Centro de Transparência

Cinco coisas que você pode verificar em 60 segundos

• Zero dados no meu servidor. Ponto. (Veja 'Subprocessadores' — só a Apple toca em texto cifrado, e apenas porque você optou pela sincronização via iCloud.)
• Zero analytics, zero SDK de publicidade, zero serviço de relatório de erros. (Veja a lista completa de Subprocessadores abaixo.)
• Registro público de incidentes de segurança. Atualmente vazio. (Veja 'Incidentes' abaixo.)
• Roadmap com datas. Núcleo criptográfico open source + auditoria independente estão comprometidos para 2026. (Veja 'Roadmap' abaixo.)
• Caminho de verificação independente. White paper + GitHub + e-mail do auditor — qualquer afirmação pode ser confrontada com a fonte. (Veja 'Verificar' abaixo.)

Operadores de dados (lista completa)

Abaixo está a lista completa de cada entidade que processa seus dados em meu nome. Esta lista é intencionalmente curta.

• Apple Inc.: Cupertino, Califórnia, EUA. Função: operadora de dados pra sincronização das Chaves da Apple, sincronização do CloudKit Private Database e processamento de assinaturas via StoreKit. Dados tratados: apenas texto cifrado AES-256-GCM (a Apple não consegue descriptografar). Contato de privacidade: [email protected] / apple.com/privacy. Mecanismo legal pra transferências UE/Reino Unido: EU-US DPF + SCCs Módulo 2.
• Have I Been Pwned (haveibeenpwned.com): Operado por Troy Hunt. Função: detecção opcional de vazamentos (só se o usuário ativar). Dados enviados: 5 primeiros caracteres de um hash SHA-1 de uma senha (k-anonymity). A senha real nunca sai do dispositivo. Nenhum identificador pessoal é enviado.
• (É só isso.): Não existe provedor de analytics, rede de publicidade, serviço de relatório de erros, automação de marketing, serviço de e-mail, widget de chat ou SDK de terceiros. Se algum novo suboperador for adicionado, esta página será atualizada e mudanças materiais vão disparar um aviso dentro do app.

Registro de incidentes de segurança

Por arquitetura, eu não tenho acesso em texto puro aos dados do seu cofre — o que limita materialmente o escopo de qualquer violação plausível à minha própria infraestrutura (por exemplo, comprometimento de um banco de marketing). Se ocorrer uma violação de dados pessoais, eu me comprometo a: (1) notificar a autoridade supervisora competente em até 72 horas após tomar conhecimento (GDPR Art. 33 / PIPL Art. 57); (2) notificar os usuários afetados sem demora indevida (LGPD Art. 48 / GDPR Art. 34 / CCPA § 1798.82); (3) publicar um aviso público aqui.

Status atual: 0 incidentes: Nenhum incidente de segurança a relatar no momento. Esta página é atualizada sempre que o status muda; incidentes anteriores (se houver) permanecem visíveis por transparência.

Roadmap público

Confiança exige datas concretas, não promessas vagas. Abaixo está o que eu me comprometi a entregar.

• Abrir o código do núcleo criptográfico (Q3 2026): O código de derivação de chave Argon2id, hierarquia de chaves HKDF e criptografia de campo AES-256-GCM será publicado no GitHub sob licença MIT. A interface / lógica de negócio não criptográfica continua fechada por enquanto. Siga @ByteGuardApp no GitHub pra ser avisado.
• Auditoria de segurança independente por terceiros (Q4 2026): Mirando uma das seguintes: Trail of Bits, Cure53 ou Doyensec. Escopo: núcleo criptográfico + integração com as Chaves da Apple + sincronização via iCloud + extensão de AutoFill. O relatório final será publicado na íntegra em /security/audit-2026.
• Programa de Bug Bounty (após a auditoria): Assim que a auditoria for concluída, um programa de bug bounty será lançado no HackerOne ou Intigriti. Escopo inicial: fluxos de criptografia / autenticação. Recompensa mínima: $100 USD.
• Página de autoavaliação SOC 2 Tipo II: Embora eu não tenha uma auditoria SOC 2 formal (operador de pequena escala), vou publicar uma página de autoavaliação alinhada ao SOC 2, mapeando os cinco princípios de confiança (Segurança, Disponibilidade, Integridade do Processamento, Confidencialidade, Privacidade) à implementação real.

Como verificar qualquer afirmação de forma independente

Confie menos em mim, verifique mais. Toda afirmação arquitetural neste site pode ser confrontada com:

• O Whitepaper de Segurança em /whitepaper — cada decisão criptográfica documentada em forma de spec formal, com parâmetros, modelo de ameaça e referências.
• O repositório no GitHub (após Q3 2026) — leia os parâmetros do Argon2id, o tratamento do IV no AES-256-GCM, a fonte de entropia BIP39. Confira se a spec bate com o código.
• O diagrama de derivação de chave em /security — fluxo real dentro do app, não um diagrama de marketing. Compare com o whitepaper.
• Mande um e-mail com uma pergunta específica e a linha do código que você não conseguiu entender: [email protected]. Respondo em até 7 dias. (Se eu não responder, isso por si só já é um sinal.)
• Após o Q4 2026: leia o relatório da auditoria de terceiros em /security/audit-2026.

Canais de contato

Assuntos diferentes chegam até mim por endereços diferentes. Eu busco responder dentro dos SLAs informados.

• Privacidade geral / pedidos de titular de dados: [email protected] · SLA de 30 dias (GDPR Art. 12(3)) · 15 dias úteis (PIPL Art. 50) · 45 dias (CCPA / CPRA, prorrogável) · 15 dias (LGPD Art. 19).
• Reportes de vulnerabilidade de segurança: [email protected] (assunto: [SECURITY]) · confirmado em até 48 horas · divulgação responsável é preferida. Após o Q4 2026, um canal HackerOne / Intigriti vai substituir este.
• Pedidos B2B / DPA (Acordo de Tratamento de Dados): [email protected] (assunto: [DPA REQUEST]) · não tenho um modelo de DPA pré-assinado (escala pequena, sem clientes corporativos ainda); por enquanto, os requisitos do GDPR Art. 28(3) são atendidos pela Política de Privacidade publicada + esta página de Transparência. Negociação de DPA personalizado é possível pra pilotos corporativos com compromisso firmado.
• Imprensa / consultas de mídia: [email protected] (assunto: [PRESS]) · só informações públicas — sem comentários sobre usuários ou contas individuais sob nenhuma circunstância.
• Reclamações em autoridades supervisoras: Brasil: Autoridade Nacional de Proteção de Dados (ANPD). UE/Reino Unido: sua DPA nacional (ICO, CNIL, BfDI, IDPC etc.). China continental: Cyberspace Administration of China (CAC) ou autoridade cibernética local. Califórnia: Procurador-Geral da Califórnia. Vou cooperar com qualquer investigação legal.