa pun yang tidak bisa ditarik, atau apa pun yang kamu kirim lewat email, tulis ke gnosiworks@proton.me. Itu akan dihapus, dan kamu mendapat konfirmasi singkat.
- Pesan ke orang lain. Pesan itu ada di ponsel mereka, bukan di tempat kami. Tarik pesan di obrolan, dan pesan itu juga hilang dari ponsel mereka.
- Relay dan file. Relay kami menyimpan pesan terenkripsi selama 14 hari, supaya ponsel yang tadinya offline masih bisa menerimanya, lalu menghapusnya sendiri. Beberapa relay Nostr publik juga membawa salinan, masing-masing ditandai untuk dihapus setelah 14 hari. Tidak ada relay yang bisa membacanya. File besar di layanan file kami dihapus begitu semua penerima sudah memilikinya, paling lama setelah seminggu.
- Donasi. Pembayaran di blockchain publik tidak bisa dihapus oleh siapa pun.
Permintaan data
Kalau kami diminta menyerahkan data pengguna, hampir tidak ada yang bisa diserahkan. Kami tidak menyimpan daftar kontak, nomor telepon, alamat email, maupun catatan akun, karena tidak satu pun dari itu dikumpulkan, dan tidak menyimpan isi pesan selain yang dikirim orang ke obrolan dengan pengembang. Satu-satunya pengecualian adalah push Google: apa yang bisa dihubungkan kedua server kami bersama-sama, seperti dijelaskan di bagian Notifikasi.
Perubahan
Kalau kebijakan ini berubah, tanggal di bagian atas ikut berubah, dan versi-versi sebelumnya tetap ada di riwayat git situs ini.
Siapa yang bertanggung jawab
Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Jerman. Detail lengkapnya ada di informasi hukum.
Pertanyaan
Tulis ke gnosiworks@proton.me, atau buka issue di github.com/GnosiWorks/Kryfo.
Di Pengaturan, “Laporkan masalah” memungkinkanmu menulis ke kami dari aplikasi. “Tulis di Kryfo” mengirimnya ke obrolan dengan pengembang, yang dijelaskan di atas. “Kirim email” membuka aplikasi email milikmu sendiri, lalu email itu melewati penyedia emailmu dan penyedia email kami (Proton), seperti email lainnya.