Datenschutzerklärung von Herkos

Zuletzt aktualisiert: 29. Oktober 2026. Kanonische URL: https://herkos.app/privacy

Übersetzung. Dies ist eine Höflichkeitsübersetzung. Bei Abweichungen ist die englische Fassung maßgeblich.

Herkos Mail, Herkos Calendar, Herkos Notes und Herkos Local Relay sind freie, quelloffene Apps für das Nostr-Netzwerk, herausgegeben vom Herkos-Projekt („wir“). Herkos Calendar, Herkos Notes und Herkos Local Relay befinden sich noch in Entwicklung. Dieses Dokument erklärt, welche Daten die Apps und unsere Websites verarbeiten, wohin sie gehen und wer sie sehen kann. Wir haben es zum Lesen geschrieben, nicht zum Überfliegen: Wenn Sie hier etwas überrascht, schreiben Sie uns an privacy@herkos.email.

Die Kurzfassung

• Herkos hat kein Kontosystem, keinen eigenen Server und keine Analytik. Wir erhalten weder Ihre Nachrichten noch Ihre Termine, Ihre Notizen, Ihre Kontakte, Ihren Schlüssel oder Ihr Nutzungsverhalten.
• Ihr öffentlicher Nostr-Schlüssel ist Ihre Identität im Netzwerk. Alles, was Sie auf Nostr veröffentlichen (Profil, Relay-Listen, Labels), ist damit verknüpft und für die von Ihnen genutzten Relays sichtbar.
• E-Mail zwischen Nostr-Nutzern ist Ende-zu-Ende-verschlüsselt (NIP-17). E-Mail an oder von herkömmlichen Adressen läuft über eine Bridge, die sie lesen kann.
• Einige optionale Funktionen senden Daten an Dritte (Push-Benachrichtigungen, zeitversetztes Senden). Sie sind aus, bis Sie sie einschalten, und dieses Dokument nennt jede einzelne davon.
• Kalendertermine werden auf Ihrem Gerät verschlüsselt. Relays sehen, dass Sie Termine haben, ungefähr wie groß sie sind und wann sie sich ändern, nicht, was darin steht. Öffentliche Termine, die Belegtliste und Freigabelinks sind öffentlich, weil Sie es wählen, jeweils einzeln. Um herauszufinden, wo Ihre Gäste empfangen, fragt Calendar nur Ihre Relays, nie einen Index Dritter.
• Notizen werden auf Ihrem Gerät verschlüsselt, für Ihren eigenen Schlüssel. Relays können sie nicht lesen, aber sie können sehen, wie viele Notizen Sie haben und wann Sie jede einzelne bearbeiten. Die Suche läuft auf Ihrem Gerät: Die Wörter, nach denen Sie suchen, verlassen es nie. Eine Notiz, die Sie teilen, geht nur an das Konto, das Sie wählen, versiegelt: Relays sehen weder, wer sie sendet, noch, was darin steht.
• Herkos Local Relay speichert Ihre Ereignisse auf Ihrem Gerät, verschlüsselt, und lauscht nur dort (127.0.0.1). Es spricht nur mit Ihren Relays und mit den Posteingangs-Relays der Personen, denen Sie schreiben; private Ereignisse verlassen das Gerät nie. Seine Kopien gehen nur in einen Ordner, den Sie wählen, nie in die Cloud.
• Unsere Websites (herkos.app und ihre Subdomains) werden von Cloudflare ausgeliefert, das wie jeder Webhoster Ihre IP-Adresse sieht. Sie setzen keine Cookies und verwenden keine Analytik.

Daten, die auf Ihrem Gerät bleiben

• Ihr geheimer Schlüssel (nsec) wird, wenn Sie sich damit anmelden, im sicheren Speicher des Betriebssystems abgelegt (Android Keystore, iOS-/macOS-Schlüsselbund, Windows-Anmeldeinformationsverwaltung, libsecret unter Linux, verschlüsselter lokaler Speicher im Web). Wenn Sie sich mit einem entfernten Signierer („Bunker“ nach NIP-46) anmelden, erreicht der Schlüssel das Gerät nie.

