Não há quase nada para contar.

O que fica no seu celular

Tudo o que importa. Sua identidade, suas mensagens, seus contatos, suas mídias e suas configurações ficam num banco de dados criptografado no seu aparelho e nunca são enviados para lugar nenhum.

Sua identidade são três palavras geradas no celular na primeira vez que você abre o app. Nada é registrado com ninguém. Se você excluir o app, essa identidade deixa de existir.

O que nossos servidores podem ver

O Kryfo mantém dois retransmissores que carregam as mensagens, em duas empresas de hospedagem diferentes, para que as mensagens também cheguem a um celular que estava offline. O que eles veem depende do caminho que você escolhe no app, e o app diz isso antes de você escolher.

• Privado. O padrão. As mensagens viajam pelo Tor até os nossos dois retransmissores, cada um pelo seu próprio onion, e até alguns retransmissores Nostr públicos. Nenhum retransmissor fica sabendo o seu endereço. Ninguém mais fica.
• Rápido. Pula o Tor para ser mais rápido. Ele se conecta direto aos nossos dois retransmissores, que veem o endereço de onde você se conecta enquanto você está conectado e não o anotam. Cada mensagem vai para os dois, então um pode parar sem que as mensagens parem. Enquanto o primeiro está fora do ar, o Rápido também usa alguns retransmissores Nostr públicos, só pelo Tor, então eles nunca veem o seu endereço.

Nos dois caminhos, o que os retransmissores carregam é criptografado, e nenhum retransmissor consegue ler uma mensagem. Cada conversa tem o seu próprio endereço de caixa postal, que não é a sua identidade nem a de mais ninguém. As mensagens são completadas até um de cinco tamanhos, então um retransmissor vê mais ou menos o tamanho de uma mensagem, não o comprimento, embora ainda apareça quantas você envia e quando. No Rápido, cada um dos nossos retransmissores vê quais caixas um endereço IP lê e escreve e, quando as duas pessoas de uma conversa usam o Rápido, que dois endereços IP compartilham uma caixa. Salas descartáveis, códigos de pareamento e o endereço do seu convite passam pelo Tor nos dois caminhos. Com um nome de usuário no Rápido, nosso retransmissor ainda poderia ligar o nome ao seu endereço IP comparando os horários das primeiras mensagens de uma conversa nova. Nossos retransmissores guardam as mensagens criptografadas por 14 dias para que um celular offline possa se atualizar e depois as apagam.

Nossos retransmissores não gravam registros de conexão em disco.

Pedir pontes ao Projeto Tor é opcional, e o Kryfo só faz isso depois que você diz sim. A pergunta não passa pelo Tor, já que o Tor pode estar bloqueado onde você está. Ela passa por uma rede de distribuição de conteúdo, então seu provedor de internet vê uma conexão com essa rede, não com o Projeto Tor. Essa rede e o Projeto Tor veem o endereço de onde você se conecta, e que alguém pediu pontes. Nada sobre suas conversas. À parte disso, depois que o Tor está conectado, o Kryfo verifica mais ou menos uma vez por semana se houve mudanças nas pontes que vêm com ele. Essa verificação passa pelo Tor, então não mostra seu endereço a ninguém, e não precisa do seu sim. Há mais em Quando o Tor está bloqueado.

Nomes de usuário

Se você reservar um nome de usuário público, nosso serviço de nomes de usuário guarda esse nome, o convite para o qual ele aponta, a descrição curta que você escreveu e a chave que o reservou. Ele não guarda quando o nome foi reservado. Se você ativar “Mostrar-me na pesquisa”, ele também guarda o nome que você escolheu para a pesquisa e o fato de seu nome de usuário estar listado. O horário da sua última alteração, e de quando você ativou ou desativou a pesquisa pela última vez, fica guardado cerca de 20 minutos para recusar uma alteração repetida, e depois é apagado. Ele não mantém registro de quem procurou você. O que você digita na pesquisa é enviado a ele para encontrar nomes de usuário, e não é guardado.

Reservar um nome de usuário é opcional e fica desligado a menos que você faça isso, e o mesmo vale para aparecer na pesquisa. Você pode liberar o seu a qualquer momento. Isso apaga o registro dele na hora. O servidor guarda uma cópia de backup por dia e apaga cada cópia quando ela completa uma semana, então depois de 8 dias não sobra nenhuma cópia de um nome de usuário liberado.

Só aparecem nomes de usuário cujo dono ativou “Mostrar-me na pesquisa”, ao lado de um nome, se ele escolheu um, e desativar tira você da pesquisa na hora. Tudo o que o app pergunta ao serviço de nomes de usuário e ao serviço de selos passa pelo Tor em qualquer caminho, inclusive no Rápido, então nenhum dos dois jamais vê o seu endereço IP.

