Розповідати майже нічого.

Що залишається на твоєму телефоні

Усе, що важливо. Твоя ідентичність, повідомлення, контакти, медіафайли й налаштування зберігаються в зашифрованій базі даних на твоєму пристрої та нікуди не вивантажуються.

Твоя ідентичність — це три слова, створені на телефоні під час першого запуску застосунку. Ніде нічого не реєструється. Якщо видалити застосунок, цієї ідентичності більше не буде.

Що можуть бачити наші сервери

Kryfo тримає два ретранслятори, які передають повідомлення, у двох різних хостингових компаній, тож повідомлення доходять і до телефону, який був офлайн. Що вони бачать, залежить від маршруту, який ти обираєш у застосунку, і застосунок каже про це, перш ніж ти обереш.

• Приватний. Маршрут за замовчуванням. Повідомлення йдуть через Tor до обох наших ретрансляторів, до кожного через його власний onion, і до кількох публічних ретрансляторів Nostr. Жоден ретранслятор не дізнається твою адресу. Як і ніхто інший.
• Швидкий. Оминає Tor заради швидкості. Він підключається напряму до наших двох ретрансляторів, які бачать адресу, з якої ти підключаєшся, поки ти на зв’язку, і не записують її. Кожне повідомлення йде на обидва, тож один може зупинитися, а повідомлення не зупиняться. Поки перший не працює, «Швидкий» використовує й кілька публічних ретрансляторів Nostr, лише через Tor, тож вони ніколи не бачать твоєї адреси.

На обох маршрутах те, що передають ретранслятори, зашифроване, і жоден ретранслятор не може прочитати повідомлення. Кожна розмова має власну адресу поштової скриньки, яка не є ні твоєю особою, ні чиєюсь іншою. Повідомлення доповнюються до одного з п’яти розмірів, тож ретранслятор бачить приблизно, наскільки повідомлення велике, але не наскільки довге, хоча скільки ти надсилаєш і коли, і далі видно. На маршруті «Швидкий» кожен наш ретранслятор бачить, які скриньки читає й пише одна IP-адреса, а коли обоє людей у чаті користуються «Швидким», то й що дві IP-адреси ділять одну скриньку. Одноразові кімнати, коди прив’язки й адреса у твоєму запрошенні йдуть через Tor на обох маршрутах. З іменем користувача на маршруті «Швидкий» наш ретранслятор усе ж міг би пов’язати це ім’я з твоєю IP-адресою, зіставивши час перших повідомлень нового чату. Наші ретранслятори зберігають зашифровані повідомлення 14 днів, щоб телефон, який був офлайн, міг їх отримати, а потім видаляють їх.

Наші ретранслятори не записують журнали підключень на диск.

Запитувати мости в проєкту Tor не обов’язково, і Kryfo робить це лише після твоєї згоди. Запит іде не через Tor, адже там, де ти перебуваєш, Tor може бути заблоковано. Він передається через мережу доставки контенту, тож твій інтернет-провайдер бачить з’єднання з нею, а не з проєктом Tor. Ця мережа і проєкт Tor бачать адресу, з якої ти підключаєшся, і те, що хтось попросив мости. Нічого про твої чати. Окремо від цього, коли Tor підключений, Kryfo приблизно раз на тиждень дивиться, чи змінилися мости, що постачаються з ним. Цей запит іде через Tor, тож нікому не показує твою IP-адресу, і згоди для нього не потрібно. Докладніше на сторінці Коли Tor заблоковано.

Імена користувачів

Якщо ти займеш публічне ім’я користувача, наш сервіс імен зберігає це ім’я, запрошення, на яке воно веде, твій короткий опис і ключ, яким ім’я було зайнято. Коли ім’я було зайнято, він не зберігає. Якщо ти ввімкнеш «Показувати мене в пошуку», він зберігає також ім’я, обране тобою для пошуку, і позначку про те, що твоє ім’я користувача видно в пошуку. Час твоєї останньої зміни та останнього ввімкнення чи вимкнення пошуку зберігається близько 20 хвилин, щоб відсікти повторену зміну, а потім стирається. Він не веде записів про те, хто тебе шукав. Те, що ти вводиш у пошук, надсилається йому, щоб знайти імена користувачів, і не зберігається.

Ім’я користувача необов’язкове: його немає, доки ти його не займеш. Так само з пошуком: він вимкнений, доки ти його не ввімкнеш. Звільнити своє ім’я можна будь-коли. Тоді його запис одразу видаляється. Сервер зберігає одну резервну копію на день і видаляє кожну, коли їй виповнюється тиждень, тож за 8 днів не лишається жодної копії звільненого імені.

У пошуку з’являються лише імена користувачів, власники яких увімкнули «Показувати мене в пошуку», поруч з ім’ям, якщо вони його обрали, а якщо це вимкнути, ти одразу зникаєш із пошуку. Усе, що застосунок запитує в сервісу імен і сервісу значків, іде через Tor на будь-якому маршруті, зокрема на маршруті «Швидкий», тож жоден із них ніколи не бачить твоєї IP-адреси.