Im Browser gibt es diesen sicheren Speicher nicht. Der Schlüssel liegt im lokalen Speicher der Website und läuft bei jeder Signatur durch JavaScript; eine Browser-Erweiterung mit Zugriff auf alle Seiten, eine XSS-Lücke oder eine manipulierte Auslieferung könnten ihn also lesen. Anders als eine installierte App liefert eine Webseite bei jedem Besuch neuen Code. Nutzen Sie in der Web-Version einen entfernten Signierer oder eine Identität, deren Verlust Sie verschmerzen können. - Ihr Postfach: entschlüsselte E-Mails, Anhänge, Labels, Ordner und Kontakte werden in einer lokalen Datenbank zwischengespeichert, damit die App offline funktioniert. Diese Datenbank ist über das hinaus, was das Betriebssystem bietet, nicht verschlüsselt; die App-Sperre (PIN/Biometrie) ist eine Komfortbarriere, keine Verschlüsselung im Ruhezustand. Unter Android ist die App von Cloud- und Gerät-zu-Gerät-Backups ausgenommen. - Die PIN der App-Sperre: gespeichert als gesalzener, gestreckter Hash (PBKDF2), nie im Klartext. Herkos Calendar und Herkos Notes haben jeweils eine eigene PIN, die genauso gespeichert wird. - Ihr Kalender (Herkos Calendar): Die Termine, Listen, Ansichtsschlüssel und Erinnerungen, die Sie lesen können, werden auf dem Gerät zwischengespeichert, Eintrag für Eintrag verschlüsselt mit einem Schlüssel, der im sicheren Speicher des Betriebssystems liegt. Im Browser wird der Kalender nur im Arbeitsspeicher gehalten und jedes Mal neu von den Relays geladen. Erinnerungen lässt das Gerät selbst klingeln: Calendar verwendet keinen Push-Server. Wenn Sie Titel in Erinnerungen ausblenden, zeigen sie nur „Termin“ und den Beginn. Ihr Calendar-Schlüssel wird getrennt von denen von Herkos Mail aufbewahrt (siehe „Ihr Konto“ im Abschnitt zu Calendar). - Ihre Notizen (Herkos Notes): Die Notizen, ihr Verlauf, die Notizbücher und der Suchindex werden auf dem Gerät zwischengespeichert, Eintrag für Eintrag verschlüsselt mit einem Schlüssel, der im sicheren Speicher des Betriebssystems liegt. Im Browser werden sie genauso gespeichert, im Speicher des Browsers für die Website (IndexedDB), und der Schlüssel liegt ebenfalls im Browser: Auf einem Computer, den auch andere nutzen, schützt das wenig. Speichert der Browser für die Website nichts (ein privates Fenster, blockierte Websitedaten), bleiben sie nur im Arbeitsspeicher, und ohne Verbindung kann nichts geschrieben werden. Eine Notiz, die Sie sperren, erhält ein eigenes Passwort; ohne es kann niemand diese Notiz öffnen, auch wir nicht. Die Kopie Ihrer Notizen ist eine Datei, die nur dort geschrieben wird, wo Sie sie speichern, verschlüsselt mit einem eigenen Passwort. Die automatische Kopie, die jede Woche erstellt wird, sofern Sie sie nicht ausschalten, ist eine Datei in einem Ordner des Geräts (Herkos Notes/backups in Ihren Dokumenten), verschlüsselt mit dem Schlüssel Ihres Kontos; die letzten fünf werden behalten, und sie wird nirgendwohin gesendet (im Browser gibt es sie nicht). Notizen, die andere Konten mit Ihnen teilen, warten unter „Von anderen erhalten“, auf dem Gerät und verschlüsselt wie alles andere, bis Sie sie behalten oder verwerfen.

• Ihr Relay (Herkos Local Relay): seine Ereignisse, die gekoppelten Apps, seine Einstellungen und wohin seine Kopien gehen; siehe seinen eigenen Abschnitt weiter unten.

Sie können all das unter Einstellungen → Mehr → App zurücksetzen löschen oder indem Sie ein Konto entfernen.

Daten, die Ihr Gerät verlassen, und an wen

Diese Tabelle gilt für Herkos Mail. Herkos Calendar, Herkos Notes und Herkos Local Relay haben weiter unten jeweils einen eigenen Abschnitt.

Herkos selbst erhält nichts davon. Es gibt keine Absturzberichte und keine Telemetrie.

Herkos Calendar: was Relays sehen

Calendar spricht mit Nostr-Relays: denen Ihres Kontos (Ihre NIP-65- und Posteingangslisten), denen unter Einstellungen → Relays (änderbar) und, wenn Sie jemanden einladen oder auf eine Einladung antworten, den Posteingangs-Relays dieser Person. Mit niemandem sonst, außer dem, was Sie selbst abfragen (siehe unten): auch mit keinem öffentlichen Relay-Index. „Ihr Konto“ weiter unten erklärt, wofür jedes davon dient. Es gibt keinen Herkos-Server, keinen Push-Server und keine Telemetrie. Jedes Relay sieht Ihre IP-Adresse und den Zeitpunkt jeder Verbindung.

