خلاصه

GravesMail برنامهٔ ایمیلی با اولویت محلی است. ایمیل شما به رایانه‌تان دانلود می‌شود و همان‌جا می‌ماند. من کارسازی که ایمیل شما را ذخیره کند، بخواند یا پردازش کند اداره نمی‌کنم. اطلاعات شخصی گردآوری نمی‌کنم. تبلیغ نمایش نمی‌دهم. داده نمی‌فروشم. هیچ چیزی دربارهٔ ایمیل‌های شما از رایانه‌تان بیرون نمی‌رود؛ از سرور ایمیل فقط برای دریافت و ارسال ایمیل‌های شما استفاده می‌شود.

GravesMail چه داده‌هایی ذخیره می‌کند

همهٔ داده‌ها به‌صورت محلی در نمایهٔ کاربری شما ذخیره می‌شود — در Windows زیر %LocalAppData%\GravesMail، یا معادل آن روی macOS، Linux، iOS و Android. این است آنچه نگه داشته می‌شود و دلیلش:

پایگاه دادهٔ رمزگذاری‌شده. نامه‌های شما و تقریباً همهٔ داده‌های جانبی‌تان در یک انبارهٔ واحد قرار دارد که کل پایگاه داده‌اش رمزگذاری شده است: هر پیام، موضوع، فرستنده و پیوست، به‌علاوهٔ مخاطبین، تقویم، امضاها، قوانین سریع و قوانین پیشرفته، فهرست‌های امن و مسدود، اعتبار فرستندگان، آموزش فیلتر هرزنامه، آستانه‌های تنظیم‌شده و تنظیمات امنیتی. این‌ها پیش‌تر پرونده‌هایی پراکنده در کنار پایگاه داده بودند؛ در آن یکپارچه شدند و این کار حفاظتشان را قوی‌تر کرد. از دستگاه شما بیرون نرفتند — هیچ چیز دربارهٔ جای داده‌هایتان عوض نشد، فقط شیوهٔ ذخیرهٔ محلی آن‌ها تغییر کرد.

پرونده‌هایی که بیرون از پایگاه داده می‌مانند، چون پیش از باز شدن آن لازم‌اند یا باید پس از از دست رفتنش باقی بمانند:

• کلید پایگاه داده — در انبارهٔ کلید امن خودِ دستگاه شما نگه داشته می‌شود (DPAPI در Windows، Keychain در macOS/iOS، Keystore در Android، انبارهٔ اسرار سیستم در Linux). نمی‌تواند درون همان پایگاه داده‌ای باشد که قفلش را باز می‌کند.
• اطلاعات ورود ذخیره‌شدهٔ حساب‌ها — گذرواژه‌های IMAP/SMTP و توکن‌های OAuth2 شما، رمزگذاری‌شده با کلید دستگاهتان و عمداً جدا از پایگاه دادهٔ نامه‌ها.
• bmk.wrap — نسخه‌های بسته‌بندی‌شدهٔ کلید اصلی پشتیبان شما. کنار پشتیبان‌هایتان است نه در پایگاه داده، دقیقاً چون پشتیبان برای آن است که پس از از دست رفتن آن پایگاه داده باقی بماند.
• دسته‌کلید PGP شما — در قالب استاندارد خود روی دیسک نگه داشته می‌شود و دسته‌کلید خصوصی زیر کلید بسته‌بندی خودش است.
• backups/ — پرونده‌های پشتیبان رمزگذاری‌شده (.gravesmail-backup)، با AES-256 زیر کلید اصلی پشتیبان
• فهرست پشتیبان — نمایه‌ای محلی از فراداده برای مرور آنی محتوای پشتیبان‌ها (هرگز فرستاده نمی‌شود)
• گزارش حذف — محتوای پیام‌های حذف‌شده برای بازیابی (نگه‌داری قابل تنظیم: ۳۰ تا ۳۶۵ روز)

پرونده‌هایی که همراه برنامه عرضه می‌شوند — مدل پایهٔ هرزنامه، قوانین پایهٔ YARA و جدول جست‌وجوی جغرافیایی — دارایی‌های برنامه‌اند، نه دادهٔ شما. هنگام به‌روزرسانی جایگزین می‌شوند و در پشتیبان‌ها نمی‌آیند.

هیچ داده‌ای بیرون از این پوشه ذخیره نمی‌شود. هیچ داده‌ای روی کارسازهای راه‌دور ذخیره نمی‌شود.

