Informativa sulla privacy di Herkos

Ultimo aggiornamento: 11 novembre 2026. URL canonico: https://herkos.app/privacy

Traduzione. Questa è una traduzione di cortesia. In caso di discrepanza prevale la versione inglese.

Herkos Mail, Herkos Calendar, Herkos Notes, Herkos Drive e Herkos Local Relay sono app libere e open source per la rete Nostr, pubblicate dal progetto Herkos («noi»). Herkos Calendar, Herkos Notes, Herkos Drive e Herkos Local Relay sono ancora in sviluppo. Questo documento spiega quali dati trattano le app e i nostri siti web, dove vanno e chi può vederli. L'abbiamo scritto per essere letto, non scorso: se qualcosa qui ti sorprende, scrivici a privacy@herkos.email.

Informazioni di base sulla protezione dei dati

Il primo livello, in poche righe; il resto di questo documento è il secondo.

• Titolare del trattamento — Per ciò che le app conservano sul tuo dispositivo e ciò che inviano a relay e server: tu, insieme al gestore di ogni relay e server che usi. Herkos non riceve nulla di tutto ciò. Per i nostri siti web e per ciò che ci scrivi: il progetto Herkos, privacy@herkos.email.
• Finalità — Le app: conservare, inviare e ricevere la tua posta, i tuoi eventi, le tue note e i tuoi file. I nostri siti web: servire le pagine e risponderti se ci scrivi.
• Base giuridica — Le app non trattano nulla dalla nostra parte. I nostri siti web: il nostro legittimo interesse a servirli e a mantenerli sicuri; la nostra risposta: la tua richiesta.
• Destinatari — I relay, i server Blossom, i bridge e gli altri servizi che ogni app usa, indicati uno per uno più sotto, con ciò che vedono; Cloudflare, per i nostri siti web. Alcuni server predefiniti si trovano fuori dall'Unione europea (vedi Herkos Drive più sotto). Non vendiamo nulla a nessuno.
• Diritti — Accesso, rettifica, cancellazione, opposizione, limitazione e portabilità. Ciò che è sul tuo dispositivo lo vedi, lo modifichi e lo elimini nelle app; ciò che è su un relay o un server, con il suo gestore. Puoi anche proporre reclamo alla tua autorità di protezione dei dati (in Spagna, l'AEPD).
• Ulteriori informazioni — Più sotto: cosa resta sul tuo dispositivo, cosa lo lascia e verso chi, app per app, e le tue scelte.

La versione breve

• Herkos non ha un sistema di account, né un server proprio, né analisi statistiche. Non riceviamo i tuoi messaggi, i tuoi eventi, le tue note, i tuoi contatti, la tua chiave né il tuo utilizzo.
• La tua chiave pubblica Nostr è la tua identità sulla rete. Tutto ciò che pubblichi su Nostr (profilo, elenchi di relay, etichette) vi è collegato ed è visibile ai relay che usi.
• La posta tra utenti Nostr è cifrata end-to-end (NIP-17). La posta da e verso indirizzi tradizionali passa attraverso un bridge che può leggerla.
• Alcune funzioni facoltative inviano dati a terze parti (notifiche push, invio programmato). Sono disattivate finché non le attivi, e questo documento le nomina tutte.
• Gli eventi del calendario sono cifrati sul tuo dispositivo. I relay vedono che hai degli eventi, quanto sono grandi all'incirca e quando cambiano, non cosa dicono. Gli eventi pubblici, l'elenco degli impegni e i link di condivisione sono pubblici per tua scelta, uno per uno. Per sapere dove ricevono i tuoi invitati, Calendar chiede solo ai tuoi relay, mai a un indice di terzi.
• Le note sono cifrate sul tuo dispositivo, con la tua chiave. I relay non possono leggerle, ma possono vedere quante note hai e quando modifichi ciascuna. La ricerca avviene sul tuo dispositivo: le parole che cerchi non lo lasciano mai. Una nota che condividi arriva solo all'account che scegli, sigillata: i relay non vedono né chi la invia né cosa dice.
• I file di Herkos Drive sono cifrati sul tuo dispositivo, blocco per blocco, prima di andare ai server Blossom; i loro nomi e le cartelle vanno cifrati ai relay. Relay e server possono vedere quanti file e cartelle hai, più o meno quanto sono grandi e quando cambiano, non come si chiamano né cosa contengono. Un link di condivisione porta con sé la propria chiave dopo il #: custodiscilo come una password.
• Herkos Local Relay conserva i tuoi eventi sul tuo dispositivo, cifrati, e non invia nulla a Herkos. Ascolta solo sul dispositivo stesso (127.0.0.1), a meno che tu non attivi la rete locale, e allora solo per le chiavi del tuo elenco. Parla solo con i tuoi relay e con i relay di posta in arrivo delle persone a cui scrivi; gli eventi privati non lasciano mai il dispositivo. Le sue copie vanno solo in una cartella che scegli tu, mai nel cloud. Con Tor attivo (Windows e Linux), è raggiungibile anche tramite la rete Tor, di nuovo solo dalle chiavi della tua lista.
• I nostri siti web (herkos.app e i suoi sottodomini) sono serviti da Cloudflare, che vede il tuo indirizzo IP come qualsiasi hosting web. Non impostano cookie e non usano analisi statistiche.

Dati che restano sul tuo dispositivo

• La tua chiave segreta (nsec), quando accedi con essa, viene conservata nell'archivio sicuro del sistema operativo (Android Keystore, portachiavi di iOS/macOS, Gestione credenziali di Windows, libsecret su Linux, archiviazione locale cifrata sul web). Se accedi con un firmatario remoto (un «bunker» NIP-46), la chiave non raggiunge mai il dispositivo.

