Informativa sulla privacy di Herkos

Ultimo aggiornamento: 29 ottobre 2026. URL canonico: https://herkos.app/privacy

Traduzione. Questa è una traduzione di cortesia. In caso di discrepanza prevale la versione inglese.

Herkos Mail, Herkos Calendar, Herkos Notes e Herkos Local Relay sono app libere e open source per la rete Nostr, pubblicate dal progetto Herkos («noi»). Herkos Calendar, Herkos Notes e Herkos Local Relay sono ancora in sviluppo. Questo documento spiega quali dati trattano le app e i nostri siti web, dove vanno e chi può vederli. L'abbiamo scritto per essere letto, non scorso: se qualcosa qui ti sorprende, scrivici a privacy@herkos.email.

La versione breve

• Herkos non ha un sistema di account, né un server proprio, né analisi statistiche. Non riceviamo i tuoi messaggi, i tuoi eventi, le tue note, i tuoi contatti, la tua chiave né il tuo utilizzo.
• La tua chiave pubblica Nostr è la tua identità sulla rete. Tutto ciò che pubblichi su Nostr (profilo, elenchi di relay, etichette) vi è collegato ed è visibile ai relay che usi.
• La posta tra utenti Nostr è cifrata end-to-end (NIP-17). La posta da e verso indirizzi tradizionali passa attraverso un bridge che può leggerla.
• Alcune funzioni facoltative inviano dati a terze parti (notifiche push, invio programmato). Sono disattivate finché non le attivi, e questo documento le nomina tutte.
• Gli eventi del calendario sono cifrati sul tuo dispositivo. I relay vedono che hai degli eventi, quanto sono grandi all'incirca e quando cambiano, non cosa dicono. Gli eventi pubblici, l'elenco degli impegni e i link di condivisione sono pubblici per tua scelta, uno per uno. Per sapere dove ricevono i tuoi invitati, Calendar chiede solo ai tuoi relay, mai a un indice di terzi.
• Le note sono cifrate sul tuo dispositivo, con la tua chiave. I relay non possono leggerle, ma possono vedere quante note hai e quando modifichi ciascuna. La ricerca avviene sul tuo dispositivo: le parole che cerchi non lo lasciano mai. Una nota che condividi arriva solo all'account che scegli, sigillata: i relay non vedono né chi la invia né cosa dice.
• Herkos Local Relay conserva i tuoi eventi sul tuo dispositivo, cifrati, e ascolta solo lì (127.0.0.1). Parla solo con i tuoi relay e con i relay di posta in arrivo delle persone a cui scrivi; gli eventi privati non lasciano mai il dispositivo. Le sue copie vanno solo in una cartella che scegli tu, mai nel cloud.
• I nostri siti web (herkos.app e i suoi sottodomini) sono serviti da Cloudflare, che vede il tuo indirizzo IP come qualsiasi hosting web. Non impostano cookie e non usano analisi statistiche.

Dati che restano sul tuo dispositivo

• La tua chiave segreta (nsec), quando accedi con essa, viene conservata nell'archivio sicuro del sistema operativo (Android Keystore, portachiavi di iOS/macOS, Gestione credenziali di Windows, libsecret su Linux, archiviazione locale cifrata sul web). Se accedi con un firmatario remoto (un «bunker» NIP-46), la chiave non raggiunge mai il dispositivo.

