En resumen

GravesMail es un cliente de correo local primero. Su correo se descarga a su equipo y se queda ahí. No opero servidores que almacenen, lean o procesen su correo. No recopilo información personal. No muestro anuncios. No vendo datos. Nada sobre su correo sale de su equipo; el servidor de correo solo se usa para recibir y enviar su correo.

Qué datos almacena GravesMail

Todos los datos se almacenan localmente en su perfil de usuario: en %LocalAppData%\GravesMail en Windows, o en el equivalente de la plataforma en macOS, Linux, iOS y Android. Esto es lo que se guarda y por qué:

La base de datos cifrada. Su correo y casi todos sus datos auxiliares viven en un único almacén con cifrado de toda la base de datos: cada mensaje, asunto, remitente y adjunto, además de sus contactos, calendario, firmas, Reglas rápidas y reglas avanzadas, listas de remitentes seguros y bloqueados, reputación de remitentes, entrenamiento del filtro de spam, umbrales ajustados y configuración de seguridad. Antes eran archivos sueltos junto a la base de datos; se consolidaron dentro de ella, lo que reforzó su protección. No salieron de su dispositivo: no cambió nada sobre dónde viven sus datos, solo cómo se almacenan localmente.

Archivos que permanecen fuera de la base de datos, porque se necesitan antes de poder abrirla o deben sobrevivir a su pérdida:

• La clave de la base de datos: se guarda en el almacén de claves seguro propio de su dispositivo (DPAPI en Windows, Keychain en macOS/iOS, Keystore en Android, el almacén de secretos del sistema en Linux). No puede vivir dentro de la base de datos que desbloquea.
• Credenciales de cuenta guardadas: sus contraseñas IMAP/SMTP y tokens OAuth2, cifrados con la clave de su dispositivo y mantenidos deliberadamente aparte de la base de datos de correo.
• bmk.wrap: las copias envueltas de su clave maestra de copia. Está con sus copias de seguridad y no en la base de datos, precisamente porque una copia de seguridad existe para sobrevivir a la pérdida de esa base de datos.
• Su anillo de claves PGP: se mantiene en su formato estándar en disco, con el anillo de claves privadas bajo su propia clave de envoltura.
• backups/: archivos de copia de seguridad cifrados (.gravesmail-backup), con AES-256 bajo la clave maestra de copia
• Catálogo de copias: un índice local de metadatos para explorar al instante el contenido de las copias (nunca se transmite)
• Registro de eliminaciones: contenido de los mensajes eliminados para su recuperación (retención configurable: 30–365 días)

Los archivos que se entregan con la aplicación (el modelo base de spam, las reglas YARA base y la tabla de búsqueda geográfica) son recursos del programa, no datos suyos. Se reemplazan al actualizar y se excluyen de las copias de seguridad.

No se almacena ningún dato fuera de este directorio. No se almacena ningún dato en servidores remotos.

Qué datos no recopila nunca GravesMail

• Direcciones de correo: ni la suya ni la de nadie que le escriba
• Contenido de correos: ni líneas de asunto, ni cuerpos de mensajes, ni adjuntos
• Información de remitentes o destinatarios
• Contraseñas o credenciales
• Listas de contactos
• Eventos de calendario
• Direcciones IP
• Su nombre, su ubicación o cualquier información identificativa
• Patrones de uso: no rastreo con qué frecuencia abre la aplicación, qué correos lee ni cómo interactúa con los mensajes
• Informes de fallos o diagnósticos: nunca se envía nada automáticamente
• Datos de instalación o registro: no hay ninguna cuenta que crear

Privacidad de las copias de seguridad

GravesMail crea copias de seguridad cifradas de todo su perfil local:

