Segurança e prova

O que esta aplicação garante, como o garante, e o que ainda não garante.

Aqui dentro ficam conversas, fotografias de crianças, extratos bancários e documentos que podem acabar num processo. Quem põe isso num sítio tem o direito de perguntar como é que ele está guardado — e de receber uma resposta que se consiga conferir, não uma frase simpática.

Um relatório assinado, com o rodapé que diz onde se confere

A cadeia de custódia, passo a passo

Um documento só vale como prova se se conseguir mostrar que é o mesmo que entrou. São quatro momentos, e em cada um fica uma impressão digital.

1

O que entra fica selado

Cada ficheiro importado — o export do WhatsApp, o detalhe da operadora, o CSV do e-fatura — é guardado intacto, como veio, com o resumo SHA-256 registado. É esse ficheiro que vale como origem; o que se vê na aplicação é a cópia extraída dele.

A aplicação nunca escreve por cima do original. Quando é preciso reconstruir tudo do princípio, é a partir daí que se reconstrói.

2

O que é alterado di-lo

Uma fotografia recodificada para ocupar menos espaço passa a dizer que foi recodificada, com o tamanho e o resumo que tinha antes. Os dados da máquina fotográfica são preservados.

Um número de telefone que a aplicação deduziu fica marcado como deduzido, e nunca escreve por cima do que o ficheiro trouxe. O que a aplicação adivinhou nunca é desenhado igual ao que uma pessoa afirmou.

3

O registo de atividade é encadeado

Cada entrada ou saída, cada exportação, cada alteração de permissões fica registada — e cada linha do registo leva o resumo criptográfico da anterior. Mudar uma linha parte o elo com a seguinte; apagar uma, também.

Isto não impede ninguém de escrever na base de dados: torna impossível fazê-lo sem se ver, e a conferência diz em que linha e em que dia a cadeia se parte.

4

O documento que sai vai assinado

Todo o PDF emitido leva uma assinatura criptográfica sobre os seus próprios bytes: muda-se um algarismo e ela deixa de bater certo, e isso vê-se num leitor de PDF qualquer, offline, sem depender de nós.

E leva no rodapé o endereço onde se confere, mais a ponta da cadeia do registo no momento em que foi emitido. Ver a página de verificação

Porque é que a ponta da cadeia vai dentro do documento

É a parte que torna o registo encadeado uma prova e não uma afirmação sobre nós próprios.

Sozinha, uma cadeia de resumos demonstra que ninguém mudou uma linha pelo meio. Mas quem a tem toda nas mãos poderia, em teoria, refazê-la de uma ponta à outra. O que não pode refazer são os documentos que já saíram daqui e estão em mãos alheias.

Um relatório emitido em março, que está na posse da outra parte e do advogado, fixa o que o registo dizia em março. Quem quisesse reescrever o passado teria de reescrever também os papéis que já não tem consigo.

Onde ficam os dados

Servidores, e só na União Europeia

Os servidores estão na União Europeia (Contabo (França), Hetzner (Alemanha), DOTEC (Portugal) e Amazon Web Services (Irlanda)) e não transferimos dados para fora do Espaço Económico Europeu. Os subcontratantes estão identificados pelo nome na política de privacidade.

Cada família tem a sua própria base de dados

Não é separação por uma coluna numa tabela partilhada: é um ficheiro de base de dados por família e uma pasta de ficheiros por família. Um erro de programação numa consulta não consegue mostrar a uma família os dados de outra, porque os dados da outra não estão lá.

É também o que torna possível apagar uma família por inteiro, e exportá-la por inteiro.

Quem é que, do nosso lado, lá pode entrar

Só entramos se pedires apoio e autorizares, e essa entrada fica no registo encadeado — que tu podes conferir. Não lemos o conteúdo para outra coisa, não o usamos para treinar nada e não o vendemos a ninguém.

Entrada na conta

Palavra-passe guardada em resumo criptográfico, autenticação em dois passos, e chaves de acesso (passkeys) com o Face ID ou a impressão digital do aparelho — que são mais seguras, porque não há nada para roubar e não funcionam num site falso.

Vês as entradas recentes na tua conta e podes terminar todas as outras sessões de uma vez.

Quando sais, sais mesmo

Exportas tudo num ficheiro, em formato que se importa noutro sítio. Depois de a subscrição acabar: 7 dias em que nada muda, 90 dias com a conta em leitura para poderes reativar ou exportar, e depois apagamos a base de dados e os ficheiros em definitivo. Podes pedir o apagamento imediato a qualquer momento.

Não ficamos com os teus registos «porque podem fazer falta num processo futuro». São teus.

A transcrição de áudio não sai do servidor

Quando está ligada, a transcrição de mensagens de voz corre em máquinas próprias e não fala com nenhum serviço externo. Uma mensagem de voz de uma discussão familiar não é coisa para mandar a um fornecedor de IA a troco de uma funcionalidade.

O que não fazemos, de propósito

Há funcionalidades que outras aplicações têm e que aqui não vais encontrar. Não é por não se conseguirem fazer — é porque estragavam aquilo para que esta aplicação serve.

Não corrigimos o que escreves

Não há aqui um assistente que melhore o tom das tuas mensagens antes de as enviares. Num arquivo que existe para mostrar o que foi dito, uma aplicação que reescreve o que tu disseste deixa de ter o que foi dito — e é isso, exatamente isso, que alguém vai pedir para ler.

Não localizamos a outra parte

A localização que se regista é a do teu próprio telemóvel, para poderes documentar onde estavas. Não temos o telemóvel da outra pessoa, não o queremos, e uma aplicação que oferecesse isso estaria a vender vigilância com outro nome.

Pela mesma razão, o dossiê de um acontecimento nunca diz onde estava a outra parte — diz o que se sabe e cala-se sobre o resto. Uma invenção no meio de dez factos deita os dez fora.

Não contamos as aberturas de email como prova

Quando mandas um documento à outra parte, guardamos a aceitação do servidor de correio dela — que é um facto técnico, verificável do outro lado — e os cliques nos botões. As ABERTURAS vêm desligadas: o Apple Mail carrega as imagens sozinho e dá «aberto» a quem nunca abriu. Num documento que vai para um advogado, uma hora de abertura errada é pior do que não ter hora nenhuma.

E não guardamos o endereço de IP de quem abre ou clica. A outra parte não é cliente nossa.

Não decidimos nada por ti

Uma fatura que chega por email fica à espera de confirmação. Uma prestação que a aplicação reconheceu sozinha fica marcada «por verificar» e não conta para nada até dizeres que sim. Um compromisso nunca é cancelado por ela. O que a aplicação deduziu está sempre marcado como deduzido.

O que ainda não temos

Esta secção existe para o resto da página valer alguma coisa. São as perguntas que um técnico exigente faz, e as respostas honestas no dia de hoje.

Selo eletrónico qualificado (eIDAS)

O certificado que assina os nossos PDF é emitido por nós próprios. Isso prova integridade — muda-se um byte e a assinatura falha — e prova que o documento saiu desta aplicação. Não é um selo QUALIFICADO emitido por um prestador de serviços de confiança acreditado.

A diferença importa: pelo regulamento eIDAS, nenhum selo eletrónico pode ser recusado como prova só por não ser qualificado, mas é o qualificado que beneficia automaticamente da presunção de integridade e de origem. Está nos nossos planos; não está feito.

Certificações ISO 27001 ou SOC 2

Não temos. São auditorias caras e demoradas, e dizer o contrário seria falso. O que podemos oferecer entretanto é uma coisa que uma certificação não dá: a conferência da cadeia do registo corre do teu lado, e a verificação de um documento não precisa de confiar em nós.

Teste de intrusão por entidade independente

Ainda não foi feito por uma entidade externa. Quando for, a data e o resumo executivo aparecem aqui.

Cifragem dos ficheiros em repouso

Está a meio, e vale a pena dizer qual metade.

Feito. As cópias de segurança são cifradas antes de saírem do servidor, com uma chave que fica do nosso lado e que o fornecedor de armazenamento não tem. E os ficheiros originais — o export tal como saiu do telemóvel, a fatura tal como foi emitida, que é a parte com valor como prova — são guardados fora do servidor, também cifrados com chave nossa. Nenhum deles é legível por quem tenha acesso ao armazenamento.

Por fazer. As fotografias e os vídeos já processados, e o ficheiro da base de dados, estão no disco do servidor e ainda não são cifrados pela aplicação. Dizê-lo ao contrário seria a afirmação mais fácil de fazer e a mais difícil de defender se alguém a fosse conferir. É o que falta, e é assim que fica escrito até estar feito.

Chamadas de voz e vídeo dentro da aplicação

Não existem. Esta aplicação regista e organiza comunicações que acontecem noutro lado — incluindo as que já aconteceram antes de a instalares — em vez de ser mais um sítio onde falar.

Armazenamento ilimitado

Não. O espaço faz parte do plano e vê-se a todo o momento em quanto está. Preferimos dizer quanto custa a guardar do que prometer «ilimitado» e depois arranjar maneira de o limitar. Ver os preços

Histórico

Somos recentes. Há aplicações nesta área com mais de vinte anos de uso em tribunais, e isso é uma vantagem real que não se compra. O que temos para pôr do nosso lado é o que se consegue verificar hoje, de fora, sem acreditar em nós.