A conversa com o desenvolvedor

A partir do Kryfo 0.5.0, a conversa “Marios · criou o Kryfo”, no topo da sua lista de conversas, vai para a pessoa que faz o app. A chave de Marios vem embutida no Kryfo, então ninguém mais pode responder nela. Nada se conecta e nada é enviado até você escrever a primeira mensagem: nenhum oi, nenhuma versão do app, nenhum registro.

Marios pode ler o que você envia ali, e quando, e te responder como qualquer contato. Suas três palavras vão junto; o rosto que você escolheu, seu endereço onion e seu selo de apoiador, se tiver, não. “Escrever anonimamente” cria em vez disso um nome e chaves novos só para essa conversa, que ficam no seu celular, não entram nos backups e não são usados em nenhum outro lugar. Isso esconde suas três palavras, mas não seu jeito de escrever, o que você escreve nessa conversa nem o endereço de onde você se conecta no caminho Rápido.

Os áudios de uma conversa anônima sempre passam pelo disfarce de voz. Apagar a conversa a apaga no seu celular, e retira do celular de Marios o que você enviou, do mesmo jeito que desfazer o envio de uma única mensagem. Se não der para alcançar o celular dele em meio minuto, o app diz quantas mensagens não puderam ser retiradas. O que ele já leu, já foi lido.

Prévias de link

Desligadas a menos que você as ative. Quando estão ativas, o seu próprio celular busca o título pelo Tor e o envia dentro da mensagem criptografada. O site do link vê uma requisição vinda da rede Tor e nada mais. Quem recebe a mensagem nunca toca no link.

Busca de GIFs

Desligada a menos que você a ative. Quando está ativa, as palavras que você busca vão para o nosso servidor, que consulta o GIPHY ou o Klipy por você. Os GIFs também voltam pelo nosso servidor. O jeito como eles viajam depende do seu caminho:

• Privado. Pelo Tor, em um circuito próprio. Nosso servidor vê uma solicitação vinda da rede Tor, nunca o seu endereço.
• Rápido. Direto para o nosso servidor, sem Tor, como as suas mensagens nesse caminho. Nosso servidor vê o endereço de onde você se conecta e as palavras que você buscou, e não anota nenhum dos dois. Nenhum retransmissor público participa.

Nosso servidor não mantém registro do que foi buscado nem por quem, e não repassa nenhum endereço. O GIPHY e o Klipy só veem o nosso servidor pedindo, com as palavras da busca e o idioma do app. Eles nunca veem seu endereço, seu celular nem para quem você envia um GIF. O GIF que você escolhe é enviado dentro da mensagem criptografada, como uma foto.

Fotos e arquivos

Fotos tiradas dentro do Kryfo perdem a localização, os detalhes do aparelho e os registros de data e hora antes de qualquer outra coisa, e nunca aparecem na sua galeria, a menos que você escolha salvar uma cópia. Fotos, vídeos, mensagens de voz e arquivos maiores que uma mensagem passam pelo nosso serviço de arquivos quando todos na conversa têm uma versão que o usa. Seu celular sela cada arquivo com uma chave própria, e a chave só viaja dentro da mensagem criptografada, então o serviço guarda bytes que não consegue abrir. Ele é acessado pelo Tor nos dois caminhos e nunca vê o seu endereço. Ele sabe o identificador aleatório de um arquivo, o tamanho arredondado para cima, quantos destinatários tem e quando foi enviado e baixado. Um arquivo é apagado assim que todos os destinatários o têm, e nada fica mais de uma semana.

Notificações

Por padrão, o Kryfo não usa nenhum serviço de push. O app verifica as mensagens por conta própria, pelo mesmo caminho por onde envia, e ninguém fora do app fica sabendo que uma mensagem está esperando por você. Em Notificações, você pode escolher no lugar uma de duas outras formas.

• Por um app auxiliar. Desativado por padrão, e só no Privado. Um app auxiliar UnifiedPush, como o ntfy, mantém uma conexão para todos os seus apps, e nosso retransmissor bate nele quando chega algo para você, com uma solicitação vazia: sem remetente, sem quantidade, sem conteúdo. Depois o Kryfo busca pelo Tor como sempre. Nosso retransmissor guarda para você dezesseis endereços no servidor do app auxiliar, por no máximo 30 dias. O servidor do app auxiliar vê o endereço IP do seu celular, que você usa o Kryfo e quando batem nele, com batidas falsas misturadas. Ele nunca fica sabendo o que uma mensagem diz, quem a enviou nem quantas chegaram.
• Push do Google. Só na versão do Google Play, em celulares com os serviços do Google Play. Nada do Google roda antes de você escolher. Escolher pede ao Google um token para este celular. Nosso retransmissor o guarda em dezesseis selos separados que não consegue abrir nem ligar entre si. O serviço de push que os abre roda no nosso segundo servidor. Os dois servidores juntos poderiam ligar os dezesseis e ver o token, que o Google consegue associar ao seu celular e à sua conta Google. Apreender só um não basta, mas administramos os dois, então nós poderíamos. Se isso importa para você, escolha outro jeito. O Google vê que este celular usa o Kryfo, quando ele é despertado, com despertares falsos misturados, e o endereço IP do seu celular, como sempre nos serviços do Play. Ele nunca vê quem escreveu, o que foi dito nem quantas. O serviço de push não guarda nada em disco nem registra nada por celular, e a análise, o identificador de publicidade e as métricas de entrega do Firebase estão desligados no app.