Ein Relay, das NIP-42-Authentifizierung verlangt, erfährt Ihren öffentlichen Schlüssel; Calendar beantwortet eine solche Anfrage nur für Ihre eigenen Termine auf Ihren eigenen Relays und zum Lesen Ihres eigenen Posteingangs. Löschen ist auf Nostr eine Bitte: Ein Relay kann seine Kopie behalten, weiterhin verschlüsselt.

Was nichts in den Ereignissen verbergen kann: Jede Einladung geht von Ihrer IP-Adresse aus, und jeder Gast ruft den Termin von seiner aus bei Ihren Relays ab. Ein Relay, das die Posteingänge mehrerer Ihrer Gäste führt, kann erkennen, dass deren Einladungen von derselben Adresse kamen. Nur Tor oder ein VPN verbirgt das.

Ihr Konto

Calendar legt keine Konten an: Sie melden sich mit einer Nostr-Identität an, die Sie bereits haben, auf eine dieser Arten.

• Mit einer Signatur-App auf Ihrem Android-Telefon (NIP-55, etwa Amber): Der Schlüssel bleibt in dieser App, und Calendar spricht direkt auf dem Telefon mit ihr, ohne Relay oder Netzwerk dazwischen. Das Gerät speichert nur Ihren öffentlichen Schlüssel und welche App signiert. Calendar bittet sie um dasselbe wie einen Bunker (siehe unten), nie um Einladungsumschläge, und prüft jedes signierte Ereignis, das zurückkommt, bevor es dieses verwendet.
• Mit Ihrem Schlüssel (nsec oder ein passwortgeschützter ncryptsec, auf dem Gerät geöffnet): Er wird im sicheren Speicher des Betriebssystems abgelegt, unter einem eigenen Namen von Calendar. Herkos Mail bewahrt seine Konten getrennt auf, und Calendar liest, ändert oder löscht sie nie: Wenn Sie sich von einer App abmelden, bleiben Sie in der anderen angemeldet.
• Mit einem bunker://-Link: Der Schlüssel bleibt in Ihrer Signatur-App. Calendar spricht mit ihr über die Relays, die der Link nennt, und bittet sie nur um Ihren öffentlichen Schlüssel, um Ver- und Entschlüsseln (NIP-44) und um Signaturen für die eigenen kinds von Calendar; Einladungsumschläge laufen nie über sie, da sie Einmalschlüssel tragen. Das Gerät speichert nur die Verbindung (einen eigens dafür erzeugten Schlüssel, den öffentlichen Schlüssel der Signatur-App und deren Relays). Diese Relays sehen Ihre IP-Adresse, die Schlüssel der Verbindung und wann Signaturen angefordert werden; die Anfragen sind verschlüsselt.
• Mit Nostr Connect (einem QR-Code): wie beim Bunker, aber die Verbindung läuft über die Relays unter Einstellungen → Relays. Calendar fügt kein eigenes Relay und keines von jemand anderem hinzu.

Ihre Relays. Bei der Anmeldung sucht Calendar Ihre Listen (NIP-65, kind 10002, und Ihre Posteingangsliste, kind 10050) auf den Relays unter Einstellungen → Relays, über eine separate Verbindung, die Sie nicht identifiziert: Ein Relay, das Authentifizierung verlangt, erhält einen Einmalschlüssel, nicht Ihren. Von da an:

• werden Ihre Termine, Listen und verschlüsselten Einstellungen auf Ihren NIP-65-Schreib-Relays veröffentlicht. Fehlt diese Liste, auf denen unter Einstellungen, und die Kontoseite sagt es Ihnen;
• werden Ihre Einladungen und Antworten von Ihren Lese- und Posteingangs-Relays gelesen. Calendar beantwortet NIP-42-Authentifizierung nur auf Ihren eigenen Relays und nur für das, was Ihnen gehört;
• verbindet sich die App, wenn Sie sie angemeldet öffnen, mit nichts, bis etwas gebraucht wird;
• hinterlässt jede Synchronisierung, wenn Einstellungen → Relays ein Relay enthält, das auf diesem Gerät läuft (eine Adresse ws://127.0.0.1 oder ws://localhost, etwa die App Citrine), dort auch eine Kopie Ihrer eigenen Termine, Listen und Löschungen, genau so, wie sie signiert wurden, und weiterhin verschlüsselt. Dafür verlässt nichts das Gerät, und solange ein anderes Relay einen Termin hat, ist dieses nie das Relay, das Ihren Gästen zum Suchen genannt wird. Andere Apps auf dem Gerät, die dieses Relay lesen, sehen, was jedes Relay sieht.

