SecureVault
SecureVault Privacy Policy
Effective: 27 May 2026
App version: 6.8.9
App identifier: AIPrograms.SecureVault
This document describes what data SecureVault processes, where it is stored, and under which conditions data may leave the user's device. SecureVault is designed as a local tool. There is no vendor-operated server that mirrors the user's vault.
This document does not contain the legally required publisher information. That information is provided in a separate imprint.
1. Core principle
SecureVault is a desktop application. All vault contents (passwords, notes, contacts, events, mail configuration, TOTP secrets, settings) are stored exclusively on the user's device and encrypted with the master password.
Encryption: AES-GCM using a key derived from the master password.
Key derivation: PBKDF2 with the application-specific salt "SecureVault-Web/CC-Brand/v1".
The master password itself is never stored or transmitted.
Without the master password the vault cannot be read locally or from any sync copy.
2. Data processed locally
Within its own database SecureVault stores the following data when the user enters it:
Passwords, usernames, URLs, and notes per entry.
Contacts including addresses, phone numbers, mail addresses, groups.
Calendar events, calendar groups, optional CalDAV subscriptions.
Mail accounts including IMAP and SMTP configuration and credentials.
TOTP secrets used for second-factor codes and for the app's own lock.
Application settings, selected themes and style patterns, sync settings.
All of the above is held inside the encrypted vault file. Decryption happens in memory only and only while the session is active.
3. Updates via the Microsoft Store
SecureVault is distributed and updated through the Microsoft Store.
The application itself does not contact a custom update endpoint.
Update checks, downloads, and installation are handled by the Microsoft Store.
Microsoft's privacy notice applies to that process.
The publisher of SecureVault does not receive personal telemetry through the Store. Aggregated statistics (install counts, crash aggregates) may be visible through the Microsoft Partner Center to the extent that Microsoft provides them.
4. Optional data flows triggered by the user
Data only leaves the device when the user explicitly configures one of the following paths. Without such configuration no transmission takes place.
4.1 Nextcloud / WebDAV sync
The user can point the application to a self-hosted Nextcloud or WebDAV instance to sync the vault between devices.
URL, username, password, and target path are entered by the user.
Those credentials are stored encrypted inside the vault, protected by the master password.
What is synchronised is the encrypted vault file, not its decrypted contents. The server only sees ciphertext plus the usual WebDAV metadata (file name, size, timestamps).
Sync is bidirectional with file-level conflict resolution.
The recipient is the server chosen by the user. SecureVault does not forward this data anywhere else.
Optionally the user may run the separate SecureVault mail and WebDAV relay on their own system. This relay is a local process that exists only to work around CORS and Tauri WebView restrictions. It does not transmit any data to third parties and is not connected to any vendor-operated service.
4.2 Mail sending and receiving (IMAP/SMTP)
If the user sets up a mail account, messages are exchanged directly between the application (or the local relay) and the respective mail server. There is no intermediate server operated by the publisher.
IMAP and SMTP credentials are stored encrypted inside the vault.
Received messages are stored locally unless the user disables it.
The privacy notice of the respective mail provider applies.
4.3 Calendar subscriptions (CalDAV / ICS)
The user can subscribe to external calendars via CalDAV URL or ICS feed.
URL and any credentials are entered by the user and stored in the vault.
The application fetches the calendar directly from the provider.
The privacy notice of the respective provider applies.
4.4 TOTP secrets
SecureVault can generate TOTP codes locally. The secrets are stored only on the device and never transmitted.
5. Mesh layer (local app-to-app communication)
SecureVault participates in the decentralised aiprograms mesh. This is a purely filesystem-based layer that lets installed aiprograms apps on the same machine exchange capabilities.
There is no mesh server and no external communication.
No data is sent to the internet.
Other apps can only read vault contents if the user has explicitly granted access through the trust layer.
Trust can be revoked at any time.
6. Telemetry, analytics, crash reports
SecureVault sends no telemetry, no usage analytics, and no crash reports to the publisher. No telemetry library is integrated.
7. Cookies, local storage, caches
SecureVault does not set cookies. The application uses only the following local storage:
The encrypted vault file on the device.
The native per-application data folder for settings.
The persistent key-value store of the application framework for security-relevant settings.
The web cache of the embedded WebView is disabled by contract (aiprograms-cache-disable-contract-v1).
8. Disclosure to third parties
There is no disclosure to third parties. The publisher has no access to vault contents at any time.
9. User rights
Because the publisher does not process personal data, requests for access to or deletion of vault contents can only be exercised locally by the user:
Access: once unlocked, the vault is readable on the device.
Deletion: deleting the vault file or removing it via the application removes the data permanently. There is no publisher-side backup.
Export: vault and sub-areas can be exported through the application.
For sync the user exercises the corresponding rights directly with the chosen Nextcloud or mail provider.
10. Changes to this policy
Changes are shipped with the next application version. The current version is available inside the application under the Privacy entry and on the product page.
SecureVault
Datenschutzerklärung SecureVault
Stand: 27. Mai 2026
App-Version: 6.8.9
App-Identifier: AIPrograms.SecureVault
Diese Erklärung beschreibt, welche Daten SecureVault verarbeitet, wo sie liegen und in welchen Fällen Daten den eigenen Rechner verlassen können. SecureVault ist als lokales Werkzeug konzipiert. Ein externer Server, der den Vault des Nutzers spiegelt, existiert nicht.
Diese Erklärung enthält keine Pflichtangaben zum Verantwortlichen. Diese sind im separaten Impressum geregelt.
1. Grundprinzip
SecureVault ist eine Desktop-Anwendung. Sämtliche Tresor-Inhalte (Passwörter, Notizen, Kontakte, Termine, Mail-Konfigurationen, TOTP-Geheimnisse, Einstellungen) werden ausschließlich lokal auf dem Gerät des Nutzers gespeichert und mit dem Master-Passwort verschlüsselt.
Verschlüsselung: AES-GCM über einen aus dem Master-Passwort abgeleiteten Schlüssel.
Schlüssel-Ableitung: PBKDF2 mit anwendungsspezifischem Salt "SecureVault-Web/CC-Brand/v1".
Das Master-Passwort selbst wird zu keinem Zeitpunkt gespeichert oder übertragen.
Ohne Master-Passwort ist der Tresor weder lokal noch in einer Sync-Kopie lesbar.
2. Welche Daten verarbeitet die App lokal?
Innerhalb der eigenen Datenbank speichert SecureVault auf Eingabe des Nutzers:
Passwörter, Benutzernamen, URLs, Notizen pro Eintrag.
Kontakte mit Adressen, Telefonnummern, Mail-Adressen, Gruppen.
Termine, Kalender-Gruppen, optionale CalDAV-Abonnements.
Mail-Konten mit IMAP- und SMTP-Konfiguration sowie zugehörigen Zugangsdaten.
TOTP-Geheimnisse für Zwei-Faktor-Konten und das App-Login selbst.
App-Einstellungen, gewählte Themes und Style-Pattern, Sync-Konfiguration.
Alle diese Daten liegen verschlüsselt im Tresor-File. Die App entschlüsselt ausschließlich im Arbeitsspeicher und nur für die Dauer der aktiven Sitzung.
3. Updates über den Microsoft Store
SecureVault wird über den Microsoft Store ausgeliefert und aktualisiert.
Die App selbst kontaktiert keinen eigenen Update-Endpunkt.
Update-Prüfungen, Downloads und Installation laufen über den Microsoft Store.
Es gilt dort die Datenschutzerklärung von Microsoft.
Der Hersteller von SecureVault erhält keine personenbezogenen Telemetriedaten über den Store. Aggregierte Statistiken (Installationszahlen, Crash-Aggregate) können über das Microsoft Partner Center sichtbar werden, sofern Microsoft diese bereitstellt.
4. Optionale Datenflüsse auf Wunsch des Nutzers
Daten verlassen den Rechner nur, wenn der Nutzer einen der folgenden Wege aktiv einrichtet. Ohne Einrichtung findet keine Übertragung statt.
4.1 Nextcloud- bzw. WebDAV-Sync
Der Nutzer kann eine eigene Nextcloud- oder WebDAV-Instanz angeben, um den Tresor zwischen Geräten zu synchronisieren.
URL, Benutzername, Passwort und Zielpfad werden vom Nutzer eingetragen.
Diese Zugangsdaten werden mit dem Master-Passwort verschlüsselt im Tresor abgelegt.
Synchronisiert wird das verschlüsselte Tresor-File, nicht der entschlüsselte Inhalt. Der Server sieht ausschließlich Ciphertext plus die üblichen WebDAV-Metadaten (Dateiname, Größe, Zeitstempel).
Der Sync arbeitet bidirektional mit Konflikt-Auflösung auf Datei-Ebene.
Der Empfänger ist der vom Nutzer angegebene Server. SecureVault leitet diese Daten nicht weiter.
Optional kann der Nutzer den separaten SecureVault Mail- und WebDAV-Relay auf seinem eigenen System betreiben. Dieser Relay läuft als lokaler Prozess und dient ausschließlich dazu, CORS- und Tauri-WebView-Beschränkungen zu umgehen. Der Relay sendet keine Daten an Dritte und ist nicht mit einem vom Hersteller betriebenen Dienst verbunden.
4.2 Mail-Versand und -Empfang (IMAP/SMTP)
Wenn der Nutzer ein Mail-Konto in SecureVault einrichtet, werden Nachrichten direkt zwischen der App (oder dem lokalen Relay) und dem jeweiligen Mail-Server ausgetauscht. Es gibt keinen Zwischenserver des Herstellers.
IMAP- und SMTP-Zugangsdaten liegen verschlüsselt im Tresor.
Empfangene Mails werden lokal abgelegt, soweit der Nutzer das nicht abschaltet.
Es gilt die Datenschutzerklärung des jeweiligen Mail-Anbieters.
4.3 Kalender-Abonnements (CalDAV / ICS)
Der Nutzer kann externe Kalender per CalDAV-URL oder ICS-Feed abonnieren.
URL und gegebenenfalls Zugangsdaten werden vom Nutzer eingetragen und im Tresor abgelegt.
Die App ruft den jeweiligen Kalender direkt ab.
Es gilt die Datenschutzerklärung des jeweiligen Anbieters.
4.4 TOTP-Geheimnisse
SecureVault kann TOTP-Codes lokal erzeugen. Die Geheimnisse werden ausschließlich auf dem Gerät gespeichert und nie nach extern übertragen.
5. Mesh-Schicht (lokale App-zu-App-Kommunikation)
SecureVault nimmt am dezentralen aiprograms-Mesh teil. Dabei handelt es sich um eine ausschließlich dateisystem-basierte Schicht, über die installierte aiprograms-Apps auf dem gleichen Rechner Capabilities austauschen können.
Es gibt keinen Mesh-Server und keine externe Kommunikation.
Es werden keine Daten ins Internet gesendet.
Andere Apps können Vault-Inhalte ausschließlich dann lesen, wenn der Nutzer ihnen über das Trust-Layer ausdrücklich Zugriff gewährt.
Vertrauen kann jederzeit wieder entzogen werden.
6. Telemetrie, Analytics, Crash-Reports
SecureVault verschickt keine Telemetrie, keine Nutzungsanalysen, keine Crash-Reports an den Hersteller. Es ist keine Telemetrie-Bibliothek eingebunden.
7. Cookies, lokale Speicher, Caches
SecureVault setzt keine Cookies. Die App nutzt ausschließlich folgende lokale Speicher:
Den verschlüsselten Tresor-File auf dem Gerät.
Den nativen App-Datenordner für Einstellungen.
Die persistente Schlüssel-Wert-Ablage des Anwendungs-Frameworks für sicherheitsrelevante Einstellungen.
Der Web-Cache der eingebetteten WebView ist vertragsgemäß deaktiviert (aiprograms-cache-disable-contract-v1).
8. Datenweitergabe an Dritte
Eine Weitergabe an Dritte findet nicht statt. Der Hersteller hat zu keinem Zeitpunkt Zugriff auf Tresor-Inhalte.
9. Rechte des Nutzers
Da der Hersteller keine personenbezogenen Daten verarbeitet, können Auskunfts- oder Löschungsansprüche bezogen auf den Tresor-Inhalt nur lokal durch den Nutzer selbst ausgeübt werden:
Auskunft: Der Tresor ist im Klartext im Gerät lesbar, sobald er entsperrt ist.
Löschung: Vault-Datei löschen oder über die App entfernen. Damit sind die Daten unwiderruflich weg, ein Backup beim Hersteller existiert nicht.
Export: Vault- und Sub-Bereiche können über die App exportiert werden.
Für den Sync gilt: gegenüber dem genutzten Nextcloud- oder Mail-Anbieter hat der Nutzer die dortigen Rechte unmittelbar selbst auszuüben.
10. Änderungen dieser Erklärung
Änderungen werden mit der nächsten App-Version ausgeliefert. Die aktuelle Fassung steht in der App unter dem Punkt Datenschutz sowie auf der Produktseite zur Verfügung.