Zásady ochrany soukromí Herkos

Naposledy aktualizováno: 11. listopadu 2026. Kanonická adresa URL: https://herkos.app/privacy

Překlad. Toto je informativní překlad. V případě rozporu je rozhodující anglická verze.

Herkos Mail, Herkos Calendar, Herkos Notes, Herkos Drive a Herkos Local Relay jsou bezplatné aplikace s otevřeným zdrojovým kódem pro síť Nostr, které vydává projekt Herkos („my“). Herkos Calendar, Herkos Notes, Herkos Drive a Herkos Local Relay jsou stále ve vývoji. Tento dokument vysvětluje, s jakými daty pracují aplikace a naše webové stránky, kam putují a kdo je může vidět. Napsali jsme ho tak, aby se dal přečíst, ne jen prolétnout: pokud vás tu něco překvapí, napište nám na privacy@herkos.email.

Základní informace o ochraně osobních údajů

První vrstva, v několika řádcích; zbytek tohoto dokumentu je ta druhá.

• Správce (kdo odpovídá) — Za to, co aplikace uchovávají ve vašem zařízení a co posílají na relé a servery: vy, spolu s provozovatelem každého relé a serveru, který používáte. Herkos z toho nedostává nic. Za naše webové stránky a za to, co nám napíšete: projekt Herkos, privacy@herkos.email.
• Účel — Aplikace: uchovávat, odesílat a přijímat vaši poštu, události, poznámky a soubory. Naše webové stránky: zobrazovat stránky a odpovědět vám, pokud nám napíšete.
• Právní základ — Aplikace na naší straně nic nezpracovávají. Naše webové stránky: náš oprávněný zájem je provozovat a udržovat v bezpečí; naše odpověď vám: vaše žádost.
• Příjemci — Relé, servery Blossom, mosty a další služby, které jednotlivé aplikace používají, jmenované níže jedno po druhém i s tím, co vidí; Cloudflare, u našich webových stránek. Některé výchozí servery jsou mimo Evropskou unii (viz Herkos Drive níže). Nikomu nic neprodáváme.
• Vaše práva — Přístup, oprava, výmaz, námitka, omezení zpracování a přenositelnost. Co je ve vašem zařízení, vidíte, měníte a mažete v aplikacích; co je na relé nebo na serveru, u jeho provozovatele. Můžete také podat stížnost u svého dozorového úřadu pro ochranu osobních údajů (ve Španělsku AEPD).
• Další informace — Níže: co zůstává ve vašem zařízení, co ho opouští a komu, aplikaci po aplikaci, a vaše volby.

Stručně

• Herkos nemá systém účtů, vlastní server ani analytiku. Nedostáváme vaše zprávy, vaše události, vaše poznámky, vaše kontakty, váš klíč ani údaje o tom, jak aplikaci používáte.
• Váš veřejný klíč Nostr je vaše identita v síti. Vše, co na Nostru zveřejníte (profil, seznamy relé, štítky), je s ním spojeno a vidí to relé, která používáte.
• Pošta mezi uživateli Nostru je koncově šifrovaná (NIP-17). Pošta na tradiční e-mailové adresy nebo z nich prochází mostem, který ji může číst.
• Některé volitelné funkce posílají data třetím stranám (push oznámení, plánované odesílání). Jsou vypnuté, dokud je nezapnete, a tento dokument každou z nich jmenuje.
• Události kalendáře jsou šifrovány ve vašem zařízení. Relé vidí, že máte události, přibližně jak jsou velké a kdy se mění, ne to, co v nich stojí. Veřejné události, seznam obsazenosti a odkazy ke sdílení jsou veřejné z vaší volby, každý zvlášť. Aby zjistil, kde vaši hosté přijímají poštu, ptá se Calendar jen vašich relé, nikdy indexu třetí strany.
• Poznámky jsou šifrovány ve vašem zařízení, pro váš vlastní klíč. Relé je nemohou číst, ale vidí, kolik poznámek máte a kdy kterou upravujete. Vyhledávání probíhá ve vašem zařízení: slova, která hledáte, ho nikdy neopustí. Poznámka, kterou sdílíte, jde jen účtu, který zvolíte, zapečetěná: relé nevidí, kdo ji poslal, ani co v ní stojí.
• Soubory v Herkos Drive se šifrují ve vašem zařízení, blok po bloku, než odejdou na servery Blossom; jejich názvy a složky jdou na relé šifrované. Relé a servery mohou vidět, kolik máte souborů a složek, přibližně jak jsou velké a kdy se mění, ne jak se jmenují ani co obsahují. Odkaz ke sdílení nese vlastní klíč za #: chraňte ho jako heslo.
• Herkos Local Relay uchovává vaše události ve vašem zařízení, šifrované, a Herkosu nic neposílá. Naslouchá jen v samotném zařízení (127.0.0.1), pokud nezapnete místní síť, a pak jen pro klíče z vašeho seznamu. Komunikuje jen s vašimi relé a s přijímacími relé lidí, kterým píšete; soukromé události nikdy neopustí zařízení. Jeho zálohy jdou jen do složky, kterou zvolíte, nikdy do cloudu. Se zapnutým Torem (Windows a Linux) je dostupný i přes síť Tor, opět jen pro klíče z vašeho seznamu.
• Naše webové stránky (herkos.app a jeho subdomény) obsluhuje Cloudflare, který jako každý webhosting vidí vaši IP adresu. Nenastavují žádné cookies a nepoužívají žádnou analytiku.

Data, která zůstávají ve vašem zařízení

• Váš tajný klíč (nsec), pokud se jím přihlásíte, je uložen v zabezpečeném úložišti operačního systému (Android Keystore, iOS/macOS Keychain, Správce pověření Windows, libsecret v Linuxu, šifrované místní úložiště na webu). Pokud se přihlásíte vzdálenou podpisovou aplikací („bunker“ NIP-46), klíč se do zařízení nikdy nedostane.