Die Relays Ihrer Gäste (beschlossen am 21. Oktober 2026). Um jemanden einzuladen, muss die App wissen, wo diese Person empfängt. Calendar sucht deren Listen (10002 und 10050) nur auf den Relays unter Einstellungen → Relays, nie in einem öffentlichen Index eines Dritten (wie purplepag.es): Dieser Dienst würde sehen, von welcher Adresse Sie fragen und nach wem, also wen Sie einladen. Jeder Gast wird einzeln gesucht, in zufälliger Reihenfolge, über eine eigene Verbindung mit einem Einmalschlüssel, sodass diese Relays nicht erkennen können, wer mit wem eingeladen ist. Diese Relays sehen allerdings Ihre IP-Adresse und den öffentlichen Schlüssel jeder Person, nach der Sie suchen. Wenn die Listen einer Person nicht auf diesen Relays liegen, markiert die App sie vor dem Senden als „kein bekanntes Postfach“, und die Einladung erreicht sie nicht. Um sie zu finden, fügen Sie unter Einstellungen → Relays ein Relay hinzu, auf dem sie ihre Listen veröffentlicht.

Was zwischen Ihren Geräten synchronisiert wird, immer für Sie verschlüsselt und auf Ihren Schreib-Relays: Ihre Kalenderlisten (mit den Schlüsseln ihrer Termine), die Erinnerungseinstellungen (d=calendar-alarms), die Kalender, denen Sie folgen (d=calendar-subscriptions), und die Einladungen, die Sie ignorieren, oder fremde Termine, die Sie aus Ihrem Kalender entfernen (kind 30078, d=calendar-declined: nur welcher Termin und wann, nie sein Titel). Relays sehen, dass es sie gibt und wann sie sich ändern, nicht, was darin steht. Die Erinnerungen, die das Gerät klingeln lässt, sind die des Kontos, mit dem Sie angemeldet sind, nie die eines früheren.

Die Kopie Ihrer Schlüssel. Calendar bietet an, eine Kopie zu speichern: eine Datei mit Ihren Kalenderlisten und den Schlüsseln ihrer Termine, verschlüsselt mit einem Passwort, das Sie dafür wählen (mit dem Verfahren von NIP-49). Sie wird nur dort geschrieben, wo Sie sie speichern; sie geht an kein Relay und keinen Server. Ihr Name enthält das Datum, nie das Konto. Für die Erinnerung merkt sich das Gerät nur zwei Daten: die letzte Kopie und das letzte „Jetzt nicht“.

Abmelden zeigt Ihnen zuerst, was verloren geht, und bietet an, die Kopie zu speichern. Dann löscht es von diesem Gerät Ihren Schlüssel (oder die Verbindung zum Bunker) und den gespeicherten Kalender. Was veröffentlicht wurde, bleibt verschlüsselt auf den Relays. Die Berechtigung, die Sie in Ihrer Signatur-App erteilt haben, widerrufen Sie in dieser App.

Öffentlich, weil Sie es wählen

Diese Funktionen sind aus, bis Sie sie einschalten, und die App zeigt Ihnen vorher, was jede davon preisgibt:

• Öffentliche Termine (kinds 31922/31923): Alles darin — Titel, Uhrzeit, Ort, Beschreibung — ist öffentlich, mit Ihrem öffentlichen Schlüssel verknüpft und bleibt öffentlich: Ein öffentlicher Termin kann nicht wieder privat gemacht werden.
• Die Belegtliste (kind 31926): die Zeiten, zu denen Sie in diesem und den nächsten zwei Monaten belegt sind, auf 30 Minuten (oder 15) gerundet, für die Kalender, die Sie auswählen. Nie was, wo oder mit wem. Beim Ausschalten werden die Relays gebeten, sie zu löschen.
• Freigabelinks (herkos.app/e/…): Der Link ist der Schlüssel. Wer ihn hat, kann diesen Termin lesen, bis Sie ihn widerrufen, und sein erster Teil zeigt Ihren öffentlichen Schlüssel. Der Schlüssel steht nach #, einem Teil der Adresse, den Browser nie an einen Server senden; daher sehen ihn weder Cloudflare noch wir. Die Seite fragt die im Link genannten Relays ab; ist eines davon kein bekanntes Relay, sagt sie dem Besucher, um welchen Server es sich handelt, und fragt vor dem Verbinden nach, weil dieser Server die IP-Adresse des Besuchers sehen würde. Widerrufen verschlüsselt den Termin mit einem neuen Schlüssel neu; wer ihn schon gelesen hat, behält, was er gelesen hat.
• Exporte (.ics): eine Klartextdatei mit Ihren Titeln und Zeiten. Sie ist nicht verschlüsselt; bewahren Sie sie auf wie jedes andere private Dokument.
• Die automatische Kopie (.ics, auf der Seite Als .ics exportieren): an jedem Tag, an dem Calendar geöffnet ist, einmal ein Export aller Ihrer Kalender in einen Ordner, den Sie wählen; die letzten 7 bleiben erhalten. Wie ein Export ist sie nicht verschlüsselt: Alles, was diesen Ordner lesen kann (eine andere App, ein Cloud-Ordner, der ihn synchronisiert), kann Ihre Titel und Zeiten lesen. Calendar schreibt und löscht dort nur seine eigenen Dateien (herkos-calendar-auto-…ics) und merkt sich den Ordner nur auf diesem Gerät.
• Problemberichte (Beta): Die App bereitet nur einen Text vor, den Sie kopieren und selbst senden. Er enthält die App-Version, die Plattform, die Sprache, die Zeitzone und ob Erinnerungen klingeln können, nie Ihre Termine, Ihren Schlüssel oder Ihr Konto.

