Herkosin tietosuojaseloste

Viimeksi päivitetty: 29. lokakuuta 2026. Kanoninen osoite: https://herkos.app/privacy

Käännös. Tämä on kohteliaisuuskäännös. Ristiriitatilanteessa englanninkielinen versio on määräävä.

Herkos Mail, Herkos Calendar, Herkos Notes ja Herkos Local Relay ovat vapaita ja avoimen lähdekoodin sovelluksia Nostr-verkkoon, ja niitä julkaisee Herkos-projekti (”me”). Herkos Calendar, Herkos Notes ja Herkos Local Relay ovat vielä kehitteillä. Tämä asiakirja kertoo, mitä tietoja sovellukset ja verkkosivustomme käsittelevät, minne ne menevät ja kuka voi nähdä ne. Kirjoitimme sen luettavaksi, ei silmäiltäväksi: jos jokin tässä yllättää sinut, kerro siitä osoitteeseen privacy@herkos.email.

Lyhyt versio

• Herkosilla ei ole tilijärjestelmää, omaa palvelinta eikä analytiikkaa. Emme saa viestejäsi, tapahtumiasi, muistiinpanojasi, yhteystietojasi, avaintasi emmekä tietoa käytöstäsi.
• Nostr-julkinen avaimesi on henkilöllisyytesi verkossa. Kaikki, mitä julkaiset Nostrissa (profiili, relelistat, tunnisteet), on sidottu siihen ja näkyy käyttämillesi releille.
• Nostr-käyttäjien välinen posti on päästä päähän salattua (NIP-17). Perinteisiin sähköpostiosoitteisiin menevä tai niistä tuleva posti kulkee sillan (bridge) kautta, joka voi lukea sen.
• Jotkin valinnaiset toiminnot lähettävät tietoja kolmansille osapuolille (push-ilmoitukset, ajastettu lähetys). Ne ovat pois päältä, kunnes otat ne käyttöön, ja tämä asiakirja nimeää ne kaikki.
• Kalenteritapahtumat salataan laitteellasi. Releet näkevät, että sinulla on tapahtumia, suunnilleen kuinka suuria ne ovat ja milloin ne muuttuvat, mutta eivät sitä, mitä niissä lukee. Julkiset tapahtumat, varattu-lista ja jakolinkit ovat julkisia oman valintasi mukaan, yksi kerrallaan. Selvittääkseen, minne vieraasi saavat postinsa, Calendar kysyy vain releiltäsi, ei koskaan kolmannen osapuolen hakemistolta.
• Muistiinpanot salataan laitteellasi omalle avaimellesi. Releet eivät voi lukea niitä, mutta ne näkevät, kuinka monta muistiinpanoa sinulla on ja milloin muokkaat kutakin. Haku tapahtuu laitteellasi: hakemasi sanat eivät koskaan lähde sieltä. Jakamasi muistiinpano menee vain valitsemallesi tilille sinetöitynä: releet eivät näe, kuka sen lähetti, eivätkä sitä, mitä siinä lukee.
• Herkos Local Relay säilyttää tapahtumasi laitteellasi salattuina ja kuuntelee vain siellä (127.0.0.1). Se on yhteydessä vain releihisi ja vastaanottajiesi saapuvan postin releisiin; yksityiset tapahtumat eivät koskaan lähde laitteelta. Sen kopiot menevät vain valitsemaasi kansioon, eivät koskaan pilveen.
• Verkkosivustomme (herkos.app ja sen aliverkkotunnukset) tarjoilee Cloudflare, joka näkee IP-osoitteesi kuten mikä tahansa verkkosivujen isännöintipalvelu. Sivustot eivät aseta evästeitä eivätkä käytä analytiikkaa.

Tiedot, jotka pysyvät laitteellasi

• Salainen avaimesi (nsec) tallennetaan sisäänkirjautuessasi käyttöjärjestelmän suojattuun säilöön (Android Keystore, iOS:n/macOS:n avainnippu, Windowsin tunnistetietojen hallinta, libsecret Linuxissa, salattu paikallinen tallennustila verkkoversiossa). Jos kirjaudut etäallekirjoittajalla (NIP-46-”bunker”), avain ei koskaan päädy laitteelle.

