W skrócie

GravesMail to klient poczty przechowujący dane lokalnie. Twoja poczta jest pobierana na twój komputer i tam zostaje. Nie prowadzę serwerów, które przechowują, czytają lub przetwarzają twoją pocztę. Nie zbieram danych osobowych. Nie wyświetlam reklam. Nie sprzedaję danych. Nic na temat twojej poczty nie opuszcza twojego komputera; serwer pocztowy służy tylko do pobierania i wysyłania twojej poczty.

Jakie dane przechowuje GravesMail

Wszystkie dane są przechowywane lokalnie w twoim profilu użytkownika — w %LocalAppData%\GravesMail w systemie Windows albo w odpowiedniku tej lokalizacji w systemach macOS, Linux, iOS i Android. Oto co jest przechowywane i dlaczego:

Zaszyfrowana baza danych. Twoja poczta i prawie wszystkie dane pomocnicze znajdują się w jednym magazynie zaszyfrowanym w całości: każda wiadomość, temat, nadawca i załącznik, a także kontakty, kalendarz, podpisy, szybkie reguły i reguły zaawansowane, listy bezpiecznych i zablokowanych nadawców, reputacja nadawców, wytrenowanie filtra spamu, dostrojone progi i ustawienia zabezpieczeń. Wcześniej były to luźne pliki obok bazy danych; zostały do niej włączone, co wzmocniło ich ochronę. Nie opuściły twojego urządzenia — miejsce przechowywania twoich danych nie zmieniło się w niczym, zmienił się tylko sposób ich lokalnego przechowywania.

Pliki, które pozostają poza bazą danych, bo są potrzebne, zanim da się ją otworzyć, albo muszą przetrwać jej utratę:

• Klucz bazy danych — przechowywany w bezpiecznym magazynie kluczy samego urządzenia (DPAPI w systemie Windows, Keychain w macOS/iOS, Keystore w systemie Android, systemowy magazyn sekretów w systemie Linux). Nie może znajdować się w bazie danych, którą odblokowuje.
• Zapisane dane logowania do kont — hasła IMAP/SMTP i tokeny OAuth2, zaszyfrowane kluczem urządzenia i celowo trzymane oddzielnie od bazy poczty.
• bmk.wrap — opakowane kopie twojego klucza głównego kopii. Plik leży przy kopiach zapasowych, a nie w bazie danych, właśnie dlatego, że kopia zapasowa istnieje po to, by przetrwać utratę tej bazy.
• Twój pęk kluczy PGP — przechowywany w standardowym formacie dyskowym, a pęk kluczy prywatnych jest chroniony własnym kluczem opakowującym.
• backups/ — zaszyfrowane pliki kopii zapasowych (.gravesmail-backup), AES-256 z kluczem głównym kopii
• Katalog kopii zapasowych — lokalny indeks metadanych do natychmiastowego przeglądania zawartości kopii (nigdy nieprzesyłany)
• Dziennik usunięć — treść usuniętych wiadomości na potrzeby odzyskiwania (okres przechowywania do ustawienia: 30–365 dni)

Pliki dostarczane z aplikacją — bazowy model spamu, bazowe reguły YARA i tabela wyszukiwania geograficznego — to zasoby programu, a nie twoje dane. Są zastępowane przy aktualizacji i nie wchodzą do kopii zapasowych.

Żadne dane nie są przechowywane poza tym katalogiem. Żadne dane nie są przechowywane na zdalnych serwerach.

Jakich danych GravesMail nigdy nie zbiera

• Adresy e-mail — twoje ani kogokolwiek, kto do ciebie pisze
• Treść e-maili — żadnych tematów, treści wiadomości ani załączników
• Informacje o nadawcach i odbiorcach
• Hasła i dane logowania
• Listy kontaktów
• Wydarzenia z kalendarza
• Adresy IP
• Twoje imię i nazwisko, lokalizacja ani jakiekolwiek informacje identyfikujące
• Wzorce użytkowania — nie śledzę, jak często otwierasz aplikację, które e-maile czytasz ani co robisz z wiadomościami
• Raporty o awariach i diagnostyka — nic nigdy nie jest wysyłane automatycznie
• Dane instalacji i rejestracji — nie ma żadnego konta do założenia

Prywatność kopii zapasowych

GravesMail tworzy zaszyfrowane kopie zapasowe całego twojego lokalnego profilu:

• Zaplanowane i ręczne kopie lokalne na urządzeniu (pełne i różnicowe) są szyfrowane AES-256 kluczem głównym kopii, który GravesMail sam generuje i którym sam zarządza. Klucz nigdy nie jest przechowywany w postaci jawnej — zachowywane są wyłącznie jego opakowane kopie, opakowane zarówno bezpiecznym magazynem kluczy twojego urządzenia (dzięki czemu rutynowe kopie nie wymagają hasła), jak i hasłem odzyskiwania, które ustawiasz raz. Hasło odzyskiwania jest wymagane, a nie opcjonalne, i to ono pozwala przywrócić te kopie na nowym lub wymienionym urządzeniu. Nigdy nie otrzymuję ani klucza, ani hasła i nie mogę odzyskać dla ciebie żadnego z nich.
• Przenośna kopia chroniona hasłem (Plik → Przenośna kopia chroniona hasłem…) jest zabezpieczona wybranym przez ciebie hasłem, z rozciąganiem klucza PBKDF2-SHA256 z 600 000 iteracji. Jeśli stracisz to hasło, kopii nie da się otworzyć — tak to zostało zaprojektowane — i nie otworzy jej nikt, łącznie ze mną.
• Katalogi metadanych kopii zapasowych są przechowywane lokalnie i nigdy nie są przesyłane. Pozwalają natychmiast przeglądać zawartość kopii bez odszyfrowywania jej w całości.
• Migawki przed operacją są tworzone przed operacjami niszczącymi dane (skanowanie szybkimi regułami, czyszczenie, opróżnianie kosza) jako zabezpieczenie.

Wszystkie pliki kopii zapasowych pozostają na twoim komputerze, chyba że sam skopiujesz je gdzie indziej. Przenośna kopia chroniona hasłem zawiera cały twój profil — w tym zapisane hasła do kont i klucze odblokowujące pocztę — a chroni ją wyłącznie wybrane przez ciebie hasło, więc przechowuj ten plik w bezpiecznym miejscu.

Prywatność szybkich reguł

Dane szybkich reguł są przechowywane w twojej lokalnej zaszyfrowanej bazie danych. Wiadomości odłożone przez reguły do Pułapki na spam, listy dopasowań i same definicje reguł nigdy nie opuszczają twojego komputera. Gdy usuwasz regułę albo czyścisz to, co przechwyciła, dane są trwale usuwane z lokalnej bazy danych.

Jak przechowywane są twoje dane logowania

GravesMail przechowuje całą twoją pocztę i dane osobowe w postaci zaszyfrowanej na każdym urządzeniu. Klucz szyfrowania znajduje się w bezpiecznym magazynie kluczy samego urządzenia — DPAPI w systemie Windows, Keychain w macOS i iOS, Keystore w systemie Android oraz systemowy magazyn sekretów w systemie Linux — więc dane da się odczytać tylko na twoim urządzeniu. Jeśli zapiszesz dane logowania do poczty, są one szyfrowane w ten sam sposób i można je odszyfrować tylko na tym samym komputerze, przez tego samego użytkownika, który je zapisał.

GravesMail nigdy nie przesyła twoich danych logowania do żadnego serwera innego niż serwer poczty twojego dostawcy, i to wyłącznie w celu zalogowania.

W przypadku kont Microsoft/Outlook korzystających z uwierzytelniania OAuth2 GravesMail używa standardowego procesu Microsoft Identity Platform. Tokeny uwierzytelniania są przechowywane lokalnie, z tym samym szyfrowaniem. GravesMail nie ma dostępu do hasła twojego konta Microsoft.

Geolokalizacja jest lokalna

GravesMail sprawdza geograficzne pochodzenie poczty przychodzącej jako jeden z sygnałów spamu. Sprawdzenie odbywa się w całości na twoim urządzeniu, na podstawie wbudowanej w aplikację tabeli przypisującej zakresy adresów IP do krajów. Nie ma zapytań DNS, wywołań zewnętrznych API ani zewnętrznej usługi wyszukiwania. Metadane twoich wiadomości nigdy nie są nigdzie wysyłane w celu geolokalizacji.

Dane geolokalizacji IP: DB-IP (db-ip.com), na licencji CC BY 4.0.

Blokowanie obrazów zewnętrznych i ochrona przed pikselami śledzącymi

Obrazy zewnętrzne są domyślnie blokowane, żeby nadawcy nie mogli poznać twojego adresu IP ani dowiedzieć się, że otworzyłeś ich e-mail, kiedy to zrobiłeś i na jakim urządzeniu.

Piksele śledzące (niewidoczne obrazy 1×1 służące wyłącznie do śledzenia przez potwierdzenia przeczytania) są wykrywane i usuwane osobno. To niezależne ustawienia — możesz wczytać obrazy bez wczytywania trackerów.

Szyfrowanie end-to-end (OpenPGP)

GravesMail obsługuje standardowy OpenPGP do poczty szyfrowanej end-to-end i podpisywanej. Wszystko dzieje się na twoim urządzeniu: klucze są generowane lokalnie, twój klucz tajny nigdy nie opuszcza komputera, a szyfrowanie i odszyfrowywanie wykonuje aplikacja. Nie ma depozytu kluczy, wysyłania na serwery kluczy ani żadnej mojej usługi po drodze — nie mam kopii twoich kluczy i nie mogę czytać twojej zaszyfrowanej poczty.

Co PGP ukrywa: treść wiadomości i załączniki.

Czego PGP nie ukrywa: tematu, pól Do/Od/DW ani tego, kiedy wiadomość została wysłana. Te informacje wędrują jawnie i pozostają widoczne dla infrastruktury pocztowej, w tym dla twojego dostawcy. To ograniczenie samego PGP/MIME, wspólne dla każdego klienta, który go implementuje, łącznie z Protonem — GravesMail nie może tego naprawić, a ja nie będę sugerował, że jest inaczej.