Herkos Calendar liest öffentliche Antworten anderer Apps auf Ihre öffentlichen Termine (RSVPs, kind 31925, und Abmeldungen, kind 84); es schreibt keine von beiden.

Was Sie selbst abfragen

Diese Verbindungen entstehen nur, wenn Sie sie anfordern:

• Kalender, denen Sie über ihre Adresse folgen (.ics oder webcal): Das Gerät fragt den Kalender direkt beim Server dieser Adresse ab, nur über https, alle paar Stunden, ohne Cookies und ohne einen Vermittler von uns. Dieser Server sieht Ihre IP-Adresse und wann Sie fragen, und wer die Adresse hat, kann den Kalender lesen. Die Liste der Adressen wird auf Ihrem Gerät und auf Ihren Relays gespeichert, für Sie verschlüsselt (kind 30078, d=calendar-subscriptions).
• Öffentliche Nostr-Kalender, denen Sie folgen (ein naddr…-Link): Sie werden alle paar Stunden bei Ihren Relays und bei den Relays abgefragt, die der Link nennt, nie bei anderen. Diese Relays sehen Ihre IP-Adresse und welchen Kalender Sie lesen. Sie stehen in derselben verschlüsselten Liste.
• Feiertage: Sie sind in der App enthalten; ihnen zu folgen fragt keinen Server nach irgendetwas.
• „Prüfen, ob sie frei sind“ (im Editor, wenn Sie darauf tippen): Die App fragt die öffentliche Belegtliste (kind 31926) jedes Gastes bei den Relays ab, auf denen diese Person veröffentlicht, ohne sich auszuweisen. Diese Relays sehen Ihre IP-Adresse und nach wem Sie fragen.
• Dateien eines Termins: Sie liegen verschlüsselt auf einem Blossom-Server. Wenn Sie eine öffnen, lädt die App sie von diesem Server herunter, der Ihre IP-Adresse und die Kennung der Datei sieht, nie ihren Inhalt.

Herkos Notes: was Relays sehen

Notes spricht mit Nostr-Relays und mit niemandem sonst. Es gibt keinen Herkos-Server, keinen Push-Server und keine Telemetrie. Jedes Relay sieht Ihre IP-Adresse und den Zeitpunkt jeder Verbindung.

Welche Relays. Wenn Ihr Konto eine Liste privater Relays hat (kind 10013, die Liste, die NIP-37 beschreibt), verwendet Notes die Relays darin, so wie sie sind, und überschreibt sie nie; es sucht diese Liste auf den Relays in seinen Einstellungen und auf den Relays, auf denen Sie veröffentlichen (Ihre NIP-65-Liste). Andernfalls verwendet es die Relays in seinen Einstellungen: standardmäßig relay.formstr.app, nos.lol und relay.primal.net, bis zu acht, alle änderbar. Die Einstellungen bieten außerdem eine Liste bekannter Relays, die sich mit einem Tippen hinzufügen lassen; keines davon wird kontaktiert, solange Sie es nicht hinzufügen. Ein Relay darf ws:// sein, eine unverschlüsselte Verbindung, nur wenn es auf dem Gerät oder im Heimnetz liegt (localhost, private Adressen, .local-Namen): Die Notizen reisen weiterhin verschlüsselt, aber jeder in diesem Netz kann sehen, was das Relay sieht (die Tabelle unten). Notes veröffentlicht keine eigene Relay-Liste, außer Sie bitten darum (Relays → Als meine Liste privater Relays speichern). Dann veröffentlicht es diese Relays als Ihre 10013, mit Ihrem Schlüssel verschlüsselt, auf denselben Relays, auf denen es die Listen sucht, und hält sie mit dem auf dem Stand, was Sie in Notes ändern: Die Relays sehen Ihren öffentlichen Schlüssel, dass es die Liste gibt und wann sie sich ändert, nicht die Relays darin. Eine Liste, die eine andere App geschrieben hat, wird nie überschrieben: Notes verwendet sie, so wie sie ist. Läuft eines dieser Relays auf diesem Gerät (eine Adresse ws://127.0.0.1 oder ws://localhost, etwa die App Citrine), hinterlässt Notes dort auch eine Kopie Ihrer Notizen, Notizbücher und Löschungen, genau so, wie sie signiert wurden, und weiterhin verschlüsselt. Dafür verlässt nichts das Gerät; Notes liest nie von diesem Relay, und eine Notiz, die nur dieses Relay hat, gilt nicht als hochgeladen. Andere Apps auf dem Gerät, die dieses Relay lesen, sehen, was jedes Relay sieht.

