В Kryfo нет аккаунтов, поэтому данные не к чему привязать. Он никогда не спрашивает твой номер телефона, адрес электронной почты или имя. Он не читает твои контакты. В нём нет аналитики, рекламы и какого-либо отслеживания. Твои сообщения шифруются на твоём телефоне, и прочитать их может только тот, кому они отправлены.
Что остаётся на твоём телефоне
Всё, что важно. Твой профиль, сообщения, контакты, медиафайлы и настройки хранятся в зашифрованной базе данных на твоём устройстве и никуда не загружаются.
Твой профиль — это три слова, созданные на телефоне при первом запуске приложения. Нигде ничего не регистрируется. Если удалить приложение, этого профиля больше не будет.
Что могут видеть наши серверы
Kryfo держит два ретранслятора, которые передают сообщения, у двух разных хостинговых компаний, так что сообщения доходят и до телефона, который был не в сети. Что они видят, зависит от маршрута, который ты выбираешь в приложении, и приложение говорит об этом до того, как ты выберешь.
- Приватный. Маршрут по умолчанию. Сообщения идут через Tor к обоим нашим ретрансляторам, к каждому через его собственный onion, и к нескольким публичным ретрансляторам Nostr. Ни один ретранслятор не узнаёт твой адрес. Как и никто другой.
- Быстрый. Обходит Tor ради скорости. Он подключается напрямую к нашим двум ретрансляторам, которые видят адрес, с которого ты подключаешься, пока ты на связи, и не записывают его. Каждое сообщение идёт на оба, поэтому один может остановиться, а сообщения не остановятся. Пока первый не работает, «Быстрый» использует и несколько публичных ретрансляторов Nostr, только через Tor, поэтому они никогда не видят твой адрес.
На обоих маршрутах то, что передают ретрансляторы, зашифровано, и ни один ретранслятор не может прочитать сообщение. У каждой беседы свой адрес почтового ящика, который не является ни твоей личностью, ни чьей-то ещё. Сообщения дополняются до одного из пяти размеров, поэтому ретранслятор видит примерно, насколько сообщение большое, но не насколько длинное, хотя сколько ты отправляешь и когда, по-прежнему видно. На маршруте «Быстрый» каждый наш ретранслятор видит, какие ящики читает и пишет один IP-адрес, а когда оба человека в чате используют «Быстрый», то и что два IP-адреса делят один ящик. Одноразовые комнаты, коды привязки и адрес в твоём приглашении идут через Tor на обоих маршрутах. С именем пользователя на маршруте «Быстрый» наш ретранслятор всё же мог бы связать это имя с твоим IP-адресом, сопоставив время первых сообщений нового чата. Наши ретрансляторы хранят зашифрованные сообщения 14 дней, чтобы телефон, который был не в сети, мог их получить, а потом удаляют их.
Наши ретрансляторы не записывают журналы подключений на диск.
Запрашивать мосты у проекта Tor не обязательно, и Kryfo делает это только с твоего согласия. Запрос идёт не через Tor, ведь там, где ты находишься, Tor может быть заблокирован. Он передаётся через сеть доставки контента, поэтому твой интернет-провайдер видит подключение к ней, а не к проекту Tor. Эта сеть и проект Tor видят адрес, с которого ты подключаешься, и то, что кто-то запросил мосты. Ничего о твоих чатах. Отдельно от этого, когда Tor подключён, Kryfo примерно раз в неделю смотрит, не изменились ли мосты, которые идут вместе с ним. Этот запрос идёт через Tor, поэтому никому не показывает твой IP-адрес, и согласие для него не нужно. Подробнее на странице Если Tor заблокирован.
Имена пользователей
Если ты займёшь публичное имя пользователя, наш сервис имён хранит это имя, приглашение, на которое оно ведёт, твоё короткое описание и ключ, которым имя было занято. Когда имя было занято, он не хранит. Если ты включишь «Показывать меня в поиске», он хранит также имя, выбранное тобой для поиска, и отметку о том, что твоё имя пользователя видно в поиске. Время твоего последнего изменения и последнего включения или выключения поиска хранится около 20 минут, чтобы отсечь повторённое изменение, а потом стирается. Он не ведёт записей о том, кто тебя искал. То, что ты вводишь в поиск, отправляется ему, чтобы найти имена пользователей, и не сохраняется.
Имя пользователя необязательно: его нет, пока ты его не займёшь. Так же и с поиском: он выключен, пока ты его не включишь. Освободить своё имя можно в любой момент. Тогда его запись сразу удаляется. Сервер хранит одну резервную копию в день и удаляет каждую, когда ей исполняется неделя, так что через 8 дней не остаётся ни одной копии освобождённого имени.
В поиске появляются только имена пользователей, владельцы которых включили «Показывать меня в поиске», рядом с именем, если они его выбрали, а если это выключить, ты сразу пропадаешь из поиска. Всё, что приложение запрашивает у сервиса имён и сервиса значков, идёт через Tor на любом маршруте, в том числе на маршруте «Быстрый», поэтому ни тот, ни другой никогда не видит твой IP-адрес.