GravesMail چه داده‌هایی را هرگز گردآوری نمی‌کند

• نشانی‌های ایمیل — چه مال شما و چه هر کسی که به شما ایمیل می‌زند
• محتوای ایمیل — نه سطر موضوع، نه متن پیام و نه پیوست
• اطلاعات فرستنده یا گیرنده
• گذرواژه‌ها یا اطلاعات ورود
• فهرست مخاطبین
• رویدادهای تقویم
• نشانی‌های IP
• نام شما، مکان شما یا هر اطلاعات شناسایی‌کننده
• الگوهای استفاده — ردیابی نمی‌کنم چند بار برنامه را باز می‌کنید، کدام ایمیل‌ها را می‌خوانید یا با پیام‌ها چه می‌کنید
• گزارش خرابی یا داده‌های عیب‌یابی — هیچ چیز هرگز خودکار فرستاده نمی‌شود
• داده‌های نصب یا ثبت‌نام — حسابی برای ساختن وجود ندارد

حریم خصوصی پشتیبان‌ها

GravesMail از کل نمایهٔ محلی شما پشتیبان رمزگذاری‌شده می‌سازد:

• پشتیبان‌های زمان‌بندی‌شده و دستیِ محلیِ دستگاه (کامل و تفاضلی) با AES-256 زیر یک کلید اصلی پشتیبان رمزگذاری می‌شوند که GravesMail می‌سازد و مدیریت می‌کند. این کلید هرگز به‌صورت آشکار ذخیره نمی‌شود — فقط نسخه‌های بسته‌بندی‌شده نگه داشته می‌شود، بسته‌بندی‌شده هم زیر انبارهٔ کلید امن دستگاه شما (تا پشتیبان‌گیری‌های معمول گذرواژه نخواهند) و هم زیر یک عبارت عبور بازیابی که یک بار تنظیم می‌کنید. عبارت عبور بازیابی الزامی است، نه اختیاری، و همان است که امکان می‌دهد این پشتیبان‌ها روی دستگاهی نو یا جایگزین بازگردانده شوند. من هرگز نه کلید را دریافت می‌کنم و نه عبارت عبور را، و هیچ‌کدام را نمی‌توانم برایتان بازیابی کنم.
• پشتیبان قابل‌حمل با گذرواژه (پرونده ← پشتیبان قابل‌حمل با گذرواژه…) با گذرواژه‌ای که خودتان برمی‌گزینید مهروموم می‌شود، با کشش کلید PBKDF2-SHA256 در ۶۰۰٬۰۰۰ تکرار. اگر آن گذرواژه را از دست بدهید، پشتیبان باز نمی‌شود — طراحی همین است، و به دست هیچ‌کس، از جمله من.
• فهرست‌های فرادادهٔ پشتیبان به‌صورت محلی ذخیره می‌شوند و هرگز فرستاده نمی‌شوند. امکان می‌دهند محتوای پشتیبان‌ها بدون رمزگشایی کل پشتیبان آنی مرور شود.
• عکس‌های لحظه‌ای پیش از عملیات پیش از عملیات مخرب (اسکن قوانین سریع، پاک‌سازی، پاک کردن زباله‌دان) به‌عنوان تور ایمنی ساخته می‌شوند.

همهٔ پرونده‌های پشتیبان روی رایانهٔ شما می‌مانند، مگر آنکه خودتان آن‌ها را جای دیگری کپی کنید. پشتیبان قابل‌حمل با گذرواژه کل نمایهٔ شما را در خود دارد — از جمله گذرواژه‌های ذخیره‌شدهٔ حساب‌ها و کلیدهایی که نامه‌هایتان را باز می‌کنند — و فقط با گذرواژه‌ای که برگزیده‌اید محافظت می‌شود، پس پرونده را جای امنی نگه دارید.

حریم خصوصی قوانین سریع

داده‌های قوانین سریع در پایگاه دادهٔ رمزگذاری‌شدهٔ محلی شما ذخیره می‌شود. پیام‌هایی که قوانینتان در تلهٔ هرزنامه کنار می‌گذارند، فهرست‌های تطبیقشان و خود تعریف قوانین هرگز از رایانهٔ شما بیرون نمی‌روند. وقتی قانونی را حذف می‌کنید یا آنچه را گرفته پاک‌سازی می‌کنید، داده‌ها برای همیشه از پایگاه دادهٔ محلی شما برداشته می‌شود.

اطلاعات ورود شما چگونه ذخیره می‌شود

GravesMail همهٔ نامه‌ها و داده‌های شخصی شما را روی هر دستگاه در حالت سکون رمزگذاری‌شده نگه می‌دارد. کلید رمزگذاری در انبارهٔ کلید امن خودِ دستگاه شما نگه داشته می‌شود — DPAPI در Windows، Keychain در macOS و iOS، Keystore در Android و انبارهٔ اسرار سیستم در Linux — پس داده‌ها فقط روی دستگاه شما خواندنی است. اگر اطلاعات ورود ایمیلتان را ذخیره کنید، به همان شیوه رمزگذاری می‌شود و فقط روی همان رایانه و به دست همان کاربری که ذخیره‌اش کرده رمزگشایی‌شدنی است.

GravesMail هرگز اطلاعات ورود شما را به هیچ کارسازی نمی‌فرستد، جز کارساز نامهٔ ارائه‌دهندهٔ ایمیلتان و به قصد ورود به حساب.

برای حساب‌های Microsoft/Outlook که از احراز هویت OAuth2 استفاده می‌کنند، GravesMail روند استاندارد Microsoft Identity Platform را به کار می‌برد. توکن‌های احراز هویت با همان رمزگذاری به‌صورت محلی ذخیره می‌شوند. GravesMail به گذرواژهٔ حساب Microsoft شما دسترسی ندارد.

مکان‌یابی جغرافیایی محلی است

GravesMail مبدأ جغرافیایی نامه‌های ورودی را به‌عنوان یکی از نشانه‌های هرزنامه جست‌وجو می‌کند. این جست‌وجو یکسره روی دستگاه شما انجام می‌شود، با جدولی از کشورها و بازه‌های IP که در برنامه جاسازی شده است. نه پرس‌وجوی DNS در کار است، نه فراخوانی API بیرونی و نه سرویس جست‌وجوی شخص ثالث. فرادادهٔ پیام‌های شما هرگز برای مکان‌یابی جایی فرستاده نمی‌شود.

داده‌های مکان‌یابی IP از DB-IP (db-ip.com)، با پروانهٔ CC BY 4.0.

مسدود کردن تصاویر خارجی و حفاظت در برابر پیکسل‌های ردیابی

تصاویر خارجی به‌طور پیش‌فرض مسدودند تا فرستندگان نشانی IP شما را نفهمند و ندانند که ایمیلشان را باز کرده‌اید، کی و با چه دستگاهی.

پیکسل‌های ردیابی (تصاویر نامرئی 1×1 که فقط برای ردیابی با رسید خواندن به کار می‌روند) جداگانه شناسایی و حذف می‌شوند. این‌ها کنترل‌های مستقلی‌اند — می‌توانید تصاویر را بارگذاری کنید بی‌آنکه ردیاب‌ها بار شوند.

رمزگذاری سرتاسری (OpenPGP)

GravesMail از OpenPGP استاندارد برای نامهٔ رمزگذاری‌شدهٔ سرتاسری و امضاشده پشتیبانی می‌کند. همه‌چیز روی دستگاه شما رخ می‌دهد: کلیدها محلی ساخته می‌شوند، کلید محرمانهٔ شما هرگز از دستگاهتان بیرون نمی‌رود و رمزگذاری و رمزگشایی را خودِ برنامه انجام می‌دهد. نه امانت‌سپاری کلید هست، نه بارگذاری در کارساز کلید و نه سرویسی از من در مسیر — من هیچ نسخه‌ای از کلیدهای شما ندارم و نمی‌توانم نامهٔ رمزگذاری‌شدهٔ شما را بخوانم.

آنچه PGP پنهان می‌کند: متن پیام و پیوست‌ها.

آنچه PGP پنهان نمی‌کند: سطر موضوع، To/From/Cc و زمان ارسال پیام. این‌ها آشکار جابه‌جا می‌شوند و برای زیرساخت ایمیل، از جمله ارائه‌دهندهٔ شما، دیدنی می‌مانند. این محدودیتِ خودِ PGP/MIME است و هر برنامه‌ای که آن را پیاده کند در آن شریک است، از جمله Proton — چیزی نیست که GravesMail بتواند درستش کند، و چیزی نیست که من خلافش را القا کنم.

PGP از نامه در مسیر محافظت می‌کند — در برابر شنود و در برابر ارائه‌دهندهٔ ایمیلتان. ابزار ضد جرم‌یابی نیست. پیام پس از رمزگشایی در پایگاه دادهٔ رمزگذاری‌شدهٔ محلی GravesMail نگه داشته می‌شود تا بتوانید برون‌خط جستجو کنید و بخوانید؛ یعنی روی دیسک با رمزگذاری دستگاه شما محافظت می‌شود، نه با PGP.

اگر کلید محرمانه‌تان را از دست بدهید، نامه‌هایی که برای آن رمزگذاری شده برای همیشه بازیابی‌ناپذیر است. من نمی‌توانم آن را برایتان بازیابی کنم — نسخهٔ امانی‌ای وجود ندارد، و این همان انتخاب طراحی است که باعث می‌شود هیچ‌کس دیگری هم نتواند نامهٔ شما را بخواند.

ایمیل محافظت‌شده با گذرواژه

وقتی پیامی را با محافظت با گذرواژه (بدون نیاز به کلید) می‌فرستید، متن پیام و همهٔ پیوست‌ها پیش از بیرون رفتن پیام، روی دستگاه شما در یک ZIP استاندارد AES-256 رمزگذاری می‌شود. مهروموم کردن محلی انجام می‌شود — برای این کار هیچ چیز نزد من یا هیچ سرویسی بارگذاری نمی‌شود و کارسازی در مسیر نیست.