Selaimessa ei ole tällaista suojattua säilöä. Avain on sivuston paikallisessa tallennustilassa ja kulkee JavaScriptin läpi aina kun jotain allekirjoitetaan, joten kaikille sivuille pääsevä selainlaajennus, XSS-haavoittuvuus tai muokattu julkaisu voisi lukea sen; ja toisin kuin asennettu sovellus, verkkosivu tarjoaa uutta koodia joka käynnillä. Käytä verkkoversiossa etäallekirjoittajaa tai identiteettiä, jonka menettämisestä ei ole haittaa. - Postilaatikkosi: puretut viestit, liitteet, tunnisteet, kansiot ja yhteystiedot tallennetaan paikalliseen tietokantaan, jotta sovellus toimii ilman verkkoyhteyttä. Tätä tietokantaa ei ole salattu sen enempää kuin käyttöjärjestelmä tarjoaa; sovelluslukko (PIN tai biometriikka) on mukavuuseste, ei levysalaus. Androidissa sovellus on suljettu pois pilvi- ja laitteiden välisistä varmuuskopioista. - Sovelluslukon PIN: tallennetaan suolattuna ja venytettynä tiivisteenä (PBKDF2), ei koskaan selkokielisenä. Herkos Calendarilla ja Herkos Notesilla on kummallakin oma PIN, joka tallennetaan samalla tavalla. - Kalenterisi (Herkos Calendar): tapahtumat, listat, katseluavaimet ja muistutukset, jotka voit lukea, tallennetaan välimuistiin laitteelle tietue kerrallaan salattuina avaimella, jota säilytetään käyttöjärjestelmän suojatussa säilössä. Selaimessa kalenteri pidetään vain muistissa ja haetaan joka kerta uudelleen releiltä. Muistutukset soittaa laite itse: Calendar ei käytä push-palvelinta. Jos valitset otsikoiden piilottamisen muistutuksista, niissä lukee vain ”Tapahtuma” ja alkamisaika. Calendarin avaintasi säilytetään erillään Herkos Mailin avaimista (ks. ”Tilisi” Calendarin osiossa). - Muistiinpanosi (Herkos Notes): muistiinpanot, niiden historia, muistikirjat ja hakuhakemisto tallennetaan välimuistiin laitteelle tietue kerrallaan salattuina avaimella, jota säilytetään käyttöjärjestelmän suojatussa säilössä. Selaimessa ne tallennetaan samalla tavalla selaimen tallennustilaan sivustoa varten (IndexedDB), ja avainkin on selaimessa: tietokoneella, jota muutkin käyttävät, se suojaa vain vähän. Jos selain ei tallenna sivustolle mitään (yksityinen ikkuna, estetyt sivuston tiedot), ne pidetään vain muistissa, eikä ilman yhteyttä voi kirjoittaa. Lukitsemallesi muistiinpanolle tulee oma salasana; ilman sitä kukaan ei voi avata kyseistä muistiinpanoa, emme mekään. Muistiinpanojesi kopio on tiedosto, joka kirjoitetaan vain sinne, minne sen tallennat, ja se on salattu omalla salasanallaan. Automaattinen kopio, joka tehdään joka viikko, ellet poista sitä käytöstä, on tiedosto laitteen kansiossa (Herkos Notes/backups dokumenttikansiossasi), ja se on salattu tilisi avaimella; viisi viimeisintä säilytetään, eikä sitä lähetetä minnekään (selaimessa sitä ei ole). Muiden tilien kanssasi jakamat muistiinpanot odottavat kohdassa ”Muilta saadut”, laitteella ja salattuina kuten muutkin, kunnes säilytät tai hylkäät ne.

• Oma releesi (Herkos Local Relay): sen tapahtumat, pariliitetyt sovellukset, sen asetukset ja se, minne sen kopiot menevät; ks. sen omaa osiota alempana.

Voit poistaa kaiken tämän kohdasta Asetukset → Lisää → Nollaa sovellus tai poistamalla tilin.

Tiedot, jotka lähtevät laitteeltasi, ja kenelle

Tämä taulukko koskee Herkos Mailia. Herkos Calendarilla, Herkos Notesilla ja Herkos Local Relaylla on kullakin oma osionsa alempana.

Herkos itse ei saa mitään näistä. Kaatumisraportointia tai telemetriaa ei ole.

Herkos Calendar: mitä releet näkevät

Calendar on yhteydessä Nostr-releisiin: tilisi releisiin (NIP-65- ja saapuvan postin listasi), kohdan Asetukset → Releet releisiin (muokattavissa) ja, kun kutsut jonkun tai vastaat kutsuun, kyseisen henkilön saapuvan postin releisiin. Ei kehenkään muuhun, paitsi siihen, mitä itse haet (alla): ei myöskään julkisiin relehakemistoihin. Alempana oleva ”Tilisi” kertoo, mihin kutakin käytetään. Herkos-palvelinta, push-palvelinta tai telemetriaa ei ole. Jokainen rele näkee IP-osoitteesi ja jokaisen yhteyden ajankohdan.

