Cara Patepang melindungimu

Sebagian besar Patepang hidup di HP-mu dan tidak pernah sampai ke kami. Data aplikasi disimpan tersegel dengan kunci perangkat keras HP, di tempat yang tidak ikut cadangan sistem HP.

• Kunci pribadi akun dan perangkatmu tidak pernah meninggalkan HP.
• PIN diperiksa di HP dan tidak pernah dikirim. Patepang tidak pernah menanyakan PIN-mu.
• Isi aplikasimu: orang yang kamu temui dan nama mereka, percakapan, kabar, momen, lingkaran, rencana, catatan, dan pengaturan. Semua ini keluar dari HP dalam bentuk terenkripsi: ke orang yang kamu pilih, di cadangan akun bila kamu mengaktifkannya, atau di berkas ekspor yang kamu buat sendiri. Pengecualiannya adalah yang kamu keluarkan sendiri dalam bentuk terbuka: berkas dari Simpan bukti, berkas kalender dari rencana, dan nama tempat yang kamu buka di aplikasi peta.
• Nama panggilan dan foto profil hanya dikirim terenkripsi ke orang yang pernah kamu temui. Wilayah rumah (provinsi) hanya disimpan di HP.

Aplikasi tidak meminta izin buku alamat, dan tidak membaca galeri fotomu: foto dipilih lewat pemilih milik sistem HP, dan foto atau video hanya ditambahkan ke galeri saat kamu menekan Simpan. Izin lokasi hanya diminta saat kamu menekan Bagikan lokasi, untuk lokasi sementara di satu percakapan, atau Hitung jarak ke lokasi yang dibagikan kepadamu. Lokasi yang kamu bagikan dikirim terenkripsi ke percakapan itu sampai waktunya habis atau kamu berhenti; jarak dihitung di HP dan tidak dikirim. Sensor gerak hanya dibaca selama goyangan tempel, sekitar dua detik.

Pesan, grup, kabar, momen, rencana, foto, suara, dan berkas dienkripsi di HP sebelum dikirim, dan hanya terbuka di HP penerima. Server tidak memegang kuncinya: ia menyimpan dan meneruskan isi itu dalam bentuk yang tidak bisa dibacanya.

• Pesan dienkripsi dengan libsignal (PQXDH dengan ML-KEM-1024 dan triple ratchet). Setiap foto, video, suara, dan berkas punya kuncinya sendiri, yang hanya dikirim di dalam pesan terenkripsi, dan ukurannya dibulatkan ke atas sebelum dienkripsi, sehingga server hanya tahu ukuran kira-kira.
• Nama, foto, dan pesan grup terenkripsi ujung ke ujung; yang tidak terenkripsi adalah keanggotaan grup (lihat bagian berikutnya).
• Cadangan akun, bila kamu mengaktifkannya, dienkripsi di HP-mu dengan kunci baru setiap kali. Kuncinya dipecah, dan setiap pecahan disegel untuk HP satu penjaga; dua pecahan cukup untuk membukanya. Server menyimpan cadangan itu tetapi tidak bisa membukanya.
• Rekaman goyangan disegel di HP untuk enklaf tempel, dan isi yang kamu laporkan disegel untuk para moderator. Server tidak bisa membaca keduanya.
• Apple dan Google hanya mengantar notifikasi tersegel berukuran 176 byte, tanpa pengirim dan tanpa isi.

Batasnya: isi bisa dibaca pihak lain karena tindakanmu atau tindakan penerimanya, misalnya saat dilaporkan atau disimpan sebagai berkas di luar aplikasi. Hapus untuk semua dan pesan yang menghilang adalah janji aplikasi, bukan jaminan teknis, dan isi yang sudah tampil masih bisa dilaporkan penerimanya sampai 30 hari. Dua penjagamu yang bersekongkol bisa membuka cadangan akunmu tanpa pemulihan. Batas lainnya ada di halaman Keamanan.

Server tidak bisa membaca isi, tetapi tahu hubungan antarakun dan menyimpan sebagian data tentang akunmu:

• Tempel. Untuk setiap tempel: kedua akun, jenisnya, waktunya sampai ke menit, dan ruangnya bila terjadi di ruang acara. Jadi server tahu akun mana pernah bertemu akun mana, kapan, dan dengan cara apa. Untuk tempel di titik lahir, server juga tahu kotanya.
• Grup dan penjaga. Siapa anggota grup mana, perannya, siapa menambahkan siapa, dan tanggal bergabung, disimpan tanpa enkripsi. Juga siapa penjaga siapa, jawaban mereka, dan data pemulihan sampai 8 hari setelah pemulihan selesai.
• Pesan. Amplop terenkripsi yang belum diambil, dengan akun dan perangkat penerima, kelompok ukurannya, dan waktunya. Server melihat waktu dan ukuran lalu lintas. Server tidak mencatat pengirim, dengan dua pengecualian: pesan pertama setelah tempel (paling banyak 20 dalam 24 jam) memakai token yang terikat pada tempel itu, sehingga server tahu pesan itu dari orang yang kamu tempel; dan bila kamu memutus koneksi pada hari kalian bertemu, server bisa menyimpulkannya.
• Akun dan perangkat. Kunci publik dan rantai kuncimu, waktu akun dibuat dan lahir, cara lahirnya, tanggal terakhir kamu aktif, tanggal terakhir setiap perangkatmu masuk, status langganan, ruang media terpakai, jadwal penghapusan bila kamu memintanya, kunci darurat, dan status moderasi.
• Media. Untuk setiap media terenkripsi: akun pemiliknya (untuk kuota), ukurannya yang sudah dibulatkan, kelasnya, dan tanggalnya.
• Langganan. Toko tempat kamu membeli, pengenal acak yang menghubungkan pembelian dengan akunmu, status langganan, dan apakah masa coba sudah dipakai. Pengenal itu juga tersimpan di Apple atau Google bersama pembelianmu, sehingga mereka bisa menghubungkannya dengan akun tokomu.
• Notifikasi. Bila kamu mengizinkan notifikasi, token notifikasi HP-mu dari Apple atau Google. Token itu disimpan terenkripsi, tetapi server membukanya untuk mengirim notifikasi, jadi server bisa membacanya.
• Ruang acara dan laporan. Tuan rumah, peserta dan waktu mereka masuk, dan permintaan koneksi antarpeserta, selama ruangnya ada. Untuk laporan: akun yang dilaporkan, bukti tersegel yang tidak bisa dibaca server, dan keputusan moderasi.
• Lainnya. Hitungan harian tanpa akun, misalnya jumlah akun dan tempel; dan untuk batas 3 akun per HP per bulan, kunci acak per pemasangan beserta jumlahnya.

Cloudflare, jaringan di depan server, membuka enkripsi koneksi (TLS), jadi melihat setiap permintaan ke server kecuali isi yang terenkripsi ujung ke ujung. Yang terlihat: alamat IP, waktu, dan ukuran; token masuk, id akun, dan nomor perangkat; penerima dan token setiap pesan; dan kunci setiap media. Lewat alamat IP, Cloudflare bisa menghubungkan sebuah HP dengan akunnya, pengirim pesan dengan penerimanya, dan pengunggah media dengan pengunduhnya.

Server berjalan di Amazon Web Services (AWS) di Singapura. AWS bisa mengakses semua yang disimpan server, termasuk isi dalam bentuk terenkripsinya. Apple dan Google melihat alamat IP dan waktu notifikasi, pembelian, dan pemeriksaan keaslian aplikasi. Penyedia lain dan apa yang mereka lihat ada di Kebijakan privasi bagian 8, dan semua data di server beserta lama penyimpanannya di bagian 4 dan bagian 7.

• Isi yang bisa dibaca. Server tidak pernah memegang isi pesan, kabar, momen, foto, suara, atau berkas dalam bentuk yang bisa dibacanya. Amplop pesan dihapus begitu perangkat penerima mengambilnya.
• Identitas dan lokasi. Server tidak pernah menerima nama, email, nomor telepon, kata sandi, tanggal lahir, foto, atau lokasi HP-mu dalam bentuk yang bisa dibacanya: lokasi sementara yang kamu bagikan lewat server terenkripsi ujung ke ujung, seperti pesan. Data lokasi yang terkait dengan akun hanya kota, untuk titik lahir dan daftar tunggunya.
• Alamat IP. Server tidak menyimpan atau mencatat alamat IP. Penghitung laju sementara memakai alamat IP hanya di rute tanpa masuk, di memori, tanpa ditulis ke disk, dan negara dari Cloudflare hanya dipakai untuk hitungan harian tanpa akun.
• Riwayat pemakaian. Server tidak menyimpan log masuk, riwayat pemakaian aplikasi, atau riwayat alamat IP. Selain tanggal terakhir kamu aktif dan tanggal terakhir setiap perangkatmu masuk, tanpa jamnya, server menyimpan riwayat tempelmu (dengan siapa dan kapan, sampai ke menit) dan waktu setiap perubahan kuncimu, yang bersifat publik.
• Pengirim dan pelapor. Server tidak mencatat siapa pengirim sebuah pesan, kecuali dua pengecualian di bagian sebelumnya, dan tidak menyimpan akun, perangkat, atau alamat orang yang melapor.
• Pembayaran. Kami tidak menyimpan harga, cara bayar, identitas akun tokomu, atau kuitansi.
• Log. Log server tidak memuat alamat IP atau id akun, dan disimpan 7 hari. Log audit, yang mencatat tindakan operator dan moderator, juga tanpa id akun.

Kami tidak menjual data dan tidak membagikannya untuk iklan atau pemasaran. Aplikasi tidak memuat iklan atau alat analitik. Situs ini tidak memakai cookie, analitik, atau penyimpanan di browser; Cloudflare, yang menyajikannya, mencatat alamat IP dan jenis browser pengunjung.

Rantai kunci akunmu bersifat publik, supaya HP orang lain bisa memeriksa kuncimu sebelum mempercayainya. Siapa pun yang tahu id akunmu bisa membaca kunci publik perangkatmu, waktu setiap perubahan, id akun para penjagamu, dan, bila akunmu diblokir, tanda blokir itu.

• Setiap perubahan di rantai ditandatangani dua kali, dengan Ed25519 dan ML-DSA-65, oleh salah satu perangkatmu atau oleh enklaf pemulihan. Server sendiri tidak bisa membuat perubahan yang sah. HP menerima rantai hanya bila setiap perubahannya tersambung ke perubahan sebelumnya dan kedua tanda tangannya benar.
• Setiap perubahan juga tercatat di log transparansi kunci, yang publik dan hanya bertambah. Ringkasan log ditandatangani setiap jam, juga dengan Ed25519 dan ML-DSA-65, walaupun log tidak bertambah. Log bisa dibaca tanpa akun, sehingga pihak luar bisa memeriksa bahwa isinya tidak pernah diubah atau berkurang. Isinya menunjukkan berapa banyak perubahan dan kapan, bukan akun mana.
• Sertifikat tempel ditandatangani kedua HP dan saksi di enklaf tempel, dan HP memeriksa ketiga tanda tangan itu. Server sendiri tidak bisa membuat sertifikat tempel.

Yang belum tersedia di aplikasi: memeriksa rantai seseorang terhadap log transparansi kunci, dan peringatan saat kunci koneksimu berganti atau saat rantaimu sendiri mendapat perubahan yang tidak dibuat perangkatmu.

Bila kamu menemukan kerentanan, tulis ke security@patepang.com dalam bahasa Indonesia atau Inggris. Kami mengonfirmasi laporanmu paling lambat 3 hari kerja. Yang termasuk cakupan, tenggat kami, dan cara pengungkapannya ada di halaman Keamanan.

Halaman Transparansi menjelaskan berkas publik dari server Patepang yang bisa diperiksa siapa pun, laporan transparansi setengah tahunan, dan apa yang bisa dan tidak bisa kami berikan bila aparat memintanya. Halaman itu masih draf yang menunggu tinjauan penasihat hukum.