PGP chroni pocztę w drodze — przed przechwyceniem i przed twoim dostawcą poczty. Nie jest narzędziem chroniącym przed analizą śledczą. Po odszyfrowaniu wiadomość trafia do lokalnej zaszyfrowanej bazy danych GravesMail, żebyś mógł ją przeszukiwać i czytać offline, co oznacza, że na dysku chroni ją szyfrowanie twojego urządzenia, a nie PGP.

Jeśli stracisz klucz tajny, poczta nim zaszyfrowana jest trwale nie do odzyskania. Nie mogę jej dla ciebie odzyskać — nie istnieje kopia depozytowa, i ta sama decyzja projektowa sprawia, że nikt inny też nie może czytać twojej poczty.

E-mail chroniony hasłem

Gdy wysyłasz wiadomość z opcją Chroń hasłem (klucz niepotrzebny), treść wiadomości i wszystkie załączniki są szyfrowane na twoim urządzeniu do standardowego archiwum ZIP z AES-256, zanim wiadomość je opuści. Zabezpieczanie odbywa się lokalnie — nic nie jest w tym celu przesyłane do mnie ani do żadnej usługi, a po drodze nie ma żadnego serwera.

Hasło należy wyłącznie do ciebie. GravesMail pokazuje ci je raz, nigdy nie wysyła go e-mailem, nigdy go nie zapisuje i nigdy go nie przesyła. Nie mam jego kopii i nie mam możliwości otwarcia tego, co wysłałeś. Odbiorcy przekazujesz je innym kanałem — telefonicznie, SMS-em lub przez szyfrowany komunikator.

Ochroną jest hasło i nic poza nim. Nie ma terminu ważności ani zdalnego unieważnienia, bo jedno i drugie wymagałoby serwera, którego celowo nie prowadzę. Jak w każdym e-mailu, temat wiadomości, pola Do/Od i czas wysłania wędrują jawnie.

Jeszcze jedno ograniczenie, podane wprost, bo powinieneś usłyszeć o nim ode mnie, a nie odkryć je sam: format ZIP szyfruje zawartość plików, a nie strukturę archiwum. Każdy, kto przechwyci wiadomość, nadal może zobaczyć, ile plików jest w środku, oraz ich przybliżone rozmiary i znaczniki czasu — ale nie ich nazwy, które są zastępowane neutralnymi nazwami zastępczymi, ani ich zawartość. Jeśli same te metadane zdradziłyby komuś coś, co musi pozostać prywatne, ta funkcja nie jest właściwym narzędziem dla takiej wiadomości.

Wydania na pięć platform

• Windows — wydanie z Microsoft Store jest podpisane przez Microsoft
• Linux — wkrótce
• macOS — wkrótce
• iOS — wkrótce
• Android — wkrótce

Wszystkie pięć platform ma identyczne cechy pod względem prywatności. Żadna platforma nie wysyła danych do producenta ani nie zachowuje się inaczej w kwestii prywatności. Jedna funkcja rzeczywiście różni się między platformami i jest to ograniczenie wykrywania, a nie prywatności: Warstwa ochrony AV systemu korzysta w systemie Windows z zainstalowanego antywirusa i nie jest dostępna w systemach macOS i Linux ani na urządzeniach mobilnych, gdzie zgłasza „Niedostępne”, zamiast sugerować skanowanie, którego nigdy nie wykonała.

Usługi innych firm

GravesMail łączy się wyłącznie z twoim dostawcą poczty (przez szyfrowane połączenia TLS/SSL) oraz, w przypadku kont Microsoft, z Microsoft Identity Platform w celu uwierzytelnienia OAuth2. GravesMail nie korzysta z żadnych sieci reklamowych, usług analitycznych, usług raportowania awarii ani platform śledzących.

Zakupy

Zakupy GravesMail w Microsoft Store są obsługiwane przez Microsoft. GravesWare, LLC nie otrzymuje ani nie przechowuje danych kart płatniczych.

Otwarte do wglądu

Twoja baza danych, pliki kopii zapasowych i dziennik usunięć to zwykłe pliki lokalne pod twoją kontrolą — na twoim dysku, w twoim profilu użytkownika, gdzie możesz je zobaczyć, skopiować lub usunąć. Nic nie jest ukryte w usłudze, do której nie masz wglądu, i nic nie łączy się z producentem.

Prywatność dzieci

GravesMail nie zbiera świadomie żadnych informacji od nikogo, w tym od dzieci poniżej 13 lat. Ponieważ GravesMail domyślnie nie zbiera danych osobowych, nie stwarza szczególnych zagrożeń dla prywatności dzieci.

Zmiany w tej polityce

Jeśli ta polityka prywatności zostanie zaktualizowana, zmiany zostaną opublikowane na tej stronie z nową datą „Ostatnia aktualizacja”. Ponieważ GravesMail nie zbiera adresów e-mail ani danych kontaktowych, nie mogę powiadomić cię o zmianach bezpośrednio. Zachęcam do okresowego sprawdzania tej strony.

Kontakt

Podsumowanie