Rele, joka vaatii NIP-42-tunnistautumista, saa tietää julkisen avaimesi; Calendar vastaa tällaiseen pyyntöön vain omien tapahtumiesi osalta omilla releilläsi sekä oman saapuvan postisi lukemiseksi. Poistaminen Nostrissa on pyyntö: rele voi säilyttää kopionsa, yhä salattuna.

Mitä mikään tapahtumissa ei voi piilottaa: jokainen kutsu lähtee IP-osoitteestasi, ja jokainen vieras hakee tapahtuman releiltäsi omasta IP-osoitteestaan. Rele, jolla on useamman vieraasi saapuva posti, voi päätellä, että heidän kutsunsa tulivat samasta osoitteesta. Vain Tor tai VPN piilottaa sen.

Tilisi

Calendar ei luo tilejä: kirjaudut sisään Nostr-identiteetillä, joka sinulla jo on, jollakin näistä tavoista.

• Android-puhelimesi allekirjoitussovelluksella (NIP-55, kuten Amber): avain pysyy siinä sovelluksessa, ja Calendar on yhteydessä siihen suoraan puhelimessa, ilman relettä tai verkkoa välissä. Laite säilyttää vain julkisen avaimesi ja tiedon siitä, mikä sovellus allekirjoittaa. Calendar pyytää siltä samoja asioita kuin bunkerilta (alla), ei koskaan kutsujen kirjekuoria, ja tarkistaa jokaisen takaisin tulevan allekirjoitetun tapahtuman ennen sen käyttämistä.
• Avaimellasi (nsec tai salasanalla suojattu ncryptsec, joka avataan laitteella): se tallennetaan käyttöjärjestelmän suojattuun säilöön Calendarin omalla nimellä. Herkos Mail säilyttää tilinsä erillään, eikä Calendar koskaan lue, muuta tai poista niitä: uloskirjautuminen yhdestä sovelluksesta ei kirjaa sinua ulos toisesta.
• bunker://-linkillä: avain pysyy allekirjoitussovelluksessasi. Calendar on yhteydessä siihen linkin nimeämien releiden kautta ja pyytää siltä vain julkista avaintasi, salausta ja salauksen purkua (NIP-44) sekä Calendarin omien kindien allekirjoittamista; kutsujen kirjekuoret eivät koskaan kulje sen kautta, koska niissä on kertakäyttöiset avaimet. Laite säilyttää vain yhteyden (sitä varten luodun avaimen, allekirjoittajan julkisen avaimen ja sen releet). Nämä releet näkevät IP-osoitteesi, yhteyden avaimet ja milloin allekirjoituksia pyydetään; pyynnöt ovat salattuja.
• Nostr Connectilla (QR-koodi): kuten bunkerissa, mutta yhteys kulkee kohdan Asetukset → Releet releiden kautta. Calendar ei lisää omaa eikä kenenkään muun relettä.

Releesi. Kirjautuessasi Calendar hakee listasi (NIP-65, kind 10002, ja saapuvan postin listasi, kind 10050) kohdan Asetukset → Releet releiltä erillisellä yhteydellä, joka ei tunnista sinua: rele, joka pyytää tunnistautumista, saa kertakäyttöisen avaimen, ei sinun avaintasi. Siitä eteenpäin:

• tapahtumasi, listasi ja salatut asetuksesi julkaistaan NIP-65-listasi kirjoitusreleille. Ilman tätä listaa kohdan Asetukset releille, ja tilisivu kertoo sen sinulle;
• kutsusi ja vastauksesi luetaan luku- ja saapuvan postin releiltäsi. Calendar vastaa NIP-42-tunnistautumiseen vain omilla releilläsi ja vain sen osalta, mikä on sinun;
• sovelluksen avaaminen sisäänkirjautuneena ei ota yhteyttä minnekään ennen kuin jotain tarvitaan;
• jos kohdassa Asetukset → Releet on tällä laitteella toimiva rele (osoite ws://127.0.0.1 tai ws://localhost, kuten Citrine-sovellus), jokainen synkronointi jättää sille myös kopion omista tapahtumistasi, listoistasi ja poistoistasi, täsmälleen sellaisina kuin ne allekirjoitettiin ja yhä salattuina. Sitä varten mitään ei lähde laitteelta, ja niin kauan kuin jollakin muulla releellä on tapahtuma, tämä ei koskaan ole se rele, josta vieraitasi neuvotaan etsimään sitä. Laitteen muut sovellukset, jotka lukevat tätä relettä, näkevät saman kuin mikä tahansa rele.

