No hay dónde mandarlo.

PrivChat no tiene servidores. No hay ninguna cuenta que crear, ningún número de teléfono ni correo que dar, y no existe ningún sistema bajo nuestro control por el que pasen tus mensajes. Ni nosotros ni nadie más recibimos tus conversaciones, tus contactos ni ningún dato sobre cómo usas la aplicación, porque no hay adónde enviarlos. Todo lo que la app guarda se queda cifrado en tu dispositivo.

Esto no es una promesa de buena voluntad: es una consecuencia de cómo está hecha la aplicación. No hay un servidor al que pudiéramos pedirle tus datos aunque quisiéramos.

PrivChat — privchat.wiki
Correo de contacto: privchat.wiki@proton.me

El Reglamento General de Protección de Datos define al responsable como quien decide sobre el tratamiento de datos personales. Aquí no hay tratamiento: la aplicación no envía nada a ningún servidor nuestro, porque no existe tal servidor. No recibimos tus mensajes, ni tus contactos, ni estadísticas de uso, ni informes de fallos, así que no hay ningún dato tuyo sobre el que decidamos nada. El apartado 2 lo detalla.

Publicamos igualmente el nombre del proyecto y una dirección de contacto para que exista una vía por la que preguntar o reclamar. Si algún día la aplicación tratase datos personales, este apartado cambiaría antes que el código.

Ninguno.

La aplicación no envía a sus desarrolladores ni a terceros ningún dato personal, identificador, estadística de uso ni informe de errores. En concreto, PrivChat no incluye:

• ningún sistema de analítica ni de medición de uso;
• ningún sistema de informe de fallos o telemetría;
• ninguna red publicitaria ni identificador de publicidad;
• ninguna cuenta de usuario, registro ni inicio de sesión;
• ninguna biblioteca de terceros que transmita datos por su cuenta.

La aplicación sí incluye software del Tor Project para poder funcionar: el cliente de Tor y, si usas puentes que disfrazan el tráfico, el programa que se encarga de ello. Son del mismo proyecto, de fuente abierta, y ninguno informa a nadie de lo que haces. Ver «Puentes y transportes conectables» más abajo.

Las bibliotecas que la aplicación utiliza (los componentes de interfaz y cámara de Android, la biblioteca de cifrado de base de datos SQLCipher, la biblioteca criptográfica Bouncy Castle, el lector de códigos QR ZXing y la implementación de Tor «arti») funcionan íntegramente en el dispositivo y no envían información a sus autores ni a nosotros.

Todo lo siguiente permanece en tu teléfono y nunca sale de él salvo en el caso descrito en el apartado 4:

El nombre que le pones a un contacto es tuyo y solo tuyo: no viaja en ningún código de invitación ni llega al otro extremo.

Si activas un PIN, la clave de la base de datos se deriva además de ese PIN, de modo que ni siquiera el propio dispositivo puede abrirla sin él. Lo mismo vale para los archivos adjuntos: van cifrados en los dos casos, pero con PIN hacen falta las dos mitades —tu PIN y un secreto del dispositivo— y sin PIN basta el secreto del dispositivo.

Copias de seguridad: la aplicación está configurada para excluirse de las copias de seguridad automáticas de Android. Tus conversaciones no se suben a ninguna nube, ni siquiera a la tuya.

Solo lo que tú escribes, y solo hacia quien va dirigido. Un mensaje a un contacto va a ese contacto. Un mensaje a un grupo va a cada miembro, una vez por miembro, por las mismas sesiones cifradas de uno a uno. Una publicación en un canal tuyo la recogen, cifrada, quienes tienen la invitación de ese canal. Leer un canal no envía ningún dato personal: la petición va por un circuito anónimo de Tor, sin cuenta y sin identificador, así que ni siquiera el publicador puede saber quién lee.

Viajan cifrados de extremo a extremo: se cifran en tu dispositivo y solo el destinatario puede descifrarlos. Se transportan a través de la red Tor, una red pública operada por voluntarios de todo el mundo.

Es importante que entiendas qué implica eso:

• Los repetidores de Tor por los que pasa el tráfico no pueden leer el contenido de tus mensajes ni saber para quién son.
• Tu proveedor de internet puede ver que te conectas a la red Tor, pero no con quién hablas ni qué dices. No puede leer tus conversaciones, y no es cuestión de que no quiera: lo que sale de tu teléfono ya va cifrado, así que por su red no pasa en ningún momento nada legible.
• Los operadores de esos repetidores son terceros independientes. No tenemos relación con ellos, no les pagamos y no les enviamos nada sobre ti: la aplicación simplemente usa una red pública, igual que usaría internet.

Puentes y transportes conectables

Si vives donde bloquean Tor, la aplicación te deja entrar por puentes: repetidores de entrada que no aparecen en la lista pública, y que por tanto no se pueden filtrar por dirección. En «Mi identidad → Puentes de Tor» eliges entre conexión directa, unos puentes que vienen con la aplicación y no requieren que hagas nada, o los tuyos propios si tienes.

Los que vienen incluidos son públicos: los lleva cualquiera que use Tor Browser, así que usarlos no te distingue de nadie. Están dentro del paquete que instalaste, así que para usarlos la aplicación no consulta a ningún servidor. Si escribes los tuyos, se guardan cifrados en la base de datos local, como el resto de tus datos; no los vemos, y no salen del teléfono más allá de conectarse a ellos.

Hay además un botón opcional, «Buscar más puentes», que trae puentes recientes del Tor Project (su servicio moat, el mismo que usa el asistente de conexión de Tor Browser) y los añade a los que ya tienes. Solo se ejecuta si lo pulsas tú; la aplicación nunca lo hace por su cuenta:

• Primero por Tor, y contra el servicio .onion del Tor Project: así quien vigile tu red no ve que pides puentes, y no hace falta salir de la red Tor.
• Solo si Tor no consigue conectar —cuando más falta hacen puentes nuevos— se pide directamente. Entonces quien vigile tu red puede ver que te conectas al Tor Project (no qué pides); la aplicación te lo advierte antes de aplicar nada.
• Lo que llega solo se añade para que lo revises: nunca sustituye a lo que ya tenías, y no se aplica hasta que pulsas «Aplicar».

Algunos puentes además disfrazan el tráfico, para que un censor que inspeccione los paquetes no reconozca el protocolo de Tor. Eso lo hace un programa auxiliar del propio Tor Project llamado lyrebird, que viaja dentro de la aplicación:

• Solo se ejecuta si usas un puente que lo necesite. Con conexión directa nunca llega a arrancar.
• Se ejecuta dentro de la aplicación, con sus mismos permisos, y termina cuando quitas el puente o cierras la aplicación.
• No envía nada a nadie por su cuenta: sin telemetría, sin comunicarse con nosotros ni con el Tor Project.
• Es del Tor Project, el mismo proyecto que hace el cliente de Tor que la aplicación ya usa. Se compila desde una versión fijada del código oficial, y esa compilación es reproducible.

Cuando cambias tu configuración de puentes, la aplicación borra el registro interno de Tor sobre por dónde entraba, para que un puente que has quitado no deje rastro en el teléfono.

No existe ningún servidor intermedio que almacene tus mensajes. Si la persona a la que escribes no está conectada, el mensaje se queda en tu dispositivo esperando, y se reintenta más tarde.

Los dos últimos no los declara la aplicación directamente: los añade la biblioteca de Android que gestiona su cola de tareas en segundo plano (WorkManager). Se listan igualmente porque aparecen en la ficha de permisos que Android te muestra, y una lista que omite dos permisos reales no sirve de nada.

Para adjuntar un archivo o una foto de la galería se utilizan los selectores del sistema Android, que dan acceso únicamente al archivo concreto que tú elijas. La aplicación no pide permiso de acceso a tus fotos ni a tu almacenamiento.

Además, toda imagen que envías se vuelve a comprimir antes de salir, y ese proceso elimina los metadatos ocultos de la foto: las coordenadas GPS del lugar donde se hizo, el modelo de tu teléfono y la fecha real de captura. Sin esto, adjuntar una foto de la galería revelaría a tu contacto dónde estabas al hacerla, aunque tú no lo supieras. El nombre del fichero también se sustituye por uno generado. Los videomensajes y las notas de voz que graba la propia aplicación salen limpios por el mismo motivo: nada les añade ubicación en ningún momento.

Tú decides, porque están en tu dispositivo:

• Los mensajes marcados como efímeros se borran automáticamente tras el tiempo que elijas (1 hora, 24 horas o 7 días).
• Puedes borrar conversaciones y contactos cuando quieras.
• La opción «Borrar identidad y empezar de cero» destruye las claves del almacén de claves de Android y sobrescribe los ficheros: tras hacerlo, los datos anteriores son irrecuperables incluso disponiendo del dispositivo.
• Desinstalar la aplicación elimina todos sus datos.

No conservamos nada porque nunca hemos tenido nada.

PrivChat no está dirigida a menores de 13 años y no recoge datos de nadie, independientemente de su edad.

El Reglamento General de Protección de Datos reconoce derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad frente a quien trata tus datos.

En este caso no hay nada a lo que dirigir esas solicitudes: no tratamos ningún dato personal tuyo, no disponemos de ninguna base de datos con información sobre ti y no podríamos identificarte aunque nos lo pidieras. El control sobre tus datos lo ejerces directamente desde la aplicación, borrándolos.

Si aun así quieres plantearnos una consulta, puedes escribir a privchat.wiki@proton.me.

Preferimos decirlo aquí a que lo descubras después:

• Si alguien tiene tu teléfono desbloqueado, puede leer tus conversaciones. El PIN de la aplicación existe precisamente para ese caso.
• Las capturas de pantalla están permitidas salvo que actives el bloqueo en «Mi identidad». Y ninguna aplicación puede impedir que alguien fotografíe tu pantalla con otro teléfono.
• La persona con la que hablas puede guardar, copiar o reenviar lo que le escribas. Eso no lo puede evitar ninguna tecnología.
• Un adversario con capacidad para vigilar simultáneamente ambos extremos de la red Tor podría, en teoría, correlacionar los tiempos del tráfico y deducir que dos personas se están escribiendo. Aun así no podría leer nada: el contenido sale ya cifrado de tu teléfono y solo se descifra en el del destinatario, así que lo que se obtendría es el hecho de la conversación, nunca su contenido. Es una limitación conocida de Tor, no de esta aplicación.

Si esta política cambia, se actualizará la fecha del encabezado y la nueva versión se publicará en la misma dirección. Los cambios que afecten a cómo se tratan los datos se anunciarán además dentro de la aplicación.