Was sich nicht verbergen lässt. Das d und das k einer Notiz und das a eines Sicherungspunkts müssen lesbar sein: Relays brauchen sie, um eine Notiz durch ihre neuere Version zu ersetzen und um ihren Verlauf zu finden. Ein Relay kann also zählen, wie viele Notizen Sie haben, und sehen, wann Sie jede einzelne bearbeiten und wie oft. Notes macht das gröber, nicht unsichtbar: Es speichert höchstens einen Sicherungspunkt pro Notiz und Stunde Bearbeitung, einen, wenn Sie eine geänderte Notiz schließen, und je einen von jeder Seite, wenn Sie einen Konflikt auflösen, nie einen pro Speichern, damit Ihr Schreibrhythmus nicht Minute für Minute veröffentlicht wird.

Warum Ihre Notizen nie ablaufen. NIP-37-Entwürfe dürfen ein Tag expiration tragen (sein Beispiel verwendet 90 Tage), und ein Relay, das es beachtet, löscht das Ereignis an diesem Datum. Für eine Notizen-App hieße das, Notizen zu verlieren, deren Löschung niemand verlangt hat; deshalb schreibt Notes es nie. Die Kehrseite: Ihre Notizen bleiben verschlüsselt auf den Relays, bis Sie sie löschen, und Löschen ist auf Nostr eine Bitte: Ein Relay kann seine Kopie behalten.

Eine Notiz teilen. Notes sendet die Kopie an die Relays, auf denen das andere Konto nach eigener Angabe liest (seine NIP-17-Relays, kind 10050, oder sonst die Lese-Relays seiner NIP-65-Liste), die es auf Ihren Relays sucht, und an Ihre eigenen Relays, höchstens acht. Übertragen wird, was in der Notiz steht (Titel, Text und Schlagwörter), nicht Ihr Notizbuch, Ihre Markierungen oder Ihr Papierkorb; was Sie danach ändern, wird nicht gesendet. Das andere Konto behält seine Kopie: Notes kann sie nicht zurückholen, und das Löschen Ihrer Notiz löscht sie nicht. Zum Empfangen fragt Notes Ihre Relays nach Gift Wraps, die an Ihren Schlüssel gerichtet sind und k=30023 tragen, und öffnet sie auf dem Gerät. Einen davon zu verwerfen entfernt ihn nur vom Gerät: Ein Gift Wrap ist mit einem Schlüssel signiert, den niemand aufbewahrt, daher kann keiner von Ihnen beiden die Relays bitten, ihn zu löschen, und er bleibt dort, für niemanden außer Ihnen lesbar.

Die Suche ist lokal. Alles ist verschlüsselt, daher kann kein Relay für Sie suchen. Notes lädt Ihre Notizen herunter, entschlüsselt sie und baut den Index auf dem Gerät auf; die Wörter, nach denen Sie suchen, werden nirgendwohin gesendet.

Ein Relay, das NIP-42-Authentifizierung verlangt, erfährt Ihren öffentlichen Schlüssel; Notes beantwortet die Anfrage mit Ihrem Konto. Notes fragt Ihre Relays außerdem nach Entwürfen, die andere Apps mit Ihrem Schlüssel geschrieben haben (kinds 31234 und das ältere 30024), um sie schreibgeschützt anzuzeigen, und veröffentlicht dabei nichts. Wenn Sie sich mit einem entfernten Signierer anmelden (einem Bunker oder Nostr Connect), übertragen dessen Relays Ihre verschlüsselten Signieranfragen, und Notes bittet ihn nur um Signaturen für die oben genannten kinds (einschließlich des Siegels einer geteilten Notiz, kind 13; ihr Gift Wrap wird auf dem Gerät signiert, mit dem nur einmal verwendeten Schlüssel). Mit einer Signier-App auf deinem Android-Handy (NIP-55, etwa Amber) spricht Notes direkt auf dem Handy mit ihr, ohne Relay dazwischen, bittet sie um dasselbe und prüft jedes zurückkommende signierte Event, bevor es verwendet wird.

