Política de privadesa de Herkos

Última actualització: 11 de novembre de 2026. URL canònica: https://herkos.app/privacy

Traducció. Aquesta és una traducció de cortesia. En cas de discrepància preval la versió en anglès.

Herkos Mail, Herkos Calendar, Herkos Notes, Herkos Drive i Herkos Local Relay són aplicacions lliures i de codi obert per a la xarxa Nostr, publicades pel projecte Herkos («nosaltres»). Herkos Calendar, Herkos Notes, Herkos Drive i Herkos Local Relay encara són en desenvolupament. Aquest document explica quines dades tracten les aplicacions i els nostres llocs web, on van i qui les pot veure. L'hem escrit perquè es llegeixi, no perquè s'ullegi per sobre: si alguna cosa d'aquí et sorprèn, digues-nos-ho a privacy@herkos.email.

Informació bàsica sobre protecció de dades

La primera capa, en poques línies; la resta d'aquest document és la segona.

• Responsable — Del que les aplicacions guarden al teu dispositiu i del que envien a relays i servidors: tu, amb l'operador de cada relay i servidor que fas servir. Herkos no en rep res. Dels nostres llocs web i del que ens escriguis: el projecte Herkos, privacy@herkos.email.
• Finalitat — Les aplicacions: guardar, enviar i rebre el teu correu, els teus esdeveniments, les teves notes i els teus fitxers. Els nostres llocs web: servir les pàgines i respondre't si ens escrius.
• Legitimació — Les aplicacions no tracten res per part nostra. Els nostres llocs web: el nostre interès legítim a servir-los i mantenir-los segurs; la nostra resposta: la teva petició.
• Destinataris — Els relays, servidors Blossom, bridges i altres serveis que fa servir cada aplicació, anomenats un per un més avall, amb el que veu cadascun; Cloudflare, per als nostres llocs web. Alguns servidors predeterminats són fora de la Unió Europea (vegeu Herkos Drive més avall). No venem res a ningú.
• Drets — Accés, rectificació, supressió, oposició, limitació i portabilitat. El que és al teu dispositiu ho veus, ho canvies i ho esborres a les aplicacions; el que és en un relay o un servidor, amb el seu operador. També pots presentar una reclamació davant la teva autoritat de protecció de dades (a Espanya, l'AEPD).
• Informació addicional — Més avall: què es queda al teu dispositiu, què en surt i cap a qui, aplicació per aplicació, i les teves opcions.

La versió curta

• Herkos no té sistema de comptes, ni servidor propi, ni analítica. No rebem els teus missatges, ni els teus esdeveniments, ni les teves notes, ni els teus contactes, ni la teva clau, ni el teu ús.
• La teva clau pública de Nostr és la teva identitat a la xarxa. Tot allò que publiques a Nostr (perfil, llistes de relays, etiquetes) hi queda vinculat i és visible per als relays que utilitzes.
• El correu entre usuaris de Nostr va xifrat d'extrem a extrem (NIP-17). El correu cap a adreces tradicionals, o que en prové, passa per un bridge que el pot llegir.
• Algunes funcions opcionals envien dades a tercers (notificacions push, enviament programat). Estan desactivades fins que les actives, i aquest document les anomena totes.
• Els esdeveniments del calendari es xifren al teu dispositiu. Els relays veuen que tens esdeveniments, quina mida tenen aproximadament i quan canvien, no què hi diu. Els esdeveniments públics, la llista d'ocupació i els enllaços per compartir són públics perquè tu ho tries, un per un. Per saber on reben els teus convidats, Calendar només pregunta als teus relays, mai a un índex de tercers.
• Les notes es xifren al teu dispositiu, amb la teva pròpia clau. Els relays no les poden llegir, però sí que poden veure quantes notes tens i quan edites cadascuna. La cerca es fa al teu dispositiu: les paraules que busques no en surten mai. Una nota que comparteixes arriba només al compte que tries, segellada: els relays no veuen ni qui l'envia ni què diu.
• Els fitxers de Herkos Drive es xifren al teu dispositiu, bloc per bloc, abans d'anar als servidors Blossom; els seus noms i carpetes van xifrats als relays. Els relays i els servidors poden veure quants fitxers i carpetes tens, quina mida tenen aproximadament i quan canvien, no com es diuen ni què contenen. Un enllaç per compartir porta la seva pròpia clau després del #: guarda'l com una contrasenya.
• Herkos Local Relay guarda els teus esdeveniments al teu dispositiu, xifrats, i no envia res a Herkos. Només escolta al mateix dispositiu (127.0.0.1), tret que activis la xarxa local, i aleshores només per a les claus de la teva llista. Només parla amb els teus relays i amb els relays de bústia de les persones a qui escrius; els esdeveniments privats no surten mai del dispositiu. Les seves còpies van només a una carpeta que tries tu, mai al núvol. Amb Tor activat (Windows i Linux), també s'hi pot arribar per la xarxa de Tor, de nou només amb les claus de la teva llista.
• Els nostres llocs web (herkos.app i els seus subdominis) els serveix Cloudflare, que veu la teva adreça IP com qualsevol allotjament web. No posen galetes ni fan servir analítica.

Dades que es queden al teu dispositiu

• La teva clau secreta (nsec), quan hi entres, es desa a l'emmagatzematge segur del sistema operatiu (Android Keystore, Clauer d'iOS/macOS, Administrador de credencials de Windows, libsecret a Linux, emmagatzematge local xifrat al web). Si entres amb un signant remot (un «bunker» NIP-46), la clau no arriba mai al dispositiu.

