Política de Privacidade

0. Em resumo

O texto das tuas mensagens é cifrado no teu dispositivo e só pode ser lido pelas pessoas a quem o envias. Nós não conseguimos lê-lo, e a Google, cujos servidores alugamos, também não.

O que conseguimos ver é que houve uma conversa: que contas fazem parte dela e quando estiveram ativas. Retirar isso é mais difícil do que cifrar os conteúdos, e ainda não terminámos. Esta política diz exatamente onde está a linha neste momento.

1. O que está cifrado ponto a ponto

Cifrado no teu dispositivo, ilegível para nós e para a Google:

• O texto das tuas mensagens.
• O conteúdo de ficheiros, fotos, áudio e vídeo que anexas.
• As pré-visualizações de ligações.
• As chamadas de voz e vídeo, que usam o DTLS-SRTP obrigatório do WebRTC entre os dois dispositivos.

A maioria das mensagens individuais e de grupo usa ainda um roquete: cada mensagem tem a sua própria chave, por isso comprometer o teu dispositivo não expõe as anteriores. As conversas em que o cliente de alguém não publicou o material de chave mais recente recaem numa única chave de longa duração, que não tem essa propriedade. A etiqueta por baixo de uma mensagem diz-te qual delas ela realmente seguiu.

Só uma coisa atravessa esta linha, e apenas quando a pedes: procurar um nome na Wikipédia envia esse nome, não a mensagem de onde ele veio. A secção 6 diz quem o recebe, e o pedido acontece no toque e não de outra forma, por isso não há nada para desligar. Resumir, traduzir e transcrever também a atravessariam: estão desligados nesta versão, e não há na aplicação qualquer controlo que os ligue.

2. O que não está cifrado, e o que conseguimos ver

A cifra protege conteúdos, não o facto de existir uma conversa. Isto fica em claro nos nossos servidores:

• Quem está em cada conversa, e quando foi criada e usada pela última vez.
• A data e hora de cada mensagem e quantas não leste.
• O nome, o tipo e o tamanho de um anexo. Os bytes estão cifrados; a descrição deles não, e o comprimento do cifrado limita o do original.
• Os teus amigos e pedidos de amizade.
• A sinalização de chamadas — que houve uma chamada, com quem e quando. Não o áudio nem o vídeo.

Os indicadores de escrita e as confirmações de leitura estão desligados a não ser que os ligues, e enquanto estão desligados nada é escrito.

O que já não está aqui: o teu endereço de email e o teu nome. Desde setembro de 2026, o registo da conta contém apenas um identificador de conta — e desde então não há endereço nenhum em lado nenhum. Criar conta não pergunta nada sobre ti: a tua conta é uma frase de recuperação de 24 palavras, e a credencial que o Firebase Authentication verifica é derivada dela. O que fica lá guardado é uma etiqueta aleatória num domínio que não consegue receber correio.

À parte disso: como a app corre sobre a Google Firebase, a Google consegue ver o endereço IP e a hora de cada ligação que o teu dispositivo lhe faz. Isso é uma característica do alojamento, não da app, e não podemos fazê-lo desaparecer com cifra.

3. Como te encontram

Não te conseguem procurar. Não existe diretório — nem pesquisa por email, telefone ou nome — e o servidor recusa qualquer consulta que tente.

Chegas a alguém enviando-lhe uma ligação de convite fora da app, por aquilo que já usas. Uma ligação funciona uma vez, expira ao fim de 24 horas e pode ser retirada. Aquilo por que tratas alguém é a tua própria etiqueta para essa pessoa, guardada para ti; se ela se apresentou, esse nome chegou-te cifrado.

4. O que recolhemos

• Dados da conta: um identificador de conta e uma credencial derivada da tua frase de recuperação, guardada no Firebase Authentication. Sem endereço de email, sem número de telefone e sem nome — a criação de conta não pede nenhum deles.
• O texto cifrado das mensagens e dos anexos, mais os metadados da secção 2.

É esta a lista toda. Não há análise de utilização nem relatórios de falhas. A aplicação enviava visualizações de ecrã para o Firebase Analytics e falhas para o Firebase Crashlytics, ambos com o teu identificador de conta, por isso nenhum era anónimo; os dois desapareceram, juntamente com as bibliotecas que os enviavam. Os erros são impressos na máquina de quem desenvolve, durante o desenvolvimento, e não vão para mais lado nenhum.

5. Onde fica guardado

Na Google Firebase — Firestore, Storage e Authentication — sob regras de segurança que decidem quem pode ler e escrever cada documento.

No teu dispositivo, as mensagens em cache, as definições e o PIN de bloqueio são cifrados com uma chave própria do dispositivo guardada no cofre de chaves do sistema (Keychain no iOS, Keystore no Android) e não no armazenamento normal da app.

A chave privada que decifra as tuas mensagens nunca sai do teu dispositivo, exceto na forma da frase de recuperação que decidires anotar. Não a temos e não a podemos recuperar por ti. Se a perderes, as mensagens enviadas para esse dispositivo não voltam a ser legíveis — por ninguém, incluindo nós.

As versões 1.2.0 e anteriores também guardavam uma cópia da frase no Google Block Store, a cópia de segurança do próprio Android, sempre que iniciavas sessão. Se o telemóvel tinha bloqueio de ecrã, essa cópia era sincronizada com a tua conta Google, encriptada ponto a ponto. A partir da versão 1.2.1 a app deixou de o fazer, e apaga essa cópia sempre que arranca.

6. Quem mais recebe dados

Não vendemos, trocamos nem alugamos as tuas informações pessoais. Os dados chegam a:

• Google Firebase — o nosso fornecedor de alojamento, como descrito acima.
• Cloudflare Realtime — o áudio e o vídeo de uma chamada, quando o teu dispositivo e o da outra pessoa não conseguem alcançar-se diretamente.
• A Wikimedia Foundation — um único nome, quando lhe tocas para o procurar na Wikipédia.
• Google Cloud Speech-to-Text — o áudio de uma mensagem de voz, quando pedes uma transcrição.
• Google Cloud Translation — o texto de uma mensagem, quando pedes uma tradução.
• Cloudflare Workers AI — até às últimas 50 mensagens de uma conversa, quando pedes um resumo ou fazes uma pergunta sobre ela.

Os últimos três estão desligados nesta versão. Não há na aplicação qualquer controlo que ligue a transcrição, a tradução ou os resumos, por isso nada chega a esses três serviços. Estão listados em vez de apagados porque o código continua aqui e as funcionalidades hão de voltar — e quando voltarem, voltam com esta divulgação e com uma pergunta antes da primeira utilização. O que seria enviado então é enviado para produzir o teu resultado, não para treinar nada; nem uma transcrição nem uma tradução ficam guardadas nos nossos servidores.

Esta procura não tem interruptor porque não há nada permanente para desligar: corre no toque e não de outra forma. A Wikipédia recebe esse nome e o teu endereço IP, tal como se o tivesses escrito na caixa de pesquisa dela — nenhuma conta, nenhuma mensagem, nenhuma conversa. O que volta é mostrado e não guardado, e nada disso é escrito na conversa.

A Cloudflare Realtime também não tem interruptor. A maioria das chamadas não precisa dela: dois dispositivos que conseguem alcançar-se diretamente — a maioria das chamadas na mesma rede — ligam-se sem ela, e nada é retransmitido. Quando não conseguem, normalmente porque estão em redes móveis diferentes, a chamada já cifrada é retransmitida em vez de ficar sem ligação. O que a Cloudflare vê são os dois endereços IP, o momento da chamada e aproximadamente quantos dados foram movidos; o áudio e o vídeo permanecem sob a mesma cifra DTLS-SRTP descrita na secção 2, pelo que a retransmissão não os decifra.

Podemos divulgar o que temos se a lei o exigir. O que temos é a lista da secção 2. Não conseguimos entregar o conteúdo das mensagens, porque não o conseguimos ler.

7. Notificações push

As notificações são entregues pelo Firebase Cloud Messaging. O token do teu dispositivo fica numa parte privada da tua conta que só tu consegues ler.

As notificações não levam o texto da mensagem. É o teu dispositivo que a decifra localmente e compõe o que vês; a Google entrega o envelope, não o conteúdo.

8. O que podes fazer

• Apagar a tua conta no ecrã Perfil. O conteúdo que pertence em conjunto a uma conversa — um registo de chamada, por exemplo — fica com o outro participante, porque também é o registo dele.
• Exportar os teus dados no ecrã Perfil.
• Fazer as mensagens expirar por conversa: 1 hora, 24 horas, 7 dias ou 30 dias.
• Ligar ou desligar os indicadores de escrita e as confirmações de leitura. Ambos vêm desligados.
• Bloquear a app com PIN ou biometria.
• Retirar uma ligação de convite que já tenhas distribuído.

Se preferires que apaguemos algo à mão, escreve-nos.

9. Retenção

Guardamos os teus dados enquanto a tua conta existir. Apagá-la apaga-os, exceto o conteúdo partilhado indicado acima. A expiração por conversa remove as mensagens no prazo que definires.

10. Limites que deves conhecer

Preferimos dizer-tos a que os descubras sozinho.

• As chaves são confiadas na primeira vez que são vistas. Se alguém tivesse substituído uma chave antes de vocês trocarem sequer uma mensagem, a conversa ficaria cifrada para a pessoa errada e pareceria perfeitamente normal. A app avisa-te quando uma chave muda depois disso e mostra um número de segurança que podem comparar por outro meio — mas nada te obriga a compará-lo.
• Um dispositivo de cada vez. A tua frase de recuperação restaura a chave que abre o teu histórico, por isso iniciar sessão num dispositivo novo não perde o que já recebeste. As conversas com sigilo persistente usam uma segunda chave que nunca sai do dispositivo que a criou: chegam ao último dispositivo onde iniciaste sessão, e o que entretanto foi selado para o outro não pode ser transferido.
• As mensagens enviadas antes de existir cifra ficam como estavam. Nada foi convertido retroativamente.
• Esta app nunca passou por uma auditoria de segurança independente.

11. Crianças

O Chatterbox não se destina a crianças com menos de 13 anos, e não recolhemos conscientemente as suas informações. Se achas que uma criança nos deu dados pessoais, contacta-nos e apagá-los-emos.

12. Alterações

Podemos atualizar esta política. As alterações significativas serão anunciadas na app, e a data no topo é a da última alteração.

13. Contacto

Questões sobre esta política: [email protected]

14. Verificar se há uma versão mais recente da app

A Google Play não é a forma como esta app chega ao teu telemóvel Android. É descarregada a partir do chatterbox.fans, e uma loja que não está a par não consegue verificar atualizações em teu nome — por isso esta app pode fazê-lo, se lho pedires.

Tocar em "Verificar agora" envia um único pedido ao chatterbox.fans a perguntar qual é a versão atual. Esse pedido transporta o teu endereço IP e nada mais — sem conta, sem identificador do dispositivo, sem mensagem. O que volta é um número de versão, comparado no teu telemóvel com a versão que tens instalada; nada é descarregado automaticamente, e nada desta verificação é escrito na conversa.

Isto não tem interruptor porque não há nada para desligar: só corre quando tocas e não de outra forma.

Se instalares a atualização, esta substitui a app no mesmo lugar usando a mesma chave de assinatura, tal como uma atualização da Google Play faria.