Privacidade, explicada de forma simples

A sua privacidade é o motivo pelo qual o Hidesay existe.

Cada mensagem é criptografada diretamente no seu dispositivo antes de ser enviada. Os nossos servidores recebem apenas dados já criptografados e não possuem a chave privada necessária para lê-los.

O Hidesay foi projetado segundo um princípio muito simples: o servidor deve saber o mínimo possível. Ele guarda apenas as informações estritamente necessárias para o serviço funcionar, e nada mais.

O que o servidor precisa saber

Para o Hidesay funcionar, o servidor precisa lidar com algumas informações técnicas.

A sua conta

Quando você cria uma conta, é gerado um identificador aleatório e você recebe um token de acesso.

Esse token é a única credencial necessária para acessar a sua conta.

O servidor nunca salva o token em texto puro. Ele armazena apenas um hash calculado com Argon2id, suficiente para verificar a validade do token, mas impossível de usar para reconstruir o token original. Na prática, o seu token continua sendo conhecido só por você e pelos seus dispositivos.

Se você decidir preencher o seu perfil, o servidor também guarda:

o seu nome de usuário e eventuais nomes de usuário adicionais;
nome, sobrenome e biografia;
a sua chave PGP pública e a respectiva impressão digital (fingerprint);
foto do perfil e imagem de capa.

A chave privada, por outro lado, nunca sai do seu dispositivo.

As sessões

Para que você possa ver quais dispositivos estão conectados à sua conta e desconectá-los quando quiser, o servidor mantém a lista das sessões ativas.

Para cada sessão, são guardados:

o hash do token da sessão;
a data de criação;
o último uso;
a data de expiração;
o nome do dispositivo;
a plataforma;
a versão do app;
a versão do sistema operacional.

Se você ativar a verificação em duas etapas, o servidor guarda apenas as informações indispensáveis para o método escolhido:

o segredo TOTP, se você usa um app autenticador;
ou o hash da senha adicional;
ou o endereço de e-mail, se você escolher receber os códigos por e-mail.

Os códigos de recuperação também são armazenados apenas como hash.

As mensagens

As mensagens são criptografadas no seu dispositivo antes mesmo de serem enviadas.

O servidor recebe apenas:

a mensagem já criptografada com OpenPGP;
os metadados indispensáveis para a entrega (remetente, destinatário ou conversa, data e hora, eventual resposta a outra mensagem);
as informações necessárias para lidar com reações, mensagens fixadas e visualizações dos canais.

Os anexos são tratados da mesma forma: chegam ao servidor já criptografados, e o servidor não consegue ler o conteúdo deles.

Grupos e conversas

Para gerenciar grupos e canais, o servidor precisa conhecer algumas informações organizacionais, por exemplo:

membros;
funções;
permissões;
eventuais restrições ou banimentos;
convites e pedidos de entrada;
conversas arquivadas, fixadas ou silenciadas;
pastas;
marcadores de leitura;
usuários bloqueados;
nomes personalizados atribuídos aos contatos.

Essas informações existem exclusivamente para que o app funcione.

Notificações push

Para receber as notificações, usamos o Firebase Cloud Messaging (FCM).

O servidor guarda o token FCM do seu dispositivo, necessário exclusivamente para conseguir alcançá-lo quando chega uma mensagem nova.

Quando alguém te escreve, o Google não recebe o conteúdo da mensagem.

Pelo Firebase é enviada apenas uma pequena notificação técnica e invisível, que serve exclusivamente para reativar o app quando ele está em segundo plano.

Essa notificação não contém:

o texto da mensagem;
o remetente;
a conversa;
os anexos;
nenhuma informação útil para reconstruir o conteúdo da comunicação.

Quando o app é reativado, ele se conecta diretamente aos servidores do Hidesay, baixa a mensagem já criptografada, descriptografa exclusivamente no seu dispositivo e só então mostra a notificação visível.

Em outras palavras, o conteúdo das suas conversas não passa pelo Firebase.

O que nunca chega aos nossos servidores

Há informações que não pedimos e que nunca recebemos.

Entre elas:

número de telefone;
agenda de contatos;
localização;
identificadores de publicidade;
dados biométricos;
endereços IP.

Estas informações também ficam sempre no seu dispositivo:

a sua chave privada OpenPGP;
a frase secreta da chave;
o PIN do app;
os eventuais dados biométricos usados para desbloqueá-lo.

Não temos acesso a nenhuma dessas informações.

Por que esses dados são necessários

As informações que o servidor gerencia servem exclusivamente para:

autenticar a sua conta;
entregar as mensagens;
sincronizar vários dispositivos;
gerenciar grupos e canais;
enviar notificações push para você;
proteger a sua conta contra acessos não autorizados.

Não usamos os seus dados para:

publicidade;
criação de perfis;
marketing;
treinar modelos de inteligência artificial.

Não vendemos, alugamos nem cedemos os dados dos usuários a ninguém.

Quando você apaga algo, é apagado de verdade

No Hidesay não existe o conceito de "apagado do app mas guardado no servidor".

Quando você apaga algo, o servidor também apaga a própria cópia.

Isso vale para:

mensagens apagadas para todos;
conversas e históricos;
grupos e canais;
anexos;
fotos do perfil;
imagens de capa;
reações;
configurações;
pastas;
bloqueios;
e qualquer outro dado associado à sua conta.

Não mantemos cópias ocultas nem arquivos consultáveis do conteúdo apagado.

A única exceção diz respeito ao que já foi baixado nos dispositivos de outros usuários. Se uma mensagem já foi recebida e armazenada no dispositivo do destinatário, não temos nenhuma forma de acessar esse dispositivo ou de apagar o conteúdo dele.

Por quanto tempo os dados são guardados

O servidor guarda os dados apenas pelo tempo necessário.

As mensagens criptografadas com PGP permanecem até serem apagadas ou até expirar um eventual temporizador de autodestruição.
As sessões permanecem até você sair da conta ou até expirarem.
Os códigos temporários da verificação em duas etapas são apagados automaticamente poucos minutos após logins malsucedidos, ou na hora após um login bem-sucedido.
As informações do perfil permanecem enquanto você decidir manter a sua conta.

Exclusão da conta

Você pode excluir a sua conta a qualquer momento, sozinho, dentro do app: Acesso e segurança → Conta → Excluir conta. Não é preciso escrever para nós nem esperar que alguém processe um pedido. Você encontra cada passo na página Excluir a conta.

Para confirmar, pedimos o token de acesso completo, não apenas a sessão já aberta no telefone, e o segundo fator, se você ativou um. Os códigos de recuperação não bastam: eles servem para voltar a entrar em uma conta, não para encerrá-la.

Duas formas diferentes de encerrar a conta

Perguntamos o que fazer com as mensagens que você já enviou, porque o resultado sobre os dados é diferente.

Se você escolher apagá-las, o registro da sua conta e tudo o que está ligado a ele são apagados do banco de dados, incluindo as mensagens que você escreveu em conversas privadas, grupos e canais. Uma conversa privada é feita de duas pessoas: se você também apagar as mensagens, some também a cópia que a outra pessoa tinha, porque não pode existir metade de uma conversa.

Se você escolher deixá-las com quem as recebeu, o conteúdo das mensagens continua legível para quem as recebeu, mas a sua conta deixa de ser identificável do mesmo jeito: nome, nome de usuário, biografia, foto, chave pública, token e segundo fator são apagados e substituídos por um identificador aleatório que não leva até você. Não é uma conta "guardada": é um perfil anonimizado, que aparece para quem lê essas mensagens como "Conta excluída" e que ninguém, nem você, pode mais acessar. Em termos de proteção de dados, os seus dados pessoais são apagados de qualquer forma; resta apenas o conteúdo das mensagens, que também é um dado da outra pessoa e não só seu.

Grupos e canais

Se você é proprietário de grupos ou canais, a exclusão da conta os encerra para todos os membros, qualquer que seja a escolha feita sobre as mensagens: eles pertencem a você e não passam automaticamente para mais ninguém. Já nos grupos dos quais você é apenas membro, excluir a conta equivale a sair deles: o grupo continua para quem fica.

O que é removido em qualquer caso

o perfil;
os nomes de usuário;
a chave pública;
as imagens enviadas;
todas as sessões, em todos os dispositivos;
os tokens das notificações push;
as configurações;
a participação em grupos e canais;
qualquer outro dado associado à sua conta.

As cópias das mensagens que já foram baixadas nos dispositivos dos outros participantes permanecem nos dispositivos deles, porque não temos nenhum acesso aos dispositivos dos usuários.

A exclusão é imediata e definitiva: o token deixa de funcionar no mesmo instante em que você confirma, e não guardamos backups a partir dos quais restaurar uma conta encerrada por engano. Justamente porque exige o token, se você o perdeu junto com um eventual segundo fator, não temos uma forma técnica de verificar que a conta é sua e, por isso, não podemos excluí-la no seu lugar a partir de um pedido por escrito.

Os seus direitos

Se o RGPD (GDPR) se aplica a você, você pode pedir a qualquer momento para:

acessar os seus dados;
corrigi-los;
apagá-los;
limitar o tratamento deles;
se opor ao tratamento;
recebê-los em um formato portável.

Podemos fornecer tudo o que está nos nossos servidores. Quanto às mensagens, só podemos entregar a versão criptografada, porque é a única forma em que elas existem nos nossos sistemas.

Escreva para [email protected] para exercer qualquer um desses direitos. Você também tem o direito de apresentar uma reclamação à autoridade de controle do seu país; na Itália, o Garante per la protezione dei dati personali.

Em poucas palavras

O Hidesay foi projetado para saber o mínimo possível.

As suas mensagens são criptografadas antes de saírem do seu dispositivo.

A sua chave privada nunca é transmitida.

O seu token de acesso nunca é salvo em texto puro.

O Firebase não vê o conteúdo das suas conversas.

E quando você apaga algo, isso também é apagado dos nossos servidores.

Veja também os termos de serviço e a página sobre o modelo de segurança.

Política de privacidade