Zásady ochrany soukromí — VoxRox Mail

Verze 2026-10-12 (návrh před prvním vydáním). Tato verze je předběžná a dosud neprošla právním review — viz „Otevřené body" na konci.

VoxRox Mail je desktopový e-mailový klient pro Windows. Aplikace běží lokálně na vašem počítači. Vaše e-maily, kontakty, přihlašovací údaje k účtům a logy zůstávají na vašem zařízení a neposílají se na žádný server VoxRox ani jiné třetí strany — kromě těch, které si sami zvolíte přidáním e-mailového účtu (váš poskytovatel e-mailu, případně Google nebo Microsoft pro OAuth přihlášení), kromě kontroly dostupných aktualizací na GitHubu a kromě vzdálených obrázků ve zprávě, jejichž načtení sami výslovně povolíte (obojí viz „Jaká data putují po síti"). Logy opustí váš počítač jen tehdy, když sami pošlete diagnostický balíček (viz „Diagnostický balíček").

VoxRox neprovozuje pro tuto aplikaci žádný backendový server, neukládá vaše data v cloudu a neshromažďuje telemetrii, analytiku ani crash reporty na externí endpoint.

Kdo je správce dat

Správcem osobních údajů ve smyslu GDPR jste vy sami — všechna data jsou uložena lokálně na vašem zařízení pod vaším účtem operačního systému. VoxRox poskytuje pouze software, který data zpracovává podle vašich pokynů, a nemá k vašim datům přístup.

Pokud aplikaci nasazuje organizace svým zaměstnancům (firemní počítače, firemní e-mailové účty), je správcem příslušných osobních údajů tato organizace, ne VoxRox. Aplikace ani v tomto případě data VoxRoxu neodesílá — organizace odpovídá za konfiguraci, zálohy a poučení uživatelů podle vlastních zásad zpracování dat.

Jaká data aplikace ukládá lokálně

Veškerá perzistentní data jsou ve standardním Windows datovém adresáři:

%LOCALAPPDATA%\VoxRox\Mail\

Obsah:

Mimo tento adresář aplikace zapisuje jedinou hodnotu do registru Windows, HKEY_CURRENT_USER\Software\VoxRox\Mail\UpdateStartupCheck: vaši odpověď na otázku, zda při spuštění kontrolovat aktualizace (bod 3 níže). Zapisuje ji instalátor a přepínač v Nastavení → O aplikaci.

Co je šifrované

• Hesla k IMAP/SMTP a OAuth tokeny (Google, Microsoft) jsou šifrované algoritmem AES-GCM s klíčem odvozeným z crypto.bin. Bez crypto.bin uloženého ve vašem profilu je nelze dešifrovat.
• crypto.bin samotný je chráněn pouze oprávněními Windows souborového systému vašeho uživatelského profilu. Doporučení: nezálohujte ho do veřejných cloudových úložišť bez dodatečného šifrování.

Co šifrované není

• Hlavičky a těla e-mailových zpráv, kontakty, předměty zpráv, odesílatelé, přílohy, log soubory a metadata synchronizace jsou v SQLite databázi a na disku v otevřené podobě. Pokud potřebujete ochranu před fyzickým přístupem k disku, použijte šifrování celého disku (BitLocker apod.).

Jaká data putují po síti

Aplikace zahájí síťovou komunikaci jen v těchto případech:

1. Připojení k vašemu e-mailovému serveru (IMAP a SMTP) — stahování pošty, odesílání, synchronizace složek. Kam přesně se aplikace připojuje záleží na účtu, který přidáte (Gmail, Outlook, Seznam, vlastní server).
2. OAuth přihlášení (Google, Microsoft) — pokud zvolíte tento způsob přihlášení místo aplikačního hesla. Aplikace otevře váš výchozí prohlížeč na přihlašovací stránce poskytovatele, obdrží access token + refresh token a uloží je lokálně (šifrované, viz výše). Pravidelně si od poskytovatele bere nový access token přes refresh token.
3. Aktualizace aplikace (Tauri updater) — aplikace se při spuštění připojuje na https://github.com/TheVoxRox/mail/releases/latest/download/latest.json (stabilní kanál), resp. na https://github.com/TheVoxRox/mail/releases/download/beta/latest.json, pokud si v Nastavení → O aplikaci zvolíte beta kanál, aby zjistila, zda existuje novější podepsaná verze, a případně stáhla podepsaný instalátor. Za běhu se už sama znovu neptá — další dotaz proběhne až při příštím spuštění, nebo když kontrolu sami vyvoláte v Nastavení → O aplikaci či na obrazovce, kterou aplikace ukáže, když se nepodaří spustit. Při spuštění se ptá i tehdy, když se spustit nepodaří, protože opravou takové chyby bývá právě nová verze. Tamtéž můžete kontrolu při spuštění vypnout (volba „Kontrolovat aktualizace při spuštění aplikace"); aplikace se pak ke GitHubu připojí jen tehdy, když kontrolu vyvoláte sami. Stejnou otázku položí už instalátor na stránce Soukromí; tichá instalace se neptá, ponechá dříve zvolenou odpověď, a když žádná není, nechá kontrolu zapnutou. Při tomto požadavku GitHub (hosting releasů) dočasně uvidí ve svých server lozích vaši IP adresu a verzi, na kterou se dotazujete — stejně jako při jakémkoli jiném stažení z webu. Žádná jiná data se při kontrole aktualizací neodesílají (volba kanálu zůstává uložená jen lokálně).
4. Načtení vzdálených obrázků ve zprávě — jen když to sami povolíte. Obrázky odkazované z HTML zprávy se ve výchozím stavu nestahují; aplikace je zablokuje a nad zprávou zobrazí „Vzdálené obrázky blokovány". Teprve když kliknete na „Načíst obrázky" (jednorázově pro danou zprávu), nebo na „Vždy od tohoto odesílatele" (trvale, seznam důvěryhodných odesílatelů se ukládá lokálně v databázi), stáhne aplikace obrázky přímo ze serverů, na které zpráva odkazuje. Ty nejsou pod kontrolou VoxRoxu — jsou to servery odesílatele nebo jeho rozesílací platformy. Při stažení uvidí provozovatel takového serveru vaši IP adresu a čas načtení a může z toho odvodit, že jste zprávu otevřeli (tzv. sledovací pixel). Právě proto jsou vzdálené obrázky blokované, dokud je nepovolíte.

Aplikace neposílá vaše e-maily, kontakty ani aktivitu na servery VoxRox ani na žádnou analytickou platformu třetí strany.

Kdy komunikace probíhá

Ve výchozím nastavení zavření okna aplikaci ukončí a síťová komunikace končí spolu s ní. Přepnete-li Nastavení → Vzhled → Zavření okna na „nechat běžet v oznamovací oblasti", probíhají body 1 a 2 výše i po zavření okna: aplikace se jen skryje, aby dál stahovala poštu a hlásila nové zprávy — pořád tedy běží a pořád se v pravidelných intervalech připojuje k vašemu e-mailovému serveru. Kontrola aktualizací (bod 3) mezi ně nepatří — ta proběhne nanejvýš jednou při spuštění (a vůbec ne, pokud ji máte vypnutou) a za běhu se neopakuje, ať je okno zavřené, nebo ne. Ukončit aplikaci pak jde přes nabídku ikony v oznamovací oblasti (Ukončit).

Diagnostické reporty z klienta

Neošetřené chyby rozhraní (výjimky v JavaScriptu) posílá frontend na lokální backendový endpoint POST /api/internal/client-errors, který běží na 127.0.0.1 ve vašem počítači, a backend je zapíše do logs/mail.log. Záznam obsahuje typ a text chyby, výpis zásobníku, skript, ve kterém vznikla, a obecný tvar stránky, např. /mail/[accountId]/[folderName] — bez čísla účtu, názvu složky a zprávy. Do logu se zapíše nejvýš 20 záznamů za minutu. Záznamy neopouštějí vaše zařízení samy od sebe a neodesílají se VoxRoxu ani žádné třetí straně.

Diagnostický balíček

Tlačítkem Stáhnout diagnostiku (Nastavení → O aplikaci, případně obrazovka při potížích se spuštěním) si uložíte ZIP, který můžete poslat vývojářům, když hlásíte chybu. Nic se neodesílá automaticky: soubor se uloží do vašeho počítače a o tom, komu ho pošlete, rozhodujete vy.

Balíček obsahuje:

• stav aplikace: verze, počty účtů, složek a zpráv, názvy synchronizovaných složek, stav synchronizace, poslední chybu každého účtu (jako kód, ne jako text), konfiguraci serverů účtů (host, port, SSL), maskované e-mailové adresy (j***k@seznam.cz), údaje o běhu (verze Javy a Windows, paměť, velikost databáze, volné místo na disku), časy spuštění a stav všech vláken aplikace;
• logy ze složky logs/ (mail.log, audit.log a mail-frontend.log včetně starších souborů, nejvýš 24 MB textu, novější přednostně), tak jak jsou uložené ve vašem počítači. Obsahují tedy i názvy složek a účtů, cesty k souborům aplikace (s vaší domovskou složkou a jménem uživatele Windows) a technické texty chyb tak, jak je vrátil e-mailový server nebo knihovna, které mohou obsahovat například jméno odesílatele z hlavičky zprávy. Jako pojistka se v nich před uložením do ZIPu zamaskuje každá e-mailová adresa, kterou nezamaskovala už sama aplikace (typicky v textu chyby od serveru), a nahradí se tokeny a interní API klíč, které v logu být nemají.

Balíček neobsahuje hesla, OAuth tokeny, obsah zpráv, předměty ani přílohy. Než ZIP pošlete, můžete ho otevřít a projít: logy v něm jsou obyčejné textové soubory. Pokud ho přikládáte k veřejnému hlášení (například na GitHubu), uvidí jeho obsah kdokoli.

Když se aplikace nespustí, diagnostiku stáhnout nejde, protože ji připravuje služba aplikace. Na obrazovce s chybou spuštění je proto také tlačítko Uložit logy: uloží do složky Stažené soubory ZIP se všemi soubory ze složky logs/ (nejvýš 64 MB textu, novější přednostně, starší soubory .gz rozbalené) a krátkou poznámku s verzí aplikace. Logy v něm jsou tak, jak jsou na disku, se stejnou pojistkou jako v diagnostickém balíčku: nezamaskované e-mailové adresy se zamaskují a tokeny a interní API klíč se nahradí. Ani tento ZIP se nikam neodesílá sám.

Třetí strany

Pokud přidáte účet, vstupují do hry tito poskytovatelé:

• Váš poskytovatel e-mailu (Gmail, Outlook, Seznam, vlastní server, …) — řídí se vlastními zásadami zpracování dat.
• Google — pokud používáte Gmail s OAuth (policies.google.com/privacy).
• Microsoft — pokud používáte Outlook/Hotmail/Live s OAuth (privacy.microsoft.com).
• GitHub — aktualizace se distribuují přes GitHub Releases, takže aplikace při spuštění, pokud to nevypnete, kontroluje dostupnost nové verze proti GitHubu (viz „Jaká data putují po síti" výše). GitHub při tom vidí vaši IP adresu a dotazovanou verzi (GitHub Privacy Statement).
• Servery hostující vzdálené obrázky ve zprávách — vstupují do hry jen tehdy, když u konkrétní zprávy nebo odesílatele načtení obrázků sami povolíte (viz „Jaká data putují po síti" výše). Kdo takový server provozuje a jaké má zásady, určuje odesílatel zprávy; VoxRox nad tím nemá kontrolu.

VoxRox nemá s těmito poskytovateli žádnou sdílecí dohodu o vašich datech. Komunikace probíhá přímo mezi vaším počítačem a daným serverem.

Vaše práva a možnosti kontroly

• Smazat účet z aplikace — odeberte účet v Nastavení. Tím se kaskádově smaže záznam účtu, přihlašovací údaje, stav synchronizace, zprávy a historie korespondence z lokální databáze. Kontakty zůstávají — adresář je společný pro celou aplikaci, ne pro jeden účet, a odpojení schránky není důvod přijít o adresy, které jste do něj zadali ručně nebo naimportovali. Smazat je můžete jednotlivě nebo hromadně v Kontaktech; kompletní odstranění všech dat popisuje bod „Kompletní odstranění dat" níže.
• Odvolat OAuth přístup u poskytovatele:
  • Google: myaccount.google.com/permissions → vyhledat „VoxRox Mail" → Odebrat přístup.
  • Microsoft: account.microsoft.com/privacy/app-access (osobní účty) nebo myapps.microsoft.com (firemní účty) → najít aplikaci podle Client ID → „Remove permission". Microsoft neimplementuje standardní revoke endpoint (RFC 7009), takže odvolání musíte provést u nich.
• Kompletní odstranění dat — odinstalujte aplikaci a poté ručně smažte adresář %LOCALAPPDATA%\VoxRox\Mail\. Instalátor data adresář záměrně nemaže (aby šlo bezpečně přeinstalovat bez ztráty pošty).
• Export dat — kontakty lze exportovat do vCard přes Nastavení > Kontakty. Export celé databáze není ve verzi 0.x dostupný v UI; pokročilí uživatelé si mohou zkopírovat db/mail.db přímo a otevřít v jakémkoli SQLite prohlížeči (např. DB Browser for SQLite).
• Přístup k logům — soubory v logs/ jsou prostý text čitelný editorem.

Vaše odpovědnost a zálohy

Protože všechna data zůstávají na vašem zařízení a VoxRox k nim nemá přístup, za jejich zálohu a zabezpečení odpovídáte vy (případně organizace, která aplikaci nasadila):

• Zálohy — VoxRox neprovozuje žádné cloudové zálohování. Chcete-li se chránit před ztrátou dat, poškozením disku nebo nechtěným smazáním, zálohujte si celý adresář %LOCALAPPDATA%\VoxRox\Mail\ (bezpečný postup viz backend/OPERATIONS.md). Stažená pošta zůstává i na serveru vašeho poskytovatele, ale lokální koncepty, kontakty a nastavení tam být nemusí.
• Zabezpečení zařízení — citlivost dat na disku řešte zámkem účtu Windows a šifrováním celého disku (BitLocker), viz „Co šifrované není" výše.
• crypto.bin — bez tohoto souboru nelze obnovit přihlašovací údaje. Nezálohujte ho do nešifrovaného cloudu.

Software je poskytován „tak jak je" (AS IS), bez jakékoli záruky, v rozsahu povoleném licencí MIT (viz LICENSE). VoxRox neodpovídá za ztrátu dat, výpadek e-mailové služby ani za škody vzniklé použitím aplikace.

Děti

Aplikace není cíleně určená pro děti pod 16 let, ale ani jejich použití neomezuje — funkce závisí výhradně na účtech, které si uživatel sám přidá. Doporučení rodičům: ověřte, že zvolený poskytovatel e-mailu povoluje použití dítětem.

Bezpečnostní oznámení

Pokud objevíte zranitelnost nebo bezpečnostní problém v aplikaci, nehlaste ho prosím veřejně v issue trackeru. Napište na info@voxrox.org. Podrobnosti k odpovědnému zveřejnění najdete na stránce Podpora.

Změny těchto zásad

Tato verze je předběžná. Před prvním veřejným vydáním a při každé materiální změně (např. zapojení telemetrie, změna seznamu třetích stran) tento dokument aktualizujeme. Aktuální verze je vždy v repozitáři projektu a na této stránce.

Otevřené body před prvním vydáním

Tato položka bude doplněna předtím, než je tento dokument finalizován:

• Právní review celého dokumentu (GDPR) — zejména formulace „správce dat" pro firemní nasazení a sekce „Vaše odpovědnost a zálohy".