Versi singkat

GravesMail adalah klien email yang mengutamakan penyimpanan lokal. Email Anda diunduh ke komputer Anda dan tetap di sana. Saya tidak mengoperasikan server yang menyimpan, membaca, atau memproses email Anda. Saya tidak mengumpulkan informasi pribadi. Saya tidak menampilkan iklan. Saya tidak menjual data. Tidak ada apa pun tentang email Anda yang keluar dari komputer Anda; server email hanya digunakan untuk mengambil dan mengirim email Anda.

Data yang disimpan GravesMail

Semua data disimpan secara lokal di profil pengguna Anda — di %LocalAppData%\GravesMail pada Windows, atau lokasi yang setara pada macOS, Linux, iOS, dan Android. Berikut ini apa yang disimpan dan alasannya:

Basis data terenkripsi. Email Anda dan hampir semua data pendukung Anda berada dalam satu penyimpanan yang seluruh basis datanya terenkripsi: setiap pesan, subjek, pengirim, dan lampiran, ditambah kontak, kalender, tanda tangan, Aturan cepat dan aturan lanjutan, daftar aman dan daftar blokir, reputasi pengirim, pelatihan filter spam, ambang yang telah disetel, dan pengaturan keamanan Anda. Sebelumnya semua ini berupa berkas lepas di samping basis data; semuanya telah disatukan ke dalamnya, dan itu memperkuat perlindungannya. Data itu tidak berpindah dari perangkat Anda — tidak ada yang berubah mengenai tempat data Anda berada, hanya cara penyimpanannya secara lokal.

Berkas yang tetap berada di luar basis data, karena diperlukan sebelum basis data dapat dibuka atau harus tetap ada bila basis data hilang:

• Kunci basis data — disimpan di penyimpanan kunci aman milik perangkat Anda sendiri (DPAPI di Windows, Keychain di macOS/iOS, Keystore di Android, penyimpanan rahasia sistem di Linux). Kunci ini tidak dapat berada di dalam basis data yang dibukanya.
• Kredensial akun yang tersimpan — kata sandi IMAP/SMTP dan token OAuth2 Anda, dienkripsi dengan kunci perangkat Anda dan sengaja dipisahkan dari basis data email.
• bmk.wrap — salinan terbungkus dari Kunci Utama Cadangan Anda. Berkas ini berada bersama cadangan Anda, bukan di dalam basis data, justru karena cadangan ada untuk tetap bertahan bila basis data itu hilang.
• Keyring PGP Anda — disimpan dalam format standarnya di disk, dengan keyring privat di bawah kunci pembungkusnya sendiri.
• backups/ — berkas cadangan terenkripsi (.gravesmail-backup), AES-256 dengan Kunci Utama Cadangan
• Katalog cadangan — indeks metadata lokal untuk menelusuri isi cadangan seketika (tidak pernah dikirimkan)
• Log penghapusan — isi pesan yang dihapus, untuk pemulihan (retensi dapat dikonfigurasi: 30–365 hari)

Berkas yang disertakan bersama aplikasi — model spam dasar, aturan YARA dasar, dan tabel pencarian geografis — adalah aset program, bukan data Anda. Berkas itu diganti saat Anda memperbarui dan dikecualikan dari cadangan.

Tidak ada data yang disimpan di luar direktori ini. Tidak ada data yang disimpan di server jarak jauh.

Data yang tidak pernah dikumpulkan GravesMail

• Alamat email — milik Anda atau siapa pun yang mengirimi Anda email
• Isi email — tidak baris subjek, tidak isi pesan, tidak lampiran
• Informasi pengirim atau penerima
• Kata sandi atau kredensial
• Daftar kontak
• Acara kalender
• Alamat IP
• Nama Anda, lokasi Anda, atau informasi pengenal apa pun
• Pola penggunaan — saya tidak melacak seberapa sering Anda membuka aplikasi, email mana yang Anda baca, atau cara Anda berinteraksi dengan pesan
• Laporan kerusakan atau diagnostik — tidak ada yang pernah dikirim secara otomatis
• Data pemasangan atau pendaftaran — tidak ada akun yang perlu dibuat

Privasi cadangan

GravesMail membuat cadangan terenkripsi dari seluruh profil lokal Anda:

• Cadangan lokal perangkat yang terjadwal dan manual (penuh dan diferensial) dienkripsi AES-256 dengan Kunci Utama Cadangan yang dibuat dan dikelola GravesMail. Kunci itu tidak pernah disimpan dalam bentuk terbuka — hanya salinan terbungkus yang disimpan, dibungkus baik dengan penyimpanan kunci aman perangkat Anda (sehingga cadangan rutin tidak memerlukan kata sandi) maupun dengan frasa sandi pemulihan yang Anda atur satu kali. Frasa sandi pemulihan itu wajib, bukan opsional, dan itulah yang memungkinkan cadangan ini dipulihkan di perangkat baru atau pengganti. Saya tidak pernah menerima kunci maupun frasa sandi itu, dan saya tidak dapat memulihkan satu pun dari keduanya untuk Anda.
• Cadangan portabel berkata sandi (Berkas → Cadangan portabel berkata sandi…) disegel dengan kata sandi yang Anda pilih, menggunakan perentangan kunci PBKDF2-SHA256 sebanyak 600.000 iterasi. Jika Anda kehilangan kata sandi itu, cadangan tidak dapat dibuka — memang dirancang demikian, dan tidak oleh siapa pun, termasuk saya.
• Katalog metadata cadangan disimpan secara lokal dan tidak pernah dikirimkan. Katalog ini memungkinkan penelusuran isi cadangan seketika tanpa mendekripsi cadangan seluruhnya.
• Snapshot praoperasi dibuat sebelum operasi yang merusak (pemindaian Aturan cepat, pembersihan permanen, pengosongan tong sampah) sebagai jaring pengaman.