Vieraidesi releet (päätetty 21. lokakuuta 2026). Jotta jonkun voi kutsua, sovelluksen on tiedettävä, minne hän saa postinsa. Calendar hakee hänen listansa (10002 ja 10050) vain kohdan Asetukset → Releet releiltä, ei koskaan kolmannen osapuolen julkisesta hakemistosta (kuten purplepag.es): se palvelu näkisi, mistä osoitteesta kysyt ja kenestä, eli kenet kutsut. Jokainen vieras haetaan erikseen, satunnaisessa järjestyksessä, omalla yhteydellään ja kertakäyttöisellä avaimella, jotta nämä releet eivät voi päätellä, kuka on kutsuttu kenen kanssa. Ne kuitenkin näkevät IP-osoitteesi ja jokaisen hakemasi henkilön julkisen avaimen. Jos jonkun listat eivät ole näillä releillä, sovellus merkitsee hänen kohdalleen ennen lähettämistä ”ei tunnettua saapuneiden kansiota”, eikä kutsu tavoita häntä. Löytääksesi hänet lisää kohtaan Asetukset → Releet rele, jolle hän julkaisee listansa.

Mitä synkronoidaan laitteidesi välillä, aina sinulle salattuna ja kirjoitusreleilläsi: kalenterilistasi (tapahtumiensa avaimineen), muistutusasetukset (d=calendar-alarms), seuraamasi kalenterit (d=calendar-subscriptions) sekä kutsut, jotka ohitat, tai muiden tapahtumat, jotka poistat kalenteristasi (kind 30078, d=calendar-declined: vain mikä tapahtuma ja milloin, ei koskaan sen otsikkoa). Releet näkevät, että ne ovat olemassa ja milloin ne muuttuvat, mutta eivät sitä, mitä niissä lukee. Laitteen soittamat muistutukset ovat sen tilin, jolla olet kirjautunut, eivät koskaan aiemman tilin.

Avaintesi kopio. Calendar tarjoutuu tallentamaan kopion: tiedoston, jossa ovat kalenterilistasi ja niiden tapahtumien avaimet, salattuna salasanalla, jonka valitset sitä varten (NIP-49:n salaus). Se kirjoitetaan vain sinne, minne sen tallennat; se ei mene millekään releelle tai palvelimelle. Sen nimessä on päivämäärä, ei koskaan tiliä. Muistutusta varten laite muistaa vain kaksi päivämäärää: viimeisimmän kopion ja viimeisimmän ”Ei nyt” -valinnan.

Uloskirjautuminen näyttää ensin, mitä menetetään, ja tarjoaa kopion tallentamista. Sitten se poistaa tältä laitteelta avaimesi (tai bunker-yhteyden) ja tallennetun kalenterin. Julkaistu jää releille, salattuna. Allekirjoitussovelluksessasi antamasi luvan peruutat siinä sovelluksessa.

Julkista oman valintasi mukaan

Nämä ovat pois päältä, kunnes otat ne käyttöön, ja sovellus näyttää ennen sitä, mitä kukin niistä paljastaa:

• Julkiset tapahtumat (kinds 31922/31923): kaikki niissä — otsikko, aika, paikka, kuvaus — on julkista, sidottu julkiseen avaimeesi ja pysyy julkisena: julkista tapahtumaa ei voi enää muuttaa yksityiseksi.
• Varattu-lista (kind 31926): ajat, joina olet varattu tässä ja kahtena seuraavana kuussa, pyöristettyinä 30 minuuttiin (tai 15:een), valitsemistasi kalentereista. Ei koskaan mitä, missä tai kenen kanssa. Kun poistat sen käytöstä, releitä pyydetään poistamaan se.
• Jakolinkit (herkos.app/e/…): linkki on avain. Kuka tahansa, jolla se on, voi lukea tapahtuman, kunnes perut linkin, ja sen alkuosa näyttää julkisen avaimesi. Avain on merkin # jälkeen, osoitteen osassa, jota selaimet eivät koskaan lähetä palvelimelle, joten sitä eivät näe Cloudflare eivätkä me. Sivu kysyy linkissä mainituilta releiltä; jos jokin niistä ei ole tunnettu rele, sivu kertoo kävijälle, mikä palvelin on kyseessä, ja kysyy luvan ennen yhteyden avaamista, koska se palvelin näkisi kävijän IP-osoitteen. Peruminen salaa tapahtuman uudelleen uudella avaimella; joka sen jo luki, säilyttää lukemansa.
• Viennit (.ics): selkokielinen tekstitiedosto, jossa ovat otsikkosi ja aikasi. Sitä ei ole salattu; säilytä sitä kuten mitä tahansa muuta yksityistä asiakirjaa.
• Automaattinen kopio (.ics, sivulla Vie .ics-tiedostoon): kerran jokaisena päivänä, jona Calendar on auki, vienti kaikista kalentereistasi valitsemaasi kansioon; 7 viimeisintä säilytetään. Kuten vientiä, sitäkään ei ole salattu, joten mikä tahansa, joka voi lukea tuon kansion (toinen sovellus, sen synkronoiva pilvikansio), voi lukea otsikkosi ja aikasi. Calendar kirjoittaa ja poistaa siellä vain omia tiedostojaan (herkos-calendar-auto-…ics) ja muistaa kansion vain tällä laitteella.
• Ongelmaraportit (beta): sovellus vain valmistelee tekstin, jonka kopioit ja lähetät itse. Siinä on sovelluksen versio, alusta, kieli, aikavyöhyke ja tieto siitä, voivatko muistutukset soida, ei koskaan tapahtumiasi, avaintasi tai tiliäsi.