Al navegador no hi ha aquest magatzem segur. La clau viu a l'emmagatzematge local del lloc i passa per JavaScript cada vegada que se signa alguna cosa, de manera que una extensió amb accés a totes les pàgines, un error d'XSS o un desplegament manipulat la podrien llegir; i, a diferència d'una app instal·lada, una web serveix codi nou a cada visita. A la versió web, fes servir un signant remot o una identitat que et puguis permetre perdre. - La teva bústia: els correus desxifrats, els adjunts, les etiquetes, les carpetes i els contactes es guarden en una base de dades local perquè l'app funcioni sense connexió. Aquesta base de dades no està xifrada més enllà del que ofereix el sistema operatiu; el bloqueig de l'app (PIN o biometria) és una barrera de comoditat, no un xifratge en repòs. A Android, l'app queda exclosa de les còpies de seguretat al núvol i entre dispositius. - El PIN de bloqueig: es desa com a resum amb sal i estirament de clau (PBKDF2), mai en clar. Herkos Calendar i Herkos Notes tenen cadascuna un PIN propi, desat de la mateixa manera. - El teu calendari (Herkos Calendar): els esdeveniments, les llistes, les claus de visualització i els recordatoris que pots llegir es guarden al dispositiu, xifrats registre per registre amb una clau desada a l'emmagatzematge segur del sistema operatiu. Al navegador, el calendari només es manté a la memòria i es torna a obtenir dels relays cada vegada. Els recordatoris els fa sonar el mateix dispositiu: Calendar no fa servir cap servidor de push. Si tries amagar els títols als recordatoris, només diuen «Esdeveniment» i quan comença. La teva clau de Calendar es guarda a part de les de Herkos Mail (vegeu «El teu compte», a la secció de Calendar). - Les teves notes (Herkos Notes): les notes, el seu historial, els quaderns i l'índex de cerca es guarden al dispositiu, xifrats registre per registre amb una clau desada a l'emmagatzematge segur del sistema operatiu. Al navegador es guarden igual, a l'emmagatzematge del navegador per al lloc (IndexedDB), amb la clau també al navegador: en un ordinador que fan servir altres persones, això protegeix poc. Si el navegador no guarda res del lloc (una finestra privada, les dades del lloc bloquejades), només es mantenen a la memòria i sense connexió no es pot escriure. Una nota que bloqueges té una contrasenya pròpia; sense ella ningú no pot obrir aquella nota, tampoc nosaltres. La còpia de les teves notes és un fitxer que només s'escriu on tu el deses, xifrat amb una contrasenya pròpia. La còpia automàtica, que es fa cada dia tret que la desactivis, és un fitxer en una carpeta del dispositiu (Herkos Notes/backups, als teus Documents), xifrat amb la clau del teu compte; es guarden les set últimes i no s'envia enlloc (en un navegador no n'hi ha). Les notes que altres comptes comparteixen amb tu esperen a «Rebudes d'altres», al dispositiu i xifrades com la resta, fins que les deses o les descartes.

• Els teus fitxers (Herkos Drive): la llista dels teus fitxers i carpetes, amb les seves claus, es guarda en memòria cau al dispositiu, xifrada registre per registre amb una clau desada a l'emmagatzematge segur del sistema operatiu; el que encara s'ha d'enviar, i els blocs que esperen per pujar, també es guarden xifrats. Les miniatures només es guarden a la memòria. Un fitxer que baixes o obres s'escriu en clar on tu tries, com qualsevol fitxer. La còpia de seguretat del teu Drive (.hbk, o la còpia de l'índex amb una contrasenya pròpia) és un fitxer escrit només on tu el deses. A Android, el selector de fitxers del sistema i «Comparteix» només mostren els fitxers de Drive mentre Drive està desbloquejat, i el que una aplicació n'obté es desxifra al moment, sense escriure's mai al disc.
• El teu relay (Herkos Local Relay): els seus esdeveniments, les aplicacions aparellades, la seva configuració i on van les seves còpies; vegeu la seva pròpia secció més avall.

Pots esborrar-ho tot des de Configuració → Més → Restableix l'aplicació, o eliminant un compte.

Dades que surten del teu dispositiu, i cap a qui

Aquesta taula és per a Herkos Mail. Herkos Calendar, Herkos Notes, Herkos Drive i Herkos Local Relay tenen les seves pròpies seccions més avall.

Els teus relays privats. Si el teu compte té una llista de relays privats (kind 10013, NIP-37; Herkos Notes i Calendar fan servir la mateixa), Mail desa els teus esborranys, la configuració xifrada, les etiquetes i els enviaments programats als seus relays, no als teus relays d'escriptura; el que hi va deixar abans ho continua llegint, i també ho esborra allà. Sense aquesta llista, van als teus relays d'escriptura. Mail només publica la llista quan tu ho demanes (Ajustos → Allotjament → Relays privats), xifrada amb la teva clau: els relays veuen la teva clau pública, que la llista existeix i quan canvia, no els relays que conté. Una llista que va escriure una altra app es fa servir tal com és i mai no se sobreescriu.

Reenviament automàtic (Ajustos → Reenviament automàtic, apagat fins que l'encenguis). Una còpia de cada missatge nou va a l'única adreça que triïs: a un compte de Nostr, xifrada d'extrem a extrem com qualsevol missatge; a una adreça tradicional, pel bridge de l'adreça principal del teu compte, que la veu sencera (vegeu Bridges més amunt). Ho fa aquest dispositiu, mentre Mail és obert o a la sincronització següent; l'ajust es queda al dispositiu i mai no es publica.

