Política de Privacidade

Privacidade do app Cher Ami

O Cher Ami está em testes alfa. O texto a seguir descreve a implementação atual do app e da retransmissão; os recursos podem variar conforme a plataforma e a versão alfa.

Conversas e chamadas privadas

Mensagens privadas, fotos, mensagens de voz, figurinhas, reações, notas de pagamento e nomes e fotos de perfil são criptografados no seu dispositivo com o Signal Protocol. Os destinatários pretendidos podem descriptografá-los; nossa retransmissão de mensagens não consegue ler o conteúdo. As chamadas usam criptografia de ponta a ponta, com chaves trocadas por sessões criptografadas. Enquetes, denúncias que você envia à equipe do Cher Ami e detalhes do perfil (cada um compartilhado apenas com o público que você escolher) também são criptografados de ponta a ponta.

Mensagens agendadas (Enviar depois): para um texto individual que você agendar, nosso relay guarda a mensagem com criptografia de ponta a ponta (uma cópia por dispositivo do destinatário) até o horário escolhido, no máximo 30 dias depois. Ele guarda de quem é e para quem, o horário de envio com precisão de minuto, o cronômetro de desaparecimento, se houver, e quando você agendou, mas não consegue ler a mensagem. Você pode alterar ou cancelar até lá; cancelar a exclui do relay. Depois de enviada, ela é tratada como qualquer outra mensagem. Se não puder ser entregue, é excluída na hora e só uma nota de “não enviada”, sem conteúdo, fica guardada por 7 dias. Mensagens de grupo, fotos e primeiras mensagens para alguém novo esperam no seu celular.

Chamadas no iPhone: para fazer seu iPhone tocar com o app fechado, nosso relay envia à Apple um aviso de chamada que contém só um identificador de chamada aleatório, nunca o nome, o número ou a conta de quem liga. Ele expira em 45 segundos, e seu iPhone mostra quem está ligando só depois de descriptografar a chamada. Nosso relay vê que uma conta pediu para tocar outra naquele momento, assim como já vê a chamada sendo estabelecida.

Mensagens temporárias: quando uma mensagem tem cronômetro, nosso relay sabe quando ela expira (com precisão de minuto), não o que ela diz nem como você configurou o cronômetro. Ele para de entregá-la nesse horário e a exclui em cerca de um minuto. Fotos e vídeos de visualização única são excluídos do relay logo depois de abertos. Cópias guardadas em Pombais de backup seguem o mesmo horário de desaparecimento quando os dois Pombais usam a versão atual; Pombais com versões antigas podem guardá-las por até 30 dias, e um Pombal modificado poderia ignorar esse horário.

Chamadas: chamadas individuais e em grupo passam por servidores de chamada que nós mesmos operamos (LiveKit e um servidor TURN) no nosso servidor hospedado pela Hetzner em Hillsboro, Oregon (EUA); nenhum serviço de chamadas externo participa. As chamadas têm criptografia de ponta a ponta com uma chave que os participantes trocam dentro das mensagens criptografadas, então o servidor de chamadas só repassa áudio e vídeo criptografados. Durante a chamada ele vê os endereços IP dos participantes (com Ocultar meu IP, as chamadas passam pelo Tor), um nome de sala aleatório (não o nome da conversa ou do grupo), o ID de conta aleatório de cada participante (não o nome de usuário), quando as pessoas entram e saem e quantos dados passam. Ele não guarda registros de chamadas: só avisos e erros são registrados, em arquivos pequenos que são substituídos, e as salas fecham dois minutos depois que a última pessoa sai.

Tradução e IA pessoal no seu celular: a tradução de conversas e a IA pessoal (ajuda para escrever) rodam no seu celular; suas mensagens, seus pedidos e as respostas da IA nunca são enviados para nós nem para nenhum serviço de IA ou de tradução, e nada é registrado. No Android, os pacotes de idioma da tradução (cerca de 73 MB cada) são baixados dos servidores da Mozilla só quando você toca em Baixar, e o modelo aberto da IA pessoal é baixado uma vez do Hugging Face quando você pede; esses servidores veem que um arquivo foi baixado a partir da sua rede, mas nenhuma conta nem conteúdo de mensagens. No iPhone, os idiomas de tradução são fornecidos pelo sistema da Apple, e a IA pessoal usa o modelo da Apple no aparelho ou um modelo aberto opcional baixado uma vez do Hugging Face. Seu perfil de estilo da IA pessoal é criptografado no seu celular com uma chave que nunca sai dele, não entra nos backups, pode ser visto, exportado ou apagado e é excluído junto com a sua conta. Pacotes e modelos ficam no seu celular e podem ser apagados no app. Mensagens enviadas pelo Piloto automático opcional do iPhone sempre mostram a quem recebe que um assistente de IA está respondendo.

Malha offline (prévia, desativada por padrão): quando você a ativa e o app está aberto, mensagens para pessoas com quem você já conversa (textos, e fotos, mensagens de voz e arquivos de até 3 MB) podem passar por celulares Cher Ami próximos via Bluetooth ou Wi-Fi quando não há internet. Os celulares que levam uma mensagem a guardam só na memória, por no máximo 72 horas, e nunca a salvam. Eles não conseguem lê-la nem saber quem a enviou, mas podem ver que uma mensagem existe, seu tamanho, quando expira, por quantos celulares já passou e uma etiqueta de destinatário que muda a cada mensagem. Limites: alguém que já tenha a chave pública de uma pessoa poderia testar se uma mensagem é para ela; quem leva pode perceber que duas mensagens são da mesma conversa (não de quem); o primeiro celular a receber uma mensagem pode saber que ela foi escrita pelo celular de onde veio; e dispositivos próximos podem ver que há um celular Cher Ami com a malha ativada por perto. Primeiras mensagens para alguém novo, vídeos maiores, mídia de visualização única, mídia de grupo e Atualizações nunca usam a malha. Nada da malha é enviado aos nossos servidores.

Chamadas offline e Conhecer pessoalmente: chamadas de voz offline conectam dois celulares próximos diretamente por Wi-Fi, sem servidor de chamadas. O outro celular vê o endereço de rede local do seu celular, e a rede Wi-Fi pode ver que dois dispositivos estão trocando áudio criptografado, não o que é dito. Conhecer pessoalmente mostra um QR code com suas chaves públicas; qualquer pessoa que veja sua tela pode ler nele o ID da sua conta e seu @usuário. Nada disso é enviado aos nossos servidores.

Atualizações

Você escolhe quem vê cada atualização e quanto tempo ela dura: 24 horas (o padrão), 36 ou no máximo 48 horas.

As atualizações compartilhadas com seus contatos, ou só com alguns deles, têm criptografia de ponta a ponta como as mensagens privadas: cada pessoa recebe a própria cópia criptografada, e nosso relay não consegue lê-las. O app de cada destinatário remove a atualização quando o tempo acaba (versões antigas do app removem após 24 horas). Isso é feito pelos apps, então um app modificado poderia guardar uma cópia. Apagar uma remove do seu celular; as cópias já entregues continuam nos celulares de quem recebeu até o tempo acabar. Cópias não entregues e seus anexos são removidos do relay na entrega ou após 30 dias.

As atualizações compartilhadas com Todos são publicações públicas e não têm criptografia de ponta a ponta: o texto, o estilo, a legenda e as mídias ficam guardados no servidor do Cher Ami que é seu relay de origem, e nosso relay consegue lê-los. Só usuários do Cher Ami conectados podem vê-las, nunca as pessoas que você bloqueou, e elas não ficam na web. Elas duram o tempo que você escolher: 24, 36 ou 48 horas. Quando uma expira (removida em cerca de 10 minutos), quando você a apaga ou quando exclui sua conta, a publicação e as mídias são removidas do servidor. Cópias que alguém já baixou no celular não podem ser recuperadas.

Destaques: você pode adicionar uma atualização ao seu perfil como destaque e escolher quem vê (“Todos com quem eu converso”, “Interesse mútuo ou mais” ou “Só contatos”). Isso não segue o público da atualização original. Desconhecidos e pessoas que você bloqueou nunca veem destaques. Eles ficam guardados no seu celular (até 12) e são compartilhados só dentro do seu perfil com criptografia de ponta a ponta, então nosso servidor não consegue abri-los, mesmo de uma atualização que era pública. Destaques não expiram. Você pode remover um quando quiser, mas quem já viu pode ter guardado uma cópia. O arquivo criptografado antigo no nosso servidor deixa de ser usado e é apagado em até 30 dias.

Os backups diários do nosso servidor ficam guardados por 7 dias. Cópias de segurança ocasionais feitas antes de atualizações do servidor ficam guardadas até que as apaguemos e, até lá, podem incluir atualizações apagadas.