Nel browser questo archivio sicuro non esiste. La chiave vive nell'archiviazione locale del sito e passa da JavaScript ogni volta che si firma qualcosa: un'estensione con accesso a tutte le pagine, un bug XSS o un rilascio manomesso potrebbero leggerla; e, a differenza di un'app installata, una pagina web serve codice nuovo a ogni visita. Nella versione web usa un firmatario remoto, o un'identità che puoi permetterti di perdere. - La tua casella: email decifrate, allegati, etichette, cartelle e contatti vengono memorizzati in un database locale perché l'app funzioni anche offline. Questo database non è cifrato oltre a quanto offre il sistema operativo; il blocco dell'app (PIN o biometria) è una barriera di comodità, non una cifratura a riposo. Su Android l'app è esclusa dai backup su cloud e da dispositivo a dispositivo. - Il PIN di blocco: memorizzato come hash con sale e allungamento di chiave (PBKDF2), mai in chiaro. Herkos Calendar e Herkos Notes hanno ciascuna un PIN proprio, memorizzato allo stesso modo. - Il tuo calendario (Herkos Calendar): gli eventi, gli elenchi, le chiavi di visualizzazione e i promemoria che puoi leggere vengono memorizzati sul dispositivo, cifrati record per record con una chiave conservata nell'archivio sicuro del sistema operativo. Nel browser il calendario è tenuto solo in memoria e viene riscaricato dai relay ogni volta. I promemoria li fa suonare il dispositivo stesso: Calendar non usa alcun server push. Se scegli di nascondere i titoli nei promemoria, questi dicono solo «Evento» e quando inizia. La tua chiave di Calendar è conservata separatamente da quelle di Herkos Mail (vedi «Il tuo account», nella sezione di Calendar). - Le tue note (Herkos Notes): le note, la loro cronologia, i taccuini e l'indice di ricerca vengono memorizzati sul dispositivo, cifrati record per record con una chiave conservata nell'archivio sicuro del sistema operativo. Nel browser vengono conservati allo stesso modo, nello spazio di archiviazione del browser per il sito (IndexedDB), con la chiave anch'essa nel browser: su un computer usato anche da altri, questo protegge poco. Se il browser non conserva nulla per il sito (una finestra privata, i dati del sito bloccati), restano solo in memoria e senza connessione non si può scrivere. Una nota che blocchi riceve una password propria; senza di essa nessuno può aprire quella nota, nemmeno noi. La copia delle tue note è un file scritto solo dove lo salvi tu, cifrato con una password propria. La copia automatica, fatta ogni settimana a meno che tu non la disattivi, è un file in una cartella del dispositivo (Herkos Notes/backups nei tuoi Documenti), cifrato con la chiave del tuo account; si conservano le ultime cinque e non viene inviata da nessuna parte (in un browser non c'è). Le note che altri account condividono con te aspettano in «Ricevute da altri», sul dispositivo e cifrate come il resto, finché non le tieni o le scarti. - Il tuo relay (Herkos Local Relay): i suoi eventi, le app abbinate, le sue impostazioni e dove vanno le sue copie; vedi la sua sezione più sotto.

Puoi cancellare tutto da Impostazioni → Altro → Reimposta applicazione, oppure rimuovendo un account.

Dati che lasciano il tuo dispositivo, e verso chi

Questa tabella riguarda Herkos Mail. Herkos Calendar, Herkos Notes e Herkos Local Relay hanno ciascuna una sezione propria più sotto.

Herkos stesso non riceve nulla di tutto ciò. Non ci sono segnalazioni di arresto anomalo né telemetria.

Herkos Calendar: cosa vedono i relay

Calendar parla con relay Nostr: quelli del tuo account (i tuoi elenchi NIP-65 e di posta in arrivo), quelli in Impostazioni → Relay (modificabili) e, quando inviti qualcuno o rispondi a un invito, i relay di posta in arrivo di quella persona. Con nessun altro, tranne ciò che consulti tu (più sotto): nemmeno con indici pubblici di relay. «Il tuo account», più sotto, spiega a cosa serve ciascuno. Non c'è alcun server Herkos, né server push, né telemetria. Ogni relay vede il tuo indirizzo IP e l'orario di ogni connessione.

Un relay che chiede l'autenticazione NIP-42 apprende la tua chiave pubblica; Calendar risponde a tale richiesta solo per i tuoi eventi sui tuoi relay, e per leggere la tua posta in arrivo. Eliminare su Nostr è una richiesta: un relay può conservarne la copia, sempre cifrata.

Ciò che nulla negli eventi può nascondere: ogni invito parte dal tuo indirizzo IP, e ogni invitato scarica l'evento dai tuoi relay dal proprio. Un relay che ospita la posta in arrivo di più tuoi invitati può capire che i loro inviti sono partiti dallo stesso indirizzo. Solo Tor o una VPN lo nascondono.

Il tuo account

Calendar non crea account: accedi con un'identità Nostr che hai già, in uno di questi modi.