گذرواژه فقط مال شماست. GravesMail آن را یک بار به شما نشان می‌دهد، هرگز ایمیلش نمی‌کند، هرگز ذخیره‌اش نمی‌کند و هرگز آن را نمی‌فرستد. من نسخه‌ای از آن ندارم و راهی برای باز کردن آنچه فرستاده‌اید ندارم. آن را از راهی جداگانه به گیرنده می‌دهید — تلفنی، با پیامک یا در گفت‌وگوی رمزگذاری‌شده.

حفاظت همان گذرواژه است و نه چیز دیگر. نه تاریخ انقضایی هست و نه ابطال از راه دور، چون هر دو به کارسازی نیاز دارند که من عمداً اداره نمی‌کنم. مثل هر ایمیل دیگری، موضوع پیام، To/From و زمان آن همچنان آشکار جابه‌جا می‌شود.

یک محدودیت دیگر، که رک می‌گویم چون بهتر است از من بشنوید تا خودتان کشفش کنید: قالب ZIP محتوای پرونده‌ها را رمزگذاری می‌کند، نه ساختار بایگانی را. هر کس پیام را شنود کند همچنان می‌تواند ببیند چند پرونده درون آن است و اندازه و برچسب زمانی تقریبی‌شان چیست — هرچند نامشان را نه، که با نام‌های جانشین خنثی عوض شده، و محتوایشان را هم نه. اگر همین فراداده به‌تنهایی چیزی را به کسی بگوید که باید خصوصی بماند، این قابلیت ابزار مناسب آن پیام نیست.

نسخه‌های پنج سکو

• Windows — نسخهٔ Microsoft Store را Microsoft امضا می‌کند
• Linux — به‌زودی
• macOS — به‌زودی
• iOS — به‌زودی
• Android — به‌زودی

هر پنج سکو ویژگی‌های حریم خصوصی یکسانی دارند. هیچ سکویی داده به خانه نمی‌فرستد یا از نظر حریم خصوصی رفتار متفاوتی ندارد. یک توانایی به‌راستی در سکوها فرق دارد و آن محدودیتی در تشخیص است، نه در حریم خصوصی: لایهٔ حفاظت «ضدویروس سیستم» در Windows از ضدویروس نصب‌شدهٔ شما استفاده می‌کند و در macOS، Linux یا موبایل در دسترس نیست؛ آنجا «در دسترس نیست» گزارش می‌کند، نه اینکه اسکنی را القا کند که هرگز اجرا نکرده است.

سرویس‌های اشخاص ثالث

GravesMail فقط به ارائه‌دهندهٔ ایمیل شما (از طریق اتصال‌های رمزگذاری‌شدهٔ TLS/SSL) و، برای حساب‌های Microsoft، به Microsoft Identity Platform برای احراز هویت OAuth2 وصل می‌شود. GravesMail از هیچ شبکهٔ تبلیغاتی، سرویس تحلیل آماری، سرویس گزارش خرابی یا سکوی ردیابی استفاده نمی‌کند.

خریدها

خرید GravesMail از طریق Microsoft Store را Microsoft پردازش می‌کند. GravesWare, LLC جزئیات کارت پرداخت را دریافت یا ذخیره نمی‌کند.

باز برای بازرسی

پایگاه داده، پرونده‌های پشتیبان و گزارش حذف شما همگی پرونده‌های محلی معمولی و در اختیار خودتان هستند — روی دیسک شما، در نمایهٔ کاربری‌تان، جایی که می‌توانید آن‌ها را ببینید، کپی کنید یا حذف کنید. هیچ چیز در سرویسی که نتوانید بازرسی‌اش کنید پنهان نیست و هیچ چیز با جایی تماس نمی‌گیرد.

حریم خصوصی کودکان

GravesMail آگاهانه هیچ اطلاعاتی از هیچ‌کس گردآوری نمی‌کند، از جمله از کودکان زیر ۱۳ سال. چون GravesMail به‌طور پیش‌فرض اطلاعات شخصی گردآوری نمی‌کند، خطر ویژه‌ای برای حریم خصوصی کودکان ندارد.

تغییرات این سیاست

اگر این سیاست حریم خصوصی به‌روز شود، تغییرات با تاریخ تازهٔ «آخرین به‌روزرسانی» در همین صفحه منتشر می‌شود. چون GravesMail نشانی ایمیل یا اطلاعات تماس گردآوری نمی‌کند، نمی‌توانم تغییرات را مستقیم به شما خبر بدهم. توصیه می‌کنم هر از گاهی به این صفحه سر بزنید.

تماس

جمع‌بندی