V prohlížeči žádné takové zabezpečené úložiště není. Klíč je uložen v místním úložišti webu a při každém podpisu jím prochází JavaScript, takže by ho mohlo přečíst rozšíření prohlížeče s přístupem ke všem stránkám, chyba XSS nebo podvržené nasazení; a na rozdíl od nainstalované aplikace posílá webová stránka při každé návštěvě nový kód. U webové verze používejte vzdálenou podpisovou aplikaci, nebo identitu, o kterou klidně můžete přijít. - Vaše schránka: dešifrované e-maily, přílohy, štítky, složky a kontakty se ukládají do mezipaměti v místní databázi, aby aplikace fungovala offline. Databáze není šifrovaná nad rámec toho, co poskytuje operační systém; zámek aplikace (PIN/biometrie) je pohodlná bariéra, ne šifrování uložených dat. V Androidu je aplikace vyloučena z cloudových záloh i ze záloh mezi zařízeními. - PIN zámku aplikace: uložen jako solený, posílený hash (PBKDF2), nikdy jako prostý text. Herkos Calendar i Herkos Notes mají každá vlastní PIN, uložený stejným způsobem. - Váš kalendář (Herkos Calendar): události, seznamy, klíče pro zobrazení a připomenutí, která můžete číst, se ukládají do mezipaměti v zařízení, šifrované záznam po záznamu klíčem uloženým v zabezpečeném úložišti operačního systému. V prohlížeči je kalendář uložen jen v paměti a pokaždé se znovu načítá z relé. Připomenutí spouští samo zařízení: Calendar nepoužívá žádný push server. Pokud se rozhodnete v připomenutích skrývat názvy, uvádějí jen „Událost“ a kdy začíná. Váš klíč pro Calendar je uložen odděleně od klíčů Herkos Mail (viz „Váš účet“ v oddílu o Calendar). - Vaše poznámky (Herkos Notes): poznámky, jejich historie, bloky a vyhledávací index se ukládají do mezipaměti v zařízení, šifrované záznam po záznamu klíčem uloženým v zabezpečeném úložišti operačního systému. V prohlížeči se ukládají stejně, do úložiště prohlížeče pro tento web (IndexedDB), a klíč je také v prohlížeči: na počítači, který používají i jiní, to chrání málo. Pokud prohlížeč pro web nic neukládá (anonymní okno, zablokovaná data webu), zůstávají jen v paměti a bez připojení nelze psát. Poznámka, kterou zamknete, dostane vlastní heslo; bez něj ji nikdo nemůže otevřít, ani my. Záloha vašich poznámek je soubor zapsaný jen tam, kam ho uložíte, zašifrovaný vlastním heslem. Automatická záloha, která se vytváří každý den, pokud ji nevypnete, je soubor ve složce zařízení (Herkos Notes/backups ve vašich Dokumentech), zašifrovaný klíčem vašeho účtu; uchovává se posledních sedm a nikam se neposílá (v prohlížeči žádná není). Poznámky, které s vámi sdílejí jiné účty, čekají v „Přijaté od ostatních“, v zařízení a šifrované jako všechno ostatní, dokud si je neuložíte, nebo je nezahodíte.

• Vaše soubory (Herkos Drive): seznam vašich souborů a složek i s jejich klíči je uložen v mezipaměti zařízení, šifrovaný záznam po záznamu klíčem uloženým v zabezpečeném úložišti operačního systému; co ještě zbývá odeslat a bloky, které čekají na nahrání, se uchovávají také šifrované. Náhledy jsou jen v paměti. Soubor, který stáhnete nebo otevřete, se zapíše nešifrovaný tam, kam zvolíte, jako každý soubor. Záloha vašeho Drive (.hbk, nebo záloha indexu s vlastním heslem) je soubor zapsaný jen tam, kam ho uložíte. V Androidu ukazují systémový výběr souborů a „Sdílet“ soubory Drive jen tehdy, když je Drive odemčený, a co z nich aplikace dostane, se dešifruje za běhu a nikdy se nezapíše na disk.
• Vaše relé (Herkos Local Relay): jeho události, spárované aplikace, jeho nastavení a kam jdou jeho zálohy; viz jeho vlastní oddíl níže.

Všechno to můžete vymazat v Nastavení → Další → Resetovat aplikaci nebo odebráním účtu.

Data, která opouštějí vaše zařízení, a komu jdou

Tato tabulka se týká Herkos Mail. Herkos Calendar, Herkos Notes, Herkos Drive a Herkos Local Relay mají vlastní oddíly níže.

Vaše soukromá relé. Pokud má váš účet seznam soukromých relé (kind 10013, NIP-37; Herkos Notes a Calendar používají tentýž), Mail ukládá vaše koncepty, šifrovaná nastavení, štítky a naplánovaná odeslání na jeho relé, ne na vaše relé pro zápis; co tam nechal dříve, dál čte a maže to i tam. Bez tohoto seznamu jdou na vaše relé pro zápis. Mail seznam zveřejní, jen když o to požádáte (Nastavení → Hosting → Soukromá relé), zašifrovaný vaším klíčem: relé vidí váš veřejný klíč, že seznam existuje a kdy se mění, ne relé v něm. Seznam, který napsala jiná aplikace, se použije tak, jak je, a nikdy se nepřepíše.

Automatické přeposílání (Nastavení → Automatické přeposílání, vypnuté, dokud ho nezapnete). Kopie každé nové zprávy jde na jedinou adresu, kterou zvolíte: na účet Nostr šifrovaná end-to-end jako každá zpráva; na tradiční adresu přes most hlavní adresy vašeho účtu, který ji vidí celou (viz Mosty výše). Dělá to toto zařízení, dokud Mail běží, nebo při další synchronizaci; nastavení zůstává v zařízení a nikdy se nezveřejňuje.