• Con un'app di firma sul tuo telefono Android (NIP-55, come Amber): la chiave resta in quell'app, e Calendar le parla direttamente sul telefono, senza relay né rete di mezzo. Il dispositivo conserva solo la tua chiave pubblica e quale app firma. Calendar le chiede le stesse cose che a un bunker (più sotto), mai le buste degli inviti, e controlla ogni evento firmato che torna prima di usarlo.
• Con la tua chiave (nsec, o ncryptsec protetta da password, aperta sul dispositivo): viene conservata nell'archivio sicuro del sistema operativo, con un nome proprio di Calendar. Herkos Mail tiene i suoi account separati, e Calendar non li legge, non li modifica e non li elimina mai: uscire da un'app non ti fa uscire dall'altra.
• Con un link bunker://: la chiave resta nella tua app di firma. Calendar le parla attraverso i relay indicati dal link, e le chiede solo la tua chiave pubblica, di cifrare e decifrare (NIP-44) e di firmare i kinds di evento propri di Calendar; le buste degli inviti non passano mai da essa, perché portano chiavi monouso. Il dispositivo conserva solo la connessione (una chiave creata apposta, la chiave pubblica del firmatario e i suoi relay). Quei relay vedono il tuo indirizzo IP, le chiavi della connessione e quando vengono chieste firme; le richieste sono cifrate.
• Con Nostr Connect (un codice QR): come il bunker, ma la connessione passa per i relay in Impostazioni → Relay. Calendar non aggiunge alcun relay suo né di altri.

I tuoi relay. All'accesso, Calendar cerca i tuoi elenchi (NIP-65, kind 10002, e quello di posta in arrivo, kind 10050) sui relay in Impostazioni → Relay, su una connessione separata che non ti identifica: un relay che chiede l'autenticazione riceve una chiave monouso, non la tua. Da quel momento:

• i tuoi eventi, i tuoi elenchi e le tue impostazioni cifrate vengono pubblicati sui tuoi relay di scrittura NIP-65. Senza quell'elenco, su quelli in Impostazioni, e la pagina dell'account te lo dice;
• i tuoi inviti e le risposte vengono letti dai tuoi relay di lettura e di posta in arrivo. Calendar risponde all'autenticazione NIP-42 solo sui tuoi relay, e solo per ciò che è tuo;
• se apri l'app con l'accesso già effettuato, non si connette a nulla finché non serve;
• se in Impostazioni → Relay c'è un relay che funziona su questo dispositivo (un indirizzo ws://127.0.0.1 o ws://localhost, come l'app Citrine), ogni sincronizzazione vi lascia anche una copia dei tuoi eventi, elenchi e cancellazioni, esattamente come sono stati firmati e ancora cifrati. Per farlo non esce nulla dal dispositivo, e finché un altro relay ha un evento, questo non è mai il relay dove si dice ai tuoi invitati di cercarlo. Le altre app del dispositivo che leggono quel relay vedono ciò che vede qualsiasi relay.

I relay dei tuoi invitati (deciso il 21 ottobre 2026). Per invitare qualcuno, l'app deve sapere dove riceve. Calendar cerca i suoi elenchi (10002 e 10050) solo sui relay in Impostazioni → Relay, mai sull'indice pubblico di terzi (come purplepag.es): quel servizio vedrebbe da quale indirizzo chiedi e su chi ti informi, cioè chi inviti. Ogni invitato viene cercato separatamente, in ordine casuale, su una connessione propria con una chiave monouso, così quei relay non possono capire chi è invitato insieme a chi. Ciò che vedono, invece, sono il tuo indirizzo IP e la chiave pubblica di ogni persona che cerchi. Se gli elenchi di qualcuno non sono su quei relay, l'app lo segnala come «nessuna casella nota» prima dell'invio, e l'invito non gli arriva. Per trovarlo, aggiungi in Impostazioni → Relay un relay dove pubblica i suoi elenchi.

Cosa si sincronizza tra i tuoi dispositivi, sempre cifrato per te e sui tuoi relay di scrittura: i tuoi elenchi di calendari (con le chiavi dei loro eventi), le impostazioni dei promemoria (d=calendar-alarms), i calendari che segui (d=calendar-subscriptions) e gli inviti che ignori o gli eventi altrui che rimuovi dal tuo calendario (kind 30078, d=calendar-declined: solo quale evento e quando, mai il titolo). I relay vedono che esistono e quando cambiano, non cosa dicono. I promemoria che il dispositivo fa suonare sono quelli dell'account con cui hai effettuato l'accesso, mai quelli di uno precedente.

