Укратко

GravesMail је клијент е-поште који ради по принципу локално на првом месту. Ваша е-пошта се преузима на ваш рачунар и тамо остаје. Не управљам серверима који чувају, читају или обрађују вашу е-пошту. Не прикупљам личне податке. Не приказујем огласе. Не продајем податке. Ништа о вашој е-пошти не напушта ваш рачунар; сервер е-поште се користи само за преузимање и слање ваше е-поште.

Које податке GravesMail чува

Сви подаци се чувају локално у вашем корисничком профилу — у %LocalAppData%\GravesMail у систему Windows или на одговарајућем месту у системима macOS, Linux, iOS и Android. Ево шта се чува и зашто:

Шифрована база података. Ваша пошта и готово сви пратећи подаци налазе се у једном складишту у којем је шифрована цела база података: свака порука, тема, пошиљалац и прилог, као и ваши контакти, календар, потписи, Брза правила и напредна правила, листе безбедних и блокираних, репутација пошиљалаца, тренинг филтера за спам, подешени прагови и безбедносна подешавања. То су раније биле засебне датотеке поред базе података; обједињене су у њој, чиме је њихова заштита ојачана. Нису премештене са вашег уређаја — ништа се није променило у погледу тога где се ваши подаци налазе, већ само како се локално чувају.

Датотеке које остају ван базе података, зато што су потребне пре него што она може да се отвори или морају да преживе њен губитак:

• Кључ базе података — чува се у безбедном складишту кључева самог уређаја (DPAPI у систему Windows, Keychain у системима macOS/iOS, Keystore у систему Android, системско складиште тајни у систему Linux). Не може да се налази у бази података коју откључава.
• Сачувани акредитиви налога — ваше IMAP/SMTP лозинке и OAuth2 токени, шифровани кључем вашег уређаја и намерно одвојени од базе података поште.
• bmk.wrap — омотане копије вашег Главног кључа резервних копија. Налази се уз резервне копије, а не у бази података, управо зато што резервна копија постоји да би преживела губитак те базе.
• Ваш PGP привезак кључева — чува се у свом стандардном формату на диску, а привезак приватних кључева је под сопственим кључем за омотавање.
• backups/ — шифроване датотеке резервних копија (.gravesmail-backup), AES-256 под Главним кључем резервних копија
• Каталог резервних копија — локални индекс метаподатака за тренутно прегледање садржаја резервних копија (никада се не преноси)
• Евиденција брисања — садржај избрисаних порука ради опоравка (задржавање може да се подеси: 30–365 дана)

Датотеке које се испоручују уз апликацију — основни модел спама, основна YARA правила и табела за географско претраживање — јесу ресурси програма, а не ваши подаци. Замењују се при ажурирању и изузете су из резервних копија.

Никакви подаци се не чувају ван овог директоријума. Никакви подаци се не чувају на удаљеним серверима.

Које податке GravesMail никада не прикупља

• Е-адресе — ни ваше ни било кога ко вам пише
• Садржај е-поште — ни теме, ни тела порука, ни прилоге
• Податке о пошиљаоцу или примаоцу
• Лозинке или акредитиве
• Листе контаката
• Догађаје из календара
• IP адресе
• Ваше име, локацију нити било какве податке који вас идентификују
• Обрасце коришћења — не пратим колико често отварате апликацију, које е-поруке читате ни како поступате са порукама
• Извештаје о отказивању или дијагностику — ништа се никада не шаље аутоматски
• Податке о инсталацији или регистрацији — нема налога који треба отворити

Приватност резервних копија

GravesMail прави шифроване резервне копије вашег целог локалног профила:

• Заказане и ручне резервне копије на уређају (потпуне и диференцијалне) шифроване су алгоритмом AES-256 под Главним кључем резервних копија који GravesMail генерише и којим управља. Кључ се никада не чува у отвореном облику — чувају се само омотане копије, омотане и безбедним складиштем кључева вашег уређаја (па за редовне резервне копије није потребна лозинка) и приступном фразом за опоравак коју постављате једном. Приступна фраза за опоравак је обавезна, а не опциона, и управо она омогућава да се ове резервне копије врате на новом или замењеном уређају. Ја никада не добијам ни кључ ни приступну фразу и не могу да повратим ни једно ни друго уместо вас.
• Преносива резервна копија са лозинком (Датотека → Преносива резервна копија са лозинком…) запечаћена је лозинком коју ви изаберете, уз растезање кључа PBKDF2-SHA256 са 600.000 итерација. Ако изгубите ту лозинку, резервна копија не може да се отвори — тако је замишљено, и не може је отворити нико, укључујући и мене.
• Каталози метаподатака резервних копија чувају се локално и никада се не преносе. Они омогућавају тренутно прегледање садржаја резервних копија без дешифровања целе резервне копије.
• Снимци пре операције праве се пре деструктивних операција (скенирања Брзим правилима, чишћења, пражњење отпада) као заштитна мрежа.

Све датотеке резервних копија остају на вашем рачунару осим ако их сами не копирате негде другде. Преносива резервна копија са лозинком садржи цео ваш профил — укључујући сачуване лозинке налога и кључеве који откључавају вашу пошту — а штити је само лозинка коју сте изабрали, зато датотеку чувајте на безбедном месту.

Приватност Брзих правила

Подаци Брзих правила чувају се у вашој локалној шифрованој бази података. Поруке које ваша правила одложе у Замку за спам, њихове листе подударања и саме дефиниције правила никада не напуштају ваш рачунар. Када избришете правило или очистите оно што је ухватило, подаци се трајно уклањају из ваше локалне базе података.

Како се чувају ваши акредитиви

GravesMail сву вашу пошту и личне податке држи шифроване у мировању на сваком уређају. Кључ за шифровање чува се у безбедном складишту кључева самог уређаја — DPAPI у систему Windows, Keychain у системима macOS и iOS, Keystore у систему Android и системско складиште тајни у систему Linux — па су подаци читљиви само на вашем уређају. Ако сачувате акредитиве за е-пошту, они се шифрују на исти начин и могу да се дешифрују само на истом рачунару и само од стране истог корисника који их је сачувао.

GravesMail никада не преноси ваше акредитиве ниједном серверу осим серверу поште вашег добављача е-поште, и то ради пријављивања.

За Microsoft/Outlook налоге који користе OAuth2 аутентификацију GravesMail користи стандардни ток платформе Microsoft Identity Platform. Токени за аутентификацију чувају се локално, уз исто шифровање. GravesMail нема приступ лозинци вашег Microsoft налога.

Геолокација је локална

GravesMail утврђује географско порекло долазне поште као један од сигнала за спам. То претраживање се у потпуности обавља на вашем уређају, у табели која повезује земље и опсеге IP адреса и која је уграђена у апликацију. Нема DNS упита, нема спољних API позива и нема услуге претраживања треће стране. Метаподаци ваших порука се никада никуда не шаљу ради геолокације.

Податке о IP геолокацији обезбеђује DB-IP (db-ip.com), под лиценцом CC BY 4.0.

Блокирање спољних слика и заштита од пиксела за праћење

Спољне слике су подразумевано блокиране како пошиљаоци не би сазнали вашу IP адресу, то да сте отворили њихову е-поруку, када и са ког уређаја.

Пиксели за праћење (невидљиве слике величине 1×1 које служе искључиво за праћење путем потврда о читању) откривају се и уклањају засебно. То су независне контроле — можете да учитате слике без учитавања пиксела за праћење.

Шифровање с краја на крај (OpenPGP)

GravesMail подржава стандардни OpenPGP за пошту шифровану с краја на крај и потписану. Све се дешава на вашем уређају: кључеви се генеришу локално, ваш тајни кључ никада не напушта ваш рачунар, а шифровање и дешифровање обавља апликација. Нема депоновања кључева, нема отпремања на сервер кључева и нема моје услуге на путу — немам копију ваших кључева и не могу да читам вашу шифровану пошту.

Шта PGP скрива: тело поруке и прилоге.

Шта PGP не скрива: тему, поља За/Од/Cc и то када је порука послата. Ти подаци путују отворено и остају видљиви инфраструктури е-поште, укључујући вашег добављача. То је ограничење самог PGP/MIME стандарда, које дели сваки клијент који га имплементира, укључујући Proton — није нешто што GravesMail може да поправи, нити ћу наговештавати другачије.

PGP штити пошту у преносу — од пресретања и од вашег добављача е-поште. Он није алат против форензике. Када се порука дешифрује, кешира се у локалној шифрованој бази података програма GravesMail да бисте могли да је претражујете и читате ван мреже, што значи да је на диску штити шифровање вашег уређаја, а не PGP.

Ако изгубите тајни кључ, пошта шифрована за њега је трајно неповратна. Не могу да је повратим уместо вас — не постоји депонована копија, а то је иста одлука у дизајну због које ни нико други не може да чита вашу пошту.

Е-пошта заштићена лозинком

Када поруку пошаљете уз опцију Заштита лозинком (није потребан кључ), тело поруке и сваки прилог шифрују се на вашем уређају у стандардну AES-256 ZIP архиву пре него што порука оде. Печаћење се обавља локално — ништа се ради тога не отпрема ни мени ни било којој услузи, и на путу нема сервера.

Лозинка је само ваша. GravesMail вам је приказује једном, никада је не шаље е-поштом, никада је не чува и никада је не преноси. Немам њену копију и немам начин да отворим оно што сте послали. Са примаоцем је делите другим каналом — телефоном, SMS поруком или шифрованим ћаскањем.

Заштита је лозинка и ништа друго. Нема истека и нема опозива на даљину, јер би и једно и друго захтевало сервер који намерно не држим. Као код сваке е-поруке, тема поруке, поља За/Од и време слања и даље путују отворено.

Још једно ограничење, речено отворено јер треба да га чујете од мене, а не да га сами откријете: ZIP формат шифрује садржај датотека, а не структуру архиве. Свако ко пресретне поруку и даље може да види колико је датотека унутра и њихове приближне величине и временске ознаке — али не и њихова имена, која су замењена неутралним ознакама, нити њихов садржај. Ако би већ сами ти метаподаци некоме открили нешто што морате да сачувате као приватно, ова функција није прави алат за ту поруку.

Издања за пет платформи

• Windows — издање из продавнице Microsoft Store потписује Microsoft
• Linux — ускоро
• macOS — ускоро
• iOS — ускоро
• Android — ускоро

Свих пет платформи има истоветна својства у погледу приватности. Ниједна платформа не шаље податке кући нити се у погледу приватности понаша другачије. Једна могућност се заиста разликује по платформама, а реч је о ограничењу откривања, не приватности: Слој заштите Системски AV у систему Windows користи ваш инсталирани антивирус, а није доступан на системима macOS и Linux ни на мобилним уређајима, где пријављује „није доступно“ уместо да наговести скенирање које никада није обавио.

Услуге трећих страна

GravesMail се повезује само са вашим добављачем е-поште (преко шифрованих TLS/SSL веза) и, за Microsoft налоге, са платформом Microsoft Identity Platform ради OAuth2 аутентификације. GravesMail не користи никакве рекламне мреже, аналитичке услуге, услуге за извештавање о отказивању ни платформе за праћење.

Куповине

Куповине програма GravesMail преко продавнице Microsoft Store обрађује Microsoft. GravesWare, LLC не прима и не чува податке о платним картицама.

Отворено за увид

Ваша база података, датотеке резервних копија и евиденција брисања су обичне локалне датотеке под вашом контролом — на вашем диску, у вашем корисничком профилу, где можете да их видите, копирате или избришете. Ништа није скривено у услузи у коју не можете да завирите и ништа се не јавља кући.

Приватност деце

GravesMail свесно не прикупља никакве податке ни од кога, укључујући децу млађу од 13 година. Пошто GravesMail подразумевано не прикупља личне податке, не представља посебне ризике за приватност деце.

Промене ове политике

Ако се ова политика приватности ажурира, промене ће бити објављене на овој страници са новим датумом у ставци „Последње ажурирање“. Пошто GravesMail не прикупља е-адресе ни податке за контакт, не могу да вас директно обавестим о променама. Препоручујем вам да ову страницу повремено проверавате.

Контакт

Резиме