Política de privacidad
La versión corta
Una conversación se guarda como un sobre sellado que el servidor no puede abrir, y se borra una vez entregada. No hay ningún modo sin cifrar en el que acabar: la tabla que una vez guardó mensajes legibles se eliminó, y nada escribe una ahora. No hay publicidad, ni rastreo, ni analítica en este sitio web.
Lo que el servidor ve necesariamente
El cifrado protege el contenido, no el hecho de que haya una conversación. Para entregar un mensaje, el servidor maneja:
- la cuenta y el dispositivo del destinatario a los que va dirigido el sobre
- la hora en que llegó y su tamaño aproximado
- la dirección IP desde la que llegó la petición
En un mensaje sellado, el registro guardado no identifica al remitente, y tampoco lo hace ningún adjunto que lleve: el archivo se guarda sin quien lo subió, porque anotarlo habría devuelto justo lo que el sellado quita. El servidor sigue observando la conexión que lo entregó, así que el remitente sellado no es anonimato.
Lo que deliberadamente no se anota
Las horas que no servían a ninguna petición se quitaron en vez de conservarse: cuándo añadiste un contacto, cuándo bloqueaste a alguien, cuándo un miembro entró en un grupo, y quién subió un adjunto. Nada lo leía; todo habría sido un registro duradero de cómo se formó tu grafo social.
Qué se guarda, y durante cuánto tiempo
Estas ventanas se leen de la configuración en marcha de este servidor cuando se sirve la página:
- Sobres cifrados entregados: se borran a los 1 día(s).
- Sobres cifrados no entregados: se borran a los 30 días, se recojan o no.
- Adjuntos: se borran a los 30 días.
- Claves previas de un solo uso ya usadas: se borran a los 7 días.
- Tu lista de contactos: se guarda mientras la presencia la necesita; puedes quitarla. "Quitar mi lista de contactos del servidor", en la aplicación, borra la copia del servidor para siempre, y desde entonces tus contactos viven solo en los almacenes cifrados de tus dispositivos.
- Dispositivos en silencio durante 90 días: caducan; sus claves se retiran y su correo en cola se borra. El dispositivo más reciente de la cuenta se conserva, y una cuenta tiene como máximo 6 dispositivos.
Un operador que ejecute su propio servidor puede configurar todo esto; la página muestra siempre los valores en vivo de la instancia.
Datos de la cuenta
Una cuenta tiene un nombre de usuario, una dirección de correo y un hash de la contraseña. Cada dispositivo que registras publica sus claves públicas. Las claves privadas se generan en tu dispositivo y nunca se transmiten.
Lo que se queda en tu teléfono
Tu historial de conversaciones se guarda en tu dispositivo para que cerrar la aplicación no lo pierda. Allí está sellado con una clave que vive solo en el almacenamiento seguro de ese dispositivo: nunca en una copia de seguridad, nunca en otro dispositivo, y nunca aquí.
Un mensaje que has empezado a escribir y no has enviado se guarda de la misma forma, para que cambiar de aplicación o una interrupción no lo pierda. Es el único texto de la aplicación que no has decidido compartir con nadie: recibe la misma protección que la conversación en vez de quedarse en algún sitio más cómodo, nunca sale del dispositivo, y cerrar sesión lo borra con todo lo demás.
Buscar en tus mensajes
La búsqueda ocurre por completo en tu dispositivo, sobre los mensajes que ya están ahí. Nada de lo que escribes en la caja de búsqueda se envía a ninguna parte, y nada se guarda: las palabras que buscaste suelen decir más que lo que encontraste, así que no se anotan, ni siquiera en tu propio teléfono.
Tampoco hay, a propósito, un índice de búsqueda. Un índice se construye a partir de tus mensajes en forma legible, así que sería una segunda copia de todo lo que has escrito, una que habría que proteger con el mismo cuidado que la primera y que podría olvidarse. La aplicación busca en lo que ya tiene.
No existe la conversación sin cifrar
No hay forma, ni para esta aplicación, ni para una antigua, ni para la de nadie, de poner un mensaje legible en este servidor. Las rutas que lo aceptaban ya no existen y la tabla que los guardaba se eliminó.
Esta página describió una vez un mensaje enviado con el cifrado desactivado, guardado bajo una clave que tenía el operador. Eso protegía contra una copia robada de la base de datos y contra nada más, y ya no es posible. Se dice aquí en vez de quitarse en silencio, porque quien leyó aquello tomó una decisión basada en ello.
Este sitio web
No se ponen cookies y no se recoge analítica. No se carga ningún script de terceros en ninguna página, con una sola excepción: la página de donaciones carga el script de Stripe para que el pago se pueda hacer aquí en vez de mandarte a otro sitio. Los campos de la tarjeta son de Stripe, en un marco que este sitio no puede leer; el número de tarjeta nunca llega a este servidor. Si decides dejar allí un correo para el recibo, se pasa a Stripe para que lo envíe, y este servidor ni lo guarda ni lo registra.
La portada lleva una encuesta de usar y tirar en la que puedes votar sin cuenta. Cuenta en memoria y vuelve a cero cuando el servidor se reinicia. Lo único que recuerda de ti, en memoria y durante una hora, es que tu dirección ya ha votado, para que una persona no pueda votar cincuenta veces; nada de eso se escribe en disco.
Cada página se sirve bajo una política de seguridad de contenido que la rompería si se añadiera cualquier otro script de terceros. La política de la página de donaciones nombra a Stripe y a nadie más; el resto del sitio, incluida la API, no permite ningún origen externo.
Tus opciones
Puedes borrar un dispositivo, lo que quita sus claves y cualquier mensaje en cola para él. Puedes borrar tu cuenta, lo que quita el registro de la cuenta y sus dispositivos. Los mensajes ya entregados al dispositivo de otra persona están en su dispositivo y nosotros no podemos retirarlos.
Contacto
Preguntas sobre privacidad: privacy@flamenetmessenger.com. Informes de seguridad: ver la página de seguridad.