Una app de signatura al teu mòbil Android (NIP-55, com Amber). La clau es queda en aquella app, i Mail hi parla directament al mòbil, sense relays ni xarxa pel mig; el dispositiu només desa la teva clau pública i quina app signa. Mail només li demana signar els kinds que Mail signa amb el teu compte i xifrar i desxifrar (NIP-44), mai els sobres dels missatges, que fan servir claus d'un sol ús, i comprova cada esdeveniment signat que torna abans de fer-lo servir.

Herkos Local Relay. Si Herkos Local Relay és al mateix dispositiu, Mail ofereix una vegada connectar-s'hi; no s'envia res fins que toques Connecta i aproves Mail a Herkos Local Relay. Mail s'hi aparella amb una clau pròpia i comprova a cada connexió que és el mateix relay. Signa una vegada amb la teva clau, perquè el relay desi els teus esdeveniments com a teus; després hi copia el correu que desa aquest dispositiu i, des d'aleshores, cada esdeveniment del teu compte que Mail envia i cada sobre que rep, tal com es van signar i encara xifrats, i demana al relay que els desi al dispositiu i que doni els privats només a la teva clau. Els sobres que envies a altres no es copien. Mail mai no hi llegeix: és una còpia. Per a això no surt res del dispositiu.

Herkos mateix no rep res d'això. No hi ha informes d'errors ni telemetria.

Herkos Calendar: què veuen els relays

Calendar parla amb relays de Nostr: els del teu compte (les teves llistes NIP-65 i de bústia), els de Configuració → Relays (editables) i, quan convides algú o respons una invitació, els relays de bústia d'aquesta persona. Amb ningú més, tret del que consultes tu (més avall): tampoc amb índexs públics de relays. «El teu compte», més avall, explica per a què serveix cadascun. No hi ha cap servidor de Herkos, ni servidor de push, ni telemetria. Cada relay veu la teva adreça IP i l'hora de cada connexió.

Un relay que demana autenticació NIP-42 aprèn la teva clau pública; Calendar només respon aquesta petició per als teus propis esdeveniments als teus propis relays, i per llegir la teva pròpia bústia. Esborrar a Nostr és una petició: un relay pot conservar-ne la còpia, encara xifrada.

Allò que res dels esdeveniments no pot amagar: cada invitació surt des de la teva adreça IP, i cada convidat obté l'esdeveniment dels teus relays des de la seva. Un relay que guarda les bústies de diversos dels teus convidats pot saber que les seves invitacions van sortir de la mateixa adreça. Només Tor o una VPN ho amaguen.

El teu compte

Calendar no crea comptes: hi entres amb una identitat de Nostr que ja tens, d'una d'aquestes maneres.

• Amb una app de signatura al teu mòbil Android (NIP-55, com ara Amber): la clau es queda en aquella app, i Calendar hi parla directament al mòbil, sense cap relay ni xarxa pel mig. El dispositiu només guarda la teva clau pública i quina app signa. Calendar li demana el mateix que a un bunker (més avall), mai els sobres de les invitacions, i comprova cada esdeveniment signat que torna abans de fer-lo servir.
• Amb la teva clau (nsec, o ncryptsec protegida amb contrasenya, que s'obre al dispositiu): es desa a l'emmagatzematge segur del sistema operatiu, amb un nom propi de Calendar. Herkos Mail guarda els seus comptes a part, i Calendar no els llegeix, no els canvia i no els esborra: tancar la sessió en una app no te la tanca a l'altra.
• Amb un enllaç bunker://: la clau es queda a la teva app de signatura. Calendar hi parla pels relays que anomena l'enllaç, i només li demana la teva clau pública, xifrar i desxifrar (NIP-44) i signar els kinds d'esdeveniment propis de Calendar; els sobres de les invitacions no hi passen mai, perquè porten claus d'un sol ús. El dispositiu només guarda la connexió (una clau feta per a ella, la clau pública de l'app de signatura i els seus relays). Aquests relays veuen la teva adreça IP, les claus de la connexió i quan es demanen signatures; les sol·licituds van xifrades.
• Amb Nostr Connect (un codi QR): com el bunker, però la connexió passa pels relays de Configuració → Relays. Calendar no hi afegeix cap relay seu ni de ningú altre.

Els teus relays. En entrar, Calendar busca les teves llistes (NIP-65, kind 10002, i la de bústia, kind 10050) als relays de Configuració → Relays, en una connexió a part que no t'identifica: si un relay demana autenticació, rep una clau d'un sol ús, no la teva. A partir d'aquí:

• els teus esdeveniments, les teves llistes i la teva configuració xifrada es publiquen als teus relays d'escriptura (NIP-65). Si no tens aquesta llista, als de Configuració, i la pàgina del compte t'ho diu;
• les teves invitacions i respostes es llegeixen dels teus relays de lectura i de bústia. Calendar només respon a l'autenticació NIP-42 als teus propis relays, i només per al que és teu;
• obrir l'app amb la sessió iniciada no connecta enlloc fins que cal;
• si a Configuració → Relays hi ha un relay que funciona en aquest dispositiu (una adreça ws://127.0.0.1 o ws://localhost, com ara l'app Citrine), cada sincronització hi deixa també una còpia dels teus propis esdeveniments, llistes i esborraments, tal com es van signar i encara xifrats. Per a això no surt res del dispositiu, i mentre un altre relay tingui un esdeveniment, aquest no és mai el relay on es diu als teus convidats que el busquin. Les altres aplicacions del dispositiu que llegeixin aquest relay veuen el mateix que veu qualsevol relay.