Herkos Calendar lukee muiden sovellusten kirjoittamia julkisia vastauksia julkisiin tapahtumiisi (RSVP-vastaukset, kind 31925, ja poistumiset, kind 84); se ei kirjoita kumpaakaan.

Mitä haet itse

Nämä yhteydet syntyvät vain, kun pyydät niitä:

• Kalenterit, joita seuraat osoitteen perusteella (.ics tai webcal): laite hakee kalenterin suoraan kyseisen osoitteen palvelimelta, vain https:llä, muutaman tunnin välein, ilman evästeitä ja ilman meidän välikäsiämme. Palvelin näkee IP-osoitteesi ja milloin haet, ja kuka tahansa, jolla on osoite, voi lukea kalenterin. Osoitelista säilytetään laitteellasi ja releilläsi, sinulle salattuna (kind 30078, d=calendar-subscriptions).
• Julkiset Nostr-kalenterit, joita seuraat (naddr…-linkki): ne haetaan muutaman tunnin välein releiltäsi ja linkin nimeämiltä releiltä, ei koskaan muilta. Nämä releet näkevät IP-osoitteesi ja minkä kalenterin luet. Ne ovat samassa salatussa listassa.
• Pyhäpäivät: ne tulevat sovelluksen mukana; niiden seuraaminen ei pyydä mitään miltään palvelimelta.
• ”Katso, ovatko he vapaina” (editorissa, kun painat sitä): sovellus hakee jokaisen kutsutun julkisen varattujen aikojen listan (kind 31926) niiltä releiltä, joille henkilö julkaisee, tunnistautumatta. Nämä releet näkevät IP-osoitteesi ja kenestä kysyt.
• Tapahtuman tiedostot: ne on salattu Blossom-palvelimelle. Kun avaat sellaisen, sovellus lataa sen palvelimelta, joka näkee IP-osoitteesi ja tiedoston tunnisteen, ei koskaan sen sisältöä.

Herkos Notes: mitä releet näkevät

Notes on yhteydessä Nostr-releisiin, eikä kehenkään muuhun. Herkos-palvelinta, push-palvelinta tai telemetriaa ei ole. Jokainen rele näkee IP-osoitteesi ja jokaisen yhteyden ajankohdan.

Mitkä releet. Jos tililläsi on yksityisten releiden lista (kind 10013, NIP-37:n kuvaama lista), Notes käyttää siinä olevia releitä sellaisinaan eikä koskaan kirjoita sen päälle; se etsii listaa Asetuksissaan olevilta releiltä ja niiltä releiltä, joille julkaiset (NIP-65-listasi). Muuten se käyttää Asetuksissaan olevia releitä: oletuksena relay.formstr.app, nos.lol ja relay.primal.net, enintään kahdeksan, kaikki muokattavissa. Asetuksissa on myös luettelo tunnetuista releistä, jotka voi lisätä yhdellä napautuksella; mihinkään niistä ei oteta yhteyttä, ellet lisää sitä. Rele voi olla ws://, salaamaton yhteys, vain jos se on laitteella tai kotiverkossa (localhost, yksityiset osoitteet, .local-nimet): muistiinpanot kulkevat yhä salattuina, mutta kuka tahansa siinä verkossa näkee sen, minkä rele näkee (alla oleva taulukko). Notes ei julkaise omaa relelistaa, ellet pyydä sitä (Releet → Tallenna yksityisten releideni luetteloksi). Silloin se julkaisee nämä releet 10013-listanasi avaimellasi salattuna samoille releille, joilta se etsii listoja, ja pitää sen ajan tasalla Notesissa tekemiesi muutosten mukaan: releet näkevät julkisen avaimesi, sen, että lista on olemassa, ja sen, milloin se muuttuu, mutta eivät siinä olevia releitä. Toisen sovelluksen kirjoittaman listan päälle ei koskaan kirjoiteta: Notes käyttää sitä sellaisenaan. Jos jokin näistä releistä toimii tällä laitteella (osoite ws://127.0.0.1 tai ws://localhost, kuten Citrine-sovellus), Notes jättää sille myös kopion muistiinpanoistasi, muistikirjoistasi ja poistoistasi, täsmälleen sellaisina kuin ne allekirjoitettiin ja yhä salattuina. Sitä varten mitään ei lähde laitteelta; Notes ei koskaan lue tältä releeltä, eikä muistiinpanoa, joka on vain sillä, lasketa ladatuksi. Laitteen muut sovellukset, jotka lukevat tätä relettä, näkevät saman kuin mikä tahansa rele.