La copia delle tue chiavi. Calendar propone di salvarne una copia: un file con i tuoi elenchi di calendari e le chiavi dei loro eventi, cifrato con una password che scegli apposta (il cifrario di NIP-49). Viene scritto solo dove lo salvi tu; non va a nessun relay né server. Il suo nome riporta la data, mai l'account. Per ricordartelo, il dispositivo memorizza solo due date: quella dell'ultima copia e quella dell'ultimo «Non ora».

Uscire ti mostra prima cosa andrà perso e ti propone di salvare la copia. Poi elimina da questo dispositivo la tua chiave (o la connessione al bunker) e il calendario memorizzato. Ciò che è stato pubblicato resta sui relay, cifrato. Il permesso che hai dato nella tua app di firma si revoca in quell'app.

Pubblico per tua scelta

Sono disattivati finché non li attivi, e l'app mostra cosa rivela ciascuno prima che tu lo faccia:

• Eventi pubblici (kinds 31922/31923): tutto ciò che contengono — titolo, orario, luogo, descrizione — è pubblico, collegato alla tua chiave pubblica, e resta pubblico: un evento pubblico non può tornare privato.
• L'elenco degli impegni (kind 31926): gli orari in cui sei occupato in questo mese e nei due successivi, arrotondati a 30 minuti (o 15), per i calendari che scegli. Mai cosa, dove o con chi. Disattivarlo chiede ai relay di cancellarlo.
• Link di condivisione (herkos.app/e/…): il link è la chiave. Chiunque lo abbia può leggere quell'evento finché non lo revochi, e la sua prima parte mostra la tua chiave pubblica. La chiave sta dopo #, una parte dell'indirizzo che i browser non inviano mai a un server, quindi né Cloudflare né noi la vediamo. La pagina interroga i relay indicati nel link; se uno di essi non è un relay noto, dice al visitatore di quale server si tratta e chiede prima di connettersi, perché quel server vedrebbe l'indirizzo IP del visitatore. Revocare cifra di nuovo l'evento con una nuova chiave; chi l'ha già letto conserva ciò che ha letto.
• Esportazioni (.ics): un file di testo semplice con i tuoi titoli e orari. Non è cifrato; conservalo come qualsiasi altro documento privato.
• La copia automatica (.ics, nella pagina Esporta in .ics): una volta al giorno, nei giorni in cui Calendar è aperto, un'esportazione di tutti i tuoi calendari in una cartella che scegli tu, conservando le ultime 7. Come un'esportazione, non è cifrata: tutto ciò che può leggere quella cartella (un'altra app, una cartella nel cloud che la sincronizza) può leggere i tuoi titoli e orari. Calendar scrive ed elimina lì solo i propri file (herkos-calendar-auto-…ics), e ricorda la cartella solo su questo dispositivo.
• Segnalazioni di problemi (beta): l'app prepara solo un testo che copi e invii tu stesso. Contiene la versione dell'app, la piattaforma, la lingua, il fuso orario e se i promemoria possono suonare, mai i tuoi eventi, la tua chiave o il tuo account.

Herkos Calendar legge le risposte pubbliche ai tuoi eventi pubblici scritte da altre app (RSVP, kind 31925, e rimozioni, kind 84); non scrive né le une né le altre.

Ciò che consulti tu

Queste connessioni avvengono solo quando le chiedi tu:

• Calendari che segui tramite il loro indirizzo (.ics o webcal): il dispositivo chiede il calendario direttamente al server di quell'indirizzo, solo via https, ogni poche ore, senza cookie e senza alcun nostro intermediario. Quel server vede il tuo indirizzo IP e quando lo chiedi, e chiunque abbia l'indirizzo può leggere il calendario. L'elenco degli indirizzi è conservato sul tuo dispositivo e sui tuoi relay, cifrato per te (kind 30078, d=calendar-subscriptions).
• Calendari pubblici Nostr che segui (un link naddr…): vengono chiesti ogni poche ore ai tuoi relay e ai relay indicati dal link, mai ad altri. Quei relay vedono il tuo indirizzo IP e quale calendario leggi. Stanno nello stesso elenco cifrato.
• Festività: sono incluse nell'app; seguirle non chiede nulla a nessun server.
• «Vedi se sono liberi» (nell'editor, quando lo premi): l'app chiede l'elenco pubblico degli impegni (kind 31926) di ogni invitato ai relay dove quella persona pubblica, senza identificarsi. Quei relay vedono il tuo indirizzo IP e su chi ti informi.
• File di un evento: sono cifrati su un server Blossom. Quando ne apri uno, l'app lo scarica da quel server, che vede il tuo indirizzo IP e l'identificativo del file, mai il suo contenuto.

