खतरा मॉडल
हम डिवाइस चोरी, नेटवर्क अवरोधन, और बैकअप या क्लाउड सिंक के माध्यम से आकस्मिक एक्सपोज़र मानते हैं। हम मानते हैं कि उपयोगकर्ता क्रेडेंशियल समझौता हो सकते हैं। हम नहीं मानते कि अनलॉक डिवाइसों तक भौतिक पहुंच वाले राज्य-स्तरीय विरोधी — Fluera गोपनीयता उपकरण नहीं है, यह अध्ययन उपकरण है।
उस मॉडल के भीतर, तीन गारंटी:
- स्थानीय डेटा कुंजी के बिना अपठनीय है। चोरी हुआ डिवाइस एक एन्क्रिप्टेड ब्लॉब उत्पन्न करता है।
- सिंक किया गया डेटा हमारे लिए अपठनीय है। क्लाउड केवल साइफरटेक्स्ट रखता है। व्युत्पत्ति डिवाइस पर होती है।
- टेलीमेट्री सहमति-आधारित और डी-आइडेंटिफाइड है। पूर्ण उल्लंघन के मामले में भी एनालिटिक्स उपयोगकर्ता को उनकी सामग्री से नहीं जोड़ सकते।
विश्राम पर: SQLCipher, AES-256
हर Fluera नोटबुक एक स्थानीय SQLite डेटाबेस में रहती है जो SQLCipher के साथ एन्क्रिप्टेड है — एक व्यापक रूप से सत्यापित विस्तार जो AES-256-CBC के साथ हर डेटाबेस पृष्ठ को पारदर्शी रूप से एन्क्रिप्ट करता है और प्रति-पृष्ठ HMAC-SHA512 अखंडता जांच करता है।
कुंजी व्युत्पत्ति SHA-256 के साथ PBKDF2 का उपयोग करती है, 256,000 पुनरावृत्तियां (OWASP-संरेखित)। पासफ्रेज़ प्लेटफ़ॉर्म कीचेन में रखा जाता है — iOS/macOS पर Keychain, Android पर Keystore, Windows पर DPAPI, Linux पर libsecret। यह कभी हमारे सर्वर पर नहीं भेजा जाता।
पारगमन में: TLS 1.3, सर्टिफिकेट पिनिंग
सभी नेटवर्क ट्रैफ़िक आधुनिक साइफर के साथ TLS 1.3 है। iOS और Android पर हम कॉर्पोरेट प्रॉक्सी मैन-इन-द-मिडिल को रोकने के लिए हमारे CA चेन पर सर्टिफिकेट पिन करते हैं — दस्तावेज़ीकृत ओवरराइड के साथ जिसकी आवश्यकता होती है उन नेटवर्क प्रशासकों के लिए।
डिवाइसों के बीच सिंक: एंड-टू-एंड एन्क्रिप्टेड
सक्रिय होने पर, क्लाउड सिंक डिवाइस पर व्युत्पन्न अलग कुंजी सेट का उपयोग करता है। सिंक सर्वर (Supabase Storage, EU क्षेत्र) साइफरटेक्स्ट रखता है और डीक्रिप्ट नहीं कर सकता। सिंक प्रति-नोटबुक ऑप्ट-इन है — आप कुछ को केवल स्थानीय रख सकते हैं जबकि अन्य को सिंक कर सकते हैं।
P2P सहयोग: प्रत्यक्ष, एन्क्रिप्टेड
रीयल-टाइम सहयोग DTLS-SRTP एन्क्रिप्शन के साथ WebRTC DataChannel का उपयोग करता है। Supabase Realtime केवल सिग्नलिंग ब्रोकर के रूप में कार्य करता है — कनेक्शन सेटअप — वास्तविक कैनवास ट्रैफ़िक के लिए रिले नहीं। हैंडशेक के बाद, कैनवास संपादन P2P बहते हैं। सर्वर उन्हें नहीं देखता।
AI कॉल: प्रॉक्सी के माध्यम से, कभी सीधे नहीं
Google Gemini (Socratic Mode, Ghost Map, LaTeX OCR, Exam Session) पर कॉल एक Supabase Edge Function के माध्यम से जाती हैं जो API कुंजी को सर्वर साइड पर रखती है। क्लाइंट डिवाइस कुंजी कभी नहीं देखते। प्रॉक्सी प्रति-योजना दर सीमाएं लागू करता है और लेखांकन के लिए कॉल अवधि लॉग करता है — कैनवास सामग्री कभी नहीं।
टेलीमेट्री: ऑप्ट-इन, हैश, अनुमति-सूची
उत्पाद विश्लेषण डिफ़ॉल्ट रूप से अक्षम हैं। सक्रिय होने पर, घटनाएं सर्वर-साइड श्वेतसूची तक सीमित हैं (सत्र शुरू/अंत, सुविधा आह्वान, AI कॉल अवधि — कभी सामग्री नहीं)। उपयोगकर्ता ID डिवाइस पर SHA-256 हैश है; सादा-पाठ ID कभी क्लाइंट नहीं छोड़ता। घटनाएं 180 दिनों तक रखी जाती हैं, फिर समग्र या हटा दी जाती हैं।
ऑडिट लॉग (संस्थागत खाते)
साझा नोटबुक्स तक हर एक्सेस — कौन, किस डिवाइस से, कब — एक केवल-अपेंड ऑडिट लॉग में लिखा जाता है। प्रशासक अनुपालन ऑडिट के लिए CSV या JSON में लॉग निर्यात कर सकते हैं। लॉग एक बार लिखे जाते हैं: हटाने के लिए दस्तावेज़ीकृत कारण की आवश्यकता होती है और स्वयं लॉग होता है।
पुनर्प्राप्ति और कुंजी हानि
यदि आप पासफ्रेज़ खो देते हैं, तो एन्क्रिप्टेड डेटा अपुनर्प्राप्य हो जाता है। यह जानबूझकर है — विकल्प एक पुनर्प्राप्ति पथ होगा जो आवश्यक रूप से एन्क्रिप्शन मॉडल को कमज़ोर करेगा। संस्थागत खातों के लिए, प्रशासक द्वारा रखी गई एक वैकल्पिक पुनर्प्राप्ति कुंजी कॉन्फ़िगर की जा सकती है; यह एक दस्तावेज़ीकृत ट्रेड-ऑफ है जिसे संस्थान सचेत रूप से चुनता है।
जिम्मेदार प्रकटीकरण
सुरक्षा शोधकर्ता स्वागत हैं। PGP एन्क्रिप्शन के साथ security@fluera.dev पर भेद्यता रिपोर्ट करें (कुंजी GitHub प्रोफ़ाइल पर प्रकाशित)। हम 24 घंटे के भीतर पुष्टि करते हैं, गंभीर मुद्दों को 72 के भीतर पैच करते हैं, और गुमनामी के अनुरोध तक हॉल ऑफ फेम में रिपोर्टर्स का उल्लेख करते हैं।
दायरा: Fluera ऐप (सभी प्लेटफ़ॉर्म), सिंक सेवा, AI प्रॉक्सी, और यह मार्केटिंग साइट। दायरे से बाहर: तृतीय-पक्ष सेवाएं (Supabase, Google, Apple, Sentry, RevenueCat) — संबंधित विक्रेताओं को रिपोर्ट करें।
बाहरी आकलन
Fluera के पास वर्तमान में SOC 2 या ISO 27001 प्रमाणन नहीं है। ये एंटरप्राइज़ रोडमैप पर हैं और पूरा होने पर सार्वजनिक रूप से घोषित किए जाएंगे। हम उन नियंत्रणों को घोषित करना नहीं पसंद करते जिन्हें हमने स्वतंत्र रूप से सत्यापित नहीं किया है।
सब-प्रोसेसर सूची सार्वजनिक और अद्यतन है। डेटा प्रोसेसिंग समझौता privacy@fluera.dev पर अनुरोध पर उपलब्ध है।