Чат із розробником

Починаючи з Kryfo 0.5.0, чат «Marios · створив Kryfo» угорі списку чатів веде до людини, яка робить застосунок. Ключ Marios вбудовано в Kryfo, тож ніхто інший не може відповідати в цьому чаті. Доки ти не напишеш перше повідомлення, ніщо не підключається й нічого не надсилається: ні привітання, ні версії застосунку, ні журналів.

Marios бачить, що й коли ти туди надсилаєш, і може відповісти, як будь-який контакт. Разом із повідомленнями йдуть твої три слова; обране тобою обличчя, твоя onion-адреса й значок прихильника, якщо він є, не йдуть. «Написати анонімно» натомість створює нове ім’я та ключі лише для цього чату; вони залишаються на твоєму телефоні, не потрапляють до резервних копій і ніде більше не використовуються. Це приховує твої три слова, але не твій стиль письма, не те, що ти там пишеш, і не адресу, з якої ти підключаєшся на маршруті «Швидкий».

Голосові в анонімному чаті завжди проходять через зміну голосу. Якщо видалити чат, він видалиться на твоєму телефоні, а надіслане тобою буде відкликано з телефону Marios, так само як відкликається окреме повідомлення. Якщо з його телефоном не вдасться зв’язатися за пів хвилини, застосунок скаже, скільки повідомлень не вдалося відкликати. Повідомлення, яке він уже прочитав, уже прочитане.

Прев’ю посилань

Вимкнені, доки ти їх не ввімкнеш. Коли вони ввімкнені, твій власний телефон завантажує заголовок через Tor і надсилає його всередині зашифрованого повідомлення. Сайт за посиланням бачить запит із мережі Tor і більше нічого. Одержувач повідомлення ніколи не звертається за посиланням.

Пошук GIF

Вимкнений, доки ти його не ввімкнеш. Коли він увімкнений, слова, які ти шукаєш, ідуть на наш сервер, а він запитує GIPHY або Klipy замість тебе. GIF теж повертаються через наш сервер. Яким шляхом вони йдуть, залежить від твого маршруту:

• Приватний. Через Tor, окремим ланцюжком. Наш сервер бачить запит із мережі Tor, але ніколи не бачить твоєї адреси.
• Швидкий. Напряму до нашого сервера, без Tor, як і твої повідомлення на цьому маршруті. Наш сервер бачить адресу, з якої ти підключаєшся, і слова, які ти шукаєш, і не записує ні те, ні інше. Публічні ретранслятори не беруть участі.

Наш сервер не веде записів про те, що шукали і хто, і нікому не передає жодних адрес. GIPHY і Klipy бачать лише запит від нашого сервера зі словами пошуку та мовою застосунку. Вони ніколи не бачать ні твоєї адреси, ні твого телефону, ні того, кому ти надсилаєш GIF. Вибраний тобою GIF надсилається всередині зашифрованого повідомлення, як фото.

Фото й файли

У фотографіях, зроблених у Kryfo, місцезнаходження, дані пристрою й позначки часу видаляються раніше за все інше, і вони ніколи не з’являються у твоїй галереї, якщо ти сам не збережеш копію. Фото, відео, голосові повідомлення й файли, більші за одне повідомлення, ідуть через наш файловий сервіс, коли в усіх у чаті є версія, яка ним користується. Твій телефон запечатує кожен файл власним ключем, а ключ передається лише всередині зашифрованого повідомлення, тож сервіс зберігає байти, які не може відкрити. До нього звертаються через Tor на обох маршрутах, і він ніколи не бачить твоєї адреси. Він знає випадковий ідентифікатор файлу, його розмір з округленням угору, скільки в нього одержувачів і коли його завантажили та отримали. Файл видаляється, щойно він є в усіх одержувачів, і ніщо не зберігається довше за тиждень.

Сповіщення

За замовчуванням Kryfo не використовує службу пушів. Застосунок сам перевіряє повідомлення тим самим маршрутом, яким надсилає, і нікому поза застосунком не повідомляється, що на тебе чекає повідомлення. У розділі «Сповіщення» натомість можна вибрати один із двох інших способів.

• Через застосунок-помічник. За замовчуванням вимкнено й працює лише на маршруті «Приватний». Застосунок-помічник UnifiedPush, наприклад ntfy, тримає одне з’єднання для всіх твоїх застосунків, а наш ретранслятор стукає до нього, коли для тебе щось приходить, порожнім запитом: ні відправника, ні кількості, ні вмісту. Потім Kryfo забирає повідомлення через Tor, як завжди. Наш ретранслятор зберігає для тебе шістнадцять адрес на сервері помічника, не довше за 30 днів. Сервер помічника бачить IP-адресу твого телефону, що ти користуєшся Kryfo, і коли до нього стукають, упереміш із фальшивими стуками. Він ніколи не дізнається, що сказано в повідомленні, хто його надіслав і скільки їх прийшло.
• Пуш від Google. Лише у версії з Google Play, на телефонах із сервісами Google Play. Нічого від Google не працює, поки ти це не обереш. Вибір запитує в Google один токен для цього телефону. Наш ретранслятор зберігає його в шістнадцяти окремих печатках, які не може ні відкрити, ні пов’язати між собою. Служба пушів, яка їх відкриває, працює на нашому другому сервері. Разом два сервери могли б пов’язати ці шістнадцять і побачити токен, який Google може зіставити з твоїм телефоном і обліковим записом Google. Вилучити один недостатньо, але обома керуємо ми, тож ми могли б. Якщо для тебе це важливо, обери інший спосіб. Google бачить, що цей телефон користується Kryfo, коли його будять, упереміш із фальшивими пробудженнями, і IP-адресу твого телефону, як завжди для сервісів Play. Він ніколи не бачить, хто написав, що сказано і скільки. Служба пушів нічого не зберігає на диску й нічого не записує щодо окремих телефонів, а аналітику, рекламний ідентифікатор і метрики доставки Firebase у застосунку вимкнено.