Semua berkas cadangan tetap berada di komputer Anda kecuali Anda sendiri yang menyalinnya ke tempat lain. Cadangan portabel berkata sandi memuat seluruh profil Anda — termasuk kata sandi akun yang tersimpan dan kunci yang membuka email Anda — dan hanya dilindungi oleh kata sandi yang Anda pilih, jadi simpan berkas itu di tempat yang aman.

Privasi Aturan cepat

Data Aturan cepat disimpan di basis data lokal Anda yang terenkripsi. Pesan yang disisihkan aturan Anda ke Perangkap spam, daftar pencocokannya, dan definisi aturan itu sendiri tidak pernah meninggalkan komputer Anda. Saat Anda menghapus sebuah aturan atau membersihkan secara permanen apa yang ditangkapnya, datanya dihapus secara permanen dari basis data lokal Anda.

Cara kredensial Anda disimpan

GravesMail menjaga semua email dan data pribadi Anda terenkripsi saat tersimpan di setiap perangkat. Kunci enkripsinya disimpan di penyimpanan kunci aman milik perangkat Anda sendiri — DPAPI di Windows, Keychain di macOS dan iOS, Keystore di Android, dan penyimpanan rahasia sistem di Linux — sehingga data itu hanya dapat dibaca di perangkat Anda. Jika Anda menyimpan kredensial email, kredensial itu dienkripsi dengan cara yang sama dan hanya dapat didekripsi di komputer yang sama, oleh pengguna yang sama yang menyimpannya.

GravesMail tidak pernah mengirimkan kredensial Anda ke server mana pun selain server email penyedia email Anda, untuk keperluan masuk.

Untuk akun Microsoft/Outlook yang memakai autentikasi OAuth2, GravesMail menggunakan alur standar Microsoft Identity Platform. Token autentikasi disimpan secara lokal dengan enkripsi yang sama. GravesMail tidak memiliki akses ke kata sandi akun Microsoft Anda.

Geolokasi dilakukan secara lokal

GravesMail mencari asal geografis email masuk sebagai salah satu sinyal spamnya. Pencarian itu sepenuhnya terjadi di perangkat Anda, terhadap tabel negara-ke-rentang-IP yang tertanam di aplikasi. Tidak ada kueri DNS, tidak ada panggilan API eksternal, dan tidak ada layanan pencarian pihak ketiga. Metadata pesan Anda tidak pernah dikirim ke mana pun untuk digeolokasi.

Data geolokasi IP oleh DB-IP (db-ip.com), dilisensikan di bawah CC BY 4.0.

Pemblokiran gambar eksternal & perlindungan piksel pelacak

Gambar eksternal diblokir secara default agar pengirim tidak mengetahui alamat IP Anda, bahwa Anda membuka email mereka, kapan, dan dari perangkat apa.

Piksel pelacak (gambar 1×1 tak terlihat yang dipakai semata-mata untuk pelacakan tanda terima baca) dideteksi dan dibuang secara terpisah. Kedua kontrol ini terpisah — Anda dapat memuat gambar tanpa memuat pelacak.

Enkripsi Ujung ke Ujung (OpenPGP)

GravesMail mendukung OpenPGP standar untuk email yang dienkripsi ujung ke ujung dan ditandatangani. Semuanya terjadi di perangkat Anda: kunci dibuat secara lokal, kunci rahasia Anda tidak pernah meninggalkan mesin Anda, dan enkripsi serta dekripsi dilakukan oleh aplikasi. Tidak ada penitipan kunci, tidak ada pengunggahan ke keyserver, dan tidak ada layanan saya di jalurnya — saya tidak memiliki salinan kunci Anda dan tidak dapat membaca email terenkripsi Anda.

Yang disembunyikan PGP: isi pesan dan lampiran.

Yang tidak disembunyikan PGP: baris subjek, Kepada/Dari/Cc, dan kapan pesan dikirim. Semua itu dikirim dalam bentuk terbuka dan tetap terlihat oleh infrastruktur email, termasuk penyedia Anda. Ini batas PGP/MIME itu sendiri, yang dimiliki setiap klien yang menerapkannya, termasuk Proton — bukan sesuatu yang dapat diperbaiki GravesMail, dan bukan sesuatu yang akan saya siratkan sebaliknya.