Podpisová aplikace v telefonu s Androidem (NIP-55, například Amber). Klíč zůstává v té aplikaci a Mail s ní mluví přímo v telefonu, bez relé a bez sítě mezi nimi; zařízení si pamatuje jen váš veřejný klíč a to, která aplikace podepisuje. Mail ji žádá jen o podpis druhů, které Mail podepisuje vaším účtem, a o šifrování a dešifrování (NIP-44), nikdy o obálky zpráv, které používají jednorázové klíče, a každou podepsanou událost, která se vrátí, před použitím ověří.

Herkos Local Relay. Pokud je Herkos Local Relay ve stejném zařízení, Mail jednou nabídne připojení; nic se neodešle, dokud neklepnete na Připojit a neschválíte Mail v Herkos Local Relay. Mail se s ním spáruje vlastním klíčem a při každém připojení ověří, že jde o totéž relé. Jednou podepíše vaším klíčem, aby relé uchovávalo vaše události jako vaše; pak tam zkopíruje poštu, kterou toto zařízení uchovává, a od té doby každou událost vašeho účtu, kterou Mail odešle, a každou obálku, kterou přijme, přesně tak, jak byly podepsány, a stále šifrované, a požádá relé, aby je uchovávalo v zařízení a soukromé dávalo jen vašemu klíči. Obálky, které posíláte jiným, se nekopírují. Mail z něj nikdy nečte: je to kopie. Kvůli tomu nic neopouští zařízení.

Sám Herkos z toho nedostává nic. Neexistuje žádné hlášení pádů ani telemetrie.

Herkos Calendar: co vidí relé

Calendar komunikuje s relé Nostr: s relé vašeho účtu (vaše seznamy NIP-65 a přijímacích relé), s relé v Nastavení → Relé (lze upravit) a, když někoho pozvete nebo odpovíte na pozvánku, s přijímacími relé této osoby. S nikým jiným, kromě toho, co si vyhledáte sami (níže): ani s veřejným indexem relé. „Váš účet“ níže vysvětluje, k čemu které slouží. Neexistuje žádný server Herkos, žádný push server ani telemetrie. Každé relé vidí vaši IP adresu a čas každého připojení.

Relé, které žádá ověření NIP-42, se dozví váš veřejný klíč; Calendar na takovou žádost odpovídá jen u vašich vlastních událostí na vašich vlastních relé a při čtení vaší vlastní příchozí pošty. Mazání na Nostru je žádost: relé si může svou kopii ponechat, stále šifrovanou.

Co nic v událostech neskryje: každá pozvánka odchází z vaší IP adresy a každý host stahuje událost z vašich relé ze své. Relé, které uchovává příchozí poštu několika vašich hostů, může poznat, že jejich pozvánky přišly ze stejné adresy. Skrýt to dokáže jen Tor nebo VPN.

Váš účet

Calendar nevytváří žádné účty: přihlásíte se identitou Nostr, kterou už máte, jedním z těchto způsobů.

• Podpisovou aplikací ve vašem telefonu s Androidem (NIP-55, například Amber): klíč zůstává v této aplikaci a Calendar s ní komunikuje přímo v telefonu, bez relé či sítě mezi nimi. Zařízení uchovává jen váš veřejný klíč a to, která aplikace podepisuje. Calendar ji žádá o totéž jako u bunkeru (níže), nikdy o obálky pozvánek, a každou podepsanou událost, která se vrátí, před použitím zkontroluje.
• Vaším klíčem (nsec, nebo heslem chráněný ncryptsec, otevřený v zařízení): je uložen v zabezpečeném úložišti operačního systému, pod vlastním názvem aplikace Calendar. Herkos Mail uchovává své účty odděleně a Calendar je nikdy nečte, nemění ani nemaže: odhlášením z jedné aplikace se neodhlásíte z druhé.
• Odkazem bunker://: klíč zůstává ve vaší podpisové aplikaci. Calendar s ní komunikuje přes relé, která odkaz uvádí, a žádá ji jen o váš veřejný klíč, o šifrování a dešifrování (NIP-44) a o podpis kindů událostí, které používá sám Calendar; obálky pozvánek přes ni nikdy nejdou, protože nesou jednorázové klíče. Zařízení uchovává jen spojení (klíč vytvořený pro ně, veřejný klíč podpisové aplikace a její relé). Tato relé vidí vaši IP adresu, klíče spojení a kdy se žádá o podpisy; požadavky jsou šifrované.
• Přes Nostr Connect (QR kód): jako u bunkeru, ale spojení běží přes relé v Nastavení → Relé. Calendar nepřidává žádné vlastní relé ani relé nikoho jiného.

Vaše relé. Při přihlášení Calendar vyhledá vaše seznamy (NIP-65, kind 10002, a váš seznam přijímacích relé, kind 10050) na relé v Nastavení → Relé, přes samostatné spojení, které vás neidentifikuje: relé, které žádá ověření, dostane jednorázový klíč, ne váš. Od té chvíle:

• vaše události, seznamy a šifrovaná nastavení se zveřejňují na vašich relé pro zápis podle NIP-65. Bez tohoto seznamu na relé v Nastavení a stránka účtu vám to řekne;
• vaše pozvánky a odpovědi se čtou z vašich relé pro čtení a přijímacích relé. Calendar odpovídá na ověření NIP-42 jen na vašich vlastních relé a jen kvůli tomu, co je vaše;
• po otevření s přihlášeným účtem se aplikace nikam nepřipojí, dokud není něco potřeba;
• pokud je v Nastavení → Relé relé, které běží v tomto zařízení (adresa ws://127.0.0.1 nebo ws://localhost, například aplikace Citrine), každá synchronizace na něm zanechá také kopii vašich událostí, seznamů a smazání, přesně tak, jak byly podepsány, a stále zašifrovanou. Kvůli tomu nic neopouští zařízení, a dokud má nějakou událost jiné relé, toto relé se vašim hostům nikdy neuvádí jako to, kde ji mají hledat. Ostatní aplikace v zařízení, které čtou z tohoto relé, vidí totéž, co vidí jakékoli relé.