Herkos Notes: cosa vedono i relay

Notes parla con relay Nostr, e con nessun altro. Non c'è alcun server Herkos, né server push, né telemetria. Ogni relay vede il tuo indirizzo IP e l'orario di ogni connessione.

Quali relay. Se il tuo account ha un elenco di relay privati (kind 10013, l'elenco descritto da NIP-37), Notes usa i relay che contiene, così come sono, e non lo sovrascrive mai; cerca quell'elenco sui relay delle sue Impostazioni e sui relay dove pubblichi (il tuo elenco NIP-65). Altrimenti usa i relay delle sue Impostazioni: relay.formstr.app, nos.lol e relay.primal.net per impostazione predefinita, fino a otto, tutti modificabili. Le Impostazioni offrono anche un elenco di relay conosciuti da aggiungere con un tocco; nessuno viene contattato se non lo aggiungi. Un relay può essere ws://, una connessione non cifrata, solo se è sul dispositivo o sulla rete di casa (localhost, indirizzi privati, nomi .local): le note viaggiano comunque cifrate, ma chiunque su quella rete può vedere ciò che vede il relay (la tabella qui sotto). Notes non pubblica alcun elenco di relay proprio, a meno che tu non glielo chieda (Relay → Salva come mio elenco di relay privati). In quel caso pubblica questi relay come tuo 10013, cifrato con la tua chiave, sugli stessi relay dove cerca gli elenchi, e lo tiene aggiornato con ciò che cambi in Notes: i relay vedono la tua chiave pubblica, che l'elenco esiste e quando cambia, non i relay che contiene. Un elenco scritto da un'altra app non viene mai sovrascritto: Notes lo usa così com'è. Se uno di questi relay funziona su questo dispositivo (un indirizzo ws://127.0.0.1 o ws://localhost, come l'app Citrine), Notes vi lascia anche una copia delle tue note, dei tuoi taccuini e delle cancellazioni, esattamente come sono stati firmati e ancora cifrati. Per farlo non esce nulla dal dispositivo; Notes non legge mai da quel relay, e una nota che ha solo lui non conta come caricata. Le altre app del dispositivo che leggono quel relay vedono ciò che vede qualsiasi relay.

Ciò che non si può nascondere. Il d e il k di una nota e l'a di un punto di controllo devono essere leggibili: i relay ne hanno bisogno per sostituire una nota con la sua versione più recente e per trovarne la cronologia. Quindi un relay può contare quante note hai, e vedere quando modifichi ciascuna e quanto spesso. Notes lo rende meno preciso, non invisibile: salva al massimo un punto di controllo per nota per ogni ora di modifica, uno quando chiudi una nota che è cambiata e uno per ciascun lato quando risolvi un conflitto, mai uno per ogni salvataggio, così il tuo ritmo di scrittura non viene pubblicato minuto per minuto.

Perché le tue note non scadono mai. Le bozze NIP-37 possono avere un tag expiration (il suo esempio usa 90 giorni), e un relay che lo rispetta elimina l'evento in quella data. Per un taccuino vorrebbe dire perdere note che nessuno ha chiesto di eliminare, quindi Notes non lo scrive mai. Il rovescio della medaglia: le tue note restano sui relay, cifrate, finché non le elimini, ed eliminare su Nostr è una richiesta: un relay può conservarne la copia.

Condividere una nota. Notes invia la copia ai relay dove l'altro account dice di leggere (i suoi relay NIP-17, kind 10050, oppure i relay di lettura del suo elenco NIP-65), che cerca sui tuoi relay, e ai tuoi relay, al massimo otto. Viaggia ciò che dice la nota (titolo, testo ed etichette), non il tuo taccuino, i tuoi contrassegni o il cestino; ciò che cambi dopo non viene inviato. L'altro account tiene la sua copia: Notes non può riprenderla, ed eliminare la tua nota non la elimina. Per ricevere, Notes chiede ai tuoi relay i gift wrap indirizzati alla tua chiave con k=30023 e li apre sul dispositivo. Scartarne uno lo toglie solo dal dispositivo: un gift wrap è firmato da una chiave che nessuno conserva, quindi nessuno dei due può chiedere ai relay di eliminarlo, e resta lì, leggibile solo da te.

La ricerca è locale. Tutto è cifrato, quindi nessun relay può cercare al posto tuo. Notes scarica e decifra le tue note e costruisce l'indice sul dispositivo; le parole che cerchi non vengono mai inviate da nessuna parte.

Un relay che chiede l'autenticazione NIP-42 apprende la tua chiave pubblica; Notes gli risponde con il tuo account. Notes chiede anche ai tuoi relay le bozze che altre app hanno scritto con la tua chiave (kinds 31234 e il più vecchio 30024), per mostrarle in sola lettura, e nel farlo non pubblica nulla. Se accedi con un firmatario remoto (un bunker o Nostr Connect), i suoi relay trasportano le tue richieste di firma cifrate, e Notes gli chiede di firmare solo i kinds indicati sopra (compreso il sigillo di una nota condivisa, kind 13; il suo gift wrap viene firmato sul dispositivo, con la chiave monouso). Con un'app di firma sul tuo telefono Android (NIP-55, come Amber), Notes le parla direttamente sul telefono, senza alcun relay in mezzo, le chiede le stesse cose e controlla ogni evento firmato che torna prima di usarlo.

Herkos Local Relay: cosa conserva e con chi parla

Herkos Local Relay è un relay Nostr che funziona sul tuo stesso dispositivo, per le app Herkos e per qualsiasi altro client Nostr. Dietro non c'è alcun server nostro, e non ci invia nulla.

Cosa conserva, sul dispositivo. Gli eventi che le tue app vi scrivono e quelli che porta dai tuoi relay, in un database cifrato con una chiave conservata nell'archivio sicuro del sistema operativo. Accanto: le app che hai abbinato e cosa può fare ciascuna; le sue impostazioni (settings.json: la porta, la quota, la potatura, se il registro della sessione è attivo); e quelle delle copie (backups.json: ogni quanto, la cartella, la chiave pubblica per cui sono cifrate le copie e il suo sale, quando è stata fatta l'ultima). Niente di tutto ciò è un segreto, e la password delle copie non viene mai memorizzata. Su Windows e Linux, mentre è in funzione, relay.json nella cartella dell'app dice su quale porta ascolta, perché le app Herkos possano trovarlo. Disinstallare l'app elimina il database, e la sua chiave diventa inutile.

Chi può connettersi. Ascolta solo su 127.0.0.1 (porta 4873, a meno che tu non la cambi): nulla fuori dal dispositivo può raggiungerlo. Qualsiasi app del dispositivo può raggiungere quell'indirizzo, quindi un'app o una pagina web deve essere abbinata, cioè approvata da te sullo schermo, prima di poter scrivere, e una pagina web non abbinata viene respinta. Revocare un'app la disconnette subito. Gli eventi privati (bozze, elenchi privati, promemoria, le buste sigillate che ricevi) vengono dati solo a chi dimostra con NIP-42 di possedere la chiave a cui appartengono. La rete locale e Tor non sono ancora disponibili; quando arriveranno, saranno disattivati finché non li attivi, e richiederanno TLS o un servizio onion, l'autenticazione e un elenco di chiavi ammesse.

Per sapere dove riceve qualcuno, chiede ai tuoi relay. I tuoi eventi privati (bozze, elenchi privati, promemoria) non lasciano mai il dispositivo. Non annuncia mai il proprio indirizzo (non è nell'elenco NIP-65 di nessuno), il suo documento NIP-11 non dice chi sei, e non ci sono analisi statistiche, telemetria né segnalazioni di arresto anomalo. Su Android funziona come servizio con una notifica e il suo pulsante Ferma; si sospende dopo 10 minuti senza connessioni, e un'app Herkos lo risveglia sul dispositivo stesso, senza alcun server push.

Il registro della sessione è disattivato per impostazione predefinita. Se lo attivi, viene tenuto solo in memoria, le ultime 500 righe, e cancellato quando il relay si ferma: connessioni, autenticazione NIP-42, eventi accettati o rifiutati e i kinds richiesti, per kind e l'inizio del loro identificativo, mai il loro contenuto.