Nel browser questo archivio sicuro non esiste. La chiave vive nell'archiviazione locale del sito e passa da JavaScript ogni volta che si firma qualcosa: un'estensione con accesso a tutte le pagine, un bug XSS o un rilascio manomesso potrebbero leggerla; e, a differenza di un'app installata, una pagina web serve codice nuovo a ogni visita. Nella versione web usa un firmatario remoto, o un'identità che puoi permetterti di perdere. - La tua casella: email decifrate, allegati, etichette, cartelle e contatti vengono memorizzati in un database locale perché l'app funzioni anche offline. Questo database non è cifrato oltre a quanto offre il sistema operativo; il blocco dell'app (PIN o biometria) è una barriera di comodità, non una cifratura a riposo. Su Android l'app è esclusa dai backup su cloud e da dispositivo a dispositivo. - Il PIN di blocco: memorizzato come hash con sale e allungamento di chiave (PBKDF2), mai in chiaro. Herkos Calendar e Herkos Notes hanno ciascuna un PIN proprio, memorizzato allo stesso modo. - Il tuo calendario (Herkos Calendar): gli eventi, gli elenchi, le chiavi di visualizzazione e i promemoria che puoi leggere vengono memorizzati sul dispositivo, cifrati record per record con una chiave conservata nell'archivio sicuro del sistema operativo. Nel browser il calendario è tenuto solo in memoria e viene riscaricato dai relay ogni volta. I promemoria li fa suonare il dispositivo stesso: Calendar non usa alcun server push. Se scegli di nascondere i titoli nei promemoria, questi dicono solo «Evento» e quando inizia. La tua chiave di Calendar è conservata separatamente da quelle di Herkos Mail (vedi «Il tuo account», nella sezione di Calendar). - Le tue note (Herkos Notes): le note, la loro cronologia, i taccuini e l'indice di ricerca vengono memorizzati sul dispositivo, cifrati record per record con una chiave conservata nell'archivio sicuro del sistema operativo. Nel browser vengono conservati allo stesso modo, nello spazio di archiviazione del browser per il sito (IndexedDB), con la chiave anch'essa nel browser: su un computer usato anche da altri, questo protegge poco. Se il browser non conserva nulla per il sito (una finestra privata, i dati del sito bloccati), restano solo in memoria e senza connessione non si può scrivere. Una nota che blocchi riceve una password propria; senza di essa nessuno può aprire quella nota, nemmeno noi. La copia delle tue note è un file scritto solo dove lo salvi tu, cifrato con una password propria. La copia automatica, fatta ogni giorno a meno che tu non la disattivi, è un file in una cartella del dispositivo (Herkos Notes/backups nei tuoi Documenti), cifrato con la chiave del tuo account; si conservano le ultime sette e non viene inviata da nessuna parte (in un browser non c'è). Le note che altri account condividono con te aspettano in «Ricevute da altri», sul dispositivo e cifrate come il resto, finché non le tieni o le scarti. - I tuoi file (Herkos Drive): l'elenco dei tuoi file e cartelle, con le loro chiavi, è memorizzato in cache sul dispositivo, cifrato record per record con una chiave conservata nell'archivio sicuro del sistema operativo; anche ciò che resta da inviare, e i blocchi in attesa di caricamento, sono conservati cifrati. Le miniature restano solo in memoria. Un file che scarichi o apri viene scritto in chiaro dove scegli tu, come qualsiasi file. Il backup del tuo Drive (.hbk, o il backup dell'indice con una password propria) è un file scritto solo dove lo salvi tu. Su Android, il selettore di file del sistema e «Condividi» mostrano i file di Drive solo mentre Drive è sbloccato, e ciò che un'app ottiene da lì viene decifrato al volo, mai scritto su disco. - Il tuo relay (Herkos Local Relay): i suoi eventi, le app abbinate, le sue impostazioni e dove vanno le sue copie; vedi la sua sezione più sotto.

Puoi cancellare tutto da Impostazioni → Altro → Reimposta applicazione, oppure rimuovendo un account.

Dati che lasciano il tuo dispositivo, e verso chi

Questa tabella riguarda Herkos Mail. Herkos Calendar, Herkos Notes, Herkos Drive e Herkos Local Relay hanno ciascuna una sezione propria più sotto.

I tuoi relay privati. Se il tuo account ha una lista di relay privati (kind 10013, NIP-37; Herkos Notes e Calendar usano la stessa), Mail tiene le tue bozze, le impostazioni cifrate, le etichette e gli invii programmati sui suoi relay, non sui tuoi relay di scrittura; ciò che vi aveva lasciato prima continua a leggerlo, e lo elimina anche lì. Senza questa lista, vanno ai tuoi relay di scrittura. Mail pubblica la lista solo quando lo chiedi tu (Impostazioni → Hosting → Relay privati), cifrata con la tua chiave: i relay vedono la tua chiave pubblica, che la lista esiste e quando cambia, non i relay che contiene. Una lista scritta da un'altra app viene usata così com'è e non viene mai sovrascritta.

Inoltro automatico (Impostazioni → Inoltro automatico, spento finché non lo accendi). Una copia di ogni nuovo messaggio va all'unico indirizzo che scegli: a un account Nostr, cifrata end-to-end come ogni messaggio; a un indirizzo tradizionale, tramite il bridge dell'indirizzo principale del tuo account, che la vede per intero (vedi Bridge sopra). Lo fa questo dispositivo, mentre Mail è in funzione o alla sincronizzazione successiva; l'impostazione resta sul dispositivo e non viene mai pubblicata.