Relé vašich hostů (rozhodnuto 21. října 2026). Aby mohla aplikace někoho pozvat, potřebuje vědět, kde dotyčný přijímá poštu. Calendar vyhledává jeho seznamy (10002 a 10050) jen na relé v Nastavení → Relé, nikdy ve veřejném indexu třetí strany (jako je purplepag.es): tato služba by viděla adresu, ze které se ptáte, a na koho se ptáte, tedy koho zvete. Každý host se vyhledává zvlášť, v náhodném pořadí, přes vlastní spojení s jednorázovým klíčem, takže tato relé nemohou poznat, kdo je pozván s kým. Vidí ale vaši IP adresu a veřejný klíč každé osoby, kterou vyhledáváte. Pokud něčí seznamy na těchto relé nejsou, aplikace ho před odesláním označí jako „žádná známá schránka“ a pozvánka k němu nedorazí. Abyste ho našli, přidejte do Nastavení → Relé relé, kde své seznamy zveřejňuje.

Co se synchronizuje mezi vašimi zařízeními, vždy zašifrované pro vás a na vašich relé pro zápis: vaše seznamy kalendářů (s klíči jejich událostí), nastavení připomenutí (d=calendar-alarms), kalendáře, které sledujete (d=calendar-subscriptions), a pozvánky, které ignorujete, nebo cizí události, které odeberete ze svého kalendáře (kind 30078, d=calendar-declined: jen která událost a kdy, nikdy její název). Relé vidí, že existují a kdy se mění, ne co v nich stojí. Připomenutí, která zařízení spouští, patří účtu, se kterým jste přihlášeni, nikdy předchozímu.

Kopie vašich klíčů. Calendar nabízí uložit kopii: soubor s vašimi seznamy kalendářů a klíči jejich událostí, zašifrovaný heslem, které pro něj zvolíte (šifrou podle NIP-49). Zapíše se jen tam, kam ho uložíte; nejde na žádné relé ani server. Jeho název nese datum, nikdy účet. Kvůli upozornění si zařízení pamatuje jen dvě data: poslední kopie a posledního „Teď ne“.

Odhlášení vám nejdřív ukáže, co se ztratí, a nabídne uložení kopie. Pak z tohoto zařízení smaže váš klíč (nebo spojení s bunkerem) a uložený kalendář. Co bylo zveřejněno, zůstává na relé, zašifrované. Oprávnění, které jste dali ve své podpisové aplikaci, se odvolává v té aplikaci.

Veřejné z vaší volby

Tyto funkce jsou vypnuté, dokud je nezapnete, a aplikace vám ukáže, co každá z nich prozrazuje, ještě než to uděláte:

• Veřejné události (kind 31922/31923): vše, co obsahují — název, čas, místo, popis — je veřejné, spojené s vaším veřejným klíčem a veřejné zůstane: veřejnou událost už nelze znovu udělat soukromou.
• Seznam obsazenosti (kind 31926): časy, kdy jste zaneprázdněni v tomto měsíci a ve dvou následujících, zaokrouhlené na 30 minut (nebo 15), pro kalendáře, které zvolíte. Nikdy co, kde ani s kým. Jeho vypnutím se relé požádají o jeho smazání.
• Odkazy ke sdílení (herkos.app/e/…): odkaz je klíč. Kdokoli ho má, může tu událost číst, dokud ho nezrušíte, a jeho první část ukazuje váš veřejný klíč. Klíč je za #, v části adresy, kterou prohlížeče nikdy neposílají serveru, takže ho nevidí Cloudflare ani my. Stránka se ptá relé uvedených v odkazu; pokud některé z nich není dobře známé relé, řekne návštěvníkovi, o jaký server jde, a před připojením se zeptá, protože ten server by viděl IP adresu návštěvníka. Zrušení událost znovu zašifruje novým klíčem; kdo ji už přečetl, ponechá si, co přečetl.
• Exporty (.ics): soubor s prostým textem s vašimi názvy a časy. Není šifrovaný; uchovávejte ho jako jakýkoli jiný soukromý dokument.
• Automatická kopie (.ics, na stránce Exportovat do .ics): jednou za každý den, kdy je Calendar otevřený, export všech vašich kalendářů do složky, kterou si zvolíte, přičemž se ponechá posledních 7. Stejně jako export není šifrovaná, takže cokoli, co může tu složku číst (jiná aplikace, cloudová složka, která ji synchronizuje), může číst vaše názvy a časy. Calendar tam zapisuje a maže jen vlastní soubory (herkos-calendar-auto-…ics) a složku si pamatuje jen v tomto zařízení.
• Hlášení problémů (beta): aplikace jen připraví text, který si sami zkopírujete a odešlete. Obsahuje verzi aplikace, platformu, jazyk, časové pásmo a to, zda mohou připomenutí zaznít; nikdy vaše události, váš klíč ani váš účet.

Herkos Calendar čte veřejné odpovědi na vaše veřejné události, které napsaly jiné aplikace (RSVP, kind 31925, a odebrání účastníků, kind 84); sám nepíše ani jedno.

Co si vyhledáte sami

Tato spojení proběhnou jen tehdy, když o ně požádáte:

• Kalendáře, které sledujete podle adresy (.ics nebo webcal): zařízení si kalendář stahuje přímo ze serveru na této adrese, jen přes https, každých pár hodin, bez cookies a bez jakéhokoli našeho prostředníka. Tento server vidí vaši IP adresu a kdy se ptáte, a kdokoli s adresou může kalendář číst. Seznam adres je uložen ve vašem zařízení a na vašich relé, zašifrovaný pro vás (kind 30078, d=calendar-subscriptions).
• Veřejné kalendáře Nostr, které sledujete (odkaz naddr…): stahují se každých pár hodin z vašich relé a z relé, která uvádí odkaz, nikdy z jiných. Tato relé vidí vaši IP adresu a který kalendář čtete. Jsou ve stejném zašifrovaném seznamu.
• Svátky: jsou přímo v aplikaci; jejich sledování se na nic neptá žádného serveru.
• „Zjistit, zda mají volno“ (v editoru, když na to klepnete): aplikace si od relé, na která daná osoba publikuje, vyžádá veřejný seznam obsazenosti (kind 31926) každého hosta, aniž by se identifikovala. Tato relé vidí vaši IP adresu a na koho se ptáte.
• Soubory u události: jsou zašifrované na serveru Blossom. Když jeden otevřete, aplikace ho stáhne z tohoto serveru, který vidí vaši IP adresu a identifikátor souboru, nikdy jeho obsah.

