Non c'è quasi niente da dirti.

Cosa resta sul tuo telefono

Tutto ciò che conta. La tua identità, i tuoi messaggi, i tuoi contatti, i tuoi media e le tue impostazioni stanno in un database cifrato sul tuo dispositivo e non vengono mai caricati da nessuna parte.

La tua identità sono tre parole generate sul telefono la prima volta che apri l'app. Non viene registrato niente presso nessuno. Se elimini l'app, quell'identità non esiste più.

Cosa possono vedere i nostri server

Kryfo gestisce due relay che trasportano i messaggi, presso due diverse società di hosting, così i messaggi arrivano anche a un telefono che era offline. Cosa vedono dipende dal percorso che scegli nell'app, e l'app te lo dice prima che tu scelga.

• Privato. Quello predefinito. I messaggi viaggiano attraverso Tor fino ai nostri due relay, ognuno tramite il proprio onion, e fino ad alcuni relay Nostr pubblici. Nessun relay conosce il tuo indirizzo. Nessun altro lo conosce.
• Veloce. Salta Tor per essere più rapido. Si collega direttamente ai nostri due relay, che vedono l'indirizzo da cui ti connetti finché sei connesso e non lo annotano. Ogni messaggio va a entrambi, così uno può fermarsi senza che i messaggi si fermino. Finché il primo è fermo, Veloce usa anche alcuni relay Nostr pubblici, solo attraverso Tor, così non vedono mai il tuo indirizzo.

Su entrambi i percorsi, ciò che i relay trasportano è cifrato, e nessun relay può leggere un messaggio. Ogni conversazione ha il suo indirizzo di casella, che non è la tua identità né quella di nessun altro. I messaggi vengono riempiti fino a una di cinque dimensioni, così un relay vede più o meno quanto è grande un messaggio, non quanto è lungo, anche se si vede ancora quanti ne mandi e quando. Su Veloce, ognuno dei nostri relay vede quali caselle un indirizzo IP legge e scrive e, quando entrambe le persone di una chat usano Veloce, che due indirizzi IP condividono una casella. Le stanze usa e getta, i codici di abbinamento e l'indirizzo del tuo invito passano attraverso Tor su entrambi i percorsi. Con un nome utente su Veloce, il nostro relay potrebbe comunque collegare il nome al tuo indirizzo IP confrontando gli orari dei primi messaggi di una nuova chat. I nostri relay conservano i messaggi cifrati per 14 giorni, così un telefono offline può recuperarli, e poi li cancellano.

I nostri relay non scrivono log delle connessioni su disco.

Chiedere dei bridge al progetto Tor è facoltativo, e Kryfo lo fa solo dopo il tuo sì. La domanda non passa da Tor, perché Tor potrebbe essere bloccato dove ti trovi. Passa attraverso una rete per la distribuzione di contenuti, così il tuo provider internet vede una connessione verso quella rete, non verso il progetto Tor. Quella rete e il progetto Tor vedono l'indirizzo da cui ti connetti, e che qualcuno ha chiesto dei bridge. Niente sulle tue chat. A parte questo, quando Tor è connesso, Kryfo verifica circa una volta a settimana se i bridge inclusi sono cambiati. Questa verifica passa attraverso Tor, quindi non mostra a nessuno il tuo indirizzo, e non ha bisogno del tuo sì. Trovi di più in Quando Tor è bloccato.

Nomi utente

Se registri un nome utente pubblico, il nostro servizio dei nomi utente conserva quel nome, l'invito a cui rimanda, la breve descrizione che hai scritto e la chiave che l'ha registrato. Non conserva quando è stato registrato. Se attivi «Mostrami nella ricerca», conserva anche il nome che hai scelto per la ricerca e il fatto che il tuo nome utente compare nella ricerca. L'ora della tua ultima modifica, e di quando hai attivato o disattivato la ricerca l'ultima volta, resta circa 20 minuti per rifiutare una modifica ripetuta, poi viene cancellata. Non tiene traccia di chi ti ha cercato. Ciò che scrivi nella ricerca gli viene inviato per trovare nomi utente, e non viene conservato.

Registrare un nome utente è facoltativo, e non succede finché non lo fai tu; lo stesso vale per comparire nella ricerca. Puoi ritirare il tuo in qualsiasi momento. Così la sua voce viene cancellata subito. Il server tiene una copia di backup al giorno e cancella ogni copia quando ha una settimana, quindi dopo 8 giorni non resta nessuna copia di un nome utente ritirato.

Compaiono solo i nomi utente il cui titolare ha attivato «Mostrami nella ricerca», accanto a un nome, se ne ha scelto uno, e disattivarla ti toglie subito dalla ricerca. Tutto ciò che l'app chiede al servizio dei nomi utente e al servizio dei badge passa attraverso Tor su ogni percorso, anche su Veloce, quindi nessuno dei due vede mai il tuo indirizzo IP.

