La Política de privacidad está en nuestra web y también en Ajustes › Acerca de › Política de privacidad. Dice qué recoge CHANNEL, qué no recoge nunca, cuánto tiempo se conserva algo y qué podría obtener una solicitud legal. Está escrita en inglés.
Se dice aquí una vez y no en cada función, porque vale para todas.
Todo lo que pones en una conversación —palabras, fotos, una ubicación, una reacción, el hecho de que leíste algo— le llega a la persona con la que hablas. Eso es la función, no una fuga. Solo es un riesgo si no estás seguro de quién es, y para eso está la vinculación: Vinculación explica cómo comprobarlo, y la tarjeta dice Vinculado cuando los dos teléfonos tienen las claves del otro.
Así que el resto de estas páginas no lo repite. Lo que sí dicen, en una frase, es dónde una función expone algo más allá de eso: a la red en la que estás, a nuestro servidor, a Apple o Google, o a una empresa que no somos nosotros. Esas frases son cortas a propósito y están para que nada te sorprenda después, no para disuadirte de nada.
Antes de que una foto o un vídeo salga de tu dispositivo, CHANNEL lo vuelve a dibujar. La copia que se envía lleva la imagen y nada más: ni ubicación, ni fecha y hora en que se tomó, ni nombre o modelo del teléfono o la cámara. Vale para las fotos y vídeos hechos en CHANNEL y para los que eliges de tu fototeca. Un archivo que envías con + > Archivo sale tal cual, con los datos que haya puesto quien lo creó.
CHANNEL nunca sube contactos. Un contacto existe en CHANNEL porque lo escribiste, lo importaste, o te emparejaste con él. Contactos › Teléfono puede mostrar la propia libreta de direcciones de tu dispositivo para que encuentres a alguien sin volver a escribirlo: se lee solo mientras esa pestaña está abierta, nunca se guarda y nunca se envía a ningún lado, y solo se conserva la persona que elijas importar.
Ajustes › Privacidad › Mostrar mi disponibilidad, y Mostrar mi disponibilidad a en la página de un contacto, deciden si el CHANNEL de esa persona dibuja letras y marcas de ruta para ti: ocultar solo cambia lo que muestra su app, los mensajes siguen yendo por el camino más rápido, y una copia modificada de su app aún podría mostrarlo.
Ajustes › Privacidad › Permitir que los teléfonos de mis contactos reconozcan el mío cerca está activado por defecto. Los teléfonos de tus contactos pueden saber por Bluetooth cuándo está cerca el tuyo mientras CHANNEL está abierto, y nada de eso va a un servidor. Lo que tu teléfono emite es un valor corto que cambia cada 15 minutos y no significa nada para quien no sea tu contacto; cualquiera cerca puede ver que hay un teléfono con CHANNEL, pero no de quién. Desactivado, tus contactos no tienen forma de saberlo hasta que se conecta un mensaje o una llamada.
Configuración › Privacidad › Sugerir personas al compartir pone a las personas a las que escribes arriba del menú Compartir de tu dispositivo, y al tocar una se abre CHANNEL con esa persona ya elegida. Está desactivado hasta que lo activas. Para hacerlo, el sistema de tu dispositivo sabe a quién escribes y con qué frecuencia. No hace nada mientras el bloqueo de la app o un PIN de la app está activo, y al desactivarlo se borra ese registro.
Nada impide que la otra persona haga una captura, grabe o fotografíe lo que le envías, y CHANNEL no lo sabría. No hay un ajuste para esto, porque un ajuste aquí no protegería a nadie de nadie.
Lo que se protege en este dispositivo, siempre: una foto de ver una vez mientras está en pantalla, el código QR de emparejamiento, y toda pantalla donde se escribe un secreto, que es el teclado del PIN, el código de coacción, la frase de respaldo y una clave de IA. Una captura de una de esas queda en blanco, y la página en blanco dice por qué.
Lo que no se protege: tus conversaciones y tus contactos. Hacer una captura de tu propia conversación es normal, y la privacidad de esta app descansa en lo que sale del teléfono, no en impedir que su dueño la fotografíe. La única excepción es una conversación con Privacidad mejorada de la conversación activada, a la que un teléfono Android sí protege — ver Mensajes.
Nada, a menos que tú lo digas. Sin nada activado, una notificación dice CHANNEL y que llegó un mensaje o una llamada, y nada más: ningún nombre, ninguna palabra, ningún nombre de grupo. Configuración › Notificaciones › Pantalla bloqueada tiene un interruptor para mensajes, otro para llamadas y otro para grupos, y la página de un contacto puede Mostrar u Ocultar a esa persona digan lo que digan esos interruptores. Un perfil tras su propio bloqueo, y una conversación con Privacidad mejorada de la conversación activada, no muestran nada digan lo que digan los interruptores. Los mensajes de una persona bloqueada tampoco muestran nada ahí, digan lo que digan los interruptores. Lo que muestra una notificación es lo mismo con el teléfono bloqueado o desbloqueado.
Leer en voz alta, en el menú de pulsación mantenida de un mensaje, usa la propia voz del teléfono, sin conexión. Las palabras no se envían a ningún lado para ser dichas.
