Transparenz

Abrechnung

Wer einen Tarif bezahlt, gibt einen Namen, eine Rechnungsadresse und, als Unternehmen, eine USt-IdNr. an. Das liegt zusammen mit deiner Karte bei Stripe, unserem Zahlungsanbieter; wir behalten nur die Referenznummern von Stripe, deinen Tarif und seinen Status. Damit hängt an deinem Handle tatsächlich eine echte Identität. An deinen Inhalten ändert das nichts: Die bleiben mit Schlüsseln verschlüsselt, die wir nie haben.

Gar nicht gespeichert

Deine IP-Adresse wird im Arbeitsspeicher benutzt, um das Durchprobieren von Passwörtern auszubremsen, und das war’s: Sie landet weder in einem Log noch in einer Datenbank. Die einzige Ausnahme ist ein Call, bei dem der Medienserver deine Adresse braucht, um dir Ton und Video zu schicken (siehe Video oben). Calls werden nicht aufgezeichnet, und Ton oder Video werden nie gespeichert. Der Fetcher von Reader bekommt deine Adresse überhaupt nicht. In den Apps gibt es keine Analyse- oder Tracking-Skripte.

Wo die Verschlüsselung von Calls endet

• Der Schlüssel eines Calls ist mit dem Schlüssel des Kanals, Termins oder Meetingraums versiegelt, zu dem der Call gehört. Jeder mit Zugriff darauf könnte ihn öffnen; wer in den Call gelassen wird und den Schlüssel bekommt, regeln unsere Server.
• Wenn ein Host jemanden entfernt, geben unsere Server ihm keine Schlüssel mehr, und der Call wechselt zu einem neuen Schlüssel. Das Zugangstoken der Person für den Medienserver gilt bis zu 6 Stunden und lässt sich nicht widerrufen. Ihr Gerät kann sich deshalb kurzzeitig erneut verbinden, wird aber jedes Mal nach wenigen Sekunden wieder getrennt. Dabei erhält es nur verschlüsselte Daten.
• Verliert jemand während eines Calls den Zugriff auf den Kanal, Termin oder Meetingraum, kann ein Call-Schlüssel unter einem Schlüssel entstehen, den diese Person noch hat, bis jemand mit Bearbeitungsrechten neu verschlüsselt. Er geht nur an Leute im Call, und danach wechselt der Call zu einem neuen Schlüssel.
• Jemand im Call könnte gemeinsam mit unserem Medienserver eigenen Ton oder eigenes Bild als das einer anderen Person ausgeben. Unsere Server allein können das nicht, und niemand außerhalb des Calls kann es.

Wo der Fetcher von Reader an Grenzen stößt

• Der Fetcher sieht, welche Feeds und Artikel angefragt werden. Jede Anfrage trägt ein anonymes Einmal-Token und sonst nichts über dich. Er kann also nicht wissen, wer gefragt hat, und hält nichts fest, womit er es könnte.
• Wir sehen die Speicherzeitpunkte deiner verschlüsselten Einträge aus allen Feeds. Welcher Eintrag zu welchem Feed gehört, sehen wir nicht.
• Wer unsere Server gezielt verändert und live beobachtet, könnte versuchen, den Zeitpunkt von Abrufen mit den verschlüsselten Einträgen abzugleichen, die ein Konto speichert. Das Design sorgt dafür, dass keine Aufzeichnungen Leute mit Feeds verknüpfen, und das Speichern wird um eine zufällige Zeit verzögert, damit sich ein Abruf nicht einfach einem Konto zuordnen lässt.
• Die Adresse eines Alias sehen wir, weil wir Mails an sie zustellen. Dazu gehört auch das Wort, das du wählst – nimm also lieber ein unauffälliges, wenn es sonst etwas verraten würde.

Jelly Vault, ohne irgendwas auf unseren Servern

• Dein Tresor liegt nur auf deinen Geräten. In unserer Datenbank gibt es keine Tabelle dafür, wir können also nicht mal auflisten, welche Tresore ein Konto hat.
• Wenn deine Geräte über jellysuite synchronisieren, reicht unser Relay versiegelte Bytes zwischen zwei deiner Geräte weiter, solange beide verbunden sind. Es behält nichts: Nichts wird gespeichert, in eine Warteschlange gestellt oder protokolliert.
• Über Bluetooth erreicht uns gar nichts. Wer in der Nähe nach Bluetooth-Geräten sucht, kann erkennen, dass ein Gerät mit Jelly Vault in der Nähe ist, aber nicht, wem es gehört oder welcher Tresor es ist.