Un'app di firma sul tuo telefono Android (NIP-55, come Amber). La chiave resta in quell'app, e Mail le parla direttamente sul telefono, senza relay né rete in mezzo; il dispositivo conserva solo la tua chiave pubblica e quale app firma. Mail le chiede solo di firmare i kind che Mail firma con il tuo account e di cifrare e decifrare (NIP-44), mai le buste dei messaggi, che usano chiavi monouso, e verifica ogni evento firmato che torna prima di usarlo.

Herkos Local Relay. Se Herkos Local Relay è sullo stesso dispositivo, Mail propone una volta di collegarsi; non viene inviato nulla finché non tocchi Collega e approvi Mail in Herkos Local Relay. Mail si abbina con una chiave propria e a ogni connessione verifica che sia lo stesso relay. Firma una volta con la tua chiave, perché il relay conservi i tuoi eventi come tuoi; poi vi copia la posta che questo dispositivo conserva e, da quel momento, ogni evento del tuo account che Mail invia e ogni busta che riceve, esattamente come sono stati firmati e ancora cifrati, e chiede al relay di tenerli sul dispositivo e di dare quelli privati solo alla tua chiave. Le buste che invii ad altri non vengono copiate. Mail non vi legge mai: è una copia. Per questo nulla lascia il dispositivo.

Herkos stesso non riceve nulla di tutto ciò. Non ci sono segnalazioni di arresto anomalo né telemetria.

Herkos Calendar: cosa vedono i relay

Calendar parla con relay Nostr: quelli del tuo account (i tuoi elenchi NIP-65 e di posta in arrivo), quelli in Impostazioni → Relay (modificabili) e, quando inviti qualcuno o rispondi a un invito, i relay di posta in arrivo di quella persona. Con nessun altro, tranne ciò che consulti tu (più sotto): nemmeno con indici pubblici di relay. «Il tuo account», più sotto, spiega a cosa serve ciascuno. Non c'è alcun server Herkos, né server push, né telemetria. Ogni relay vede il tuo indirizzo IP e l'orario di ogni connessione.

Un relay che chiede l'autenticazione NIP-42 apprende la tua chiave pubblica; Calendar risponde a tale richiesta solo per i tuoi eventi sui tuoi relay, e per leggere la tua posta in arrivo. Eliminare su Nostr è una richiesta: un relay può conservarne la copia, sempre cifrata.

Ciò che nulla negli eventi può nascondere: ogni invito parte dal tuo indirizzo IP, e ogni invitato scarica l'evento dai tuoi relay dal proprio. Un relay che ospita la posta in arrivo di più tuoi invitati può capire che i loro inviti sono partiti dallo stesso indirizzo. Solo Tor o una VPN lo nascondono.

Il tuo account

Calendar non crea account: accedi con un'identità Nostr che hai già, in uno di questi modi.

• Con un'app di firma sul tuo telefono Android (NIP-55, come Amber): la chiave resta in quell'app, e Calendar le parla direttamente sul telefono, senza relay né rete di mezzo. Il dispositivo conserva solo la tua chiave pubblica e il nome dell'app che firma. Calendar le chiede le stesse cose che a un bunker (più sotto), mai le buste degli inviti, e controlla ogni evento firmato che torna prima di usarlo.
• Con la tua chiave (nsec, o ncryptsec protetta da password, aperta sul dispositivo): viene conservata nell'archivio sicuro del sistema operativo, con un nome proprio di Calendar. Herkos Mail tiene i suoi account separati, e Calendar non li legge, non li modifica e non li elimina mai: uscire da un'app non ti fa uscire dall'altra.
• Con un link bunker://: la chiave resta nella tua app di firma. Calendar le parla attraverso i relay indicati dal link, e le chiede solo la tua chiave pubblica, di cifrare e decifrare (NIP-44) e di firmare i kinds di evento propri di Calendar; le buste degli inviti non passano mai da essa, perché portano chiavi monouso. Il dispositivo conserva solo la connessione (una chiave creata apposta, la chiave pubblica del firmatario e i suoi relay). Quei relay vedono il tuo indirizzo IP, le chiavi della connessione e quando vengono chieste firme; le richieste sono cifrate.
• Con Nostr Connect (un codice QR): come il bunker, ma la connessione passa per i relay in Impostazioni → Relay. Calendar non aggiunge alcun relay suo né di altri.

I tuoi relay. All'accesso, Calendar cerca i tuoi elenchi (NIP-65, kind 10002, e quello di posta in arrivo, kind 10050) sui relay in Impostazioni → Relay, su una connessione separata che non ti identifica: un relay che chiede l'autenticazione riceve una chiave monouso, non la tua. Da quel momento:

• i tuoi eventi, i tuoi elenchi e le tue impostazioni cifrate vengono pubblicati sui tuoi relay di scrittura NIP-65. Senza quell'elenco, su quelli in Impostazioni, e la pagina dell'account te lo dice;
• i tuoi inviti e le risposte vengono letti dai tuoi relay di lettura e di posta in arrivo. Calendar risponde all'autenticazione NIP-42 solo sui tuoi relay, e solo per ciò che è tuo;
• se apri l'app con l'accesso già effettuato, non si connette a nulla finché non serve;
• se in Impostazioni → Relay c'è un relay che funziona su questo dispositivo (un indirizzo ws://127.0.0.1 o ws://localhost, come l'app Citrine), ogni sincronizzazione vi lascia anche una copia dei tuoi eventi, elenchi e cancellazioni, esattamente come sono stati firmati e ancora cifrati. Per farlo non esce nulla dal dispositivo, e finché un altro relay ha un evento, questo non è mai il relay dove si dice ai tuoi invitati di cercarlo. Le altre app del dispositivo che leggono quel relay vedono ciò che vede qualsiasi relay.

