Kebijakan privasi

Apa yang terlihat, dan oleh siapa

Berlaku 9 September 2026, menggantikan versi 7 September. Latchat belum dirilis. Halaman ini menjelaskan aplikasinya seperti yang dibangun hari ini, dan akan diperbarui kalau ada yang berubah.

Ringkasnya.

Tidak ada akun, tidak ada nomor telepon, dan tidak ada alamat email di sistem mana pun yang kami jalankan. Isi pesan Anda dienkripsi ujung ke ujung dan tidak bisa dibaca oleh server kami.

Yang bisa dilihat server kami adalah siapa berbicara dengan siapa, kapan, dan seberapa besar. Itu bukan nol, dan di bawah ini semuanya ditulis satu per satu.

1. Tidak ada akun

Latchat tidak pernah meminta nomor telepon, alamat email, nama, atau kata sandi. Tidak ada kolom untuk itu di basis data mana pun yang kami jalankan.

Identitas Anda adalah sepasang kunci kriptografi yang dibuat oleh ponsel Anda sendiri saat aplikasi pertama kali dijalankan. Kunci privatnya tidak pernah meninggalkan ponsel. Yang dikenal oleh server adalah kunci publiknya, yaitu sebuah angka acak yang tidak terhubung ke identitas Anda di dunia nyata kecuali ada orang lain yang menghubungkannya.

2. Apa yang ada di ponsel Anda

Pesan Anda, kunci grup Anda, dan identitas Anda disimpan di ponsel Anda dalam keadaan terenkripsi. Semua itu tidak diunggah ke mana pun dalam bentuk yang bisa dibaca, dan tidak ada cadangannya di server kami. Kalau Anda kehilangan ponsel Anda, riwayat pesan itu ikut hilang.

Ini penjelasan tepat dari apa yang dilindunginya dan apa yang tidak. Kuncinya dipegang oleh brankas kunci milik Android dan tidak pernah keluar dari sana, jadi berkas-berkas itu tidak bisa dibaca lewat cadangan, lewat kartu memori yang dicabut, atau oleh aplikasi lain. Ia bukan pengganti kunci layar Anda, dan ia tidak melindungi apa pun dari orang yang memegang ponsel Anda dalam keadaan terbuka.

Kunci itu sengaja tidak dipasangi syarat membuka kunci layar, karena SOS harus tetap bisa dipakai di ponsel yang pemiliknya tidak memasang kunci layar sama sekali.

3. Apa yang dilihat server perantara

Ada satu server perantara. Ia diperlukan karena sebuah pesan harus menunggu di suatu tempat ketika ponsel tujuannya sedang tidur atau sedang tidak terhubung. Server itu membawa amplop yang tersegel dan tidak memegang kunci untuk membukanya.

Alamat grup	Sebuah angka yang diturunkan dari kunci grup. Ia berubah setiap kali keanggotaan grup berubah.
Kunci publik	Kunci publik setiap orang yang terhubung ke alamat itu.
Nomor pesan	Nomor acak per pesan, dipakai supaya pesan yang sama tidak dikirim dua kali.
Ukuran	Berapa byte setiap pesan.
Waktu	Kapan sesuatu dikirim dan kapan diambil.
Token notifikasi	Satu token notifikasi Google per anggota yang pernah mengirimkannya. Lihat bagian 4.

Jadi server itu melihat pola: siapa berbicara dengan siapa, kapan, dan seberapa banyak. Itu sebuah peta hubungan dan catatan aktivitas, dan kami menyebutnya begitu karena memang begitu adanya.

Yang tidak bisa dilihatnya: isi pesan Anda, nama grup, nama anggota, foto, rekaman suara, lokasi, dan berkas apa pun. Semua itu dienkripsi ujung ke ujung, dan kuncinya ada di ponsel-ponsel anggota grup, tidak di server.

Satu hal lagi yang terlihat: sebuah pesan darurat ditandai sebagai mendesak di bagian luar amplopnya, supaya bisa didahulukan. Server tahu ada pesan mendesak, tapi tidak tahu isinya.

4. Notifikasi, dan apa yang dilihat Google

Untuk membangunkan ponsel yang sedang tidur, Latchat memakai Firebase Cloud Messaging, layanan notifikasi milik Google. Di Android tidak ada penggantinya: membangunkan ponsel yang tidur memerlukan layanan bawaan platformnya.

Yang dilihat Google: bahwa Latchat terpasang di perangkat Anda, token notifikasi perangkat itu, dan waktu setiap notifikasi yang dikirim ke sana.

Yang tidak dikirim ke Google: notifikasinya kosong. Ia hanya bel pintu. Tidak ada isi pesan, tidak ada nama grup, tidak ada alamat grup, dan tidak ada nama pengirim di dalamnya.

Token itu adalah satu-satunya penanda di daftar bagian 3 yang dibagikan kepada pihak ketiga. Sebuah token menunjuk satu pemasangan aplikasi di satu perangkat, dan Google bisa menghubungkannya dengan apa pun yang sudah ia ketahui tentang perangkat itu. Token itu ditulis hanya ke baris anggota yang bersangkutan, ditimpa oleh token berikutnya tanpa menyimpan riwayat, dan tidak pernah disalin ke catatan log, ke penyimpanan pesan, atau ke dalam notifikasinya sendiri.

Selain Firebase Cloud Messaging, tidak ada satu pun komponen Firebase lain di dalam aplikasi ini. Tidak ada Analytics, tidak ada Crashlytics, tidak ada Performance Monitoring.

5. Berapa lama semuanya disimpan

Pesan di server	Tidak pernah dikirimkan lagi setelah 24 jam, dan dihapus saat grup itu berikutnya aktif.
Kursi anggota	Bisa dilepas setelah 48 jam tanpa kabar dan tanpa pesan yang menunggu, dan barisnya dihapus saat grup itu berikutnya aktif.
Token notifikasi	Terhapus bersama baris anggotanya, dan tidak pernah disimpan sebagai riwayat: token baru menimpa token lama.
Alamat grup	Berpindah setiap kali keanggotaan berubah. Alamat lamanya ditinggalkan.

"Saat grup itu berikutnya aktif" bukan basa-basi, jadi ini penjelasannya. Penyimpanan setiap grup hanya berjalan ketika ada anggotanya yang terhubung, atau ketika ada penghitung waktu untuk grup itu yang berbunyi. Tidak ada yang membersihkan grup yang tidak dipakai siapa pun, karena membangunkannya justru lebih mahal daripada manfaatnya.

Jadi grup yang benar-benar ditinggalkan tetap menyimpan daftar kunci publiknya, beserta token notifikasi yang masih ada di sana, sampai ada yang terhubung lagi. Pesannya sudah lewat 24 jam dan tidak akan pernah dikirimkan, tapi barisnya masih ada di penyimpanan.

6. Menghapus data Anda

Tidak ada akun yang perlu ditutup, karena memang tidak ada akun. Copot pemasangan aplikasinya dan identitas, kunci, serta pesan Anda ikut terhapus dari ponsel Anda. Berhenti memakai sebuah grup, dan kursi Anda di server perantara beserta token notifikasi Anda dilepas saat grup itu berikutnya aktif setelah 48 jam Anda tidak muncul.

Pesan yang sudah sampai di ponsel orang lain ada di ponsel mereka, dan kami tidak bisa menghapusnya dari sana. Tidak ada aplikasi pesan yang bisa.

7. Situs ini

Halaman depan memuat Google Tag Manager. Sejak 9 September 2026, halaman latch.chat memuat satu skrip dari server Google. Artinya Google menerima alamat IP Anda, jenis peramban Anda, halaman yang Anda buka, dan dari mana Anda datang. Cookie bisa dipasang, tergantung tag apa saja yang kami aktifkan di dalamnya.

Hanya halaman depan. Halaman undangan /j, halaman teknis /how, dan halaman kebijakan ini tidak memuat apa pun dari server mana pun, dan /j tidak menjalankan skrip sama sekali. Itu diberlakukan oleh peramban lewat aturan yang kami kirim bersama setiap halaman, bukan oleh janji kami.

Ini tidak ada di dalam aplikasi. Aplikasi Latchat tidak memuat Tag Manager, tidak memuat analitik apa pun, dan tidak memuat pelaporan kerusakan. Lihat bagian 4 untuk satu-satunya layanan Google yang dipakai aplikasi, yaitu notifikasi.

Selain itu, situs ini tidak memuat huruf, gambar, atau skrip dari pihak ketiga mana pun.

Kalau Anda membuka tautan undangan, bagian setelah tanda # tidak pernah dikirim ke server mana pun. Itu aturan peramban, bukan janji kami, dan itulah sebabnya undangan bisa dititipkan di dalam sebuah tautan.

Saat aplikasinya dipasang, Android memeriksa bahwa latch.chat memang milik Latchat. Pemeriksaan itu dilakukan oleh server Google, bukan oleh ponsel Anda, jadi situs ini tidak melihat perangkat Anda saat pemasangan.

8. Siapa yang menjalankan semua ini

Latchat dikerjakan oleh satu orang, bukan perusahaan. Server perantara dan situs ini berjalan di Cloudflare. Cloudflare menangani sambungan jaringannya, jadi ia melihat alamat IP asal sambungan itu, sebagaimana penyedia jaringan mana pun. Kami tidak menambahkan pelacakan apa pun di atasnya.

9. Yang tidak kami lakukan

Kami tidak menjual data. Tidak ada yang bisa dijual, dan tidak ada pembelinya.
Tidak ada iklan, dan tidak ada profil untuk menargetkannya.
Tidak ada analitik, tidak ada pelacak, dan tidak ada pelaporan kerusakan di dalam aplikasi.
Kami tidak meminta akses ke kontak Anda.
Kami tidak membaca isi pesan Anda, dan secara teknis kami tidak bisa.

10. Perubahan

Kalau ada yang berubah, halaman ini diperbarui dan tanggal di atas ikut berubah. Kalau perubahannya menyangkut apa yang bisa dilihat oleh server, aplikasinya akan mengatakannya juga.

11. Kontak

hello@latch.chat

What is visible, and to whom

In effect 9 September 2026, replacing the version of 7 September. Latchat is not released yet. This page describes the app as it is built today, and it will be updated when that changes.

The short version.

There are no accounts, no phone numbers and no email addresses in any system we run. Your message content is encrypted end to end and our server cannot read it.

What our server can see is who talks to whom, when, and how much. That is not nothing, and every part of it is written out below.

1. There are no accounts

Latchat never asks for a phone number, an email address, a name or a password. There is no column for one in any database we run.

Your identity is a cryptographic key pair your own phone generates the first time the app runs. The private half never leaves the phone. What a server knows you by is the public half, which is a random number with no connection to who you are unless somebody else makes one.

2. What is on your phone

Your messages, your group keys and your identity are stored on your phone, encrypted. None of it is uploaded anywhere in readable form and there is no backup of it on our server. If you lose your phone, that history is gone with it.

Exactly what that protects and what it does not. The key that seals those files is held by Android's own keystore and never leaves it, so the files cannot be read through a backup, through a disk taken out of the phone, or by another app. It is not a substitute for your lock screen, and it protects nothing from somebody holding your phone unlocked.

That key deliberately does not require the screen to be unlocked, because an alarm has to work on a phone whose owner never set a lock screen at all.

3. What the relay server sees

There is one relay server. It is there because a message has to wait somewhere while the phone it is for is asleep or offline. It carries sealed envelopes and holds no key that would open them.

Group address	A number derived from the group key. It moves whenever the group's membership changes.
Public keys	The public key of everyone who connects to that address.
Message ids	A random number per message, used so the same message is not delivered twice.
Sizes	How many bytes each message is.
Timing	When something was sent and when it was collected.
Push token	One Google push token per member who has sent one. See section 4.

So the server sees a pattern: who talks to whom, when, and how much. That is a social graph and an activity log, and we call it that because that is what it is.

What it cannot see: your message content, group names, member names, photographs, voice recordings, locations, and any file you send. All of that is encrypted end to end, and the keys are on the phones in the group and not on the server.

One more thing is visible: an emergency message is marked urgent on the outside of the envelope so that it can be carried first. The server knows an alarm went past. It does not know what it said.

4. Notifications, and what Google sees

To wake a sleeping phone, Latchat uses Firebase Cloud Messaging, which is Google's push service. On Android there is no substitute: waking a sleeping phone requires the platform's own service.

What Google sees: that Latchat is installed on your device, that device's push registration token, and the timing of every push sent to it.

What is not sent to Google: the push is empty. It is a doorbell. There is no message content in it, no group name, no group address and no sender.

That token is the one identifier in section 3's list that is shared with a third party. A token names one install of one app on one device, and Google can correlate it with everything else it knows about that device. It is written only into that member's own row, replaced by the next token with no history kept, and never copied into a log line, into the message store, or into the push itself.

Firebase Cloud Messaging aside, there is no other Firebase component in this app. No Analytics, no Crashlytics, no Performance Monitoring.

5. How long things are kept

Messages at the server	Never delivered after 24 hours, and deleted the next time that group is active.
A member's seat	Becomes releasable after 48 hours of silence with no mail waiting, and the row is deleted the next time that group is active.
Push token	Deleted with the member's row, and never kept as a history: a new token overwrites the old one.
Group address	Moves whenever the membership changes. The old address is left behind.

"The next time that group is active" is doing real work in that table, so here is what it means. Each group's storage only runs when somebody in that group connects, or when a timer for that group goes off. Nothing sweeps a group that nobody is using, because waking it would cost more than it saves.

So a group that is abandoned altogether keeps its list of public keys, and any push tokens still on it, until somebody connects again. Its messages are long past their 24 hours and can never be delivered, but the rows are still in storage.

6. Deleting your data

There is no account to close, because there is no account. Uninstall the app and your identity, your keys and your messages go with it. Stop using a group and your seat at the relay, and the push token on it, are released the next time that group is active after 48 hours without you.

Messages that have already reached somebody else's phone are on their phone, and we cannot delete them from there. No messaging app can.

7. This website

The home page loads Google Tag Manager. Since 9 September 2026, the page at latch.chat loads one script from Google's servers. Google therefore receives your IP address, your browser type, the page you are reading and where you arrived from. Cookies may be set, depending on which tags we have turned on inside it.

The home page only. The invitation page /j, the technical page /how and this policy load nothing from any server at all, and /j runs no script of any kind. That is enforced by your browser, through a rule we send with every page, rather than by our promise.

None of this is in the app. The Latchat app loads no tag manager, no analytics and no crash reporting. Section 4 covers the one Google service the app does use, which is push notifications.

Beyond that, this site loads no third-party fonts, images or scripts.

If you open an invitation link, the part after the # is never sent to any server. That is a rule of how browsers work rather than a promise of ours, and it is why an invitation can travel inside a link at all.

When the app is installed, Android checks that latch.chat really belongs to Latchat. That check is made by Google's servers rather than by your phone, so this site does not see your device at installation.

8. Who runs this

Latchat is built by one person, not a company. The relay and this site run on Cloudflare. Cloudflare handles the network connection and therefore sees the address it comes from, as any network provider does. We add no tracking of our own on top of it.

9. What we do not do

We do not sell data. There is nothing to sell and no buyer for it.
There are no adverts, and no profile with which to target one.
There is no analytics, no tracker and no crash reporter inside the app.
We do not ask for access to your contacts.
We do not read your messages, and technically we cannot.

10. Changes

If any of this changes, this page is updated and the date at the top changes with it. If the change is to what the server can see, the app will say so as well.

11. Contact

hello@latch.chat