Se dice aquí una vez y no en cada función, porque vale para todas.
Todo lo que pones en una conversación —palabras, fotos, una ubicación, una reacción, el hecho de que leíste algo— le llega a la persona con la que hablas. Eso es la función, no una fuga. Solo es un riesgo si no estás seguro de quién es, y para eso está la vinculación: Vinculación explica cómo estar seguro, y la ficha dice Vinculado cuando lo estás.
Así que el resto de estas páginas no lo repite. Lo que sí dicen, en una frase, es dónde una función expone algo más allá de eso: a la red en la que estás, a nuestro servidor, a Apple o Google, o a una empresa que no somos nosotros. Esas frases son cortas a propósito y están para que nada te sorprenda después, no para disuadirte de nada.
CHANNEL nunca sube contactos. Un contacto existe en CHANNEL porque lo escribiste, lo importaste, o te emparejaste con él. Contactos › Teléfono puede mostrar la propia libreta de direcciones de tu teléfono para que encuentres a alguien sin volver a escribirlo: se lee solo mientras esa pestaña está abierta, nunca se guarda y nunca se envía a ningún lado, y solo se conserva la persona que elijas importar.
Configuración › Privacidad › Sugerir personas al compartir pone a las personas a las que escribes arriba del menú Compartir de tu teléfono, y al tocar una se abre CHANNEL con esa persona ya elegida. Está desactivado hasta que lo activas. Para hacerlo, el sistema de tu teléfono sabe a quién escribes y con qué frecuencia. No hace nada mientras el bloqueo de la app o un PIN de la app está activo, y al desactivarlo se borra ese registro.
Nada impide que la otra persona haga una captura, grabe o fotografíe lo que le envías, y CHANNEL no lo sabría. No hay un ajuste para esto, porque un ajuste aquí no protegería a nadie de nadie.
Lo que se protege en este teléfono, siempre: una foto de ver una vez mientras está en pantalla, el código QR de emparejamiento, y toda pantalla donde se escribe un secreto, que es el teclado del PIN, el código de coacción, la frase de respaldo y una clave de IA. Una captura de una de esas queda en blanco, y la página en blanco dice por qué.
Lo que no se protege: tus conversaciones y tus contactos. Hacer una captura de tu propia conversación es normal, y la privacidad de esta app descansa en lo que sale del teléfono, no en impedir que su dueño la fotografíe. La única excepción es una conversación con Privacidad de chat mejorada activada, a la que un teléfono Android sí protege — ver Mensajes.
Nada, a menos que tú lo digas. Una notificación nombra el perfil al que llegó un mensaje y nada más. Las vistas previas — quién escribió, y qué dijo — están desactivadas para empezar, y activarlas necesita dos interruptores: uno en la página del contacto y uno para el perfil, y el del perfil es un límite máximo. Una conversación con Privacidad de chat mejorada activada no muestra ninguna vista previa sin importar lo que digan los interruptores.
Leer en voz alta, en el menú de pulsación mantenida de un mensaje, usa la propia voz del teléfono, sin conexión. Las palabras no se envían a ningún lado para ser dichas.
Ajustes › Privacidad › Ocultar la app cuando sales de ella hace que la tarjeta en el selector de apps recientes sea una página granate en blanco en vez de tus conversaciones. Está activado salvo que lo desactives. En un teléfono Android el mismo interruptor también rechaza las capturas dentro de CHANNEL, porque allí es un solo ajuste y no dos. Una cámara apuntando a la pantalla lo sigue viendo todo.
Configuración › Bloqueo de la app › Face ID exige el propio desbloqueo del teléfono, ya sea un rostro, una huella o un código, para abrir CHANNEL, y de nuevo después de que haya estado en segundo plano un rato.
Configuración › Bloqueo de la app › PIN de la app agrega un código propio. Funciona incluso en un teléfono sin ningún bloqueo, y se pide antes que cualquier otra cosa. Un rostro solo nunca abre un CHANNEL protegido por PIN. Con Face ID también activado, primero es el PIN, luego el rostro o la huella. El PIN nunca se guarda; se guarda un hash lento de él. Tres intentos equivocados inician una espera que se duplica.
Nadie puede recuperar este PIN. Ni tú, ni nosotros. Nunca lo tenemos — solo un hash lento que puede comprobar una respuesta y no puede producir una. No hay cuenta, ningún correo registrado y nadie a quien apelar. Olvídalo y los mensajes de este teléfono desaparecen.
Así que elige uno que todavía recuerdes dentro de seis meses, y haz un respaldo antes de configurarlo (Configuración › Respaldo), guardado en algún lugar al que puedas llegar sin esta app.
Ese costo también es la razón por la que CHANNEL pide menos de un PIN que un sitio web. Solo se rechazan dos:
Esas son las dos primeras cosas que cualquiera prueba. Todo lo demás es tuyo, incluidas las repeticiones: 1223, 7788 y 1911 están todas bien. Una regla que las prohibiera te empujaría hacia un código que anotas o que olvidas, y olvidarlo es el resultado que te cuesta todo.
Cuatro dígitos son suficientes. Seis es mejor si lo vas a recordar — y si prefieres usar palabras, activa Usa letras y números y escribe una frase en su lugar.
Adivinarlo ya está resuelto en otro lado: la espera después de intentos equivocados se duplica, y comprobar una sola conjetura es deliberadamente lento. Un PIN más largo agrega muy poco además de eso. Recordarlo lo agrega todo.
El PIN no se copia a un dispositivo vinculado. Cada uno tiene el suyo propio, así que desbloquear aquí nunca desbloquea allá, y un dispositivo que pierdes no entrega los demás.
Ambos están desactivados hasta que los actives, en Configuración › Bloqueo de la app, y ambos son para un dispositivo que otra persona podría estar sosteniendo.
Pedir PIN para cambiar de perfil. El selector de perfiles es una lista de identidades que mantienes separadas a propósito, y sin esto se abre cualquiera de ellas con un solo toque. Actívalo y cambiar pide primero el PIN de la app — incluso hacia un perfil que no tiene bloqueo propio, porque lo que se protege es el cambio, no el destino.
Este es el caso de la tableta prestada. Bajo un solo inicio de sesión, el teléfono o la tableta no le da a CHANNEL ninguna forma de distinguir a dos personas, así que el PIN es la única separación que hay.
Pedir PIN antes de eliminar. Eliminar un contacto, una conversación o un perfil pide primero el PIN de la app, y luego todavía pregunta si de verdad querías hacer eso. Dos preguntas distintas: si tienes permitido hacerlo, y si de verdad lo querías.
No hay período de gracia en ninguno de los dos. El bloqueo de la app espera un minuto antes de volver a preguntar, para que salir a copiar un código no te cueste un desbloqueo; ese razonamiento no aplica a algo que nada puede deshacer. Un borrado aquí es real — el registro desaparece, no una marca — así que ser preguntado es toda la protección.
Ninguno de los dos usa tu rostro o tu huella. En un dispositivo compartido esos suelen estar disponibles para quien lo esté sosteniendo; el PIN es la parte que no lo está.
Un perfil puede tener un código propio, separado del de la app. En Configuración › Privacidad, con Este perfil activado, toca Poner un PIN al perfil. Una vez configurado, la fila dice Cambiar el PIN del perfil, y Quitar PIN del perfil aparece debajo.
Es genuinamente un segundo código: su propia sal, su propio conteo de intentos equivocados, su propia espera. Adivinar en la puerta de un perfil no bloquea la app, y saber el PIN de la app no abre el perfil. El sentido de tener varios perfiles es que están separados, y un solo código para todos ellos haría que esa separación solo pareciera real ante cualquiera que te haya visto escribirlo una vez.
El orden sigue al de la app. Abrir la app pide el PIN de la app, luego el rostro o la huella. Abrir un perfil protegido pide el PIN del perfil, luego su rostro o huella si Bloquear este perfil está activado. Un rostro solo nunca abre una identidad que pidió un segundo secreto.
Una diferencia con el bloqueo de la app es deliberada: la pantalla de entrada del perfil nombra al perfil, cosa que la propia pantalla de bloqueo de la app nunca hace.
Un perfil con PIN propio, o con Bloquear este perfil activado, se pide en cualquier lugar desde el que otro perfil pueda llegar a él, no solo en el selector de perfiles:
El perfil en el que estás ya se abrió, así que nada de esto se aplica a él.
Un perfil con PIN propio puede tener su propio código de coacción: Código de coacción del perfil, debajo de Quitar PIN del perfil. Como todos los códigos de CHANNEL, es opcional, y nada te pide que pongas uno.
Escrito donde ese perfil pide su PIN, abre el perfil igual que el PIN. Cuando se abre, las conversaciones y los contactos de ese perfil ya no están: cada mensaje, cada tarjeta salvo la propia del perfil, sus fotos, los adjuntos y las invitaciones pendientes. Una llamada a él se cuelga. El perfil se queda, con su nombre, su PIN y su propia tarjeta, y ningún otro perfil del teléfono se toca. Nada en la pantalla indica lo que ocurrió, y no se envía nada a nadie.
El código de coacción de la app es el que vacía todo el teléfono.
Eliminar un perfil se lleva su PIN y su código de coacción con él.
Una tarjeta pertenece al perfil en el que se creó. Alguien que te escribe en un perfil se agrega ahí y en ningún otro lugar, y un contacto que escribes tú a mano es igual: dos perfiles en un teléfono no comparten nada a menos que tú lo digas.
La tarjeta misma dice a cuál pertenece, bajo Mostrar en, y puedes cambiarlo ahí sin abrir el editor. Pregunta primero, porque ese ajuste decide quién puede ver la tarjeta de esa persona y un toque equivocado no debería ampliarlo en silencio. En cualquier caso, sus mensajes se quedan en el perfil donde llegaron; una conversación nunca se comparte entre perfiles, solo la tarjeta.
Una tarjeta vive en un solo perfil. Si quiere escribir a esa persona desde otro, abra su tarjeta allí y elija Escribir desde este perfil.
Copia lo que está escrito en la tarjeta — el nombre, los números, las direcciones — y nada más. Las claves nunca se copian, ni tampoco lo segura que está la app de su identidad, porque ambas cosas son hechos sobre el emparejamiento que hizo aquel perfil y no sobre la persona. Así que el nuevo perfil inicia un primer contacto normal: se le pregunta a la otra persona, como a un desconocido, y no se le dice nada sobre que vuelve a ser usted.
Ese coste es la función funcionando bien. Un perfil que heredara el emparejamiento del otro le estaría diciendo a la otra persona que dos perfiles son una sola, que es justo lo único que los perfiles existen para evitar.
Cambie el nombre de la parte superior de su tarjeta por el que quiera. Este perfil muestra ese nombre, una tarjeta que la persona envíe nunca sustituye un nombre que usted eligió, y ningún otro perfil se ve afectado.
Cambia un nombre en una lista y nada más. Una notificación puede seguir citando el mensaje, una captura sigue mostrando la conversación, y quien abra este perfil lo lee todo. Protege un vistazo a una lista de conversaciones, que es algo real que querer, y no es un candado.
Si lo que le preocupa es ese vistazo, desactive también en su tarjeta las vistas previas para esa persona, porque otro nombre con las vistas previas activadas es justo la trampa que esto sería si no.
Bajo un solo inicio de sesión, el sistema operativo no separa a dos personas. Todo lo que tiene CHANNEL es alcanzable por quien esté sosteniendo el dispositivo. El PIN no es una comodidad aquí; es el aislamiento entero.
Activa Otras personas usan este dispositivo en Configuración › Bloqueo de la app. Ese único interruptor hace lo que de otra forma requerirían tres ajustes: la app se bloquea en el momento en que sale de la pantalla sin período de gracia, y cada cambio de perfil pide el PIN. Es un solo interruptor a propósito — pasar una tableta de mano en mano no debería requerir averiguar qué ajustes suman la protección que quieres.
Luego dale a cada perfil de cada persona su propio PIN, en Configuración › Privacidad con Este perfil seleccionado. Ese único ajuste hace tres cosas:
Activa Pedir PIN antes de eliminar en la misma página. Eliminar es real aquí — el registro desaparece, y nada lo restaura — así que ser preguntado es toda la protección.
Tus contactos y conversaciones ya están separados entre perfiles, pongas un PIN o no: cada perfil guarda los suyos. El PIN trata de quién puede abrir un perfil, no de mantener las listas aparte.
El límite honesto. Nada de esto hace privado un dispositivo compartido. Cualquiera que lo tenga todavía puede ver que CHANNEL está instalado, que existen perfiles, y que llegan mensajes. Un perfil que de verdad importa no pertenece a un dispositivo que usan otras personas, y ningún ajuste de esta página cambia eso.
El código de coacción de la app también pertenece aquí: destruye todo lo que CHANNEL tiene en el dispositivo, así que en uno compartido destruye lo de todos. El código de coacción propio de un perfil solo alcanza a ese perfil.
Código de coacción, bajo el mismo encabezado, es un segundo código, y aparece solo una vez que se ha configurado un PIN. Al ingresarlo en lugar de tu PIN, en pantalla hace exactamente lo mismo que tu PIN: la app se abre. Lo que ha cambiado para cuando se abre es que todo lo que CHANNEL tenía en este teléfono ya no está -- primero la clave que sella los almacenes, luego las identidades, luego cada archivo -- y la app que estás viendo está vacía. Nada dice que hubo un borrado, y no hay nada más que tocar. No hay paso de confirmación, y ese es el punto: un segundo toque es algo que alguien parado a tu lado puede ver e interrumpir, y haría que el código de coacción se viera distinto del real. A cambio, ingresarlo es inmediato y no se puede deshacer. Una copia guardada en otro lugar, como un respaldo u otro teléfono, no se toca.
Cada almacén que escribe CHANNEL está sellado con una clave que nunca sale del hardware seguro de este teléfono. Un archivo copiado, una imagen de disco o un respaldo robado no dan nada sin ella.
Nada más. Sin analítica, sin reportes de fallos, sin señales de uso, y Ayuda no contacta a nadie a menos que presiones Obtener.
Toda la Ayuda está dentro de la app y funciona sin nada conectado, para siempre. Cuando existen páginas más nuevas, una línea en la parte superior de Ayuda dice Hay ayuda actualizada disponible y ofrece Obtener.
Saber eso no cuesta nada: la app lo aprende de una consulta que ya hace para tu correo, así que no hay conexión extra ni un patrón nuevo que alguien pueda vigilar. Ayuda no comprueba al iniciar ni en un horario, porque una solicitud programada reportaría cuándo abres la app hayan o no estado contando.
Nada se descarga hasta que presionas el botón, y la hoja dice claramente qué hace presionarlo. Contacta a nuestro sitio web público, channelmessenger.net, y ese servidor ve tu dirección. Nada más se envía, y Ayuda funciona sin eso. Si eso te importa donde estás, hazlo en una red que no sea la tuya.
Nuestro servidor nunca dice dónde están las páginas, solo que hay unas más nuevas, y la app las escribe solo una vez que tiene todas en mano, así que una descarga que se detiene a la mitad deja la Ayuda que tenías como estaba.
Configuración › Funciones de IA toma Mi propio servidor como proveedor: una máquina que administras tú, normalmente alcanzada por una red privada propia. Nada sobre eso nos llega. Nunca se nos dice la dirección, la solicitud nunca toca nuestro servidor, y las palabras van a tu máquina y ahí se quedan. Ver Configuración.
Si activas Chatear como contacto para una cuenta de IA, ese contacto es una conversación con tu propia cuenta de proveedor y nada más. Se le dice, en sus instrucciones, que solo puede ver esta conversación, que no tiene memoria de tus otras sesiones, ni acceso a tus contactos, tu ubicación o tu teléfono, que no puede enviar un mensaje ni realizar ninguna acción, y que nunca debe pedirte una contraseña, una clave o un código. Nada más de este teléfono se le envía jamás. Solo tú puedes escribirle, y no puede contactar a nadie.
Las solicitudes se cuentan por cuenta, así que puedes ver para qué se ha usado una cuenta.
El texto en inglés es la referencia; cualquier traducción es solo una ayuda. La ayuda se guarda en este teléfono y no contacta con nadie.