Esta é uma tradução de cortesia. As versões em inglês e em francês são as que valem. English · Français

O que o servidor vê, e por quanto tempo

Versão 2.1 · Última atualização em 25 de setembro de 2026

Este aviso é curto porque há pouco a descrever, e específico porque um aviso de privacidade vago não vale nada. Tudo o que está abaixo pode ser conferido no código-fonte e na aba de rede do seu próprio navegador.

1. Quem é o responsável

O controlador do tratamento descrito aqui é [OPERATOR LEGAL NAME], [REGISTERED ADDRESS], que pode ser contatado em [PRIVACY CONTACT EMAIL]. [DATA PROTECTION OFFICER]. [EU UK REPRESENTATIVE].

Nos termos da Loi sur la protection des renseignements personnels dans le secteur privé (Lei de Quebec sobre a proteção de informações pessoais no setor privado), a pessoa responsável pela proteção das informações pessoais é [PRIVACY OFFICER NAME AND TITLE], que pode ser contatada no mesmo endereço. Quando essa pessoa não for designada por escrito, a função cabe por lei à pessoa com a maior autoridade na empresa.

Este aviso abrange o serviço de sinalização em [SERVICE URL]. Ele não abrange o que os outros participantes fazem com o que você lhes envia, o que é assunto entre você e eles.

2. Por que há tão pouco a descrever

A única função do servidor é apresentar dois navegadores e depois sair do caminho. Ele repassa blocos opacos de dados de conexão entre sockets na mesma sala; assim que os navegadores têm um canal direto e criptografado, tudo trafega entre eles e nunca por ele. Não há banco de dados, nem armazenamento de objetos, nem fila de mensagens: todo o estado vive na memória de um único processo e se perde quando esse processo reinicia.

É por isso que as listas abaixo são curtas. Isso é uma propriedade do projeto, e não uma promessa sobre as nossas intenções, e você não precisa acreditar na nossa palavra em nenhum dos dois casos — o código-fonte está disponível e o tráfego de rede pode ser inspecionado nas ferramentas de desenvolvedor do seu próprio navegador.

3. O que o servidor trata

Nada nesta tabela é gravado em disco, exceto os contadores diários da última linha, que dizem o quanto a máquina esteve ocupada e nunca quem a ocupou. Não há estatísticas de uso, nem telemetria, nem serviço de relatório de erros, nem publicidade, nem fingerprinting. [ACCESS LOGGING]

4. O que o servidor nunca recebe

• Bytes de arquivos, nomes de arquivos, estruturas de pastas e tamanhos de arquivos;
• mensagens de chat;
• traços do quadro e anotações de tela;
• áudio de voz e vídeo de telas compartilhadas;
• apelidos — eles viajam dentro do canal criptografado entre navegadores;
• senhas de sala;
• segredos dos links de convite;
• as palavras de segurança que duas pessoas comparam para se verificarem.

5. O link de convite

Um link de convite tem esta forma: https://example/#12345-SECRET. Tudo o que vem depois do # é um fragmento de URL, e os fragmentos são resolvidos inteiramente dentro do navegador: eles não aparecem na linha de requisição, e a Referrer-Policy está configurada para que também não apareçam num cabeçalho Referer. O segredo que vai ali é o que permite que dois participantes se verifiquem automaticamente, e é algo que o servidor nunca viu.

O aplicativo remove o fragmento da barra de endereço assim que você entra na sala, para que ele não fique à vista durante um compartilhamento de tela, e guarda o segredo na memória. Onde quer que você cole esse link, é claro, o segredo vai junto.

6. O que fica guardado no seu navegador

6.1 Cookies: nenhum. O aplicativo não define cookies, e a biblioteca de sinalização está configurada para não definir. Não há aviso de consentimento porque não há nada a consentir.

6.2 Armazenamento de sessão. Uma chave, gd-agreed, que guarda a versão dos Termos que você aceitou. Ela desaparece com a aba. Nunca é enviada ao servidor.

6.3 Armazenamento local: nenhum. De propósito. A sua escolha de tema fica apenas na memória, porque uma preferência lembrada já é, por si só, um registro de que este navegador abriu o Obleevo.