Não guardamos listas de quem viu uma atualização; as marcas de “visto” existem só nos celulares. Respostas a uma atualização são mensagens comuns com criptografia de ponta a ponta. O desfoque de privacidade roda no seu celular e cobre rostos antes de a foto ser criptografada ou publicada; ele pode deixar passar algum rosto, então confira antes de compartilhar.

Informações que nossos serviços de retransmissão guardam

Informações de rede, contatos e localização

O aplicativo de retransmissão de mensagens não grava registros de endereços IP. Os limites de taxa contra abuso usam contadores de curta duração na memória. A infraestrutura e os serviços de chamada precisam processar endereços de rede para conectar dispositivos. Durante uma chamada, o servidor de chamadas e sua retransmissão de chamadas veem seu endereço de rede e a sala da chamada, a menos que Ocultar meu IP esteja ativado; nesse caso, eles veem um endereço Tor. Eles não conseguem descriptografar o áudio ou o vídeo criptografados de ponta a ponta, e a retransmissão de chamadas não guarda registros. Esta política não promete que toda a infraestrutura esteja livre de registros operacionais.

Ocultar meu IP (opcional, desativado por padrão): o app pode rodar o Tor no seu celular e enviar o tráfego da retransmissão, das chamadas, da carteira de teste da Midnight e das prévias de links pela rede Tor pública, para que nossos Pombais e servidores de chamada vejam um endereço Tor em vez do seu. Sua rede pode ver que você usa Tor. Blocos de mapa, consultas de carteira Cardano, links que você abre no navegador e notificações push da Apple não passam pelo Tor. Uma opção “Através de Pombais” (ainda não disponível; ela precisa de um segundo Pombal público) envia o tráfego de mensagens por um segundo Pombal, que vê seu endereço IP, mas apenas dados criptografados. Nesse modo, as chamadas e a carteira de teste da Midnight se conectam diretamente, e nenhuma prévia de link é gerada; só a opção Tor cobre as chamadas. Ocultar meu IP não torna você anônimo.

Anfitriões de IA nas comunidades: as comunidades oficiais têm um anfitrião de IA, sempre identificado como IA. As mensagens publicadas nessas comunidades são lidas pelo anfitrião para que ele possa responder. A IA do anfitrião roda em computação confidencial via Chutes na rede Bittensor, verificada como selada antes de cada uso, ou em um modelo aberto em um Pombal do Cher Ami. Suas conversas privadas e outras comunidades nunca são enviadas a um anfitrião de IA.

Prévias de links (ativadas por padrão; Privacidade e segurança): quando você envia um link com as prévias ativadas, seu celular busca o título e a imagem da página para montar a prévia. Com Ocultar meu IP pelo Tor, isso passa pelo Tor; caso contrário, o site vê a sua conexão. Se Ocultar meu IP estiver ativado, mas não conectado, nenhuma prévia é gerada. As pessoas para quem você envia nunca acessam o site; elas veem apenas o que o seu celular incluiu. Você pode desativar as prévias em Privacidade e segurança.

Se você permitir, o app lê os contatos no seu celular, por exemplo para mostrar nomes nas mensagens de texto. Os contatos nunca são enviados ao servidor, e não há descoberta de contatos no servidor. Os textos de convite são escritos e enviados por você, do seu celular; nunca os enviamos por você. Não enviamos a localização do seu dispositivo. “Perto de mim” e os recursos de mapa funcionam no seu dispositivo. A elegibilidade por área usa uma resposta de sim/não que você seleciona; a área que você escolhe ao publicar uma comunidade no Discover é pública. Não adicionamos publicidade nem análises de terceiros ao app, e não vendemos informações pessoais do app.

Carteira e blockchain

A carteira não é custodial: as chaves privadas ficam no seu dispositivo, e não podemos movimentar seus fundos. A carteira alfa usa apenas redes de teste da Midnight, sem ativos de dinheiro real. A visibilidade das transações depende de o ativo e a transação compatíveis serem protegidos (shielded) ou não protegidos (unshielded) segundo as regras da Midnight. Registros públicos de blockchain não podem ser apagados pela exclusão da conta do app. A exclusão da conta não é uma transferência de ativos da carteira. Se você compartilhar um endereço de carteira, no seu perfil ou quando alguém usar “Pedir o endereço”, as pessoas com quem você compartilha podem ver esse endereço, e pagamentos para um endereço público (não protegido) podem ser vistos por qualquer pessoa na rede de teste.

