In het kort

GravesMail is een e-mailclient waarbij lokale opslag voorop staat. Uw e-mail wordt naar uw computer gedownload en blijft daar. Ik beheer geen servers die uw e-mail opslaan, lezen of verwerken. Ik verzamel geen persoonlijke informatie. Ik toon geen advertenties. Ik verkoop geen gegevens. Niets over uw e-mail verlaat uw computer; de mailserver wordt alleen gebruikt om uw e-mail op te halen en te verzenden.

Welke gegevens GravesMail opslaat

Alle gegevens worden lokaal opgeslagen in uw gebruikersprofiel – onder %LocalAppData%\GravesMail in Windows, of de overeenkomstige locatie op macOS, Linux, iOS en Android. Dit wordt bewaard, en waarom:

De versleutelde database. Uw e-mail en bijna al uw ondersteunende gegevens staan in één opslag waarvan de hele database is versleuteld: elk bericht, elk onderwerp, elke afzender en elke bijlage, plus uw contactpersonen, agenda, handtekeningen, Snelle regels en geavanceerde regels, lijsten met veilige en geblokkeerde afzenders, afzenderreputatie, training van het spamfilter, afgestelde drempels en beveiligingsinstellingen. Dit waren voorheen losse bestanden naast de database; ze zijn erin samengevoegd, wat hun bescherming heeft versterkt. Ze zijn niet van uw apparaat af verplaatst – er is niets veranderd aan waar uw gegevens staan, alleen aan hoe ze lokaal worden opgeslagen.

Bestanden die buiten de database blijven, omdat ze nodig zijn voordat de database kan worden geopend of omdat ze het verlies ervan moeten overleven:

• De databasesleutel – bewaard in de eigen beveiligde sleutelopslag van uw apparaat (DPAPI in Windows, Keychain in macOS/iOS, Keystore in Android, de geheimenopslag van het systeem in Linux). De sleutel kan niet in de database staan die hij ontgrendelt.
• Opgeslagen aanmeldingsgegevens van accounts – uw IMAP/SMTP-wachtwoorden en OAuth2-tokens, versleuteld met uw apparaatsleutel en bewust gescheiden gehouden van de e-maildatabase.
• bmk.wrap – de ingepakte kopieën van uw hoofdsleutel voor back-ups. Het bestand staat bij uw back-ups en niet in de database, juist omdat een back-up bestaat om het verlies van die database te overleven.
• Uw PGP-sleutelring – bewaard in de standaardindeling op schijf, met de privésleutelring onder een eigen inpaksleutel.
• backups/ – versleutelde back-upbestanden (.gravesmail-backup), AES-256 onder de hoofdsleutel voor back-ups
• Back-upcatalogus – een lokale index met metagegevens om direct door de inhoud van back-ups te bladeren (wordt nooit verzonden)
• Verwijderlogboek – inhoud van verwijderde berichten om ze te kunnen terugzetten (instelbare bewaartermijn: 30–365 dagen)

Bestanden die met de app worden meegeleverd – het basismodel voor spam, de basisset YARA-regels en de geografische opzoektabel – zijn onderdelen van het programma, niet uw gegevens. Ze worden vervangen wanneer u bijwerkt en zijn uitgesloten van back-ups.

Er worden geen gegevens buiten deze map opgeslagen. Er worden geen gegevens op externe servers opgeslagen.

Welke gegevens GravesMail nooit verzamelt

• E-mailadressen – van uzelf of van wie u e-mailt
• E-mailinhoud – geen onderwerpregels, berichtteksten of bijlagen
• Gegevens over afzenders of ontvangers
• Wachtwoorden of aanmeldingsgegevens
• Lijsten met contactpersonen
• Agenda-afspraken
• IP-adressen
• Uw naam, locatie of enige andere identificerende informatie
• Gebruikspatronen – ik houd niet bij hoe vaak u de app opent, welke e-mails u leest of hoe u met berichten omgaat
• Crashrapporten of diagnostische gegevens – er wordt nooit iets automatisch verzonden
• Installatie- of registratiegegevens – er hoeft geen account te worden aangemaakt

Privacy van back-ups

GravesMail maakt versleutelde back-ups van uw hele lokale profiel:

• Geplande en handmatige apparaatlokale back-ups (volledig en differentieel) worden met AES-256 versleuteld onder een hoofdsleutel voor back-ups die GravesMail genereert en beheert. De sleutel wordt nooit onversleuteld opgeslagen – alleen ingepakte kopieën worden bewaard, ingepakt zowel onder de beveiligde sleutelopslag van uw apparaat (zodat routineback-ups geen wachtwoord nodig hebben) als onder een herstelwachtwoordzin die u één keer instelt. De herstelwachtwoordzin is verplicht, niet optioneel, en maakt het mogelijk deze back-ups te herstellen op een nieuw of vervangend apparaat. Ik ontvang de sleutel en de wachtwoordzin nooit, en ik kan geen van beide voor u achterhalen.
• Draagbare wachtwoordback-up (Bestand → Draagbare wachtwoordback-up…) wordt verzegeld met een wachtwoord dat u kiest, met PBKDF2-SHA256-sleutelversterking met 600.000 iteraties. Als u dat wachtwoord kwijtraakt, kan de back-up niet worden geopend – dat is zo ontworpen – door niemand, ook niet door mij.
• Metagegevenscatalogi van back-ups worden lokaal opgeslagen en nooit verzonden. Daarmee kunt u direct door de inhoud van back-ups bladeren zonder de volledige back-up te ontsleutelen.
• Momentopnamen vóór bewerking worden als vangnet gemaakt vóór destructieve bewerkingen (scans met Snelle regels, opschonen, prullenbak legen).

Alle back-upbestanden blijven op uw computer, tenzij u ze zelf naar een andere plek kopieert. Een Draagbare wachtwoordback-up bevat uw volledige profiel – inclusief opgeslagen accountwachtwoorden en de sleutels die uw e-mail ontgrendelen – en wordt alleen beschermd door het wachtwoord dat u hebt gekozen; bewaar het bestand dus op een veilige plek.

Privacy van Snelle regels

Gegevens van Snelle regels worden opgeslagen in uw lokale versleutelde database. Berichten die uw regels apart zetten in de Spamval, hun lijsten met waarden en de regeldefinities zelf verlaten uw computer nooit. Wanneer u een regel verwijdert of opruimt wat de regel heeft onderschept, worden de gegevens definitief uit uw lokale database verwijderd.

Hoe uw aanmeldingsgegevens worden opgeslagen

GravesMail bewaart al uw e-mail en persoonlijke gegevens op elk apparaat versleuteld in rust. De versleutelingssleutel wordt bewaard in de eigen beveiligde sleutelopslag van uw apparaat – DPAPI in Windows, Keychain in macOS en iOS, Keystore in Android en de geheimenopslag van het systeem in Linux – zodat de gegevens alleen op uw apparaat leesbaar zijn. Als u uw e-mailaanmeldingsgegevens opslaat, worden ze op dezelfde manier versleuteld en kunnen ze alleen worden ontsleuteld op dezelfde computer, door dezelfde gebruiker die ze heeft opgeslagen.

GravesMail verzendt uw aanmeldingsgegevens nooit naar een andere server dan de mailserver van uw e-mailprovider, met als doel u aan te melden.

Voor Microsoft/Outlook-accounts die OAuth2-verificatie gebruiken, gebruikt GravesMail de standaardprocedure van het Microsoft Identity Platform. Verificatietokens worden lokaal opgeslagen met dezelfde versleuteling. GravesMail heeft geen toegang tot het wachtwoord van uw Microsoft-account.

Geolocatie is lokaal

GravesMail zoekt de geografische herkomst van inkomende e-mail op als een van de spamsignalen. Die opzoeking gebeurt volledig op uw apparaat, aan de hand van een in de app ingebouwde tabel van landen en IP-bereiken. Er zijn geen DNS-query’s, geen externe API-aanroepen en geen opzoekdienst van derden. De metagegevens van uw berichten worden nooit ergens heen gestuurd om de locatie te bepalen.

IP-geolocatiegegevens van DB-IP (db-ip.com), gelicentieerd onder CC BY 4.0.

Externe afbeeldingen blokkeren en bescherming tegen trackingpixels

Externe afbeeldingen worden standaard geblokkeerd om te voorkomen dat afzenders uw IP-adres te weten komen, of dat u hun e-mail hebt geopend, wanneer en op welk apparaat.

Trackingpixels (onzichtbare afbeeldingen van 1×1 die uitsluitend dienen voor tracking via leesbevestigingen) worden afzonderlijk gedetecteerd en verwijderd. Dit zijn afzonderlijke instellingen – u kunt afbeeldingen laden zonder trackers te laden.

End-to-end-versleuteling (OpenPGP)

GravesMail ondersteunt standaard OpenPGP voor end-to-end versleutelde en ondertekende e-mail. Alles gebeurt op uw apparaat: sleutels worden lokaal gegenereerd, uw geheime sleutel verlaat uw computer nooit, en versleutelen en ontsleutelen worden door de app uitgevoerd. Er is geen sleutelescrow, geen upload naar een sleutelserver en geen dienst van mij in het pad – ik heb geen kopie van uw sleutels en kan uw versleutelde e-mail niet lezen.

Wat PGP verbergt: de berichttekst en de bijlagen.

Wat PGP niet verbergt: de onderwerpregel, de velden Aan/Van/Cc en wanneer het bericht is verzonden. Die gaan onversleuteld over de lijn en blijven zichtbaar voor de e-mailinfrastructuur, waaronder uw provider. Dit is een beperking van PGP/MIME zelf, die geldt voor elke client die het implementeert, ook Proton – niet iets wat GravesMail kan verhelpen, en niet iets waarover ik een andere indruk zal wekken.