Els relays dels teus convidats (decidit el 21 d'octubre de 2026). Per convidar algú, l'app ha de saber on rep. Calendar busca les seves llistes (10002 i 10050) només als relays de Configuració → Relays, mai a l'índex públic d'un tercer (com ara purplepag.es): aquest servei veuria des de quina adreça preguntes i per qui, és a dir, a qui convides. Cada convidat es busca per separat, en ordre aleatori, en una connexió pròpia amb una clau d'un sol ús, perquè aquests relays no puguin saber qui està convidat amb qui. El que sí que veuen és la teva adreça IP i la clau pública de cada persona que busques. Si algú no té les seves llistes en aquests relays, l'app el marca com a «sense bústia coneguda» abans d'enviar, i la invitació no li arriba. Per trobar-lo, afegeix a Configuració → Relays un relay on publiqui les seves llistes.

Què se sincronitza entre els teus dispositius, sempre xifrat per a tu i als teus relays d'escriptura: les teves llistes de calendaris (amb les claus dels seus esdeveniments), la configuració dels recordatoris (d=calendar-alarms), els calendaris que segueixes (d=calendar-subscriptions) i les invitacions que ignores o els esdeveniments d'altres que treus del teu calendari (kind 30078, d=calendar-declined: només quin esdeveniment i quan, mai el títol). Els relays veuen que existeixen i quan canvien, no què hi diu. Els recordatoris que fa sonar el dispositiu són els del compte amb què has entrat, mai els d'un compte anterior.

La còpia de les teves claus. Calendar et proposa desar-ne una còpia: un fitxer amb les teves llistes de calendaris i les claus dels seus esdeveniments, xifrat amb una contrasenya que tries per a ell (el xifratge de NIP-49). Només s'escriu on tu el deses; no va a cap relay ni servidor. El seu nom porta la data, mai el compte. Per a l'avís, el dispositiu només recorda dues dates: la de l'última còpia i la de l'últim «Ara no».

Tancar la sessió primer et mostra què es perdrà i et proposa desar la còpia. Després esborra d'aquest dispositiu la teva clau (o la connexió amb el bunker) i el calendari desat. El que s'ha publicat es queda als relays, xifrat. El permís que vas donar a la teva app de signatura es retira en aquella app.

Públic perquè tu ho tries

Estan desactivats fins que els actives, i l'app mostra què revela cadascun abans que ho facis:

• Esdeveniments públics (kinds 31922/31923): tot el que contenen —títol, hora, lloc, descripció— és públic, queda lligat a la teva clau pública i continua sent públic: un esdeveniment públic no es pot tornar a fer privat.
• La llista d'ocupació (kind 31926): les hores en què estàs ocupat aquest mes i els dos següents, arrodonides a 30 minuts (o 15), per als calendaris que triïs. Mai què, on ni amb qui. Desactivar-la demana als relays que l'esborrin.
• Enllaços per compartir (herkos.app/e/…): l'enllaç és la clau. Qualsevol que el tingui pot llegir aquell esdeveniment fins que el revoquis, i la seva primera part mostra la teva clau pública. La clau va després de #, una part de l'adreça que els navegadors no envien mai a cap servidor, de manera que ni Cloudflare ni nosaltres la veiem. La pàgina consulta els relays indicats a l'enllaç; si algun no és un relay conegut, diu al visitant quin servidor és i li pregunta abans de connectar-s'hi, perquè aquell servidor veuria l'adreça IP del visitant. Revocar torna a xifrar l'esdeveniment amb una clau nova; qui ja l'hagi llegit conserva el que va llegir.
• Exportacions (.ics): un fitxer de text pla amb els teus títols i hores. No està xifrat; guarda'l com qualsevol altre document privat.
• La còpia automàtica (.ics, a la pàgina Exporta a .ics): un cop al dia, els dies que Calendar està obert, una exportació de tots els teus calendaris en una carpeta que tries tu, conservant les 7 últimes. Com una exportació, no està xifrada: tot el que pugui llegir aquesta carpeta (una altra aplicació, una carpeta al núvol que la sincronitzi) pot llegir els teus títols i hores. Calendar només hi escriu i hi esborra els seus propis fitxers (herkos-calendar-auto-…ics), i recorda la carpeta només en aquest dispositiu.
• Informes de problemes (beta): l'app només prepara un text perquè el copiïs i l'enviïs tu mateix. Inclou la versió de l'app, la plataforma, l'idioma, la zona horària i si els recordatoris poden sonar, mai els teus esdeveniments, la teva clau ni el teu compte.

Herkos Calendar llegeix les respostes públiques als teus esdeveniments públics escrites per altres aplicacions (RSVP, kind 31925, i retirades, kind 84); no n'escriu cap.

El que consultes tu

Aquestes connexions només passen quan tu les demanes:

• Calendaris que segueixes per la seva adreça (.ics o webcal): el dispositiu demana el calendari directament al servidor d'aquesta adreça, només per https, cada poques hores, sense galetes i sense cap intermediari nostre. Aquest servidor veu la teva adreça IP i quan el demanes, i qui tingui l'adreça pot llegir el calendari. La llista d'adreces es desa al teu dispositiu i als teus relays, xifrada per a tu (kind 30078, d=calendar-subscriptions).
• Calendaris públics de Nostr que segueixes (un enllaç naddr…): es demanen cada poques hores als teus relays i als relays que anomena l'enllaç, mai a d'altres. Aquests relays veuen la teva adreça IP i quin calendari llegeixes. Van a la mateixa llista xifrada.
• Festius: vénen dins l'app; seguir-los no demana res a cap servidor.
• «Mira si estan lliures» (a l'editor, quan el prems): l'app demana la llista d'ocupació pública (kind 31926) de cada convidat als relays on aquesta persona publica, sense identificar-se. Aquests relays veuen la teva adreça IP i per qui preguntes.
• Fitxers d'un esdeveniment: estan xifrats en un servidor Blossom. En obrir-ne un, l'app el baixa d'aquest servidor, que veu la teva adreça IP i l'identificador del fitxer, mai el seu contingut.