I relay dei tuoi invitati (deciso il 21 ottobre 2026). Per invitare qualcuno, l'app deve sapere dove riceve. Calendar cerca i suoi elenchi (10002 e 10050) solo sui relay in Impostazioni → Relay, mai sull'indice pubblico di terzi (come purplepag.es): quel servizio vedrebbe da quale indirizzo chiedi e su chi ti informi, cioè chi inviti. Ogni invitato viene cercato separatamente, in ordine casuale, su una connessione propria con una chiave monouso, così quei relay non possono capire chi è invitato insieme a chi. Ciò che vedono, invece, sono il tuo indirizzo IP e la chiave pubblica di ogni persona che cerchi. Se gli elenchi di qualcuno non sono su quei relay, l'app lo segnala come «nessuna casella nota» prima dell'invio, e l'invito non gli arriva. Per trovarlo, aggiungi in Impostazioni → Relay un relay dove pubblica i suoi elenchi.

Cosa si sincronizza tra i tuoi dispositivi, sempre cifrato per te e sui tuoi relay di scrittura: i tuoi elenchi di calendari (con le chiavi dei loro eventi), le impostazioni dei promemoria (d=calendar-alarms), i calendari che segui (d=calendar-subscriptions) e gli inviti che ignori o gli eventi altrui che rimuovi dal tuo calendario (kind 30078, d=calendar-declined: solo quale evento e quando, mai il titolo). I relay vedono che esistono e quando cambiano, non cosa dicono. I promemoria che il dispositivo fa suonare sono quelli dell'account con cui hai effettuato l'accesso, mai quelli di uno precedente.

La copia delle tue chiavi. Calendar propone di salvarne una copia: un file con i tuoi elenchi di calendari e le chiavi dei loro eventi, cifrato con una password che scegli apposta (il cifrario di NIP-49). Viene scritto solo dove lo salvi tu; non va a nessun relay né server. Il suo nome riporta la data, mai l'account. Per ricordartelo, il dispositivo memorizza solo due date: quella dell'ultima copia e quella dell'ultimo «Non ora».

Uscire ti mostra prima cosa andrà perso e ti propone di salvare la copia. Poi elimina da questo dispositivo la tua chiave (o la connessione al bunker) e il calendario memorizzato. Ciò che è stato pubblicato resta sui relay, cifrato. Il permesso che hai dato nella tua app di firma si revoca in quell'app.

Pubblico per tua scelta

Sono disattivati finché non li attivi, e l'app mostra cosa rivela ciascuno prima che tu lo faccia:

• Eventi pubblici (kinds 31922/31923): tutto ciò che contengono — titolo, orario, luogo, descrizione — è pubblico, collegato alla tua chiave pubblica, e resta pubblico: un evento pubblico non può tornare privato.
• L'elenco degli impegni (kind 31926): gli orari in cui sei occupato in questo mese e nei due successivi, arrotondati a 30 minuti (o 15), per i calendari che scegli. Mai cosa, dove o con chi. Disattivarlo chiede ai relay di cancellarlo.
• Link di condivisione (herkos.app/e/…): il link è la chiave. Chiunque lo abbia può leggere quell'evento finché non lo revochi, e la sua prima parte mostra la tua chiave pubblica. La chiave sta dopo #, una parte dell'indirizzo che i browser non inviano mai a un server, quindi né Cloudflare né noi la vediamo. La pagina interroga i relay indicati nel link; se uno di essi non è un relay noto, dice al visitatore di quale server si tratta e chiede prima di connettersi, perché quel server vedrebbe l'indirizzo IP del visitatore. Revocare cifra di nuovo l'evento con una nuova chiave; chi l'ha già letto conserva ciò che ha letto.
• Esportazioni (.ics): un file di testo semplice con i tuoi titoli e orari. Non è cifrato; conservalo come qualsiasi altro documento privato.
• La copia automatica (.ics, nella pagina Esporta in .ics): una volta al giorno, nei giorni in cui Calendar è aperto, un'esportazione di tutti i tuoi calendari in una cartella che scegli tu, conservando le ultime 7. Come un'esportazione, non è cifrata: tutto ciò che può leggere quella cartella (un'altra app, una cartella nel cloud che la sincronizza) può leggere i tuoi titoli e orari. Calendar scrive ed elimina lì solo i propri file (herkos-calendar-auto-…ics), e ricorda la cartella solo su questo dispositivo.
• Segnalazioni di problemi (beta): l'app prepara solo un testo che copi e invii tu stesso. Contiene la versione dell'app, la piattaforma, la lingua, il fuso orario e se i promemoria possono suonare, mai i tuoi eventi, la tua chiave o il tuo account.

Herkos Calendar legge le risposte pubbliche ai tuoi eventi pubblici scritte da altre app (RSVP, kind 31925, e rimozioni, kind 84); non scrive né le une né le altre.

Ciò che consulti tu

Queste connessioni avvengono solo quando le chiedi tu:

• Calendari che segui tramite il loro indirizzo (.ics o webcal): il dispositivo chiede il calendario direttamente al server di quell'indirizzo, solo via https, ogni poche ore, senza cookie e senza alcun nostro intermediario. Quel server vede il tuo indirizzo IP e quando lo chiedi, e chiunque abbia l'indirizzo può leggere il calendario. L'elenco degli indirizzi è conservato sul tuo dispositivo e sui tuoi relay, cifrato per te (kind 30078, d=calendar-subscriptions).
• Calendari pubblici Nostr che segui (un link naddr…): vengono chiesti ogni poche ore ai tuoi relay e ai relay indicati dal link, mai ad altri. Quei relay vedono il tuo indirizzo IP e quale calendario leggi. Stanno nello stesso elenco cifrato.
• Festività: sono incluse nell'app; seguirle non chiede nulla a nessun server.
• «Vedi se sono liberi» (nell'editor, quando lo premi): l'app chiede l'elenco pubblico degli impegni (kind 31926) di ogni invitato ai relay dove quella persona pubblica, senza identificarsi. Quei relay vedono il tuo indirizzo IP e su chi ti informi.
• File di un evento: sono cifrati su un server Blossom. Quando ne apri uno, l'app lo scarica da quel server, che vede il tuo indirizzo IP e l'identificativo del file, mai il suo contenuto.