Herkos Notes: co vidí relé

Notes komunikuje s relé Nostr a s nikým jiným. Neexistuje žádný server Herkos, žádný push server ani telemetrie. Každé relé vidí vaši IP adresu a čas každého připojení.

Která relé. Pokud má váš účet seznam soukromých relé (kind 10013, seznam, který popisuje NIP-37), Notes používá relé v něm, tak jak jsou, a nikdy ho nepřepisuje; hledá ho na relé ve svém Nastavení a na relé, na která publikujete (váš seznam NIP-65). Jinak používá relé ze svého Nastavení: ve výchozím stavu relay.formstr.app, nos.lol a relay.primal.net, nejvýše osm, všechna lze upravit. Nastavení také nabízí seznam známých relé, která lze přidat jedním klepnutím; s žádným z nich se nekomunikuje, dokud ho nepřidáte. Relé smí být ws://, tedy nešifrované spojení, jen pokud je v zařízení nebo v domácí síti (localhost, soukromé adresy, názvy .local): poznámky i tak putují šifrované, ale kdokoli v té síti vidí to, co vidí relé (tabulka níže). Notes nezveřejňuje žádný vlastní seznam relé, pokud ho o to nepožádáte (Relé → Uložit jako můj seznam soukromých relé). Pak tato relé zveřejní jako váš seznam 10013, zašifrovaný vaším klíčem, na stejných relé, na kterých hledá seznamy, a udržuje ho v souladu s tím, co změníte v Notes: relé vidí váš veřejný klíč, že seznam existuje a kdy se mění, ne relé, která obsahuje. Seznam, který napsala jiná aplikace, se nikdy nepřepisuje: Notes ho používá tak, jak je. Pokud některé z těchto relé běží v tomto zařízení (adresa ws://127.0.0.1 nebo ws://localhost, například aplikace Citrine), Notes na něm zanechá také kopii vašich poznámek, bloků a smazání, přesně tak, jak byly podepsány, a stále zašifrovanou. Kvůli tomu nic neopouští zařízení; Notes z tohoto relé nikdy nečte a poznámka, kterou má jen ono, se nepočítá jako nahraná. Ostatní aplikace v zařízení, které čtou z tohoto relé, vidí totéž, co vidí jakékoli relé.

Herkos Local Relay. Pokud je Herkos Local Relay ve stejném zařízení, Notes jednou nabídne, že se k němu připojí; nic se neodešle, dokud neklepnete na Připojit a neschválíte Notes v Herkos Local Relay. Notes se s ním spáruje vlastním klíčem, vytvořeným pro toto spárování, a při každém připojení ověří, že jde o stejný relay, takže jiný program, který naslouchá na jeho portu, nedostane nic. Od té chvíle tam kopíruje vaše poznámky, kontrolní body, sešity, mazání, váš seznam soukromých relayů a pečetě poznámek, které sdílíte, přesně tak, jak byly podepsány, a stále zašifrované, a žádá ho, aby vše kromě mazání uchoval jako soukromé: relay to dá jen vašemu klíči a nikomu to nepředá. Aby je relay uchoval jako vaše, Notes se při připojení jednou podepíše vaším klíčem. Kvůli tomu nic neopustí zařízení. Notes z něj nikdy nečte: je to kopie a poznámka, kterou má jen on, se nepočítá jako nahraná. Když přestane odpovídat, Notes pokračuje s vašimi ostatními relayi a později mu pošle jen to, co mu chybí. Odpojit ho můžete v Nastavení Notes, nebo Notes odvolat v Herkos Local Relay.

Co nelze skrýt. d a k poznámky a a kontrolního bodu musí být čitelné: relé je potřebují, aby mohla nahradit poznámku její novější verzí a najít její historii. Relé tak může spočítat, kolik poznámek máte, a vidět, kdy kterou upravujete a jak často. Notes to dělá hrubším, ne neviditelným: ukládá nejvýše jeden kontrolní bod na poznámku za každou hodinu úprav, jeden, když zavřete poznámku, která se změnila, a jeden za každou stranu, když vyřešíte konflikt, nikdy jeden za každé uložení, takže váš rytmus psaní se nezveřejňuje minutu po minutě.

Proč vaše poznámky nikdy nevyprší. Koncepty podle NIP-37 mohou nést tag expiration (jeho příklad používá 90 dní) a relé, které ho respektuje, událost k tomuto datu smaže. U poznámkového bloku by to znamenalo ztrátu poznámek, o jejichž smazání nikdo nežádal, proto ho Notes nikdy nezapisuje. Druhá strana toho: vaše poznámky zůstávají na relé, šifrované, dokud je nesmažete, a mazání na Nostru je žádost: relé si může svou kopii ponechat.

