Lo esencial, en una frase
Malla lleva lo que escribes de un teléfono a otro por Bluetooth y Wi-Fi directo, sin pasar por ningún servidor nuestro, porque no existe. Cuando el teléfono encuentra un hilo de internet, un mensaje para los tuyos deja además una copia cifrada en relays públicos de terceros, para llegar más lejos — solo, sin que prendas nada. No hay cuentas y no hay registro: nada de lo que escribes llega a los desarrolladores ni a nadie más que a las personas con las que hablas.
- Sin cuentas y sin servidores propios. La app no tiene inicio de sesión ni un servidor NUESTRO al que mandar tus mensajes: no existe, ni lo habrá. La malla es de teléfono a teléfono; internet, cuando lo hay, solo carga sobres cerrados por relays públicos que no son nuestros.
- Sin analítica, sin publicidad, sin telemetría, sin rastreo. No hay ningún SDK de medición ni de anuncios dentro de la app.
- Sin venta de datos. No hay datos que vender: no los recibimos.
- Sin ubicación. Malla no pide ni usa tu ubicación.
Lo que Malla guarda en tu teléfono
Todo lo que sigue vive en tu aparato, no en ningún otro sitio.
- Tu identidad de malla. Un par de llaves criptográficas que se generan en el teléfono la primera vez que abres la app. Las llaves secretas viven en el llavero del sistema. La pública se comparte con quien hablas, porque es lo que permite cifrarte los mensajes.
- Tu alias y tus preferencias. El nombre con el que apareces, los ajustes, la lista de gente bloqueada, las palabras del filtro y las verificaciones que has hecho cara a cara.
- Tus grupos. Nombre, integrantes y la llave con la que el grupo se cifra.
- Tus denuncias. Si denuncias a alguien, el registro queda en tu teléfono —motivo, fecha, la marca de identidad de la persona y, solo si tú lo eliges, el mensaje denunciado—. No se manda a ningún lado por sí solo.
Nada de esto se sincroniza con un servidor nuestro, porque no existe.
Tus conversaciones no se guardan; otras cosas sí, y con plazo
Malla no archiva tus pláticas. Los mensajes viven mientras la app está viva y se van al cerrarla: no hay un expediente de conversaciones en el teléfono.
Lo que sí queda escrito, y por cuánto tiempo:
- Lo que se dijo en la Zona: 6 horas. Así, quien llegue tarde o venga de otra parte de la malla puede recibir lo que se habló, aunque quien lo escribió ya no esté al alcance.
- Los recados del Poste. Un auxilio que tú pides vive 3 días. Los recados de otros que tu teléfono carga viven lo que su autor les puso, y el tope duro son 7 días.
- Las notas de voz y los archivos que recibes: 7 días, y en total como mucho 100 MB. Lo más viejo se va primero.
- Tus mensajes que todavía no salieron: 72 horas guardados cifrados, intentándolo. Después se rinden.
- Sobres de otras personas que tu teléfono lleva encima: 72 horas. Esos van cerrados: tu teléfono los carga y no puede abrirlos.
Las 72 horas no son un descuido. En un desastre, quien te busca puede tardar días en ponerse al alcance de tu teléfono, y las primeras 72 horas son las que cuentan para un rescate. Un mensaje que caduca en un día se pierde justo cuando empezaba a servir.
Lo que puede salir del teléfono, y por qué
- Tus mensajes, hacia las personas con las que hablas. Van cifrados de extremo a extremo por Bluetooth y Wi-Fi directo, saltando de teléfono en teléfono. Los teléfonos por los que pasan no pueden leerlos: solo los cargan y los sueltan.
Lo que sí ven quienes están al alcance: que hay un aparato con Malla cerca y su alias. Es la condición para poder encontrarse en un desastre.
- Una copia cifrada hacia internet, cuando hay red. Si un mensaje tuyo va para alguien de los tuyos y el teléfono tiene internet, Malla deja además una copia sellada en relays públicos —servidores de la red Nostr, de terceros— para que le llegue aunque la malla no alcance. Es automático: la app elige el mejor camino disponible en ese momento, y lo dice bajo la burbuja («salió por: malla e internet»). La copia va cerrada con el mismo cifrado de punta a punta: el relay no puede abrirla. Qué sí ve un relay está dicho completo más abajo. Siempre en tiro corto —abre, publica, espera el acuse y cierra— y con la batería en reserva la app no sale a internet por su cuenta.
- La Zona. Un canal abierto para quien esté a tu alrededor. Lo que escribes ahí lo lee cualquiera que esté cerca, a propósito. No va cifrado punto a punto porque su función es que llegue a todos.
- Tu identidad al llavero de iCloud. Este interruptor viene encendido (Ajustes → Respaldo) para que no pierdas quién eres al cambiar de teléfono. Viajan dos llaves y nada más: ni mensajes, ni conversaciones, ni verificaciones. No las manda Malla —lo sincroniza iOS por su cuenta, cifrado de punta a punta, y ni Apple ni nosotros podemos leerlas—. Si lo apagas, no sale nada y no pierdes ninguna función.
- Un archivo de respaldo, si tú lo creas desde Ajustes → Respaldo. Va cifrado y sale a donde tú lo guardes. Malla no lo sube a ningún lado.
- Una denuncia por correo, si tú tocas «Mandar la denuncia». Sale por la app de correo de tu teléfono —no por Malla— hacia el buzón publicado más abajo, y con el contenido que tú viste antes de mandarlo.
Con internet la regla es una: sale el npub, tu dirección desechable; la llave que te hace ser tú, jamás. Y la app no habla con nada de internet salvo los relays de su lista: cualquier otra petición, a cualquier otro servidor, la mata una aduana en el código (SesionSinNube) antes de que salga del aparato. No es una promesa escrita: es mecanismo, con sus pruebas montando guardia.
Lo que ve un relay, dicho completo. Tu dirección de internet (IP) y la hora. Que una llave de un solo uso dejó un sobre para cierta dirección desechable. Al recoger: qué dirección desechable pidió su bolsa y desde qué IP — con las dos cosas puede ligar esa dirección con tu IP; sin Tor (retirado) no hay defensa contra eso, y se dice en vez de esconderse. Nunca ve: qué dice el mensaje, quién lo manda, tu apodo, tu llave permanente, tu ubicación ni tu lista de contactos.
Lo que no podemos hacer. La copia sellada queda en relays que no son nuestros: no podemos borrarla nosotros, y se queda hasta que el propio relay la tire. Sigue cerrada para siempre — sin la llave del destinatario es ruido.
Dicho completo, para que nadie suponga de más: ese candado no cubre lo que hace el sistema por su cuenta —la sincronización del llavero de iCloud va por ahí, cifrada— ni el Wi-Fi directo entre teléfonos cercanos, que es red local y no sale a internet.
Permisos que la app pide, y para qué
- Bluetooth — es la malla. Sin esto Malla no hace nada.
- Red local — el Wi-Fi directo entre teléfonos cercanos, que lleva lo pesado (notas de voz, archivos) más rápido que el Bluetooth.
- Cámara — solo para leer el código de otra persona al verificarla cara a cara. No se toma ninguna foto ni se guarda nada.
- Micrófono — notas de voz y el modo radio.
- Face ID / Touch ID — para cerrar la app con llave, si lo activas. Nada más.
- Avisos — para que te llegue una notificación cuando alguien te escribe. El aviso no enseña el mensaje ni el nombre de quien escribe: eso se ve al abrir la app.
Malla no pide ubicación, contactos, calendario ni tus fotos.
Menores de edad
Malla no está dirigida a menores de 13 años y no recoge datos de nadie.
Lo que no podemos hacer, dicho claro
No podemos borrar un mensaje del teléfono de otra persona. Nadie puede: no hay un servidor donde esté guardado. Bloquear detiene lo que viene, no lo que ya llegó.
Lo decimos aquí porque es la verdad y porque una política de privacidad que promete lo contrario es una política que miente.
Borrar todo
En Ajustes hay un botón que destruye en este teléfono los mensajes, el alias, las llaves, tus grupos, tus verificaciones, la lista de bloqueados, el registro de tus denuncias, las notas de voz y los archivos, los recados del Poste, lo que llevabas guardado de la Zona y los sobres que cargabas de otras personas. Las llaves se borran también del llavero de iCloud, así que no queda copia en la nube de donde recuperarlo — que es exactamente el punto.
El registro de denuncias entra en esa lista a propósito: nombra a quién denunciaste, cuándo y por qué, y quien toca ese botón suele estar huyendo de algo. Ese rastro es justo el que no puede quedarse.
Lo que no borra ese botón, dicho porque es la verdad: la lista de palabras del filtro y tus preferencias de apariencia, idioma, candado y normas. No son datos de nadie, son ajustes de la app en este teléfono — y devolverte a la pantalla de bienvenida justo después de un borrado de emergencia te pondría una puerta delante de la malla en el peor momento posible.
Contacto
Cambios
Si esta política cambia, la fecha de arriba cambia con ella y la versión nueva viaja con la actualización de la app.
The whole thing, in one sentence
Malla carries what you write from one phone to the next over Bluetooth and direct Wi-Fi, without passing through any server of ours — there isn't one. When the phone finds a thread of internet, a message for your people also leaves an encrypted copy on public third-party relays, to reach further — on its own, with nothing to switch on. There are no accounts and no sign-up: nothing you write reaches the developers or anyone other than the people you are talking to.
- No accounts and no servers of our own. The app has no login and no server of OURS to send your messages to: it does not exist, and it never will. The mesh is phone to phone; the internet, when there is any, only carries sealed envelopes through public relays that are not ours.
- No analytics, no advertising, no telemetry, no tracking. There is no measurement or ad SDK inside the app.
- No sale of data. There is no data to sell: we never receive it.
- No location. Malla does not request or use your location.
What Malla keeps on your phone
Everything below lives on your device and nowhere else.
- Your mesh identity. A pair of cryptographic keys generated on the phone the first time you open the app. The secret keys live in the system keychain. The public one is shared with whoever you talk to, because that is what lets them encrypt to you.
- Your alias and your preferences. The name you appear under, your settings, the list of people you blocked, the filter word list, and the verifications you did face to face.
- Your groups. Name, members and the key the group is encrypted with.
- Your reports. If you report someone, the record stays on your phone — reason, date, the person's identity mark, and, only if you choose to attach it, the reported message. It is not sent anywhere on its own.
None of this syncs to a server of ours, because there isn't one.
Your conversations are not archived; other things are, with a deadline
Malla does not archive your chats. Messages live while the app is alive and go when you close it: there is no conversation file on the phone.
What does get written down, and for how long:
- What was said in the Zone: 6 hours. So that someone arriving late, or coming from another part of the mesh, can still receive what was said even if the person who wrote it is no longer in range.
- Posts on the Board. A distress call you raise lives 3 days. Other people's posts your phone is carrying live for as long as their author set, with a hard cap of 7 days.
- Voice notes and files you receive: 7 days, and at most 100 MB in total. The oldest goes first.
- Your messages that have not gone out yet: 72 hours, stored encrypted, still trying. After that they give up.
- Other people's envelopes your phone is carrying: 72 hours. Those travel sealed: your phone carries them and cannot open them.
The 72 hours are not an oversight. In a disaster, whoever is looking for you may take days to come within range of your phone, and the first 72 hours are the ones that count for a rescue. A message that expires in a day is lost exactly when it was starting to be useful.
What can leave the phone, and why
- Your messages, towards the people you are talking to. They travel end-to-end encrypted over Bluetooth and direct Wi-Fi, hopping from phone to phone. The phones they pass through cannot read them: they only carry and release them.
What people in range can see: that there is a device running Malla nearby, and its alias. That is the condition for being findable in a disaster.
- An encrypted copy towards the internet, when there is any. If a message of yours is for one of your people and the phone has internet, Malla also leaves a sealed copy on public relays — servers of the Nostr network, run by third parties — so it reaches them even where the mesh cannot. It is automatic: the app takes the best path available at that moment, and says so under the bubble («went out via: mesh and internet»). The copy is sealed with the same end-to-end encryption: the relay cannot open it. What a relay does see is spelled out in full below. Always a short shot — open, publish, wait for the acknowledgement, close — and on reserve battery the app does not go out to the internet on its own.
- The Zone. An open channel for whoever is around you. What you write there is read by anyone nearby, on purpose. It is not end-to-end encrypted because its function is to reach everyone.
- Your identity to the iCloud Keychain. This switch ships on (Settings → Backup) so you do not lose who you are when you change phones. Two keys travel and nothing else: no messages, no conversations, no verifications. Malla does not send them — iOS syncs them on its own, encrypted end to end, and neither Apple nor we can read them. If you turn it off, nothing leaves and you lose no function.
- A backup file, if you create one from Settings → Backup. It is encrypted and goes wherever you save it. Malla does not upload it anywhere.
- A report by email, if you tap "Mail the report". It goes out through your phone's own mail app — not through Malla — to the address published below, carrying the content you saw before sending it.
With the internet the rule is one: what goes out is the npub, your disposable address; the key that makes you you, never. And the app talks to nothing on the internet except the relays on its list: any other request, to any other server, is killed by a customs gate in the code (SesionSinNube) before it leaves the device. This is not a written promise: it is mechanism, with its tests standing guard.
What a relay sees, said in full. Your internet address (IP) and the time. That a one-time key left an envelope for some disposable address. On pickup: which disposable address asked for its bag and from which IP — with both it can link that address to your IP; without Tor (retired) there is no defense against that, and we say it rather than hide it. It never sees: what the message says, who sent it, your nickname, your permanent key, your location, or your contact list.
What we cannot do. The sealed copy sits on relays that are not ours: we cannot delete it, and it stays until the relay itself drops it. It stays sealed forever — without the recipient's key it is noise.
Said in full, so nobody assumes more than is true: that lock does not cover what the system does on its own — iCloud Keychain sync goes that way, encrypted — nor direct Wi-Fi between nearby phones, which is local network and does not reach the internet.
Permissions the app asks for, and what for
- Bluetooth — this is the mesh. Without it Malla does nothing.
- Local network — direct Wi-Fi between nearby phones, which carries the heavy things (voice notes, files) faster than Bluetooth.
- Camera — only to read another person's code when verifying them face to face. No photo is taken and nothing is stored.
- Microphone — voice notes and radio mode.
- Face ID / Touch ID — to lock the app, if you enable it. Nothing else.
- Notifications — so you get alerted when someone writes to you. The alert shows neither the message nor the sender's name: that is visible only on opening the app.
Malla does not ask for location, contacts, calendar or your photos.
Children
Malla is not directed at children under 13 and collects data from nobody.
What we cannot do, said plainly
We cannot delete a message from another person's phone. Nobody can: there is no server where it is stored. Blocking stops what comes next, not what already arrived.
We say it here because it is the truth, and because a privacy policy that promises otherwise is a privacy policy that lies.
Erase everything
Settings has a button that destroys, on this phone, your messages, alias, keys, groups, verifications, block list, your report log, voice notes and files, Board posts, what you had stored from the Zone, and the envelopes you were carrying for other people. The keys are erased from the iCloud Keychain too, so no copy remains in the cloud to recover from — which is exactly the point.
The report log is on that list on purpose: it names who you reported, when and why, and whoever taps that button is usually running from something. That trace is precisely the one that cannot stay.
What that button does not erase, said because it is the truth: the filter word list and your appearance, language, lock and house-rules preferences. They are nobody's data, they are app settings on this phone — and returning you to the welcome screen right after an emergency wipe would put a door in front of the mesh at the worst possible moment.
Contact
Changes
If this policy changes, the date above changes with it and the new version ships with the app update.