요약

GravesMail은 로컬 우선 이메일 클라이언트입니다. 이메일은 사용자의 컴퓨터로 다운로드되어 그곳에 머뭅니다. 저는 사용자의 이메일을 저장하거나, 읽거나, 처리하는 서버를 운영하지 않습니다. 저는 개인 정보를 수집하지 않습니다. 광고를 표시하지 않습니다. 데이터를 판매하지 않습니다. 사용자의 메일에 관한 어떤 정보도 사용자의 컴퓨터를 떠나지 않으며, 메일 서버는 사용자의 메일을 가져오고 보낼 때만 사용합니다.

GravesMail이 저장하는 데이터

모든 데이터는 사용자 프로필에 로컬로 저장됩니다. Windows에서는 %LocalAppData%\GravesMail 아래이며, macOS, Linux, iOS, Android에서는 그에 해당하는 플랫폼별 위치입니다. 무엇을 왜 보관하는지는 다음과 같습니다.

암호화된 데이터베이스. 메일과 거의 모든 부속 데이터는 데이터베이스 전체가 암호화된 하나의 저장소에 들어 있습니다. 모든 메시지, 제목, 보낸 사람, 첨부 파일은 물론 연락처, 달력, 서명, 빠른 규칙과 고급 규칙, 안전 목록과 차단 목록, 보낸 사람 평판, 스팸 필터 학습 데이터, 조정한 임계값, 보안 설정까지 포함합니다. 이전에는 이 데이터가 데이터베이스 옆에 낱개 파일로 있었으나 데이터베이스 안으로 통합되었고, 그로써 보호가 강화되었습니다. 데이터가 기기 밖으로 옮겨진 것은 아닙니다. 데이터가 있는 위치는 전혀 바뀌지 않았고, 로컬에 저장되는 방식만 바뀌었습니다.

데이터베이스 밖에 남는 파일. 데이터베이스를 열기 전에 필요하거나 데이터베이스를 잃어도 남아 있어야 하기 때문입니다.

• 데이터베이스 키 — 기기 자체의 보안 키 저장소에 보관됩니다(Windows에서는 DPAPI, macOS/iOS에서는 Keychain, Android에서는 Keystore, Linux에서는 시스템 비밀 저장소). 자신이 여는 데이터베이스 안에 들어 있을 수는 없습니다.
• 저장된 계정 자격 증명 — IMAP/SMTP 비밀번호와 OAuth2 토큰입니다. 기기 키로 암호화되며 메일 데이터베이스와 의도적으로 분리해 보관합니다.
• bmk.wrap — 백업 마스터 키의 래핑된 사본입니다. 데이터베이스가 아니라 백업과 함께 있습니다. 백업은 바로 그 데이터베이스를 잃어도 남기 위해 존재하기 때문입니다.
• PGP 키링 — 표준 디스크 형식으로 보관되며, 비밀 키링은 자체 래핑 키로 보호됩니다.
• backups/ — 암호화된 백업 파일(.gravesmail-backup). 백업 마스터 키로 AES-256 암호화됩니다
• 백업 카탈로그 — 백업 내용을 즉시 살펴보기 위한 로컬 메타데이터 색인입니다(전송되지 않습니다)
• 삭제 로그 — 복구를 위한 삭제된 메시지의 내용입니다(보관 기간 변경 가능: 30~365일)

앱과 함께 제공되는 파일, 즉 기본 스팸 모델, 기본 YARA 규칙, 지리 조회 테이블은 프로그램 자산이지 사용자의 데이터가 아닙니다. 업데이트할 때 교체되며 백업에서 제외됩니다.

이 디렉터리 밖에는 어떤 데이터도 저장되지 않습니다. 원격 서버에는 어떤 데이터도 저장되지 않습니다.

GravesMail이 절대 수집하지 않는 데이터

• 이메일 주소 — 사용자의 주소도, 사용자에게 이메일을 보내는 사람의 주소도 수집하지 않습니다
• 이메일 내용 — 제목, 메시지 본문, 첨부 파일을 수집하지 않습니다
• 보낸 사람 또는 받는 사람 정보
• 비밀번호 또는 자격 증명
• 연락처 목록
• 달력 일정
• IP 주소
• 이름, 위치 또는 그 밖의 식별 정보
• 사용 패턴 — 저는 앱을 얼마나 자주 여는지, 어떤 이메일을 읽는지, 메시지를 어떻게 다루는지 추적하지 않습니다
• 충돌 보고서 또는 진단 정보 — 자동으로 전송되는 것은 아무것도 없습니다
• 설치 또는 등록 데이터 — 만들어야 할 계정이 없습니다

백업의 개인정보 보호

GravesMail은 로컬 프로필 전체의 암호화된 백업을 만듭니다.

• 예약 및 수동 기기 로컬 백업(전체 및 차등)은 GravesMail이 생성하고 관리하는 백업 마스터 키로 AES-256 암호화됩니다. 키는 평문으로 저장되지 않습니다. 래핑된 사본만 보관되며, 기기의 보안 키 저장소(그래서 일상적인 백업에는 비밀번호가 필요 없습니다)와 사용자가 한 번 설정하는 복구 암호문 양쪽으로 래핑됩니다. 복구 암호문은 선택 사항이 아니라 필수이며, 이 백업을 새 기기나 교체한 기기에서 복원할 수 있게 해 주는 것이 바로 이것입니다. 저는 키도 암호문도 받지 않으며, 어느 쪽도 대신 복구해 드릴 수 없습니다.
• 휴대용 암호 백업(파일 → 휴대용 암호 백업…)은 사용자가 정한 비밀번호로 봉인되며 PBKDF2-SHA256 키 스트레칭 600,000회 반복을 사용합니다. 그 비밀번호를 잃어버리면 백업을 열 수 없습니다. 의도된 설계이며, 저를 포함해 누구도 열 수 없습니다.
• 백업 메타데이터 카탈로그는 로컬에 저장되며 전송되지 않습니다. 백업 전체를 해독하지 않고도 백업 내용을 즉시 살펴볼 수 있게 해 줍니다.
• 작업 전 스냅샷은 되돌릴 수 없는 작업(빠른 규칙 검사, 제거, 휴지통 지우기) 전에 안전망으로 만들어집니다.

모든 백업 파일은 사용자가 직접 다른 곳으로 복사하지 않는 한 사용자의 컴퓨터에 머뭅니다. 휴대용 암호 백업에는 저장된 계정 비밀번호와 메일을 여는 키를 포함한 프로필 전체가 들어 있으며, 이를 보호하는 것은 사용자가 정한 비밀번호뿐입니다. 그러므로 파일을 안전한 곳에 보관하세요.

빠른 규칙의 개인정보 보호

빠른 규칙 데이터는 로컬의 암호화된 데이터베이스에 저장됩니다. 규칙이 스팸 트랩에 따로 둔 메시지, 규칙의 일치 목록, 규칙 정의 자체는 사용자의 컴퓨터를 떠나지 않습니다. 규칙을 삭제하거나 규칙이 잡은 것을 제거하면 그 데이터는 로컬 데이터베이스에서 영구적으로 제거됩니다.

자격 증명이 저장되는 방식

GravesMail은 모든 기기에서 사용자의 메일과 개인 데이터 전부를 저장 시 암호화된 상태로 보관합니다. 암호화 키는 기기 자체의 보안 키 저장소(Windows에서는 DPAPI, macOS와 iOS에서는 Keychain, Android에서는 Keystore, Linux에서는 시스템 비밀 저장소)에 보관되므로 데이터는 사용자의 기기에서만 읽을 수 있습니다. 이메일 자격 증명을 저장하면 같은 방식으로 암호화되며, 같은 컴퓨터에서 그것을 저장한 같은 사용자만 해독할 수 있습니다.

GravesMail은 로그인을 위해 이메일 제공자의 메일 서버로 보내는 경우 외에는 어떤 서버에도 사용자의 자격 증명을 전송하지 않습니다.

OAuth2 인증을 사용하는 Microsoft/Outlook 계정의 경우 GravesMail은 표준 Microsoft Identity Platform 흐름을 사용합니다. 인증 토큰은 같은 암호화를 사용하여 로컬에 저장됩니다. GravesMail은 사용자의 Microsoft 계정 비밀번호에 접근할 수 없습니다.

지리적 위치 조회는 로컬에서 이루어집니다

GravesMail은 스팸 신호의 하나로 받은 메일의 지리적 출처를 조회합니다. 이 조회는 앱에 내장된 국가별 IP 범위 테이블을 대상으로 전적으로 사용자의 기기에서 이루어집니다. DNS 쿼리도, 외부 API 호출도, 제3자 조회 서비스도 없습니다. 지리적 위치를 알아내려고 메시지 메타데이터를 어딘가로 보내는 일은 없습니다.

IP 위치 정보 데이터는 DB-IP(db-ip.com)가 제공하며, CC BY 4.0에 따라 사용이 허가되었습니다.

외부 이미지 차단 및 추적 픽셀 차단

외부 이미지는 기본적으로 차단됩니다. 보낸 사람이 사용자의 IP 주소, 이메일을 열었다는 사실, 연 시각, 사용한 기기를 알아내지 못하게 하기 위해서입니다.

추적 픽셀(오로지 읽음 확인 추적에만 쓰이는 보이지 않는 1×1 이미지)은 별도로 탐지하여 제거합니다. 두 설정은 서로 독립적이어서, 추적기를 불러오지 않고 이미지만 불러올 수 있습니다.

종단 간 암호화(OpenPGP)

GravesMail은 종단 간 암호화 및 서명 메일을 위한 표준 OpenPGP를 지원합니다. 모든 일이 사용자의 기기에서 일어납니다. 키는 로컬에서 생성되고, 비밀 키는 사용자의 컴퓨터를 떠나지 않으며, 암호화와 해독은 앱이 수행합니다. 키 위탁도, 키 서버 업로드도 없고, 그 경로에 제 서비스는 하나도 없습니다. 저는 사용자의 키 사본을 갖고 있지 않으며 사용자의 암호화된 메일을 읽을 수 없습니다.

PGP가 숨기는 것: 메시지 본문과 첨부 파일.

PGP가 숨기지 않는 것: 제목, 받는 사람/보낸 사람/참조, 메시지를 보낸 시각. 이 정보는 평문으로 전송되며, 사용자의 제공자를 포함한 메일 인프라에 계속 보입니다. 이것은 PGP/MIME 자체의 한계이며, Proton을 포함해 이를 구현하는 모든 클라이언트가 똑같이 갖는 한계입니다. GravesMail이 고칠 수 있는 것이 아니며, 그렇지 않은 것처럼 넌지시 말하지도 않겠습니다.

PGP는 전송 중인 메일을 가로채기와 메일 제공자로부터 보호합니다. 포렌식 방지 도구는 아닙니다. 해독된 메시지는 오프라인에서 검색하고 읽을 수 있도록 GravesMail의 로컬 암호화 데이터베이스에 캐시됩니다. 즉 디스크에서는 PGP가 아니라 기기 암호화로 보호됩니다.

비밀 키를 잃어버리면 그 키로 암호화된 메일은 영구적으로 복구할 수 없습니다. 제가 대신 복구해 드릴 수 없습니다. 위탁 사본이 없기 때문이며, 다른 누구도 사용자의 메일을 읽을 수 없는 것도 바로 이 설계 덕분입니다.

비밀번호로 보호된 이메일

비밀번호 보호(키 필요 없음)로 메시지를 보내면, 메시지가 나가기 전에 본문과 모든 첨부 파일이 사용자의 기기에서 표준 AES-256 ZIP으로 암호화됩니다. 봉인은 로컬에서 이루어집니다. 이를 위해 저에게나 어떤 서비스에도 아무것도 업로드되지 않으며, 그 경로에 서버는 없습니다.