Sdílení poznámky. Notes pošle kopii na relé, o kterých druhý účet uvádí, že z nich čte (jeho relé NIP-17, kind 10050, jinak relé pro čtení z jeho seznamu NIP-65), která hledá na vašich relé, a na vaše vlastní relé, nejvýše osm. Putuje to, co v poznámce stojí (název, text a štítky), ne váš blok, označení ani koš; co změníte potom, se neposílá. Druhý účet si svou kopii ponechá: Notes ji nemůže vzít zpět a smazání vaší poznámky ji nesmaže. Pro příjem Notes žádá vaše relé o gift wraps adresované vašemu klíči s k=30023 a otevírá je v zařízení. Zahozením se gift wrap odstraní jen ze zařízení: je podepsán klíčem, který nikdo neuchovává, takže ani jeden z vás nemůže relé požádat o jeho smazání, a zůstane tam, čitelný jen pro vás. Vyhledávání je místní. Vše je šifrované, takže žádné relé nemůže hledat za vás. Notes stáhne a dešifruje vaše poznámky a index vytvoří v zařízení; slova, která hledáte, se nikdy nikam neposílají.

Relé, které žádá ověření NIP-42, se dozví váš veřejný klíč; Notes mu odpovídá vaším účtem. Notes také žádá vaše relé o koncepty, které jiné aplikace napsaly vaším klíčem (kindy 31234 a starší 30024), aby je zobrazil jen pro čtení, a nic přitom nezveřejňuje. Pokud se přihlásíte vzdálenou podpisovou aplikací (bunker nebo Nostr Connect), její relé přenášejí vaše šifrované požadavky na podpis a Notes ji žádá o podpis jen výše uvedených kindů (včetně pečeti sdílené poznámky, kind 13; její gift wrap se podepisuje v zařízení, jednorázovým klíčem). S podpisovou aplikací v telefonu s Androidem (NIP-55, například Amber) s ní Notes mluví přímo v telefonu, bez relaye mezi nimi, žádá ji o totéž a každou podepsanou událost, která se vrátí, před použitím ověří.

Herkos Drive: co vidí relé a servery

Drive uchovává obsah vašich souborů na serverech Blossom a seznam vašich souborů a složek (index) na relé Nostr, obojí šifrované ve vašem zařízení. Neexistuje žádný server Herkos, žádný push server ani telemetrie. Každé relé a server vidí vaši IP adresu a čas každého připojení. Ve výchozím nastavení jde index na pět relé a soubory na pět serverů Blossom, z nichž žádný neprovozuje Herkos; v Nastavení → Hosting souborů se servery mění a lze tam přidat i vlastní server. Kdo jednotlivé servery provozuje a kde jsou, pokud víme (ověřeno 5. listopadu 2026):

Země vychází z IP adresy serveru a může být chybná a server za Cloudflare neukazuje, kde je; rozhoduje, kde podle svých slov uchovává data každý provozovatel, a většina to neuvádí. Každý provozovatel je nezávislý, s vlastními podmínkami; Herkos s žádným z nich nemá dohodu. Nejméně dva z pěti souborových serverů jsou mimo Evropskou unii: co uchovávají, je zašifrované ve vašem zařízení a nemohou to přečíst, ale vaše IP adresa a čas každého nahrání se k nim dostanou.

Dva klíče. Váš účet podepisuje jedinou věc: lokátor, událost zašifrovanou pro váš vlastní klíč, díky níž vaše zařízení najdou váš Drive. Všechno ostatní podepisuje klíč svazku vytvořený náhodně pro váš Drive, neodvozený z vašeho účtu, takže index neříká, komu patří. Drive čte lokátor jednou na zařízení, ne při každém spuštění, aby relé neviděla dotazy na váš účet a váš svazek pohromadě. Ten, s kým sdílíte složku, dostane i klíč svazku; můžete ho kdykoli změnit (Nastavení → Klíč svazku): vaše ostatní zařízení se přizpůsobí sama a co je podepsané starým, se už nepřijímá.

Co nelze skrýt. Každá událost říká, ve které složce je, takže relé může spočítat, kolik máte souborů a složek, vidět tvar stromu (které složky obsahují kolik položek) a kdy se která mění. Nemůže zjistit, jak se kterákoli z nich jmenuje ani co obsahuje.

Servery Blossom dostávají bloky vašich souborů, každý zašifrovaný klíčem vlastním pro jeho revizi a doplněný na násobek 64 KiB, takže vidí přibližně, jak velký je každý soubor, ne co to je ani jak se jmenuje. Každé nahrání je podepsané: na vašem vlastním serveru klíčem svazku; na jakémkoli jiném klíčem vytvořeným jen pro ten server a ten soubor, který nikoho neidentifikuje a nikdy není stejný na dvou serverech. Smazání souboru požádá jeho servery, aby smazaly jeho bloky; stejně jako u relé si server může ponechat kopii.

Odkazy (herkos.app/f/…). Odkaz na soubor nebo složku nese za # klíč, který ho otevírá: odkaz je klíč. Část za # se nikdy nedostane na náš server ani ke Cloudflare a stránka ji odstraní z adresního řádku, jakmile ji přečte. Jenže předtím už si prohlížeč mohl celou adresu uložit do historie, a prohlížeč, který historii synchronizuje, ji uchovává i na serverech svého poskytovatele. Nic na naší straně tomu nemůže zabránit. Pro cokoli citlivého dejte odkazu heslo (odkaz pak bez něj nic neotevře a heslo putuje zvlášť), nebo sdílejte s účtem dané osoby, což žádný odkaz nepotřebuje. Stránka čte relé a servery z odkazu; s takovým, který nezná, se spojí až poté, co řeknete ano, protože by viděl vaši IP adresu. Odkaz může vypršet: ten den se přestane otevírat a složka dostane nové klíče, takže co se přidá později, se starým klíčem neotevře. Kdo ho už otevřel, si ponechá, co stáhl. Chcete-li přístup ukončit dřív, odkaz odstraňte: složka pak hned dostane nové klíče.

Sdílení s účtem. Drive hledá, kde daný účet čte (jeho relé NIP-17, kind 10050, nebo relé pro čtení z jeho seznamu NIP-65), na vašich relé a na relé Drive, po jedné osobě, nikdy ve veřejném indexu. Každá osoba dostane vlastní odkaz, takže odebrání jedné ostatní nezasáhne a nikdo nepozná, kdo další ho dostal.