Herkos Notes: què veuen els relays

Notes parla amb relays de Nostr, i amb ningú més. No hi ha cap servidor de Herkos, ni servidor de push, ni telemetria. Cada relay veu la teva adreça IP i l'hora de cada connexió.

Quins relays. Si el teu compte té una llista de relays privats (kind 10013, la llista que descriu NIP-37), Notes fa servir els relays que hi ha, tal com són, i no la sobreescriu mai; busca aquesta llista als relays de la seva Configuració i als relays on publiques (la teva llista NIP-65). Si no, fa servir els relays de la seva Configuració: relay.formstr.app, nos.lol i relay.primal.net per defecte, fins a vuit, tots editables. La Configuració també ofereix una llista de relays coneguts per afegir-los amb un toc; no es contacta amb cap si no l'afegeixes. Un relay pot ser ws://, una connexió sense xifrar, només si és al dispositiu o a la xarxa de casa (localhost, adreces privades, noms .local): les notes continuen viatjant xifrades, però qualsevol en aquesta xarxa pot veure el que veu el relay (la taula de sota). Notes no publica cap llista de relays pròpia, tret que li ho demanis (Relays → Desa com a la meva llista de relays privats). Aleshores publica aquests relays com a la teva 10013, xifrada amb la teva clau, als mateixos relays on busca les llistes, i la manté al dia amb el que canviïs a Notes: els relays veuen la teva clau pública, que la llista existeix i quan canvia, no els relays que conté. Una llista que ha escrit una altra app no se sobreescriu mai: Notes la fa servir tal com és. Si un d'aquests relays funciona en aquest dispositiu (una adreça ws://127.0.0.1 o ws://localhost, com ara l'aplicació Citrine), Notes hi deixa també una còpia de les teves notes, quaderns i esborraments, tal com es van signar i encara xifrats. Per a això no surt res del dispositiu; Notes mai no llegeix d'aquest relay, i una nota que només té ell no compta com a pujada. Les altres aplicacions del dispositiu que llegeixin aquest relay veuen el mateix que veu qualsevol relay.

Herkos Local Relay. Si Herkos Local Relay és al mateix dispositiu, Notes ofereix una vegada connectar-s'hi; no s'envia res fins que toques Connecta i aproves Notes a Herkos Local Relay. Notes s'hi emparella amb una clau pròpia, creada per a aquest emparellament, i a cada connexió comprova que és el mateix relay, de manera que un altre programa que escolti al seu port no rep res. A partir d'aleshores hi copia les teves notes, punts de control, quaderns, esborraments, la teva llista de relays privats i els segells de les notes que comparteixes, tal com es van signar i encara xifrats, i li demana que guardi com a privat tot menys els esborraments: el relay només ho dona a la teva clau i no ho passa a ningú. Perquè el relay els guardi com a teus, Notes signa una vegada amb la teva clau en connectar-s'hi. Per a això no surt res del dispositiu. Notes mai no hi llegeix: és una còpia, i una nota que només tingui ell no compta com a pujada. Si deixa de respondre, Notes continua amb els teus altres relays i més tard li envia només el que li ha faltat. Pots desconnectar-lo a Configuració de Notes, o revocar Notes a Herkos Local Relay.

Allò que no es pot amagar. La d i la k d'una nota i la a d'un punt de control han de ser llegibles: els relays les necessiten per substituir una nota per la seva versió més nova i per trobar-ne l'historial. Per tant, un relay pot comptar quantes notes tens i veure quan edites cadascuna i amb quina freqüència. Notes ho fa menys detallat, no invisible: desa com a màxim un punt de control per nota per cada hora d'edició, un quan tanques una nota que ha canviat i un de cada costat quan resols un conflicte, mai un per cada desada, perquè el teu ritme d'escriptura no es publiqui minut a minut.

Per què les teves notes no caduquen mai. Els esborranys de NIP-37 poden portar una etiqueta expiration (el seu exemple fa servir 90 dies), i un relay que la respecta esborra l'esdeveniment en aquella data. En un quadern de notes, això voldria dir perdre notes que ningú no ha demanat esborrar, així que Notes no l'escriu mai. L'altra cara: les teves notes es queden als relays, xifrades, fins que les esborres, i esborrar a Nostr és una petició: un relay en pot conservar la còpia.

Compartir una nota. Notes envia la còpia als relays on l'altre compte diu que llegeix (els seus relays NIP-17, kind 10050, o si no, els relays de lectura de la seva llista NIP-65), que busca als teus relays, i als teus propis relays, vuit com a màxim. Hi viatja el que diu la nota (títol, text i etiquetes), no el teu quadern, les teves marques ni la paperera; el que canviïs després no s'envia. L'altre compte es queda la seva còpia: Notes no la pot recuperar, i esborrar la teva nota no l'esborra. Per rebre, Notes demana als teus relays els gift wraps adreçats a la teva clau amb k=30023 i els obre al dispositiu. Descartar-ne un només el treu del dispositiu: un gift wrap el signa una clau que ningú no guarda, així que cap de vosaltres dos no pot demanar als relays que l'esborrin, i s'hi queda, sense que ningú més que tu el pugui llegir.

La cerca és local. Tot va xifrat, així que cap relay no pot cercar per tu. Notes baixa i desxifra les teves notes i construeix l'índex al dispositiu; les paraules que busques no s'envien enlloc.

Un relay que demana autenticació NIP-42 aprèn la teva clau pública; Notes li respon amb el teu compte. Notes també demana als teus relays els esborranys que altres aplicacions van escriure amb la teva clau (kinds 31234 i l'antic 30024), per mostrar-los només de lectura, i no publica res quan ho fa. Si entres amb un signant remot (un bunker o Nostr Connect), els seus relays porten les teves sol·licituds de signatura xifrades, i Notes només li demana que signi els kinds de més amunt (inclòs el segell d'una nota compartida, kind 13; el seu gift wrap se signa al dispositiu, amb la clau d'un sol ús). Amb una app de signatura al teu mòbil Android (NIP-55, com Amber), Notes hi parla directament al mòbil, sense cap relay entremig, li demana el mateix i comprova cada esdeveniment signat que torna abans de fer-lo servir.

Herkos Drive: què veuen els relays i els servidors

Drive guarda el contingut dels teus fitxers en servidors Blossom i la llista dels teus fitxers i carpetes (l'índex) en relays de Nostr, tots dos xifrats al teu dispositiu. No hi ha cap servidor de Herkos, ni servidor de push, ni telemetria. Cada relay i cada servidor veu la teva adreça IP i l'hora de cada connexió. Per defecte, l'índex va a cinc relays i els fitxers a cinc servidors Blossom, cap d'ells gestionat per Herkos; Ajustos → Allotjament de fitxers canvia els servidors, i també s'hi pot afegir un servidor propi. Qui gestiona cadascun i on és, pel que sabem (comprovat el 5 de novembre de 2026):

El país surt de l'adreça IP del servidor i pot ser erroni, i un servidor darrere de Cloudflare no mostra on és; el que compta és on diu cada operador que guarda les dades, i la majoria no ho diu. Cada operador és independent, amb les seves pròpies condicions; Herkos no té cap acord amb cap d'ells. Almenys dos dels cinc servidors de fitxers són fora de la Unió Europea: el que guarden està xifrat al teu dispositiu i no ho poden llegir, però la teva adreça IP i l'hora de cada pujada sí que els arriben.

Dues claus. El teu compte signa una sola cosa: el localitzador, un esdeveniment xifrat per a la teva pròpia clau que permet als teus dispositius trobar el teu Drive. Tota la resta la signa una clau del volum creada a l'atzar per al teu Drive, no derivada del teu compte, de manera que l'índex no diu de qui és. Drive llegeix el localitzador un cop per dispositiu, no a cada inici, perquè els relays no vegin el teu compte i el teu volum demanats alhora. Les persones amb qui comparteixes una carpeta també reben la clau del volum; la pots canviar en qualsevol moment (Ajustos → Clau del volum): els teus altres dispositius la segueixen sols, i el que està signat amb l'antiga ja no s'accepta.

El que no es pot amagar. Cada esdeveniment diu en quina carpeta és, de manera que un relay pot comptar quants fitxers i carpetes tens, veure la forma de l'arbre (quines carpetes contenen quantes coses) i quan canvia cadascun. No pot saber com es diu ni què conté cap d'ells.

Els servidors Blossom reben blocs dels teus fitxers, cadascun xifrat amb una clau pròpia de la seva revisió i farcit fins a un múltiple de 64 KiB, de manera que veuen aproximadament quina mida té cada fitxer, no què és ni com es diu. Cada pujada va signada: en un servidor propi, per la clau del volum; en qualsevol altre, per una clau creada només per a aquell servidor i aquell fitxer, que no identifica ningú i no és mai la mateixa en dos servidors. Esborrar un fitxer demana als seus servidors que n'esborrin els blocs; com amb els relays, un servidor en pot conservar una còpia.

Enllaços (herkos.app/f/…). Un enllaç a un fitxer o una carpeta porta, després del #, la clau que l'obre: l'enllaç és la clau. La part que va després de # no arriba mai al nostre servidor ni a Cloudflare, i la pàgina la treu de la barra d'adreces tan bon punt l'ha llegida. Però abans d'això, el navegador ja pot haver guardat l'adreça sencera al seu historial, i un navegador que sincronitza l'historial també el guarda als servidors del seu proveïdor. Res del que fem nosaltres no ho pot evitar. Per a qualsevol cosa delicada, posa una contrasenya a l'enllaç (aleshores l'enllaç no obre res sense ella, i la contrasenya viatja per separat), o comparteix amb el compte de la persona, que no necessita cap enllaç. La pàgina llegeix els relays i els servidors de l'enllaç; amb un que no coneix, només hi contacta després que diguis que sí, perquè veuria la teva adreça IP. Un enllaç pot caducar: aquell dia deixa d'obrir-se, i una carpeta rep claus noves, de manera que el que s'hi afegeix després no s'obre amb la clau antiga. Qui ja l'havia obert conserva el que va baixar. Per tallar l'accés abans, elimina l'enllaç: aleshores una carpeta rep claus noves de seguida.

Compartir amb un compte. Drive busca on llegeix aquell compte (els seus relays de NIP-17, kind 10050, o els relays de lectura de la seva llista NIP-65) als teus relays i als de Drive, una persona cada vegada, mai en un índex públic. Cada persona rep un enllaç propi, de manera que eliminar-ne un no afecta els altres, i ningú no pot saber qui més l'ha rebut.

Un relay que demana autenticació NIP-42 coneix la clau del volum, mai el teu compte: Drive li respon amb la clau del volum. Si entres amb una app de signatura al teu mòbil Android (NIP-55, com Amber), Drive només li demana que signi el localitzador, la sol·licitud que en retira un d'antic i el segell del que comparteixes amb un compte, i que xifri i desxifri per a la teva pròpia clau.

Herkos Local Relay: què guarda i amb qui parla

Herkos Local Relay és un relay de Nostr que funciona al teu propi dispositiu, per a les aplicacions de Herkos i qualsevol altre client de Nostr. No hi ha cap servidor nostre al darrere, i no ens envia res.

En poques paraules (el detall ve a continuació):

• Qui tracta les teves dades: tu. Herkos no rep res del relay: ni esdeveniments, ni claus, ni adreces IP, ni estadístiques. No hi ha cap compte ni cap servidor nostre.
• Què guarda: al teu dispositiu i xifrat, el que escriuen les teves aplicacions i el que porta dels teus relays, les aplicacions aparellades i la seva configuració.
• Amb qui parla: amb els teus relays i amb els relays de bústia de les persones a qui escrius. Amb ningú més. Si actives Tor, també amb la xarxa de Tor.
• Durant quant de temps: fins que l'esborris, desinstal·lis l'aplicació o la regla que triïs ho podi. La poda està desactivada per defecte i no esborra mai els teus propis esdeveniments.
• Còpies: només on tu triïs, mai al núvol, i xifrades amb una contrasenya que només saps tu.
• Els teus drets: pots veure, canviar i esborrar-ho tot des de l'aplicació. El que ja has publicat a altres relays ho guarda cada relay: demana-ho al seu operador.
• Edat: no està pensat per a menors de 16 anys.

Què guarda, al dispositiu. Els esdeveniments que les teves aplicacions hi escriuen i els que porta dels teus relays, en una base de dades xifrada amb una clau desada a l'emmagatzematge segur del sistema operatiu. Al costat: les aplicacions que has aparellat i què pot fer cadascuna; la seva configuració (settings.json: el port, la quota, la poda, si el registre de la sessió està activat, si hi poden entrar aplicacions no aparellades, si la xarxa local està activada i el seu port); si actives la xarxa local, la llista de claus permeses, amb els noms que els has donat, i el certificat del relay i la seva clau, dins de la base de dades xifrada; i la de les còpies (backups.json: cada quant, la carpeta, la clau pública per a la qual es xifren les còpies i la seva sal, quan es va fer l'última). Res d'això no és secret, i la contrasenya de les còpies no es desa mai. A Windows i Linux, mentre funciona, relay.json a la carpeta de l'aplicació diu en quin port escolta, perquè les aplicacions de Herkos el puguin trobar. Desinstal·lar l'aplicació esborra la base de dades, i la seva clau deixa de servir.

Qui s'hi pot connectar. Escolta a 127.0.0.1 (el port 4873 si no el canvies): mentre la xarxa local estigui desactivada, que és com ve, res de fora del dispositiu no hi pot arribar. Qualsevol aplicació del dispositiu pot arribar a aquesta adreça, de manera que una aplicació o una pàgina web s'ha d'aparellar, amb la teva aprovació a la pantalla, abans de poder-hi escriure, i una pàgina web que no està aparellada es rebutja. Revocar una aplicació la desconnecta a l'instant. Els esdeveniments privats (esborranys, llistes privades, recordatoris, els sobres segellats que reps) només s'entreguen a qui demostra amb NIP-42 que té la clau a la qual pertanyen.

La xarxa local, si l'actives, obre un segon port (el 4874 si no el canvies) als dispositius de la teva xarxa: només wss://, amb el certificat propi del relay, i només per a les claus de la teva llista, després que s'autentiquin amb NIP-42. Una clau de la llista llegeix els teus esdeveniments públics i els privats que són per a ella, i només escriu esdeveniments que ha signat ella; treure-la de la llista la desconnecta. Qualsevol persona de la mateixa xarxa veu que el dispositiu té aquest port obert i quant trànsit hi passa, però no quin.

Tor, si l'actives (a Windows i Linux; a Android arribarà més endavant), converteix el relay en un servei onion de Tor, amb una adreça .onion que no canvia. L'aplicació engega el programa tor d'aquest ordinador (o el que va amb l'aplicació), que es connecta a la xarxa de Tor. La clau d'aquesta adreça es guarda dins la base xifrada i només es lliura a aquest tor, al mateix dispositiu; la carpeta pròpia de tor guarda la seva còpia del directori de la xarxa i la seva cookie, mai aquesta clau. Si Tor està activat es guarda a settings.json. Per Tor valen les mateixes regles que a la xarxa local: només les claus de la teva llista, després d'autenticar-se amb NIP-42. Qui es connecta a la teva adreça no veu la teva adreça IP, ni tu la seva. L'adreça sola no obre res; si s'ha difós, Adreça nova la canvia. Herkos no rep res.

Per saber on rep algú, pregunta als teus relays. Els teus esdeveniments privats (esborranys, llistes privades, recordatoris) no surten mai del dispositiu. No anuncia mai la seva pròpia adreça (no és a la llista NIP-65 de ningú), el seu document NIP-11 no diu qui ets i no hi ha analítica, telemetria ni informes d'errors. A Android funciona com un servei amb una notificació i el seu botó Atura; s'adorm després de 10 minuts sense connexions, i una aplicació de Herkos el desperta al mateix dispositiu, sense servidor de push.

El registre de la sessió està desactivat per defecte. Si l'actives, es guarda només a la memòria, les 500 últimes línies, i s'esborra quan el relay s'atura: connexions, autenticació NIP-42, esdeveniments acceptats o rebutjats i els kinds que es demanen, pel seu kind i l'inici del seu identificador, mai el seu contingut.

