Политика конфиденциальности Kilogram

Редакция от 1 ноября 2026 г. English version below.

Kilogram — мессенджер для Android и iOS, работающий на открытом протоколе Matrix через сервер kilogram.ct.ms. Здесь описано, какие данные мы получаем, зачем и как долго храним.

1. Вход через Google и Apple

При входе через Google мы получаем от Google идентификатор вашего аккаунта, имя, адрес электронной почты и фото профиля (области доступа openid, profile, email). Они нужны, чтобы создать учётную запись и впускать в неё только вас. Имя пользователя (@имя:kilogram.ct.ms) составляется из адреса почты — из части до «@»; если такое имя уже занято, к нему добавляется номер. Адрес почты сохраняется в учётной записи; целиком другим пользователям он не показывается. При удалении учётной записи адрес почты и идентификатор аккаунта Google удаляются с сервера (раздел 9). Пароль от Google нам не передаётся.

При входе через Apple (в приложении для iPhone) мы получаем от Apple идентификатор вашего аккаунта и адрес электронной почты: настоящий или скрытый адрес Apple, если вы выбрали «Скрыть e-mail». Имя Apple передаёт только при первом входе. Фото профиля и пароль от Apple нам не передаются. Эти данные нужны, чтобы создать учётную запись и впускать в неё только вас. Имя пользователя составляется из настоящего адреса почты по тому же правилу, что и при входе через Google; если адрес скрыт или его нет — из имени, а если нет и имени — назначается автоматически. Адрес почты, в том числе скрытый, сохраняется в учётной записи; целиком другим пользователям он не показывается. При удалении учётной записи адрес почты и идентификатор аккаунта Apple удаляются с сервера, а токены Apple отзываются (раздел 9).

2. Профиль

Имя пользователя, отображаемое имя и фото профиля видны собеседникам; пользователи сервера kilogram.ct.ms могут найти вас по имени.

3. Сообщения, файлы и звонки

Личные и групповые чаты по умолчанию защищены сквозным шифрованием: содержимое сообщений, файлов и звонков расшифровывается только на устройствах участников, сервер его прочитать не может.
Сервер хранит зашифрованные сообщения только до тех пор, пока их не прочитают все участники чата, и не дольше 7 дней. Файлы, фото, видео и голосовые сообщения удаляются с сервера через 7 дней после загрузки. История переписки хранится на ваших устройствах.
Для работы чатов сервер хранит служебные сведения: кто состоит в чате, название и настройки чата, время событий.
Аудио- и видеозвонки проходят через наш медиасервер и не записываются.
Пользователя можно заблокировать: его сообщения, приглашения и звонки вам больше не показываются, а сервер не присылает о них уведомлений. Список заблокированных хранится в вашем аккаунте на сервере.
На сообщение или пользователя можно пожаловаться. Жалоба (причина, ваш комментарий и — если вы не сняли отметку — текст сообщения, на которое вы жалуетесь) уходит администратору сервера kilogram.ct.ms и хранится на сервере; другие пользователи её не видят.

3а. Общая комната

На сервере есть одна общая комната — «Kilogram — общая комната» (#lounge:kilogram.ct.ms). Каждый пользователь kilogram.ct.ms попадает в неё автоматически один раз: при регистрации, а зарегистрированные раньше — при её запуске. Гости, которые звонят из браузера без учётной записи, и пользователи других серверов Matrix в неё не попадают.
Участники общей комнаты видят друг друга: имя, фото профиля и статус «в сети» (и когда вы были активны последний раз). Этот статус видит каждый, с кем у вас есть общий чат, — значит, и все участники общей комнаты.
Сообщения и файлы в общей комнате не защищены сквозным шифрованием: сервер хранит их открытыми, и администратор сервера может их прочитать — чтобы разбирать жалобы. Не отправляйте туда ничего личного. С сервера они удаляются через 7 дней; новый участник видит то, что ещё не удалено.
Администратор может удалять сообщения и исключать участников; на сообщение или участника можно пожаловаться (раздел 3). В комнате действуют ограничения: не больше 20 сообщений в минуту, файлы — до 50 МБ.
Уведомления из общей комнаты по умолчанию приходят, только когда вас упомянули или ответили вам.
Из общей комнаты можно выйти в любой момент — автоматически вас туда больше не добавят. Вернуться можно самому, по адресу комнаты.

3б. Публичная комната Kilogram в Matrix

Кроме общей комнаты, есть публичная комната «Kilogram» (#kilogram:kilogram.ct.ms) — для всех пользователей сети Matrix, в том числе других серверов (например, matrix.org). Она указана в каталоге комнат нашего сервера, и её могут найти и показывать сторонние каталоги и поисковики комнат Matrix (название, тема, число участников).
Автоматически туда никого не добавляют: вы входите в неё только сами и можете выйти в любой момент.
Если вы вошли, все её участники — и с других серверов — видят ваше имя, фото профиля, адрес Matrix и статус «в сети». Ваши сообщения и файлы передаются на серверы всех участников и хранятся там по их правилам: на нашем сервере они удаляются через 7 дней, но копии на других серверах этим не удаляются. Удаление сообщения рассылается другим серверам, но мы не можем гарантировать, что они его выполнят.
Сообщения в публичной комнате не шифруются: их может прочитать любой, кто в неё вошёл. Не публикуйте там ничего личного.
Правила комнаты — в её описании: без спама, рекламы, оскорблений и незаконного. Администратор удаляет нарушения и исключает нарушителей (и целые серверы); пожаловаться можно, как в разделе 3. Ограничения: не больше 20 сообщений в минуту, файлы — до 50 МБ. Связаться с администратором сервера: info@ct.ms.

4. Уведомления

Для уведомлений адрес вашего устройства (токен) передаётся службам Google Firebase Cloud Messaging (Android) или Apple Push Notification service (iOS). В уведомление попадают только служебные идентификаторы — без текста сообщений и имён; текст приложение получает и расшифровывает само.

5. Другие серверы Matrix

Если вы переписываетесь или созваниваетесь с пользователями других серверов Matrix (например, matrix.org), данные этой переписки передаются на их серверы и хранятся по их правилам.

6. Технические журналы и резервные копии

Сервер записывает IP-адреса и сведения об устройствах, с которых выполнен вход, — для защиты учётных записей; в базе данных сервера эти записи хранятся до 28 дней. Журналы работы программ сервера (в них тоже попадают IP-адреса и ники пользователей) ограничены по объёму и перезаписываются по мере заполнения. Раз в сутки делается резервная копия сервера — база данных и загруженные файлы. Копии хранятся до 14 дней: на самом сервере — без шифрования, с доступом только у администратора сервера, и в закрытом репозитории на GitHub — в зашифрованном виде.

7. Чего мы не делаем

Мы не продаём и не передаём ваши данные третьим лицам, не показываем рекламу и не используем сторонние системы аналитики. Данные передаются только упомянутым выше службам и только в описанных целях.

8. Ваши права и удаление данных

Вы можете в любой момент удалить свою учётную запись (как — в разделе 9); по запросу мы удалим связанные с ней данные с сервера. Вопросы о данных: info@ct.ms.

9. Удаление аккаунта

In English: Deleting your account.

В приложении: Настройки → Удалить аккаунт. Приложение попросит подтвердить, что это вы: откроется страница Google — войдите в аккаунт Google, через который входите в Kilogram; если вы входите через Apple, подтвердите вход в окне Apple. После подтверждения аккаунт Kilogram удаляется, а приложение стирает с телефона все свои данные: переписку, файлы, ключи шифрования и настройки.

Без приложения: напишите на info@ct.ms с адреса электронной почты того аккаунта Google или Apple, через который вы входили в Kilogram, и попросите удалить аккаунт; если помните ник — укажите его. Если вы скрыли адрес в Apple, обязательно укажите ник. Мы удалим аккаунт так же, как это делает приложение.

Что удаляется сразу:

имя и фото профиля; вас больше нельзя найти в Kilogram по имени;
адрес электронной почты, сохранённый в аккаунте;
вход: аккаунт выходит на всех ваших устройствах, войти в него снова нельзя;
сведения о ваших устройствах и их ключи шифрования на сервере, токены для уведомлений (уведомления больше не приходят), настройки аккаунта на сервере;
участие в чатах: аккаунт выходит из всех чатов, неотвеченные приглашения отклоняются.

Удаление необратимо: восстановить аккаунт нельзя. Ник (@имя:kilogram.ct.ms) не освобождается: его не сможет занять никто другой, и вам он тоже не вернётся. Идентификатор вашего аккаунта Google или Apple удаляется с сервера в течение нескольких минут после удаления аккаунта. После этого с тем же аккаунтом можно войти снова, но это будет новый аккаунт Kilogram с другим ником; прежняя переписка в него не перейдёт.

Что остаётся и где:

сообщения и файлы, которые собеседники уже получили, остаются на их устройствах — удалить их оттуда мы не можем;
на нашем сервере ваши сообщения удаляются как обычно (раздел 3): после прочтения всеми участниками чата и не позже чем через 7 дней, файлы — через 7 дней после загрузки; тем, кто войдёт в чат после удаления аккаунта, содержимое ваших сообщений не показывается;
в чатах, где вы состояли, остаются служебные записи о вашем участии — ник, а также имя и фото профиля, которые были у вас в этом чате: без них чат не работает; они хранятся, пока существует чат;
серверы Matrix других организаций хранят копии переписки со своими пользователями по своим правилам (раздел 5);
в резервных копиях сервера данные аккаунта остаются до 14 дней, записи об IP-адресах в базе данных — до 28 дней, в журналах программ сервера — пока журнал не перезапишется (раздел 6);
переписка, сохранённая на других ваших устройствах, остаётся на них, пока вы не удалите там приложение или его данные.

Kilogram Privacy Policy

Version of 1 November 2026.

Kilogram is a messenger for Android and iOS built on the open Matrix protocol and served by kilogram.ct.ms. This page explains what data we receive, why, and for how long we keep it.

1. Sign-in with Google and Apple

When you sign in with Google, we receive your Google account identifier, name, email address and profile photo (scopes openid, profile, email). We use them to create your account and to let only you into it. Your username (@name:kilogram.ct.ms) is made from your email address — the part before “@”; if that name is already taken, a number is added to it. Your email address is stored with your account; it is not shown to other users in full. When you delete your account, your email address and Google account identifier are deleted from the server (section 9). We never receive your Google password.

When you sign in with Apple (in the iPhone app), we receive your Apple account identifier and an email address: your real one, or Apple's hidden address if you chose “Hide My Email”. Apple shares your name only at the first sign-in. We never receive a profile photo or your Apple password. We use this data to create your account and to let only you into it. Your username is made from your real email address by the same rule as with Google; if the address is hidden or missing, it is made from your name, and if there is no name either, it is assigned automatically. Your email address, hidden or not, is stored with your account; it is not shown to other users in full. When you delete your account, your email address and Apple account identifier are deleted from the server, and your Apple tokens are revoked (section 9).

2. Profile

Your username, display name and profile photo are visible to the people you chat with; users of kilogram.ct.ms can find you by name.

3. Messages, files and calls

Direct and group chats are end-to-end encrypted by default: the content of messages, files and calls is decrypted only on the participants' devices; the server cannot read it.
The server keeps encrypted messages only until every participant of the chat has read them, and no longer than 7 days. Files, photos, videos and voice messages are deleted from the server 7 days after upload. Your chat history is stored on your devices.
To operate chats, the server keeps technical information: who is in a chat, the chat's name and settings, and the time of events.
Audio and video calls pass through our media server and are not recorded.
You can block a user: their messages, invitations and calls are no longer shown to you, and the server sends you no notifications about them. The list of blocked users is stored in your account on the server.
You can report a message or a user. The report (the reason, your comment and — unless you untick it — the text of the reported message) goes to the administrator of kilogram.ct.ms and is stored on the server; other users do not see it.

3a. The common room

The server has one common room, “Kilogram lounge” (#lounge:kilogram.ct.ms). Every user of kilogram.ct.ms is added to it automatically once: when signing up, or — for those who signed up earlier — when the room was launched. Guests who call from a browser without an account and users of other Matrix servers are not added.
Members of the common room see each other: name, profile photo and online status (and when you were last active). This status is visible to everyone you share a chat with — and so to all members of the common room.
Messages and files in the common room are not end-to-end encrypted: the server stores them unencrypted, and the server administrator can read them to handle reports. Do not post anything private there. They are deleted from the server after 7 days; a new member sees what has not been deleted yet.
The administrator can delete messages and remove members; you can report a message or a member (section 3). The room has limits: at most 20 messages a minute, files up to 50 MB.
By default, the common room notifies you only when you are mentioned or replied to.
You can leave the common room at any time — you will not be added back automatically. You can come back yourself by the room's address.

3b. Kilogram's public room on Matrix

Besides the common room there is a public room, “Kilogram” (#kilogram:kilogram.ct.ms), open to everyone on the Matrix network, including users of other servers (for example, matrix.org). It is listed in our server's room directory, and third-party Matrix room directories and search services may find and show it (name, topic, number of members).
Nobody is added to it automatically: you join it only yourself, and you can leave at any time.
Once you join, all its members — including those of other servers — see your name, profile photo, Matrix address and online status. Your messages and files are transmitted to the servers of all members and kept there under their rules: our server deletes them after 7 days, but that does not delete the copies on other servers. Deleting a message is sent to other servers, but we cannot guarantee they carry it out.
Messages in the public room are not encrypted: anyone who joins can read them. Do not post anything private there.
The room's rules are in its description: no spam, ads, abuse or illegal content. The administrator removes violations and bans violators (and whole servers); you can report as in section 3. Limits: at most 20 messages a minute, files up to 50 MB. To contact the server administrator: info@ct.ms.

4. Notifications

To deliver notifications, your device's push token is shared with Google Firebase Cloud Messaging (Android) or the Apple Push Notification service (iOS). Notifications carry only technical identifiers — no message text and no names; the app fetches and decrypts the text itself.

5. Other Matrix servers

When you chat or call with users of other Matrix servers (for example, matrix.org), the data of that conversation is transmitted to their servers and kept under their rules.

6. Technical logs and backups

The server records the IP addresses and device information used to sign in, to protect accounts; in the server database these records are kept for up to 28 days. The logs of the server software (which also contain IP addresses and usernames) are limited in size and are overwritten as they fill up. Once a day the server is backed up — the database and uploaded files. Backups are kept for up to 14 days: on the server itself unencrypted, accessible only to the server administrator, and encrypted in a private repository on GitHub.

7. What we do not do

We do not sell or share your data with third parties, show ads, or use third-party analytics. Data is passed only to the services named above and only for the purposes described.

8. Your rights and deleting your data

You can delete your account at any time (see section 9); on request we will delete the associated data from the server. Questions about your data: info@ct.ms.

9. Deleting your account

In the app: Settings → Delete account. The app asks you to confirm that it is you: a Google page opens — sign in with the Google account you use for Kilogram; if you sign in with Apple, confirm in the Apple window. Once you confirm, your Kilogram account is deleted, and the app erases all its data from the phone: chats, files, encryption keys and settings.

Without the app: email info@ct.ms from the email address of the Google or Apple account you used to sign in to Kilogram and ask us to delete your account; include your username if you remember it. If you hid your address with Apple, you must include your username. We will delete the account the same way the app does.

Deleted immediately:

your display name and profile photo; you can no longer be found in Kilogram by name;
the email address stored with your account;
sign-in: the account is signed out on all your devices and cannot be signed in to again;
information about your devices and their encryption keys on the server, notification tokens (notifications stop), and your account settings on the server;
chat membership: the account leaves all chats, and pending invitations are declined.

Deletion is permanent: the account cannot be restored. Your username (@name:kilogram.ct.ms) is not released: no one else can take it, and you will not get it back either. Your Google or Apple account identifier is deleted from the server within a few minutes of the account deletion. After that you can sign in with the same account again, but it will be a new Kilogram account with a different username; your previous chats will not move to it.

What remains, and where:

messages and files your contacts have already received stay on their devices — we cannot delete them there;
on our server your messages are deleted as usual (section 3): once every participant of the chat has read them, and no later than 7 days; files 7 days after upload; people who join a chat after your account is deleted are not shown the content of your messages;
chats you were in keep technical records of your membership — your username, and the display name and profile photo you had in that chat: a chat cannot work without them; they are kept as long as the chat exists;
Matrix servers run by other organisations keep copies of conversations with their users under their own rules (section 5);
your account's data stays in server backups for up to 14 days, IP address records stay in the database for up to 28 days, and entries in the server software logs stay until the logs are overwritten (section 6);
chats saved on your other devices stay there until you delete the app or its data on those devices.