Tóm tắt

GravesMail là một ứng dụng email lưu trữ cục bộ. Email của bạn được tải về máy tính của bạn và ở lại đó. Tôi không vận hành máy chủ nào lưu trữ, đọc hay xử lý email của bạn. Tôi không thu thập thông tin cá nhân. Tôi không hiển thị quảng cáo. Tôi không bán dữ liệu. Không có thông tin nào về thư của bạn rời khỏi máy tính của bạn; máy chủ thư chỉ được dùng để nhận và gửi thư của bạn.

GravesMail lưu trữ dữ liệu gì

Mọi dữ liệu được lưu cục bộ trong hồ sơ người dùng của bạn — tại %LocalAppData%\GravesMail trên Windows, hoặc vị trí tương đương của nền tảng trên macOS, Linux, iOS và Android. Dưới đây là những gì được lưu và lý do:

Cơ sở dữ liệu mã hóa. Thư của bạn và gần như toàn bộ dữ liệu hỗ trợ nằm trong một kho duy nhất được mã hóa toàn bộ cơ sở dữ liệu: mọi thư, chủ đề, người gửi và tệp đính kèm, cùng với liên hệ, lịch, chữ ký, Quy tắc nhanh và quy tắc nâng cao, danh sách an toàn và danh sách chặn, uy tín người gửi, dữ liệu huấn luyện bộ lọc spam, các ngưỡng đã tinh chỉnh và cài đặt bảo mật. Trước đây chúng là các tệp rời nằm cạnh cơ sở dữ liệu; chúng đã được hợp nhất vào trong đó, nhờ vậy được bảo vệ mạnh hơn. Chúng không rời khỏi thiết bị của bạn — nơi dữ liệu của bạn nằm không có gì thay đổi, chỉ cách nó được lưu cục bộ thay đổi.

Các tệp nằm ngoài cơ sở dữ liệu, vì chúng cần có trước khi cơ sở dữ liệu có thể được mở, hoặc phải tồn tại được khi cơ sở dữ liệu bị mất:

• Khóa cơ sở dữ liệu — được giữ trong kho khóa bảo mật của chính thiết bị (DPAPI trên Windows, Keychain trên macOS/iOS, Keystore trên Android, kho bí mật của hệ thống trên Linux). Nó không thể nằm bên trong chính cơ sở dữ liệu mà nó mở khóa.
• Thông tin đăng nhập tài khoản đã lưu — mật khẩu IMAP/SMTP và token OAuth2 của bạn, được mã hóa bằng khóa thiết bị và được chủ ý giữ tách biệt với cơ sở dữ liệu thư.
• bmk.wrap — các bản đã bọc của Khóa chính sao lưu. Nó nằm cùng các bản sao lưu của bạn chứ không nằm trong cơ sở dữ liệu, chính vì bản sao lưu tồn tại để vượt qua được việc mất cơ sở dữ liệu đó.
• Chùm khóa PGP của bạn — được giữ ở định dạng chuẩn trên đĩa, trong đó chùm khóa bí mật được bảo vệ bằng một khóa bọc riêng.
• backups/ — các tệp sao lưu mã hóa (.gravesmail-backup), AES-256 bằng Khóa chính sao lưu
• Danh mục sao lưu — một chỉ mục siêu dữ liệu cục bộ để duyệt nội dung bản sao lưu ngay lập tức (không bao giờ được truyền đi)
• Nhật ký xóa — nội dung thư đã xóa để khôi phục (thời gian lưu giữ có thể cấu hình: 30–365 ngày)

Các tệp đi kèm ứng dụng — mô hình spam cơ sở, các quy tắc YARA cơ sở và bảng tra cứu địa lý — là tài nguyên của chương trình, không phải dữ liệu của bạn. Chúng được thay thế khi bạn cập nhật và không nằm trong các bản sao lưu.

Không dữ liệu nào được lưu bên ngoài thư mục này. Không dữ liệu nào được lưu trên máy chủ từ xa.

GravesMail không bao giờ thu thập dữ liệu gì

• Địa chỉ email — của bạn hay của bất kỳ ai gửi email cho bạn
• Nội dung email — không dòng chủ đề, nội dung thư hay tệp đính kèm
• Thông tin người gửi hoặc người nhận
• Mật khẩu hoặc thông tin đăng nhập
• Danh sách liên hệ
• Sự kiện lịch
• Địa chỉ IP
• Tên, vị trí của bạn hay bất kỳ thông tin nhận dạng nào
• Thói quen sử dụng — tôi không theo dõi bạn mở ứng dụng thường xuyên đến đâu, bạn đọc những email nào hay bạn tương tác với thư như thế nào
• Báo cáo sự cố hay dữ liệu chẩn đoán — không có gì được gửi đi tự động, không bao giờ
• Dữ liệu cài đặt hay đăng ký — không có tài khoản nào phải tạo

Quyền riêng tư của bản sao lưu

GravesMail tạo các bản sao lưu mã hóa cho toàn bộ hồ sơ cục bộ của bạn:

• Các bản sao lưu cục bộ trên thiết bị, theo lịch và thủ công (đầy đủ và vi sai), được mã hóa AES-256 bằng một Khóa chính sao lưu do GravesMail tạo ra và quản lý. Khóa này không bao giờ được lưu ở dạng rõ — chỉ các bản đã bọc được giữ lại, được bọc cả bằng kho khóa bảo mật của thiết bị (nên các bản sao lưu thường lệ không cần mật khẩu) lẫn bằng một cụm mật khẩu khôi phục bạn đặt một lần. Cụm mật khẩu khôi phục là bắt buộc, không phải tùy chọn, và chính nó cho phép khôi phục các bản sao lưu này trên thiết bị mới hoặc thiết bị thay thế. Tôi không bao giờ nhận được khóa hay cụm mật khẩu, và tôi không thể khôi phục cái nào trong hai thứ đó cho bạn.
• Sao lưu di động có mật khẩu (Tệp → Sao lưu di động có mật khẩu…) được niêm phong bằng mật khẩu do bạn chọn, dùng phép kéo giãn khóa PBKDF2-SHA256 với 600.000 vòng lặp. Nếu bạn mất mật khẩu đó, bản sao lưu không thể mở được — đây là chủ ý thiết kế, và không ai mở được, kể cả tôi.
• Các danh mục siêu dữ liệu sao lưu được lưu cục bộ và không bao giờ được truyền đi. Chúng cho phép duyệt nội dung bản sao lưu ngay lập tức mà không cần giải mã toàn bộ bản sao lưu.
• Ảnh chụp nhanh trước thao tác được tạo trước các thao tác có tính hủy dữ liệu (quét bằng Quy tắc nhanh, xóa sạch, xóa sọt rác) như một lưới an toàn.

Mọi tệp sao lưu đều ở lại trên máy tính của bạn trừ khi chính bạn sao chép chúng đi nơi khác. Một bản Sao lưu di động có mật khẩu chứa toàn bộ hồ sơ của bạn — bao gồm mật khẩu tài khoản đã lưu và các khóa mở thư của bạn — chỉ được bảo vệ bằng mật khẩu bạn đã chọn, vì vậy hãy cất tệp ở nơi an toàn.

Quyền riêng tư của Quy tắc nhanh

Dữ liệu Quy tắc nhanh được lưu trong cơ sở dữ liệu mã hóa cục bộ của bạn. Các thư mà quy tắc của bạn để riêng trong Bẫy spam, danh sách khớp của chúng và bản thân các định nghĩa quy tắc không bao giờ rời khỏi máy tính của bạn. Khi bạn xóa một quy tắc hoặc xóa sạch những gì nó đã bắt, dữ liệu bị gỡ vĩnh viễn khỏi cơ sở dữ liệu cục bộ của bạn.

Thông tin đăng nhập của bạn được lưu như thế nào

GravesMail giữ toàn bộ thư và dữ liệu cá nhân của bạn ở dạng mã hóa khi lưu trữ trên mọi thiết bị. Khóa mã hóa được giữ trong kho khóa bảo mật của chính thiết bị — DPAPI trên Windows, Keychain trên macOS và iOS, Keystore trên Android, và kho bí mật của hệ thống trên Linux — nên dữ liệu chỉ đọc được trên thiết bị của bạn. Nếu bạn lưu thông tin đăng nhập email, chúng được mã hóa theo cùng cách đó và chỉ có thể được giải mã trên cùng máy tính đó, bởi chính người dùng đã lưu chúng.

GravesMail không bao giờ truyền thông tin đăng nhập của bạn đến bất kỳ máy chủ nào ngoài máy chủ thư của nhà cung cấp email của bạn, nhằm mục đích đăng nhập.

Với các tài khoản Microsoft/Outlook dùng xác thực OAuth2, GravesMail sử dụng luồng chuẩn của Microsoft Identity Platform. Các token xác thực được lưu cục bộ bằng cùng cách mã hóa đó. GravesMail không có quyền truy cập mật khẩu tài khoản Microsoft của bạn.

Định vị địa lý diễn ra cục bộ

GravesMail tra cứu nguồn gốc địa lý của thư đến như một trong các tín hiệu spam của nó. Việc tra cứu đó diễn ra hoàn toàn trên thiết bị của bạn, dựa trên một bảng ánh xạ quốc gia với dải IP được nhúng trong ứng dụng. Không có truy vấn DNS, không có lệnh gọi API bên ngoài và không có dịch vụ tra cứu của bên thứ ba. Siêu dữ liệu thư của bạn không bao giờ được gửi đi đâu để định vị địa lý.

Dữ liệu định vị địa lý IP của DB-IP (db-ip.com), được cấp phép theo CC BY 4.0.

Chặn hình ảnh bên ngoài và chống pixel theo dõi

Hình ảnh bên ngoài bị chặn theo mặc định để ngăn người gửi biết được địa chỉ IP của bạn, việc bạn đã mở email của họ, mở khi nào và từ thiết bị nào.

Pixel theo dõi (hình ảnh 1×1 vô hình chỉ dùng để theo dõi xác nhận đã đọc) được phát hiện và loại bỏ riêng. Đây là hai điều khiển độc lập — bạn có thể tải hình ảnh mà không tải trình theo dõi.

Mã hóa đầu cuối (OpenPGP)

GravesMail hỗ trợ OpenPGP chuẩn cho thư được mã hóa đầu cuối và được ký. Mọi thứ diễn ra trên thiết bị của bạn: khóa được tạo cục bộ, khóa bí mật không bao giờ rời khỏi máy của bạn, và việc mã hóa lẫn giải mã do ứng dụng thực hiện. Không có ký quỹ khóa, không tải lên máy chủ khóa và không có dịch vụ nào của tôi nằm trên đường đi — tôi không có bản sao khóa của bạn và không thể đọc thư mã hóa của bạn.

PGP che giấu gì: nội dung thư và tệp đính kèm.

PGP không che giấu gì: dòng chủ đề, các trường To/From/Cc và thời điểm thư được gửi. Những thứ đó đi ở dạng rõ và vẫn hiển thị với hạ tầng thư, kể cả nhà cung cấp của bạn. Đây là giới hạn của chính PGP/MIME, chung cho mọi ứng dụng triển khai nó, kể cả Proton — không phải thứ GravesMail có thể khắc phục, và không phải thứ tôi sẽ ngụ ý khác đi.

PGP bảo vệ thư trên đường truyền — khỏi việc bị chặn bắt và khỏi nhà cung cấp thư của bạn. Nó không phải là công cụ chống điều tra số. Sau khi một thư được giải mã, nó được lưu đệm trong cơ sở dữ liệu mã hóa cục bộ của GravesMail để bạn có thể tìm kiếm và đọc khi ngoại tuyến, nghĩa là trên đĩa nó được bảo vệ bằng mã hóa của thiết bị chứ không phải bằng PGP.

Nếu bạn mất khóa bí mật, thư được mã hóa cho khóa đó vĩnh viễn không thể khôi phục. Tôi không thể khôi phục nó cho bạn — không có bản sao ký quỹ nào, và chính lựa chọn thiết kế đó cũng có nghĩa là không ai khác đọc được thư của bạn.

Email bảo vệ bằng mật khẩu

Khi bạn gửi thư với tùy chọn Bảo vệ bằng mật khẩu (không cần khóa), nội dung thư và mọi tệp đính kèm được mã hóa trên thiết bị của bạn thành một tệp ZIP AES-256 chuẩn trước khi thư rời đi. Việc niêm phong diễn ra cục bộ — không có gì được tải lên cho tôi hay cho bất kỳ dịch vụ nào để thực hiện việc đó, và không có máy chủ nào nằm trên đường đi.

Mật khẩu chỉ là của riêng bạn. GravesMail hiển thị nó cho bạn một lần, không bao giờ gửi nó qua email, không bao giờ lưu nó và không bao giờ truyền nó đi. Tôi không có bản sao của nó và không có cách nào mở thứ bạn đã gửi. Bạn chia sẻ nó với người nhận qua một kênh khác — qua điện thoại, tin nhắn hoặc trò chuyện mã hóa.

Sự bảo vệ nằm ở mật khẩu và không gì khác. Không có thời hạn hết hiệu lực và không có thu hồi từ xa, vì cả hai đều đòi hỏi một máy chủ mà tôi chủ ý không vận hành. Như với mọi email, chủ đề, To/From và thời điểm gửi của thư vẫn đi ở dạng rõ.

Thêm một giới hạn nữa, được nói thẳng vì bạn nên nghe điều đó từ tôi thay vì tự phát hiện ra: định dạng ZIP mã hóa nội dung tệp, không mã hóa cấu trúc của kho lưu trữ. Bất kỳ ai chặn bắt được thư vẫn có thể thấy bên trong có bao nhiêu tệp cùng kích thước và dấu thời gian xấp xỉ của chúng — dù không thấy tên tệp, vốn được thay bằng các tên giữ chỗ trung tính, và không thấy nội dung. Nếu chỉ riêng siêu dữ liệu đó đã cho ai đó biết điều bạn cần giữ kín, thì tính năng này không phải là công cụ phù hợp cho thư đó.

Bản dựng cho năm nền tảng

• Windows — bản dựng Microsoft Store được Microsoft ký
• Linux — sắp ra mắt
• macOS — sắp ra mắt
• iOS — sắp ra mắt
• Android — sắp ra mắt

Cả năm nền tảng đều có đặc tính quyền riêng tư giống hệt nhau. Không nền tảng nào gửi dữ liệu về nhà phát triển hay hành xử khác đi về mặt quyền riêng tư. Có một khả năng thật sự khác nhau theo nền tảng, và đó là giới hạn về phát hiện chứ không phải về quyền riêng tư: Lớp bảo vệ AV hệ thống dùng phần mềm diệt virus bạn đã cài trên Windows và không khả dụng trên macOS, Linux hay di động, nơi nó báo “không khả dụng” thay vì ngụ ý một lần quét mà nó chưa hề chạy.

Dịch vụ của bên thứ ba

GravesMail chỉ kết nối đến nhà cung cấp email của bạn (qua kết nối TLS/SSL được mã hóa) và, với tài khoản Microsoft, đến Microsoft Identity Platform để xác thực OAuth2. GravesMail không sử dụng bất kỳ mạng quảng cáo, dịch vụ phân tích, dịch vụ báo cáo sự cố hay nền tảng theo dõi nào.

Mua hàng

Việc mua GravesMail qua Microsoft Store do Microsoft xử lý. GravesWare, LLC không nhận hay lưu trữ thông tin thẻ thanh toán.

Sẵn sàng để kiểm tra

Cơ sở dữ liệu, các tệp sao lưu và nhật ký xóa của bạn đều là những tệp cục bộ thông thường nằm trong tầm kiểm soát của bạn — trên đĩa của bạn, trong hồ sơ người dùng của bạn, nơi bạn có thể xem, sao chép hoặc xóa chúng. Không có gì bị giấu trong một dịch vụ mà bạn không thể kiểm tra, và không có gì lén gửi dữ liệu về nhà phát triển.

Quyền riêng tư của trẻ em

GravesMail không cố ý thu thập bất kỳ thông tin nào từ bất kỳ ai, kể cả trẻ em dưới 13 tuổi. Vì GravesMail mặc định không thu thập thông tin cá nhân, nó không gây ra rủi ro cụ thể nào đối với quyền riêng tư của trẻ em.

Thay đổi đối với chính sách này

Nếu chính sách quyền riêng tư này được cập nhật, các thay đổi sẽ được đăng trên trang này kèm ngày “Cập nhật lần cuối” mới. Vì GravesMail không thu thập địa chỉ email hay thông tin liên hệ, tôi không thể thông báo trực tiếp cho bạn về các thay đổi. Tôi khuyến khích bạn định kỳ xem lại trang này.

Liên hệ

Tổng kết