Relé, které žádá ověření NIP-42, se dozví klíč svazku, nikdy váš účet: Drive mu odpovídá klíčem svazku. Pokud se přihlásíte podpisovou aplikací v telefonu s Androidem (NIP-55, například Amber), Drive ji žádá jen o podpis lokátoru, požadavku, který vyřazuje starý lokátor, a pečeti toho, co sdílíte s účtem, a o šifrování a dešifrování pro váš vlastní klíč.

Herkos Local Relay: co uchovává a s kým komunikuje

Herkos Local Relay je relé Nostr, které běží přímo ve vašem zařízení, pro aplikace Herkos a jakéhokoli jiného klienta Nostr. Nestojí za ním žádný náš server a nic nám neposílá.

Stručně (podrobnosti následují):

• Kdo zpracovává vaše data: vy. Herkos od relé nedostává nic: žádné události, klíče, IP adresy ani statistiky. Neexistuje žádný účet ani žádný náš server.
• Co uchovává: ve vašem zařízení a šifrovaně to, co zapisují vaše aplikace a co stáhne z vašich relé, spárované aplikace a své nastavení.
• S kým komunikuje: s vašimi relé a s přijímacími relé lidí, kterým píšete. S nikým jiným. Pokud zapnete Tor, také se sítí Tor.
• Jak dlouho: dokud to nesmažete, neodinstalujete aplikaci nebo to neodstraní promazávání podle pravidla, které zvolíte. Promazávání je ve výchozím stavu vypnuté a nikdy nemaže vaše vlastní události.
• Zálohy: jen tam, kam zvolíte, nikdy v cloudu, a šifrované heslem, které znáte jen vy.
• Vaše práva: vše můžete zobrazit, změnit a smazat v aplikaci. To, co jste už zveřejnili na jiných relé, uchovává každé relé: obraťte se na jeho provozovatele.
• Věk: není určen dětem mladším 16 let.

Co uchovává v zařízení. Události, které do něj zapisují vaše aplikace, a ty, které stáhne z vašich relé, v databázi zašifrované klíčem uloženým v zabezpečeném úložišti operačního systému. Vedle ní: aplikace, které jste spárovali, a co která smí dělat; jeho nastavení (settings.json: port, kvóta, promazávání, zda je zapnutý protokol relace, zda smějí vstoupit nespárované aplikace, zda je zapnutá místní síť a její port); pokud zapnete místní síť, seznam povolených klíčů se jmény, která jste jim dali, a certifikát relé a jeho klíč, uvnitř šifrované databáze; a nastavení záloh (backups.json: jak často, složka, veřejný klíč, pro který se zálohy šifrují, a jeho sůl, kdy vznikla poslední). Nic z toho není tajné a heslo k zálohám se nikdy neukládá. Ve Windows a Linuxu, dokud běží, uvádí relay.json ve složce aplikace, na kterém portu naslouchá, aby ho aplikace Herkos našly. Odinstalováním aplikace se databáze smaže a její klíč přestane být k ničemu.

Kdo se může připojit. Naslouchá na 127.0.0.1 (port 4873, pokud ho nezměníte): dokud je místní síť vypnutá, jak je ve výchozím stavu, nic mimo zařízení se k němu nedostane. Na tuto adresu se dostane každá aplikace v zařízení, proto musí být aplikace nebo webová stránka spárovaná, s vaším schválením na obrazovce, než může zapisovat, a webová stránka, která spárovaná není, je odmítnuta. Odvolání aplikace ji okamžitě odpojí. Soukromé události (koncepty, soukromé seznamy, připomenutí, zapečetěné obálky, které přijímáte) se vydávají jen tomu, kdo pomocí NIP-42 prokáže, že má klíč, ke kterému patří.

Místní síť, pokud ji zapnete, otevře druhý port (4874, pokud ho nezměníte) pro zařízení ve vaší síti: jen wss://, s vlastním certifikátem relé, a jen pro klíče z vašeho seznamu, poté co se ověří pomocí NIP-42. Klíč ze seznamu čte vaše veřejné události a soukromé události určené jemu a zapisuje jen události, které sám podepsal; odebráním ze seznamu se odpojí. Kdokoli ve stejné síti vidí, že zařízení má tento port otevřený a kolik dat jím prochází, ale ne jaká.

Tor, pokud ho zapnete (ve Windows a Linuxu; na Androidu přijde později), udělá z relé onion službu Toru s adresou .onion, která se nemění. Aplikace spustí program tor tohoto počítače (nebo ten, který je přibalen k aplikaci), a ten se připojí k síti Tor. Klíč této adresy je uložen v šifrované databázi a předává se jen tomuto toru, přímo v zařízení; vlastní složka toru obsahuje jeho kopii adresáře sítě a jeho cookie, nikdy tento klíč. Zda je Tor zapnutý, se ukládá do settings.json. Přes Tor platí stejná pravidla jako v místní síti: jen klíče z vašeho seznamu, po ověření přes NIP-42. Kdo se připojí na vaši adresu, nevidí vaši IP adresu a vy jeho. Samotná adresa nic neotevře; pokud se rozšířila, Nová adresa ji změní. Herkos nedostává nic.

Kde někdo přijímá, zjišťuje dotazem na vaše relé. Vaše soukromé události (koncepty, soukromé seznamy, připomenutí) nikdy neopouštějí zařízení. Nikdy neohlašuje vlastní adresu (není v seznamu NIP-65 nikoho), jeho dokument NIP-11 neříká, kdo jste, a neexistuje žádná analytika, telemetrie ani hlášení pádů. V Androidu běží jako služba s oznámením a jeho tlačítkem Zastavit; po 10 minutách bez připojení usne a aplikace Herkos ho probudí přímo v zařízení, bez push serveru.