Чат с разработчиком
Начиная с Kryfo 0.5.0, чат «Marios · создал Kryfo» вверху списка чатов ведёт к человеку, который делает приложение. Ключ Marios встроен в Kryfo, поэтому никто другой не может отвечать в этом чате. Пока ты не напишешь первое сообщение, ничего не подключается и ничего не отправляется: ни приветствия, ни версии приложения, ни журналов.
Marios видит, что и когда ты туда отправляешь, и может ответить, как любой контакт. Вместе с сообщениями уходят твои три слова; выбранное тобой лицо, твой onion-адрес и значок сторонника, если он есть, не уходят. «Написать анонимно» вместо этого создаёт новое имя и ключи только для этого чата; они остаются на твоём телефоне, не попадают в резервные копии и больше нигде не используются. Это скрывает твои три слова, но не твой стиль письма, не то, что ты там пишешь, и не адрес, с которого ты подключаешься на маршруте «Быстрый».
Голосовые в анонимном чате всегда проходят через изменение голоса. Если удалить чат, он удалится на твоём телефоне, а отправленное тобой будет отозвано с телефона Marios, так же как при отзыве одного сообщения. Если за полминуты связаться с его телефоном не получится, приложение скажет, сколько сообщений отозвать не удалось. Сообщение, которое он уже прочитал, уже прочитано.
Превью ссылок
Выключены, пока ты их не включишь. Когда они включены, твой собственный телефон загружает заголовок через Tor и отправляет его внутри зашифрованного сообщения. Сайт по ссылке видит запрос из сети Tor и больше ничего. Получатель сообщения никогда не обращается по ссылке.
Поиск GIF
Выключен, пока ты его не включишь. Когда он включён, слова, которые ты ищешь, уходят на наш сервер, а он запрашивает GIPHY или Klipy за тебя. GIF тоже возвращаются через наш сервер. Каким путём они идут, зависит от твоего маршрута:
- Приватный. Через Tor, по отдельной цепочке. Наш сервер видит запрос из сети Tor, но никогда не видит твой адрес.
- Быстрый. Напрямую к нашему серверу, без Tor, как и твои сообщения на этом маршруте. Наш сервер видит адрес, с которого ты подключаешься, и слова, которые ты искал, и не записывает ни то, ни другое. Публичные ретрансляторы не участвуют.
Наш сервер не ведёт записей о том, что искали и кто искал, и никому не передаёт адреса. GIPHY и Klipy видят только запрос от нашего сервера, со словами поиска и языком приложения. Они никогда не видят ни твой адрес, ни твой телефон, ни того, кому ты отправляешь GIF. Выбранный тобой GIF отправляется внутри зашифрованного сообщения, как фото.
Фото и файлы
У фотографий, сделанных в Kryfo, местоположение, данные устройства и отметки времени удаляются раньше всего остального, и они никогда не появляются в твоей галерее, если ты сам не сохранишь копию. Фото, видео, голосовые сообщения и файлы больше одного сообщения идут через наш файловый сервис, когда у всех в чате есть версия, которая им пользуется. Твой телефон запечатывает каждый файл собственным ключом, а ключ передаётся только внутри зашифрованного сообщения, поэтому сервис хранит байты, которые не может открыть. К нему обращаются через Tor на обоих маршрутах, и он никогда не видит твой адрес. Он знает случайный идентификатор файла, его размер с округлением вверх, сколько у него получателей и когда он был загружен и скачан. Файл удаляется, как только он есть у всех получателей, и ничто не хранится дольше недели.
Уведомления
По умолчанию Kryfo не использует службу пушей. Приложение само проверяет сообщения по тому же маршруту, по которому отправляет, и никому вне приложения не сообщается, что тебя ждёт сообщение. В разделе «Уведомления» вместо этого можно выбрать один из двух других способов.
- Через приложение-помощник. По умолчанию выключено и работает только на маршруте «Приватный». Приложение-помощник UnifiedPush, например ntfy, держит одно соединение для всех твоих приложений, а наш ретранслятор стучится к нему, когда для тебя что-то приходит, пустым запросом: ни отправителя, ни количества, ни содержимого. Затем Kryfo забирает сообщения через Tor, как всегда. Наш ретранслятор хранит для тебя шестнадцать адресов на сервере помощника, не дольше 30 дней. Сервер помощника видит IP-адрес твоего телефона, что ты пользуешься Kryfo, и когда к нему стучатся, вперемешку с ложными стуками. Он никогда не узнаёт, что сказано в сообщении, кто его отправил и сколько их пришло.