La chat con lo sviluppatore

Da Kryfo 0.5.0 la chat «Marios · ha creato Kryfo», in cima al tuo elenco di chat, va alla persona che sviluppa l'app. La chiave di Marios è integrata in Kryfo, quindi nessun altro può rispondere lì. Non si collega nulla e non si invia nulla finché non scrivi il primo messaggio: nessun saluto, nessuna versione dell'app, nessun log.

Marios può leggere ciò che invii lì, e quando, e risponderti come qualsiasi contatto. Le tue tre parole vanno con il messaggio; il volto che hai scelto, il tuo indirizzo onion e il tuo eventuale badge sostenitore no. «Scrivi in forma anonima» crea invece un nuovo nome e nuove chiavi solo per quella chat, che restano sul tuo telefono, sono esclusi dai backup e non vengono usati altrove. Nasconde le tue tre parole, non il tuo modo di scrivere, ciò che scrivi in quella chat né l'indirizzo da cui ti connetti sul percorso Veloce.

Le note vocali in una chat anonima passano sempre dal camuffamento della voce. Eliminare la chat la elimina dal tuo telefono e ritira ciò che hai inviato dal telefono di Marios, allo stesso modo in cui si ritira un singolo messaggio. Se il suo telefono non si può raggiungere entro mezzo minuto, l'app ti dice quanti messaggi non è stato possibile ritirare. Un messaggio che ha già letto è stato letto.

Anteprime dei link

Disattivate finché non le attivi. Quando sono attive, è il tuo telefono a recuperare il titolo tramite Tor e a inviarlo dentro il messaggio cifrato. Il sito che hai linkato vede una richiesta dalla rete Tor e nient'altro. La persona che riceve il messaggio non tocca mai il link.

Ricerca GIF

Disattivata finché non la attivi. Quando è attiva, le parole che cerchi vanno al nostro server, che chiede a GIPHY o Klipy al posto tuo. Anche le GIF tornano attraverso il nostro server. Come viaggiano dipende dal tuo percorso:

• Privato. Attraverso Tor, su un circuito tutto suo. Il nostro server vede una richiesta dalla rete Tor, mai il tuo indirizzo.
• Veloce. Direttamente al nostro server, senza Tor, come i tuoi messaggi su questo percorso. Il nostro server vede l'indirizzo da cui ti connetti e le parole che hai cercato, e non annota né l'uno né le altre. Nessun relay pubblico è coinvolto.

Il nostro server non tiene traccia di cosa è stato cercato né da chi, e non trasmette alcun indirizzo. GIPHY e Klipy vedono solo il nostro server che chiede, con le parole cercate e la lingua dell'app. Non vedono mai il tuo indirizzo, il tuo telefono né a chi invii una GIF. La GIF che scegli viene inviata dentro il messaggio cifrato, come una foto.

Foto e file

Le foto scattate dentro Kryfo perdono posizione, dettagli del dispositivo e data e ora prima di ogni altra cosa, e non compaiono mai nella tua galleria a meno che tu non scelga di salvarne una copia. Foto, video, messaggi vocali e file più grandi di un messaggio passano per il nostro servizio file quando tutti nella chat hanno una versione che lo usa. Il tuo telefono sigilla ogni file con una chiave sua, e la chiave viaggia solo dentro il messaggio cifrato, così il servizio conserva byte che non può aprire. Lo si raggiunge attraverso Tor su entrambi i percorsi e non vede mai il tuo indirizzo. Conosce l'ID casuale di un file, la sua dimensione arrotondata per eccesso, quanti destinatari ha e quando è stato caricato e scaricato. Un file viene cancellato appena tutti i destinatari lo hanno, e niente resta più di una settimana.

Notifiche

Di base Kryfo non usa nessun servizio push. L'app controlla da sola i messaggi, sullo stesso percorso su cui invia, e a nessuno fuori dall'app viene detto che un messaggio ti aspetta. In Notifiche puoi invece scegliere uno di altri due modi.

• Tramite un'app di supporto. Disattivato di base, e solo su Privato. Un'app di supporto UnifiedPush, come ntfy, tiene una sola connessione per tutte le tue app, e il nostro relay bussa da lei quando arriva qualcosa per te, con una richiesta vuota: nessun mittente, nessun numero, nessun contenuto. Poi Kryfo scarica attraverso Tor come sempre. Il nostro relay conserva per te sedici indirizzi sul server dell'app di supporto, per al massimo 30 giorni. Il server dell'app di supporto vede l'indirizzo IP del tuo telefono, che usi Kryfo e quando si bussa, con colpi falsi mescolati a quelli veri. Non sa mai cosa dice un messaggio, chi l'ha mandato né quanti ne sono arrivati.
• Push di Google. Solo nella versione di Google Play, sui telefoni con i servizi Google Play. Niente di Google gira finché non lo scegli. Sceglierlo chiede a Google un token per questo telefono. Il nostro relay lo conserva in sedici sigilli separati che non può aprire né collegare tra loro. Il servizio push che li apre gira sul nostro secondo server. I due server insieme potrebbero collegare i sedici e vedere il token, che Google può associare al tuo telefono e al tuo account Google. Sequestrarne uno solo non basta, ma li gestiamo entrambi, quindi noi potremmo. Se per te conta, scegli un altro modo. Google vede che questo telefono usa Kryfo, quando viene risvegliato, con falsi risvegli mescolati, e l'indirizzo IP del tuo telefono, come sempre per i servizi Play. Non vede mai chi ha scritto, cosa è stato detto né quanti. Il servizio push non conserva nulla su disco e non registra nulla per telefono, e le analisi, l'ID pubblicitario e le metriche di consegna di Firebase sono disattivati nell'app.

