Três portas fechadas pela arquitetura.
Este diário toca no que há de mais íntimo. A única proteção que se sustenta é a que não pode ser revogada por uma mudança nos termos: o que não existe não pode ser exigido, vendido, invadido, nem requisitado pela justiça.
Nem nome, nem sobrenome, nem apelido, nem foto, nem contato, nem data de nascimento, nem link para uma rede. Um rótulo livre que você escolhe, e nada mais. É isso que torna o artigo 9 do RGPD sustentável na prática.
Nenhuma busca por pessoa, nenhuma correspondência entre usuários, nenhum sinal de reputação. Exposição de dados pessoais e difamação precisariam de funções que a gente não construiu.
Seu diário só sobe criptografado, sob uma chave que não temos. O serviço conhece o endereço da sua conta, uma impressão derivada da sua senha (nunca a senha), suas sessões sem endereço IP nem navegador, e blocos criptografados dos quais vê a quantidade, a faixa de tamanho e o ritmo de envio. Nossos registros de acesso guardam o endereço IP completo de cada requisição. A lista de espera guarda seu endereço, seu idioma e a data de inscrição; um relato de problema, o que o formulário dele anuncia. Nada do que o seu diário contém.
Como, na prática
O Amure é uma aplicação web, sem loja de apps, sem publicidade e sem nada que te siga. A conta só serve para te reconhecer e guardar seus dados criptografados: um endereço verificado e uma senha, nunca o conteúdo do seu diário.
- Criptografado de ponta a ponta
- Seu diário fica on-line para que você o encontre em qualquer aparelho, e nunca é legível lá. Tudo é lacrado no seu aparelho antes de sair dele. Ninguém além de você consegue abri-lo - nem nós, nem a nossa hospedagem, nem quem nos pedir.
- Uma senha, dois caminhos
- Sua senha passa pelo Argon2id no seu aparelho e depois se divide em duas chaves, nenhuma das quais revela a outra. A primeira vai ao servidor para te reconhecer e não abre nada; a segunda nunca sai do seu aparelho e abre a chave dos seus dados.
- Uma chave de recuperação
- Mostrada uma vez, na criação da conta, e nunca armazenada: guardamos só uma impressão dela. Ela reabre seu diário se você esquecer a senha, e você pode gerar uma nova, que anula a anterior. Sem a senha e sem a chave de recuperação, ninguém consegue devolver seus dados: um serviço capaz disso seria um serviço capaz de lê-los.
- Nenhum modelo de linguagem
- Nada do que você escreve é enviado a uma IA, nem para extrair campos, nem para reformular. As frases na tela vêm de modelos determinísticos.
- O servidor guarda blocos lacrados
- Cada dado sai como um bloco criptografado, completado até uma faixa de tamanho. A gente vê quantos são, a faixa deles e o ritmo de envio; nunca o tipo, o conteúdo ou o tamanho exato.
- Medição de audiência anônima, que você pode desligar
- A aplicação conta, com o Plausible hospedado por nós e acessado pelo nosso próprio servidor, os nomes das telas abertas e algumas etapas do percurso. Nada mais: nem o que você escreve, nem datas, nem quantidade de dados, nem identificador de conta ou de aparelho, nem cookie, nem página de origem: nosso servidor repassa o evento sem eles. O Plausible deduz dali o país e o tipo de aparelho, e depois esquece seu endereço IP. Ela vem ligada por padrão; um toque nas configurações a desliga, e nada mais sai. Antes de você entrar na conta, nada sai também. Se o seu navegador pede para não ser rastreado (Do Not Track, Global Privacy Control), nada sai nunca.
O que este site mede
Este site conta as visitas com o Plausible, uma ferramenta de medição de audiência de código aberto que nós mesmos hospedamos. Nenhum cookie, nenhum identificador que te siga de um dia para o outro ou de um site para outro, e nunca o que você digita num formulário: só o endereço da página é enviado. Um único cookie, estritamente funcional: lang, gravado só quando você escolhe um idioma, que guarda apenas essa escolha e que nenhuma medição lê. O app tem a sua própria medição, mais restrita, que você pode desligar, descrita acima.
- O que é contado
- A página vista e a página de onde você veio, o tempo passado e até onde você rolou a página, os parâmetros de campanha (utm) do link que você seguiu e o idioma do site.
- O que é recebido e deduzido
- O Plausible recebe o endereço da página, a página anterior (referência), a largura da tela, da qual deduz o tipo de aparelho, e o agente do navegador, do qual deduz navegador e sistema. Do endereço IP, que ele não guarda, deduz país, região e cidade. São totais, nunca um registro por visitante.
- O que nunca é guardado
- Nem seu endereço IP, nem seu endereço de e-mail, nem cookie: o único que este site grava, o do idioma, é retirado pelo nosso servidor antes do repasse. Para contar uma visita uma só vez, o Plausible deriva do IP e do agente do navegador um hash com sal que muda todo dia, e depois esquece os dois.
- Para onde vai
- Para nós: os eventos são enviados a este site, cujo servidor os repassa à nossa própria instância do Plausible, que nós mantemos. Ele transmite seu endereço IP, do qual a instância deduz o país e uma contagem diária anônima, sem guardá-lo. Nada é vendido nem compartilhado, e o script é servido por este site, sem terceiros.