PGP melindungi email dalam perjalanan — dari penyadapan dan dari penyedia email Anda. PGP bukan alat anti-forensik. Setelah sebuah pesan didekripsi, pesan itu disinggahkan di basis data lokal terenkripsi milik GravesMail agar Anda dapat mencari dan membacanya secara luring, yang berarti di disk pesan itu dilindungi oleh enkripsi perangkat Anda, bukan oleh PGP.

Jika Anda kehilangan kunci rahasia, email yang dienkripsi untuk kunci itu tidak dapat dipulihkan selamanya. Saya tidak dapat memulihkannya untuk Anda — tidak ada salinan titipan, dan pilihan rancangan yang sama itulah yang membuat tidak ada orang lain yang dapat membaca email Anda.

Email dilindungi kata sandi

Saat Anda mengirim pesan dengan Lindungi dengan kata sandi (tanpa kunci), isi pesan dan setiap lampiran dienkripsi di perangkat Anda menjadi ZIP AES-256 standar sebelum pesan itu berangkat. Penyegelan terjadi secara lokal — tidak ada yang diunggah kepada saya atau ke layanan apa pun untuk melakukannya, dan tidak ada server di jalurnya.

Kata sandi itu milik Anda sendiri. GravesMail menampilkannya kepada Anda satu kali, tidak pernah mengirimkannya lewat email, tidak pernah menyimpannya, dan tidak pernah mentransmisikannya. Saya tidak memiliki salinannya dan tidak punya cara membuka apa yang Anda kirim. Anda membagikannya kepada penerima lewat jalur lain — telepon, pesan teks, atau obrolan terenkripsi.

Perlindungannya adalah kata sandi itu, tidak ada yang lain. Tidak ada masa berlaku dan tidak ada pencabutan jarak jauh, karena keduanya memerlukan server yang sengaja tidak saya jalankan. Seperti email mana pun, subjek pesan, Kepada/Dari, dan waktu pengirimannya tetap dikirim dalam bentuk terbuka.

Satu batas lagi, yang saya nyatakan terus terang karena Anda semestinya mendengarnya dari saya, bukan menemukannya sendiri: format ZIP mengenkripsi isi berkas, bukan struktur arsip. Siapa pun yang menyadap pesan itu tetap dapat melihat berapa banyak berkas di dalamnya serta perkiraan ukuran dan stempel waktunya — tetapi tidak namanya, yang diganti dengan nama pengganti yang netral, dan tidak isinya. Jika metadata itu saja sudah dapat memberi tahu seseorang hal yang perlu Anda rahasiakan, fitur ini bukan alat yang tepat untuk pesan tersebut.

Lima build platform

• Windows — build Microsoft Store ditandatangani oleh Microsoft
• Linux — segera hadir
• macOS — segera hadir
• iOS — segera hadir
• Android — segera hadir

Kelima platform memiliki karakteristik privasi yang identik. Tidak ada platform yang mengirim data pulang atau berperilaku berbeda dalam hal privasi. Ada satu kemampuan yang memang berbeda antarplatform, dan itu batas deteksi, bukan batas privasi: Lapisan perlindungan AV sistem memakai antivirus yang terpasang di Windows dan tidak tersedia di macOS, Linux, atau perangkat seluler; di sana lapisan itu melaporkan “tidak tersedia”, alih-alih menyiratkan pemindaian yang tidak pernah dijalankannya.

Layanan pihak ketiga

GravesMail hanya terhubung ke penyedia email Anda (melalui koneksi TLS/SSL terenkripsi) dan, untuk akun Microsoft, ke Microsoft Identity Platform untuk autentikasi OAuth2. GravesMail tidak memakai jaringan iklan, layanan analitik, layanan pelaporan kerusakan, atau platform pelacakan apa pun.

Pembelian

Pembelian GravesMail melalui Microsoft Store diproses oleh Microsoft. GravesWare, LLC tidak menerima atau menyimpan detail kartu pembayaran.

Terbuka untuk diperiksa

Basis data, berkas cadangan, dan log penghapusan Anda semuanya berkas lokal biasa yang berada di bawah kendali Anda — di disk Anda, di profil pengguna Anda, tempat Anda dapat melihat, menyalin, atau menghapusnya. Tidak ada yang disembunyikan dalam layanan yang tidak dapat Anda periksa, dan tidak ada yang diam-diam menghubungi server.

Privasi anak-anak

GravesMail tidak dengan sengaja mengumpulkan informasi apa pun dari siapa pun, termasuk anak-anak di bawah usia 13 tahun. Karena GravesMail secara default tidak mengumpulkan informasi pribadi, GravesMail tidak menimbulkan risiko khusus bagi privasi anak-anak.

Perubahan pada kebijakan ini

Jika kebijakan privasi ini diperbarui, perubahannya akan dimuat di halaman ini dengan tanggal “Terakhir diperbarui” yang baru. Karena GravesMail tidak mengumpulkan alamat email atau informasi kontak, saya tidak dapat memberi tahu Anda secara langsung tentang perubahan. Saya menganjurkan Anda memeriksa halaman ini secara berkala.

Kontak

Ringkasan