SecureVault — Privacy Policy / Політика конфіденційності
Effective date / Дата набрання чинності: 15 October 2026
App / Застосунок: SecureVault (studio.osvald.securevault), developer Osvald Studio
English
Summary
SecureVault is an offline password vault. It does not collect, transmit, sell or share any personal or device data. The app has no internet permission, no account, no cloud sync, no advertising and no analytics or crash-reporting SDKs. Your vault exists only on your device, encrypted, and only you hold the key.
What the app processes on your device
| Data | Why | Where it stays |
|---|---|---|
| Vault entries (titles, logins, passwords, notes and other fields you add) | The app's purpose | Local database in private app storage, each secret encrypted with AES-256-GCM using a key derived from your master password |
| Master password | To lock and unlock the vault | Never stored. A key is derived from it with PBKDF2-HMAC-SHA256 and a random salt; only a verification hash and a wrapped vault key are kept, in EncryptedSharedPreferences (AES-256-GCM, Android Keystore) |
| Recovery code (optional) | To regain access if you forget the master password | Shown once to you; the app keeps only a copy of the vault key wrapped with it. A wrong code simply fails to decrypt |
| Fingerprint / face unlock (optional) | Faster unlock | Handled by Android's system biometric prompt; the vault key is wrapped by a Keystore key that only a successful biometric can use. The app never receives biometric data |
| Settings (auto-lock time, theme, etc.) | To remember your preferences | Private app storage |
Permissions and protections
- Biometrics (
USE_BIOMETRIC,USE_FINGERPRINT): to show the system biometric prompt. - No network: the app does not declare the
INTERNETpermission, so it cannot send anything anywhere. - No system backup: Android auto-backup and device-to-device transfer are disabled (
allowBackup="false", all data domains excluded indata_extraction_rules), so the encrypted vault is never copied to Google or to a new phone by the system. - Screen protection: the app sets
FLAG_SECURE, so screenshots and screen recording of the vault are blocked. - Clipboard: when you copy a secret, it goes to the Android clipboard marked as sensitive, only because you tapped copy, and is cleared automatically after a short time.
The app does not request internet, contacts, storage, photos, camera, microphone, location, phone or SMS permissions.
Sharing, retention and deletion
No data leaves your device, so nothing is shared with the developer or any third party. The vault stays until you delete entries in the app, clear the app's storage (Android Settings → Apps → SecureVault → Storage → Clear storage) or uninstall the app. There is no server copy and no account to delete. If you lose both the master password and the recovery code, the data cannot be recovered by anyone, including the developer.
Children
The app is not directed at children and does not knowingly process children's data; it processes no personal data off-device at all.
Changes
If this policy changes, the updated version will be published at this address with a new effective date.
Contact
Osvald.studio26@gmail.com
Українська
Коротко
SecureVault — офлайн-сховище паролів. Він не збирає, не передає, не продає й не поширює жодних персональних даних чи даних пристрою. Застосунок не має дозволу на доступ до інтернету, акаунтів, хмарної синхронізації, реклами, аналітики чи SDK для звітів про збої. Ваше сховище існує лише на вашому пристрої, зашифроване, і ключ є тільки у вас.
Що застосунок обробляє на пристрої
| Дані | Навіщо | Де зберігаються |
|---|---|---|
| Записи сховища (назви, логіни, паролі, нотатки та інші поля, які ви додаєте) | Призначення застосунку | Локальна база у приватному сховищі; кожен секрет зашифрований AES-256-GCM ключем, похідним від вашого головного пароля |
| Головний пароль | Щоб блокувати й розблоковувати сховище | Ніколи не зберігається. Із нього за PBKDF2-HMAC-SHA256 із випадковою сіллю виводиться ключ; зберігаються лише хеш для перевірки та загорнутий ключ сховища в EncryptedSharedPreferences (AES-256-GCM, Android Keystore) |
| Код відновлення (необов'язково) | Щоб повернути доступ, якщо забудете головний пароль | Показується вам один раз; застосунок зберігає лише копію ключа сховища, загорнуту цим кодом. Неправильний код просто не розшифрує |
| Відбиток пальця / розпізнавання обличчя (необов'язково) | Швидше розблокування | Обробляє системне вікно біометрії Android; ключ сховища загорнутий ключем Keystore, який можна використати лише після успішної біометрії. Застосунок не отримує біометричних даних |
| Налаштування (час автоблокування, тема тощо) | Щоб пам'ятати ваші вподобання | Приватне сховище застосунку |
Дозволи та захист
- Біометрія (
USE_BIOMETRIC,USE_FINGERPRINT): щоб показати системне вікно біометрії. - Без мережі: застосунок не оголошує дозволу
INTERNET, тому нічого нікуди не може надіслати. - Без системного резервного копіювання: автоматичне резервне копіювання Android і перенесення між пристроями вимкнені (
allowBackup="false", усі домени даних виключені вdata_extraction_rules), тож система ніколи не копіює зашифроване сховище в Google чи на новий телефон. - Захист екрана: застосунок встановлює
FLAG_SECURE, тому знімки й запис екрана сховища заблоковані. - Буфер обміну: коли ви копіюєте секрет, він потрапляє в буфер обміну Android із позначкою «конфіденційно», лише після вашого натискання, і автоматично очищається за короткий час.
Застосунок не запитує доступу до інтернету, контактів, файлів, фото, камери, мікрофона, геолокації, телефону чи SMS.
Передавання, зберігання й видалення
Дані не залишають пристрій, тому нічого не передається ні розробнику, ні третім сторонам. Сховище зберігається, доки ви не видалите записи в застосунку, не очистите сховище (Налаштування Android → Додатки → SecureVault → Пам'ять → Очистити сховище) або не видалите застосунок. Серверної копії й акаунта немає. Якщо ви втратите і головний пароль, і код відновлення, дані не зможе відновити ніхто, включно з розробником.
Діти
Застосунок не призначений спеціально для дітей і не обробляє персональних даних поза пристроєм.
Зміни
У разі змін оновлена політика з новою датою буде опублікована за цією адресою.
Контакт
Osvald.studio26@gmail.com