SMS e MMS comuns

Se você escolher o Cher Ami como app de mensagens de texto padrão no Android, as mensagens SMS/MMS comuns ficam armazenadas no seu celular e são entregues pela sua operadora de telefonia móvel. Elas não são conversas privadas criptografadas de ponta a ponta e não são enviadas à nossa retransmissão de mensagens privadas. Cada mensagem é identificada: “Shield” para uma mensagem do Cher Ami criptografada de ponta a ponta, “SMS” ou “MMS” para uma mensagem da operadora. O app nunca troca uma mensagem Shield por SMS por conta própria.

Programa Founding e prestadores de serviço

Se você vincular uma conta do app a um cadastro no site, a retransmissão solicita ao site seu código de convite, sua posição Founding, o status de confirmação do e-mail e as contagens de indicações confirmadas, para verificar a elegibilidade ao Founding. Seu endereço de e-mail nunca é compartilhado com o app. O tratamento de e-mails do site está descrito abaixo. Nossa infraestrutura de retransmissão e de chamadas processa as informações técnicas necessárias para prestar seus serviços. A Os alertas push são opcionais. No iPhone, quem os entrega é a Apple: nosso relay envia à Apple sempre o mesmo alerta genérico (“Cher Ami”, “Nova mensagem”) com o som de alerta que você escolheu, nunca o remetente, o texto da mensagem nem a conversa, então a Apple pode ver que um alerta foi enviado, quando e o nome do som. No Android, se você escolher um app de UnifiedPush (como o ntfy), nosso relay envia um aviso vazio para o endereço que esse app lhe deu, no máximo uma vez a cada 10 segundos; o serviço push que você escolheu pode ver que um aviso foi enviado e quando. Os serviços do Google não são usados para isso. Depois, seu celular baixa suas mensagens criptografadas e as descriptografa ele mesmo. Se você não configurar push, nada sobre seus alertas é enviado a mais ninguém. As operadoras cuidam de SMS/MMS. A rede Tor transporta seu tráfego apenas quando você ativa Ocultar meu IP. A infraestrutura da Midnight trata as transações de blockchain enviadas de acordo com as regras da rede.

Denúncias

Quando você denuncia alguém, o app envia uma mensagem criptografada de ponta a ponta para a conta oficial @midnightselect com o motivo, o nome de usuário e o ID de conta denunciados, até 10 mensagens que você escolher e a sua observação. A equipe do Cher Ami (o operador e os moderadores que ele designar) lê as denúncias para analisá-las e agir contra abusos. Guardamos uma denúncia até que ela seja resolvida e a excluímos em até 90 dias depois disso, a menos que precisemos dela por mais tempo, por no máximo um ano, para cumprir uma obrigação legal ou impedir abusos repetidos. O bloqueio acontece no seu celular e não é enviado para nós.

Suas escolhas e exclusão

Você pode excluir mensagens, definir temporizadores de mensagens temporárias, bloquear ou denunciar pessoas, sair de comunidades, fazer um backup criptografado das conversas que só você pode abrir com o código dele (nós nunca o recebemos) e solicitar a exclusão da sua conta de conversas privadas. Veja Excluir sua conta do Cher Ami para os passos no app, uma solicitação externa por e-mail e as informações mantidas após a exclusão. Mensagens já entregues nos dispositivos de outras pessoas estão fora do nosso controle. Cancelar a inscrição na newsletter e excluir o cadastro são escolhas separadas.

Segurança e crianças

O código do app é licenciado sob AGPL-3.0. A disponibilidade pública do código-fonte está planejada para o lançamento. Uma auditoria de segurança independente está planejada antes do lançamento público, com os resultados a serem publicados. Nenhum sistema garante segurança ou anonimato absolutos; dispositivos, destinatários, operadoras e infraestrutura ainda podem revelar informações.

Você precisa ter 13 anos ou mais para usar o Cher Ami, e confirma isso marcando uma caixa ao se cadastrar; não pedimos sua data de nascimento. Não permitimos conscientemente contas de crianças menores de 13 anos. Fale conosco se você acredita que uma criança menor de 13 anos forneceu informações pessoais. Adult Community 18+ exige verificação de idade.

Privacidade do site e da newsletter

Informações que você fornece

Coletamos seu endereço de e-mail, o primeiro nome opcional e os interesses opcionais de plataforma (Android, iOS e Web) quando você pede para receber novidades. Registramos a origem do cadastro, o horário do consentimento e a versão do aviso de consentimento. Cada cadastro recebe um código de convite aleatório e, se você entrou pelo link de convite de alguém, registramos o código de convite dessa pessoa para que as indicações possam ser contadas. Não coletamos os nomes nem os dados de contato das pessoas que você convida; os convites são enviados pelo seu próprio app de e-mail ou de mensagens. Se você vincular o app Cher Ami ao seu cadastro com um código de uso único, o site compartilha apenas seu código de convite, sua posição Founding na ordem dos cadastros confirmados, se o seu e-mail está confirmado, suas contagens de indicações confirmadas e o código de convite de quem convidou você. Seu endereço de e-mail nunca é compartilhado com o app. Registros existentes da lista de espera podem conter um e-mail, nome, origem do cadastro e horário de envio.

Como usamos as informações

Usamos as informações de cadastro para gerenciar o interesse na alfa, enviar as novidades que você pede e convidar testadores elegíveis. Os interesses de plataforma nos ajudam a adequar anúncios de plataforma e convites para testes. Novidades gerais de desenvolvimento podem ir para todos os inscritos confirmados. Não vendemos informações de cadastro do site. Cadastros confirmados recebem um link de download para as plataformas abertas a testadores e um código de convite para criar uma conta.

Prestadores de serviço

O site é hospedado na Cloudflare, incluindo um banco de dados para os registros de cadastro. A Resend entrega nossas mensagens de confirmação e novidades; nós mesmos guardamos seus registros de inscrição, cancelamento de inscrição e supressão na Cloudflare. A MailerLite era nosso provedor de e-mail anterior; estamos encerrando essa conta e guardamos apenas os registros de cancelamento de inscrição e de supressão necessários para respeitar suas escolhas. O Proton Mail fornece nossa caixa de correio de contato geral, hello@midnightselect.app, e a caixa de correio para respostas à newsletter, update@midnightselect.app. Esses prestadores processam as informações necessárias para operar seus serviços e podem processá-las fora do seu país.

Busca de GIFs: quando você busca GIFs no app, nosso servidor envia apenas as palavras da sua busca ao GIPHY (Shutterstock) para encontrar GIFs correspondentes. O GIPHY nunca recebe seu endereço IP, sua conta ou seu dispositivo. Os GIFs que você envia viajam como anexos criptografados, como as fotos.

Segurança e informações técnicas

Os provedores de hospedagem podem processar endereços IP e informações de requisição para entrega e segurança. Nossa proteção de cadastro usa hashes com chave, de curta duração, do seu endereço IP e e-mail para limitar abusos; ela não armazena endereços IP brutos no banco de dados de cadastros. Registros de limite de taxa expirados são removidos quando cadastros posteriores são processados.

Análises e cookies

Este site não adiciona rastreadores de publicidade nem análises opcionais do site. Os controles de acesso da hospedagem podem usar cookies essenciais. Se você abrir um link de convite ou se cadastrar, seu navegador guarda o código de convite correspondente no armazenamento local para que uma indicação possa ser creditada; ele não é enviado a lugar nenhum até você enviar o formulário de cadastro. As informações de entrega, devolução e cancelamento de inscrição de e-mails são usadas para operar a lista de e-mails. O rastreamento opcional de aberturas e cliques em e-mails deve permanecer desativado, a menos que atualizemos este aviso e as escolhas correspondentes.

Suas escolhas

Confirme seu e-mail para receber as novidades da newsletter. Você pode cancelar a inscrição usando o link em cada e-mail de marketing. Para solicitar acesso, correção ou exclusão das suas informações de cadastro, escreva para hello@midnightselect.app. Cancelar a inscrição interrompe as mensagens de marketing; informações mínimas de supressão podem permanecer para respeitar essa escolha.

Retenção

Mantemos as informações de cadastro enquanto forem necessárias para o programa de pré-lançamento, para as novidades solicitadas ou para os registros de consentimento e supressão. Você pode nos pedir para excluir informações que não sejam mais necessárias. Revisamos os registros conforme o programa muda. Nenhum serviço de internet pode garantir segurança absoluta.

Alterações e contato

As atualizações deste aviso aparecerão aqui com uma data revisada. Dúvidas podem ser enviadas para hello@midnightselect.app.