Herkos Notes: cosa vedono i relay

Notes parla con relay Nostr, e con nessun altro. Non c'è alcun server Herkos, né server push, né telemetria. Ogni relay vede il tuo indirizzo IP e l'orario di ogni connessione.

Quali relay. Se il tuo account ha un elenco di relay privati (kind 10013, l'elenco descritto da NIP-37), Notes usa i relay che contiene, così come sono, e non lo sovrascrive mai; cerca quell'elenco sui relay delle sue Impostazioni e sui relay dove pubblichi (il tuo elenco NIP-65). Altrimenti usa i relay delle sue Impostazioni: relay.formstr.app, nos.lol e relay.primal.net per impostazione predefinita, fino a otto, tutti modificabili. Le Impostazioni offrono anche un elenco di relay conosciuti da aggiungere con un tocco; nessuno viene contattato se non lo aggiungi. Un relay può essere ws://, una connessione non cifrata, solo se è sul dispositivo o sulla rete di casa (localhost, indirizzi privati, nomi .local): le note viaggiano comunque cifrate, ma chiunque su quella rete può vedere ciò che vede il relay (la tabella qui sotto). Notes non pubblica alcun elenco di relay proprio, a meno che tu non glielo chieda (Relay → Salva come mio elenco di relay privati). In quel caso pubblica questi relay come tuo 10013, cifrato con la tua chiave, sugli stessi relay dove cerca gli elenchi, e lo tiene aggiornato con ciò che cambi in Notes: i relay vedono la tua chiave pubblica, che l'elenco esiste e quando cambia, non i relay che contiene. Un elenco scritto da un'altra app non viene mai sovrascritto: Notes lo usa così com'è. Se uno di questi relay funziona su questo dispositivo (un indirizzo ws://127.0.0.1 o ws://localhost, come l'app Citrine), Notes vi lascia anche una copia delle tue note, dei tuoi taccuini e delle cancellazioni, esattamente come sono stati firmati e ancora cifrati. Per farlo non esce nulla dal dispositivo; Notes non legge mai da quel relay, e una nota che ha solo lui non conta come caricata. Le altre app del dispositivo che leggono quel relay vedono ciò che vede qualsiasi relay.

Herkos Local Relay. Se Herkos Local Relay è sullo stesso dispositivo, Notes propone una volta di collegarsi; non viene inviato nulla finché non tocchi Collega e approvi Notes in Herkos Local Relay. Notes si abbina con una chiave sua, creata per quell'abbinamento, e a ogni connessione controlla che sia lo stesso relay, così un altro programma in ascolto sulla sua porta non riceve nulla. Da allora vi copia le tue note, i punti di controllo, i quaderni, le cancellazioni, la tua lista di relay privati e i sigilli delle note che condividi, esattamente come sono stati firmati e ancora cifrati, e gli chiede di tenere privato tutto tranne le cancellazioni: il relay lo dà solo alla tua chiave e non lo passa a nessuno. Perché il relay li tenga come tuoi, Notes firma una volta con la tua chiave quando si collega. Per questo nulla lascia il dispositivo. Notes non legge mai da lì: è una copia, e una nota che ha solo lui non conta come caricata. Se smette di rispondere, Notes continua con gli altri tuoi relay e più tardi gli invia solo ciò che gli manca. Puoi scollegarlo nelle Impostazioni di Notes, o revocare Notes in Herkos Local Relay.

Ciò che non si può nascondere. Il d e il k di una nota e l'a di un punto di controllo devono essere leggibili: i relay ne hanno bisogno per sostituire una nota con la sua versione più recente e per trovarne la cronologia. Quindi un relay può contare quante note hai, e vedere quando modifichi ciascuna e quanto spesso. Notes lo rende meno preciso, non invisibile: salva al massimo un punto di controllo per nota per ogni ora di modifica, uno quando chiudi una nota che è cambiata e uno per ciascun lato quando risolvi un conflitto, mai uno per ogni salvataggio, così il tuo ritmo di scrittura non viene pubblicato minuto per minuto.

Perché le tue note non scadono mai. Le bozze NIP-37 possono avere un tag expiration (il suo esempio usa 90 giorni), e un relay che lo rispetta elimina l'evento in quella data. Per un taccuino vorrebbe dire perdere note che nessuno ha chiesto di eliminare, quindi Notes non lo scrive mai. Il rovescio della medaglia: le tue note restano sui relay, cifrate, finché non le elimini, ed eliminare su Nostr è una richiesta: un relay può conservarne la copia.

Condividere una nota. Notes invia la copia ai relay dove l'altro account dice di leggere (i suoi relay NIP-17, kind 10050, oppure i relay di lettura del suo elenco NIP-65), che cerca sui tuoi relay, e ai tuoi relay, al massimo otto. Viaggia ciò che dice la nota (titolo, testo ed etichette), non il tuo taccuino, i tuoi contrassegni o il cestino; ciò che cambi dopo non viene inviato. L'altro account tiene la sua copia: Notes non può riprenderla, ed eliminare la tua nota non la elimina. Per ricevere, Notes chiede ai tuoi relay i gift wrap indirizzati alla tua chiave con k=30023 e li apre sul dispositivo. Scartarne uno lo toglie solo dal dispositivo: un gift wrap è firmato da una chiave che nessuno conserva, quindi nessuno dei due può chiedere ai relay di eliminarlo, e resta lì, leggibile solo da te.

La ricerca è locale. Tutto è cifrato, quindi nessun relay può cercare al posto tuo. Notes scarica e decifra le tue note e costruisce l'indice sul dispositivo; le parole che cerchi non vengono mai inviate da nessuna parte.

Un relay che chiede l'autenticazione NIP-42 apprende la tua chiave pubblica; Notes gli risponde con il tuo account. Notes chiede anche ai tuoi relay le bozze che altre app hanno scritto con la tua chiave (kinds 31234 e il più vecchio 30024), per mostrarle in sola lettura, e nel farlo non pubblica nulla. Se accedi con un firmatario remoto (un bunker o Nostr Connect), i suoi relay trasportano le tue richieste di firma cifrate, e Notes gli chiede di firmare solo i kinds indicati sopra (compreso il sigillo di una nota condivisa, kind 13; il suo gift wrap viene firmato sul dispositivo, con la chiave monouso). Con un'app di firma sul tuo telefono Android (NIP-55, come Amber), Notes le parla direttamente sul telefono, senza alcun relay in mezzo, le chiede le stesse cose e controlla ogni evento firmato che torna prima di usarlo.

Herkos Drive: cosa vedono relay e server

Drive conserva il contenuto dei tuoi file su server Blossom e l'elenco dei tuoi file e cartelle (l'indice) su relay Nostr, entrambi cifrati sul tuo dispositivo. Non c'è alcun server Herkos, nessun server push e nessuna telemetria. Ogni relay e ogni server vede il tuo indirizzo IP e l'orario di ogni connessione. Per impostazione predefinita l'indice va a cinque relay e i file a cinque server Blossom, nessuno gestito da Herkos; Impostazioni → Hosting file cambia i server, e lì si può aggiungere un server tuo. Chi gestisce ciascuno e dove si trova, per quanto ne sappiamo (verificato il 5 novembre 2026):

Il paese si ricava dall'indirizzo IP del server e può essere sbagliato, e un server dietro Cloudflare non mostra dove si trova; ciò che conta è dove ogni gestore dichiara di conservare i dati, e la maggior parte non lo dice. Ogni gestore è indipendente, con le proprie condizioni; Herkos non ha accordi con nessuno di loro. Almeno due dei cinque server di file si trovano fuori dall'Unione europea: ciò che conservano è cifrato sul tuo dispositivo e non possono leggerlo, ma il tuo indirizzo IP e l'orario di ogni caricamento arrivano a loro.

Due chiavi. Il tuo account firma una cosa sola: il localizzatore, un evento cifrato per la tua stessa chiave che permette ai tuoi dispositivi di trovare il tuo Drive. Tutto il resto è firmato da una chiave del volume creata a caso per il tuo Drive, non derivata dal tuo account, così l'indice non dice di chi è. Drive legge il localizzatore una volta per dispositivo, non a ogni avvio, perché i relay non vedano il tuo account e il tuo volume richiesti insieme. Chi riceve da te una cartella condivisa riceve anche la chiave del volume; puoi cambiarla in qualsiasi momento (Impostazioni → Chiave del volume): gli altri tuoi dispositivi si adeguano da soli, e ciò che è firmato con quella vecchia non viene più accettato.

Cosa non si può nascondere. Ogni evento dice in quale cartella si trova, quindi un relay può contare quanti file e cartelle hai, vedere la forma dell'albero (quali cartelle contengono quante cose) e quando cambia ciascuno. Non può sapere come si chiama né cosa contiene nessuno di essi.

I server Blossom ricevono blocchi dei tuoi file, ciascuno cifrato con una chiave propria della sua revisione e riempito fino a un multiplo di 64 KiB, quindi vedono più o meno quanto è grande ogni file, non cosa sia né come si chiami. Ogni caricamento è firmato: su un server tuo, dalla chiave del volume; su qualsiasi altro, da una chiave creata solo per quel server e quel file, che non identifica nessuno e non è mai la stessa su due server. Eliminare un file chiede ai suoi server di eliminarne i blocchi; come per i relay, un server può conservarne una copia.

Link (herkos.app/f/…). Un link a un file o a una cartella porta, dopo il #, la chiave che lo apre: il link è la chiave. La parte dopo # non raggiunge mai il nostro server né Cloudflare, e la pagina la toglie dalla barra degli indirizzi appena l'ha letta. Ma prima di allora il browser può aver già salvato l'indirizzo completo nella sua cronologia, e un browser che sincronizza la cronologia lo conserva anche sui server del suo fornitore. Niente dalla nostra parte può impedirlo. Per qualsiasi cosa delicata, dai al link una password (il link allora non apre nulla senza di essa, e la password viaggia separata), oppure condividi con l'account della persona, che non richiede alcun link. La pagina legge i relay e i server del link; uno che non conosce lo contatta solo dopo che hai detto di sì, perché vedrebbe il tuo indirizzo IP. Un link può scadere: quel giorno smette di aprirsi, e una cartella riceve chiavi nuove, così ciò che viene aggiunto dopo non si apre con la vecchia chiave. Chi l'ha già aperto conserva ciò che ha scaricato. Per togliere l'accesso prima, rimuovi il link: una cartella riceve allora subito chiavi nuove.

Condivisione con un account. Drive cerca dove legge quell'account (i suoi relay NIP-17, kind 10050, o i relay di lettura del suo elenco NIP-65) sui tuoi relay e su quelli di Drive, una persona alla volta, mai in un indice pubblico. Ogni persona riceve un link suo, così rimuoverne uno lascia intatti gli altri, e nessuno può sapere chi altro l'ha ricevuto.

Un relay che chiede l'autenticazione NIP-42 viene a sapere la chiave del volume, mai il tuo account: Drive gli risponde con la chiave del volume. Se accedi con un'app di firma sul tuo telefono Android (NIP-55, come Amber), Drive le chiede solo di firmare il localizzatore, la richiesta che ne ritira uno vecchio e il sigillo di ciò che condividi con un account, e di cifrare e decifrare per la tua stessa chiave.

Herkos Local Relay: cosa conserva e con chi parla

Herkos Local Relay è un relay Nostr che funziona sul tuo stesso dispositivo, per le app Herkos e per qualsiasi altro client Nostr. Dietro non c'è alcun server nostro, e non ci invia nulla.

In poche parole (i dettagli seguono):

• Chi tratta i tuoi dati: tu. Herkos non riceve nulla dal relay: né eventi, né chiavi, né indirizzi IP, né statistiche. Non c'è alcun account né alcun server nostro.
• Cosa conserva: sul tuo dispositivo e cifrato, ciò che le tue app vi scrivono e ciò che porta dai tuoi relay, le app abbinate e le sue impostazioni.
• Con chi parla: i tuoi relay e i relay di posta in arrivo delle persone a cui scrivi. Nessun altro. Se attivi Tor, anche la rete Tor.
• Per quanto tempo: finché non lo elimini, non disinstalli l'app o non lo pota la regola che scegli. La potatura è disattivata per impostazione predefinita e non elimina mai i tuoi eventi.
• Copie: solo dove scegli tu, mai nel cloud, e cifrate con una password che conosci solo tu.
• I tuoi diritti: puoi vedere, modificare ed eliminare tutto dall'app. Ciò che hai già pubblicato su altri relay lo conserva ciascun relay: chiedi al suo operatore.
• Età: non è destinato a minori di 16 anni.

Cosa conserva, sul dispositivo. Gli eventi che le tue app vi scrivono e quelli che porta dai tuoi relay, in un database cifrato con una chiave conservata nell'archivio sicuro del sistema operativo. Accanto: le app che hai abbinato e cosa può fare ciascuna; le sue impostazioni (settings.json: la porta, la quota, la potatura, se il registro della sessione è attivo, se le app non abbinate possono entrare, se la rete locale è attiva e la sua porta); se attivi la rete locale, l'elenco delle chiavi ammesse, con i nomi che hai dato loro, e il certificato del relay con la sua chiave, dentro il database cifrato; e quelle delle copie (backups.json: ogni quanto, la cartella, la chiave pubblica per cui sono cifrate le copie e il suo sale, quando è stata fatta l'ultima). Niente di tutto ciò è un segreto, e la password delle copie non viene mai memorizzata. Su Windows e Linux, mentre è in funzione, relay.json nella cartella dell'app dice su quale porta ascolta, perché le app Herkos possano trovarlo. Disinstallare l'app elimina il database, e la sua chiave diventa inutile.

Chi può connettersi. Ascolta su 127.0.0.1 (porta 4873, a meno che tu non la cambi): finché la rete locale è disattivata, com'è all'inizio, nulla fuori dal dispositivo può raggiungerlo. Qualsiasi app del dispositivo può raggiungere quell'indirizzo, quindi un'app o una pagina web deve essere abbinata, cioè approvata da te sullo schermo, prima di poter scrivere, e una pagina web non abbinata viene respinta. Revocare un'app la disconnette subito. Gli eventi privati (bozze, elenchi privati, promemoria, le buste sigillate che ricevi) vengono dati solo a chi dimostra con NIP-42 di possedere la chiave a cui appartengono.

La rete locale, se la attivi, apre una seconda porta (4874, a meno che tu non la cambi) ai dispositivi della tua rete: solo wss://, con il certificato proprio del relay, e solo per le chiavi del tuo elenco, dopo che si sono autenticate con NIP-42. Una chiave dell'elenco legge i tuoi eventi pubblici e quelli privati destinati a lei, e scrive solo eventi che ha firmato lei; toglierla dall'elenco la disconnette. Chiunque sia sulla stessa rete vede che il dispositivo ha quella porta aperta e quanto traffico vi passa, non cosa.

Tor, se lo attivi (su Windows e Linux; su Android arriverà più avanti), rende il relay un servizio onion di Tor, con un indirizzo .onion che non cambia. L'app avvia il programma tor di questo computer (o quello fornito con l'app), che si collega alla rete Tor. La chiave di quell'indirizzo è conservata nel database cifrato e viene data solo a quel tor, sul dispositivo stesso; la cartella propria di tor contiene la sua copia della directory della rete e il suo cookie, mai quella chiave. Se Tor è attivo viene salvato in settings.json. Tramite Tor valgono le stesse regole della rete locale: solo le chiavi della tua lista, dopo l'autenticazione con NIP-42. Chi si collega al tuo indirizzo non vede il tuo indirizzo IP, né tu il suo. L'indirizzo da solo non apre nulla; se è circolato, Nuovo indirizzo lo cambia. Herkos non riceve nulla.

Per sapere dove riceve qualcuno, chiede ai tuoi relay. I tuoi eventi privati (bozze, elenchi privati, promemoria) non lasciano mai il dispositivo. Non annuncia mai il proprio indirizzo (non è nell'elenco NIP-65 di nessuno), il suo documento NIP-11 non dice chi sei, e non ci sono analisi statistiche, telemetria né segnalazioni di arresto anomalo. Su Android funziona come servizio con una notifica e il suo pulsante Ferma; si sospende dopo 10 minuti senza connessioni, e un'app Herkos lo risveglia sul dispositivo stesso, senza alcun server push.

Il registro della sessione è disattivato per impostazione predefinita. Se lo attivi, viene tenuto solo in memoria, le ultime 500 righe, e cancellato quando il relay si ferma: connessioni, autenticazione NIP-42, eventi accettati o rifiutati e i kinds richiesti, per kind e l'inizio del loro identificativo, mai il loro contenuto.

Copie. La copia cifrata dell'intero archivio viene scritta solo dove scegli tu: una cartella del dispositivo o un disco esterno. Una cartella di un client cloud (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) viene rifiutata. È cifrata con una password tua (scrypt e XChaCha20-Poly1305); quelle programmate, per la chiave pubblica che quella password genera, così vengono fatte senza di essa. Si conservano le ultime sette. Senza la password nessuno può aprire una copia, nemmeno noi, e se la perdi la copia è perduta. L'esportazione JSONL non è cifrata: contiene i tuoi eventi privati in chiaro, e l'app lo dice prima di scriverla.

La potatura è disattivata per impostazione predefinita: senza di essa, il relay conserva gli eventi di altre persone finché c'è spazio. Puoi potare per età (30, 90, 180 o 365 giorni) o per spazio (da 256 MB a 5 GB), e l'app mostra prima quanto eliminerebbe. Elimina solo gli eventi di altre persone: mai i tuoi, le buste per te, i kinds che le tue app proteggono o le richieste di eliminazione; per spazio, solo dopo una copia dell'ultimo giorno. Con la rete locale o Tor attivi, la potatura per età non si può disattivare: gli eventi di altre persone vengono eliminati dopo 90 giorni, a meno che tu non scelga un altro termine. Un evento con una data di scadenza (NIP-40) non viene più dato a nessuno una volta scaduto, chiunque l'abbia scritto. E come ovunque su Nostr, eliminare è una richiesta: ciò che è già andato ad altri relay può restarvi.

I nostri siti web e Cloudflare

herkos.app (compresi herkos.app/e/ e herkos.app/f/), app.herkos.app (la versione web di Mail), calendar.herkos.app e notes.herkos.app (le versioni web di Calendar e di Notes, quando saranno pubblicate) e fdroid.herkos.app (il nostro repository F-Droid) sono file statici serviti da Cloudflare (Cloudflare Pages e R2). Come qualsiasi hosting web, Cloudflare riceve il tuo indirizzo IP, lo user agent del tuo browser, l'indirizzo che richiedi (senza la parte dopo #) e l'orario, e può conservarli nei suoi log secondo la propria informativa sulla privacy.

Non impostiamo cookie e non usiamo analisi statistiche; le pagine e i file propri delle app web provengono solo da questi domini (le app web poi si connettono ai relay e ai server descritti sopra), e non guardiamo i log dei singoli visitatori. I download da Releases provengono da GitHub, che vede lo stesso tipo di dati secondo la propria informativa.

Pubblico per progettazione

Nostr è una rete pubblica. Queste cose sono visibili a chiunque interroghi i relay che usi, e sono collegate alla tua chiave pubblica:

• il tuo profilo (nome, immagine) e i tuoi elenchi di relay e di server Blossom;
• gli eventi etichetta NIP-32 che Herkos Mail pubblica quando segni un'email come letta, la metti tra i preferiti, la archivi o la sposti in una cartella — compreso il nome delle cartelle personalizzate. Chi ti ha inviato un'email e ne conosce l'identificativo può quindi sapere quando l'hai letta. Prevediamo di cifrarli; fino ad allora, tienilo presente;
• in Herkos Calendar, solo ciò che rendi pubblico (vedi sopra);
• in Herkos Notes, nessun contenuto, solo lo schema descritto sopra: quante note hai e quando le modifichi;
• in Herkos Drive, né nomi né contenuti, solo lo schema descritto sopra: quanti file e cartelle hai, la forma dell'albero e quando cambia ciascuno;
• attraverso Herkos Local Relay, solo gli eventi pubblici che pubblicano le tue app, come con qualsiasi relay.

Le tue scelte e i tuoi diritti

• Tutto quanto sopra è sotto il tuo controllo in Impostazioni → Rete e server (relay, relay DM, server Blossom, bridge) e Impostazioni → Notifiche; in Herkos Calendar, i relay, l'elenco degli impegni e ogni link di condivisione (Condividi tramite link → Revoca link) li cambi tu; in Herkos Notes, i relay (nelle sue Impostazioni, o nel tuo stesso elenco di relay privati).
• In Herkos Drive, i server (Impostazioni → Hosting file), la chiave del volume (Impostazioni → Chiave del volume) e ogni link e ogni persona con cui è condiviso un file o una cartella (Condividi) li cambi tu.
• In Herkos Local Relay, le app abbinate e cosa può fare ciascuna, la porta, la quota, la potatura, il registro della sessione, la rete locale, Tor e l'elenco di chiavi, e le copie si trovano nelle sue schermate.
• Uscire da Herkos Notes elimina le note su quel dispositivo, ma prima invia ciò che si trova solo lì e ti dice quante note perderesti; le note sui relay restano, e tornano quando accedi di nuovo.
• Puoi esportare la tua chiave, rimuovere un account (il che chiede anche ai relay di cancellare i tuoi dati, NIP-62) o reimpostare l'app in qualsiasi momento.
• Poiché non conserviamo dati personali, non possiamo rispondere noi stessi alle richieste di accesso, rettifica o cancellazione; rivolgile all'operatore del relay, del bridge, del server push o dell'hosting web interessato. Ti aiuteremo a individuarlo.
• Herkos non è destinato a minori di 16 anni.

Modifiche

Modificheremo questo documento quando cambierà il comportamento dell'app, e registreremo la data in alto. La fonte di verità è PRIVACY.md nel repository; la pagina pubblicata ne è una copia.

Contatto: privacy@herkos.email · https://herkos.app

Altre lingue

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська