01Responsable del tratamiento
El responsable de los datos personales recogidos en la aplicación Ember es Sławomir Paduch.
Contacto para asuntos de protección de datos: [email protected].
02Qué datos recogemos
2.1. Datos de la cuenta – dirección de correo electrónico, nombre de usuario, contraseña (guardada solo como hash bcrypt), identificador público de la cuenta.
2.2. Datos del cifrado de extremo a extremo – cifrado nuevo (v2): por cada uno de tus dispositivos, claves públicas de identidad, una prekey firmada y un conjunto de prekeys de un solo uso, además de una lista firmada de tus dispositivos. Tu clave de cuenta está en el servidor solo envuelta con tu código de recuperación (generado en tu dispositivo); el servidor no puede abrirla. Cifrado antiguo (v1): tu clave pública. Las cuentas creadas antes de que se retirara el PIN también tenían en el servidor su clave privada cifrada con un PIN. La app borra esa copia en cuanto tu clave está a salvo en tu copia protegida con el código de recuperación. Hasta entonces, un PIN corto puede adivinarse por fuerza bruta por cualquiera que consiga la copia cifrada, así que considera esa protección débil. Las cuentas nuevas nunca suben esa copia. La contraseña de tu cuenta (guardada como hash bcrypt) es algo distinto del PIN y del código de recuperación y no desbloquea ninguna clave. El responsable no conoce tu PIN ni tu código de recuperación y no puede descifrar el contenido de tus mensajes.
2.3. Contenido de las comunicaciones – los mensajes, las imágenes, las grabaciones de voz y el establecimiento de las llamadas están cifrados de extremo a extremo. Lo que el servidor aún puede ver depende del cifrado que use cada chat; véanse 2.3c y 2.3d. Los fondos de chat (fotos, GIF y vídeos, en toda la app y por chat) se cifran en tu dispositivo antes de subirse; el servidor solo guarda un bloque ilegible que únicamente tú puedes descargar. Las fotos de perfil no están cifradas de extremo a extremo y son visibles para otros usuarios.
2.3a. Perfil público – nombre visible, biografía, estado (emoji, texto y hora de caducidad) y color del perfil, si decides establecerlos. No están cifrados y son visibles para otros usuarios de la app, igual que tu nombre de usuario y tu foto de perfil.
2.3b. Preferencias – los ajustes de apariencia (tema, colores, fuentes, parámetros del fondo animado) se guardan sin cifrar para que acompañen a tu cuenta entre dispositivos. La personalización personal – apodos y colores de contactos, carpetas de chats, chats fijados, aspecto por chat y uso de emojis – está cifrada de extremo a extremo en tu dispositivo; el servidor solo guarda un bloque ilegible. Los ajustes de notificaciones – horas de silencio y zona horaria, la lista de personas que pueden notificarte durante las horas de silencio (VIP), los chats silenciados y el modo de vista previa de las notificaciones – se guardan sin cifrar, porque el servidor los necesita para decidir si envía una notificación push.
2.3c. Qué ve el servidor con el cifrado nuevo (v2) – el cifrado nuevo se despliega de forma gradual y solo se aplica a los chats en los que ambas partes usan la versión nueva de la app; un grupo pasa a él cuando un administrador lo actualiza. El servidor no ve el remitente ni la conversación de un mensaje individual, ni el texto, los archivos adjuntos, las reacciones, el estado de lectura o el historial de ediciones, ni el nombre, la descripción, la imagen y los nombres de sala de un grupo v2. Lo que sí sigue viendo es:
- tu dirección IP y las horas a las que te conectas;
- qué buzón de dispositivo pertenece a qué cuenta, y el token push de cada dispositivo;
- tus listas de amigos y bloqueos (quién es amigo de quién, quién ha bloqueado a quién);
- la pertenencia a grupos y los roles, los baneos y las acciones de moderación;
- las llamadas en tiempo real: quién llama a quién y cuándo, porque el servidor retransmite el establecimiento de la llamada;
- quién está presente en qué sala de voz y durante cuánto tiempo;
- la hora aproximada (redondeada a la hora) y el tamaño con relleno de los mensajes cifrados que esperan entrega, y cuántos bytes de archivos adjuntos subes al día;
- si activas la copia de seguridad del historial: el tamaño y el día de cada bloque cifrado de la copia;
- el día en que se vio por última vez cada uno de tus dispositivos.
2.3d. Qué ve el servidor en los chats antiguos (v1) – los chats y grupos que aún no han pasado al cifrado nuevo funcionan como antes. Su contenido está cifrado de extremo a extremo, pero mientras los mensajes existan en el servidor, este guarda y puede ver:
- quién escribió a quién (remitente y conversación), la hora exacta de cada mensaje, su tipo y su estado de entrega;
- el estado de lectura: hasta qué mensaje ha leído cada participante;
- las reacciones: quién reaccionó a qué mensaje y con qué emoji;
- las ediciones y eliminaciones: cuándo ocurrieron, y las versiones cifradas anteriores de un mensaje editado;
- las respuestas: el nombre del remitente del mensaje citado;
- los archivos adjuntos: su tipo y su tamaño exacto;
- el nombre, la descripción, la imagen y los nombres de sala de un grupo (sin cifrar), sus miembros, roles e historial de moderación.
2.4. Datos de grupos – la lista de miembros, los roles, los baneos y el historial de moderación son visibles para el servidor en todos los grupos. En los grupos con el cifrado antiguo, el nombre, la descripción, la imagen y los nombres y temas de las salas tampoco están cifrados; en los grupos con el cifrado nuevo se cifran en tus dispositivos y el servidor solo guarda un bloque ilegible. Los grupos con el cifrado nuevo tienen además un registro de membresía guardado en el servidor: cada alta, baja, cambio de rol y cambio de sala, firmado con la clave de cuenta del miembro que lo hizo. El servidor puede leer este registro, pero no puede falsificar ninguna entrada.
2.5. Datos técnicos – dirección IP y horas de conexión (limitación de peticiones, protección contra abusos), el token push (FCM) de cada dispositivo, el día en que se vio por última vez cada uno de tus dispositivos y, si activas la copia de seguridad del historial, el tamaño y el día de sus bloques cifrados.
03Finalidad y base jurídica del tratamiento
| Datos | Finalidad | Base jurídica (RGPD) |
|---|---|---|
| Cuenta | Prestación del servicio | Art. 6.1.b |
| Claves de cifrado | E2E | Art. 6.1.b |
| Metadatos de los mensajes | Entrega de mensajes | Art. 6.1.b |
| Dirección IP | Protección contra abusos | Art. 6.1.f |
| Token push (FCM) | Notificaciones | Art. 6.1.a |
| Perfil público | Mostrar a otros usuarios quién eres | Art. 6.1.b |
| Preferencias y ajustes de notificaciones | Personalizar la app, decidir cuándo notificarte | Art. 6.1.b |
| Tráfico de llamadas y salas de voz | Conectar llamadas y salas de voz (TURN/SFU) | Art. 6.1.b |
04Con quién compartimos datos
Firebase Cloud Messaging (Google) – el token push de tu dispositivo y la propia notificación push. Las notificaciones del cifrado nuevo son avisos sin contenido: no llevan nombres, ni identificadores de usuarios o conversaciones, ni contenido de mensajes; la app muestra un genérico “Nuevo mensaje” y los detalles aparecen solo después de que la app descifre el mensaje. Las notificaciones de los chats antiguos pueden llevar el nombre del remitente o del grupo, según tu ajuste de vista previa (o solo un genérico “Nuevo mensaje”), y nunca el contenido de un mensaje cifrado.
Cloudflare, Inc. – servidores de retransmisión (TURN) para las llamadas y el servidor de medios (SFU) para las salas de voz de grupo. Cloudflare ve las direcciones IP, las horas de conexión y el volumen del tráfico retransmitido. El audio y el vídeo están cifrados de extremo a extremo, así que Cloudflare no puede ver su contenido.
05Plazo de conservación de los datos
Hasta que se elimine la cuenta – la eliminación es permanente. Con el cifrado nuevo, un mensaje que espera a un dispositivo se elimina cuando ese dispositivo confirma la recepción y, como máximo, a los 30 días; los archivos adjuntos cifrados se eliminan a los 30 días. Las copias de seguridad cifradas del historial permanecen hasta que las elimines o elimines la cuenta (desactivar la copia en la app aún no borra los bloques ya guardados). Los mensajes de los chats antiguos permanecen en el servidor hasta que se elimine la cuenta o hasta que esos datos se borren tras una migración al cifrado nuevo.
06Derechos del usuario
Acceso, rectificación, supresión, limitación, portabilidad de los datos, oposición, reclamación ante la autoridad de control (en Polonia: PUODO). Contacto: [email protected].
07Seguridad de los datos
- Cifrado nuevo: X3DH y Double Ratchet, sealed sender, sender keys para grupos, AES-256-GCM
- Cifrado antiguo: ECDH + AES-256-GCM
- Contraseñas como hashes bcrypt
- HTTPS/TLS
08Datos locales en el dispositivo
Tus claves privadas se crean en tu dispositivo. La clave privada del cifrado antiguo se conserva en el dispositivo (una cuenta antigua puede tener todavía en el servidor una copia cifrada con PIN hasta que la app la borre, véase 2.2); las claves de dispositivo del cifrado nuevo y tu base de datos local de mensajes nunca salen del dispositivo, salvo como copia de seguridad cifrada si la activas. El código de recuperación (y el PIN de una cuenta antigua) nunca se envía al servidor. También se conserva en el dispositivo una copia descifrada de tus preferencias cifradas (véase 2.3b) y de tu caché de mensajes. Todo ello se elimina al cerrar sesión.
09Niños y menores
No está destinado a personas menores de 16 años.
10Cambios en la Política
Te avisaremos mediante la función “Mensaje del creador” de la app.