Protokol relace je ve výchozím stavu vypnutý. Pokud ho zapnete, uchovává se jen v paměti, posledních 500 řádků, a smaže se, když se relé zastaví: připojení, ověření NIP-42, přijaté nebo odmítnuté události a požadované kindy, podle kindu a začátku identifikátoru, nikdy jejich obsah.

Zálohy. Šifrovaná záloha celého úložiště se zapisuje jen tam, kam zvolíte: do složky v zařízení nebo na externí disk. Složka cloudového klienta (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) se odmítne. Šifruje se vaším vlastním heslem (scrypt a XChaCha20-Poly1305); plánované zálohy pro veřejný klíč, který z tohoto hesla vychází, takže vznikají bez něj. Uchovává se posledních sedm. Bez hesla nemůže zálohu otevřít nikdo, ani my, a pokud ho ztratíte, záloha je ztracená. Export JSONL šifrovaný není: obsahuje vaše soukromé události v prostém textu a aplikace vás na to před zápisem upozorní.

Promazávání je ve výchozím stavu vypnuté: bez něj relé uchovává události jiných lidí, dokud je místo. Promazávat můžete podle stáří (30, 90, 180 nebo 365 dní) nebo podle místa (od 256 MB do 5 GB) a aplikace předem ukáže, kolik by se smazalo. Maže jen události jiných lidí: nikdy vaše, obálky pro vás, kindy chráněné vašimi aplikacemi ani žádosti o smazání; podle místa jen po záloze z posledního dne. Se zapnutou místní sítí nebo Torem nelze promazávání podle stáří vypnout: události jiných lidí se mažou po 90 dnech, pokud nezvolíte jinou lhůtu. Událost s datem vypršení (NIP-40) se po vypršení už nevydává, ať ji napsal kdokoli. A jako všude v Nostru je mazání žádost: co už odešlo na jiná relé, tam může zůstat.

Naše webové stránky a Cloudflare

herkos.app (včetně herkos.app/e/ a herkos.app/f/), app.herkos.app (webová verze Mail), calendar.herkos.app a notes.herkos.app (webové verze Calendar a Notes, až budou zveřejněny) a fdroid.herkos.app (náš repozitář F-Droid) jsou statické soubory, které obsluhuje Cloudflare (Cloudflare Pages a R2). Jako každý webhosting dostává Cloudflare vaši IP adresu, identifikaci vašeho prohlížeče (user agent), adresu, kterou požadujete (bez části za #), a čas, a může je uchovávat ve svých protokolech podle svých vlastních zásad ochrany soukromí.

Nenastavujeme žádné cookies a nepoužíváme žádnou analytiku; stránky a vlastní soubory webových aplikací pocházejí jen z těchto domén (webové aplikace se pak připojují k relé a serverům popsaným výše) a do protokolů o jednotlivých návštěvnících se nedíváme. Stahování z Releases pochází ze služby GitHub, která podle svých vlastních zásad vidí stejný druh údajů.

Veřejné ze své podstaty

Nostr je veřejná síť. Následující věci vidí každý, kdo se dotáže relé, která používáte, a jsou spojeny s vaším veřejným klíčem:

• váš profil (jméno, obrázek) a seznamy relé a serverů Blossom;
• události štítků NIP-32, které zveřejňuje Herkos Mail, když e-mail označíte jako přečtený, přidáte mu hvězdičku, archivujete ho nebo ho přesunete do složky — včetně názvů vlastních složek. Odesílatel, který zná id e-mailu, jež vám poslal, tak může poznat, kdy jste ho přečetli. Plánujeme je šifrovat; do té doby s tím počítejte;
• v Herkos Calendar jen to, co sami zveřejníte (viz výše);
• v Herkos Notes vůbec žádný obsah, jen vzorec popsaný výše: kolik poznámek máte a kdy je upravujete;
• v Herkos Drive žádné názvy ani obsah, jen vzorec popsaný výše: kolik máte souborů a složek, tvar stromu a kdy se která položka mění;
• přes Herkos Local Relay jen veřejné události, které zveřejňují vaše aplikace, jako u jakéhokoli relé.

Vaše volby a práva

• Vše výše uvedené máte pod kontrolou v Nastavení → Síť a servery (relé, relé pro soukromou poštu, servery Blossom, mosty) a v Nastavení → Oznámení; v Herkos Calendar můžete relé, seznam obsazenosti i každý odkaz ke sdílení (Sdílet odkazem → Zrušit odkaz) měnit podle sebe; v Herkos Notes relé (v jeho Nastavení, nebo ve vašem vlastním seznamu soukromých relé).
• V Herkos Drive můžete servery (Nastavení → Hosting souborů), klíč svazku (Nastavení → Klíč svazku) i každý odkaz a každou osobu, se kterou je soubor nebo složka sdílená (Sdílet), měnit podle sebe.
• V Herkos Local Relay jsou spárované aplikace a co která smí dělat, port, kvóta, promazávání, protokol relace, místní síť, Tor a seznam klíčů a zálohy na jeho vlastních obrazovkách.
• Odhlášení z Herkos Notes smaže poznámky v daném zařízení, ale nejdřív nahraje to, co je jen tam, a řekne vám, kolik poznámek byste ztratili; poznámky na relé zůstanou a vrátí se, když se znovu přihlásíte.
• Kdykoli můžete exportovat svůj klíč, odebrat účet (čímž se relé zároveň požádají o smazání vašich dat, NIP-62) nebo resetovat aplikaci.
• Protože nedržíme žádné osobní údaje, nemůžeme sami vyřizovat žádosti o přístup, opravu nebo výmaz; směřujte je na provozovatele dotčeného relé, mostu, push serveru nebo webhostingu. Pomůžeme vám ho určit.
• Herkos není určen dětem mladším 16 let.

Změny

Tento dokument změníme, když se změní chování aplikace, a datum uvedeme nahoře. Rozhodující je soubor PRIVACY.md v repozitáři; zveřejněná stránka je jeho kopií.

Kontakt: privacy@herkos.email · https://herkos.app

Další jazyky

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська