English

Privacy Policy for Kora

Last updated: 20 September 2026

Kora is anonymous by design. You do not need a phone number, an email address, or any real-world identifier to use Kora. Your account is a pseudonym (@handle) and a cryptographic key pair generated on your device.

1. What we do NOT collect

No phone number (unless you choose the optional legacy recovery field)
No email address (same optional exception)
No contact book / address book
No location data
No advertising identifiers, no third-party ad SDKs, no tracking

2. What we store

Profile: your public handle, display name, optional profile picture and bio.
Public keys: your Ed25519 signing key and X25519 encryption key (public halves only). They prove your identity to the server.
Messages: encrypted envelopes. Text and media are encrypted end-to-end on your device (AES-256-GCM, X25519 key agreement). We cannot read them. We cannot recover them if you lose your recovery phrase.
Murmurs: anonymous posts you publish in public topic feeds. They never display your handle.
Push token: a Firebase Cloud Messaging token to deliver notifications (used only for that purpose).
Technical logs: minimal, rotated server logs needed to operate and secure the service.

3. Your recovery phrase and private keys

Your 12-word recovery phrase and private keys never leave your device and are never sent to us. We only receive the public halves. Losing the phrase means losing access to the account; no one — including Kora — can restore it.

4. Sharing with third parties

We never sell or rent data. Limited processors are used strictly to run the service:

Firebase Cloud Messaging (Google) — push notifications
Hosting provider (VPS) — servers and storage

5. Content safety

Public murmurs can be reported by any user; repeatedly reported content is hidden automatically. You can block any account. Because accounts are anonymous, we act on content and technical signals, not identity.

6. Retention & deletion

Messages are retained until you delete them or your account. To delete your account and data, use Settings → Account → Delete my account inside the app, or follow the instructions at dibbi.xyz/delete-account.html. Deletion frees your handle immediately, revokes all sessions and removes your profile and cryptographic identity.

7. Children

Kora is not intended for children under 13 (or the minimum age required in your country).

8. Changes

We may update this policy; significant changes will be announced in the app.

9. Contact

Privacy questions or deletion requests: privacy@dibbi.xyz

Français

Politique de confidentialité de Kora

Dernière mise à jour : 20 septembre 2026

Kora est anonyme par conception. Aucun numéro de téléphone, aucune adresse email, aucun identifiant réel n'est nécessaire. Votre compte est un pseudonyme (@pseudo) et une paire de clés cryptographiques générée sur votre appareil.

1. Ce que nous ne collectons PAS

Aucun numéro de téléphone (sauf si vous choisissez le champ optionnel de secours hérité)
Aucune adresse email (même exception optionnelle)
Aucun carnet de contacts
Aucune donnée de localisation
Aucun identifiant publicitaire, aucun SDK publicitaire, aucun pistage

2. Ce que nous stockons

Profil : pseudo public, nom affiché, photo et bio optionnelles.
Clés publiques : vos clés Ed25519 (signature) et X25519 (chiffrement) — parties publiques uniquement.
Messages : des enveloppes chiffrées. Textes et médias sont chiffrés de bout en bout sur votre appareil (AES-256-GCM, accord de clés X25519). Nous ne pouvons pas les lire ni les récupérer si vous perdez votre phrase.
Murmures : publications anonymes dans les fils publics. Votre pseudo n'y apparaît jamais.
Jeton push : un jeton Firebase Cloud Messaging, utilisé uniquement pour les notifications.
Journaux techniques : minimaux et rotatifs, nécessaires au fonctionnement et à la sécurité du service.

3. Phrase de récupération et clés privées

Votre phrase de 12 mots et vos clés privées ne quittent jamais votre appareil. Nous ne recevons que les clés publiques. Perdre la phrase, c'est perdre l'accès au compte : personne — pas même Kora — ne peut le restaurer.

4. Partage avec des tiers

Aucune donnée n'est vendue ni louée. Des prestataires limités sont utilisés uniquement pour faire tourner le service :

Firebase Cloud Messaging (Google) — notifications push
Hébergeur (VPS) — serveurs et stockage

5. Sécurité des contenus

Tout utilisateur peut signaler un murmure public ; les contenus massivement signalés sont masqués automatiquement. Vous pouvez bloquer n'importe quel compte. Les comptes étant anonymes, nous agissons sur le contenu et des signaux techniques, pas sur l'identité.

6. Conservation et suppression

Les messages sont conservés jusqu'à leur suppression ou celle de votre compte. Pour supprimer votre compte et vos données : Réglages → Compte → Supprimer mon compte dans l'app, ou suivez dibbi.xyz/delete-account.html. La suppression libère immédiatement votre pseudo, révoque toutes les sessions et efface votre profil et votre identité cryptographique.

7. Enfants

Kora n'est pas destiné aux enfants de moins de 13 ans (ou l'âge minimum de votre pays).

8. Modifications

Cette politique peut évoluer ; tout changement important sera annoncé dans l'app.

9. Contact

Questions ou demandes de suppression : privacy@dibbi.xyz