6.4 Cache do service worker. Os arquivos estáticos do próprio aplicativo — HTML, folha de estilos, scripts, fontes — ficam em cache para que ele funcione offline. Nenhum conteúdo de usuário é colocado em cache. Queimar uma sala limpa esse cache e cancela o registro do worker.

6.5 Retomar uma transferência, se você pedir. Um download grande normalmente sobrevive a uma falha de rede, mas não ao fechamento da aba, porque o registro de quais blocos chegaram fica na memória. Se você marcar retomar mesmo se a aba fechar ao aceitar um arquivo, esse registro é gravado num banco de dados IndexedDB chamado ghostdrop-resume no seu navegador. Ele guarda o nome e o tamanho do arquivo, quais blocos foram verificados, os hashes necessários para verificar o restante e o identificador que o seu navegador deu ao aplicativo quando você escolheu onde salvar. Ele não guarda o conteúdo do arquivo — esse já está no arquivo que você escolheu. Nunca é enviado ao servidor nem a qualquer outro participante. É apagado quando a transferência termina, quando você a cancela, quando você sai da sala ou a queima e, em qualquer caso, depois de sete dias. Sair da sala apaga o banco de dados inteiro, em vez de apenas esvaziá-lo, para que o nome deixe de aparecer na lista de armazenamento do seu próprio navegador. Esta é a única coisa que o Obleevo grava no seu disco, e ela fica desligada a menos que você peça, transferência por transferência.

6.6 Arquivos que você salva. Um arquivo recebido é gravado onde você disse ao navegador para colocá-lo. A partir desse momento ele é seu, e nada no aplicativo consegue alcançá-lo de novo.

7. O que é entregue ao seu sistema operacional

As notificações ficam desligadas até você ativá-las, e a permissão só é pedida quando você faz isso. O que elas dizem vem de uma lista fixa de seis frases, escolhida conforme o evento que ocorreu — um arquivo está esperando, alguém quer entrar, e assim por diante. Elas nunca contêm um nome de arquivo, um apelido, uma mensagem, um código de sala ou qualquer outro conteúdo, porque o aplicativo escolhe um item da lista em vez de compor um texto. Isso importa: uma notificação é gravada numa central de notificações por um software que este aplicativo não controla, então tudo o que uma notificação dissesse teria saído da sala. Elas só aparecem enquanto a aba está em segundo plano, e você pode desligá-las de novo a qualquer momento.

A tela é mantida ligada enquanto uma transferência, uma chamada ou um compartilhamento de tela está em andamento, e liberada assim que nada está acontecendo. Isso não envia dados a lugar nenhum; apenas pede ao seu navegador que não deixe o dispositivo entrar em repouso.

O botão de compartilhar entrega o link de convite ao menu de compartilhamento do seu sistema operacional, e depois ao aplicativo que você escolher nele. Esse link contém o segredo que dá acesso à sala, então trate o compartilhamento exatamente como trataria o envio por qualquer outro meio: quem o receber pode entrar, e o aplicativo pelo qual você compartilhar terá uma cópia. Nada mais é passado ao menu de compartilhamento — nenhum arquivo, nenhuma mensagem, nenhum contato é lido.

O ditado fica desligado a menos que você o permita. Transformar fala em texto é feito pelo serviço de voz do próprio navegador, e não pelo Obleevo. Quando o navegador consegue fazer isso no dispositivo, ele faz, e nada sai. Quando não consegue, o som da sua voz é enviado ao fabricante do navegador — Google no Chrome, Microsoft no Edge, Apple no Safari — nos termos deles, e o aplicativo avisa você e pergunta antes da primeira vez. As mensagens de voz são diferentes: são gravadas no seu navegador e enviadas à sala pelo mesmo canal ponto a ponto criptografado que uma mensagem de chat, e nunca passam pelo servidor nem por mais ninguém.

O título da aba do navegador mostra a quantidade de mensagens que você ainda não viu e, durante uma transferência, uma porcentagem. Ele nunca mostra um nome nem qualquer conteúdo, e é limpo quando você volta à aba.

8. Bases legais e consentimento

Quando se aplica o Regulamento Geral sobre a Proteção de Dados (RGPD) do Reino Unido ou da UE, nos baseamos em:

• Artigo 6(1)(b), execução de um contrato — para os dados de conexão necessários para colocar você numa sala em que pediu para entrar;
• Artigo 6(1)(f), interesses legítimos — para os desafios de prova de trabalho e os limites de ritmo que mantêm o serviço utilizável e resistente a abusos. A nossa avaliação é que isso é minimamente intrusivo: todo o sentido do projeto é limitar o ritmo sem identificar ninguém, o que é menos intrusivo que a limitação baseada em IP que ele substitui;
• Artigo 6(1)(c), obrigação legal — quando formos obrigados a reter ou divulgar algo, o que, dado o que guardamos, seria muito pouco.

Quebec. Nos termos da Loi sur la protection des renseignements personnels dans le secteur privé (Lei sobre a proteção de informações pessoais no setor privado), coletamos apenas as informações necessárias para prestar o serviço que você pediu, e as coletamos diretamente de você. As finalidades são as descritas na seção 3, e nenhuma outra. Nenhuma tecnologia de identificação, localização ou criação de perfil é usada; se fosse, a seção 8.1 da Lei nos obrigaria a informar você e a lhe dar os meios de desativá-la, e não há nada aqui para desativar. As configurações de privacidade estão no nível mais alto por padrão porque não há configurações para baixar.

9. Retenção

Os prazos de retenção estão na tabela da seção 3. A regra geral é que o estado de uma sala é destruído quando a sala é destruída — quando o anfitrião a queima, quando ela atinge o limite de tempo, no momento em que o último participante sai, ou quando o processo reinicia. Não há backup, porque não há nada de que fazer backup.

Queimar uma sala também instrui o navegador de cada participante a limpar o armazenamento, os caches e o service worker da origem, para que o aplicativo também não deixe nada para trás na máquina deles. Arquivos já salvos no disco deles são deles e não são tocados.

No seu próprio dispositivo. Uma nota de retomada que você tenha pedido (seção 6.5) é mantida até a transferência terminar, até você cancelá-la, até você sair da sala ou queimá-la, ou por sete dias, o que acontecer primeiro. Nada mais é guardado em lugar nenhum.

10. Destinatários e operadores

9.1 Hospedagem. [HOSTING PROVIDER, LOCATION] opera a máquina em que o processo de sinalização roda e pode, portanto, observar metadados de conexão no nível da rede. Ele atua como operador (processador de dados) nos termos de [DATA PROCESSING AGREEMENT].

9.2 STUN. Os navegadores contatam um servidor STUN para saber o próprio endereço público. [STUN PROVIDER], portanto, vê o seu endereço IP. Se isso importa para você, rode o seu próprio — é uma alteração de uma linha na configuração.

9.3 Relay TURN. [TURN OPERATOR]. Quando Esconder meu IP está ativado, a sua mídia criptografada passa por esse relay, que vê o seu endereço IP e o dos outros participantes, mas não consegue descriptografar nada. As credenciais do relay identificam este serviço perante o relay, e não você. Elas não são individuais: todos que pedem no mesmo momento recebem a mesma, e com o relay da Cloudflare uma única credencial, válida por 12 horas por padrão, é entregue a todos os visitantes até ser renovada, por menos tempo quando a cota mensal do relay está acabando. O segredo de longo prazo ou o token de API do relay nunca sai do servidor. O relay tem uma cota mensal: o servidor lê da Cloudflare apenas o número total de bytes que o relay transportou por dia — nada sobre quem — e, quando a cota se esgota, ou não pode ser lida, ele deixa de entregar credenciais para esse relay e cancela as que já foram entregues. Quando há um relay reserva configurado — operado pela The House of Brendrof num servidor alugado da OVHcloud em Beauharnois, Quebec —, ele assume nesse momento; ele vê as mesmas coisas, o seu endereço IP e o dos outros participantes, mas nunca o conteúdo, e o software dele está configurado para não guardar registros. Sem reserva, ou com ela também indisponível, as conexões ficam diretas até a cota ser liberada; Esconder meu IP então informa que está pausado, em vez de conectar você sem ele.

9.4 Mais ninguém. Nenhum provedor de estatísticas, nenhuma rede de publicidade, nenhuma CDN, nenhum serviço de fontes, nenhum rastreador de erros. A Content-Security-Policy do aplicativo proíbe carregar qualquer coisa de uma origem externa, o que é uma garantia técnica disso, e não apenas uma promessa.

9.5 Autoridades. Responderemos a uma ordem judicial válida. O que poderia ser fornecido se limita ao que existe naquele momento: se um determinado código de sala está ativo, e os sockets conectados a ele naquele instante. Não podemos fornecer conteúdo, histórico ou qualquer coisa sobre uma sala que já foi fechada, porque nada disso existe.

11. Transferências internacionais

O serviço de sinalização está hospedado em [COUNTRY/REGION]. Quando dados de conexão saem do Reino Unido ou do EEE, a transferência se baseia em [TRANSFER MECHANISM]. O seu conteúdo não passa pela nossa infraestrutura; ele vai para onde os dois navegadores estiverem, o que é assunto entre os participantes.

Quando informações pessoais são comunicadas para fora de Quebec, a seção 17 da Lei de Quebec exige antes uma avaliação de impacto sobre a privacidade. Uma foi realizada para a hospedagem descrita na seção 9.1, e a conclusão é que as informações em jogo — um endereço IP mantido enquanto um socket existe e um código de sala — estão adequadamente protegidas na jurisdição de destino. Ela está disponível mediante solicitação.

12. O seu microfone e os seus alto-falantes

O seu microfone só é aberto quando você aperta o botão de chamada, e nunca em resposta a algo que outro participante envie. Sair da chamada interrompe as faixas do microfone, e é isso que apaga o indicador de gravação do seu navegador. Silenciar interrompe o envio do áudio, mas mantém a chamada aberta; é sair que libera o dispositivo.

O áudio dos outros participantes não é reproduzido até você entrar na chamada. Qualquer pessoa conectada a você pode começar a enviar áudio a qualquer momento — isso é uma propriedade da conexão ponto a ponto, e não uma escolha deste aplicativo —, então o áudio não solicitado fica retido em vez de ser reproduzido, e a tela da chamada informa quantas pessoas estão falando. Ele começa a tocar quando você entra, e para quando você sai.

Arquivos nunca são gravados sem a sua aceitação. Um arquivo que você não aceitou não tem local de gravação, nem arquivo parcial, nem registro; os dados enviados para ele são descartados sem serem lidos.

A sua câmera é usada para uma única coisa: ler o código QR de uma sala, e só depois de você apertar o botão de escanear na tela de entrada. Ela é aberta sem o microfone, a imagem é lida pelo seu navegador no seu dispositivo para encontrar o link, e nada do que ela vê é gravado ou enviado a lugar nenhum. Ela é liberada assim que um código é encontrado, o leitor é fechado ou você sai da página.

Uma imagem ou um vídeo que você recebeu pode ser mostrado na página. Ele é lido da sua própria cópia — o arquivo que você salvou, ou o que está na memória —, nunca baixado da rede, e nunca de um arquivo que a verificação do seu navegador marcou como perigoso. Nada sobre ele é guardado depois que você sai da sala.

13. O que os outros participantes podem ver

11.1 Uma conexão ponto a ponto direta revela o seu endereço IP aos outros participantes. É assim que o WebRTC funciona. Esconder meu IP, quando há um relay configurado, substitui o seu endereço pelo do relay — muda quem o vê, em vez de eliminá-lo.

11.2 Os participantes veem o apelido que você escolheu, tudo o que você envia e — se você compartilhar a tela — tudo o que estiver nela, inclusive notificações que chegarem enquanto você compartilha.

11.3 Tudo o que um participante recebe, ele pode guardar. As nossas garantias de apagamento dizem respeito aos nossos sistemas e à memória do próprio navegador. Elas não são, e não podem ser, uma garantia sobre outras pessoas.

14. Segurança

Nenhum sistema é perfeitamente seguro, e este não é exceção. O que podemos dizer é específico: o operador não está em condições de ler o seu conteúdo, e isso é estrutural, e não uma questão de confiança.

• O conteúdo é criptografado de ponta a ponta entre navegadores pelo DTLS-SRTP obrigatório do WebRTC. O servidor não tem nenhuma chave e não conseguiria descriptografar nada mesmo que tivesse o texto cifrado, o que não é o caso.
• Além disso, o conteúdo é criptografado uma segunda vez com chaves pós-quânticas — um híbrido de X25519 e ML-KEM-768, misturado ao segredo da sala quando ele existe, trocado pelo menos a cada minuto e renovado a cada meia hora —, de modo que o tráfego gravado hoje não possa ser aberto mais tarde por um computador quântico. Mensagens e arquivos sempre levam essa camada; chamadas e compartilhamento de tela a levam quando os dois navegadores conseguem selar os quadros de mídia. Depois que duas pessoas estão conectadas, as negociações seguintes da conexão também passam por dentro desse canal criptografado, e não pelo servidor.
• Os participantes podem se verificar criptograficamente. Numa sala com senha ou com segredo de link de convite, isso acontece automaticamente; caso contrário, cinco palavras são mostradas para vocês compararem em voz alta, o que detecta uma conexão interceptada.
• Cada bloco transferido recebe um hash do remetente e um novo hash de quem recebe, então corrupção ou substituição é detectada antes que qualquer coisa chegue ao seu disco.
• A Content-Security-Policy proíbe script embutido, estilo embutido e qualquer origem externa, e exige Trusted Types, então nenhum texto consegue chegar a um lugar da página que o executaria como código ou o leria como HTML. A página é isolada entre origens: ela não carrega nada que outro site não tenha aceitado compartilhar, e nenhuma janela de outro site mantém controle sobre ela.
• Entrar custa um cálculo de prova de trabalho, o que torna cara a varredura em busca de códigos de sala ativos sem que o servidor precise saber quem está varrendo.
• Cada mensagem que um participante pode enviar tem tamanho e ritmo limitados, então um participante hostil não consegue esgotar a memória de outro.
• As fotos que você envia saem sem o lugar onde foram feitas: antes de uma imagem JPEG, PNG ou WebP ser verificada ou enviada, o seu navegador remove a posição GPS, os detalhes da câmera, textos embutidos e qualquer coisa anexada depois da imagem, sem mexer na imagem em si. Formatos que ele não consegue limpar com segurança (HEIC, vídeo, raw) vão sem alteração, e a janela de envio avisa.
• Uma imagem que você recebe só é mostrada como uma cópia redesenhada a partir dos pixels numa parte separada e descartável do seu navegador, então uma imagem feita para atacar o navegador, ou com algo escondido dentro, nunca chega à página como está. O arquivo que você salvou não é alterado.
• Os links nas mensagens são verificados no seu dispositivo — nada é baixado para isso — e seguir um deles mostra antes o site para onde ele realmente leva, com letras parecidas, marcas imitadas e destinos ocultos explicitados. Nomes que podem ser confundidos entre si numa sala são sinalizados da mesma forma.
• Uma voz ou um rosto numa chamada podem ser imitados. Cada pessoa numa chamada é marcada como verificada ou não, e as palavras de segurança podem ser comparadas em voz alta ou escaneando o código um do outro com a câmera, que só é usada enquanto essa janela está aberta.
• Apertar Esc três vezes em um segundo faz você sair da sala na hora (se você for o anfitrião, a sala é queimada), apaga a cópia do aplicativo neste navegador e o armazenamento dele, e deixa uma página vazia.

15. Violações de dados pessoais e incidentes de confidencialidade

No caso de uma violação que possa resultar em risco para os seus direitos e liberdades, notificaremos [SUPERVISORY AUTHORITY] em até 72 horas depois de tomarmos conhecimento dela, e notificaremos as pessoas afetadas quando o risco for alto. Como não guardamos dados de contato de ninguém, a notificação individual teria necessariamente a forma de um aviso público em destaque no próprio serviço.

Em Quebec, um incidente de confidencialidade que apresente risco de dano grave é comunicado prontamente à Commission d’accès à l’information e às pessoas envolvidas, e é registrado no registro de incidentes de confidencialidade que a Lei nos obriga a manter. Esse registro fica à disposição da Commission mediante solicitação.

16. Os seus direitos

Quando se aplica o RGPD do Reino Unido ou da UE, você tem os direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição ao tratamento baseado em interesses legítimos. Escreva para [PRIVACY CONTACT EMAIL].

Em Quebec, você tem os direitos de acesso e retificação previstos nas seções 27 e 28 da Lei, o direito de retirar o consentimento, o direito de fazer cessar a divulgação e de desindexar e — desde 22 de setembro de 2024 — o direito à portabilidade: receber as informações pessoais informatizadas que você forneceu, num formato tecnológico estruturado e de uso comum. Respondemos em até 30 dias.

Precisamos ser honestos sobre o que esses direitos lhe dão aqui. Não guardamos nenhum identificador que nos permita encontrar dados relacionados a você — nenhuma conta, nenhum cookie, nenhum endereço IP armazenado. Nos termos do Artigo 11 do RGPD, um controlador que não consegue identificar um titular de dados não é obrigado a obter informações adicionais para fazê-lo, e a Lei de Quebec tem, na prática, o mesmo efeito. Um pedido de acesso será respondido de forma verdadeira e pouco útil: não há nada guardado sobre você para fornecer, e um pedido de portabilidade não tem nada para exportar. O apagamento acontece sozinho, continuamente, à medida que as salas são fechadas.

Você pode apresentar uma reclamação a uma autoridade de controle. Em Quebec, é a Commission d’accès à l’information du Québec; no Reino Unido, o Information Commissioner’s Office; na UE, a autoridade do seu país de residência. [LEAD AUTHORITY]

17. Califórnia e outros estados dos EUA

15.1 Nos doze meses anteriores a este aviso, as categorias de informações pessoais tratadas se limitam a identificadores, na forma de um endereço IP mantido de forma transitória enquanto uma conexão de rede existe, e a atividade na internet, na forma dos metadados de conexão descritos na seção 3. Ambos são coletados diretamente do seu dispositivo e usados exclusivamente para prestar o serviço que você pediu.

15.2 Não vendemos informações pessoais e não as compartilhamos para publicidade comportamental entre contextos, conforme esses termos são definidos pelo California Consumer Privacy Act e suas alterações. Nunca fizemos isso. Não há programa de incentivo financeiro, e não discriminamos ninguém por exercer um direito de privacidade.

15.3 Não coletamos informações pessoais sensíveis e, portanto, não temos nada cujo uso limitar.

15.4 Os direitos de saber, apagar, corrigir e recusar podem ser exercidos em [PRIVACY CONTACT EMAIL], sujeitos à mesma limitação prática descrita na seção 14: não guardamos nenhum identificador que nos permita associar um pedido a qualquer dado. Residentes de outros estados com leis comparáveis — Colorado, Connecticut, Virgínia, Utah, Texas, Oregon, Montana e outros — podem exercer os direitos equivalentes da mesma forma.

18. Crianças

O serviço não se destina a crianças e não tratamos conscientemente os dados pessoais delas. Como não coletamos informações de idade e não mantemos contas, não conseguimos detectar o uso por uma criança. Se você acredita que uma criança usou o serviço de uma forma que o preocupa, entre em contato — mas vale saber de antemão que não haverá dados armazenados para apagarmos.

19. Decisões automatizadas

Não há nenhuma no sentido do Artigo 22 do RGPD ou da seção 12.1 da Lei de Quebec. O limitador de ritmo e a barreira de prova de trabalho são limites mecânicos aplicados a uma conexão, e não decisões sobre uma pessoa, e não produzem nenhum efeito jurídico ou efeito igualmente significativo. Nenhuma decisão sobre ninguém é tomada exclusivamente por tratamento automatizado, então não há nada sobre o que informar você nem nada sobre o que você apresentar observações.

20. Alterações neste aviso

Podemos atualizar este aviso. A versão e a data no topo vão mudar, e alterações relevantes serão anunciadas no próprio serviço. Não podemos enviar um e-mail para você sobre isso, pelo motivo que todo este documento descreve.

21. Contato

[OPERATOR LEGAL NAME]
[POSTAL ADDRESS]
Privacidade: [PRIVACY CONTACT EMAIL]
Pessoa responsável pela proteção das informações pessoais (Quebec): [PRIVACY OFFICER NAME AND TITLE]
Encarregado de proteção de dados: [DATA PROTECTION OFFICER]

Última revisão: 2026-09-27

Sobre · Por que o Obleevo · Perguntas frequentes · Termos · Acessibilidade · Cookies · Novidades

O Obleevo é desenvolvido pela The House of Brendrof. Software proprietário, de uso gratuito.

Voltar ao Obleevo