비밀번호는 오직 사용자의 것입니다. GravesMail은 비밀번호를 한 번 보여 줄 뿐, 이메일로 보내지 않고, 저장하지 않으며, 전송하지 않습니다. 저에게는 그 사본이 없고 사용자가 보낸 것을 열 방법도 없습니다. 비밀번호는 전화, 문자 또는 암호화된 채팅 같은 별도의 경로로 받는 사람에게 전달합니다.

보호 수단은 비밀번호이며 그 밖에는 없습니다. 만료도 원격 취소도 없습니다. 둘 다 제가 의도적으로 운영하지 않는 서버가 있어야 하기 때문입니다. 여느 이메일과 마찬가지로 메시지의 제목, 받는 사람/보낸 사람, 보낸 시각은 평문으로 전송됩니다.

한계가 하나 더 있습니다. 사용자가 나중에 알아차리기보다 저에게서 직접 듣는 편이 옳으므로 분명히 밝힙니다. ZIP 형식은 파일의 내용을 암호화하며 압축 파일의 구조는 암호화하지 않습니다. 메시지를 가로챈 사람은 안에 파일이 몇 개 있는지와 대략적인 크기, 타임스탬프를 볼 수 있습니다. 다만 중립적인 자리 표시자로 바뀌는 이름과 파일의 내용은 볼 수 없습니다. 그 메타데이터만으로도 숨겨야 할 무언가가 드러난다면, 이 기능은 그 메시지에 맞는 도구가 아닙니다.

다섯 가지 플랫폼 빌드

• Windows — Microsoft Store 빌드는 Microsoft가 서명합니다
• Linux — 출시 예정
• macOS — 출시 예정
• iOS — 출시 예정
• Android — 출시 예정

다섯 플랫폼 모두 개인정보 보호 특성이 동일합니다. 어떤 플랫폼도 데이터를 본사로 보내거나 개인정보와 관련하여 다르게 동작하지 않습니다. 플랫폼에 따라 실제로 다른 기능이 하나 있는데, 이는 개인정보의 한계가 아니라 탐지의 한계입니다. 시스템 백신 보호 계층은 Windows에서는 설치된 백신을 사용하지만 macOS, Linux, 모바일에서는 사용할 수 없으며, 이 경우 실행하지도 않은 검사를 한 것처럼 보이게 하는 대신 “사용 불가”라고 보고합니다.

제3자 서비스

GravesMail은 사용자의 이메일 제공자(암호화된 TLS/SSL 연결을 통해)와, Microsoft 계정의 경우 OAuth2 인증을 위한 Microsoft Identity Platform에만 연결합니다. GravesMail은 어떤 광고 네트워크, 분석 서비스, 충돌 보고 서비스, 추적 플랫폼도 사용하지 않습니다.

구매

Microsoft Store를 통한 GravesMail 구매는 Microsoft가 처리합니다. GravesWare, LLC는 결제 카드 정보를 받거나 저장하지 않습니다.

직접 확인할 수 있습니다

데이터베이스, 백업 파일, 삭제 로그는 모두 사용자가 관리하는 평범한 로컬 파일입니다. 사용자의 디스크, 사용자 프로필 안에 있으며, 직접 보고, 복사하고, 삭제할 수 있습니다. 사용자가 들여다볼 수 없는 서비스에 숨겨진 것은 없으며, 몰래 외부로 연락하는 것도 없습니다.

아동의 개인정보 보호

GravesMail은 13세 미만 아동을 포함하여 누구에게서도 고의로 정보를 수집하지 않습니다. GravesMail은 기본적으로 개인 정보를 수집하지 않으므로 아동의 개인정보에 특별한 위험을 초래하지 않습니다.

이 정책의 변경

이 개인정보 보호정책이 업데이트되면 변경 내용은 새 “최종 업데이트” 날짜와 함께 이 페이지에 게시됩니다. GravesMail은 이메일 주소나 연락처 정보를 수집하지 않으므로 변경 사항을 직접 알려 드릴 수 없습니다. 이 페이지를 주기적으로 확인하시기를 권합니다.

문의

요약