Herkos Local Relay: was es speichert und mit wem es spricht

Herkos Local Relay ist ein Nostr-Relay, das auf Ihrem eigenen Gerät läuft, für die Herkos-Apps und jeden anderen Nostr-Client. Dahinter steht kein Server von uns, und es sendet uns nichts.

Was es speichert, auf dem Gerät. Die Ereignisse, die Ihre Apps hineinschreiben, und die, die es von Ihren Relays holt, in einer Datenbank, verschlüsselt mit einem Schlüssel, der im sicheren Speicher des Betriebssystems liegt. Daneben: die Apps, die Sie gekoppelt haben, und was jede davon darf; seine Einstellungen (settings.json: der Port, das Kontingent, die Bereinigung, ob das Sitzungsprotokoll eingeschaltet ist); und die der Kopien (backups.json: wie oft, der Ordner, der öffentliche Schlüssel, für den die Kopien verschlüsselt werden, und sein Salt, wann die letzte erstellt wurde). Nichts davon ist geheim, und das Passwort der Kopien wird nie gespeichert. Unter Windows und Linux gibt relay.json im Ordner der App an, solange es läuft, auf welchem Port es lauscht, damit die Herkos-Apps es finden. Wenn Sie die App deinstallieren, wird die Datenbank gelöscht, und ihr Schlüssel wird nutzlos.

Wer sich verbinden kann. Es lauscht nur auf 127.0.0.1 (Port 4873, sofern Sie ihn nicht ändern): Nichts außerhalb des Geräts kann es erreichen. Jede App auf dem Gerät kann diese Adresse erreichen; deshalb muss eine App oder eine Webseite gekoppelt sein, von Ihnen auf dem Bildschirm bestätigt, bevor sie schreiben kann, und eine Webseite, die nicht gekoppelt ist, wird abgewiesen. Wenn Sie einer App den Zugriff entziehen, wird sie sofort getrennt. Private Ereignisse (Entwürfe, private Listen, Erinnerungen, die versiegelten Umschläge, die Sie erhalten) werden nur an den herausgegeben, der mit NIP-42 nachweist, dass er den Schlüssel besitzt, zu dem sie gehören. Lokales Netzwerk und Tor sind noch nicht verfügbar; wenn sie kommen, bleiben sie aus, bis Sie sie einschalten, und erfordern TLS oder einen Onion-Dienst, Authentifizierung und eine Liste erlaubter Schlüssel.

Um herauszufinden, wo jemand empfängt, fragt es Ihre Relays. Ihre privaten Ereignisse (Entwürfe, private Listen, Erinnerungen) verlassen das Gerät nie. Es gibt seine eigene Adresse nie bekannt (sie steht in niemandes NIP-65-Liste), sein NIP-11-Dokument verrät nicht, wer Sie sind, und es gibt keine Analytik, keine Telemetrie und keine Absturzberichte. Unter Android läuft es als Dienst mit einer Benachrichtigung und deren Schaltfläche Stoppen; nach 10 Minuten ohne Verbindungen schläft es ein, und eine Herkos-App weckt es auf dem Gerät selbst, ohne Push-Server.

Das Sitzungsprotokoll ist standardmäßig aus. Wenn Sie es einschalten, wird es nur im Arbeitsspeicher gehalten, die letzten 500 Zeilen, und gelöscht, wenn das Relay stoppt: Verbindungen, NIP-42-Authentifizierung, angenommene oder abgelehnte Ereignisse und die angefragten kinds, nach kind und dem Anfang ihrer Kennung, nie ihr Inhalt.

Kopien. Die verschlüsselte Kopie des gesamten Speichers wird nur dort geschrieben, wo Sie es wählen: in einem Ordner auf dem Gerät oder auf einem externen Laufwerk. Ein Ordner eines Cloud-Clients (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive …) wird abgelehnt. Sie wird mit einem eigenen Passwort verschlüsselt (scrypt und XChaCha20-Poly1305); die geplanten für den öffentlichen Schlüssel, der sich aus diesem Passwort ergibt, sodass sie ohne es erstellt werden. Die letzten sieben werden behalten. Ohne das Passwort kann niemand eine Kopie öffnen, auch wir nicht, und wenn Sie es verlieren, ist die Kopie verloren. Der JSONL-Export ist nicht verschlüsselt: Er enthält Ihre privaten Ereignisse im Klartext, und die App sagt Ihnen das, bevor sie ihn schreibt.

Die Bereinigung löscht nur Ereignisse anderer Personen: nie Ihre eigenen, die Umschläge für Sie oder die kinds, die Ihre Apps schützen; wegen des Kontingents nur nach einer Kopie vom letzten Tag. Und wie überall in Nostr ist Löschen eine Bitte: Was schon an andere Relays gegangen ist, kann dort bleiben.

Unsere Websites und Cloudflare

herkos.app (einschließlich herkos.app/e/), app.herkos.app (die Web-Version von Mail), calendar.herkos.app und notes.herkos.app (die Web-Versionen von Calendar und Notes, sobald veröffentlicht) und fdroid.herkos.app (unser F-Droid-Repository) sind statische Dateien, die von Cloudflare (Cloudflare Pages und R2) ausgeliefert werden. Wie jeder Webhoster erhält Cloudflare Ihre IP-Adresse, den User-Agent Ihres Browsers, die aufgerufene Adresse (ohne den Teil nach #) und die Uhrzeit und kann sie gemäß seiner eigenen Datenschutzerklärung in seinen Protokollen speichern.

Wir setzen keine Cookies und verwenden keine Analytik; die Seiten und die eigenen Dateien der Web-Apps kommen nur von diesen Domains (danach verbinden sich die Web-Apps mit den oben beschriebenen Relays und Servern), und wir sehen uns keine Protokolle einzelner Besucher an. Downloads unter Releases kommen von GitHub, das dieselbe Art von Daten gemäß seinen eigenen Richtlinien sieht.

Öffentlich von Natur aus

Nostr ist ein öffentliches Netzwerk. Folgendes ist für jeden sichtbar, der die von Ihnen genutzten Relays abfragt, und mit Ihrem öffentlichen Schlüssel verknüpft:

• Ihr Profil (Name, Bild) sowie Ihre Relay- und Blossom-Serverlisten;
• die NIP-32-Label-Ereignisse, die Herkos Mail veröffentlicht, wenn Sie eine E-Mail als gelesen markieren, mit einem Stern versehen, archivieren oder in einen Ordner verschieben — einschließlich des Namens eigener Ordner. Wer Ihnen eine E-Mail geschickt hat und deren Kennung kennt, kann also erkennen, wann Sie sie gelesen haben. Wir planen, diese zu verschlüsseln; bis dahin sollten Sie es wissen;
• in Herkos Calendar nur das, was Sie öffentlich machen (siehe oben);
• in Herkos Notes keinerlei Inhalt, nur das oben beschriebene Muster: wie viele Notizen Sie haben und wann Sie sie bearbeiten;
• über Herkos Local Relay nur die öffentlichen Ereignisse, die Ihre Apps veröffentlichen, wie bei jedem Relay.

Ihre Wahlmöglichkeiten und Rechte

• All das liegt in Ihrer Hand unter Einstellungen → Netzwerk und Server (Relays, DM-Relays, Blossom-Server, Bridges) und Einstellungen → Benachrichtigungen; in Herkos Calendar entscheiden Sie über die Relays, die Belegtliste und jeden Freigabelink (Per Link teilen → Link widerrufen); in Herkos Notes über die Relays (in seinen Einstellungen oder in Ihrer eigenen Liste privater Relays).
• In Herkos Local Relay finden Sie die gekoppelten Apps und was jede davon darf, den Port, das Kontingent, die Bereinigung, das Sitzungsprotokoll und die Kopien in seinen eigenen Bildschirmen.
• Wenn Sie sich von Herkos Notes abmelden, werden die Notizen auf diesem Gerät gelöscht, aber zuerst sendet die App, was nur dort liegt, und sagt Ihnen, wie viele Notizen Sie verlieren würden; die Notizen auf den Relays bleiben und kommen zurück, wenn Sie sich wieder anmelden.
• Sie können Ihren Schlüssel exportieren, ein Konto entfernen (was die Relays auch bittet, Ihre Daten zu löschen, NIP-62) oder die App jederzeit zurücksetzen.
• Da wir keine personenbezogenen Daten speichern, können wir Auskunfts-, Berichtigungs- und Löschersuchen nicht selbst beantworten; richten Sie sie an den Betreiber des betreffenden Relays, der Bridge, des Push-Servers oder des Webhosters. Wir helfen Ihnen, ihn zu ermitteln.
• Herkos ist nicht für Kinder unter 16 Jahren bestimmt.

Änderungen

Wir ändern dieses Dokument, wenn sich das Verhalten der App ändert, und halten das Datum oben fest. Maßgeblich ist PRIVACY.md im Repository; die veröffentlichte Seite ist eine Kopie davon.

Kontakt: privacy@herkos.email · https://herkos.app

Andere Sprachen

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська