Integritetspolicy för Herkos

Senast uppdaterad: 11 november 2026. Kanonisk URL: https://herkos.app/privacy

Översättning. Detta är en översättning som tillhandahålls som en service. Vid avvikelser gäller den engelska versionen.

Herkos Mail, Herkos Calendar, Herkos Notes, Herkos Drive och Herkos Local Relay är fria appar med öppen källkod för Nostr-nätverket, utgivna av Herkos-projektet (”vi”). Herkos Calendar, Herkos Notes, Herkos Drive och Herkos Local Relay är fortfarande under utveckling. Det här dokumentet förklarar vilka uppgifter apparna och våra webbplatser hanterar, vart de tar vägen och vem som kan se dem. Vi skrev det för att läsas, inte skummas: om något här förvånar dig, hör av dig till privacy@herkos.email.

Grundläggande information om dataskydd

Det första skiktet, på några rader; resten av det här dokumentet är det andra.

• Personuppgiftsansvarig — För det apparna sparar på din enhet och det de skickar till reläer och servrar: du, tillsammans med operatören av varje relä och server du använder. Herkos tar inte emot något av det. För våra webbplatser och för det du skriver till oss: Herkos-projektet, privacy@herkos.email.
• Ändamål — Apparna: att spara, skicka och ta emot din e-post, dina händelser, anteckningar och filer. Våra webbplatser: att leverera sidorna och att svara dig om du skriver.
• Rättslig grund — Apparna behandlar ingenting hos oss. Våra webbplatser: vårt berättigade intresse av att leverera dem och hålla dem säkra; vårt svar till dig: din begäran.
• Mottagare — Reläerna, Blossom-servrarna, bryggorna och de andra tjänster som varje app använder, namngivna en efter en nedan, med vad de ser; Cloudflare, för våra webbplatser. Några standardservrar ligger utanför Europeiska unionen (se Herkos Drive nedan). Vi säljer ingenting till någon.
• Dina rättigheter — Tillgång, rättelse, radering, invändning, begränsning och dataportabilitet. Det som finns på din enhet ser, ändrar och raderar du i apparna; det som finns på ett relä eller en server, hos dess operatör. Du kan också klaga hos din dataskyddsmyndighet (i Spanien AEPD).
• Mer information — Nedan: vad som stannar på din enhet, vad som lämnar den och till vem, app för app, och dina val.

Kortversionen

• Herkos har inget kontosystem, ingen egen server och ingen analys. Vi tar inte emot dina meddelanden, dina händelser, dina anteckningar, dina kontakter, din nyckel eller din användning.
• Din offentliga Nostr-nyckel är din identitet i nätverket. Allt du publicerar på Nostr (profil, relälistor, etiketter) är knutet till den och synligt för de reläer du använder.
• Post mellan Nostr-användare är end-to-end-krypterad (NIP-17). Post till eller från traditionella e-postadresser passerar genom en brygga som kan läsa den.
• Vissa valfria funktioner skickar uppgifter till tredje part (push-aviseringar, schemalagda utskick). De är avstängda tills du slår på dem, och det här dokumentet namnger var och en av dem.
• Kalenderhändelser krypteras på din enhet. Reläer ser att du har händelser, ungefär hur stora de är och när de ändras, inte vad de säger. Offentliga händelser, upptagetlistan och delningslänkar är offentliga för att du väljer det, en i taget. För att ta reda på var dina gäster tar emot frågar Calendar bara dina reläer, aldrig ett index hos tredje part.
• Anteckningar krypteras på din enhet, med din egen nyckel. Reläer kan inte läsa dem, men de kan se hur många anteckningar du har och när du redigerar var och en. Sökningen körs på din enhet: orden du letar efter lämnar den aldrig. En anteckning som du delar går bara till det konto du väljer, förseglad: reläerna ser varken vem som skickade den eller vad den säger.
• Filer i Herkos Drive krypteras på din enhet, block för block, innan de går till Blossom-servrar; deras namn och mappar går krypterade till reläer. Reläer och servrar kan se hur många filer och mappar du har, ungefär hur stora de är och när de ändras, inte vad de heter eller innehåller. En delningslänk bär sin egen nyckel efter #: förvara den som ett lösenord.
• Herkos Local Relay sparar dina händelser på din enhet, krypterade, och skickar ingenting till Herkos. Det lyssnar bara på själva enheten (127.0.0.1), om du inte slår på det lokala nätverket, och då bara för nycklarna på din lista. Det pratar bara med dina reläer och med inkorgsreläerna hos de personer du skriver till; privata händelser lämnar aldrig enheten. Dess kopior går bara till en mapp du väljer, aldrig till molnet. Med Tor på (Windows och Linux) går den också att nå via Tor-nätverket, återigen bara för nycklarna på din lista.
• Våra webbplatser (herkos.app och dess underdomäner) levereras av Cloudflare, som ser din IP-adress precis som vilket webbhotell som helst. De sätter inga kakor och använder ingen analys.

Uppgifter som stannar på din enhet

• Din hemliga nyckel (nsec), när du loggar in med den, lagras i operativsystemets säkra lagring (Android Keystore, iOS/macOS-nyckelringen, Windows Autentiseringshanteraren, libsecret på Linux, krypterad lokal lagring på webben). Om du loggar in med en fjärrsignerare (NIP-46-”bunker”) når nyckeln aldrig enheten.

I en webbläsare finns ingen sådan säker lagring. Nyckeln ligger i webbplatsens lokala lagring och passerar genom JavaScript varje gång något signeras, så ett webbläsartillägg med åtkomst till alla sidor, en XSS-bugg eller en manipulerad driftsättning skulle kunna läsa den; och till skillnad från en installerad app levererar en webbsida ny kod vid varje besök. Med webbversionen bör du använda en fjärrsignerare, eller en identitet du har råd att förlora. - Din brevlåda: dekrypterade mejl, bilagor, etiketter, mappar och kontakter cachelagras i en lokal databas så att appen fungerar offline. Databasen är inte krypterad utöver det som operativsystemet tillhandahåller; applåset (PIN-kod/biometri) är en bekvämlighetsspärr, inte kryptering av lagrade data. På Android undantas appen från säkerhetskopiering till molnet och mellan enheter. - PIN-kod för applåset: lagras som en saltad, förstärkt hash (PBKDF2), aldrig i klartext. Herkos Calendar och Herkos Notes har var sin egen PIN-kod, lagrad på samma sätt. - Din kalender (Herkos Calendar): de händelser, listor, visningsnycklar och påminnelser du kan läsa cachelagras på enheten, krypterade post för post med en nyckel som förvaras i operativsystemets säkra lagring. I en webbläsare hålls kalendern bara i minnet och hämtas på nytt från reläerna varje gång. Det är enheten själv som ringer påminnelserna: Calendar använder ingen push-server. Om du väljer att dölja titlar i påminnelser säger de bara ”Händelse” och när den börjar. Din Calendar-nyckel förvaras separat från Herkos Mails (se ”Ditt konto”, i avsnittet om Calendar). - Dina anteckningar (Herkos Notes): anteckningarna, deras historik, anteckningsböckerna och sökindexet cachelagras på enheten, krypterade post för post med en nyckel som förvaras i operativsystemets säkra lagring. I en webbläsare sparas de på samma sätt, i webbläsarens lagring för webbplatsen (IndexedDB), med nyckeln också i webbläsaren: på en dator som andra också använder skyddar det lite. Om webbläsaren inte sparar något för webbplatsen (ett privat fönster, blockerade webbplatsdata) hålls de bara i minnet, och utan anslutning går det inte att skriva. En anteckning som du låser får ett eget lösenord; utan det kan ingen öppna den anteckningen, inte heller vi. Säkerhetskopian av dina anteckningar är en fil som bara skrivs där du sparar den, krypterad med ett eget lösenord. Den automatiska kopian, som görs varje dag om du inte stänger av den, är en fil i en mapp på enheten (Herkos Notes/backups i dina Dokument), krypterad med ditt kontos nyckel; de sju senaste sparas, och den skickas ingenstans (i en webbläsare finns den inte). Anteckningar som andra konton delar med dig väntar i ”Mottagna från andra”, på enheten och krypterade som resten, tills du sparar eller kastar dem.

• Dina filer (Herkos Drive): listan över dina filer och mappar, med deras nycklar, cachas på enheten, krypterad post för post med en nyckel som förvaras i operativsystemets säkra lagring; det som ännu ska skickas och de block som väntar på att laddas upp förvaras också krypterade. Miniatyrer finns bara i minnet. En fil som du laddar ner eller öppnar skrivs i klartext där du väljer, som vilken fil som helst. Säkerhetskopian av din Drive (.hbk, eller säkerhetskopian av indexet med ett eget lösenord) är en fil som bara skrivs där du sparar den. På Android visar systemets filväljare och ”Dela” Drives filer bara medan Drive är upplåst, och det en app får därifrån dekrypteras i farten och skrivs aldrig till disk.
• Ditt relä (Herkos Local Relay): dess händelser, de parkopplade apparna, dess inställningar och vart dess kopior går; se dess eget avsnitt nedan.

Du kan radera allt detta under Inställningar → Mer → Återställ appen, eller genom att ta bort ett konto.

Uppgifter som lämnar din enhet, och till vem

Den här tabellen gäller Herkos Mail. Herkos Calendar, Herkos Notes, Herkos Drive och Herkos Local Relay har egna avsnitt längre ned.

Dina privata reläer. Om ditt konto har en lista med privata reläer (kind 10013, NIP-37; Herkos Notes och Calendar använder samma), sparar Mail dina utkast, krypterade inställningar, etiketter och schemalagda utskick på dess reläer, inte på dina skrivreläer; det den tidigare lämnade där läser den fortfarande, och raderar det där också. Utan listan går de till dina skrivreläer. Mail publicerar listan bara när du ber om det (Inställningar → Värdtjänster → Privata reläer), krypterad med din nyckel: reläerna ser din publika nyckel, att listan finns och när den ändras, inte reläerna i den. En lista som en annan app har skrivit används som den är och skrivs aldrig över.

Automatisk vidarebefordran (Inställningar → Automatisk vidarebefordran, av tills du slår på den). En kopia av varje nytt meddelande går till den enda adress du väljer: till ett Nostr-konto, end-to-end-krypterad som alla meddelanden; till en traditionell adress, via bryggan för kontots huvudadress, som ser den i sin helhet (se Bryggor ovan). Det är den här enheten som gör det, medan Mail körs eller vid nästa synkronisering; inställningen stannar på enheten och publiceras aldrig.

En signeringsapp på din Android-telefon (NIP-55, till exempel Amber). Nyckeln stannar i den appen, och Mail pratar med den direkt på telefonen, utan reläer eller nätverk emellan; enheten sparar bara din publika nyckel och vilken app som signerar. Mail ber den bara signera de kinds som Mail signerar med ditt konto och kryptera och dekryptera (NIP-44), aldrig meddelandenas kuvert, som använder engångsnycklar, och kontrollerar varje signerad händelse som kommer tillbaka innan den används.

Herkos Local Relay. Om Herkos Local Relay finns på samma enhet erbjuder Mail en gång att ansluta till det; inget skickas förrän du trycker på Anslut och godkänner Mail i Herkos Local Relay. Mail parkopplar med en egen nyckel och kontrollerar vid varje anslutning att det är samma relä. Den signerar en gång med din nyckel, så att reläet sparar dina händelser som dina; sedan kopierar den dit den post som den här enheten sparar och, från och med då, varje händelse från ditt konto som Mail skickar och varje kuvert den tar emot, precis som de signerades och fortfarande krypterade, och ber reläet att behålla dem på enheten och att bara lämna ut de privata till din nyckel. Kuvert du skickar till andra kopieras inte. Mail läser aldrig från det: det är en kopia. Inget lämnar enheten för detta.

Herkos självt tar inte emot något av detta. Det finns ingen kraschrapportering eller telemetri.

Herkos Calendar: vad reläerna ser

Calendar pratar med Nostr-reläer: ditt kontos (din NIP-65-lista och din inkorgslista), de under Inställningar → Reläer (kan ändras) och, när du bjuder in någon eller svarar på en inbjudan, den personens inkorgsreläer. Inte med någon annan, utom det du själv slår upp (nedan): inte heller med något offentligt reläindex. ”Ditt konto”, nedan, förklarar vad vart och ett används till. Det finns ingen Herkos-server, ingen push-server och ingen telemetri. Varje relä ser din IP-adress och tidpunkten för varje anslutning.

Ett relä som begär NIP-42-autentisering får veta din offentliga nyckel; Calendar svarar bara på en sådan begäran för dina egna händelser på dina egna reläer, och för att läsa din egen inkorg. Att radera på Nostr är en begäran: ett relä kan behålla sin kopia, fortfarande krypterad.

Det som ingenting i händelserna kan dölja: varje inbjudan skickas från din IP-adress, och varje gäst hämtar händelsen från dina reläer från sin. Ett relä som har inkorgarna för flera av dina gäster kan se att deras inbjudningar kom från samma adress. Bara Tor eller ett VPN döljer det.

Ditt konto

Calendar skapar inga konton: du loggar in med en Nostr-identitet du redan har, på ett av de här sätten.

• Med en signeringsapp i din Android-telefon (NIP-55, som Amber): nyckeln stannar i den appen, och Calendar pratar med den direkt i telefonen, utan något relä eller nätverk emellan. Enheten sparar bara din offentliga nyckel och vilken app som signerar. Calendar ber den om samma saker som en bunker (nedan), aldrig om inbjudningarnas kuvert, och kontrollerar varje signerad händelse som kommer tillbaka innan den används.
• Med din nyckel (nsec, eller en lösenordsskyddad ncryptsec som öppnas på enheten): den förvaras i operativsystemets säkra lagring, under ett namn som är Calendars eget. Herkos Mail håller sina konton åtskilda, och Calendar läser, ändrar eller raderar dem aldrig: att logga ut från den ena appen loggar inte ut dig från den andra.
• Med en bunker://-länk: nyckeln stannar i din signeringsapp. Calendar pratar med den via de reläer som länken nämner, och ber den bara om din offentliga nyckel, att kryptera och dekryptera (NIP-44) och att signera Calendars egna händelse-kinds; inbjudningarnas kuvert går aldrig genom den, eftersom de bär engångsnycklar. Enheten sparar bara anslutningen (en nyckel som skapats för den, signerarens offentliga nyckel och dess reläer). De reläerna ser din IP-adress, anslutningens nycklar och när signaturer begärs; förfrågningarna är krypterade.
• Med Nostr Connect (en QR-kod): som bunkern, men anslutningen går via reläerna under Inställningar → Reläer. Calendar lägger inte till något eget relä eller någon annans.

Dina reläer. När du loggar in letar Calendar efter dina listor (NIP-65, kind 10002, och din inkorgslista, kind 10050) på reläerna under Inställningar → Reläer, över en separat anslutning som inte identifierar dig: ett relä som begär autentisering får en engångsnyckel, inte din. Därefter:

• publiceras dina händelser, listor och krypterade inställningar på dina NIP-65-skrivreläer. Utan den listan, på dem under Inställningar, och kontosidan talar om det för dig;
• läses dina inbjudningar och svar från dina läs- och inkorgsreläer. Calendar svarar på NIP-42-autentisering bara på dina egna reläer, och bara för det som är ditt;
• ansluter appen ingenstans när du öppnar den inloggad, förrän något behövs;
• om Inställningar → Reläer innehåller ett relä som körs på den här enheten (en adress ws://127.0.0.1 eller ws://localhost, som appen Citrine), lämnar varje synkronisering också där en kopia av dina egna händelser, listor och raderingar, exakt som de signerades och fortfarande krypterade. Ingenting lämnar enheten för det, och så länge ett annat relä har en händelse är det här aldrig det relä där dina gäster får veta att de ska leta. Andra appar på enheten som läser det reläet ser det som vilket relä som helst ser.

Dina gästers reläer (beslutat den 21 oktober 2026). För att bjuda in någon behöver appen veta var personen tar emot. Calendar letar efter personens listor (10002 och 10050) bara på reläerna under Inställningar → Reläer, aldrig i en tredje parts offentliga index (som purplepag.es): den tjänsten skulle se vilken adress du frågar från och vem du frågar om, alltså vem du bjuder in. Varje gäst slås upp för sig, i slumpmässig ordning, över en egen anslutning med en engångsnyckel, så att de reläerna inte kan se vem som är inbjuden med vem. Det de däremot ser är din IP-adress och den offentliga nyckeln för varje person du slår upp. Om någons listor inte finns på de reläerna markerar appen personen med ”ingen känd inkorg” innan något skickas, och inbjudan når inte fram. För att hitta personen lägger du under Inställningar → Reläer till ett relä där hen publicerar sina listor.

Det som synkroniseras mellan dina enheter, alltid krypterat till dig och på dina skrivreläer: dina kalenderlistor (med nycklarna till deras händelser), påminnelseinställningar (d=calendar-alarms), kalendrarna du följer (d=calendar-subscriptions) och de inbjudningar du ignorerar eller andras händelser som du tar bort ur din kalender (kind 30078, d=calendar-declined: bara vilken händelse och när, aldrig dess titel). Reläerna ser att de finns och när de ändras, inte vad de säger. Påminnelserna som enheten ringer är de för kontot du är inloggad med, aldrig ett tidigare kontos.

Kopian av dina nycklar. Calendar erbjuder sig att spara en kopia: en fil med dina kalenderlistor och nycklarna till deras händelser, krypterad med ett lösenord du väljer för den (NIP-49:s chiffer). Den skrivs bara där du sparar den; den skickas inte till något relä eller någon server. Dess namn innehåller datumet, aldrig kontot. För att kunna påminna dig kommer enheten bara ihåg två datum: den senaste kopian och det senaste ”Inte nu”.

Att logga ut visar dig först vad som går förlorat och erbjuder dig att spara kopian. Sedan raderas din nyckel (eller anslutningen till bunkern) och den lagrade kalendern från den här enheten. Det som publicerats ligger kvar på reläerna, krypterat. Behörigheten du gav i din signeringsapp återkallar du i den appen.

Offentligt för att du väljer det

De är avstängda tills du slår på dem, och appen visar vad var och en avslöjar innan du gör det:

• Offentliga händelser (kinds 31922/31923): allt i dem — titel, tid, plats, beskrivning — är offentligt, kopplat till din offentliga nyckel, och förblir offentligt: en offentlig händelse kan inte göras privat igen.
• Upptagetlistan (kind 31926): de tider du är upptagen den här månaden och de två nästa, avrundade till 30 minuter (eller 15), för de kalendrar du väljer. Aldrig vad, var eller med vem. Om du stänger av den ombeds reläerna att radera den.
• Delningslänkar (herkos.app/e/…): länken är nyckeln. Den som har den kan läsa händelsen tills du återkallar den, och dess första del visar din offentliga nyckel. Nyckeln står efter #, en del av adressen som webbläsare aldrig skickar till en server, så varken Cloudflare eller vi ser den. Sidan frågar de reläer som anges i länken; om något av dem inte är ett välkänt relä talar den om för besökaren vilken server det är och frågar innan den ansluter, eftersom den servern skulle se besökarens IP-adress. Att återkalla krypterar om händelsen med en ny nyckel; den som redan har läst den behåller det hen läste.
• Exporter (.ics): en klartextfil med dina titlar och tider. Den är inte krypterad; förvara den som vilket annat privat dokument som helst.
• Automatisk kopia (.ics, på sidan Exportera till .ics): en gång om dagen, de dagar Calendar är öppet, en export av alla dina kalendrar till en mapp du väljer, där de 7 senaste behålls. Precis som en export är den inte krypterad, så allt som kan läsa den mappen (en annan app, en molnmapp som synkroniserar den) kan läsa dina titlar och tider. Calendar skriver och raderar bara sina egna filer där (herkos-calendar-auto-…ics), och kommer ihåg mappen bara på den här enheten.
• Problemrapporter (beta): appen förbereder bara en text som du själv kopierar och skickar. Den innehåller appversion, plattform, språk, tidszon och om påminnelser kan ringa, aldrig dina händelser, din nyckel eller ditt konto.

Herkos Calendar läser offentliga svar på dina offentliga händelser som skrivits av andra appar (RSVP:er, kind 31925, och gäster som drar sig ur, kind 84); den skriver ingetdera.

Det du själv slår upp

De här anslutningarna sker bara när du ber om dem:

• Kalendrar du följer via deras adress (.ics eller webcal): enheten hämtar kalendern direkt från servern på den adressen, bara över https, med några timmars mellanrum, utan cookies och utan någon mellanhand från oss. Servern ser din IP-adress och när du frågar, och alla som har adressen kan läsa kalendern. Listan med adresser sparas på din enhet och på dina reläer, krypterad till dig (kind 30078, d=calendar-subscriptions).
• Offentliga Nostr-kalendrar du följer (en naddr…-länk): de hämtas med några timmars mellanrum från dina reläer och från de reläer som länken nämner, aldrig från andra. De reläerna ser din IP-adress och vilken kalender du läser. De ligger i samma krypterade lista.
• Helgdagar: de finns i appen; att följa dem ber ingen server om något.
• ”Se om de är lediga” (i redigeraren, när du trycker på det): appen hämtar varje gästs offentliga upptagetlista (kind 31926) från de reläer där personen publicerar, utan att identifiera sig. De reläerna ser din IP-adress och vem du frågar om.
• Filer i en händelse: de ligger krypterade på en Blossom-server. När du öppnar en laddar appen ner den från den servern, som ser din IP-adress och filens identifierare, aldrig innehållet.

Herkos Notes: vad reläerna ser

Notes pratar med Nostr-reläer, och med ingen annan. Det finns ingen Herkos-server, ingen push-server och ingen telemetri. Varje relä ser din IP-adress och tidpunkten för varje anslutning.

Vilka reläer. Om ditt konto har en lista över privata reläer (kind 10013, listan som NIP-37 beskriver) använder Notes reläerna i den, som de är, och skriver aldrig över den; den letar efter listan på reläerna i sina Inställningar och på reläerna där du publicerar (din NIP-65-lista). Annars använder den reläerna i sina Inställningar: relay.formstr.app, nos.lol och relay.primal.net som standard, upp till åtta, alla kan ändras. Inställningarna erbjuder också en lista över kända reläer att lägga till med ett tryck; inget av dem kontaktas om du inte lägger till det. Ett relä får vara ws://, en okrypterad anslutning, bara om det finns på enheten eller i hemnätverket (localhost, privata adresser, .local-namn): anteckningarna färdas fortfarande krypterade, men vem som helst i det nätverket kan se det som reläet ser (tabellen nedan). Notes publicerar ingen egen relälista, om du inte ber om det (Reläer → Spara som min lista över privata reläer). Då publicerar den de här reläerna som din 10013, krypterad med din nyckel, på samma reläer där den letar efter listorna, och håller den uppdaterad med det du ändrar i Notes: reläerna ser din offentliga nyckel, att listan finns och när den ändras, inte reläerna i den. En lista som en annan app har skrivit skrivs aldrig över: Notes använder den som den är. Om ett av dessa reläer körs på den här enheten (en adress ws://127.0.0.1 eller ws://localhost, till exempel appen Citrine), lämnar Notes också en kopia där av dina anteckningar, anteckningsböcker och raderingar, precis som de signerades och fortfarande krypterade. Inget lämnar enheten för det; Notes läser aldrig från det reläet, och en anteckning som bara det har räknas inte som uppladdad. Andra appar på enheten som läser det reläet ser det som vilket relä som helst ser.

Herkos Local Relay. Finns Herkos Local Relay på samma enhet erbjuder Notes en gång att ansluta till det; inget skickas förrän du trycker på Anslut och godkänner Notes i Herkos Local Relay. Notes parar ihop sig med det med en egen nyckel, skapad för den ihopparningen, och kontrollerar vid varje anslutning att det är samma relä, så ett annat program som lyssnar på dess port får ingenting. Därefter kopierar Notes dit dina anteckningar, kontrollpunkter, anteckningsböcker, raderingar, din lista över privata reläer och sigillen för de anteckningar du delar, precis som de signerades och fortfarande krypterade, och ber det hålla allt utom raderingarna privat: reläet ger det bara till din nyckel och lämnar det inte vidare till någon. För att reläet ska spara dem som dina signerar Notes en gång med din nyckel när det ansluter. För detta lämnar inget enheten. Notes läser aldrig därifrån: det är en kopia, och en anteckning som bara finns där räknas inte som uppladdad. Slutar det svara fortsätter Notes med dina andra reläer och skickar senare bara det som saknas. Du kan koppla från det i Notes Inställningar, eller återkalla Notes i Herkos Local Relay.

Det som inte kan döljas. En antecknings d och k och en kontrollpunkts a måste vara läsbara: reläerna behöver dem för att ersätta en anteckning med dess nyare version och för att hitta dess historik. Ett relä kan alltså räkna hur många anteckningar du har och se när du redigerar var och en och hur ofta. Notes gör det grövre, inte osynligt: den sparar högst en kontrollpunkt per anteckning för varje timmes redigering, en när du stänger en anteckning som har ändrats och en av varje sida när du löser en konflikt, aldrig en per sparning, så att din skrivrytm inte publiceras minut för minut.

Varför dina anteckningar aldrig går ut. NIP-37-utkast kan ha en tagg expiration (dess exempel använder 90 dagar), och ett relä som respekterar den raderar händelsen på det datumet. För en anteckningsbok skulle det innebära att förlora anteckningar som ingen har bett om att radera, så Notes skriver den aldrig. Baksidan av det: dina anteckningar ligger kvar på reläerna, krypterade, tills du raderar dem, och att radera på Nostr är en begäran: ett relä kan behålla sin kopia.

Att dela en anteckning. Notes skickar kopian till de reläer där det andra kontot säger att det läser (dess NIP-17-reläer, kind 10050, eller annars läsreläerna i dess NIP-65-lista), som den letar efter på dina reläer, och till dina egna reläer, högst åtta. Det som färdas är det anteckningen säger (titel, text och taggar), inte din anteckningsbok, dina markeringar eller papperskorgen; det du ändrar efteråt skickas inte. Det andra kontot behåller sin kopia: Notes kan inte ta tillbaka den, och att radera din anteckning raderar inte den. För att ta emot ber Notes dina reläer om gift wraps adresserade till din nyckel med k=30023 och öppnar dem på enheten. Att kasta en tar bort den bara från enheten: en gift wrap signeras av en nyckel som ingen behåller, så ingen av er kan be reläerna radera den, och den ligger kvar där, oläslig för alla utom dig.

Sökningen är lokal. Allt är krypterat, så inget relä kan söka åt dig. Notes laddar ner och dekrypterar dina anteckningar och bygger indexet på enheten; orden du letar efter skickas aldrig någonstans.

Ett relä som begär NIP-42-autentisering får veta din offentliga nyckel; Notes svarar det med ditt konto. Notes ber också dina reläer om utkast som andra appar har skrivit med din nyckel (kinds 31234 och den äldre 30024), för att visa dem skrivskyddade, och publicerar ingenting när den gör det. Om du loggar in med en fjärrsignerare (en bunker eller Nostr Connect) bär dess reläer dina krypterade signeringsförfrågningar, och Notes ber den bara signera de kinds som anges ovan (även förseglingen av en delad anteckning, kind 13; dess gift wrap signeras på enheten, med nyckeln som används en gång). Med en signeringsapp på din Android-telefon (NIP-55, till exempel Amber) pratar Notes direkt med den på telefonen, utan något relä emellan, ber den om samma saker och kontrollerar varje signerad händelse som kommer tillbaka innan den används.

Herkos Drive: vad reläer och servrar ser

Drive förvarar innehållet i dina filer på Blossom-servrar och listan över dina filer och mappar (indexet) på Nostr-reläer, båda krypterade på din enhet. Det finns ingen Herkos-server, ingen push-server och ingen telemetri. Varje relä och server ser din IP-adress och tidpunkten för varje anslutning. Som standard går indexet till fem reläer och filerna till fem Blossom-servrar, ingen av dem driven av Herkos; Inställningar → Fillagring byter servrarna, och där kan du lägga till en egen server. Vem som driver var och en och var den finns, så långt vi vet (kontrollerat den 5 november 2026):

Landet kommer från serverns IP-adress och kan vara fel, och en server bakom Cloudflare visar inte var den finns; det som räknas är var varje operatör säger att den förvarar data, och de flesta säger det inte. Varje operatör är oberoende, med egna villkor; Herkos har inget avtal med någon av dem. Minst två av de fem filservrarna ligger utanför Europeiska unionen: det de förvarar är krypterat på din enhet och de kan inte läsa det, men din IP-adress och tidpunkten för varje uppladdning når dem.

Två nycklar. Ditt konto signerar bara en sak: lokaliseraren, en händelse krypterad till din egen nyckel som låter dina enheter hitta din Drive. Allt annat signeras av en volymnyckel som skapats slumpmässigt för din Drive och inte härletts från ditt konto, så indexet säger inte vems det är. Drive läser lokaliseraren en gång per enhet, inte vid varje start, så att reläerna inte ser ditt konto och din volym efterfrågas tillsammans. Den du delar en mapp med får också volymnyckeln; du kan byta den när som helst (Inställningar → Volymnyckel): dina andra enheter följer efter av sig själva, och det som är signerat med den gamla godtas inte längre.

Vad som inte kan döljas. Varje händelse säger vilken mapp den ligger i, så ett relä kan räkna hur många filer och mappar du har, se trädets form (vilka mappar som innehåller hur många saker) och när var och en ändras. Det kan inte se vad någon av dem heter eller innehåller.

Blossom-servrar får block av dina filer, vart och ett krypterat med en nyckel som hör till just dess revision och utfyllt till en multipel av 64 KiB, så de ser ungefär hur stor varje fil är, inte vad den är eller vad den heter. Varje uppladdning är signerad: på en egen server av volymnyckeln; på alla andra av en nyckel som skapats bara för den servern och den filen, som inte pekar ut någon och aldrig är densamma på två servrar. Att radera en fil ber dess servrar att radera dess block; precis som med reläer kan en server behålla en kopia.

Länkar (herkos.app/f/…). En länk till en fil eller mapp bär, efter #, nyckeln som öppnar den: länken är nyckeln. Delen efter # når aldrig vår server eller Cloudflare, och sidan tar bort den ur adressfältet så snart den har läst den. Men innan dess kan webbläsaren redan ha sparat hela adressen i sin historik, och en webbläsare som synkroniserar sin historik sparar den också på sin leverantörs servrar. Inget på vår sida kan förhindra det. För allt känsligt, ge länken ett lösenord (länken öppnar då ingenting utan det, och lösenordet skickas separat), eller dela med personens konto i stället, vilket inte kräver någon länk alls. Sidan läser länkens reläer och servrar; en som den inte känner till kontaktas först när du säger ja, eftersom den skulle se din IP-adress. En länk kan löpa ut: den dagen slutar den öppna, och en mapp får nya nycklar, så det som läggs till senare öppnas inte med den gamla nyckeln. Den som redan har öppnat den behåller det hen laddade ner. För att stänga åtkomsten tidigare, ta bort länken: en mapp får då nya nycklar direkt.

Delning med ett konto. Drive letar efter var det kontot läser (dess NIP-17-reläer, kind 10050, eller läsreläerna i dess NIP-65-lista) på dina reläer och på Drives, en person i taget, aldrig i ett offentligt index. Varje person får en egen länk, så att ta bort en påverkar inte de andra, och ingen kan se vem mer som fick den.

Ett relä som begär NIP-42-autentisering får veta volymnyckeln, aldrig ditt konto: Drive svarar det med volymnyckeln. Om du loggar in med en signeringsapp på din Android-telefon (NIP-55, till exempel Amber) ber Drive den bara signera lokaliseraren, begäran som pensionerar en gammal och förseglingen av det du delar med ett konto, samt kryptera och dekryptera för din egen nyckel.

Herkos Local Relay: vad det sparar och vem det pratar med

Herkos Local Relay är ett Nostr-relä som körs på din egen enhet, för Herkos-apparna och vilken annan Nostr-klient som helst. Det finns ingen server från oss bakom det, och det skickar ingenting till oss.

I korthet (detaljerna följer):

• Vem som hanterar dina uppgifter: du. Herkos får ingenting från reläet: inga händelser, inga nycklar, inga IP-adresser, ingen statistik. Det finns inget konto och ingen server från oss.
• Vad det sparar: på din enhet och krypterat, det dina appar skriver och det som det hämtar från dina reläer, de parkopplade apparna och dess inställningar.
• Vem det pratar med: dina reläer och inkorgsreläerna hos de personer du skriver till. Ingen annan. Om du slår på Tor, även Tor-nätverket.
• Hur länge: tills du raderar det, avinstallerar appen eller regeln du väljer rensar bort det. Rensningen är avstängd som standard och raderar aldrig dina egna händelser.
• Kopior: bara där du väljer, aldrig i molnet, och krypterade med ett lösenord som bara du känner till.
• Dina rättigheter: du kan se, ändra och radera allt från appen. Det du redan har publicerat på andra reläer sparas av varje relä: fråga dess operatör.
• Ålder: det är inte avsett för barn under 16 år.

Vad det sparar, på enheten. De händelser dina appar skriver till det och de som det hämtar från dina reläer, i en databas krypterad med en nyckel som förvaras i operativsystemets säkra lagring. Bredvid den: apparna du har parkopplat och vad var och en får göra; dess inställningar (settings.json: porten, kvoten, rensningen, om sessionsloggen är på, om appar som inte är parkopplade får komma in, om det lokala nätverket är på och dess port); om du slår på det lokala nätverket, listan över tillåtna nycklar, med de namn du gav dem, och reläets certifikat och dess nyckel, inuti den krypterade databasen; och kopiornas (backups.json: hur ofta, mappen, den offentliga nyckel som kopiorna krypteras för och dess salt, när den senaste gjordes). Inget av det är en hemlighet, och kopiornas lösenord sparas aldrig. På Windows och Linux anger relay.json i appens mapp, medan det körs, vilken port det lyssnar på, så att Herkos-apparna kan hitta det. Att avinstallera appen raderar databasen, och dess nyckel blir oanvändbar.

Vem som kan ansluta. Det lyssnar på 127.0.0.1 (port 4873 om du inte ändrar den): så länge det lokala nätverket är avstängt, som det är från början, kan ingenting utanför enheten nå det. Vilken app som helst på enheten kan nå den adressen, så en app eller en webbsida måste parkopplas, godkänd av dig på skärmen, innan den kan skriva, och en webbsida som inte är parkopplad avvisas. Att återkalla en app kopplar bort den direkt. Privata händelser (utkast, privata listor, påminnelser, de förseglade kuvert du tar emot) lämnas bara ut till den som med NIP-42 bevisar att den har nyckeln de hör till.

Det lokala nätverket, om du slår på det, öppnar en andra port (4874 om du inte ändrar den) för enheterna i ditt nätverk: bara wss://, med reläets eget certifikat, och bara för nycklarna på din lista, efter att de har autentiserat sig med NIP-42. En nyckel på listan läser dina offentliga händelser och de privata som är avsedda för den, och skriver bara händelser som den själv har signerat; tar du bort den från listan kopplas den bort. Vem som helst i samma nätverk ser att enheten har den porten öppen och hur mycket trafik som går genom den, men inte vad.

Tor, om du slår på det (på Windows och Linux; på Android kommer det senare), gör relayn till en onion-tjänst i Tor, med en .onion-adress som inte ändras. Appen startar den här datorns tor-program (eller det som följer med appen), som ansluter till Tor-nätverket. Adressens nyckel förvaras i den krypterade databasen och lämnas bara till den tor, på själva enheten; tors egen mapp innehåller dess kopia av nätverkets katalog och dess cookie, aldrig den nyckeln. Om Tor är på sparas i settings.json. Via Tor gäller samma regler som på det lokala nätverket: bara nycklarna på din lista, efter att de autentiserat sig med NIP-42. Den som ansluter till din adress ser inte din IP-adress, och du inte hens. Adressen ensam öppnar ingenting; om den har spridits byter Ny adress den. Herkos tar inte emot något.

För att ta reda på var någon tar emot frågar det dina reläer. Dina privata händelser (utkast, privata listor, påminnelser) lämnar aldrig enheten. Det tillkännager aldrig sin egen adress (den finns inte i någons NIP-65-lista), dess NIP-11-dokument säger inte vem du är, och det finns ingen analys, telemetri eller kraschrapportering. På Android körs det som en tjänst med en avisering och dess knapp Stoppa; det somnar efter 10 minuter utan anslutningar, och en Herkos-app väcker det på själva enheten, utan någon push-server.

Sessionsloggen är avstängd som standard. Om du slår på den hålls den bara i minnet, de senaste 500 raderna, och raderas när reläet stoppas: anslutningar, NIP-42-autentisering, händelser som tas emot eller avvisas och de kinds som efterfrågas, med kind och början av deras id, aldrig deras innehåll.

Kopior. Den krypterade kopian av hela lagret skrivs bara där du väljer: en mapp på enheten eller en extern disk. En mapp som tillhör en molnklient (OneDrive, Google Drive, Dropbox, iCloud, Nextcloud, Herkos Drive…) avvisas. Den krypteras med ett eget lösenord (scrypt och XChaCha20-Poly1305); de schemalagda för den offentliga nyckel som lösenordet ger, så att de görs utan det. De sju senaste sparas. Utan lösenordet kan ingen öppna en kopia, inte heller vi, och om du förlorar det är kopian förlorad. JSONL-exporten är inte krypterad: den innehåller dina privata händelser i klartext, och appen säger det innan den skrivs.

Rensningen är avstängd som standard: utan den behåller reläet andras händelser så länge det finns plats. Du kan rensa efter ålder (30, 90, 180 eller 365 dagar) eller efter utrymme (från 256 MB till 5 GB), och appen visar först hur mycket den skulle radera. Den raderar bara andras händelser: aldrig dina, kuverten till dig, de kinds dina appar skyddar eller raderingsbegäranden; efter utrymme bara efter en kopia från det senaste dygnet. Med det lokala nätverket eller Tor på går rensning efter ålder inte att stänga av: andras händelser raderas efter 90 dagar om du inte väljer en annan gräns. En händelse med ett utgångsdatum (NIP-40) lämnas inte längre ut när den har gått ut, oavsett vem som skrev den. Och som överallt i Nostr är radering en begäran: det som redan har gått till andra reläer kan ligga kvar där.

Våra webbplatser och Cloudflare

herkos.app (inklusive herkos.app/e/ och herkos.app/f/), app.herkos.app (webbversionen av Mail), calendar.herkos.app och notes.herkos.app (webbversionerna av Calendar och Notes, när de publiceras) och fdroid.herkos.app (vårt F-Droid-arkiv) är statiska filer som levereras av Cloudflare (Cloudflare Pages och R2). Som vilket webbhotell som helst tar Cloudflare emot din IP-adress, din webbläsares user agent, adressen du begär (utan delen efter #) och tidpunkten, och kan spara dem i sina loggar enligt sin egen integritetspolicy.

Vi sätter inga kakor och använder ingen analys; sidorna och webbappernas egna filer kommer bara från dessa domäner (webbapparna ansluter sedan till de reläer och servrar som beskrivs ovan), och vi tittar inte på loggar per besökare. Nedladdningar från Releases kommer från GitHub, som ser samma slags uppgifter enligt sin egen policy.

Offentligt av design

Nostr är ett offentligt nätverk. Följande är synligt för alla som frågar de reläer du använder, och är kopplat till din offentliga nyckel:

• din profil (namn, bild) och dina listor över reläer/Blossom-servrar;
• NIP-32-etiketthändelser som Herkos Mail publicerar när du markerar ett mejl som läst, stjärnmärker det, arkiverar det eller flyttar det till en mapp — inklusive namnet på egna mappar. En avsändare som känner till id:t för det mejl hen skickade till dig kan därför se när du läser det. Vi planerar att kryptera dessa; tills dess bör du vara medveten om det;
• i Herkos Calendar bara det du gör offentligt (se ovan);
• i Herkos Notes inget innehåll alls, bara mönstret som beskrivs ovan: hur många anteckningar du har och när du redigerar dem;
• i Herkos Drive inga namn eller innehåll, bara mönstret som beskrivs ovan: hur många filer och mappar du har, trädets form och när var och en ändras;
• genom Herkos Local Relay bara de offentliga händelser som dina appar publicerar, som med vilket relä som helst.

Dina val och rättigheter

• Allt ovan styr du själv under Inställningar → Nätverk och servrar (reläer, DM-reläer, Blossom-servrar, bryggor) och Inställningar → Aviseringar; i Herkos Calendar bestämmer du själv över reläerna, upptagetlistan och varje delningslänk (Dela via länk → Återkalla länk); i Herkos Notes över reläerna (i dess Inställningar, eller i din egen lista över privata reläer).
• I Herkos Drive bestämmer du själv över servrarna (Inställningar → Fillagring), volymnyckeln (Inställningar → Volymnyckel) och varje länk och varje person som en fil eller mapp delas med (Dela).
• I Herkos Local Relay finns de parkopplade apparna och vad var och en får göra, porten, kvoten, rensningen, sessionsloggen, det lokala nätverket, Tor och listan över nycklar, och kopiorna på dess egna skärmar.
• Om du loggar ut från Herkos Notes raderas anteckningarna på den enheten, men först laddas det upp som bara finns där, och du får veta hur många anteckningar du skulle förlora; anteckningarna på reläerna finns kvar och kommer tillbaka när du loggar in igen.
• Du kan när som helst exportera din nyckel, ta bort ett konto (vilket också ber reläerna att radera dina uppgifter, NIP-62) eller återställa appen.
• Eftersom vi inte innehar några personuppgifter kan vi inte själva besvara begäranden om tillgång, rättelse eller radering; rikta dem till operatören av det berörda reläet, den berörda bryggan, push-servern eller webbhotellet. Vi hjälper dig att ta reda på vem det är.
• Herkos är inte avsett för barn under 16 år.

Ändringar

Vi ändrar det här dokumentet när appens beteende ändras, och anger datumet överst. Den auktoritativa källan är PRIVACY.md i arkivet; den publicerade sidan är en kopia av den.

Kontakt: privacy@herkos.email · https://herkos.app

Andra språk

English · Español · Bahasa Indonesia · Català · Čeština · Deutsch · Français · Italiano · Magyar · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Română · Slovenčina · Suomi · Svenska · Türkçe · 中文 · Ελληνικά · हिन्दी · 日本語 · 한국어 · Русский · Українська