Backups

Um backup é um arquivo no seu celular, criptografado com uma frase-senha que só você conhece. Ele nunca vem para nós. A partir do Kryfo 0.5.1, ele também leva suas configurações de privacidade: bloquear capturas de tela, disfarce de voz, prévias ocultas, escudo antigolpe, apresentações, como as mensagens são entregues, o tema e o idioma que você escolheu. Ele nunca leva um PIN.

Doações

Se você doar, o pagamento acontece numa blockchain pública, que está fora do nosso controle e fora desta política. Não pedimos seu nome nem seu endereço, e uma doação não fica ligada à sua identidade no Kryfo, a menos que você escolha ligar as duas.

As gorjetas na versão do Google Play são pagas pelo Google Play. O Google cuida do pagamento, e nós nunca vemos os dados do seu cartão nem o seu nome. Os relatórios de vendas do Google mostram para nós, de cada gorjeta, o número do pedido, o valor, a data e o país, e em alguns países também a região, a cidade ou o código postal.

Este site

Sem cookies, sem análise de uso, sem scripts de terceiros e sem fontes carregadas de outro lugar. O servidor não registra os visitantes.

Crianças

O Kryfo não é voltado para crianças. Há mais sobre como o design limita o contato de estranhos na nossa nota sobre proteção infantil.

Apagar seus dados

Há muito pouco para apagar, e a maior parte você mesmo pode apagar, na hora.

• No seu celular. Apagar uma conversa a apaga. “Apagar o Kryfo deste celular”, em Zona de perigo nas Configurações, apaga tudo o que o Kryfo guarda neste celular. Desinstalar o app faz o mesmo.
• Seu nome de usuário. Abra seu nome de usuário no app e escolha “Excluir este nome de usuário”. O registro é apagado na hora, e as cópias diárias do servidor somem em até 8 dias.
• A conversa com o desenvolvedor. Apagá-la retira do celular de Marios o que você enviou. Para o que não pôde ser retirado, ou o que você enviou por e-mail, escreva para gnosiworks@proton.me. Isso é apagado, e você recebe uma confirmação curta.
• Mensagens para outras pessoas. Elas estão nos celulares delas, não nos nossos. Desfaça o envio de uma mensagem na conversa, e ela também sai do celular da pessoa.
• Retransmissores e arquivos. Nossos retransmissores guardam as mensagens criptografadas por 14 dias, para que um celular que estava offline ainda possa recebê-las, e depois as apagam sozinhos. Alguns retransmissores Nostr públicos também carregam cópias, cada uma marcada para ser apagada depois de 14 dias. Nenhum retransmissor consegue lê-las. Arquivos grandes no nosso serviço de arquivos são apagados assim que todos os destinatários os têm, no máximo depois de uma semana.
• Doações. Ninguém pode apagar um pagamento numa blockchain pública.

Pedidos de dados

Se nos pedirem para entregar dados de usuários, não há quase nada para entregar. Não guardamos listas de contatos, números de telefone, endereços de e-mail nem registros de contas, porque nada disso é coletado, nem conteúdo de mensagens além do que as pessoas enviam para a conversa com o desenvolvedor. A única exceção é o push do Google: o que os nossos dois servidores juntos poderiam ligar, como descrito em Notificações.

Alterações

Se esta política mudar, a data no topo muda junto, e as versões anteriores ficam no histórico git deste site.

Quem é o responsável

Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Alemanha. Todos os detalhes estão no aviso legal.

Dúvidas

Escreva para gnosiworks@proton.me ou relate um problema em github.com/GnosiWorks/Kryfo.

Em Configurações, “Relatar um problema” permite que você escreva para nós pelo app. “Escrever no Kryfo” envia para a conversa com o desenvolvedor, descrita acima. “Enviar um e-mail” abre o seu próprio app de e-mail, e o e-mail passa então pelo seu provedor de e-mail e pelo nosso (Proton), como qualquer e-mail.