Privacy Policy

Effective 2026-10-08 · Updated 2026-10-11

Who we are

Shmelvin is operated by Uziel Menetzir (“we”, “us”). For anything about your data, write to support@shmelvin.com.

The short version

• There is no conversation history. Words disappear once they've been read, and we can't show them again.
• Your words — the ones that wait for someone, and what you type live — are encrypted on your device to the devices of the people you're talking with, and signed by your device. Our server passes them on, and stores the ones that are waiting, but can't read them.
• You can't yet verify someone's devices yourself. The first time you talk with someone, the app trusts our server about which devices are theirs; after that, it tells you in the conversation whenever they get a new device. Details below.
• No ads, no tracking, and no analytics for us. We don't sell or share your data. (In the Android app's version 1.0.0, Google's QR code scanner reports its own diagnostics to Google: see “Who else handles your data”.)
• No phone number, contacts or location are needed.

What we keep, and why

At sign-up and when you start a conversation, the app asks Apple (App Attest) or Google (Play Integrity) to confirm it's a genuine copy of Shmelvin. We don't keep the result, or anything about you from it; on iPhone and iPad we keep only the key App Attest created for that device, until the device is removed.

Encryption, honestly

Everything you write — words that wait for someone, and what you type while others are there — is encrypted on your device, separately for each of the readers' devices, before it reaches us. Our servers pass it on and hold what's waiting, but can't read it.

Your device also signs what you write, and the readers' apps check that signature against the list of your devices. That list is signed by your own devices: a new device joins it when one of your devices approves it, or when you recover your account. So our server can't make words appear to come from someone they didn't come from, and can't quietly add a device to someone's account: whenever someone gets a new device, the people in conversations with them see a short notice.

What we can still see: who is in a conversation, who is there, when someone is typing and roughly how much, and when words are sent and read.

What this doesn't protect against, and we'd rather you know:

• You can't verify devices by hand. There are no security codes to compare, so the first time you talk with someone, the app trusts our server about which devices are theirs.
• Recovering an account starts a new list. When you recover your account by email or passkey, there's no old device to approve the new one, so the people you talk with see “… is now on a new device”. A compromised server could cause the same notice and then receive what's sent to that person. If you see it and didn't expect it, check with them another way.
• In a web browser, the app itself comes from our server each time you open it, so there you're also trusting our server to send the genuine app.

Notifications

Notifications never contain your words. They say that someone left you words or joined your conversation, and include the sender's name unless you turn on “Hide names”. They're delivered by Google Firebase Cloud Messaging and Apple Push Notification service. In a web browser, only if you turn them on, they're delivered by your browser's own push service (for example Google for Chrome, Mozilla for Firefox, Apple for Safari, Microsoft for Edge), encrypted so that the push service can't read them.

On your device

Your keys stay on your device, protected by the operating system. What the app keeps locally (your current conversations and who is in them, words not yet sent, and, for reporting, the words you received in the last 15 minutes, locked so only the Report screen can open them) is encrypted with a key that never leaves the device, and isn't included in backups. Unencrypted, and with no words or names in it, it also keeps a fingerprint of each person's device list (so it can notice a new device) and the ids of words already read in the last week (so they can't be shown again). In a web browser, your keys are created by the browser itself and can't be read out by any script, and words not yet sent are kept encrypted in the browser's storage for this site. Clearing the site's data from your browser removes them.

Who else handles your data

They act on our behalf. We don't sell your data, and we don't share it for advertising.

Where your data is processed

Cloudflare runs Shmelvin on its global network, so your data may be processed outside your country. Our other providers (Google, Apple and Resend) are based in the United States, though Resend sends Shmelvin’s email from its European region. Data may therefore be processed in countries whose data protection laws differ from yours. We use each provider under its data processing terms, including the transfer safeguards those terms provide, such as standard contractual clauses.

Legal basis

Where the GDPR or similar laws apply, we process your data to provide the service you asked for (contract), to keep the service safe and prevent abuse (legitimate interests), and, for notifications, with your permission (consent).

Deleting your account

In the app: Settings → Delete account. It happens at once: your account, devices, your place in every conversation, recovery email, passkeys and the words you left waiting are removed together. What stays: reports involving you, for at most 90 days, and decisions on reports, for 1 year. You can read more, including what to do if you no longer have your phone, at shmelvin.com/delete.

Your rights

You can ask us for a copy of your data, to correct it, to delete it, or object to how we use it, by writing to support@shmelvin.com. Most of this you can do yourself in the app: rename yourself, remove devices, delete your account. Because we keep so little, there's usually little to send. You can also complain to a data protection authority: in Israel, the Privacy Protection Authority; in the EU or UK, your local data protection authority.

Age

Shmelvin is for people 18 and older. If we learn that someone under 18 has an account, we delete it.

Changes

If we change this policy, we'll update the date above, and tell you in the app if the change matters.

מדיניות פרטיות

בתוקף מ־2026-10-08 · עודכן 2026-10-11

זהו תרגום של הנוסח האנגלי. למשתמשים בישראל, בסתירה בין הנוסחים, הנוסח העברי קובע.

מי אנחנו

את שמלווין מפעיל Uziel Menetzir („אנחנו”). בכל עניין שקשור למידע שלך אפשר לכתוב אל support@shmelvin.com.

בקצרה

• אין היסטוריית שיחות. מילים נעלמות אחרי שקראו אותן, ואין לנו דרך להציג אותן שוב.
• המילים שלך — אלה שמחכות למישהו, ומה שמקלידים בזמן אמת — מוצפנות במכשיר שלך אל המכשירים של מי שמדברים איתם, ונחתמות על ידי המכשיר שלך. השרת שלנו מעביר אותן, ושומר את אלה שמחכות, אבל לא יכול לקרוא אותן.
• עדיין אי אפשר לאמת בעצמך את המכשירים של מישהו. בפעם הראשונה שמדברים עם מישהו, האפליקציה סומכת על השרת שלנו לגבי המכשירים שלו; מאז, היא מודיעה בשיחה בכל פעם שיש לו מכשיר חדש. פרטים בהמשך.
• אין פרסומות, אין מעקב, ואין אנליטיקה בשבילנו. אנחנו לא מוכרים ולא משתפים את המידע שלך. (בגרסה 1.0.0 של אפליקציית Android, סורק קודי ה־QR של Google מדווח ל־Google על התפקוד שלו: ראו „מי עוד מטפל במידע”.)
• לא צריך מספר טלפון, אנשי קשר או מיקום.

מה אנחנו שומרים, ולמה

בהרשמה ובפתיחת שיחה, האפליקציה מבקשת מ־Apple (App Attest) או מ־Google (Play Integrity) לאשר שזה עותק אמיתי של שמלווין. אנחנו לא שומרים את התוצאה, ולא שום מידע עליך ממנה; ב־iPhone וב־iPad נשמר רק המפתח ש־App Attest יצר למכשיר, עד שהמכשיר מוסר.

הצפנה, בכנות

כל מה שכותבים — מילים שמחכות למישהו, ומה שמקלידים כשאחרים נמצאים — מוצפן במכשיר שלך, בנפרד לכל אחד מהמכשירים של הקוראים, לפני שהוא מגיע אלינו. השרתים שלנו מעבירים אותו ומחזיקים את מה שמחכה, אבל לא יכולים לקרוא אותו.

המכשיר שלך גם חותם על מה שכתבת, והאפליקציות של הקוראים בודקות את החתימה מול רשימת המכשירים שלך. הרשימה הזו חתומה על ידי המכשירים שלך עצמם: מכשיר חדש נכנס אליה כשאחד המכשירים שלך מאשר אותו, או כשמשחזרים את החשבון. לכן השרת שלנו לא יכול לגרום למילים להיראות כאילו באו ממי שלא כתב אותן, ולא יכול להוסיף בשקט מכשיר לחשבון של מישהו: בכל פעם שיש למישהו מכשיר חדש, מי שבשיחה איתו רואה הודעה קצרה.

מה שאנחנו עדיין רואים: מי נמצא בשיחה, מי כאן עכשיו, מתי מישהו מקליד ובערך כמה, ומתי מילים נשלחות ונקראות.

ממה זה לא מגן, וחשוב לנו שתדע/י:

• אי אפשר לאמת מכשירים ידנית. אין קודי אבטחה להשוות, כך שבפעם הראשונה שמדברים עם מישהו, האפליקציה סומכת על השרת שלנו לגבי המכשירים שלו.
• שחזור חשבון מתחיל רשימה חדשה. כשמשחזרים חשבון דרך אימייל או מפתח גישה, אין מכשיר ישן שיאשר את החדש, ולכן מי שמדבר/ת איתך רואה „… עכשיו במכשיר חדש”. שרת שנפרץ יכול לגרום לאותה הודעה ואז לקבל את מה שנשלח לאותו אדם. אם ראית אותה ולא ציפית לה, כדאי לוודא איתו בדרך אחרת.
• בדפדפן, האפליקציה עצמה מגיעה מהשרת שלנו בכל פעם שפותחים אותה, כך שבדפדפן את/ה סומך/ת גם על כך שהשרת שולח את האפליקציה האמיתית.

התראות

התראות אף פעם לא מכילות את המילים שלך. הן אומרות שמישהו השאיר לך מילים או הצטרף לשיחה שלך, וכוללות את שם השולח, אלא אם הפעלת „הסתרת שמות”. הן נשלחות דרך Google Firebase Cloud Messaging ו־Apple Push Notification service. בדפדפן, ורק אם הפעלת אותן, הן נשלחות דרך שירות ההתראות של הדפדפן שלך (למשל Google ב־Chrome,‏ Mozilla ב־Firefox,‏ Apple ב־Safari,‏ Microsoft ב־Edge), מוצפנות כך ששירות ההתראות לא יכול לקרוא אותן.

במכשיר שלך

המפתחות שלך נשארים במכשיר, מוגנים על ידי מערכת ההפעלה. מה שהאפליקציה שומרת במכשיר (השיחות הנוכחיות שלך ומי נמצא בהן, מילים שעוד לא נשלחו, ולצורך דיווח, המילים שקיבלת ב־15 הדקות האחרונות, נעולות כך שרק מסך הדיווח יכול לפתוח אותן) מוצפן במפתח שלא יוצא מהמכשיר, ולא נכלל בגיבויים. בלי הצפנה, ובלי מילים או שמות, היא שומרת גם טביעת אצבע של רשימת המכשירים של כל מי שמדבר/ת איתך (כדי לשים לב למכשיר חדש) ואת המזהים של מילים שכבר נקראו בשבוע האחרון (כדי שלא יוצגו שוב). בדפדפן, המפתחות שלך נוצרים על ידי הדפדפן עצמו ואף סקריפט לא יכול לקרוא אותם, ומילים שעוד לא נשלחו נשמרות מוצפנות באחסון של הדפדפן לאתר הזה. ניקוי נתוני האתר בדפדפן מוחק אותם.

מי עוד מטפל במידע

הם פועלים בשמנו. אנחנו לא מוכרים את המידע שלך ולא משתפים אותו לצורכי פרסום.

איפה המידע מעובד

Cloudflare מפעילה את שמלווין ברשת הגלובלית שלה, כך שהמידע עשוי להיות מעובד מחוץ למדינה שלך. הספקים האחרים שלנו (Google‏, Apple ו־Resend) נמצאים בארצות הברית, אם כי Resend שולחת את המיילים של שמלווין מהאזור האירופי שלה. לכן המידע עשוי להיות מעובד במדינות שדיני הגנת המידע בהן שונים משלך. אנחנו משתמשים בכל ספק לפי תנאי עיבוד המידע שלו, כולל אמצעי ההגנה להעברת מידע שהתנאים האלה קובעים, כמו סעיפים חוזיים תקניים.

הבסיס החוקי

במקומות שבהם חל ה־GDPR או חוק דומה, אנחנו מעבדים את המידע כדי לספק את השירות שביקשת (חוזה), כדי לשמור על השירות בטוח ולמנוע שימוש לרעה (אינטרס לגיטימי), ולהתראות, ברשותך (הסכמה).

מחיקת החשבון

באפליקציה: הגדרות ← מחיקת החשבון. זה קורה מיד: החשבון, המכשירים, המקום שלך בכל שיחה, אימייל השחזור, מפתחות הגישה והמילים שהשארת ושמחכות נמחקים יחד. מה שנשאר: דיווחים שמעורב בהם החשבון, עד 90 יום, והחלטות על דיווחים, שנה. עוד פרטים, כולל מה לעשות אם הטלפון כבר לא אצלך, ב־shmelvin.com/delete.

הזכויות שלך

אפשר לבקש מאיתנו עותק של המידע שלך, לתקן אותו, למחוק אותו או להתנגד לשימוש בו, בכתיבה אל support@shmelvin.com. את רוב הדברים אפשר לעשות לבד באפליקציה: לשנות שם, להסיר מכשירים, למחוק את החשבון. מכיוון שאנחנו שומרים מעט מאוד, בדרך כלל אין הרבה מה לשלוח. אפשר גם להתלונן בפני הרשות להגנת הפרטיות (או, באיחוד האירופי ובבריטניה, לרשות להגנת מידע במדינה שלך).

גיל

שמלווין מיועד לבני 18 ומעלה. אם נדע שלמישהו מתחת לגיל 18 יש חשבון, נמחק אותו.

שינויים

אם נשנה את המדיניות, נעדכן את התאריך למעלה, ונודיע באפליקציה אם השינוי משמעותי.