Backup

Un backup è un file sul tuo telefono, cifrato con una passphrase che conosci solo tu. Non viene mai inviato a noi. Da Kryfo 0.5.1 contiene anche le tue impostazioni di privacy: blocca screenshot, camuffamento della voce, anteprime nascoste, scudo antitruffa, presentazioni, come ricevi i messaggi, il tema e la lingua che hai scelto. Non contiene mai un PIN.

Donazioni

Se fai una donazione, il pagamento avviene su una blockchain pubblica, che è fuori dal nostro controllo e fuori da questa informativa. Non chiediamo il tuo nome né il tuo indirizzo, e una donazione non è collegata alla tua identità Kryfo a meno che tu non scelga di collegarle.

Le mance nella versione Google Play si pagano tramite Google Play. Google gestisce il pagamento, e noi non vediamo mai i dati della tua carta né il tuo nome. I report di vendita di Google ci mostrano, per ogni mancia, il numero d'ordine, l'importo, la data e il paese, e per alcuni paesi anche la regione, la città o il codice postale.

Questo sito

Niente cookie, niente strumenti di analisi, niente script di terzi e nessun font caricato da altrove. Il server non registra i visitatori.

Minori

Kryfo non è rivolto ai minori. Nella nostra nota sulla tutela dei minori trovi di più su come il design limita i contatti da parte di sconosciuti.

Eliminare i tuoi dati

C'è pochissimo da eliminare, e la maggior parte puoi eliminarla tu, subito.

• Sul tuo telefono. Eliminare una chat la elimina. «Cancella Kryfo da questo telefono», sotto Zona pericolosa in Impostazioni, elimina tutto ciò che Kryfo conserva su questo telefono. Disinstallare l'app fa lo stesso.
• Il tuo nome utente. Apri il tuo nome utente nell'app e scegli «Elimina questo nome utente». La voce viene cancellata subito, e le copie di backup giornaliere del server spariscono entro 8 giorni.
• La chat con lo sviluppatore. Eliminarla ritira ciò che hai inviato dal telefono di Marios. Per tutto ciò che non è stato possibile ritirare, o che hai inviato via email, scrivi a gnosiworks@proton.me. Viene eliminato, e ricevi una breve conferma.
• Messaggi ad altre persone. Sono sui loro telefoni, non sui nostri. Ritira un messaggio nella chat, e sparisce anche dal loro telefono.
• Relay e file. I nostri relay conservano i messaggi cifrati per 14 giorni, così un telefono che era offline può ancora riceverli, e poi li cancellano da soli. Anche alcuni relay Nostr pubblici ne portano copie, ognuna segnata per essere cancellata dopo 14 giorni. Nessun relay può leggerle. I file grandi sul nostro servizio file vengono cancellati appena tutti i destinatari li hanno, al massimo dopo una settimana.
• Donazioni. Un pagamento su una blockchain pubblica non può essere eliminato da nessuno.

Richieste di dati

Se ci viene chiesto di consegnare dati degli utenti, non c'è quasi niente da consegnare. Non conserviamo elenchi di contatti, numeri di telefono, indirizzi email né registri di account, perché niente di tutto questo viene raccolto, né contenuti dei messaggi oltre a ciò che le persone inviano alla chat con lo sviluppatore. L'unica eccezione è il push di Google: ciò che i nostri due server insieme potrebbero collegare, come descritto in Notifiche.

Modifiche

Se questa informativa cambia, cambia con lei la data in alto, e le versioni precedenti restano nella cronologia git di questo sito.

Chi è responsabile

Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Germania. Tutti i dettagli sono nelle note legali.

Domande

Scrivi a gnosiworks@proton.me, o apri una segnalazione su github.com/GnosiWorks/Kryfo.

In Impostazioni, «Segnala un problema» ti permette di scriverci dall'app. «Scrivi in Kryfo» lo invia alla chat con lo sviluppatore, descritta sopra. «Invia un'email» apre la tua app di posta, e l'email passa poi dal tuo provider di posta e dal nostro (Proton), come qualsiasi email.