PGP beschermt e-mail onderweg – tegen onderschepping en tegen uw e-mailprovider. Het is geen antiforensisch hulpmiddel. Zodra een bericht is ontsleuteld, wordt het opgeslagen in de lokale versleutelde database van GravesMail, zodat u het offline kunt doorzoeken en lezen. Dat betekent dat het op schijf wordt beschermd door de versleuteling van uw apparaat en niet door PGP.

Als u uw geheime sleutel kwijtraakt, is e-mail die ermee is versleuteld voorgoed onherstelbaar. Ik kan de sleutel niet voor u achterhalen – er is geen escrowkopie, en dat is dezelfde ontwerpkeuze die ervoor zorgt dat ook niemand anders uw e-mail kan lezen.

Met wachtwoord beveiligde e-mail

Wanneer u een bericht verzendt met Met wachtwoord beveiligen (geen sleutel nodig), worden de berichttekst en elke bijlage op uw apparaat versleuteld tot een standaard AES-256-ZIP-bestand voordat het bericht vertrekt. Het verzegelen gebeurt lokaal – er wordt daarvoor niets naar mij of naar een dienst geüpload, en er zit geen server in het pad.

Het wachtwoord is alleen van u. GravesMail toont het u één keer, e-mailt het nooit, slaat het nooit op en verzendt het nooit. Ik heb er geen kopie van en kan op geen enkele manier openen wat u hebt verzonden. U deelt het met uw ontvanger via een ander kanaal – telefonisch, per sms of via een versleutelde chat.

De bescherming is het wachtwoord en niets anders. Er is geen vervaldatum en geen intrekking op afstand, omdat voor beide een server nodig zou zijn die ik bewust niet beheer. Zoals bij elke e-mail gaan het onderwerp, de velden Aan/Van en het tijdstip van het bericht nog steeds onversleuteld over de lijn.

Nog één beperking, ronduit gezegd omdat u die van mij hoort te horen in plaats van haar zelf te ontdekken: de ZIP-indeling versleutelt de inhoud van bestanden, niet de structuur van het archief. Wie het bericht onderschept, kan nog steeds zien hoeveel bestanden erin zitten en wat ongeveer hun grootte en tijdstempels zijn – maar niet hun namen, die door neutrale tijdelijke namen worden vervangen, en niet hun inhoud. Als die metagegevens op zichzelf iemand iets zouden vertellen dat u privé moet houden, is deze functie niet het juiste middel voor dat bericht.

Builds voor vijf platforms

• Windows – de build in de Microsoft Store is ondertekend door Microsoft
• Linux – binnenkort beschikbaar
• macOS – binnenkort beschikbaar
• iOS – binnenkort beschikbaar
• Android – binnenkort beschikbaar

Alle vijf platforms hebben identieke privacykenmerken. Geen enkel platform stuurt gegevens naar huis of gedraagt zich anders als het om privacy gaat. Eén mogelijkheid verschilt werkelijk per platform, en dat is een beperking van de detectie en niet van de privacy: de Beschermingslaag Systeemantivirus gebruikt in Windows uw geïnstalleerde antivirus en is niet beschikbaar op macOS, Linux of mobiel, waar de laag “niet beschikbaar” meldt in plaats van een scan te suggereren die nooit is uitgevoerd.

Diensten van derden

GravesMail maakt alleen verbinding met uw e-mailprovider (via versleutelde TLS/SSL-verbindingen) en, voor Microsoft-accounts, met het Microsoft Identity Platform voor OAuth2-verificatie. GravesMail gebruikt geen advertentienetwerken, analysediensten, diensten voor crashrapportage of trackingplatforms.

Aankopen

Aankopen van GravesMail via de Microsoft Store worden verwerkt door Microsoft. GravesWare, LLC ontvangt of bewaart geen gegevens van betaalkaarten.

Open voor inspectie

Uw database, back-upbestanden en verwijderlogboek zijn allemaal gewone lokale bestanden waarover u zelf de controle hebt – op uw schijf, in uw gebruikersprofiel, waar u ze kunt zien, kopiëren of verwijderen. Er is niets verborgen in een dienst die u niet kunt inspecteren, en niets belt naar huis.

Privacy van kinderen

GravesMail verzamelt niet bewust informatie van wie dan ook, ook niet van kinderen jonger dan 13 jaar. Omdat GravesMail standaard geen persoonlijke informatie verzamelt, levert het geen specifieke risico’s op voor de privacy van kinderen.

Wijzigingen in dit beleid

Als dit privacybeleid wordt bijgewerkt, worden de wijzigingen op deze pagina geplaatst met een nieuwe datum bij “Laatst bijgewerkt”. Omdat GravesMail geen e-mailadressen of contactgegevens verzamelt, kan ik u niet rechtstreeks van wijzigingen op de hoogte brengen. Ik raad u aan deze pagina regelmatig te bekijken.

Contact

Samenvatting