Politica de confidențialitate Herkos

Ultima actualizare: 11 noiembrie 2026. URL canonic: https://herkos.app/privacy

Traducere. Aceasta este o traducere oferită cu titlu informativ. În caz de neconcordanță, prevalează versiunea în limba engleză.

Herkos Mail, Herkos Calendar, Herkos Notes, Herkos Drive și Herkos Local Relay sunt aplicații gratuite și open-source pentru rețeaua Nostr, publicate de proiectul Herkos („noi”). Herkos Calendar, Herkos Notes, Herkos Drive și Herkos Local Relay sunt încă în dezvoltare. Acest document explică ce date gestionează aplicațiile și site-urile noastre, unde ajung și cine le poate vedea. L-am scris ca să fie citit, nu parcurs în grabă: dacă ceva de aici vă surprinde, scrieți-ne la privacy@herkos.email.

Informații de bază privind protecția datelor

Primul nivel, în câteva rânduri; restul acestui document este al doilea.

• Operatorul (cine răspunde) — Pentru ce păstrează aplicațiile pe dispozitivul dvs. și ce trimit către relee și servere: dvs., împreună cu operatorul fiecărui releu și server pe care îl folosiți. Herkos nu primește nimic din toate acestea. Pentru site-urile noastre și pentru ce ne scrieți: proiectul Herkos, privacy@herkos.email.
• Scopul — Aplicațiile: să vă păstreze, să trimită și să primească e-mailurile, evenimentele, notițele și fișierele dvs. Site-urile noastre: să servească paginile și să vă răspundem dacă ne scrieți.
• Temeiul juridic — Aplicațiile nu prelucrează nimic de partea noastră. Site-urile noastre: interesul nostru legitim de a le servi și de a le menține în siguranță; răspunsul nostru către dvs.: cererea dvs.
• Destinatarii — Releele, serverele Blossom, punțile și celelalte servicii pe care le folosește fiecare aplicație, numite unul câte unul mai jos, cu ce văd; Cloudflare, pentru site-urile noastre. Unele servere implicite se află în afara Uniunii Europene (vedeți Herkos Drive mai jos). Nu vindem nimic nimănui.
• Drepturile dvs. — Acces, rectificare, ștergere, opoziție, restricționare și portabilitate. Ce se află pe dispozitivul dvs. vedeți, modificați și ștergeți în aplicații; ce se află pe un releu sau pe un server, la operatorul acestuia. Puteți depune și o plângere la autoritatea dvs. de protecție a datelor (în Spania, AEPD).
• Mai multe informații — Mai jos: ce rămâne pe dispozitivul dvs., ce pleacă de pe el și către cine, aplicație cu aplicație, și opțiunile dvs.

Pe scurt

• Herkos nu are sistem de conturi, nu are server propriu și nu are statistici de utilizare. Nu primim mesajele dvs., evenimentele dvs., notițele dvs., contactele dvs., cheia dvs. și nici date despre utilizare.
• Cheia dvs. publică Nostr este identitatea dvs. în rețea. Tot ce publicați pe Nostr (profil, liste de relee, etichete) este legat de ea și vizibil pentru releele pe care le folosiți.
• Corespondența dintre utilizatorii Nostr este criptată integral (end-to-end) (NIP-17). Corespondența către sau de la adrese de e-mail tradiționale trece printr-o punte care o poate citi.
• Unele funcții opționale trimit date către terți (notificări push, trimitere programată). Sunt dezactivate până când le activați, iar acest document îi numește pe fiecare.
• Evenimentele din calendar sunt criptate pe dispozitivul dvs. Releele văd că aveți evenimente, cam cât de mari sunt și când se schimbă, nu ce conțin. Evenimentele publice, lista de ocupare și linkurile de partajare sunt publice pentru că alegeți dvs., unul câte unul. Pentru a afla unde primesc invitații dvs., Calendar întreabă doar releele dvs., niciodată un index al unor terți.
• Notițele sunt criptate pe dispozitivul dvs., cu propria dvs. cheie. Releele nu le pot citi, dar pot vedea câte notițe aveți și când o editați pe fiecare. Căutarea rulează pe dispozitivul dvs.: cuvintele pe care le căutați nu îl părăsesc niciodată. O notiță pe care o partajați ajunge doar la contul pe care îl alegeți, sigilată: releele nu văd nici cine a trimis-o, nici ce spune.
• Fișierele din Herkos Drive sunt criptate pe dispozitivul dvs., bloc cu bloc, înainte să ajungă pe servere Blossom; numele și dosarele lor ajung criptate la relee. Releele și serverele pot vedea câte fișiere și dosare aveți, cam cât de mari sunt și când se schimbă, nu cum se numesc sau ce conțin. Un link de partajare își poartă propria cheie după #: păstrați-l ca pe o parolă.
• Herkos Local Relay vă păstrează evenimentele pe dispozitivul dvs., criptate, și nu trimite nimic către Herkos. Ascultă doar pe dispozitivul însuși (127.0.0.1), cu excepția cazului în care activați rețeaua locală, și atunci doar pentru cheile din lista dvs. Comunică doar cu releele dvs. și cu releele de primire ale persoanelor cărora le scrieți; evenimentele private nu părăsesc niciodată dispozitivul. Copiile sale merg doar într-un dosar ales de dvs., niciodată în cloud. Cu Tor activat (Windows și Linux), poate fi accesat și prin rețeaua Tor, tot doar de cheile din lista dvs.
• Site-urile noastre (herkos.app și subdomeniile sale) sunt servite de Cloudflare, care vă vede adresa IP, ca orice găzduire web. Nu setează cookie-uri și nu rulează statistici de utilizare.

Date care rămân pe dispozitivul dvs.

• Cheia dvs. secretă (nsec), când vă conectați cu ea, este stocată în spațiul de stocare securizat al sistemului de operare (Android Keystore, iOS/macOS Keychain, Windows Credential Manager, libsecret pe Linux, stocare locală criptată pe web). Dacă vă conectați cu un semnatar la distanță („bunker” NIP-46), cheia nu ajunge niciodată pe dispozitiv.

Într-un browser nu există un astfel de spațiu de stocare securizat. Cheia stă în spațiul de stocare local al site-ului și trece prin JavaScript de fiecare dată când se semnează ceva, așa că o extensie de browser cu acces la toate paginile, o eroare XSS sau o implementare compromisă ar putea-o citi; și, spre deosebire de o aplicație instalată, o pagină web livrează cod nou la fiecare vizită. Cu versiunea web, folosiți un semnatar la distanță sau o identitate pe care v-o permiteți să o pierdeți. - Căsuța dvs. de e-mail: e-mailurile decriptate, atașamentele, etichetele, dosarele și contactele sunt păstrate într-o bază de date locală, pentru ca aplicația să funcționeze offline. Baza de date nu este criptată dincolo de ce oferă sistemul de operare; blocarea aplicației (PIN/biometrie) este o barieră de comoditate, nu criptare a datelor stocate. Pe Android, aplicația este exclusă din copiile de rezervă în cloud și de la dispozitiv la dispozitiv. - PIN-ul pentru blocarea aplicației: stocat ca hash cu salt și derivare repetată (PBKDF2), niciodată în text clar. Herkos Calendar și Herkos Notes au fiecare un PIN propriu, stocat în același mod. - Calendarul dvs. (Herkos Calendar): evenimentele, listele, cheile de vizualizare și mementourile pe care le puteți citi sunt păstrate pe dispozitiv, criptate înregistrare cu înregistrare, cu o cheie ținută în spațiul de stocare securizat al sistemului de operare. Într-un browser, calendarul este ținut doar în memorie și este preluat din nou de pe relee de fiecare dată. Mementourile sunt declanșate chiar de dispozitiv: Calendar nu folosește niciun server push. Dacă alegeți să ascundeți titlurile în mementouri, acestea spun doar „Eveniment” și când începe. Cheia dvs. de Calendar este păstrată separat de cele ale aplicației Herkos Mail (vezi „Contul dvs.”, în secțiunea despre Calendar). - Notițele dvs. (Herkos Notes): notițele, istoricul lor, carnetele și indexul de căutare sunt păstrate pe dispozitiv, criptate înregistrare cu înregistrare, cu o cheie ținută în spațiul de stocare securizat al sistemului de operare. Într-un browser sunt păstrate la fel, în spațiul de stocare al browserului pentru site (IndexedDB), iar cheia este tot în browser: pe un calculator folosit și de alții, asta protejează puțin. Dacă browserul nu păstrează nimic pentru site (o fereastră privată, datele site-ului blocate), sunt ținute doar în memorie și fără conexiune nu se poate scrie. O notiță pe care o blocați primește o parolă proprie; fără ea nimeni nu o poate deschide, nici noi. Copia de rezervă a notițelor dvs. este un fișier scris doar acolo unde îl salvați, criptat cu o parolă proprie. Copia automată, făcută în fiecare zi dacă nu o dezactivați, este un fișier într-un dosar de pe dispozitiv (Herkos Notes/backups, în Documentele dvs.), criptat cu cheia contului dvs.; se păstrează ultimele șapte și nu este trimisă nicăieri (într-un browser nu există). Notițele pe care alte conturi le partajează cu dvs. așteaptă în „Primite de la alții”, pe dispozitiv și criptate ca restul, până când le păstrați sau le eliminați.

• Fișierele dvs. (Herkos Drive): lista fișierelor și dosarelor dvs., cu cheile lor, este păstrată în cache pe dispozitiv, criptată înregistrare cu înregistrare cu o cheie păstrată în stocarea securizată a sistemului de operare; ce mai este de trimis și blocurile care așteaptă să fie încărcate sunt păstrate tot criptate. Miniaturile sunt păstrate doar în memorie. Un fișier pe care îl descărcați sau îl deschideți este scris necriptat acolo unde alegeți, ca orice fișier. Copia de rezervă a Drive-ului dvs. (.hbk, sau copia de rezervă a indexului, cu o parolă proprie) este un fișier scris doar acolo unde îl salvați. Pe Android, selectorul de fișiere al sistemului și „Partajează” arată fișierele din Drive doar cât timp Drive este deblocat, iar ce primește o aplicație de acolo este decriptat din mers, niciodată scris pe disc.
• Releul dvs. (Herkos Local Relay): evenimentele sale, aplicațiile asociate, setările sale și unde merg copiile sale; vedeți secțiunea sa de mai jos.

Le puteți șterge pe toate din Setări → Mai multe → Resetează aplicația sau eliminând un cont.

Date care pleacă de pe dispozitivul dvs. și către cine

Acest tabel se referă la Herkos Mail. Herkos Calendar, Herkos Notes, Herkos Drive și Herkos Local Relay au propriile secțiuni mai jos.

Releele dumneavoastră private. Dacă contul dumneavoastră are o listă de relee private (kind 10013, NIP-37; Herkos Notes și Calendar folosesc aceeași listă), Mail păstrează ciornele, setările criptate, etichetele și trimiterile programate pe releele acesteia, nu pe releele dumneavoastră de scriere; ce a lăsat înainte pe acestea citește în continuare și șterge și de acolo. Fără această listă, ele merg pe releele de scriere. Mail publică lista doar când o cereți (Setări → Găzduire → Relee private), criptată cu cheia dumneavoastră: releele văd cheia dvs. publică, faptul că lista există și când se schimbă, nu releele din ea. O listă scrisă de altă aplicație este folosită așa cum este și nu este niciodată suprascrisă.

Redirecționare automată (Setări → Redirecționare automată, oprită până o porniți). O copie a fiecărui mesaj nou merge la singura adresă pe care o alegeți: către un cont Nostr, criptată end-to-end ca orice mesaj; către o adresă tradițională, prin puntea adresei principale a contului dumneavoastră, care o vede în întregime (vezi Punți mai sus). O face acest dispozitiv, cât timp Mail rulează sau la următoarea sincronizare; setarea rămâne pe dispozitiv și nu este publicată niciodată.

O aplicație de semnare pe telefonul dumneavoastră Android (NIP-55, de exemplu Amber). Cheia rămâne în acea aplicație, iar Mail vorbește cu ea direct pe telefon, fără releu sau rețea la mijloc; dispozitivul păstrează doar cheia dvs. publică și ce aplicație semnează. Mail îi cere doar să semneze tipurile pe care Mail le semnează cu contul dumneavoastră și să cripteze și să decripteze (NIP-44), niciodată plicurile mesajelor, care folosesc chei de unică folosință, și verifică fiecare eveniment semnat care se întoarce înainte de a-l folosi.

Herkos Local Relay. Dacă Herkos Local Relay se află pe același dispozitiv, Mail se oferă o dată să se conecteze la el; nu se trimite nimic până nu atingeți Conectare și aprobați Mail în Herkos Local Relay. Mail se asociază cu el printr-o cheie proprie și verifică la fiecare conectare că este același releu. Semnează o dată cu cheia dumneavoastră, ca releul să păstreze evenimentele ca fiind ale dumneavoastră; apoi copiază acolo corespondența pe care o păstrează acest dispozitiv și, de atunci, fiecare eveniment al contului pe care Mail îl trimite și fiecare plic pe care îl primește, exact cum au fost semnate și încă criptate, și cere releului să le păstreze pe dispozitiv și să le dea pe cele private doar cheii dumneavoastră. Plicurile pe care le trimiteți altora nu sunt copiate. Mail nu citește niciodată din el: este o copie. Pentru aceasta nu iese nimic de pe dispozitiv.

Herkos însuși nu primește nimic din toate acestea. Nu există rapoarte de erori sau telemetrie.

Herkos Calendar: ce văd releele

Calendar comunică cu relee Nostr: cele ale contului dvs. (listele dvs. NIP-65 și de primire), cele din Setări → Relee (modificabile) și, când invitați pe cineva sau răspundeți la o invitație, releele de primire ale acelei persoane. Cu nimeni altcineva, în afară de ce căutați dvs. înșivă (mai jos): nici cu indexuri publice de relee. „Contul dvs.”, mai jos, explică la ce folosește fiecare. Nu există niciun server Herkos, niciun server push și nicio telemetrie. Fiecare releu vă vede adresa IP și ora fiecărei conexiuni.

Un releu care cere autentificare NIP-42 vă află cheia publică; Calendar răspunde la o astfel de cerere doar pentru propriile dvs. evenimente pe propriile dvs. relee și pentru citirea propriei dvs. căsuțe de primire. Ștergerea pe Nostr este o cerere: un releu își poate păstra copia, în continuare criptată.

Ce nu poate ascunde nimic din evenimente: fiecare invitație pleacă de la adresa IP a dvs., iar fiecare invitat preia evenimentul de pe releele dvs. de la adresa lui. Un releu care găzduiește căsuțele de primire ale mai multor invitați ai dvs. își poate da seama că invitațiile lor au venit de la aceeași adresă. Doar Tor sau un VPN ascund asta.

Contul dvs.

Calendar nu creează conturi: vă conectați cu o identitate Nostr pe care o aveți deja, în unul dintre aceste moduri.

• Cu o aplicație de semnare pe telefonul dvs. Android (NIP-55, precum Amber): cheia rămâne în acea aplicație, iar Calendar comunică cu ea direct pe telefon, fără niciun releu sau rețea la mijloc. Dispozitivul păstrează doar cheia dvs. publică și ce aplicație semnează. Calendar îi cere aceleași lucruri ca unui bunker (mai jos), niciodată plicurile invitațiilor, și verifică fiecare eveniment semnat care se întoarce înainte de a-l folosi.
• Cu cheia dvs. (nsec sau ncryptsec protejată cu parolă, deschisă pe dispozitiv): este păstrată în spațiul de stocare securizat al sistemului de operare, sub un nume propriu al aplicației Calendar. Herkos Mail își păstrează conturile separat, iar Calendar nu le citește, nu le modifică și nu le șterge niciodată: deconectarea dintr-o aplicație nu vă deconectează din cealaltă.
• Cu un link bunker://: cheia rămâne în aplicația dvs. de semnare. Calendar comunică cu ea prin releele numite în link și îi cere doar cheia dvs. publică, criptarea și decriptarea (NIP-44) și semnarea kind-urilor de eveniment proprii ale aplicației Calendar; plicurile invitațiilor nu trec niciodată prin ea, pentru că poartă chei de unică folosință. Dispozitivul păstrează doar conexiunea (o cheie făcută pentru ea, cheia publică a semnatarului și releele lui). Acele relee văd adresa dvs. IP, cheile conexiunii și când se cer semnături; cererile sunt criptate.
• Cu Nostr Connect (un cod QR): ca bunkerul, dar conexiunea trece prin releele din Setări → Relee. Calendar nu adaugă niciun releu propriu sau al altcuiva.

Releele dvs. La conectare, Calendar vă caută listele (NIP-65, kind 10002, și lista de primire, kind 10050) pe releele din Setări → Relee, pe o conexiune separată care nu vă identifică: un releu care cere autentificare primește o cheie de unică folosință, nu pe a dvs. De aici înainte:

• evenimentele, listele și setările dvs. criptate sunt publicate pe releele dvs. de scriere NIP-65. Fără această listă, pe cele din Setări, iar pagina contului vă spune acest lucru;
• invitațiile și răspunsurile dvs. sunt citite de pe releele dvs. de citire și de primire. Calendar răspunde la autentificarea NIP-42 doar pe propriile dvs. relee și doar pentru ce vă aparține;
• dacă deschideți aplicația cu sesiunea activă, ea nu se conectează nicăieri până nu este nevoie de ceva;
• dacă Setări → Relee include un releu care rulează pe acest dispozitiv (o adresă ws://127.0.0.1 sau ws://localhost, precum aplicația Citrine), fiecare sincronizare lasă pe el și o copie a propriilor dvs. evenimente, liste și ștergeri, exact așa cum au fost semnate și încă criptate. Pentru asta nu iese nimic de pe dispozitiv, iar cât timp un alt releu are un eveniment, acesta nu este niciodată releul în care invitaților dvs. li se spune să îl caute. Celelalte aplicații de pe dispozitiv care citesc acel releu văd ce vede orice releu.

Releele invitaților dvs. (decis pe 21 octombrie 2026). Pentru a invita pe cineva, aplicația trebuie să știe unde primește acea persoană. Calendar îi caută listele (10002 și 10050) doar pe releele din Setări → Relee, niciodată pe indexul public al unui terț (precum purplepag.es): acel serviciu ar vedea adresa de la care întrebați și despre cine întrebați, adică pe cine invitați. Fiecare invitat este căutat separat, în ordine aleatorie, pe o conexiune proprie, cu o cheie de unică folosință, astfel încât acele relee să nu poată afla cine este invitat împreună cu cine. Ce văd totuși este adresa dvs. IP și cheia publică a fiecărei persoane pe care o căutați. Dacă listele cuiva nu se află pe acele relee, aplicația o marchează ca „nicio căsuță cunoscută” înainte de trimitere, iar invitația nu ajunge la ea. Pentru a o găsi, adăugați în Setări → Relee un releu pe care își publică listele.

Ce se sincronizează între dispozitivele dvs., mereu criptat pentru dvs. și pe releele dvs. de scriere: listele dvs. de calendare (cu cheile evenimentelor lor), setările mementourilor (d=calendar-alarms), calendarele pe care le urmăriți (d=calendar-subscriptions) și invitațiile pe care le ignorați sau evenimentele altora pe care le scoateți din calendarul dvs. (kind 30078, d=calendar-declined: doar ce eveniment și când, niciodată titlul lui). Releele văd că există și când se schimbă, nu ce conțin. Mementourile pe care le sună dispozitivul sunt cele ale contului cu care sunteți conectat(ă), niciodată ale unuia anterior.

Copia cheilor dvs. Calendar vă propune să salvați o copie: un fișier cu listele dvs. de calendare și cheile evenimentelor lor, criptat cu o parolă pe care o alegeți pentru el (cifrul din NIP-49). Este scris doar acolo unde îl salvați; nu ajunge pe niciun releu sau server. Numele lui conține data, niciodată contul. Pentru a vă reaminti, dispozitivul reține doar două date: ultima copie și ultimul „Nu acum”.

Deconectarea vă arată mai întâi ce se va pierde și vă propune să salvați copia. Apoi șterge de pe acest dispozitiv cheia dvs. (sau conexiunea cu bunkerul) și calendarul stocat. Ce a fost publicat rămâne pe relee, criptat. Permisiunea dată în aplicația dvs. de semnare se retrage din acea aplicație.

Public pentru că alegeți dvs.

Acestea sunt dezactivate până când le activați, iar aplicația vă arată ce dezvăluie fiecare înainte să o faceți:

• Evenimente publice (kind 31922/31923): tot ce conțin — titlu, oră, loc, descriere — este public, legat de cheia dvs. publică, și rămâne public: un eveniment public nu mai poate deveni privat.
• Lista de ocupare (kind 31926): intervalele în care sunteți ocupat(ă) în luna aceasta și în următoarele două, rotunjite la 30 de minute (sau 15), pentru calendarele pe care le alegeți. Niciodată ce, unde sau cu cine. Dezactivarea ei le cere releelor să o șteargă.
• Linkuri de partajare (herkos.app/e/…): linkul este cheia. Oricine îl are poate citi acel eveniment până când îl revocați, iar prima lui parte vă arată cheia publică. Cheia se află după #, o parte a adresei pe care browserele nu o trimit niciodată unui server, așa că nici Cloudflare, nici noi nu o vedem. Pagina interoghează releele numite în link; dacă unul dintre ele nu este un releu bine cunoscut, îi spune vizitatorului ce server este și îi cere acordul înainte de conectare, pentru că acel server ar vedea adresa IP a vizitatorului. Revocarea recriptează evenimentul cu o cheie nouă; cine l-a citit deja păstrează ce a citit.
• Exporturi (.ics): un fișier text simplu cu titlurile și orele dvs. Nu este criptat; păstrați-l ca pe orice alt document privat.
• Copia automată (.ics, pe pagina Exportați în .ics): o dată pe zi în care Calendar este deschis, un export al tuturor calendarelor dvs. într-un dosar pe care îl alegeți, păstrând ultimele 7. Ca un export, nu este criptat, așa că orice poate citi acel dosar (o altă aplicație, un dosar în cloud care îl sincronizează) vă poate citi titlurile și orele. Calendar scrie și șterge acolo doar propriile fișiere (herkos-calendar-auto-…ics) și reține dosarul doar pe acest dispozitiv.
• Rapoarte de probleme (beta): aplicația doar pregătește un text pe care să îl copiați și să îl trimiteți dvs. Conține versiunea aplicației, platforma, limba, fusul orar și dacă mementourile pot suna; niciodată evenimentele, cheia sau contul dvs.

Herkos Calendar citește răspunsurile publice la evenimentele dvs. publice scrise de alte aplicații (RSVP-uri, kind 31925, și eliminări de participanți, kind 84); nu scrie niciunul dintre ele.

Ce căutați dvs. înșivă

Aceste conexiuni au loc doar când le cereți:

• Calendare urmărite după adresă (.ics sau webcal): dispozitivul cere calendarul direct de la serverul acelei adrese, doar prin https, la câteva ore, fără cookie-uri și fără vreun intermediar al nostru. Serverul vede adresa dvs. IP și când cereți, iar oricine are adresa poate citi calendarul. Lista de adrese este păstrată pe dispozitivul dvs. și pe releele dvs., criptată pentru dvs. (kind 30078, d=calendar-subscriptions).
• Calendare publice Nostr urmărite (un link naddr…): sunt cerute la câteva ore de la releele dvs. și de la releele numite de link, niciodată de la altele. Acele relee văd adresa dvs. IP și ce calendar citiți. Sunt în aceeași listă criptată.
• Sărbători legale: sunt incluse în aplicație; urmărirea lor nu cere nimic niciunui server.
• „Vedeți dacă sunt liberi” (în editor, când apăsați): aplicația cere lista publică de ocupare (kind 31926) a fiecărui invitat de la releele pe care publică acea persoană, fără să se identifice. Acele relee văd adresa dvs. IP și despre cine întrebați.
• Fișierele unui eveniment: sunt criptate pe un server Blossom. Când deschideți unul, aplicația îl descarcă de pe acel server, care vede adresa dvs. IP și identificatorul fișierului, niciodată conținutul.

Herkos Notes: ce văd releele

Notes comunică cu relee Nostr și cu nimeni altcineva. Nu există niciun server Herkos, niciun server push și nicio telemetrie. Fiecare releu vă vede adresa IP și ora fiecărei conexiuni.

Ce relee. Dacă contul dvs. are o listă de relee private (kind 10013, lista descrisă de NIP-37), Notes folosește releele din ea, așa cum sunt, și nu o suprascrie niciodată; caută această listă pe releele din Setările sale și pe releele pe care publicați (lista dvs. NIP-65). Altfel, folosește releele din Setările sale: implicit relay.formstr.app, nos.lol și relay.primal.net, cel mult opt, toate modificabile. Setările oferă și o listă de relee cunoscute de adăugat cu o atingere; niciunul nu este contactat dacă nu îl adăugați. Un releu poate fi ws://, o conexiune necriptată, doar dacă este pe dispozitiv sau în rețeaua de acasă (localhost, adrese private, nume .local): notițele călătoresc tot criptate, dar oricine din acea rețea poate vedea ce vede releul (tabelul de mai jos). Notes nu publică nicio listă de relee proprie, decât dacă i-o cereți (Relee → Salvați ca listă de relee private). Atunci publică aceste relee ca lista dvs. 10013, criptată cu cheia dvs., pe aceleași relee pe care caută listele, și o ține la zi cu ce schimbați în Notes: releele văd cheia dvs. publică, faptul că lista există și când se schimbă, nu releele din ea. O listă scrisă de altă aplicație nu este suprascrisă niciodată: Notes o folosește așa cum este. Dacă unul dintre aceste relee rulează pe acest dispozitiv (o adresă ws://127.0.0.1 sau ws://localhost, de exemplu aplicația Citrine), Notes lasă acolo și o copie a notițelor, carnetelor și ștergerilor dvs., exact așa cum au fost semnate și încă criptate. Pentru asta nu iese nimic de pe dispozitiv; Notes nu citește niciodată de pe acel releu, iar o notiță pe care o are doar el nu contează ca încărcată. Celelalte aplicații de pe dispozitiv care citesc acel releu văd ce vede orice releu.

Herkos Local Relay. Dacă Herkos Local Relay este pe același dispozitiv, Notes propune o dată să se conecteze la el; nu se trimite nimic până nu atingeți Conectare și nu aprobați Notes în Herkos Local Relay. Notes se asociază cu el printr-o cheie proprie, creată pentru această asociere, și la fiecare conexiune verifică dacă este același relay, astfel încât un alt program care ascultă pe portul lui nu primește nimic. De atunci copiază acolo notițele, punctele de control, caietele, ștergerile, lista dvs. de relay-uri private și sigiliile notițelor pe care le partajați, exact cum au fost semnate și tot criptate, și îi cere să păstreze ca private toate, mai puțin ștergerile: relay-ul le dă doar cheii dvs. și nu le transmite nimănui. Ca relay-ul să le păstreze ca fiind ale dvs., Notes semnează o dată cu cheia dvs. când se conectează. Pentru asta nu iese nimic de pe dispozitiv. Notes nu citește niciodată din el: este o copie, iar o notiță pe care o are doar el nu contează ca încărcată. Dacă nu mai răspunde, Notes continuă cu celelalte relay-uri ale dvs. și mai târziu îi trimite doar ce i-a lipsit. Îl puteți deconecta din Setări în Notes sau puteți revoca Notes în Herkos Local Relay.

Ce nu poate fi ascuns. d și k ale unei notițe și a al unui punct de control trebuie să poată fi citite: releele au nevoie de ele pentru a înlocui o notiță cu versiunea ei mai nouă și pentru a-i găsi istoricul. Așadar, un releu poate număra câte notițe aveți și poate vedea când o editați pe fiecare și cât de des. Notes face acest lucru mai grosier, nu invizibil: salvează cel mult un punct de control per notiță pentru fiecare oră de editare, unul când închideți o notiță care s-a schimbat și câte unul din fiecare parte când rezolvați un conflict, niciodată unul la fiecare salvare, astfel încât ritmul dvs. de scriere să nu fie publicat minut cu minut.

De ce notițele dvs. nu expiră niciodată. Ciornele NIP-37 pot purta o etichetă expiration (exemplul său folosește 90 de zile), iar un releu care o respectă șterge evenimentul la acea dată. Pentru un carnet, asta ar însemna pierderea unor notițe a căror ștergere nu a cerut-o nimeni, așa că Notes nu o scrie niciodată. Reversul: notițele dvs. rămân pe relee, criptate, până când le ștergeți, iar ștergerea pe Nostr este o cerere: un releu își poate păstra copia.

Partajarea unei notițe. Notes trimite copia pe releele pe care celălalt cont spune că citește (releele sale NIP-17, kind 10050, sau altfel releele de citire din lista sa NIP-65), pe care le caută pe releele dvs., și pe propriile dvs. relee, cel mult opt. Călătorește ceea ce spune notița (titlu, text și etichete), nu carnetul, marcajele sau coșul dvs.; ce schimbați după aceea nu este trimis. Celălalt cont își păstrează copia: Notes nu o poate lua înapoi, iar ștergerea notiței dvs. nu o șterge. Pentru a primi, Notes le cere releelor dvs. gift wrap-urile adresate cheii dvs. cu k=30023 și le deschide pe dispozitiv. Eliminarea unuia îl șterge doar de pe dispozitiv: un gift wrap este semnat de o cheie pe care nu o păstrează nimeni, așa că nici dvs., nici celălalt cont nu puteți cere releelor să-l șteargă, iar el rămâne acolo, lizibil doar pentru dvs.

Căutarea este locală. Totul este criptat, așa că niciun releu nu poate căuta în locul dvs. Notes descarcă și decriptează notițele dvs. și construiește indexul pe dispozitiv; cuvintele pe care le căutați nu sunt trimise nicăieri.

Un releu care cere autentificare NIP-42 vă află cheia publică; Notes îi răspunde cu contul dvs. Notes le cere, de asemenea, releelor dvs. ciornele pe care alte aplicații le-au scris cu cheia dvs. (kind-urile 31234 și vechiul 30024), pentru a le afișa doar în citire, și nu publică nimic când face asta. Dacă vă conectați cu un semnatar la distanță (un bunker sau Nostr Connect), releele acestuia transportă cererile dvs. de semnare criptate, iar Notes îi cere să semneze doar kind-urile de mai sus (inclusiv sigiliul unei notițe partajate, kind 13; gift wrap-ul ei este semnat pe dispozitiv, cu cheia folosită o singură dată). Cu o aplicație de semnare pe telefonul tău Android (NIP-55, cum ar fi Amber), Notes vorbește direct cu ea pe telefon, fără niciun relay la mijloc, îi cere aceleași lucruri și verifică fiecare eveniment semnat care se întoarce înainte de a-l folosi.

Herkos Drive: ce văd releele și serverele

Drive păstrează conținutul fișierelor dvs. pe servere Blossom și lista fișierelor și dosarelor dvs. (indexul) pe relee Nostr, ambele criptate pe dispozitivul dvs. Nu există niciun server Herkos, niciun server push și nicio telemetrie. Fiecare releu și server vă vede adresa IP și ora fiecărei conexiuni. Implicit, indexul merge la cinci relee și fișierele la cinci servere Blossom, niciunul administrat de Herkos; Setări → Găzduire fișiere schimbă serverele, iar acolo puteți adăuga un server propriu. Cine administrează fiecare server și unde se află, după cât știm (verificat pe 5 noiembrie 2026):

Țara reiese din adresa IP a serverului și poate fi greșită, iar un server din spatele Cloudflare nu arată unde se află; ce contează este unde spune fiecare operator că păstrează datele, iar cei mai mulți nu spun. Fiecare operator este independent, cu propriii termeni; Herkos nu are niciun acord cu niciunul dintre ei. Cel puțin două dintre cele cinci servere de fișiere se află în afara Uniunii Europene: ce păstrează este criptat pe dispozitivul dvs. și nu îl pot citi, dar adresa dvs. IP și ora fiecărei încărcări ajung la ele.

Două chei. Contul dvs. semnează un singur lucru: localizatorul, un eveniment criptat pentru propria dvs. cheie, care le permite dispozitivelor dvs. să vă găsească Drive-ul. Tot restul este semnat de o cheie a volumului făcută la întâmplare pentru Drive-ul dvs., nederivată din contul dvs., așa că indexul nu spune al cui este. Drive citește localizatorul o dată pe dispozitiv, nu la fiecare pornire, pentru ca releele să nu vadă contul și volumul dvs. cerute împreună. Cine primește de la dvs. un dosar partajat primește și cheia volumului; o puteți schimba oricând (Setări → Cheia volumului): celelalte dispozitive ale dvs. urmează singure, iar ce este semnat cu cea veche nu mai este acceptat.

Ce nu se poate ascunde. Fiecare eveniment spune în ce dosar se află, așa că un releu poate număra câte fișiere și dosare aveți, poate vedea forma arborelui (ce dosare conțin câte elemente) și când se schimbă fiecare. Nu poate afla cum se numește sau ce conține vreunul dintre ele.

Serverele Blossom primesc blocuri din fișierele dvs., fiecare criptat cu o cheie proprie reviziei sale și completat până la un multiplu de 64 KiB, așa că văd cam cât de mare este fiecare fișier, nu ce este sau cum se numește. Fiecare încărcare este semnată: pe un server propriu, de cheia volumului; pe oricare altul, de o cheie făcută doar pentru acel server și acel fișier, care nu numește pe nimeni și nu este niciodată aceeași pe două servere. Ștergerea unui fișier le cere serverelor sale să îi șteargă blocurile; ca și la relee, un server poate păstra o copie.

Linkuri (herkos.app/f/…). Un link către un fișier sau un dosar poartă, după #, cheia care îl deschide: linkul este cheia. Partea de după # nu ajunge niciodată la serverul nostru sau la Cloudflare, iar pagina o scoate din bara de adrese imediat ce a citit-o. Dar, înainte de asta, browserul poate să fi păstrat deja adresa întreagă în istoric, iar un browser care își sincronizează istoricul o păstrează și pe serverele furnizorului său. Nimic din partea noastră nu poate împiedica asta. Pentru orice lucru sensibil, puneți linkului o parolă (linkul nu mai deschide atunci nimic fără ea, iar parola circulă separat) sau partajați cu contul persoanei, ceea ce nu are nevoie de niciun link. Pagina citește releele și serverele linkului; unul pe care nu îl cunoaște este contactat doar după ce spuneți da, pentru că v-ar vedea adresa IP. Un link poate expira: în acea zi nu mai deschide nimic, iar un dosar primește chei noi, așa că ce se adaugă ulterior nu se deschide cu cheia veche. Cine l-a deschis deja păstrează ce a descărcat. Pentru a tăia accesul mai devreme, eliminați linkul: un dosar primește atunci imediat chei noi.

Partajarea cu un cont. Drive caută unde citește acel cont (releele sale NIP-17, kind 10050, sau releele de citire din lista sa NIP-65) pe releele dvs. și pe cele ale Drive-ului, câte o persoană pe rând, niciodată într-un index public. Fiecare persoană primește un link propriu, așa că eliminarea uneia le lasă pe celelalte, iar nimeni nu poate afla cine altcineva l-a primit.

Un releu care cere autentificare NIP-42 află cheia volumului, niciodată contul dvs.: Drive îi răspunde cu cheia volumului. Dacă vă conectați cu o aplicație de semnare pe telefonul dvs. Android (NIP-55, cum ar fi Amber), Drive îi cere doar să semneze localizatorul, cererea care retrage unul vechi și sigiliul a ceea ce partajați cu un cont, precum și să cripteze și să decripteze pentru propria dvs. cheie.

Herkos Local Relay: ce păstrează și cu cine comunică

Herkos Local Relay este un releu Nostr care rulează pe propriul dvs. dispozitiv, pentru aplicațiile Herkos și pentru orice alt client Nostr. În spatele lui nu există niciun server al nostru și nu ne trimite nimic.

Pe scurt (detaliile urmează mai jos):

• Cine se ocupă de datele dvs.: dvs. Herkos nu primește nimic de la releu: niciun eveniment, nicio cheie, nicio adresă IP, nicio statistică. Nu există cont și nici vreun server al nostru.
• Ce păstrează: pe dispozitivul dvs. și criptat, ce scriu aplicațiile dvs. și ce aduce de pe releele dvs., aplicațiile asociate și setările sale.
• Cu cine comunică: cu releele dvs. și cu releele de primire ale persoanelor cărora le scrieți. Cu nimeni altcineva. Dacă activați Tor, și cu rețeaua Tor.
• Cât timp: până când le ștergeți, dezinstalați aplicația sau le elimină regula de curățare pe care o alegeți. Curățarea este dezactivată implicit și nu vă șterge niciodată propriile evenimente.
• Copii: doar unde alegeți dvs., niciodată în cloud, și criptate cu o parolă pe care o știți doar dvs.
• Drepturile dvs.: puteți vedea, modifica și șterge totul din aplicație. Ce ați publicat deja pe alte relee este păstrat de fiecare releu: adresați-vă operatorului său.
• Vârstă: nu este destinat copiilor sub 16 ani.

Ce păstrează, pe dispozitiv. Evenimentele pe care aplicațiile dvs. le scriu în el și pe cele pe care le aduce de pe releele dvs., într-o bază de date criptată cu o cheie ținută în spațiul de stocare securizat al sistemului de operare. Alături de ea: aplicațiile pe care le-ați asociat și ce are voie să facă fiecare; setările sale (settings.json: portul, cota, curățarea, dacă jurnalul sesiunii este activat, dacă aplicațiile neasociate pot intra, dacă rețeaua locală este activată și portul ei); dacă activați rețeaua locală, lista cheilor permise, cu numele pe care li le-ați dat, precum și certificatul releului și cheia lui, în baza de date criptată; și cele ale copiilor (backups.json: cât de des, dosarul, cheia publică pentru care sunt criptate copiile și saltul ei, când a fost făcută ultima). Nimic din toate acestea nu este secret, iar parola copiilor nu este stocată niciodată. Pe Windows și Linux, cât timp rulează, relay.json din dosarul aplicației spune pe ce port ascultă, ca aplicațiile Herkos să îl poată găsi. Dezinstalarea aplicației șterge baza de date, iar cheia ei devine inutilă.

Cine se poate conecta. Ascultă pe 127.0.0.1 (portul 4873, dacă nu îl schimbați): cât timp rețeaua locală este dezactivată, așa cum vine implicit, nimic din afara dispozitivului nu poate ajunge la el. Orice aplicație de pe dispozitiv poate ajunge la acea adresă, așa că o aplicație sau o pagină web trebuie să fie asociată, aprobată de dvs. pe ecran, înainte de a putea scrie, iar o pagină web neasociată este refuzată. Revocarea unei aplicații o deconectează imediat. Evenimentele private (ciorne, liste private, mementouri, plicurile sigilate pe care le primiți) sunt date doar celui care dovedește prin NIP-42 că deține cheia căreia îi aparțin.

Rețeaua locală, dacă o activați, deschide un al doilea port (4874, dacă nu îl schimbați) pentru dispozitivele din rețeaua dvs.: doar wss://, cu certificatul propriu al releului, și doar pentru cheile din lista dvs., după ce se autentifică prin NIP-42. O cheie din listă citește evenimentele dvs. publice și pe cele private destinate ei și scrie doar evenimente semnate de ea; scoaterea ei din listă o deconectează. Oricine se află în aceeași rețea vede că dispozitivul are acel port deschis și cât trafic trece prin el, dar nu ce anume.

Tor, dacă îl activați (pe Windows și Linux; pe Android va veni mai târziu), face din relay un serviciu onion Tor, cu o adresă .onion care nu se schimbă. Aplicația pornește programul tor al acestui computer (sau pe cel care vine cu aplicația), care se conectează la rețeaua Tor. Cheia acestei adrese este păstrată în baza de date criptată și este dată doar acelui tor, pe dispozitivul însuși; dosarul propriu al lui tor conține copia sa a directorului rețelei și cookie-ul său, niciodată acea cheie. Dacă Tor este activat se salvează în settings.json. Prin Tor se aplică aceleași reguli ca în rețeaua locală: doar cheile din lista dvs., după autentificarea cu NIP-42. Cine se conectează la adresa dvs. nu vă vede adresa IP, nici dvs. pe a lui. Adresa singură nu deschide nimic; dacă s-a răspândit, Adresă nouă o schimbă. Herkos nu primește nimic.

Pentru a afla unde primește cineva, întreabă releele dvs. Evenimentele dvs. private (ciorne, liste private, mementouri) nu părăsesc niciodată dispozitivul. Nu își anunță niciodată propria adresă (nu se află în lista NIP-65 a nimănui), documentul său NIP-11 nu spune cine sunteți și nu există statistici de utilizare, telemetrie sau rapoarte de erori. Pe Android rulează ca serviciu, cu o notificare și butonul ei Oprește; adoarme după 10 minute fără conexiuni, iar o aplicație Herkos îl trezește chiar pe dispozitiv, fără server push.

Jurnalul sesiunii este dezactivat implicit. Dacă îl activați, este păstrat doar în memorie, ultimele 500 de rânduri, și șters când releul se oprește: conexiuni, autentificare NIP-42, evenimente acceptate sau refuzate și kind-urile cerute, după kind și începutul id-ului, niciodată conținutul lor.

Copii. Copia criptată a întregului depozit este scrisă doar unde alegeți dvs.: un dosar de pe dispozitiv sau de pe un disc extern. Un dosar al unui client de cloud (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) este refuzat. Este criptată cu o parolă proprie (scrypt și XChaCha20-Poly1305); cele programate, pentru cheia publică pe care o dă acea parolă, așa că sunt făcute fără ea. Se păstrează ultimele șapte. Fără parolă nimeni nu poate deschide o copie, nici noi, iar dacă o pierdeți, copia este pierdută. Exportul JSONL nu este criptat: conține evenimentele dvs. private ca text simplu, iar aplicația vă spune asta înainte de a-l scrie.

Curățarea este dezactivată implicit: fără ea, releul păstrează evenimentele altora cât timp există spațiu. Puteți curăța după vechime (30, 90, 180 sau 365 de zile) sau după spațiu (de la 256 MB la 5 GB), iar aplicația vă arată mai întâi cât ar șterge. Șterge doar evenimentele altora: niciodată pe ale dvs., plicurile pentru dvs., kind-urile protejate de aplicațiile dvs. sau cererile de ștergere; după spațiu, doar după o copie din ultima zi. Cu rețeaua locală sau Tor activate, curățarea după vechime nu poate fi dezactivată: evenimentele altora se șterg după 90 de zile, dacă nu alegeți alt termen. Un eveniment cu dată de expirare (NIP-40) nu mai este oferit nimănui după ce expiră, indiferent cine l-a scris. Și, ca peste tot în Nostr, ștergerea este o cerere: ce a ajuns deja pe alte relee poate rămâne acolo.

Site-urile noastre și Cloudflare

herkos.app (inclusiv herkos.app/e/ și herkos.app/f/), app.herkos.app (versiunea web a aplicației Mail), calendar.herkos.app și notes.herkos.app (versiunile web ale aplicațiilor Calendar și Notes, când vor fi publicate) și fdroid.herkos.app (depozitul nostru F-Droid) sunt fișiere statice servite de Cloudflare (Cloudflare Pages și R2). Ca orice găzduire web, Cloudflare primește adresa dvs. IP, agentul de utilizator (user agent) al browserului dvs., adresa pe care o cereți (fără partea de după #) și ora, și le poate păstra în jurnalele sale conform propriei politici de confidențialitate.

Nu setăm cookie-uri și nu rulăm statistici de utilizare; paginile și fișierele proprii ale aplicațiilor web provin doar de pe aceste domenii (aplicațiile web se conectează apoi la releele și serverele descrise mai sus) și nu ne uităm în jurnalele pe vizitator. Descărcările din Releases provin de la GitHub, care vede același tip de date conform propriei sale politici.

Public prin concepție

Nostr este o rețea publică. Următoarele sunt vizibile pentru oricine interoghează releele pe care le folosiți și sunt legate de cheia dvs. publică:

• profilul dvs. (nume, imagine) și listele de relee/servere Blossom;
• evenimentele de etichetă NIP-32 pe care Herkos Mail le publică atunci când marcați un e-mail drept citit, îi puneți stea, îl arhivați sau îl mutați într-un dosar — inclusiv numele dosarelor personalizate. Prin urmare, un expeditor care cunoaște id-ul e-mailului pe care vi l-a trimis poate afla când l-ați citit. Intenționăm să le criptăm; până atunci, rețineți acest lucru;
• în Herkos Calendar, doar ceea ce faceți public (vezi mai sus);
• în Herkos Notes, niciun conținut, doar tiparul descris mai sus: câte notițe aveți și când le editați;
• în Herkos Drive, niciun nume și niciun conținut, doar tiparul descris mai sus: câte fișiere și dosare aveți, forma arborelui și când se schimbă fiecare;
• prin Herkos Local Relay, doar evenimentele publice pe care le publică aplicațiile dvs., ca la orice releu.

Opțiunile și drepturile dvs.

• Tot ce este descris mai sus se află sub controlul dvs. în Setări → Rețea și servere (relee, relee pentru mesaje private, servere Blossom, punți) și în Setări → Notificări; în Herkos Calendar, releele, lista de ocupare și fiecare link de partajare (Partajare prin link → Revocați linkul) le stabiliți dvs.; în Herkos Notes, releele (în Setările sale sau în propria dvs. listă de relee private).
• În Herkos Drive, serverele (Setări → Găzduire fișiere), cheia volumului (Setări → Cheia volumului) și fiecare link și fiecare persoană cu care este partajat un fișier sau un dosar (Partajează) le stabiliți dvs.
• În Herkos Local Relay, aplicațiile asociate și ce are voie să facă fiecare, portul, cota, curățarea, jurnalul sesiunii, rețeaua locală, Tor și lista de chei, precum și copiile se află în propriile sale ecrane.
• Deconectarea din Herkos Notes șterge notițele de pe acel dispozitiv, dar mai întâi încarcă ceea ce există doar acolo și vă spune câte notițe ați pierde; notițele de pe relee rămân și revin când vă conectați din nou.
• Vă puteți exporta cheia, puteți elimina un cont (ceea ce le cere și releelor să vă șteargă datele, NIP-62) sau puteți reseta aplicația oricând.
• Deoarece nu deținem date cu caracter personal, nu putem răspunde noi înșine la cererile de acces, rectificare sau ștergere; adresați-le operatorului releului, punții, serverului push sau găzduirii web în cauză. Vă vom ajuta să îl identificați.
• Herkos nu este destinat copiilor sub 16 ani.

Modificări

Vom modifica acest document atunci când se schimbă comportamentul aplicației și vom înregistra data în partea de sus. Sursa de referință este PRIVACY.md din depozit; pagina publicată este o copie a acestuia.

Contact: privacy@herkos.email · https://herkos.app

Alte limbi

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська