Política de privacidad

Privacidad de la app Cher Ami

Cher Ami está en pruebas alfa. Lo siguiente describe la implementación actual de la app y del relay; las funciones pueden variar según la plataforma y la versión alfa.

Chats y llamadas privados

Los mensajes privados, fotos, mensajes de voz, stickers, reacciones, notas de pago y los nombres y fotos de perfil se cifran en tu dispositivo con el Protocolo Signal. Los destinatarios previstos pueden descifrarlos; nuestro relay de mensajes no puede leer su contenido. Las llamadas usan cifrado de extremo a extremo, con claves intercambiadas a través de sesiones cifradas. Las encuestas, los reportes que envías al equipo de Cher Ami y los detalles del perfil (cada uno compartido solo con el público que elijas) también están cifrados de extremo a extremo.

Mensajes programados (Enviar más tarde): para un texto individual que programes, nuestro relay guarda el mensaje cifrado de extremo a extremo (una copia por dispositivo del destinatario) hasta la hora que elegiste, como máximo 30 días después. Guarda de quién es y para quién, la hora de envío al minuto, el temporizador de desaparición si lo hay y cuándo lo programaste, pero no puede leer el mensaje. Puedes cambiarlo o cancelarlo hasta entonces; al cancelarlo se elimina del relay. Una vez enviado, se trata como cualquier otro mensaje. Si no se puede entregar, se elimina al momento y solo se guarda durante 7 días una nota de «no enviado» sin contenido. Los mensajes de grupo, las fotos y los primeros mensajes a alguien nuevo esperan en tu teléfono.

Llamadas en iPhone: para que tu iPhone suene con la app cerrada, nuestro relay envía a Apple un aviso de llamada que solo contiene un identificador de llamada aleatorio, nunca el nombre, el número ni la cuenta de quien llama. Caduca a los 45 segundos, y tu iPhone muestra quién llama solo después de descifrar la llamada. Nuestro relay ve que una cuenta pidió hacer sonar a otra en ese momento, igual que ya ve cómo se establece la llamada.

Mensajes temporales: cuando un mensaje tiene temporizador, nuestro relay sabe cuándo caduca (al minuto), no lo que dice ni cómo configuraste el temporizador. Deja de entregarlo a esa hora y lo elimina en aproximadamente un minuto. Las fotos y vídeos de una sola vista se eliminan del relay justo después de abrirse. Las copias guardadas en Palomares de respaldo siguen la misma hora de desaparición cuando ambos Palomares tienen la versión actual; los Palomares con versiones anteriores pueden conservarlas hasta 30 días, y un Palomar modificado podría ignorar esa hora.

Llamadas: las llamadas individuales y de grupo se conectan a través de servidores de llamadas que gestionamos nosotros mismos (LiveKit y un servidor TURN) en nuestro servidor alojado por Hetzner en Hillsboro, Oregón (EE. UU.); no interviene ningún servicio de llamadas externo. Las llamadas están cifradas de extremo a extremo con una clave que los participantes intercambian dentro de sus mensajes cifrados, así que el servidor de llamadas solo reenvía audio y vídeo cifrados. Mientras dura una llamada ve las direcciones IP de los participantes (con Ocultar mi IP, las llamadas van por Tor), un nombre de sala aleatorio (no el nombre del chat ni del grupo), el ID de cuenta aleatorio de cada participante (no su usuario), cuándo entra y sale cada persona y cuántos datos pasan. No guarda registros de llamadas: solo se registran avisos y errores, en archivos pequeños que se rotan, y las salas se cierran dos minutos después de que salga la última persona.

Traducción e IA personal en tu teléfono: la traducción de chats y la IA personal (ayuda para escribir) funcionan en tu teléfono; tus mensajes, tus peticiones y las respuestas de la IA nunca se envían a nosotros ni a ningún servicio de IA o de traducción, y no se registra nada. En Android, los paquetes de idioma para traducir (unos 73 MB cada uno) se descargan de los servidores de Mozilla solo cuando tocas Descargar, y el modelo abierto de la IA personal se descarga una vez de Hugging Face cuando lo pides; esos servidores ven que se descargó un archivo desde tu red, pero no ninguna cuenta ni el contenido de los mensajes. En iPhone, los idiomas de traducción los proporciona el sistema de Apple, y la IA personal usa el modelo de Apple en el dispositivo o un modelo abierto opcional que se descarga una vez de Hugging Face. Tu perfil de estilo de la IA personal se cifra en tu teléfono con una clave que nunca sale de él, no se incluye en las copias de seguridad, puedes verlo, exportarlo o borrarlo, y se elimina con tu cuenta. Los paquetes y los modelos se quedan en tu teléfono y puedes borrarlos en la app. Los mensajes enviados por el Piloto automático opcional del iPhone siempre indican a quien los recibe que responde un asistente de IA.

Malla sin conexión (vista previa, desactivada por defecto): cuando la activas y la app está abierta, los mensajes para personas con las que ya chateas (textos, y fotos, notas de voz y archivos de hasta 3 MB) pueden viajar por teléfonos Cher Ami cercanos mediante Bluetooth o Wi-Fi cuando no hay internet. Los teléfonos que llevan un mensaje lo guardan solo en memoria, como máximo 72 horas, y nunca lo almacenan. No pueden leerlo ni saber quién lo envió, pero pueden ver que existe un mensaje, su tamaño, cuándo caduca, por cuántos teléfonos ha pasado y una etiqueta de destinatario que cambia con cada mensaje. Límites: alguien que ya tenga la clave pública de una persona podría comprobar si un mensaje es para ella; quien lo lleva podría saber que dos mensajes son de la misma conversación (no de quién); el primer teléfono que recibe un mensaje puede saber que lo escribió el teléfono del que vino; y los dispositivos cercanos pueden ver que hay un teléfono Cher Ami con la malla activada. Los primeros mensajes a alguien nuevo, los vídeos grandes, el contenido de una sola vista, los archivos de grupo y las Novedades nunca usan la malla. Nada de la malla se envía a nuestros servidores.

Llamadas sin conexión y Conocerse en persona: las llamadas de voz sin conexión conectan directamente dos teléfonos cercanos por Wi-Fi, sin servidor de llamadas. El otro teléfono ve la dirección de red local de tu teléfono, y la red Wi-Fi puede ver que dos dispositivos intercambian audio cifrado, no lo que se dice. Conocerse en persona muestra un código QR con tus claves públicas; cualquiera que vea tu pantalla puede leer en él tu ID de cuenta y tu @usuario. Nada de ello se envía a nuestros servidores.

Novedades

Tú eliges quién ve cada novedad y cuánto dura: 24 horas (lo predeterminado), 36 o 48 horas como máximo.

Las novedades que compartes con tus contactos, o solo con algunos, están cifradas de extremo a extremo como los mensajes privados: cada persona recibe su propia copia cifrada y nuestro relay no puede leerlas. La app de cada destinatario elimina la novedad cuando se cumple su tiempo (las versiones antiguas de la app la eliminan a las 24 horas). Esto lo hacen las apps, así que una app modificada podría guardar una copia. Si borras una, se elimina de tu teléfono; las copias ya entregadas siguen en los teléfonos de quienes las recibieron hasta que se cumple su tiempo. Las copias no entregadas y sus adjuntos se eliminan del relay al entregarse o a los 30 días.

Las novedades compartidas con Todos son publicaciones públicas y no están cifradas de extremo a extremo: el texto, el estilo, el pie y los archivos se guardan en el servidor de Cher Ami que es tu relay de origen, y nuestro relay puede leerlos. Solo pueden verlas usuarios de Cher Ami con sesión iniciada, nunca las personas que hayas bloqueado, y no están en la web. Duran el tiempo que elijas: 24, 36 o 48 horas. Cuando una caduca (se elimina en unos 10 minutos), cuando la borras o cuando eliminas tu cuenta, la publicación y sus archivos se eliminan del servidor. Las copias que alguien ya descargó en su teléfono no se pueden recuperar.

Destacadas: puedes añadir una novedad a tu perfil como destacada y elegir quién la ve («Todas las personas con las que chateo», «Interés mutuo o más» o «Solo contactos»). Esto no sigue al público de la novedad original. Los desconocidos y las personas que bloqueaste nunca ven las destacadas. Se guardan en tu teléfono (hasta 12) y se comparten solo dentro de tu perfil cifrado de extremo a extremo, así que nuestro servidor no puede abrirlas, ni siquiera si la novedad era pública. Las destacadas no caducan. Puedes quitar una cuando quieras, aunque quien ya la vio puede haber guardado una copia. El archivo cifrado anterior en nuestro servidor deja de usarse y se elimina en 30 días.

Las copias de seguridad diarias de nuestro servidor se guardan 7 días. Las copias de seguridad ocasionales que se hacen antes de actualizar el servidor se guardan hasta que las borramos, y hasta entonces pueden incluir novedades eliminadas.

No guardamos listas de quién vio una novedad; las marcas de «visto» existen solo en los teléfonos. Las respuestas a una novedad son mensajes normales cifrados de extremo a extremo. El desenfoque de privacidad funciona en tu teléfono y tapa las caras antes de cifrar o publicar una foto; puede pasar alguna cara por alto, así que revisa antes de compartir.

Información que guardan nuestros servicios de relay

Información de red, contactos y ubicación

La aplicación de relay de mensajes no escribe registros de direcciones IP. Los límites de frecuencia contra el abuso usan contadores de corta duración en memoria. La infraestructura y los servicios de llamadas deben procesar direcciones de red para conectar dispositivos. Durante una llamada, el servidor de llamadas y su relay de llamadas ven tu dirección de red y la sala de la llamada, salvo que Ocultar mi IP esté activado, en cuyo caso ven una dirección de Tor. No pueden descifrar el audio ni el video cifrados de extremo a extremo, y el relay de llamadas no guarda registros. Esta política no promete que toda la infraestructura esté libre de registros operativos.

Ocultar mi IP (opcional, desactivado por defecto): la app puede ejecutar Tor en tu teléfono y enviar su tráfico de relay, de llamadas, de la billetera de prueba de Midnight y de vistas previas de enlaces a través de la red pública de Tor, de modo que nuestros Palomares y servidores de llamadas ven una dirección de Tor en lugar de la tuya. Tu red puede ver que usas Tor. Los mosaicos del mapa, las consultas de billeteras de Cardano, los enlaces que abres en tu navegador y las notificaciones push de Apple no pasan por Tor. Una opción “A través de Palomares” (aún no disponible; necesita un segundo Palomar público) envía el tráfico de mensajes a través de un segundo Palomar, que ve tu dirección IP pero solo datos cifrados. En ese modo, las llamadas y la billetera de prueba de Midnight se conectan directamente, y no se generan vistas previas de enlaces; solo la opción de Tor cubre las llamadas. Ocultar mi IP no te hace anónimo.

Anfitriones de IA en comunidades: Las comunidades oficiales tienen un anfitrión de IA, siempre identificado como IA. El anfitrión lee los mensajes publicados en esas comunidades para poder responder. La IA del anfitrión se ejecuta en computación confidencial mediante Chutes en la red Bittensor, cuyo sellado se comprueba antes de cada uso, o en un modelo abierto en un Palomar de Cher Ami. Tus chats privados y otras comunidades nunca se envían a un anfitrión de IA.

Vistas previas de enlaces (activadas por defecto; Privacidad y seguridad): cuando envías un enlace con las vistas previas activadas, tu teléfono obtiene el título y la imagen de la página para crear la vista previa. Con Ocultar mi IP a través de Tor, esto pasa por Tor; de lo contrario, el sitio web ve tu conexión. Si Ocultar mi IP está activado pero no conectado, no se genera ninguna vista previa. Las personas a quienes se lo envías nunca contactan con el sitio web; solo ven lo que incluyó tu teléfono. Puedes desactivar las vistas previas en Privacidad y seguridad.

Si lo permites, la app lee los contactos de tu teléfono, por ejemplo para mostrar nombres en los mensajes de texto. Los contactos nunca se suben y no hay descubrimiento de contactos en el servidor. Los mensajes de invitación los escribes y envías tú desde tu teléfono; nunca los enviamos por ti. No subimos la ubicación de tu dispositivo. Las funciones “Cerca de mí” y de mapa funcionan en tu dispositivo. La elegibilidad por zona usa una respuesta de sí/no que tú seleccionas; la zona que eliges al publicar una comunidad en Discover es pública. No añadimos publicidad ni analítica de terceros a la app, y no vendemos información personal de la app.

Billetera y blockchain

La billetera no es custodial: las claves privadas permanecen en tu dispositivo y no podemos mover tus fondos. La billetera alfa usa solo redes de prueba de Midnight, sin activos de dinero real. La visibilidad de las transacciones depende de si el activo y la transacción compatibles están protegidos (shielded) o no protegidos (unshielded) según las reglas de Midnight. Los registros públicos de la blockchain no se pueden borrar al eliminar la cuenta de la app. La eliminación de la cuenta no es una transferencia de activos de la billetera. Si compartes una dirección de billetera, en tu perfil o cuando alguien usa “Pedir su dirección”, las personas con quienes la compartes pueden ver esa dirección, y los pagos a una dirección pública (no protegida) pueden ser vistos por cualquiera en la red de prueba.

SMS y MMS comunes

Si eliges Cher Ami como app de mensajes de texto predeterminada en Android, los mensajes SMS/MMS comunes se almacenan en tu teléfono y se entregan a través de tu operador móvil. No son chats privados cifrados de extremo a extremo y no se envían a nuestro relay de mensajes privados. Cada mensaje está etiquetado: “Shield” para un mensaje de Cher Ami cifrado de extremo a extremo, “SMS” o “MMS” para un mensaje del operador. La app nunca cambia por sí sola un mensaje Shield a SMS.

Programa Founding y proveedores de servicios

Si vinculas una cuenta de la app a un registro en el sitio web, el relay solicita al sitio web tu código de invitación, tu puesto Founding, el estado de confirmación de tu correo y los recuentos de referidos confirmados para determinar la elegibilidad Founding. Tu dirección de correo electrónico nunca se comparte con la app. El tratamiento del correo electrónico del sitio web se describe más abajo. Nuestra infraestructura de relay y de llamadas procesa la información técnica necesaria para prestar sus servicios. Los avisos push son opcionales. En iPhone los entrega Apple: nuestro relay envía a Apple siempre el mismo aviso genérico («Cher Ami», «Mensaje nuevo») con el sonido de aviso que elegiste, nunca el remitente, el texto del mensaje ni el chat, así que Apple puede ver que se envió un aviso, cuándo y el nombre del sonido. En Android, si eliges una app de UnifiedPush (como ntfy), nuestro relay envía un aviso vacío a la dirección que te dio esa app, como mucho una vez cada 10 segundos; el servicio push que elegiste puede ver que se envió un aviso y cuándo. No se usan los servicios de Google para esto. Después, tu teléfono descarga tus mensajes cifrados y los descifra él mismo. Si no configuras push, no se envía a nadie más nada sobre tus avisos. Los operadores móviles gestionan los SMS/MMS. La red Tor transporta tu tráfico solo cuando activas Ocultar mi IP. La infraestructura de Midnight gestiona las transacciones de blockchain enviadas según las reglas de la red.

Reportes

Cuando reportas a alguien, la app envía un mensaje cifrado de extremo a extremo a la cuenta oficial @midnightselect con el motivo, el nombre de usuario y el ID de cuenta reportados, hasta 10 mensajes que tú elijas y tu nota. El equipo de Cher Ami (el operador y los moderadores que él designe) lee los reportes para revisarlos y actuar contra el abuso. Conservamos un reporte hasta que se resuelve y lo eliminamos dentro de los 90 días posteriores, salvo que lo necesitemos por más tiempo, como máximo un año, para cumplir una obligación legal o frenar abusos repetidos. El bloqueo ocurre en tu teléfono y no se nos envía.

Tus opciones y la eliminación

Puedes eliminar mensajes, configurar temporizadores de mensajes temporales, bloquear o reportar a personas, salir de comunidades, hacer una copia de seguridad cifrada de tus chats que solo tú puedes abrir con su código (nunca la recibimos) y solicitar la eliminación de tu cuenta de chats privados. Consulta Eliminar tu cuenta de Cher Ami para ver los pasos dentro de la app, cómo hacer una solicitud externa por correo electrónico y la información que se conserva tras la eliminación. Los mensajes ya entregados en los dispositivos de otras personas están fuera de nuestro control. Darte de baja del boletín y eliminar tu registro son opciones independientes.

Seguridad y menores

El código de la app tiene licencia AGPL-3.0. Está previsto que el código fuente esté disponible públicamente en el lanzamiento. Está prevista una auditoría de seguridad independiente antes del lanzamiento público, cuyos resultados se publicarán. Ningún sistema garantiza seguridad ni anonimato absolutos; los dispositivos, los destinatarios, los operadores móviles y la infraestructura aún pueden revelar información.

Debes tener 13 años o más para usar Cher Ami, y lo confirmas con una casilla al registrarte; no te pedimos tu fecha de nacimiento. No permitimos a sabiendas cuentas de menores de 13 años. Contáctanos si crees que un menor de 13 años ha proporcionado información personal. Adult Community 18+ requiere verificación de edad.

Privacidad del sitio web y del boletín

Información que proporcionas

Recopilamos tu dirección de correo electrónico, tu nombre de pila (opcional) y tus plataformas de interés (opcional: Android, iOS y Web) cuando solicitas novedades. Registramos el origen del registro, la hora del consentimiento y la versión del aviso de consentimiento. Cada registro recibe un código de invitación aleatorio y, si te uniste mediante el enlace de invitación de otra persona, registramos su código de invitación para poder contar los referidos. No recopilamos los nombres ni los datos de contacto de las personas que invitas; las invitaciones se envían desde tu propia app de correo o de mensajería. Si vinculas la app Cher Ami a tu registro con un código de un solo uso, el sitio web comparte solo tu código de invitación, tu puesto Founding según el orden de registros confirmados, si tu correo está confirmado, tus recuentos de referidos confirmados y el código de invitación de quien te invitó. Tu dirección de correo electrónico nunca se comparte con la app. Los registros existentes de la lista de espera pueden contener un correo electrónico, un nombre, el origen del registro y la hora de envío.

Cómo usamos la información

Usamos la información de registro para gestionar el interés en la versión alfa, enviar las novedades que solicitas e invitar a los testers que reúnan los requisitos. Las plataformas de interés nos ayudan a adaptar los anuncios por plataforma y las invitaciones a pruebas. Las novedades generales del desarrollo pueden enviarse a todos los suscriptores confirmados. No vendemos la información de registro del sitio web. Los registros confirmados reciben un enlace de descarga para las plataformas abiertas a testers y un código de invitación para crear una cuenta.

Proveedores de servicios

El sitio web está alojado en Cloudflare, incluida una base de datos para los registros. Resend entrega nuestros mensajes de confirmación y novedades; nosotros mismos guardamos tus registros de suscripción, baja y supresión en Cloudflare. MailerLite fue nuestro proveedor de correo anterior; estamos cerrando esa cuenta y conservamos solo los registros de baja y supresión necesarios para respetar tus decisiones. Proton Mail proporciona nuestro buzón de contacto general, hello@midnightselect.app, y el buzón de respuestas del boletín, update@midnightselect.app. Estos proveedores procesan la información necesaria para operar sus servicios y pueden procesarla fuera de tu país.

Búsqueda de GIF: cuando buscas GIF en la app, nuestro servidor envía solo tus palabras de búsqueda a GIPHY (Shutterstock) para encontrar GIF que coincidan. GIPHY nunca recibe tu dirección IP, tu cuenta ni tu dispositivo. Los GIF que envías viajan como archivos adjuntos cifrados, igual que las fotos.

Seguridad e información técnica

Los proveedores de alojamiento pueden procesar direcciones IP e información de las solicitudes para la entrega y la seguridad. Nuestra protección de registros usa hashes con clave de corta duración de tu dirección IP y tu correo para limitar el abuso; no almacena direcciones IP sin procesar en la base de datos de registros. Los registros de límite de frecuencia caducados se eliminan cuando se procesan registros posteriores.

Analítica y cookies

Este sitio web no añade rastreadores publicitarios ni analítica web opcional. Los controles de acceso del alojamiento pueden usar cookies esenciales. Si abres un enlace de invitación o te registras, tu navegador guarda el código de invitación correspondiente en su almacenamiento local para que se pueda acreditar un referido; no se envía a ningún sitio hasta que envías el formulario de registro. La información de entrega, rebote y baja de los correos se usa para operar la lista de correo. El seguimiento opcional de aperturas y clics en los correos debe permanecer desactivado salvo que actualicemos este aviso y las opciones correspondientes.

Tus opciones

Confirma tu correo electrónico para recibir las novedades del boletín. Puedes darte de baja con el enlace que aparece en cada correo de marketing. Para solicitar el acceso, la corrección o la eliminación de tu información de registro, escribe a hello@midnightselect.app. Darte de baja detiene los mensajes de marketing; puede conservarse un mínimo de información de supresión para respetar esa decisión.

Conservación

Conservamos la información de registro mientras sea necesaria para el programa previo al lanzamiento, las novedades solicitadas o los registros de consentimiento y supresión. Puedes pedirnos que eliminemos la información que ya no sea necesaria. Revisamos los registros a medida que cambia el programa. Ningún servicio de internet puede garantizar una seguridad absoluta.

Cambios y contacto

Las actualizaciones de este aviso aparecerán aquí con una fecha revisada. Puedes enviar tus preguntas a hello@midnightselect.app.