Mitä ei voi piilottaa. Muistiinpanon d ja k sekä tarkistuspisteen a on oltava luettavissa: releet tarvitsevat niitä korvatakseen muistiinpanon sen uudemmalla versiolla ja löytääkseen sen historian. Rele voi siis laskea, kuinka monta muistiinpanoa sinulla on, ja nähdä, milloin muokkaat kutakin ja kuinka usein. Notes tekee tästä karkeampaa, ei näkymätöntä: se tallentaa enintään yhden tarkistuspisteen muistiinpanoa kohden kutakin muokkaustuntia kohden, yhden, kun suljet muistiinpanon, joka on muuttunut, ja yhden kummaltakin puolelta, kun ratkaiset ristiriidan, mutta ei koskaan yhtä jokaista tallennusta kohden, joten kirjoitusrytmiäsi ei julkaista minuutti minuutilta.

Miksi muistiinpanosi eivät koskaan vanhene. NIP-37-luonnoksissa voi olla expiration-tagi (sen esimerkissä 90 päivää), ja rele, joka noudattaa sitä, poistaa tapahtuman sinä päivänä. Muistiinpanosovellukselle se tarkoittaisi sellaisten muistiinpanojen menettämistä, joiden poistamista kukaan ei pyytänyt, joten Notes ei koskaan kirjoita sitä. Asian toinen puoli: muistiinpanosi pysyvät releillä, salattuina, kunnes poistat ne, ja poistaminen Nostrissa on pyyntö: rele voi säilyttää kopionsa.

Muistiinpanon jakaminen. Notes lähettää kopion niille releille, joilta toinen tili ilmoittaa lukevansa (sen NIP-17-releet, kind 10050, tai muuten sen NIP-65-listan lukureleet), joita se etsii releiltäsi, sekä omille releillesi, enintään kahdeksalle. Mukana kulkee se, mitä muistiinpanossa lukee (otsikko, teksti ja tunnisteet), ei muistikirjasi, merkintäsi eikä roskakorisi; myöhemmät muutoksesi eivät lähde. Toinen tili säilyttää kopionsa: Notes ei voi ottaa sitä takaisin, eikä oman muistiinpanosi poistaminen poista sitä. Vastaanottaakseen Notes pyytää releiltäsi avaimellesi osoitettuja gift wrapeja, joissa on k=30023, ja avaa ne laitteella. Yhden hylkääminen poistaa sen vain laitteelta: gift wrapin allekirjoittaa avain, jota kukaan ei säilytä, joten kumpikaan teistä ei voi pyytää releitä poistamaan sitä, ja se jää sinne, eikä kukaan muu kuin sinä voi lukea sitä.

Haku on paikallinen. Kaikki on salattua, joten mikään rele ei voi hakea puolestasi. Notes lataa muistiinpanosi, purkaa niiden salauksen ja rakentaa hakemiston laitteella; hakemiasi sanoja ei lähetetä minnekään.

Rele, joka vaatii NIP-42-tunnistautumista, saa tietää julkisen avaimesi; Notes vastaa siihen tililläsi. Notes pyytää releiltäsi myös luonnoksia, joita muut sovellukset ovat kirjoittaneet avaimellasi (kinds 31234 ja vanhempi 30024), näyttääkseen ne vain luku -tilassa, eikä julkaise mitään tehdessään niin. Jos kirjaudut etäallekirjoittajalla (bunker tai Nostr Connect), sen releet kuljettavat salatut allekirjoituspyyntösi, ja Notes pyytää sitä allekirjoittamaan vain edellä mainitut kindit (myös jaetun muistiinpanon sinetin, kind 13; sen gift wrap allekirjoitetaan laitteella kertakäyttöisellä avaimella). Android-puhelimesi allekirjoitussovelluksen kanssa (NIP-55, kuten Amber) Notes puhuu sille suoraan puhelimessa ilman välissä olevaa relettä, pyytää siltä samoja asioita ja tarkistaa jokaisen palaavan allekirjoitetun tapahtuman ennen sen käyttöä.