Copie. La copia cifrata dell'intero archivio viene scritta solo dove scegli tu: una cartella del dispositivo o un disco esterno. Una cartella di un client cloud (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) viene rifiutata. È cifrata con una password tua (scrypt e XChaCha20-Poly1305); quelle programmate, per la chiave pubblica che quella password genera, così vengono fatte senza di essa. Si conservano le ultime sette. Senza la password nessuno può aprire una copia, nemmeno noi, e se la perdi la copia è perduta. L'esportazione JSONL non è cifrata: contiene i tuoi eventi privati in chiaro, e l'app lo dice prima di scriverla.

La potatura elimina solo gli eventi di altre persone: mai i tuoi, le buste per te o i kinds che le tue app proteggono; per quota, solo dopo una copia dell'ultimo giorno. E come ovunque su Nostr, eliminare è una richiesta: ciò che è già andato ad altri relay può restarvi.

I nostri siti web e Cloudflare

herkos.app (compreso herkos.app/e/), app.herkos.app (la versione web di Mail), calendar.herkos.app e notes.herkos.app (le versioni web di Calendar e di Notes, quando saranno pubblicate) e fdroid.herkos.app (il nostro repository F-Droid) sono file statici serviti da Cloudflare (Cloudflare Pages e R2). Come qualsiasi hosting web, Cloudflare riceve il tuo indirizzo IP, lo user agent del tuo browser, l'indirizzo che richiedi (senza la parte dopo #) e l'orario, e può conservarli nei suoi log secondo la propria informativa sulla privacy.

Non impostiamo cookie e non usiamo analisi statistiche; le pagine e i file propri delle app web provengono solo da questi domini (le app web poi si connettono ai relay e ai server descritti sopra), e non guardiamo i log dei singoli visitatori. I download da Releases provengono da GitHub, che vede lo stesso tipo di dati secondo la propria informativa.

Pubblico per progettazione

Nostr è una rete pubblica. Queste cose sono visibili a chiunque interroghi i relay che usi, e sono collegate alla tua chiave pubblica:

• il tuo profilo (nome, immagine) e i tuoi elenchi di relay e di server Blossom;
• gli eventi etichetta NIP-32 che Herkos Mail pubblica quando segni un'email come letta, la metti tra i preferiti, la archivi o la sposti in una cartella — compreso il nome delle cartelle personalizzate. Chi ti ha inviato un'email e ne conosce l'identificativo può quindi sapere quando l'hai letta. Prevediamo di cifrarli; fino ad allora, tienilo presente;
• in Herkos Calendar, solo ciò che rendi pubblico (vedi sopra);
• in Herkos Notes, nessun contenuto, solo lo schema descritto sopra: quante note hai e quando le modifichi;
• attraverso Herkos Local Relay, solo gli eventi pubblici che pubblicano le tue app, come con qualsiasi relay.

Le tue scelte e i tuoi diritti

• Tutto quanto sopra è sotto il tuo controllo in Impostazioni → Rete e server (relay, relay DM, server Blossom, bridge) e Impostazioni → Notifiche; in Herkos Calendar, i relay, l'elenco degli impegni e ogni link di condivisione (Condividi tramite link → Revoca link) li cambi tu; in Herkos Notes, i relay (nelle sue Impostazioni, o nel tuo stesso elenco di relay privati).
• In Herkos Local Relay, le app abbinate e cosa può fare ciascuna, la porta, la quota, la potatura, il registro della sessione e le copie si trovano nelle sue schermate.
• Uscire da Herkos Notes elimina le note su quel dispositivo, ma prima invia ciò che si trova solo lì e ti dice quante note perderesti; le note sui relay restano, e tornano quando accedi di nuovo.
• Puoi esportare la tua chiave, rimuovere un account (il che chiede anche ai relay di cancellare i tuoi dati, NIP-62) o reimpostare l'app in qualsiasi momento.
• Poiché non conserviamo dati personali, non possiamo rispondere noi stessi alle richieste di accesso, rettifica o cancellazione; rivolgile all'operatore del relay, del bridge, del server push o dell'hosting web interessato. Ti aiuteremo a individuarlo.
• Herkos non è destinato a minori di 16 anni.

Modifiche

Modificheremo questo documento quando cambierà il comportamento dell'app, e registreremo la data in alto. La fonte di verità è PRIVACY.md nel repository; la pagina pubblicata ne è una copia.

Contatto: privacy@herkos.email · https://herkos.app

Altre lingue

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська