О, это хороший вопрос.
Короткий ответ: да, разработчик имеет доступ в базу данных (нужно же где-то хранить сообщения)

Я задумывался, как это можно исправить и все пришло к тому, что даже если у разработчика не будет доступа (все будет храниться в зашрованном виде), то как это доказать пользователям? Выложить проект в опен сорс - где гарантии, что код приложения соответствует исходному коду. Это большая проблема доверия.

Нужно вводить аудит кода с помощью внешней организации и то, где гарантии, что они не наврали?

это уже личное... смотря сколько срать надумали, там уже комиссия будет...