Herkos Local Relay: mitä se säilyttää ja kenen kanssa se on yhteydessä

Herkos Local Relay on Nostr-rele, joka toimii omalla laitteellasi Herkos-sovelluksia ja mitä tahansa muuta Nostr-asiakasohjelmaa varten. Sen takana ei ole mitään palvelintamme, eikä se lähetä meille mitään.

Mitä se säilyttää laitteella. Tapahtumat, jotka sovelluksesi kirjoittavat sille, ja ne, jotka se tuo releiltäsi, tietokannassa, joka on salattu avaimella, jota säilytetään käyttöjärjestelmän suojatussa säilössä. Sen rinnalla: pariliittämäsi sovellukset ja se, mitä kukin saa tehdä; sen asetukset (settings.json: portti, kiintiö, karsinta, onko istuntoloki päällä); ja kopioiden asetukset (backups.json: kuinka usein, kansio, julkinen avain, jolle kopiot salataan, ja sen suola, milloin viimeisin tehtiin). Mikään niistä ei ole salaisuus, eikä kopioiden salasanaa tallenneta koskaan. Windowsissa ja Linuxissa sovelluksen kansiossa oleva relay.json kertoo sen toimiessa, mitä porttia se kuuntelee, jotta Herkos-sovellukset löytävät sen. Sovelluksen poistaminen poistaa tietokannan, ja sen avain muuttuu hyödyttömäksi.

Kuka voi muodostaa yhteyden. Se kuuntelee vain osoitteessa 127.0.0.1 (portti 4873, ellet muuta sitä): mikään laitteen ulkopuolelta ei voi tavoittaa sitä. Mikä tahansa laitteen sovellus voi tavoittaa tämän osoitteen, joten sovellus tai verkkosivu on pariliitettävä, sinun näytöllä hyväksymänäsi, ennen kuin se voi kirjoittaa, ja verkkosivu, jota ei ole pariliitetty, torjutaan. Sovelluksen oikeuden peruminen katkaisee sen yhteyden heti. Yksityiset tapahtumat (luonnokset, yksityiset listat, muistutukset, vastaanottamasi sinetöidyt kirjekuoret) annetaan vain sille, joka todistaa NIP-42:lla, että hänellä on avain, johon ne kuuluvat. Lähiverkko ja Tor eivät ole vielä käytettävissä; kun ne tulevat, ne ovat pois päältä, kunnes otat ne käyttöön, ja ne vaativat TLS:n tai onion-palvelun, tunnistautumisen ja sallittujen avainten listan.

Selvittääkseen, minne joku saa postinsa, se kysyy releiltäsi. Yksityiset tapahtumasi (luonnokset, yksityiset listat, muistutukset) eivät koskaan lähde laitteelta. Se ei koskaan ilmoita omaa osoitettaan (se ei ole kenenkään NIP-65-listassa), sen NIP-11-dokumentti ei kerro, kuka olet, eikä analytiikkaa, telemetriaa tai kaatumisraportteja ole. Androidissa se toimii palveluna, jolla on ilmoitus ja siinä Pysäytä-painike; se menee lepoon 10 minuutin jälkeen ilman yhteyksiä, ja Herkos-sovellus herättää sen laitteella itsellään, ilman push-palvelinta.

Istuntoloki on oletuksena pois päältä. Jos otat sen käyttöön, sitä säilytetään vain muistissa, viimeiset 500 riviä, ja se poistetaan, kun rele pysähtyy: yhteydet, NIP-42-tunnistautuminen, vastaanotetut tai hylätyt tapahtumat ja pyydetyt kindit, kindin ja tunnisteen alun mukaan, ei koskaan niiden sisältöä.

Kopiot. Koko tallennusvaraston salattu kopio kirjoitetaan vain sinne, minne valitset: laitteen kansioon tai ulkoiselle levylle. Pilvipalvelun asiakasohjelman kansio (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) torjutaan. Se salataan omalla salasanallasi (scrypt ja XChaCha20-Poly1305); ajastetut kopiot sille julkiselle avaimelle, jonka tämä salasana tuottaa, joten ne tehdään ilman sitä. Seitsemän viimeisintä säilytetään. Ilman salasanaa kukaan ei voi avata kopiota, emme mekään, ja jos menetät sen, kopio on menetetty. JSONL-vienti ei ole salattu: se sisältää yksityiset tapahtumasi selkokielisinä, ja sovellus kertoo sen ennen kuin kirjoittaa sen.

Karsinta poistaa vain muiden ihmisten tapahtumia: ei koskaan omiasi, sinulle tulleita kirjekuoria eikä kindejä, joita sovelluksesi suojaavat; kiintiön vuoksi vasta, kun viimeisen vuorokauden ajalta on kopio. Ja kuten kaikkialla Nostrissa, poistaminen on pyyntö: se, mikä on jo mennyt muille releille, voi jäädä sinne.

Verkkosivustomme ja Cloudflare

herkos.app (mukaan lukien herkos.app/e/), app.herkos.app (Mailin verkkoversio), calendar.herkos.app ja notes.herkos.app (Calendarin ja Notesin verkkoversiot, kun ne julkaistaan) ja fdroid.herkos.app (F-Droid-repositoriomme) ovat staattisia tiedostoja, joita tarjoilee Cloudflare (Cloudflare Pages ja R2). Kuten mikä tahansa verkkosivujen isännöintipalvelu, Cloudflare saa IP-osoitteesi, selaimesi user agent -tunnisteen, pyytämäsi osoitteen (ilman merkin # jälkeistä osaa) ja ajankohdan, ja se voi säilyttää ne lokeissaan oman tietosuojakäytäntönsä mukaisesti.

Emme aseta evästeitä emmekä käytä analytiikkaa; sivut ja verkkosovellusten omat tiedostot tulevat vain näistä verkkotunnuksista (sen jälkeen verkkosovellukset ottavat yhteyden edellä kuvattuihin releisiin ja palvelimiin), emmekä katso kävijäkohtaisia lokeja. Lataukset Releases-sivulta tulevat palvelusta GitHub, joka näkee samanlaisia tietoja oman käytäntönsä mukaisesti.

Julkista jo lähtökohtaisesti

Nostr on julkinen verkko. Seuraavat asiat näkyvät kenelle tahansa, joka kysyy käyttämiltäsi releiltä, ja ne on sidottu julkiseen avaimeesi:

• profiilisi (nimi, kuva) sekä rele- ja Blossom-palvelinlistasi;
• NIP-32-tunnistetapahtumat, jotka Herkos Mail julkaisee, kun merkitset viestin luetuksi, tähdellä, arkistoit sen tai siirrät sen kansioon — mukaan lukien omien kansioiden nimet. Viestin sinulle lähettänyt, joka tietää sen tunnisteen, voi siis päätellä, milloin luit sen. Aiomme salata nämä; siihen asti pidä tämä mielessä;
• Herkos Calendarissa vain se, minkä itse teet julkiseksi (ks. edellä);
• Herkos Notesissa ei mitään sisältöä, vain edellä kuvattu kuvio: kuinka monta muistiinpanoa sinulla on ja milloin muokkaat niitä;
• Herkos Local Relayn kautta vain julkiset tapahtumat, joita sovelluksesi julkaisevat, kuten minkä tahansa releen kautta.

Valintasi ja oikeutesi

• Kaikki edellä mainittu on hallinnassasi kohdassa Asetukset → Verkko ja palvelimet (releet, DM-releet, Blossom-palvelimet, sillat) ja Asetukset → Ilmoitukset; Herkos Calendarissa voit itse muuttaa releitä, varattu-listaa ja jokaista jakolinkkiä (Jaa linkillä → Peru linkki); Herkos Notesissa releitä (sen Asetuksissa tai omassa yksityisten releiden listassasi).
• Herkos Local Relayssa pariliitetyt sovellukset ja se, mitä kukin saa tehdä, portti, kiintiö, karsinta, istuntoloki ja kopiot ovat sen omissa näkymissä.
• Uloskirjautuminen Herkos Notesista poistaa muistiinpanot kyseiseltä laitteelta, mutta ensin se lähettää sen, mikä on vain siellä, ja kertoo, kuinka monta muistiinpanoa menettäisit; releillä olevat muistiinpanot säilyvät ja palaavat, kun kirjaudut uudelleen sisään.
• Voit viedä avaimesi, poistaa tilin (mikä pyytää myös releitä poistamaan tietosi, NIP-62) tai nollata sovelluksen milloin tahansa.
• Koska emme säilytä henkilötietoja, emme voi itse vastata tarkastus-, oikaisu- tai poistopyyntöihin; osoita ne kyseisen releen, sillan, push-palvelimen tai verkkosivujen isännöintipalvelun ylläpitäjälle. Autamme sinua tunnistamaan sen.
• Herkos ei ole tarkoitettu alle 16-vuotiaille.

Muutokset

Muutamme tätä asiakirjaa, kun sovelluksen toiminta muuttuu, ja merkitsemme päivämäärän yläreunaan. Totuuden lähde on PRIVACY.md repositoriossa; julkaistu sivu on siitä kopio.

Yhteystiedot: privacy@herkos.email · https://herkos.app

Muut kielet

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська