Política de Privacidade

1. A versão curta

O app Capy não tem contas, anúncios, analytics nem rastreamento, e não tem nenhum servidor que consiga ler as suas salas. Suas mensagens, chamadas, arquivos, transcrições e atas ficam nos aparelhos das pessoas de cada sala e trafegam entre elas, cifradas, direto sempre que os aparelhos se alcançam. Dois ajudantes mantidos pela equipe, um blind peer e um blind relay, só lidam com dados cifrados que não conseguem ler (seções 5 e 6). O app só conversa com outros peers, com uma exceção que você controla: para mostrar a prévia de um link que você digita, o seu aparelho busca aquela página (seção 5). Um link que você clica numa mensagem abre no seu próprio navegador, não no Capy. Nós, a equipe que publica o Capy ("Capy", "nós"), não recebemos o seu conteúdo. Além do que o blind peer e o relay veem (seções 5 e 6), a única coisa que o app nos envia é um feedback ou relatório de bug que você decida enviar.

Esta política vale para o app Capy e para este site. O site é o único lugar onde as visitas podem ser contadas, com o Google Analytics e só se você aceitar (seção 10).

2. O que não recolhemos

Nós não recolhemos nem temos acesso a:

• suas 24 palavras de recuperação ou suas chaves;
• suas mensagens, chamadas, voz, vídeo, telas compartilhadas, arquivos, fotos, gravações, transcrições, legendas, atas, tarefas ou canvases;
• suas salas, os membros delas, seus contatos ou com quem você conversa;
• analytics de uso ou telemetria do app, identificadores de publicidade, nem relatórios de erro que você não enviou.

3. O que fica no seu aparelho

O Capy guarda os dados numa pasta própria no seu computador:

• Sua identidade: as 24 palavras, num arquivo que só o seu usuário do computador consegue ler. Sair da conta faz o aparelho esquecê-las.
• Suas salas: mensagens, arquivos, perfis, confirmações de leitura, reuniões, tarefas, canvases, transcrições, atas e métricas, conforme os membros compartilham.
• Chaves das mensagens: cada mensagem é selada com uma chave própria, guardada separada da sala para que apagar possa destruí-la.
• Aparelhos que você encontrou: as chaves dos aparelhos das pessoas das suas salas com que este aparelho se conectou recentemente (até 8 por sala e 32 no total, nenhum sem ser visto há mais de 14 dias), para o Capy se reconectar a eles direto. Salas seguras nunca entram nela, e a lista não é enviada a lugar nenhum.
• Dados de IA no aparelho: os modelos de fala e de linguagem, o índice de busca das transcrições e atas das suas salas, e as atas, os capítulos da transcrição e as sugestões que o seu computador prepara depois das chamadas em que você esteve.
• Diagnósticos: os erros recentes desta versão do Capy, que começam do zero depois de uma atualização, e, durante uma chamada e por 10 minutos depois dela, um registro segundo a segundo de como a conexão foi, guardado só na memória. Eles só saem do aparelho num relatório que você envia (seção 9).
• Ajustes: tema, idioma, notificações, aparelhos de áudio e vídeo, opções de privacidade.

Sair da conta mantém as suas salas no aparelho para quando você entrar de novo com as mesmas palavras. Para apagar a cópia deste computador, use Sair e apagar, no fim de Ajustes → Privacidade e segurança: o Capy destrói o que abre a sua conta aqui e depois remove todas as salas, mensagens e arquivos que guardou da conta neste computador, as salas seguras dela e as suas 24 palavras. As suas salas continuam com as outras pessoas delas e nos seus outros aparelhos. Isso não alcança cópias que você salvou fora do Capy, nem o que o disco guarda de arquivos removidos até reutilizar o espaço (a criptografia de disco inteiro cobre isso). Uma sala segura guarda a chave, o par de chaves da sua rede e o que precisa para abrir de novo num único arquivo (legível só pelo seu usuário do computador), na pasta própria da sala neste aparelho, até a sala ser apagada: quando a chamada termina, um dia depois de criada se nenhuma chamada a encerrou, quando o dono a apaga ou quando você sai da conta. Aí a pasta é limpa e removida.

4. O que as pessoas das suas salas recebem

Todos numa sala recebem o que é compartilhado nela e guardam uma cópia no aparelho:

• seu perfil: nome, cor, foto opcional e status;
• suas mensagens, reações, arquivos, mensagens de voz e de vídeo, e o que você diz nas chamadas (como áudio, e como a transcrição que o seu próprio computador faz, se a transcrição estiver ligada);
• se você está online e digitando, e as confirmações de leitura. Você pode desligar isso em Ajustes → Privacidade e segurança.

Membros de uma sala podem salvar, copiar, tirar print ou gravar o que recebem. Escolha bem quem você convida.

5. A rede peer-to-peer

O Capy encontra os aparelhos de outras pessoas por uma tabela hash distribuída pública (HyperDHT) e se conecta direto a eles, com criptografia de ponta a ponta.

• Os aparelhos com quem você se conecta, e os nós da rede que ajudam a fazer a conexão, podem ver o seu endereço IP.
• Quando dois aparelhos não conseguem se conectar direto, um blind relay mantido por nós repassa o tráfego deles. O tráfego é cifrado de ponta a ponta, então o relay não consegue lê-lo. Ele pode ver o endereço IP dos aparelhos que o usam, quanto dado passa e quando. Arquivos grandes (acima de 25 MB, ou acima de 100 MB quando enviados do Capy 1.0.9 ou anterior) e os arquivos da aba Arquivos de uma sala nunca passam por ele.
• Para achar uma sala, o seu aparelho anuncia um código curto derivado da chave da sala. Ele não revela o nome nem o conteúdo da sala. Salas seguras não anunciam nada.
• Prévias de links. Quando você digita um link com as prévias de links ligadas (Ajustes → Privacidade e segurança), o seu aparelho busca aquela página e a imagem dela uma vez para montar a prévia, antes de você enviar, e por isso esse site vê o seu endereço IP, como em qualquer visita, e que a visita vem do Capy. A prévia viaja dentro da sua mensagem: as outras pessoas da sala não buscam a página. Salas seguras nunca fazem prévias.
• Links que você clica. Um link numa mensagem só abre no seu navegador quando você clica nele. O navegador então visita aquele site como faria a partir de qualquer outro app, com o seu endereço IP e o que o navegador envia; o Capy não acrescenta nada sobre você ou a sala. Numa sala segura os links não abrem.

6. O blind peer

Para que as salas possam sincronizar mesmo com os membros offline, o Capy copia cada sala para um blind peer: um peer mantido por nós e definido na configuração do próprio app. Ele guarda só dados cifrados: não consegue ler mensagens, arquivos ou nomes. Ele pode ver o endereço IP dos aparelhos que se conectam a ele, quanto guarda e quando. Salas seguras nunca são copiadas para ele, nem os arquivos da aba Arquivos de uma sala ou arquivos acima de 25 MB (acima de 100 MB quando enviados do Capy 1.0.9 ou anterior): esses só andam direto entre os aparelhos dos membros.

7. IA no aparelho

Transcrição, legendas, tradução, atas, tarefas e respostas são produzidas por modelos de IA que rodam no seu computador. Sua voz e o texto das suas salas não saem do aparelho para isso. Os modelos são baixados uma vez do registro de modelos do QVAC pela mesma rede peer-to-peer, então os peers que os servem podem ver o seu endereço IP e quais modelos você baixou.

8. Atualizações

O Capy procura e baixa versões novas pela rede peer-to-peer, a partir de peers que as distribuem. Esses peers podem ver o seu endereço IP e qual versão você baixa.

9. Feedback e relatórios de bug

Só quando você envia, um relatório chega até nós, por Ajustes → Ajuda e feedback. Antes de enviar, o app mostra exatamente o que vai:

• o que você escreveu;
• num bug ou erro, se você quiser: uma captura da janela do Capy, e diagnósticos: versões do app e do sistema, algumas configurações, um resumo de como o seu aparelho se conecta (o tipo de rede, e quantas conexões funcionaram, passaram pelo relay ou falharam, sem endereços), numa chamada que foi mal um registro segundo a segundo de até os últimos 15 minutos dela (direta ou pelo relay, tempo de ida e volta, perda, jitter, taxa de envio, quão ocupado o app estava e quais tarefas de IA estavam rodando), e os erros recentes, cada um com a versão do Capy em que aconteceu.

Antes de o relatório ser selado, o Capy tira dele inteiro as suas palavras, chaves, convites, links e caminhos de arquivo, e dos diagnósticos também os nomes das pessoas e salas que ele conhece (nomes que você mesmo escreve ficam, já que você os escreveu para nós). Depois ele é cifrado para que só a nossa caixa de entrada consiga abri-lo, e enviado direto a ela pela rede peer-to-peer. Nada é capturado nem enviado enquanto uma sala segura está aberta. Usamos os relatórios só para entender e corrigir problemas, e os guardamos só pelo tempo necessário para isso.

10. Este site

A Ciranda, que publica o Capy, mantém este site. Ao contrário do app, o site pode contar as visitas, e só se você concordar.

• Google Analytics, só se você aceitar. Até você escolher Aceitar no banner de cookies, nenhum script do Google é carregado e nada é recolhido. Se você aceitar, o Google Analytics, carregado pelo Google Tag Manager, recolhe as páginas que você vê e quando, a sua localização aproximada calculada a partir do seu endereço IP, o seu aparelho, sistema operacional e navegador, a página que trouxe você até aqui (o referenciador) e as tags de campanha do link que você seguiu (tags UTM). Ele grava os cookies _ga e _ga_<id>, que duram até 2 anos.
• Cliques, contados do mesmo jeito. Com o seu consentimento, o site também conta alguns cliques e visualizações: um download (qual sistema, tipo de processador, tipo de arquivo e versão), uma visita à página de downloads, os botões e links seguidos, as trocas de idioma e de tema, as perguntas abertas e as seções de Como o Capy funciona que foram lidas. Cada um leva só rótulos curtos como esses e o idioma da página: nada que você digitou e nada que diga quem você é. Sem consentimento, nenhum deles é registrado ou enviado.
• Quem recebe. O Google recebe esses dados como nosso fornecedor de analytics e pode tratá-los fora do seu país, inclusive nos Estados Unidos.
• Base legal e retirada. A base legal é o seu consentimento. Você pode retirá-lo quando quiser em Configurar cookies, no rodapé de todas as páginas: aí deixamos de carregar o Google Analytics e apagamos os cookies _ga que conseguirmos. Os recursos de publicidade do Google ficam desligados: o site não tem anúncios.
• Por quanto tempo. O Google Analytics guarda esses dados pelo período de retenção definido nas configurações do Google Analytics do site, e depois o Google os apaga.
• Guardado no seu navegador. A sua escolha de consentimento (por 6 meses) e, se você escolher um, o seu tema ficam no armazenamento local do seu navegador. Não são cookies e nunca são enviados para nós. A Política de Cookies tem os detalhes.
• Registros de hospedagem. Os servidores que hospedam este site podem manter registros de acesso comuns, como endereço IP, navegador e páginas pedidas, por segurança e estabilidade.

O app Capy não usa nada disso: ele não tem analytics e não grava cookies, e a única página da web que busca é a de um link que você digita, para a prévia.

11. Crianças

O Capy não é para menores de 16 anos, ou da idade de consentimento digital do país, se for maior. Não recebemos dados de crianças de propósito.

12. Seus direitos

Leis de proteção de dados como a LGPD no Brasil e a GDPR na Europa dão a você o direito de acessar, corrigir, apagar e levar os seus dados pessoais, e de se opor ao tratamento deles. Como o seu conteúdo fica nos seus aparelhos e não conosco, a maioria desses direitos você exerce direto no app: edite o seu perfil, apague as suas mensagens, remova aparelhos, saia da conta ou apague a cópia de um computador com Sair e apagar. Sobre relatórios que você nos enviou, você pode escrever para nós para exercer esses direitos. Você também pode reclamar à autoridade de proteção de dados do seu país (no Brasil, a ANPD).

13. Segurança

O Capy cifra as conexões de ponta a ponta, assina cada registro com a identidade de quem o escreveu e o confere em cada aparelho, sela cada mensagem com uma chave própria e impede que as suas janelas façam requisições à web. Nenhum sistema é perfeitamente seguro: mantenha os seus aparelhos atualizados e bloqueados, e as suas 24 palavras em segredo.

14. Mudanças

Podemos atualizar esta política. A data no topo mostra quando ela mudou pela última vez.