• Las copias locales del dispositivo, programadas y manuales (completas y diferenciales), se cifran con AES-256 bajo una clave maestra de copia que GravesMail genera y administra. La clave nunca se almacena sin cifrar: solo se guardan copias envueltas, envueltas tanto bajo el almacén de claves seguro de su dispositivo (así las copias rutinarias no necesitan contraseña) como bajo una frase de recuperación que usted establece una sola vez. La frase de recuperación es obligatoria, no opcional, y es lo que permite restaurar estas copias en un dispositivo nuevo o de reemplazo. Yo nunca recibo la clave ni la frase, y no puedo recuperar ninguna de las dos por usted.
• La Copia portátil con contraseña (Archivo → Copia portátil con contraseña…) se sella con una contraseña que usted elige, mediante derivación de clave PBKDF2-SHA256 a 600 000 iteraciones. Si pierde esa contraseña, la copia no se puede abrir: es así por diseño, y no puede abrirla nadie, yo incluido.
• Los catálogos de metadatos de las copias se almacenan localmente y nunca se transmiten. Permiten explorar al instante el contenido de las copias sin descifrar la copia completa.
• Las instantáneas previas a la operación se crean antes de las operaciones destructivas (análisis de Reglas rápidas, purgas, vaciado de la papelera) como red de seguridad.

Todos los archivos de copia de seguridad permanecen en su equipo a menos que usted mismo los copie a otro lugar. Una Copia portátil con contraseña contiene todo su perfil, incluidas las contraseñas de cuenta guardadas y las claves que desbloquean su correo, protegido únicamente por la contraseña que usted eligió, así que guarde el archivo en un lugar seguro.

Privacidad de las Reglas rápidas

Los datos de las Reglas rápidas se almacenan en su base de datos local cifrada. Los mensajes que sus reglas apartan en la Trampa de spam, sus listas de coincidencias y las propias definiciones de las reglas nunca salen de su equipo. Cuando elimina una regla o purga lo que capturó, los datos se eliminan permanentemente de su base de datos local.

Cómo se almacenan sus credenciales

GravesMail mantiene todo su correo y sus datos personales cifrados en reposo en todos los dispositivos. La clave de cifrado se guarda en el almacén de claves seguro propio de su dispositivo (DPAPI en Windows, Keychain en macOS e iOS, Keystore en Android y el almacén de secretos del sistema en Linux), de modo que los datos solo se pueden leer en su dispositivo. Si guarda sus credenciales de correo, se cifran de la misma manera y solo las puede descifrar, en el mismo equipo, el mismo usuario que las guardó.

GravesMail nunca transmite sus credenciales a ningún servidor que no sea el servidor de correo de su proveedor de correo, con el fin de iniciar sesión.

Para las cuentas de Microsoft/Outlook que usan autenticación OAuth2, GravesMail utiliza el flujo estándar de Microsoft Identity Platform. Los tokens de autenticación se almacenan localmente con el mismo cifrado. GravesMail no tiene acceso a la contraseña de su cuenta de Microsoft.

La geolocalización es local

GravesMail consulta el origen geográfico del correo entrante como una de sus señales de spam. Esa consulta se hace íntegramente en su dispositivo, contra una tabla de países e intervalos de IP integrada en la aplicación. No hay consultas DNS, ni llamadas a API externas, ni ningún servicio de consulta de terceros. Los metadatos de sus mensajes nunca se envían a ninguna parte para geolocalizarlos.

Datos de geolocalización de IP de DB-IP (db-ip.com), con licencia CC BY 4.0.

Bloqueo de imágenes externas y protección frente a píxeles de rastreo

Las imágenes externas se bloquean de forma predeterminada para impedir que los remitentes conozcan su dirección IP, que usted abrió su correo, cuándo y desde qué dispositivo.

Los píxeles de rastreo (imágenes invisibles de 1×1 que se usan únicamente para el rastreo mediante confirmaciones de lectura) se detectan y se eliminan por separado. Son controles independientes: puede cargar las imágenes sin cargar los rastreadores.

Cifrado de extremo a extremo (OpenPGP)

GravesMail es compatible con OpenPGP estándar para el correo cifrado de extremo a extremo y firmado. Todo ocurre en su dispositivo: las claves se generan localmente, su clave secreta nunca sale de su equipo y el cifrado y el descifrado los realiza la aplicación. No hay custodia de claves, ni subida a servidores de claves, ni ningún servicio mío en el camino: no tengo copia de sus claves y no puedo leer su correo cifrado.

Qué oculta PGP: el cuerpo del mensaje y los adjuntos.

Qué no oculta PGP: la línea de asunto, los campos Para/De/Cc y cuándo se envió el mensaje. Todo eso viaja sin cifrar y sigue siendo visible para la infraestructura de correo, incluido su proveedor. Es un límite del propio PGP/MIME, compartido por todos los clientes que lo implementan, Proton incluido: no es algo que GravesMail pueda arreglar, ni algo sobre lo que yo vaya a dar a entender lo contrario.

