Политика конфиденциальности blesk

blesk — мессенджер с открытым исходным кодом. Сервер может поставить кто угодно, и данные хранятся на сервере, адрес которого указан в приложении. Здесь описано, что приложение и сервер blesk знают о тебе и чего не знают.

Чего у нас нет

Номера телефона и почты. Аккаунт — это имя пользователя и ключ, созданный на твоём телефоне.
Аналитики, рекламы и сторонних трекеров. Приложение не отправляет сведений о том, как ты им пользуешься.
Доступа к переписке. Личные чаты, группы, закрытые комнаты и звонки шифруются на телефоне протоколом Signal, и ключи никогда не покидают телефон.

Что хранится на твоём телефоне

Переписка, контакты и настройки — в базе, зашифрованной SQLCipher. Её ключ хранится в Android Keystore.
Ключи шифрования — в Android Keystore и в той же зашифрованной базе.
Фото, видео и файлы из чатов — в закрытой папке приложения, недоступной другим приложениям. Перед отправкой из фото и видео удаляются метаданные: место съёмки, время и сведения о камере.
Журнал отладки содержит только коды событий, без текста, ключей и контактов. Он не уходит с телефона, пока ты не поделишься им.

Что видит сервер

Имя пользователя, публичные ключи и отметку, можно ли найти тебя по имени.
Кому адресовано зашифрованное сообщение и когда оно отправлено. Содержимое сервер прочитать не может. Сообщение хранится, пока его не заберёт получатель, и не дольше 30 дней.
Зашифрованные вложения. Ключ от них передаётся только внутри зашифрованного сообщения. Вложения удаляются через 30 дней.
Публичные каналы и открытые комнаты не шифруются, это заметно по матовому виду. Их посты сервер хранит открытым текстом, пока их не удалят.
Сообщения ботам не шифруются: бот — это программа на чужом сервере, и она должна прочитать твоё сообщение.
Кто кого пригласил: приглашение помнит, кто его создал и кто по нему пришёл, ещё 30 дней после регистрации — чтобы останавливать спам. Всё это время пригласивший видит, кто пришёл по его ссылке; потом связь стирается.
IP-адрес нужен серверу, чтобы ограничивать частоту запросов. Он хранится только в памяти и в журнал не пишется. В журнале сервера есть только метод запроса, шаблон адреса, код ответа и время.
Статус «в сети» сервер не знает: телефон сообщает его собеседникам сам, зашифрованным сообщением, и только тем, кому ты это разрешил.

Звонки

Звонки идут через сервер LiveKit. Звук и видео шифруются на телефонах ключом, которого у сервера нет. Сервер знает только, кто и в какую комнату звонка вошёл и когда.

Превью ссылок

Если превью ссылок включено, страницу по первой ссылке в сообщении открывает твой телефон, когда ты отправляешь сообщение. Сайт увидит твой IP-адрес. Карточка ссылки уходит собеседнику внутри зашифрованного сообщения, и его телефон сайт не открывает. Превью выключается в «Приватность и безопасность».

Кто может с тобой связаться

Кто может писать, звонить, добавлять в группы и видеть, что ты в сети, решаешь ты. Эти правила и блокировка выполняются на твоём телефоне. Заблокированный человек не узнает о блокировке.

Удаление

«Удалить аккаунт» стирает на сервере твоё имя, ключи и недоставленные сообщения, а на телефоне — все данные blesk. Стереть данные только на телефоне можно в «Приватность и безопасность».

Исходный код

Код приложения и сервера открыт: https://github.com/gotblesk/blesk. Любое утверждение здесь можно проверить по нему.