- Пуш от Google. Только в версии из Google Play, на телефонах с сервисами Google Play. Ничего от Google не работает, пока ты это не выберешь. Выбор запрашивает у Google один токен для этого телефона. Наш ретранслятор хранит его в шестнадцати отдельных печатях, которые не может ни открыть, ни связать между собой. Служба пушей, которая их открывает, работает на нашем втором сервере. Вместе два сервера могли бы связать эти шестнадцать и увидеть токен, который Google может сопоставить с твоим телефоном и аккаунтом Google. Изъять один недостаточно, но обоими управляем мы, так что мы могли бы. Если для тебя это важно, выбери другой способ. Google видит, что этот телефон пользуется Kryfo, когда его будят, вперемешку с ложными пробуждениями, и IP-адрес твоего телефона, как всегда для сервисов Play. Он никогда не видит, кто написал, что сказано и сколько. Служба пушей ничего не хранит на диске и ничего не записывает по отдельным телефонам, а аналитика, рекламный идентификатор и метрики доставки Firebase в приложении отключены.
Резервные копии
Резервная копия хранится в файле на твоём телефоне, зашифрованном парольной фразой, которую знаешь только ты. Она никогда не попадает к нам. Начиная с Kryfo 0.5.1 она переносит и твои настройки приватности: запрет скриншотов, изменение голоса, скрытые превью, защиту от мошенников, знакомства, способ доставки сообщений, выбранные тобой тему и язык. PIN-код она никогда не переносит.
Пожертвования
Если ты делаешь пожертвование, платёж проходит в публичном блокчейне, который вне нашего контроля и вне этой политики. Мы не спрашиваем твоё имя или адрес, и пожертвование не связано с твоим профилем Kryfo, если только ты не решишь их связать.
Чаевые в версии из Google Play оплачиваются через Google Play. Платёж обрабатывает Google, и мы никогда не видим ни данные твоей карты, ни твоё имя. В отчётах о продажах Google мы видим по каждым чаевым номер заказа, сумму, дату и страну, а для некоторых стран ещё регион, город или почтовый индекс.
Этот сайт
Никаких cookie, никакой аналитики, никаких сторонних скриптов и никаких шрифтов, загружаемых откуда-то ещё. Сервер не ведёт журналов посещений.
Дети
Kryfo не предназначен для детей. Подробнее о том, как устройство приложения ограничивает контакты с незнакомцами, — в нашей заметке о защите детей.
Удалить свои данные
Удалять тут совсем немного, и большую часть можно удалить самостоятельно и сразу.
- На твоём телефоне. Если удалить чат, он удаляется. «Стереть Kryfo с этого телефона» в разделе «Опасная зона» в настройках стирает всё, что Kryfo хранит на этом телефоне. Удаление приложения делает то же самое.
- Твоё имя пользователя. Открой своё имя пользователя в приложении и выбери «Удалить имя пользователя». Запись сразу удаляется, а ежедневные резервные копии на сервере пропадают в течение 8 дней.
- Чат с разработчиком. Если его удалить, отправленное тобой будет отозвано с телефона Marios. Насчёт всего, что отозвать не удалось, и всего, что было отправлено по почте, пиши на gnosiworks@proton.me. Это удаляется, а тебе приходит короткое подтверждение.
- Сообщения другим людям. Они хранятся на их телефонах, а не у нас. Отзови сообщение в чате, и оно пропадёт и с их телефона.
- Ретрансляторы и файлы. Наши ретрансляторы хранят зашифрованные сообщения 14 дней, чтобы телефон, который был не в сети, всё ещё мог их получить, а потом сами их удаляют. Несколько публичных ретрансляторов Nostr тоже хранят копии, каждая с пометкой удалить её через 14 дней. Ни один ретранслятор не может их прочитать. Большие файлы в нашем файловом сервисе удаляются, как только они есть у всех получателей, самое позднее через неделю.
- Пожертвования. Платёж в публичном блокчейне никто не может удалить.
Запросы данных
Если нас попросят передать данные пользователей, передавать почти нечего. У нас нет списков контактов, номеров телефонов, адресов электронной почты и записей об аккаунтах, потому что ничего из этого не собирается, и нет содержимого сообщений, кроме того, что люди отправляют в чат с разработчиком. Единственное исключение составляет пуш от Google: то, что два наших сервера вместе могли бы связать, как описано в разделе «Уведомления».
Изменения
Если эта политика изменится, вместе с ней изменится и дата наверху, а прежние версии останутся в истории git этого сайта.
Кто отвечает
Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Германия. Все подробности — в выходных данных.
Вопросы
Пиши на gnosiworks@proton.me или открой задачу на github.com/GnosiWorks/Kryfo.
В настройках пункт «Сообщить о проблеме» позволяет написать нам прямо из приложения. «Написать в Kryfo» отправляет сообщение в чат с разработчиком, о котором сказано выше. «Отправить письмо» открывает твоё собственное почтовое приложение, и письмо дальше идёт через твоего почтового провайдера и через нашего (Proton), как любое письмо.