Резервні копії

Резервна копія зберігається як файл на твоєму телефоні, зашифрований парольною фразою, яку знаєш лише ти. Вона ніколи не потрапляє до нас. Починаючи з Kryfo 0.5.1, у ній є й твої налаштування приватності: блокування знімків екрана, зміна голосу, прихований текст повідомлень, захист від шахраїв, знайомства, спосіб отримання повідомлень, а також вибрані тобою тема й мова. PIN-коду в ній ніколи немає.

Пожертви

Якщо ти робиш пожертву, платіж проходить у публічному блокчейні, який поза нашим контролем і поза цією політикою. Ми не питаємо твоє ім’я чи адресу, і пожертва не пов’язана з твоєю ідентичністю Kryfo, якщо тільки ти не вирішиш їх пов’язати.

Чайові у версії з Google Play оплачуються через Google Play. Платіж обробляє Google, і ми ніколи не бачимо ні даних твоєї картки, ні твого імені. У звітах про продажі Google ми бачимо щодо кожних чайових номер замовлення, суму, дату й країну, а для деяких країн ще регіон, місто або поштовий індекс.

Цей сайт

Жодних cookie, жодної аналітики, жодних сторонніх скриптів і жодних шрифтів, завантажених звідкись іще. Сервер не веде журналів відвідувань.

Діти

Kryfo не призначений для дітей. Докладніше про те, як будова застосунку обмежує контакти з незнайомцями, — у нашій нотатці про захист дітей.

Видалення даних

Видаляти майже нічого, і більшість цього ти можеш видалити самостійно й одразу.

• На твоєму телефоні. Видалення чату видаляє його. «Стерти Kryfo з цього телефону» у розділі «Небезпечна зона» в налаштуваннях видаляє все, що Kryfo зберігає на цьому телефоні. Видалення застосунку робить те саме.
• Твоє ім’я користувача. Відкрий своє ім’я користувача в застосунку й обери «Видалити ім’я користувача». Запис одразу видаляється, а щоденні копії на сервері зникають протягом 8 днів.
• Чат із розробником. Якщо його видалити, надіслане тобою відкликається з телефону Marios. Щоб видалити те, що не вдалося відкликати, або надіслане тобою електронною поштою, напиши на gnosiworks@proton.me. Це буде видалено, і ти отримаєш коротке підтвердження.
• Повідомлення іншим людям. Вони на їхніх телефонах, а не в нас. Відклич повідомлення в чаті, і воно зникне і з їхнього телефону.
• Ретранслятори й файли. Наші ретранслятори зберігають зашифровані повідомлення 14 днів, щоб телефон, який був офлайн, усе ще міг їх отримати, а потім самі їх видаляють. Кілька публічних ретрансляторів Nostr теж зберігають копії, кожну з позначкою видалити її через 14 днів. Жоден ретранслятор не може їх прочитати. Великі файли в нашому файловому сервісі видаляються, щойно вони є в усіх одержувачів, щонайпізніше за тиждень.
• Пожертви. Платіж у публічному блокчейні ніхто не може видалити.

Запити даних

Якщо нас попросять передати дані користувачів, передавати майже нічого. У нас немає списків контактів, номерів телефонів, адрес електронної пошти й даних про облікові записи, бо нічого з цього не збирається, і немає вмісту повідомлень, крім того, що люди надсилають у чат із розробником. Єдиний виняток становить пуш від Google: те, що два наші сервери разом могли б пов’язати, як описано в розділі «Сповіщення».

Зміни

Якщо ця політика зміниться, разом із нею зміниться й дата вгорі, а попередні версії залишаться в історії git цього сайту.

Хто відповідає

Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Німеччина. Усі подробиці — у правовій інформації.

Запитання

Пиши на gnosiworks@proton.me або відкрий задачу на github.com/GnosiWorks/Kryfo.

У налаштуваннях пункт «Повідомити про проблему» дає змогу написати нам із застосунку. «Написати в Kryfo» надсилає повідомлення в чат із розробником, описаний вище. «Надіслати лист» відкриває твій власний поштовий застосунок, і тоді лист іде через твого поштового провайдера й нашого (Proton), як будь-який лист.