Last updated: 16 September 2026 · App version 1.0.0
This policy describes what Cerberus handles, what it deliberately does not, and what the service behind it can and cannot see. The short version: your messages are readable only on the two devices in the conversation, and there is no account, profile or address book to collect.
Message text, voice notes, photos, files, waveforms, reactions, quoted replies, contact names you set, your PIN, and every encryption key. These are encrypted on the device before anything is sent, and the keys are held in the iOS Keychain. We have no copy of any of them and no way to obtain one.
To move ciphertext between two devices, the relay holds: an account identifier and public key created when you first open the app (no name, email or phone number is asked for or stored); the encrypted payloads themselves, only until they are delivered and acknowledged, or until the retention period you set expires; a room identifier, which is a hash of a secret the relay does not have; and a random per-device tag used to route within a room. Standard server logs, including IP addresses, exist for a short period for abuse prevention and are not linked to message content, because there is no readable message content to link them to.
If you turn on notifications for when the app is closed, the relay stores a push token for this device against your rooms so Apple can wake the phone. The notification itself says only that a message arrived. This is the one setting that lets whoever operates the relay tell that several conversations belong to one device; switching it off removes the token again. It is off by default.
If link previews are on, your own device fetches the page in order to show its title. That website sees a request from your IP address, exactly as it would if you opened the link. Nothing about the link is sent to us. Previews can be turned off in Privacy.
When you report a conversation, we receive the reason you picked, an identifier for the channel, and any note you write — never message content, which the relay cannot read. Reports are kept as long as needed to act on them.
Cerberus Pro is purchased through the App Store. Apple processes the payment; we never see your payment details. Purchase state is handled by RevenueCat, which receives a pseudonymous purchase identifier in order to tell the app whether Pro is active.
The relay runs on infrastructure rented from a hosting provider, which necessarily processes the traffic passing through it. Apple provides the App Store and push delivery. RevenueCat provides purchase validation. Nobody else receives anything, and no analytics, advertising or tracking software is in this app.
Undelivered payloads are deleted once delivered and acknowledged, and in any case after the auto-clean period you choose in Privacy (30 days by default). The chat history on your phone is deleted on the same schedule. Deleting a conversation destroys its key immediately. Deleting the app removes every conversation, but iOS keeps keychain entries after an app is gone: "Erase everything now" in Settings → Security is what destroys the keys themselves, and the app clears anything an earlier installation left the next time it is installed.
Settings → Security → "Erase everything now" destroys the keys, messages and cache on this device and asks the relay to drop everything associated with your account. Because there is no profile to log into, this is what account deletion means here, and it cannot be undone. If you would like anything else confirmed or erased, write to us.
Cerberus is not directed at children and is rated for users aged 17 and over. We do not knowingly handle data from children.
Depending on where you live, you may have rights to access, correct, export or erase personal data, and to object to its processing. Most of these are exercised directly in the app, since almost nothing is held elsewhere. For anything else, write to airpact@proton.me and we will answer within the period the law allows.
If this policy changes in substance, the app will say so before the change takes effect. Questions or requests: airpact@proton.me.
Обновлено: 16 September 2026 · версия приложения 1.0.0
Здесь описано, что Cerberus обрабатывает, чего он намеренно не делает и что видит сервис за ним. Коротко: ваши сообщения читаются только на двух устройствах переписки, а собирать аккаунт, профиль или адресную книгу здесь просто не из чего.
Текст сообщений, голосовые, фотографии, файлы, форма звуковой волны, реакции, цитаты, имена, которые вы даёте контактам, ваш PIN и все ключи шифрования. Всё это шифруется на устройстве до отправки, а ключи хранятся в Keychain iOS. У нас нет их копий и нет способа их получить.
Чтобы передать шифротекст между двумя устройствами, сервер хранит: идентификатор учётной записи и открытый ключ, создаваемые при первом запуске (ни имени, ни почты, ни номера телефона не запрашивается и не хранится); сами зашифрованные пакеты — только до доставки и подтверждения либо до истечения выбранного вами срока хранения; идентификатор комнаты, представляющий собой хеш секрета, которого у сервера нет; и случайную метку устройства для маршрутизации внутри комнаты. Существуют обычные серверные журналы, включая IP-адреса, — они хранятся недолго, нужны для защиты от злоупотреблений и не связываются с содержимым сообщений, поскольку читаемого содержимого нет.
Если включить уведомления при закрытом приложении, сервер сохранит push-адрес этого устройства рядом с вашими комнатами, чтобы Apple могла разбудить телефон. Само уведомление сообщает лишь о том, что пришло сообщение. Это единственная настройка, позволяющая оператору сервера понять, что несколько переписок принадлежат одному устройству; при выключении адрес удаляется. По умолчанию выключено.
Если превью ссылок включены, страницу загружает ваше собственное устройство, чтобы показать её заголовок. Сайт увидит запрос с вашего IP-адреса — ровно так же, как если бы вы открыли ссылку. Нам о ссылке не сообщается ничего. Превью выключаются в разделе «Приватность».
Когда вы жалуетесь на переписку, мы получаем выбранную причину, идентификатор канала и написанный вами комментарий — но не содержимое сообщений, прочитать которое сервер не может. Обращения хранятся столько, сколько нужно для их рассмотрения.
Cerberus Pro приобретается через App Store. Платёж обрабатывает Apple; ваших платёжных данных мы не видим. Состояние покупки обслуживает RevenueCat, получающий псевдонимный идентификатор покупки, чтобы приложение знало, активен ли Pro.
Сервер работает на арендованной инфраструктуре хостинг-провайдера, который неизбежно пропускает через себя трафик. Apple предоставляет App Store и доставку уведомлений. RevenueCat проверяет покупки. Больше никто ничего не получает: аналитики, рекламы и трекинга в приложении нет.
Недоставленные пакеты удаляются после доставки и подтверждения, а в любом случае — по истечении срока автоочистки, выбранного в «Приватности» (по умолчанию 30 дней). История на телефоне очищается по тому же расписанию. Удаление переписки немедленно уничтожает её ключ. Удаление приложения уносит с собой все переписки, но связку ключей iOS после удаления приложения не очищает: ключи уничтожает «Настройки → Безопасность → Стереть всё сейчас», а всё, что осталось от прежней установки, приложение стирает при следующей установке.
«Настройки → Безопасность → Стереть всё сейчас» уничтожает ключи, сообщения и кэш на этом устройстве и просит сервер удалить всё, связанное с вашей учётной записью. Поскольку входа в профиль здесь нет, это и есть удаление аккаунта, и отменить его нельзя. Если нужно подтвердить или удалить что-то ещё — напишите нам.
Cerberus не предназначен для детей, возрастной рейтинг — 17+. Мы не собираем сознательно данные детей.
В зависимости от страны у вас могут быть права на доступ, исправление, перенос и удаление персональных данных, а также на возражение против обработки. Большинство из них реализуется прямо в приложении — за его пределами почти ничего не хранится. По остальным вопросам пишите на airpact@proton.me, мы ответим в срок, установленный законом.
Если политика изменится по существу, приложение сообщит об этом до вступления изменений в силу. Вопросы и обращения: airpact@proton.me.