PGP protege el correo en tránsito: frente a la interceptación y frente a su proveedor de correo. No es una herramienta antiforense. Una vez descifrado un mensaje, se guarda en caché en la base de datos local cifrada de GravesMail para que pueda buscarlo y leerlo sin conexión, lo que significa que en disco lo protege el cifrado de su dispositivo y no PGP.

Si pierde su clave secreta, el correo cifrado para ella es irrecuperable de forma permanente. No puedo recuperarla por usted: no hay ninguna copia en custodia, que es la misma decisión de diseño por la que nadie más puede leer su correo.

Correo protegido con contraseña

Cuando envía un mensaje con Proteger con contraseña (sin clave), el cuerpo del mensaje y todos los adjuntos se cifran en su dispositivo en un ZIP AES-256 estándar antes de que el mensaje salga. El sellado se hace localmente: no se sube nada ni a mí ni a ningún servicio para realizarlo, y no hay ningún servidor en el camino.

La contraseña es solo suya. GravesMail se la muestra una sola vez, nunca la envía por correo, nunca la almacena y nunca la transmite. No tengo ninguna copia ni ningún modo de abrir lo que usted envió. Usted la comparte con su destinatario por otro canal: por teléfono, mensaje de texto o chat cifrado.

La protección es la contraseña y nada más. No hay caducidad ni revocación remota, porque ambas requerirían un servidor que deliberadamente no opero. Como en cualquier correo, el asunto del mensaje, los campos Para/De y el momento del envío siguen viajando sin cifrar.

Un límite más, dicho sin rodeos porque debe oírlo de mí en lugar de descubrirlo: el formato ZIP cifra el contenido de los archivos, no la estructura del archivo comprimido. Quien intercepte el mensaje puede ver cuántos archivos hay dentro y sus tamaños y marcas de tiempo aproximados, aunque no sus nombres, que se sustituyen por marcadores neutros, ni su contenido. Si esos metadatos por sí solos le dirían a alguien algo que usted necesita mantener en privado, esta función no es la herramienta adecuada para ese mensaje.

Compilaciones para cinco plataformas

• Windows: la compilación de Microsoft Store está firmada por Microsoft
• Linux: próximamente
• macOS: próximamente
• iOS: próximamente
• Android: próximamente

Las cinco plataformas tienen características de privacidad idénticas. Ninguna plataforma envía datos al fabricante ni se comporta de forma distinta en lo relativo a la privacidad. Hay una capacidad que sí difiere realmente según la plataforma, y es un límite de detección, no de privacidad: la Capa de protección AV del sistema usa su antivirus instalado en Windows y no está disponible en macOS, Linux ni móvil, donde indica «no disponible» en lugar de dar a entender un análisis que nunca ejecutó.

Servicios de terceros

GravesMail se conecta únicamente a su proveedor de correo (mediante conexiones TLS/SSL cifradas) y, en el caso de las cuentas de Microsoft, a Microsoft Identity Platform para la autenticación OAuth2. GravesMail no utiliza redes publicitarias, servicios de analítica, servicios de informes de fallos ni plataformas de rastreo.

Compras

Las compras de GravesMail a través de Microsoft Store las procesa Microsoft. GravesWare, LLC no recibe ni almacena los datos de las tarjetas de pago.

Abierto a inspección

Su base de datos, sus archivos de copia de seguridad y su registro de eliminaciones son todos archivos locales ordinarios bajo su control: en su disco, en su perfil de usuario, donde puede verlos, copiarlos o eliminarlos. Nada está oculto en un servicio que usted no pueda inspeccionar, y nada envía datos por su cuenta.

Privacidad de los menores

GravesMail no recopila a sabiendas ninguna información de nadie, incluidos los menores de 13 años. Dado que GravesMail no recopila información personal de forma predeterminada, no presenta riesgos específicos para la privacidad de los menores.

Cambios en esta política

Si se actualiza esta política de privacidad, los cambios se publicarán en esta página con una nueva fecha de «Última actualización». Dado que GravesMail no recopila direcciones de correo ni información de contacto, no puedo notificarle los cambios directamente. Le animo a consultar esta página periódicamente.

Contacto

Resumen