Còpies. La còpia xifrada de tot el magatzem s'escriu només on tu tries: una carpeta del dispositiu o un disc extern. Una carpeta d'un client del núvol (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) es rebutja. Es xifra amb una contrasenya pròpia (scrypt i XChaCha20-Poly1305); les programades, per a la clau pública que dona aquesta contrasenya, de manera que es fan sense ella. Es conserven les set últimes. Sense la contrasenya ningú no pot obrir una còpia, tampoc nosaltres, i si la perds, la còpia es perd. L'exportació JSONL no està xifrada: conté els teus esdeveniments privats en clar, i l'aplicació t'ho diu abans d'escriure-la.

La poda està desactivada per defecte: sense ella, el relay guarda els esdeveniments d'altres persones mentre hi hagi espai. Pots podar per antiguitat (30, 90, 180 o 365 dies) o per espai (de 256 MB a 5 GB), i l'aplicació et mostra abans quant n'esborraria. Només esborra esdeveniments d'altres persones: mai els teus, els sobres per a tu, els kinds que protegeixen les teves aplicacions ni les sol·licituds d'esborrat; per espai, només després d'una còpia de l'últim dia. Amb la xarxa local o Tor activats, la poda per antiguitat no es pot desactivar: els esdeveniments d'altres persones s'esborren als 90 dies si no tries un altre termini. Un esdeveniment amb data de caducitat (NIP-40) deixa d'entregar-se quan caduca, l'hagi escrit qui l'hagi escrit. I com a tot Nostr, esborrar és una petició: el que ja ha anat a altres relays s'hi pot quedar.

Els nostres llocs web i Cloudflare

herkos.app (inclosos herkos.app/e/ i herkos.app/f/), app.herkos.app (la versió web de Mail), calendar.herkos.app i notes.herkos.app (les versions web de Calendar i de Notes, quan es publiquin) i fdroid.herkos.app (el nostre repositori F-Droid) són fitxers estàtics servits per Cloudflare (Cloudflare Pages i R2). Com qualsevol allotjament web, Cloudflare rep la teva adreça IP, l'agent d'usuari del teu navegador, l'adreça que demanes (sense la part que va després de #) i l'hora, i les pot conservar als seus registres d'acord amb la seva pròpia política de privadesa.

No posem galetes ni fem servir analítica; les pàgines i els fitxers propis de les aplicacions web només vénen d'aquests dominis (després, les aplicacions web es connecten als relays i servidors descrits més amunt), i no mirem registres per visitant. Les descàrregues de Releases vénen de GitHub, que veu el mateix tipus de dades d'acord amb la seva pròpia política.

Públic per disseny

Nostr és una xarxa pública. Aquestes coses són visibles per a qualsevol que consulti els relays que utilitzes, i queden lligades a la teva clau pública:

• el teu perfil (nom, imatge) i les llistes de relays i de servidors Blossom;
• els esdeveniments d'etiqueta NIP-32 que Herkos Mail publica quan marques un correu com a llegit, el destaques, l'arxives o el mous a una carpeta —inclòs el nom de les carpetes pròpies. Per tant, qui t'ha enviat un correu i en coneix l'identificador pot saber quan l'has llegit. Tenim previst xifrar-los; fins llavors, tingues-ho present;
• a Herkos Calendar, només el que facis públic (vegeu més amunt);
• a Herkos Notes, cap contingut, només el patró descrit més amunt: quantes notes tens i quan les edites;
• a Herkos Drive, ni noms ni continguts, només el patró descrit més amunt: quants fitxers i carpetes tens, la forma de l'arbre i quan canvia cadascun;
• a través de Herkos Local Relay, només els esdeveniments públics que publiquen les teves aplicacions, com amb qualsevol relay.

Les teves opcions i els teus drets

• Tot això està sota el teu control a Configuració → Xarxa i servidors (relays, relays de DM, servidors Blossom, bridges) i a Configuració → Notificacions; a Herkos Calendar, els relays, la llista d'ocupació i cada enllaç per compartir (Compartir per enllaç → Revoca l'enllaç) els canvies tu; a Herkos Notes, els relays (a la seva Configuració, o a la teva pròpia llista de relays privats).
• A Herkos Drive, els servidors (Ajustos → Allotjament de fitxers), la clau del volum (Ajustos → Clau del volum) i cada enllaç i cada persona amb qui comparteixes un fitxer o una carpeta (Comparteix) els canvies tu.
• A Herkos Local Relay, les aplicacions aparellades i què pot fer cadascuna, el port, la quota, la poda, el registre de la sessió, la xarxa local, Tor i la seva llista de claus, i les còpies són a les seves pròpies pantalles.
• Tancar la sessió a Herkos Notes esborra les notes d'aquest dispositiu, però abans envia el que només hi és i et diu quantes notes perdries; les notes dels relays s'hi queden, i tornen quan tornes a entrar.
• Pots exportar la teva clau, eliminar un compte (cosa que també demana als relays que esborrin les teves dades, NIP-62) o restablir l'app quan vulguis.
• Com que no guardem cap dada personal, no podem atendre nosaltres les sol·licituds d'accés, rectificació o supressió; adreça-les a l'operador del relay, bridge, servidor de push o allotjament web corresponent. T'ajudarem a identificar-lo.
• Herkos no està pensat per a menors de 16 anys.

Canvis

Canviarem aquest document quan canviï el comportament de l'app, i n'anotarem la data a dalt. La font de veritat és PRIVACY.md al repositori; la pàgina publicada n'és una còpia.

Contacte: privacy@herkos.email · https://herkos.app

Altres idiomes

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська