Authenticator ("the app") is an Android app published by Appicy LTD. It stores two-factor authentication codes, passwords and passkeys in an encrypted vault on your device. This policy explains what the app does with your information. In short: your vault stays on your device, we do not run servers that receive it, and the app contains no advertising, analytics or tracking code.

Information stored on your device

Everything you add to the app — account names, 2FA secrets, logins, passwords, notes, backup codes, passkeys and app settings — is stored only on your device. The vault is encrypted with AES-256-GCM. Its key is protected by your PIN (derived with Argon2id) together with the Android Keystore, and, if you turn it on, by a biometric-bound Android Keystore key. A recovery key that you keep can reset a forgotten PIN. The developer has no copy of your PIN, recovery key or vault and cannot recover them.

The app excludes its data from Android's automatic device backup. Deleted items stay in "Recently deleted" for 30 days and are then removed permanently. Uninstalling the app deletes the vault.

Information that leaves your device, and only when you choose it

Breach check (optional). If you start a breach check (or, with Authenticator Plus, turn on automatic breach monitoring), the app computes the SHA-1 hash of each saved password on your device and sends only the first five characters of each hash to the Pwned Passwords range service (api.pwnedpasswords.com, operated by Have I Been Pwned). The service returns a list of hash suffixes and the app compares them on your device. Your passwords and full hashes are never sent. Like any web request, the service can see your device's IP address and the time of the request. For automatic monitoring, the app keeps the password hashes (not the passwords) in a device-encrypted file so the weekly check can run while the vault is locked; turning monitoring off deletes that file.

Google Drive backup (optional). If you turn on Drive backup, the app asks your permission to use the hidden app data folder of your own Google Drive. The vault is encrypted on your device before upload with a backup key that the developer never sees; Google stores only the encrypted file. The backup key is saved to your credential provider (for example Google Password Manager) as a recovery passkey or as a saved backup key so you can restore on a new phone. Google's handling of Drive and Password Manager data is described in Google's Privacy Policy. Turning backup off stops uploads, and you can delete the backup from the Backup screen.

Purchases. Authenticator Plus is sold through Google Play. Google processes the payment; the app receives only the purchase status needed to unlock Plus features and does not receive your payment details.

Autofill and Credential Manager. When you enable the app as your autofill service or credential provider, Android sends the app the structure of the screen you are filling (for example, field types and the app or website name) so it can offer matching logins. This happens on your device and is not sent anywhere.

Camera and images. The camera is used only while you scan a QR code, and images you pick with the Android photo picker are read only to find a QR code. Both are processed on the device by Google's bundled ML Kit barcode model; no images are stored or uploaded. As described in Google's ML Kit terms, the ML Kit library may contact Google to fetch model and compatibility updates and sends Google anonymous metrics about how the barcode API performs; it does not send the images or the codes found.

What we do not do

We, the developer, do not collect, sell or share personal data. The app has no user accounts, no advertising, no analytics or crash-reporting SDKs and no tracking. We do not operate servers that receive your data.

Children

The app is not directed to children under 13 and does not knowingly collect information from them.

Changes

If this policy changes, the updated version will be published at this address with a new date.

Your choices and deletion

You can delete any item in the app, empty Recently deleted, delete your Drive backup from the Backup screen and turn off breach monitoring at any time. Because the developer holds none of your data, there is nothing for us to delete on our side; uninstalling the app removes everything stored on the device.

Contact

Questions or requests about this policy: write to us through the support page.

---

Authenticator Gizlilik Politikası (Türkçe)

Authenticator ("uygulama"), Appicy LTD tarafından yayımlanan bir Android uygulamasıdır. İki adımlı doğrulama kodlarını, şifreleri ve passkey'leri cihazınızdaki şifreli bir kasada saklar. Kısacası: kasanız cihazınızda kalır, onu alan bir sunucumuz yoktur ve uygulamada reklam, analiz ya da takip kodu bulunmaz.

Cihazınızda saklanan bilgiler

Uygulamaya eklediğiniz her şey (hesap adları, 2FA anahtarları, girişler, şifreler, notlar, yedek kodlar, passkey'ler ve ayarlar) yalnızca cihazınızda saklanır. Kasa AES-256-GCM ile şifrelenir. Anahtarı, PIN'iniz (Argon2id ile türetilir) ve Android Keystore ile, açarsanız biyometriye bağlı bir Android Keystore anahtarıyla korunur. Sizde duran kurtarma anahtarı, unutulan bir PIN'i sıfırlayabilir. Geliştiricide PIN'inizin, kurtarma anahtarınızın ya da kasanızın kopyası yoktur ve bunları kurtaramaz.

Uygulama verilerini Android'in otomatik cihaz yedeğinin dışında tutar. Silinen öğeler 30 gün boyunca "Son silinenler"de kalır, ardından kalıcı olarak silinir. Uygulamayı kaldırmak kasayı siler.

Yalnızca siz seçtiğinizde cihazdan çıkan bilgiler

İhlal kontrolü (isteğe bağlı). Bir ihlal kontrolü başlattığınızda (ya da Authenticator Plus ile otomatik ihlal izlemeyi açtığınızda) uygulama her kayıtlı şifrenin SHA-1 özetini cihazda hesaplar ve Pwned Passwords aralık hizmetine (api.pwnedpasswords.com, Have I Been Pwned tarafından işletilir) her özetin yalnızca ilk beş karakterini gönderir. Hizmet bir özet sonekleri listesi döndürür ve karşılaştırma cihazınızda yapılır. Şifreleriniz ve tam özetler asla gönderilmez. Her web isteğinde olduğu gibi hizmet, cihazınızın IP adresini ve isteğin zamanını görebilir. Otomatik izleme için uygulama, kasa kilitliyken haftalık kontrolün çalışabilmesi amacıyla şifre özetlerini (şifreleri değil) cihaz şifrelemeli bir dosyada tutar; izlemeyi kapatmak bu dosyayı siler.

Google Drive yedeği (isteğe bağlı). Drive yedeğini açarsanız uygulama, kendi Google Drive'ınızdaki gizli uygulama verisi klasörünü kullanmak için izin ister. Kasa, yüklenmeden önce geliştiricinin asla görmediği bir yedek anahtarıyla cihazınızda şifrelenir; Google yalnızca şifreli dosyayı saklar. Yedek anahtarı, yeni bir telefonda geri yükleyebilmeniz için kimlik bilgisi sağlayıcınıza (örneğin Google Şifre Yöneticisi) bir kurtarma passkey'i ya da kayıtlı yedek anahtarı olarak kaydedilir. Google'ın Drive ve Şifre Yöneticisi verilerini nasıl işlediği Google Gizlilik Politikası'nda açıklanır. Yedeği kapatmak yüklemeleri durdurur; yedeği Yedek ekranından silebilirsiniz.

Satın almalar. Authenticator Plus, Google Play üzerinden satılır. Ödemeyi Google işler; uygulama yalnızca Plus özelliklerini açmak için gereken satın alma durumunu alır, ödeme bilgilerinizi almaz.

Otomatik doldurma ve Credential Manager. Uygulamayı otomatik doldurma hizmetiniz ya da kimlik bilgisi sağlayıcınız olarak etkinleştirdiğinizde Android, eşleşen girişleri önerebilmesi için doldurduğunuz ekranın yapısını (örneğin alan türleri ve uygulama ya da site adı) uygulamaya iletir. Bu işlem cihazınızda gerçekleşir ve hiçbir yere gönderilmez.

Kamera ve görseller. Kamera yalnızca bir QR kodu tararken kullanılır; Android fotoğraf seçiciyle seçtiğiniz görseller yalnızca QR kodu bulmak için okunur. İkisi de Google'ın uygulamaya gömülü ML Kit barkod modeliyle cihazda işlenir; görsel saklanmaz ya da yüklenmez. Google'ın ML Kit koşullarında açıklandığı gibi ML Kit kitaplığı model ve uyumluluk güncellemeleri için Google'a bağlanabilir ve barkod arayüzünün performansına ilişkin anonim ölçümleri Google'a gönderir; görselleri ya da bulunan kodları göndermez.

Yapmadıklarımız

Geliştirici olarak kişisel veri toplamıyor, satmıyor ya da paylaşmıyoruz. Uygulamada kullanıcı hesabı, reklam, analiz ya da çökme raporlama SDK'sı ve takip yoktur. Verilerinizi alan sunucular işletmiyoruz.

Çocuklar

Uygulama 13 yaşından küçük çocuklara yönelik değildir ve onlardan bilerek bilgi toplamaz.

Seçimleriniz ve silme

Uygulamadaki herhangi bir öğeyi silebilir, Son silinenler'i boşaltabilir, Drive yedeğinizi Yedek ekranından silebilir ve ihlal izlemeyi istediğiniz zaman kapatabilirsiniz. Geliştiricide verilerinizden hiçbiri bulunmadığından bizim tarafımızda silinecek bir şey yoktur; uygulamayı kaldırmak cihazda saklanan her şeyi siler.

Değişiklikler

Bu politika değişirse güncel sürüm bu adreste yayımlanır.

İletişim

Bu politikayla ilgili soru ve talepleriniz için bize destek sayfasından yazın.