Ajustes › Privacidad › Ocultar la app cuando sales de ella hace que la tarjeta en el selector de apps recientes sea una página granate en blanco en vez de tus conversaciones. Está activado salvo que lo desactives. En un teléfono Android el mismo interruptor también rechaza las capturas dentro de CHANNEL, porque allí es un solo ajuste y no dos. Una cámara apuntando a la pantalla lo sigue viendo todo.
El bloqueo de la app es tu PIN de la app, más abajo. Se pide cuando CHANNEL se abre, y de nuevo después de que haya estado un rato en segundo plano.
Ajustes › Privacidad › Bloqueos › PIN de la app configura un código propio: entre seis y 64 caracteres, cualquier carácter visible, y las mayúsculas cuentan. Más largo es más fuerte. Funciona incluso en un teléfono sin ningún bloqueo, y se pide antes que nada. CHANNEL no se abre con la cara, ni con la huella, ni con el código del teléfono: el PIN es el bloqueo. Pedir PIN después de fija cuánto tiempo puede CHANNEL estar fuera de la vista antes de volver a pedir el PIN: Inmediatamente, 1, 5, 10 o 30 minutos, o 1 hora. Cada perfil con su propio PIN sigue la misma espera.
Es intencionado. Alguien puede ponerte un teléfono delante de la cara o presionar tu dedo sobre él; nadie puede obligarte a decir un PIN que guardas para ti. Por eso CHANNEL no ofrece Face ID, Touch ID ni huella en ningún sitio, y la app tampoco pide permiso para usarlos.
Cada campo de PIN tiene un ojo. Tócalo para ver lo que has escrito y tócalo de nuevo para ocultarlo; un PIN con letras y signos de puntuación es difícil de escribir a ciegas.
El PIN nunca se guarda. Cuando lo configuras, CHANNEL crea una clave para él dentro del chip de seguridad de este dispositivo (el Secure Enclave en un iPhone, el hardware seguro del Keystore en Android) y comprueba en ese momento que el chip de verdad hace la comprobación. Si la prueba sale bien, el chip comprueba cada PIN que escribes, así que una copia del almacenamiento del teléfono no sirve para probar intentos en ningún otro sitio. Si el teléfono no tiene ese chip o la prueba falla, CHANNEL guarda en su lugar un cálculo lento de un solo sentido del PIN (PBKDF2-SHA256, 210.000 rondas) y compara con él.
Dos intentos fallidos no cuestan nada. A partir del tercero, cada intento fallido inicia una espera de 5 segundos que se duplica cada vez, hasta 5 minutos, y cerrar la app no la termina.
Nadie puede recuperar este PIN. Ni tú, ni nosotros. Nunca lo tenemos, y el chip que lo comprueba no puede revelarlo. No hay cuenta, ni correo registrado, ni nadie a quien acudir. Si lo olvidas, los mensajes de este dispositivo se pierden.
Así que elige uno que todavía recuerdes dentro de seis meses, y haz una copia de seguridad antes de configurarlo (Ajustes › Copia de seguridad), guardada en algún lugar al que llegues sin esta app.
Se rechazan tres tipos de código, cada uno con una frase que dice por qué:
El motivo de un rechazo aparece bajo el campo mientras escribes, antes de guardar.
Un PIN de menos de seis caracteres abre CHANNEL, que luego pide uno nuevo una sola vez.
El tiempo para probar todos los códigos posibles, calculado a partir de la espera de arriba y del número de códigos. Supone un código elegido al azar: una fecha, una palabra o un patrón se encuentran mucho antes. Los cuatro dígitos están aquí para comparar: CHANNEL rechaza un PIN nuevo de menos de seis caracteres.
| El PIN | Códigos posibles | Adivinar a través de la app | Adivinar sin conexión, una tarjeta gráfica (estimación) |
|---|---|---|---|
| 4 dígitos | 10.000 | unas 5 semanas | menos de un segundo |
| 6 dígitos | 1.000.000 | de 9 a 10 años | unos 25 segundos |
| 6 letras y dígitos, las mayúsculas cuentan (62 símbolos) | unos 57.000 millones | unos 520.000 años | unos 16 días |
| 6 caracteres cualesquiera del teclado (94 símbolos) | unos 690.000 millones | unos 6,4 millones de años | unos 7 meses |
| 8 caracteres cualesquiera del teclado (94 símbolos) | unos 6.000 billones | unos 56.000 millones de años | unos 4.800 años |
A través de la app es alguien que escribe intentos en CHANNEL en tu dispositivo. Cuando la espera llega a 5 minutos, son unos 300 intentos al día. Cambiar el reloj del teléfono no cambia una espera. Quien además pueda desbloquear el propio teléfono y reiniciarlo quizá pueda acortar las esperas, así que esta columna es el mejor caso.
Sin conexión es alguien que ha copiado la comprobación del PIN fuera del teléfono y prueba intentos en su propio ordenador, sin espera. Solo se aplica en un teléfono donde el cálculo lento comprueba el PIN. La velocidad, unos 40.000 intentos por segundo en una tarjeta gráfica moderna, es una estimación a partir de pruebas publicadas para ese cálculo, no una medición nuestra, y diez tarjetas van diez veces más rápido. Donde el chip de seguridad comprueba el PIN, esta columna no se aplica: la clave que comprueba el PIN nunca sale del chip, así que una copia del almacenamiento del teléfono no puede probar ni un solo intento.
Estos son los tiempos para probarlo todo. Un código puede encontrarse antes, de media a mitad de camino, y uno que la gente elige a menudo, mucho antes, porque se prueba primero.
Quien adivina no recorre los códigos en orden. Un programa prueba primero los probables: palabras, nombres, fechas y años, filas del teclado como qwerty y 123456, repeticiones como aaaaaa, una mayúscula solo al principio, un dígito o ! solo al final, y letras cambiadas por dígitos parecidos. Así que la fuerza de un código es lo lejos que está de lo que la gente suele elegir, no cuántos caracteres tiene.
El PIN no se copia a un dispositivo vinculado. Cada uno tiene el suyo propio, así que desbloquear aquí nunca desbloquea allá, y un dispositivo que pierdes no entrega los demás.
Ambos están desactivados hasta que los actives, en Configuración › Privacidad › Bloqueos, y ambos son para un dispositivo que otra persona podría estar sosteniendo.
Pedir PIN para cambiar de perfil. El selector de perfiles es una lista de identidades que mantienes separadas a propósito, y sin esto se abre cualquiera de ellas con un solo toque. Actívalo y cambiar pide primero el PIN de la app — incluso hacia un perfil que no tiene bloqueo propio, porque lo que se protege es el cambio, no el destino.
Este es el caso de la tableta prestada. Bajo un solo inicio de sesión, el teléfono o la tableta no le da a CHANNEL ninguna forma de distinguir a dos personas, así que el PIN es la única separación que hay.
Pedir PIN antes de eliminar. Eliminar un contacto, una conversación o un perfil pide primero el PIN de la app, y luego todavía pregunta si de verdad querías hacer eso. Dos preguntas distintas: si tienes permitido hacerlo, y si de verdad lo querías.
Mezclar el teclado del PIN. El teclado numérico de la pantalla de bloqueo muestra sus dígitos en un orden nuevo cada vez que aparece, de modo que una huella en el cristal, o ver dónde fue el pulgar, no dice nada de tu PIN. Solo se aplica a un PIN de dígitos; un PIN con letras o signos usa el teclado normal, que no se puede mezclar.
No hay período de gracia en ninguno de los dos. El bloqueo de la app espera lo que fijes en Pedir PIN después de antes de volver a preguntar, para que salir a copiar un código no te cueste un desbloqueo; ese razonamiento no aplica a algo que nada puede deshacer. Un borrado aquí es real — el registro desaparece, no una marca — así que ser preguntado es toda la protección.
Ninguno de los dos usa tu rostro o tu huella. En un dispositivo compartido esos suelen estar disponibles para quien lo esté sosteniendo; el PIN es la parte que no lo está.
Un perfil puede tener un código propio, separado del de la app. En Configuración › Privacidad › Bloqueos, toca Poner un PIN al perfil. Una vez configurado, la fila dice Cambiar el PIN del perfil, y Quitar PIN del perfil aparece debajo. El PIN se pide solo mientras Bloquear este perfil está activado: puedes conservar un PIN con el bloqueo desactivado y volver a activarlo sin él. Desactivar el bloqueo pide el PIN.
Mientras el perfil está compartido, Quitar PIN del perfil no aparece: un perfil compartido siempre tiene un PIN y solo se puede cambiar. Borrar este perfil tras 10 PIN incorrectos, bajo las mismas filas, es una opción que activas tú; consulta Configuración.
Es genuinamente un segundo código: su propia sal, su propio conteo de intentos equivocados, su propia espera. Adivinar en la puerta de un perfil no bloquea la app, y saber el PIN de la app no abre el perfil. El sentido de tener varios perfiles es que están separados, y un solo código para todos ellos haría que esa separación solo pareciera real ante cualquiera que te haya visto escribirlo una vez.
El orden sigue al de la app. Abrir la app pide el PIN de la app. Abrir un perfil cuyo bloqueo está activado pide el PIN del perfil.
Una diferencia con el bloqueo de la app es deliberada: la pantalla de entrada del perfil nombra al perfil, cosa que la propia pantalla de bloqueo de la app nunca hace.
Un perfil con PIN propio se pide en cualquier lugar desde el que otro perfil pueda llegar a él, no solo en el selector de perfiles:
El perfil en el que estás ya se abrió, así que nada de esto se aplica a él.
Un perfil con PIN propio puede tener su propio código de coacción: Código de coacción del perfil, debajo de Quitar PIN del perfil. Como todos los códigos de CHANNEL, es opcional, y nada te pide que pongas uno. Una vez puesto, la fila dice Cambiar código de coacción del perfil.
Escrito donde ese perfil pide su PIN, abre el perfil igual que el PIN. Cuando se abre, las conversaciones y los contactos de ese perfil ya no están: cada mensaje, cada tarjeta salvo la propia del perfil, sus fotos, los adjuntos y las invitaciones pendientes. Una llamada a él se cuelga. El perfil se queda, con su nombre, su PIN y su propia tarjeta, y ningún otro perfil del teléfono se toca. Nada en la pantalla indica lo que ocurrió, y no se envía nada a nadie.
El código de coacción de la app es el que vacía todo el teléfono.
Eliminar un perfil se lleva su PIN y su código de coacción con él.
Bloquear conversación, en el menú de una conversación, pone esa conversación tras su propio PIN, distinto del PIN de la app y de cada PIN de perfil. Una conversación bloqueada solo muestra su nombre en la lista de mensajes, nunca aparece en una búsqueda entre conversaciones y sus notificaciones solo dicen Mensaje nuevo. Pide el PIN cada vez que lo abres después de salir de él o de la app. No hay Face ID ni huella para él. Si olvidas el PIN, el bloqueo se puede quitar igualmente, pero eso borra los mensajes de la conversación de este dispositivo. En la conversación bloqueada, ¿Olvidaste el PIN? pregunta primero, y Borrar mensajes y quitar bloqueo quita el bloqueo y borra los mensajes de la conversación de este dispositivo. Quitar bloqueo de la conversación en el menú de la conversación quita el bloqueo.
Una tarjeta pertenece al perfil en el que se creó. Alguien que te escribe en un perfil se agrega ahí y en ningún otro lugar, y un contacto que escribes tú a mano es igual: dos perfiles en un teléfono no comparten nada a menos que tú lo digas.
La tarjeta misma dice a cuál pertenece, bajo Mostrar en, y puedes cambiarlo ahí sin abrir el editor. Pregunta primero, porque ese ajuste decide quién puede ver la tarjeta de esa persona y un toque equivocado no debería ampliarlo en silencio. En cualquier caso, sus mensajes se quedan en el perfil donde llegaron; una conversación nunca se comparte entre perfiles, solo la tarjeta.
Con tres perfiles o más, la pantalla Editar de la tarjeta también ofrece Elegir perfiles, para escoger exactamente cuáles la muestran. El perfil en el que estás siempre la conserva. Si hay un PIN de la app, la lista pide el PIN antes de nombrar tus otros perfiles, porque nombrarlos dice que existen.
Una tarjeta vive en un solo perfil. Si quieres escribir a esa persona desde otro, abre su tarjeta allí y elige Escribir desde este perfil.
Copia lo que está escrito en la tarjeta — el nombre, los números, las direcciones — y nada más. Las claves nunca se copian, ni tampoco lo segura que está la app de tu identidad, porque ambas cosas son hechos sobre el emparejamiento que hizo aquel perfil y no sobre la persona. Así que el nuevo perfil inicia un primer contacto normal: se le pregunta a la otra persona, como a un desconocido, y no se le dice nada sobre que vuelves a ser tú.
Ese coste es la función funcionando bien. Un perfil que heredara el emparejamiento del otro le estaría diciendo a la otra persona que dos perfiles son una sola, que es justo lo único que los perfiles existen para evitar.
Cambia el nombre de la parte superior de su tarjeta por el que quieras. Este perfil muestra ese nombre, una tarjeta que la persona envíe nunca sustituye un nombre que tú elegiste, y ningún otro perfil se ve afectado.
Cambia un nombre en una lista y nada más. Una notificación puede seguir citando el mensaje, una captura sigue mostrando la conversación, y quien abra este perfil lo lee todo. Protege un vistazo a una lista de conversaciones, que es algo real que querer, y no es un candado.
Si lo que te preocupa es ese vistazo, pon también Pantalla bloqueada en Ocultar en su tarjeta, porque otro nombre en una pantalla bloqueada que muestra nombres es justo la trampa que esto sería si no.
Todo lo que CHANNEL guarda en un dispositivo está primero detrás del bloqueo del propio dispositivo, así que cómo está configurado el dispositivo importa tanto como cualquier cosa de la app. Antes de que un perfil que importa vaya a un dispositivo:
Cuando un dispositivo ya no está, desde otro de tus dispositivos:
Lo que un dispositivo perdido mostró antes de borrarse no se puede recuperar, por eso el código va primero.
La página completa sobre esto es Si pierdes el control de un dispositivo.
Bajo un solo inicio de sesión, el sistema operativo no separa a dos personas. Todo lo que tiene CHANNEL es alcanzable por quien esté sosteniendo el dispositivo. El PIN no es una comodidad aquí; es el aislamiento entero.
Activa Otras personas usan este dispositivo en Configuración › Privacidad › Bloqueos. Ese único interruptor hace lo que de otra forma requerirían tres ajustes: la app se bloquea en el momento en que sale de la pantalla sin período de gracia, y cada cambio de perfil pide el PIN. Es un solo interruptor a propósito — pasar una tableta de mano en mano no debería requerir averiguar qué ajustes suman la protección que quieres.
Luego dale a cada perfil de cada persona su propio PIN, en Configuración › Privacidad con Este perfil seleccionado. Ese único ajuste hace tres cosas:
Activa Pedir PIN antes de eliminar en la misma página. Eliminar es real aquí — el registro desaparece, y nada lo restaura — así que ser preguntado es toda la protección.
Tus contactos y conversaciones ya están separados entre perfiles, pongas un PIN o no: cada perfil guarda los suyos. El PIN trata de quién puede abrir un perfil, no de mantener las listas aparte.
El límite honesto. Nada de esto hace privado un dispositivo compartido. Cualquiera que lo tenga todavía puede ver que CHANNEL está instalado, que existen perfiles, y que llegan mensajes. Un perfil que de verdad importa no pertenece a un dispositivo que usan otras personas, y ningún ajuste de esta página cambia eso.
El código de coacción de la app también pertenece aquí: destruye todo lo que CHANNEL tiene en el dispositivo, así que en uno compartido destruye lo de todos. El código de coacción propio de un perfil solo alcanza a ese perfil.
Código de coacción, bajo el mismo encabezado, es un segundo código, y aparece solo una vez que se ha configurado un PIN. Al ingresarlo en lugar de tu PIN, en pantalla hace exactamente lo mismo que tu PIN: la app se abre. Lo que ha cambiado para cuando se abre es que todo lo que CHANNEL tenía en este dispositivo ya no está -- primero la clave que sella los almacenes, luego las identidades, luego cada archivo -- y la app que estás viendo está vacía. Fuera del Modo seguro, el perfil que estaba abierto conserva su nombre. Después, CHANNEL se bloquea igual que antes: el código que escribiste es su PIN desde entonces, los ajustes del bloqueo quedan como estaban y el propio código de coacción desaparece. Nada dice que hubo un borrado, y no hay nada más que tocar. No hay paso de confirmación, y ese es el punto: un segundo toque es algo que alguien parado a tu lado puede ver e interrumpir, y haría que el código de coacción se viera distinto del real. A cambio, ingresarlo es inmediato y no se puede deshacer. Una copia guardada en otro lugar, como un respaldo u otro teléfono, no se toca. Una vez puesto, la fila dice Cambiar código de coacción.
El código de coacción es para alguien sin autoridad legal para exigir tu PIN. Donde la ley te obliga a desbloquear, usarlo puede ser en sí mismo un delito.
El modo seguro pertenece a un perfil: el perfil que usas para el trabajo confidencial puede estar en modo seguro mientras el que usas con la familia no. Activa Configuración › En prueba › Modo seguro (vista previa), y cada perfil ofrece Configuración › Privacidad › Bloqueos › Modo seguro. Necesita un PIN de ese perfil que comprueba el chip de seguridad de este dispositivo (Establecer PIN del perfil, en la misma página). En un Mac un perfil no puede activarlo mientras tenga activada la API local, porque una IA con acceso puede leer todo lo que el modo seguro protege. Antes de cambiar nada ofrece Hacer copia de los mensajes, que puedes omitir, y después pide el PIN del perfil. La elección se guarda solo en este dispositivo.
Con él activado, las notificaciones de ese perfil dicen solo Nuevo mensaje, CHANNEL queda oculto en el selector de apps mientras el perfil está en pantalla y las vistas previas de enlaces están desactivadas en él, digan lo que digan esos interruptores por su cuenta. Tus otros perfiles no se ven afectados.
Mientras el perfil está bloqueado, su clave existe solo dentro del chip de seguridad de este dispositivo y solo se abre con su PIN. Entonces nada en el dispositivo puede leer sus conversaciones, y los mensajes que le llegan esperan, todavía sellados, hasta que lo abras; una notificación dice solo Nuevo mensaje. Una llamada que le llega mientras está bloqueado aparece después como llamada perdida. Tus otros perfiles siguen funcionando como siempre. El perfil se bloquea cuando tocas Bloquear ahora, cuando el dispositivo se bloquea y poco después de que dejes CHANNEL; abrirlo pide su PIN. La cubierta de un perfil bloqueado ofrece Usar otro perfil para pasar a otro perfil.
Sus opciones: Solo indicador sube el número en el icono sin aviso y sin sonido. Borrar el texto copiado tras un minuto quita del portapapeles lo que copias en ese perfil. Pedir el PIN antes de guardar contenido pide el PIN del perfil antes de que una imagen, un vídeo o un archivo salga de él.
Las imágenes, los vídeos y los archivos de las conversaciones del perfil se sellan con la misma clave, igual que sus fotos de contactos, los fondos de las conversaciones y los mensajes de voz de personas que no son tus contactos, así que un perfil bloqueado no guarda ninguno legible. Al bloquearse también se eliminan las copias abiertas para reproducirlos, verlos o compartirlos, y lo que se haya elegido o grabado en el campo de mensaje sin enviarlo.
Un perfil puede abrirse con el PIN de la app en lugar de un PIN propio, y su página de Modo seguro lo dice; darle un PIN propio lo pasa a ese PIN. Un perfil en modo seguro que compartes con otro de tus dispositivos llega también allí en modo seguro y se abre con el mismo PIN del perfil; cada dispositivo guarda su propia clave, creada por su propio chip de seguridad, y la clave nunca sale de él. Cuando su PIN se cambia en otro de tus dispositivos, la primera vez que lo abres aquí con el PIN nuevo también pide, una vez, el PIN que tenía en este dispositivo, y su clave pasa entonces al PIN nuevo.
Un perfil en modo seguro no puede dar acceso a una IA, porque una IA que puede leer el perfil puede leer todo lo que protege el modo seguro. Mientras un perfil está en modo seguro, su PIN no se puede quitar, y una copia de seguridad te pide abrirlo primero.
Al desactivar el modo seguro, con el PIN del perfil, terminan él y el borrado tras inactividad para ese perfil, y sus opciones vuelven a como estaban. Lo que selló sigue sellado y se abre como siempre, y CHANNEL mantiene la clave del perfil protegida por el chip de seguridad de este dispositivo. Modo seguro (vista previa) se puede desactivar cuando ningún perfil está en modo seguro.
El nombre del perfil aparece en tu lista de perfiles para quien tenga el dispositivo desbloqueado; lo que el perfil guarda, no.
El riesgo, en una frase: el modo seguro es una vista previa, y un fallo en él, un PIN olvidado o un dispositivo perdido pueden costar lo que ese perfil guarda en este dispositivo, así que guarda una copia de seguridad en otro sitio.
Para reducir lo que los asistentes y el buscador de tu teléfono ven de CHANNEL, ver Mejores ajustes de seguridad.
Dentro del modo seguro de un perfil, Borrar tras inactividad destruye la clave de ese perfil, y con ella todo lo que el perfil guarda en este dispositivo, si el perfil no se abre con su PIN durante el tiempo que elijas: 7, 14, 30, 60 o 90 días. Solo cuenta abrir el perfil con su PIN; que llegue un mensaje no. Entonces el perfil se elimina de este dispositivo; cuando es el único perfil, desaparece todo lo que CHANNEL guarda en el dispositivo.
Nada en el teléfono te avisa antes, y nadie puede detenerlo ni deshacerlo una vez pasado el tiempo: ni tú, ni nosotros. El único aviso es esta página y la confirmación al activarlo. Puedes desactivarlo cuando quieras desde el perfil abierto, con su PIN. El código de coacción es para alguien sin autoridad legal para exigir tu PIN. Donde la ley te obliga a desbloquear, usarlo puede ser en sí mismo un delito.
El tiempo se mide de forma que cambiar la fecha no lo acorta: atrasar la fecha del teléfono más de dos horas cuenta como que el tiempo se ha agotado. El tiempo con el teléfono apagado cuenta cuando el teléfono puede saberlo.
Si te han indicado conservar información, esperas una disputa o tu trabajo está regulado, no lo actives, y desactívalo mientras todavía puedas desbloquear. Esa responsabilidad es tuya.
El riesgo, en una frase: cuando pasa el tiempo, todo lo que ese perfil guarda en este dispositivo desaparece para siempre.
Con el modo seguro, y sobre todo con el borrado tras inactividad, CHANNEL no es donde vive tu única copia. Una seguridad casi absoluta y guardar tu única copia en el teléfono tiran en direcciones opuestas. Guarda las copias de seguridad cifradas que quieras donde elijas, idealmente una copia fuera de casa. Consulta Configuración › Copia de seguridad.
El riesgo, en una frase: una copia de seguridad la puede leer quien tenga el archivo y su frase de contraseña, así que guárdalos por separado.
En Android, los archivos con tus conversaciones y contactos, y cada foto, vídeo y archivo que guarda CHANNEL, están sellados (AES-256-GCM) con una clave que está en el Keystore del teléfono y nunca sale de él.
En un iPhone, los archivos con tus conversaciones y contactos están sellados (AES-256-GCM) con una clave guardada en el llavero del iPhone, solo para este dispositivo. Las fotos, los vídeos y los archivos los protege el cifrado de archivos del propio iPhone.
En los dos, los datos de CHANNEL solo se abren en este dispositivo, después de que se haya desbloqueado una vez desde que se encendió, y quedan fuera de las copias de seguridad del propio teléfono.
Nada más. Sin analítica, sin reportes de fallos, sin señales de uso aparte de ese recuento diario, y Ayuda no contacta a nadie a menos que presiones Obtener.
CHANNEL pide cada permiso en el momento en que una función lo necesita por primera vez. Las excepciones son las radios y las notificaciones: CHANNEL las pide al iniciarse por primera vez, porque todos los mensajes pasan por ellas. Nada en CHANNEL puede ver toda tu fototeca, tu ubicación en segundo plano ni nada del teléfono que no hayas elegido. La última columna es el nombre que usan los ajustes del teléfono y el código de la app, para quien quiera comprobarlo. Un aviso para despertar este dispositivo pasa por el servicio push de Apple o de Google y no lleva ningún mensaje ni remitente. Antes de pedir, CHANNEL lee lo que el teléfono dice de ese permiso: uno ya concedido no se vuelve a pedir, y una función cuyo permiso has rechazado sigue desactivada hasta que lo permitas en los ajustes del propio teléfono.
En iPhone:
| Qué | Cuándo lo pide CHANNEL | Después | Nombre del sistema |
|---|---|---|---|
| Bluetooth | Al iniciar CHANNEL por primera vez | Se mantiene, para que lleguen mensajes de teléfonos cercanos con la app cerrada | NSBluetoothAlwaysUsageDescription, bluetooth-central, bluetooth-peripheral |
| Red local | Cuando CHANNEL busca por primera vez contactos en la misma Wi-Fi | Se mantiene; solo busca otros teléfonos con CHANNEL | NSLocalNetworkUsageDescription |
| Notificaciones | Después de dar nombre a tu perfil en la configuración | Se mantiene; un aviso para despertar no lleva contenido | remote-notification, aps-environment, com.apple.developer.usernotifications.time-sensitive |
| Llamadas entrantes | Nunca: el teléfono suena con su propia pantalla de llamada | Solo para una llamada | voip |
| Micrófono | Tu primera llamada o tu primer mensaje de voz | Solo durante una llamada o una grabación; una llamada mantiene el sonido con la pantalla apagada | NSMicrophoneUsageDescription, audio |
| Cámara | Tu primera videollamada, lectura de código o foto hecha en la app | Solo mientras la cámara está en pantalla | NSCameraUsageDescription |
| Elegir fotos y vídeos | Nunca: el selector del sistema muestra a CHANNEL solo lo que eliges | No se mantiene nada | ninguno |
| Guardar en Fotos | La primera vez que guardas una imagen o conservas copias de lo que haces | Solo añadir: CHANNEL no puede leer la fototeca | NSPhotoLibraryAddUsageDescription |
| Ubicación | Cuando envías tu ubicación, la compartes en directo o abres un mapa | Solo mientras se usa, nunca «Siempre»; la lectura termina con lo compartido o con el mapa | NSLocationWhenInUseUsageDescription, location |
| Contactos | Cuando abres los contactos del teléfono dentro de CHANNEL y tocas Continuar | Se leen mientras esa lista está abierta, nunca se guardan ni se envían | NSContactsUsageDescription |
| Face ID | Nunca: CHANNEL no lo usa | No se mantiene nada | NSFaceIDUsageDescription |
| Reconocimiento de voz | Cuando pides un mensaje de voz como texto | Solo en este dispositivo | NSSpeechRecognitionUsageDescription |
| Almacenamiento compartido entre CHANNEL y sus extensiones de notificaciones y de compartir | Nunca | La extensión de compartir solo alcanza la clave de lo que compartes, nunca tus mensajes ni tu identidad | com.apple.security.application-groups, keychain-access-groups |
| Una comprobación de imágenes de desnudos, en este dispositivo | Nunca: sigue el ajuste de aviso de contenido sensible del teléfono | Nada sale del teléfono | com.apple.developer.sensitivecontentanalysis.client |
En Android:
| Qué | Cuándo lo pide CHANNEL | Después | Nombre del sistema |
|---|---|---|---|
| Dispositivos cercanos (Bluetooth) | Al iniciar CHANNEL por primera vez; en Android 11 y anteriores, concedido al instalar | Se mantiene; marcado como nunca usado para la ubicación | BLUETOOTH_SCAN, BLUETOOTH_ADVERTISE, BLUETOOTH_CONNECT, BLUETOOTH, BLUETOOTH_ADMIN |
| Dispositivos Wi-Fi cercanos | Al iniciar CHANNEL por primera vez, en un teléfono con Wi-Fi Aware | Se mantiene; marcado como nunca usado para la ubicación | NEARBY_WIFI_DEVICES |
| Ubicación | Cuando envías tu ubicación o la compartes en directo; también al primer inicio de CHANNEL en Android 11 y anteriores, porque encontrar teléfonos cercanos por Bluetooth lo necesita ahí, y hasta Android 12 en un teléfono con Wi-Fi Aware, que también lo necesita | Sin ubicación en segundo plano; la lectura termina con lo compartido o con el mapa | ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION |
| Notificaciones | Al iniciar CHANNEL por primera vez | Se mantiene; un aviso para despertar no lleva contenido | POST_NOTIFICATIONS, com.google.android.c2dm.permission.RECEIVE |
| Seguir conectado en segundo plano | Nunca: concedido al instalar CHANNEL | Se muestra una notificación mientras funciona | FOREGROUND_SERVICE, FOREGROUND_SERVICE_CONNECTED_DEVICE, WAKE_LOCK |
| Una comprobación al encender el teléfono | Nunca se pide: se concede al instalar CHANNEL | No lee nada; ejecuta las comprobaciones propias de CHANNEL antes de abrir nada | RECEIVE_BOOT_COMPLETED |
| Red | Nunca: concedido al instalar CHANNEL | Para entregar mensajes | INTERNET, ACCESS_NETWORK_STATE, ACCESS_WIFI_STATE, CHANGE_NETWORK_STATE |
| Micrófono | Tu primera llamada o tu primer mensaje de voz | Solo durante una llamada o una grabación | RECORD_AUDIO, MODIFY_AUDIO_SETTINGS |
| Cámara | Tu primera videollamada, lectura de código o foto hecha en la app | Solo mientras la cámara está en pantalla | CAMERA |
| Elegir fotos y vídeos | Nunca: el selector de fotos de Android muestra a CHANNEL solo lo que eliges | No se mantiene nada | ninguno |
| Contactos | Cuando abres los contactos del teléfono dentro de CHANNEL y tocas Continuar | Se leen mientras esa lista está abierta, nunca se guardan ni se envían | READ_CONTACTS |
| Guardar en la galería | Solo Android 8 y 9, la primera vez que guardas una imagen o conservas una copia de lo que tomas; Android 10 y posteriores nunca lo piden | Se usa solo para añadir el archivo que quisiste guardar o la copia de lo que tomaste | WRITE_EXTERNAL_STORAGE |
| Huella o rostro | Nunca: CHANNEL no los usa; los declara una biblioteca que CHANNEL incluye | No se mantiene nada | USE_BIOMETRIC, USE_FINGERPRINT |
| Compras | Cuando compras algo en la app | Las gestiona Google Play | com.android.vending.BILLING |
| IA en el dispositivo (Gemini Nano) | Nunca se pide: el servicio de IA de Android, que solo se usa si activas la IA en el dispositivo | Funciona en el teléfono; nada sale de él | com.google.android.apps.aicore.service.BIND_SERVICE |
Una copia legible de una imagen, un clip o un archivo que CHANNEL crea para mostrarlo, reproducirlo o pasarlo a otra app y que quede en el teléfono se borra la próxima vez que se inicia CHANNEL.
Los servidores de CHANNEL no almacenan direcciones IP, ni mensajes que puedan leer, ni listas de contactos. Cuando tu dispositivo consulta la clave publicada de alguien, un limitador de frecuencia guarda durante hasta dos horas una huella con clave de tu bloque de red (no de tu dirección), para que nadie pueda sondear números por miles. Algunos registros existen fuera del control de cualquier app:
Qué puedes hacer:
CHANNEL no comprueba si un teléfono Android lleva el sistema con el que se vendió, si tiene root o si tiene los servicios de Google, y no rechaza ningún teléfono por ninguna de esas razones. Nada en él está ahí para impedir que funcione en un sistema como GrapheneOS. Las compras a través de Google Play necesitan los servicios de Google en el teléfono. Los avisos de llamadas y mensajes llegan por el servicio push de Google cuando esos servicios están; sin ellos llegan por una aplicación UnifiedPush instalada en el teléfono, cuyo servidor ve que se envió un aviso y nunca un mensaje, un nombre ni un remitente.
El recuperador automático de vistas previas no guarda un registro de los enlaces solicitados y no guarda en disco la página ni la imagen obtenidas.
El formulario de soporte de nuestro sitio web, que se abre desde Configuración › Acerca de › Soporte, nos envía tu mensaje y las imágenes por correo, y el sitio web no los almacena. Una dirección de respuesta se usa solo para responder. El riesgo, en una frase: la página del formulario carga su comprobación anti-spam desde Cloudflare, así que Cloudflare ve que se abrió la página. La app no envía nada con el enlace.
Lo que se hace para encontrar errores antes de que te lleguen.
CHANNEL no ha tenido una auditoría de seguridad independiente hecha por personas. Las revisiones de arriba no son una auditoría.
Toda la Ayuda está dentro de la app y funciona sin nada conectado, para siempre. Cuando existen páginas más nuevas, una línea en la parte superior de Ayuda dice Hay ayuda actualizada disponible y ofrece Obtener.
Saber eso no cuesta nada: la app lo aprende de una consulta que ya hace para tu correo, así que no hay conexión extra ni un patrón nuevo que alguien pueda vigilar. Ayuda no comprueba al iniciar ni en un horario, porque una solicitud programada reportaría cuándo abres la app hayan o no estado contando.
Nada se descarga hasta que presionas el botón, y la hoja dice claramente qué hace presionarlo. Contacta a nuestro sitio web público, channelmessenger.net, y ese servidor ve tu dirección. Nada más se envía, y Ayuda funciona sin eso. Si eso te importa donde estás, hazlo en una red que no sea la tuya.
Nuestro servidor nunca dice dónde están las páginas, solo que hay unas más nuevas, y la app las escribe solo una vez que tiene todas en mano, así que una descarga que se detiene a la mitad deja la Ayuda que tenías como estaba.
Configuración › Funciones de IA toma Mi propio servidor como proveedor: una máquina que administras tú, normalmente alcanzada por una red privada propia. Nada sobre eso nos llega. Nunca se nos dice la dirección, la solicitud nunca toca nuestro servidor, y las palabras van a tu máquina y ahí se quedan. Ver Configuración.
Si activas Chatear como contacto para una cuenta de IA, ese contacto es una conversación con tu propia cuenta de proveedor y nada más. Se le dice, en sus instrucciones, que solo puede ver esta conversación, que no tiene memoria de tus otras sesiones, ni acceso a tus contactos, tu ubicación o tu dispositivo, que no puede enviar un mensaje ni realizar ninguna acción, y que nunca debe pedirte una contraseña, una clave o un código. Nada más de este dispositivo se le envía jamás. Solo tú puedes escribirle, y no puede contactar a nadie.
Las solicitudes se cuentan por cuenta, así que puedes ver para qué se ha usado una cuenta.
Ajustes › Privacidad › Mensajes escritos por una IA elige quién puede archivar un mensaje que la app de envío marcó como escrito por una IA. Todos archiva cada mensaje así. Solo contactos descarta un texto, un texto de una sola vista o una publicación de grupo cuando quien envía no es un contacto. No se archiva y no avisa. Los mensajes de los contactos se quedan, y también un mensaje sin esa marca. La marca es una declaración de la app que envía.
Cuando una función envía las palabras de otra persona a una IA (Resumir, Sugerir respuestas, Traducir, o preguntar por una imagen que te envió), CHANNEL primero quita los caracteres que una persona no ve pero un modelo sí puede leer, y marca sus palabras como cita, con la instrucción de no obedecer nunca el texto citado. Eso hace mucho más difícil que un mensaje dirija lo que la IA te dice, aunque no imposible. La respuesta a esas funciones siempre se te muestra primero y nunca se envía sola. Respuestas automáticas, activadas en un perfil, es la excepción: envía sus respuestas sin mostrarlas antes.
El texto en inglés es la referencia; cualquier traducción es solo una ayuda. La ayuda se guarda en este teléfono y no contacta con nadie.
CHANNEL