A Política de Privacidade está no nosso site e também em Ajustes › Sobre › Política de Privacidade. Ela diz o que o CHANNEL coleta, o que nunca coleta, por quanto tempo algo é guardado e o que um pedido legal poderia obter. Está escrita em inglês.
Dito aqui uma vez em vez de em cada recurso, porque vale para todos.
Tudo o que você coloca numa conversa — palavras, fotos, uma localização, uma reação, o fato de você ter lido algo — chega à pessoa com quem você está falando. Isso é o recurso, não um vazamento. Só é um risco se você não tiver certeza de quem ela é, e é para isso que serve o vínculo: Vínculo mostra como conferir, e o cartão diz Vinculado quando os dois telefones têm as chaves um do outro.
Então o resto destas páginas não repete isso. O que elas dizem, numa frase, é onde um recurso expõe algo além disso: para a rede em que você está, para o nosso servidor, para a Apple ou o Google, ou para uma empresa que não somos nós. Essas frases são curtas de propósito e existem para que nada te surpreenda depois, não para te convencer a não usar algo.
Antes que uma foto ou um vídeo saia do seu aparelho, o CHANNEL o redesenha. A cópia enviada leva a imagem e nada mais: nem localização, nem data e hora em que foi feita, nem nome ou modelo do telefone ou da câmera. Vale para fotos e vídeos feitos no CHANNEL e para os que você escolhe da sua biblioteca. Um arquivo enviado com + > Arquivo vai exatamente como está, com os dados que quem o criou colocou nele.
O CHANNEL nunca envia contatos para a nuvem. Um contato existe no CHANNEL porque você o digitou, o importou, ou pareou com ele. Contatos › Telefone pode mostrar a agenda do seu próprio telefone para você achar alguém sem redigitar: ela só é lida enquanto essa aba está aberta, nunca é salva e nunca é enviada a lugar nenhum, e só a pessoa que você escolhe importar é mantida.
Ajustes › Privacidade › Mostrar minha disponibilidade, e Mostrar minha disponibilidade para na página de um contato, decidem se o CHANNEL dessa pessoa desenha letras e marcas de rota para você: ocultar muda apenas o que o app dela mostra, as mensagens continuam indo pelo caminho mais rápido, e uma cópia modificada do app dela ainda poderia mostrá-lo.
Ajustes › Privacidade › Permitir que os telefones dos meus contatos reconheçam o meu por perto vem ativado. Os telefones dos seus contatos conseguem perceber por Bluetooth quando o seu está por perto, enquanto o CHANNEL está aberto, e nada disso vai para um servidor. O que seu telefone transmite é um valor curto que muda a cada 15 minutos e não significa nada para quem não é seu contato; qualquer pessoa por perto vê que há um telefone com CHANNEL, mas não de quem. Desativado, seus contatos não têm como perceber até que uma mensagem ou chamada se conecte.
Ajustes › Privacidade › Sugerir pessoas ao compartilhar coloca as pessoas com quem você conversa no topo do menu Compartilhar do seu dispositivo, e tocar em uma abre o CHANNEL com essa pessoa já escolhida. Fica desligado até você ligar. Para isso, o sistema do seu dispositivo fica sabendo com quem você conversa e com que frequência. Não faz nada enquanto o bloqueio do app ou um PIN do app estiver ativo, e desligar apaga esse registro.
Nada impede a outra pessoa de tirar uma captura de tela, gravar ou fotografar o que você envia a ela, e o CHANNEL não saberia disso. Não há ajuste para isso, porque um ajuste aqui não protegeria ninguém de ninguém.
O que é protegido neste dispositivo, sempre: uma foto para ver uma vez enquanto está na tela, o código QR de pareamento, e toda tela em que um segredo é digitado, que é o teclado do PIN, o código de coação, a frase secreta do backup e uma chave de AI. Uma captura de uma dessas fica em branco, e a página em branco diz por quê.
O que não é protegido: suas conversas e seus contatos. Tirar uma captura da sua própria conversa é comum, e a privacidade deste app se baseia no que sai do telefone, não em impedir o dono de fotografá-lo. A única exceção é uma conversa com Privacidade avançada ativada, que um telefone Android protege sim — veja Mensagens.
Nada, a menos que você diga o contrário. Sem nada ativado, uma notificação diz CHANNEL e que chegou uma mensagem ou chamada, e nada mais: nenhum nome, nenhuma palavra, nenhum nome de grupo. Ajustes › Notificações › Tela bloqueada tem um interruptor para mensagens, um para chamadas e um para grupos, e a página de um contato pode Mostrar ou Ocultar aquela pessoa, seja qual for o ajuste desses interruptores. Um perfil atrás do próprio bloqueio, e uma conversa com Privacidade avançada ativada, não mostram nada, seja qual for o ajuste dos interruptores. As mensagens de uma pessoa bloqueada também não mostram nada ali, seja qual for o ajuste dos interruptores. O que uma notificação mostra é o mesmo com o telefone bloqueado ou desbloqueado.
Ler em voz alta, no menu de toque longo de uma mensagem, usa a voz do próprio telefone, offline. As palavras não são enviadas a lugar nenhum para serem faladas.
Ajustes › Privacidade › Ocultar o app ao sair dele faz o cartão no alternador de apps ser uma página cor de vinho em branco em vez das suas conversas. Fica ligado a menos que você desligue. Num telefone Android o mesmo botão também recusa capturas de tela dentro do CHANNEL, porque lá é um ajuste só e não dois. Uma câmera apontada para a tela ainda vê tudo.
O bloqueio do app é o seu PIN do app, logo abaixo. Ele é pedido quando o CHANNEL abre, e de novo depois que ele passou um tempo em segundo plano.
Ajustes › Privacidade › Bloqueios › PIN do app define um código seu: entre seis e 64 caracteres, qualquer caractere visível, e maiúsculas contam. Quanto mais longo, mais forte. Funciona até num telefone sem bloqueio nenhum, e é pedido antes de qualquer outra coisa. O CHANNEL não abre com o rosto, nem com a digital, nem com o código do telefone: o bloqueio é o PIN. Exigir PIN após define por quanto tempo o CHANNEL pode ficar fora de vista antes de pedir o PIN de novo: Imediatamente, 1, 5, 10 ou 30 minutos, ou 1 hora. Todo perfil com PIN próprio segue a mesma espera.
É de propósito. Alguém pode pôr um telefone na frente do seu rosto ou pressionar seu dedo nele; ninguém pode obrigar você a dizer um PIN que guarda para si. Por isso o CHANNEL não oferece Face ID, Touch ID nem digital em lugar nenhum, e o app nem pede permissão para usá-los.
Cada campo de PIN tem um olho. Toque nele para ver o que você digitou e toque de novo para ocultar; um PIN com letras e pontuação é difícil de digitar às cegas.
O PIN nunca é guardado. Quando você o define, o CHANNEL cria uma chave para ele dentro do chip de segurança deste dispositivo (o Secure Enclave num iPhone, o hardware seguro do Keystore no Android) e testa na hora que o chip realmente faz a conferência. Se o teste passa, o chip confere cada PIN que você digita, então uma cópia do armazenamento do telefone não serve para testar tentativas em nenhum outro lugar. Se o telefone não tem esse chip ou o teste falha, o CHANNEL guarda em vez disso um cálculo lento de mão única do PIN (PBKDF2-SHA256, 210.000 rodadas) e confere com ele.
Duas tentativas erradas não custam nada. A partir da terceira, cada tentativa errada inicia uma espera de 5 segundos que dobra a cada vez, até 5 minutos, e fechar o app não a encerra.
Ninguém pode recuperar este PIN. Nem você, nem nós. Nunca o temos, e o chip que o confere não pode revelá-lo. Não há conta, nem e-mail cadastrado, nem a quem recorrer. Se você esquecer, as mensagens deste dispositivo se perdem.
Então escolha um que você ainda vai lembrar daqui a seis meses, e faça um backup antes de definir (Ajustes › Backup), guardado num lugar que você alcance sem este app.
Três tipos de código são recusados, cada um com uma frase dizendo por quê:
O motivo de uma recusa aparece abaixo do campo enquanto você digita, antes de salvar.
Um PIN com menos de seis caracteres abre o CHANNEL, que depois pede um novo uma única vez.
O tempo para testar todos os códigos possíveis, calculado a partir da espera acima e do número de códigos. Ele supõe um código escolhido ao acaso: uma data, uma palavra ou um padrão é encontrado muito antes. Os quatro dígitos estão aqui para comparação: o CHANNEL recusa um PIN novo com menos de seis caracteres.
| O PIN | Códigos possíveis | Adivinhar pelo app | Adivinhar offline, uma placa de vídeo (estimativa) |
|---|---|---|---|
| 4 dígitos | 10.000 | cerca de 5 semanas | menos de um segundo |
| 6 dígitos | 1.000.000 | de 9 a 10 anos | cerca de 25 segundos |
| 6 letras e dígitos, maiúsculas contam (62 símbolos) | cerca de 57 bilhões | cerca de 520.000 anos | cerca de 16 dias |
| 6 caracteres quaisquer do teclado (94 símbolos) | cerca de 690 bilhões | cerca de 6,4 milhões de anos | cerca de 7 meses |
| 8 caracteres quaisquer do teclado (94 símbolos) | cerca de 6 quatrilhões | cerca de 56 bilhões de anos | cerca de 4.800 anos |
Pelo app é alguém digitando tentativas no CHANNEL no seu dispositivo. Quando a espera chega a 5 minutos, são cerca de 300 tentativas por dia. Mudar o relógio do telefone não muda uma espera. Quem também consegue desbloquear o próprio telefone e reiniciá-lo talvez consiga encurtar as esperas, então esta coluna é o melhor caso.
Offline é alguém que copiou a conferência do PIN para fora do telefone e testa tentativas no próprio computador, sem espera. Só vale num telefone em que o cálculo lento confere o PIN. A velocidade, cerca de 40.000 tentativas por segundo numa placa de vídeo moderna, é uma estimativa a partir de testes publicados para esse cálculo, não uma medição nossa, e dez placas vão dez vezes mais rápido. Onde o chip de segurança confere o PIN, esta coluna não vale: a chave que confere o PIN nunca sai do chip, então uma cópia do armazenamento do telefone não consegue testar nem uma tentativa.
Esses são os tempos para testar tudo. Um código pode ser encontrado antes, em média na metade, e um código que as pessoas escolhem com frequência muito antes, porque é testado primeiro.
Quem tenta adivinhar não percorre os códigos em ordem. Um programa testa primeiro os prováveis: palavras, nomes, datas e anos, sequências do teclado como qwerty e 123456, repetições como aaaaaa, uma maiúscula só no começo, um dígito ou ! só no fim, e letras trocadas por dígitos parecidos. Então a força de um código é o quanto ele se afasta do que as pessoas costumam escolher, não quantos caracteres ele tem.
O PIN não é copiado para um dispositivo vinculado. Cada um recebe o seu próprio, então desbloquear aqui nunca desbloqueia lá, e um dispositivo que você perde não entrega os outros.
Os dois vêm desativados até você os ativar, em Ajustes › Privacidade › Bloqueios, e os dois são para um dispositivo que outra pessoa possa estar segurando.
Pedir PIN para trocar de perfil. O seletor de perfis é uma lista de identidades que você mantém separadas de propósito, e sem isso ele abre qualquer uma delas com um toque. Ative isso e trocar pede o PIN do app primeiro — até para um perfil que não tem bloqueio próprio, porque o que está sendo protegido é a troca, não o destino.
Este é o caso do tablet emprestado. Sob um único login, o telefone ou tablet não dá ao CHANNEL nenhuma forma de diferenciar duas pessoas, então o PIN é a única separação que existe.
Pedir PIN antes de excluir. Excluir um contato, uma conversa ou um perfil pede o PIN do app primeiro, e depois ainda pergunta se você tinha certeza daquele. Duas perguntas diferentes: se você tem permissão, e se você quis dizer aquilo mesmo.
Embaralhar o teclado do PIN. O teclado numérico da tela de bloqueio mostra os dígitos em uma ordem nova a cada vez que aparece, de modo que uma marca de dedo no vidro, ou ver para onde foi o polegar, não revela nada sobre o seu PIN. Vale apenas para um PIN de dígitos; um PIN com letras ou símbolos usa o teclado comum, que não pode ser embaralhado.
Não há período de tolerância em nenhum dos dois. O bloqueio do app espera o tempo definido em Exigir PIN após antes de perguntar de novo, para que sair para copiar um código não te custe um desbloqueio; esse raciocínio não se aplica a algo que nada pode desfazer. Uma exclusão aqui é real — o registro se vai, não uma marcação — então ser perguntado é toda a proteção.
Nenhum dos dois usa seu rosto ou digital. Num dispositivo compartilhado, esses costumam estar disponíveis para quem estiver segurando o telefone; o PIN é a parte que não está.
Um perfil pode ter um código próprio, separado do PIN do app. Em Ajustes › Privacidade › Bloqueios, toque em Definir um PIN de perfil. Uma vez definido, a linha passa a dizer Alterar PIN do perfil, e Remover PIN do perfil aparece abaixo. O PIN é pedido só enquanto Bloquear este perfil está ativado: você pode manter um PIN com o bloqueio desativado e ativá-lo de novo sem ele. Desativar o bloqueio pede o PIN.
Enquanto o perfil está compartilhado, Remover PIN do perfil não aparece: um perfil compartilhado sempre tem um PIN e só pode ser alterado. Apagar este perfil após 10 PINs errados, sob as mesmas linhas, é uma opção que você liga; veja Ajustes.
É de fato um segundo código: seu próprio salt, sua própria contagem de tentativas erradas, seu próprio atraso. Errar na porta de um perfil não bloqueia o app, e saber o PIN do app não abre o perfil. O sentido de ter vários perfis é que eles são separados, e um único código para todos faria essa separação só parecer real para quem já te viu digitar uma vez.
A ordem segue a do app. Abrir o app pede o PIN do app. Abrir um perfil com o bloqueio ativado pede o PIN do perfil.
Uma diferença em relação ao bloqueio do app é proposital: a tela de entrada do perfil nomeia o perfil, o que a tela de bloqueio do próprio app nunca faz.
Um perfil com PIN próprio é pedido em qualquer lugar de onde outro perfil possa chegar até ele, não só no seletor de perfis:
O perfil em que você está já foi aberto, então nada disso vale para ele.
Um perfil com PIN próprio pode ter um código de coação só dele: Código de coação do perfil, abaixo de Remover PIN do perfil. Como todo código no CHANNEL, é opcional, e nada pede que você defina um. Depois de definido, a linha passa a ser Trocar o código de coação do perfil.
Digitado onde esse perfil pede o PIN, ele abre o perfil exatamente como o PIN. Quando abre, as conversas e os contatos desse perfil já não estão lá: cada mensagem, cada cartão exceto o do próprio perfil, as fotos deles, os anexos e os convites pendentes. Uma chamada para ele é encerrada. O perfil fica, com o nome, o PIN e o próprio cartão, e nenhum outro perfil do telefone é tocado. Nada na tela mostra o que aconteceu, e nada é enviado a ninguém.
O código de coação do app é o que esvazia o telefone inteiro.
Excluir um perfil leva o PIN e o código de coação dele junto.
Bloquear conversa, no menu de uma conversa, coloca essa conversa atrás do próprio PIN, separado do PIN do app e de cada PIN de perfil. Uma conversa bloqueada mostra só o nome na lista de Mensagens, nunca aparece numa busca entre conversas e suas notificações dizem só Nova mensagem. Pede o PIN cada vez que você a abre depois de sair dela ou do app. Não há Face ID nem digital para ela. Se você esquecer o PIN, o bloqueio ainda pode ser removido, mas isso apaga as mensagens da conversa deste dispositivo. Na conversa bloqueada, Esqueceu o PIN? pergunta primeiro, e Apagar mensagens e remover bloqueio tira o bloqueio e apaga as mensagens da conversa deste dispositivo. Remover bloqueio da conversa no menu da conversa tira o bloqueio.
Um cartão pertence ao perfil em que foi criado. Alguém que escreve para você num perfil é adicionado ali e em nenhum outro lugar, e um contato que você digita à mão é igual: dois perfis num mesmo telefone não compartilham nada, a menos que você diga que sim.
O próprio cartão diz a qual perfil pertence, sob Mostrar em, e você pode mudar isso ali sem abrir o editor. Ele pergunta primeiro, porque esse ajuste decide quem pode ver o cartão daquela pessoa, e um toque errado não deveria ampliar isso silenciosamente. De qualquer forma, as mensagens dela ficam no perfil em que chegaram; uma conversa nunca é compartilhada entre perfis, só o cartão.
Com três perfis ou mais, a tela Editar do cartão também oferece Escolher perfis, para escolher exatamente quais o mostram. O perfil em que você está sempre o mantém. Se houver um PIN do app, a lista pede o PIN antes de nomear seus outros perfis, porque nomeá-los diz que eles existem.
Um cartão vive em um só perfil. Se você quiser escrever para essa pessoa a partir de outro, abra o cartão dela ali e escolha Escrever deste perfil.
Copia o que está escrito no cartão — o nome, os números, os endereços — e nada mais. As chaves nunca são copiadas, nem o quanto o app tem certeza da identidade dela, porque as duas coisas são fatos sobre o pareamento que aquele perfil fez e não sobre a pessoa. Então o novo perfil começa um primeiro contato comum: a outra pessoa é perguntada, como seria um desconhecido, e não lhe é dito nada sobre ser você de novo.
Esse custo é o recurso funcionando certo. Um perfil que herdasse o pareamento do outro estaria dizendo à outra pessoa que dois perfis são uma pessoa só, que é exatamente a única coisa que os perfis existem para evitar.
Mude o nome no topo do cartão dela para o que quiser. Este perfil mostra esse nome, um cartão que ela enviar nunca substitui um nome que você escolheu, e nenhum outro perfil é afetado.
Muda um nome em uma lista e nada mais. Uma notificação ainda pode citar a mensagem, uma captura de tela ainda mostra a conversa, e quem abrir este perfil lê tudo. Protege uma olhada numa lista de conversas, que é algo real de se querer, e não é uma tranca.
Se a olhada é o que preocupa você, ponha também Tela bloqueada em Ocultar no cartão dela, porque outro nome numa tela bloqueada que mostra nomes é justamente a armadilha que isto seria de outro modo.
Tudo o que o CHANNEL guarda em um dispositivo fica primeiro atrás do bloqueio do próprio dispositivo, então a forma como o dispositivo está configurado importa tanto quanto qualquer coisa no app. Antes de um perfil importante ir para um dispositivo:
Quando um dispositivo sumiu, de outro dispositivo seu:
O que um dispositivo perdido mostrou antes de ser apagado não pode ser recuperado, por isso o código vem primeiro.
A página completa sobre isso é Se você perder o controle de um dispositivo.
Sob um único login, o sistema operacional não separa duas pessoas. Tudo o que o CHANNEL guarda é alcançável por quem estiver segurando o dispositivo. O PIN não é uma conveniência aqui; é o isolamento inteiro.
Ative Outras pessoas usam este dispositivo em Ajustes › Privacidade › Bloqueios. Esse único interruptor faz o que três ajustes teriam que fazer de outra forma: o app bloqueia no momento em que sai de vista, sem período de tolerância, e toda troca de perfil pede o PIN. É um único interruptor de propósito — passar um tablet adiante não deveria exigir descobrir quais ajustes somados dão a proteção que você quer.
Depois dê a cada perfil de cada pessoa seu próprio PIN, em Ajustes › Privacidade com Este perfil selecionado. Esse ajuste faz três coisas:
Ative Pedir PIN antes de excluir na mesma página. Excluir é real aqui — o registro se vai, e nada o restaura — então ser perguntado é toda a proteção.
Seus contatos e conversas já são separados entre perfis, com ou sem PIN: cada perfil guarda os seus. O PIN é sobre quem pode abrir um perfil, não sobre manter as listas separadas.
O limite honesto. Nada disso torna um dispositivo compartilhado privado. Quem quer que o esteja segurando ainda consegue ver que o CHANNEL está instalado, que existem perfis, e que mensagens chegam. Um perfil que realmente importa não pertence a um dispositivo que outras pessoas usam, e nenhum ajuste nesta página muda isso.
O código de coação do app também pertence aqui: ele destrói tudo o que o CHANNEL guarda no dispositivo, então num dispositivo compartilhado destrói o de todos. O código de coação próprio de um perfil alcança só esse perfil.
Código de coação, sob o mesmo título, é um segundo código, e só aparece depois que um PIN é definido. Digitado no lugar do seu PIN, ele faz na tela exatamente o que o seu PIN faz: o app abre. O que mudou quando ele abre é que tudo o que o CHANNEL guardava neste dispositivo se foi -- primeiro a chave que sela os armazenamentos, depois as identidades, depois cada arquivo -- e o app que você está vendo está vazio. Fora do Modo Seguro, o perfil que estava aberto mantém o nome. Depois, o CHANNEL bloqueia como antes: o código que você digitou passa a ser o PIN, os ajustes do bloqueio ficam como estavam e o próprio código de coação é apagado. Nada diz que houve um apagamento, e não há mais nada para tocar. Não existe etapa de confirmação, e esse é justamente o ponto: um segundo toque é algo que alguém ao seu lado consegue ver e interromper, e faria o código de coação parecer diferente do verdadeiro. Em troca, digitá-lo é imediato e não pode ser desfeito. Uma cópia guardada em outro lugar, como um backup ou outro telefone, não é tocada. Depois de definido, a linha passa a ser Alterar código de coação.
O código de coação é para alguém sem autoridade legal para exigir o seu PIN. Onde a lei obriga você a desbloquear, usá-lo pode ser, por si só, um crime.
O Modo Seguro pertence a um perfil: o perfil que você usa para o trabalho confidencial pode estar em Modo Seguro enquanto o que você usa com a família não está. Ative Ajustes › Recursos em prévia › Modo Seguro (prévia), e cada perfil oferece Ajustes › Privacidade › Bloqueios › Modo Seguro. Ele precisa de um PIN desse perfil que o chip de segurança deste dispositivo confere (Definir um PIN de perfil, na mesma página). Em um Mac, um perfil não pode ativá-lo enquanto tiver a API local ligada, porque uma IA com acesso pode ler tudo o que o Modo Seguro protege. Antes de mudar qualquer coisa, ele oferece Fazer backup das mensagens, que você pode pular, e depois pede o PIN do perfil. A escolha fica guardada só neste dispositivo.
Com ele ativado, as notificações desse perfil dizem apenas Nova mensagem, o CHANNEL fica oculto no alternador de apps enquanto o perfil está na tela e as prévias de links ficam desativadas nele, seja o que for que esses botões digam por conta própria. Os seus outros perfis não são afetados.
Enquanto o perfil está bloqueado, a chave dele existe só dentro do chip de segurança deste dispositivo e só abre com o PIN dele. Aí nada no dispositivo consegue ler as conversas dele, e as mensagens que chegam para ele esperam, ainda seladas, até você abri-lo; uma notificação diz apenas Nova mensagem. Uma chamada que chega para ele enquanto está bloqueado aparece depois como chamada perdida. Os seus outros perfis continuam funcionando como de costume. O perfil bloqueia quando você toca em Bloquear agora, quando o dispositivo bloqueia e pouco depois que você sai do CHANNEL; abri-lo pede o PIN dele. A capa de um perfil bloqueado oferece Usar outro perfil para passar para outro perfil.
As opções: Só o selo aumenta o número no ícone sem aviso e sem som. Apagar o texto copiado após um minuto tira da área de transferência o que você copia nesse perfil. Pedir o PIN antes de salvar mídia pede o PIN do perfil antes que uma foto, um vídeo ou um arquivo saia dele.
Fotos, vídeos e arquivos das conversas do perfil são selados com a mesma chave, assim como as fotos dos contatos dele, os planos de fundo das conversas e as mensagens de voz de pessoas que não são seus contatos, então um perfil bloqueado não guarda nenhum que possa ser lido. Ao bloquear, também somem as cópias abertas para reproduzir, ver ou compartilhar, e o que foi escolhido ou gravado no campo de mensagem sem ser enviado.
Um perfil pode abrir com o PIN do app em vez de um PIN próprio, e a página de Modo Seguro dele diz isso; dar a ele um PIN próprio o move para esse PIN. Um perfil no Modo Seguro que você compartilha com outro dispositivo seu chega lá também no Modo Seguro e abre com o mesmo PIN do perfil; cada dispositivo guarda a própria chave, criada pelo próprio chip de segurança, e a chave nunca sai dele. Quando o PIN dele é alterado em outro dispositivo seu, na primeira vez que você o abre aqui com o PIN novo ele também pede, uma vez, o PIN que tinha neste dispositivo, e a chave dele passa então para o PIN novo.
Um perfil em Modo Seguro não pode dar acesso a uma IA, porque uma IA que consegue ler o perfil consegue ler tudo o que o Modo Seguro protege. Enquanto um perfil está em Modo Seguro, o PIN dele não pode ser removido, e um backup pede que você o abra primeiro.
Ao desativar o Modo Seguro, com o PIN do perfil, ele e o apagamento após inatividade terminam para esse perfil, e as opções dele voltam a ser como eram. O que ele selou continua selado e abre como sempre, e o CHANNEL mantém a chave do perfil protegida pelo chip de segurança deste dispositivo. Modo Seguro (prévia) pode ser desativado quando nenhum perfil está em Modo Seguro.
O nome do perfil aparece na sua lista de perfis para quem tiver o dispositivo desbloqueado; o que o perfil guarda, não.
O risco, em uma frase: o Modo Seguro é uma prévia, e uma falha nele, um PIN esquecido ou um dispositivo perdido podem custar o que esse perfil guarda neste dispositivo, então guarde um backup em outro lugar.
Para reduzir o que os assistentes e a busca do seu telefone veem do CHANNEL, veja Melhores configurações de segurança.
Dentro do Modo Seguro de um perfil, Apagar após inatividade destrói a chave desse perfil, e com ela tudo o que o perfil guarda neste dispositivo, se o perfil não for aberto com o PIN dele pelo tempo que você escolher: 7, 14, 30, 60 ou 90 dias. Só conta abrir o perfil com o PIN dele; a chegada de uma mensagem não conta. O perfil é então removido deste dispositivo; quando é o único perfil, some tudo o que o CHANNEL guarda no dispositivo.
Nada no telefone avisa antes, e ninguém pode impedir nem desfazer depois que o tempo passa -- nem você, nem nós. O único aviso é esta página e a confirmação ao ativar. Você pode desativar quando quiser, a partir do perfil aberto, com o PIN dele. O código de coação é para alguém sem autoridade legal para exigir o seu PIN. Onde a lei obriga você a desbloquear, usá-lo pode ser, por si só, um crime.
O tempo é medido de forma que mudar a data não o encurta: atrasar a data do telefone em mais de duas horas conta como tempo esgotado. O tempo com o telefone desligado conta quando o telefone consegue saber.
Se disseram para você guardar informações, você espera uma disputa ou o seu trabalho é regulado, não ative, e desative enquanto ainda puder desbloquear. Essa responsabilidade é sua.
O risco, em uma frase: quando o tempo passa, tudo o que esse perfil guarda neste dispositivo some para sempre.
Com o Modo Seguro, e principalmente com o apagamento após inatividade, o CHANNEL não é onde fica a sua única cópia. Segurança quase absoluta e guardar a única cópia no telefone puxam em direções opostas. Guarde os backups criptografados que quiser num lugar que você escolher, de preferência uma cópia fora de casa. Veja Ajustes › Backup.
O risco, em uma frase: um backup pode ser lido por quem tiver o arquivo e a frase-senha, então guarde os dois separados.
No Android, os arquivos com suas conversas e contatos, e cada foto, vídeo e arquivo que o CHANNEL guarda, são selados (AES-256-GCM) com uma chave que fica no Keystore do telefone e nunca sai dele.
Num iPhone, os arquivos com suas conversas e contatos são selados (AES-256-GCM) com uma chave guardada nas Chaves do iPhone, só para este dispositivo. Fotos, vídeos e arquivos são protegidos pela criptografia de arquivos do próprio iPhone.
Nos dois, os dados do CHANNEL só abrem neste dispositivo, depois de ele ter sido desbloqueado uma vez desde que foi ligado, e ficam fora dos backups do próprio telefone.
Nada mais. Nenhuma análise, nenhum relatório de falha, nenhum sinal de uso além dessa contagem diária, e a Ajuda não contata ninguém a menos que você toque em Obter.
O CHANNEL pede cada permissão no momento em que um recurso precisa dela pela primeira vez. As exceções são os rádios e as notificações: o CHANNEL as pede na primeira abertura, porque toda mensagem passa por eles. Nada no CHANNEL vê toda a sua fototeca, sua localização em segundo plano ou qualquer coisa no telefone que você não tenha escolhido. A última coluna traz o nome usado pelos ajustes do telefone e pelo código do app, para quem quiser conferir. Um aviso para acordar este dispositivo passa pelo serviço push da Apple ou do Google e não leva nenhuma mensagem nem remetente. Antes de pedir, o CHANNEL lê o que o telefone diz sobre aquela permissão: uma já concedida nunca é pedida de novo, e um recurso cuja permissão você recusou continua desativado até você permiti-la nos ajustes do próprio telefone.
No iPhone:
| O quê | Quando o CHANNEL pede | Depois | Nome no sistema |
|---|---|---|---|
| Bluetooth | Na primeira abertura do CHANNEL | Fica concedido, para que mensagens de telefones próximos cheguem com o app fechado | NSBluetoothAlwaysUsageDescription, bluetooth-central, bluetooth-peripheral |
| Rede local | Quando o CHANNEL procura contatos na mesma Wi-Fi pela primeira vez | Fica concedido; só procura outros telefones com CHANNEL | NSLocalNetworkUsageDescription |
| Notificações | Depois que você dá nome ao seu perfil na configuração | Fica concedido; um aviso para acordar não leva conteúdo | remote-notification, aps-environment, com.apple.developer.usernotifications.time-sensitive |
| Chamadas recebidas | Nunca: o telefone toca pela própria tela de chamada | Só para uma chamada | voip |
| Microfone | Sua primeira chamada ou mensagem de voz | Só durante uma chamada ou gravação; uma chamada mantém o som com a tela apagada | NSMicrophoneUsageDescription, audio |
| Câmera | Sua primeira chamada de vídeo, leitura de código ou foto tirada no app | Só enquanto a câmera está na tela | NSCameraUsageDescription |
| Escolher fotos e vídeos | Nunca: o seletor do sistema mostra ao CHANNEL só o que você escolhe | Nada fica concedido | nenhum |
| Salvar em Fotos | Na primeira vez que você salva uma imagem ou guarda cópias do que registra | Só adicionar: o CHANNEL não lê a fototeca | NSPhotoLibraryAddUsageDescription |
| Localização | Quando você envia sua localização, compartilha ao vivo ou abre um mapa | Só durante o uso, nunca «Sempre»; a leitura termina com o compartilhamento ou com o mapa | NSLocationWhenInUseUsageDescription, location |
| Contatos | Quando você abre os contatos do telefone dentro do CHANNEL e toca em Continuar | Lidos enquanto essa lista está aberta, nunca salvos, nunca enviados | NSContactsUsageDescription |
| Face ID | Nunca: o CHANNEL não o usa | Nada fica concedido | NSFaceIDUsageDescription |
| Reconhecimento de fala | Quando você pede uma mensagem de voz como texto | Só neste dispositivo | NSSpeechRecognitionUsageDescription |
| Armazenamento compartilhado entre o CHANNEL e suas extensões de notificações e de compartilhamento | Nunca | A extensão de compartilhamento alcança só a chave do que você compartilha, nunca suas mensagens nem sua identidade | com.apple.security.application-groups, keychain-access-groups |
| Uma verificação de imagens de nudez, neste dispositivo | Nunca: segue o ajuste de aviso de conteúdo sensível do telefone | Nada sai do telefone | com.apple.developer.sensitivecontentanalysis.client |
No Android:
| O quê | Quando o CHANNEL pede | Depois | Nome no sistema |
|---|---|---|---|
| Dispositivos próximos (Bluetooth) | Na primeira abertura do CHANNEL; no Android 11 e anteriores, concedido na instalação | Fica concedido; marcado como nunca usado para localização | BLUETOOTH_SCAN, BLUETOOTH_ADVERTISE, BLUETOOTH_CONNECT, BLUETOOTH, BLUETOOTH_ADMIN |
| Dispositivos Wi-Fi próximos | Na primeira abertura do CHANNEL, num telefone com Wi-Fi Aware | Fica concedido; marcado como nunca usado para localização | NEARBY_WIFI_DEVICES |
| Localização | Quando você envia sua localização ou compartilha ao vivo; também na primeira abertura do CHANNEL no Android 11 e anteriores, porque encontrar telefones próximos por Bluetooth precisa dela ali, e até o Android 12 num telefone com Wi-Fi Aware, que também precisa dela | Sem localização em segundo plano; a leitura termina com o compartilhamento ou com o mapa | ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION |
| Notificações | Na primeira abertura do CHANNEL | Fica concedido; um aviso para acordar não leva conteúdo | POST_NOTIFICATIONS, com.google.android.c2dm.permission.RECEIVE |
| Manter a conexão em segundo plano | Nunca: concedido na instalação do CHANNEL | Uma notificação aparece enquanto funciona | FOREGROUND_SERVICE, FOREGROUND_SERVICE_CONNECTED_DEVICE, WAKE_LOCK |
| Uma verificação ao ligar o telefone | Nunca é pedido: concedido ao instalar o CHANNEL | Não lê nada; executa as verificações do próprio CHANNEL antes de abrir qualquer coisa | RECEIVE_BOOT_COMPLETED |
| Rede | Nunca: concedido na instalação do CHANNEL | Para entregar mensagens | INTERNET, ACCESS_NETWORK_STATE, ACCESS_WIFI_STATE, CHANGE_NETWORK_STATE |
| Microfone | Sua primeira chamada ou mensagem de voz | Só durante uma chamada ou gravação | RECORD_AUDIO, MODIFY_AUDIO_SETTINGS |
| Câmera | Sua primeira chamada de vídeo, leitura de código ou foto tirada no app | Só enquanto a câmera está na tela | CAMERA |
| Escolher fotos e vídeos | Nunca: o seletor de fotos do Android mostra ao CHANNEL só o que você escolhe | Nada fica concedido | nenhum |
| Contatos | Quando você abre os contatos do telefone dentro do CHANNEL e toca em Continuar | Lidos enquanto essa lista está aberta, nunca salvos, nunca enviados | READ_CONTACTS |
| Salvar na galeria | Só Android 8 e 9, na primeira vez que você salva uma imagem ou mantém uma cópia do que faz; Android 10 e posteriores nunca pedem | Usado só para adicionar o arquivo que você quis salvar ou a cópia do que fez | WRITE_EXTERNAL_STORAGE |
| Digital ou rosto | Nunca: o CHANNEL não os usa; quem os declara é uma biblioteca incluída no CHANNEL | Nada fica concedido | USE_BIOMETRIC, USE_FINGERPRINT |
| Compras | Quando você compra algo no app | Tratadas pelo Google Play | com.android.vending.BILLING |
| IA no dispositivo (Gemini Nano) | Nunca é pedido: o serviço de IA do Android, usado só quando você ativa a IA no dispositivo | Roda no telefone; nada sai dele | com.google.android.apps.aicore.service.BIND_SERVICE |
Uma cópia legível de uma imagem, clipe ou arquivo que o CHANNEL cria para mostrar, reproduzir ou passar a outro app e que fique no telefone é apagada na próxima abertura do CHANNEL.
Os servidores do CHANNEL não armazenam endereços IP, nem mensagens que possam ler, nem listas de contatos. Quando seu dispositivo consulta a chave publicada de alguém, um limitador de frequência guarda por até duas horas uma impressão com chave do seu bloco de rede (não do seu endereço), para que ninguém consiga sondar números aos milhares. Alguns registros existem fora do controle de qualquer app:
O que você pode fazer:
O CHANNEL não verifica se um telefone Android roda o sistema com que foi vendido, se tem root ou se tem os serviços do Google, e não recusa nenhum telefone por nenhum desses motivos. Nada nele existe para impedir que funcione num sistema como o GrapheneOS. Compras pelo Google Play precisam dos serviços do Google no telefone. Os avisos de chamadas e mensagens chegam pelo serviço push do Google quando esses serviços existem; sem eles, chegam por um app UnifiedPush instalado no telefone, cujo servidor vê que um aviso foi enviado e nunca uma mensagem, um nome ou um remetente.
O buscador automático de prévias não mantém um registro dos links solicitados e não salva em disco a página ou a imagem buscada.
O formulário de suporte do nosso site, aberto em Ajustes › Sobre › Suporte, envia sua mensagem e as imagens para nós por e-mail, e o site não os armazena. Um endereço de resposta é usado só para responder. O risco, em uma frase: a página do formulário carrega a verificação anti-spam da Cloudflare, então a Cloudflare vê que a página foi aberta. O app não envia nada junto com o link.
O que é feito para encontrar erros antes que cheguem a você.
O CHANNEL não passou por nenhuma auditoria de segurança independente feita por pessoas. As revisões acima não são uma auditoria.
Toda a Ajuda está dentro do app e funciona sem nada conectado, para sempre. Quando existem páginas mais novas, uma linha no topo da Ajuda diz Há ajuda atualizada disponível e oferece Obter.
Saber disso não custa nada: o app aprende isso de uma consulta que já faz para o seu correio, então não há conexão extra e nenhum padrão novo para ninguém observar. A Ajuda não checa na abertura nem numa agenda, porque uma solicitação numa agenda reportaria quando você abre o app, quer alguém estivesse contando ou não.
Nada é baixado até você tocar no botão, e a folha diz claramente o que tocar nele faz. Ele contata nosso site público, channelmessenger.net, e esse servidor vê seu endereço. Nada mais é enviado, e a Ajuda funciona sem isso. Se isso importa onde você está, faça isso numa rede que não seja a sua.
Nosso servidor nunca diz onde as páginas estão, só que existem mais novas, e o app as escreve só quando cada página está em mãos, então um download que para na metade deixa a Ajuda que você tem como estava.
Ajustes › Recursos de IA aceita Meu próprio servidor como provedor: uma máquina que você roda, geralmente alcançada por uma rede privada sua. Nada sobre ele chega até nós. Nunca nos dizem o endereço, a solicitação nunca toca nosso servidor, e as palavras vão para a sua máquina e ficam lá. Veja Ajustes.
Se você ativar Conversar como contato para uma conta de AI, esse contato é uma conversa com sua própria conta de provedor e nada mais. É dito a ele, nas suas instruções, que ele só consegue ver esta conversa, que não tem memória das suas outras sessões, nenhum acesso aos seus contatos, sua localização ou seu dispositivo, que não consegue enviar uma mensagem ou realizar nenhuma ação, e que nunca deve te pedir uma senha, uma chave ou um código. Nada mais neste dispositivo é enviado a ele. Só você pode escrever para ele, e ele não consegue alcançar mais ninguém.
As solicitações são contadas por conta, então você consegue ver para que uma conta tem sido usada.
Ajustes › Privacidade › Mensagens escritas por uma IA escolhe quem pode arquivar uma mensagem que o app de envio marcou como escrita por uma IA. Todos arquiva cada mensagem assim. Somente contatos descarta um texto, um texto de visualização única ou uma publicação de grupo quando quem envia não é um contato. Ela não é arquivada e não avisa. As mensagens de contatos ficam, e fica também uma mensagem sem essa marca. A marca é uma declaração do app que envia.
Quando um recurso envia as palavras de outra pessoa para uma AI (Resumir, Sugerir respostas, Traduzir, ou uma pergunta sobre uma imagem que ela enviou), o CHANNEL primeiro remove os caracteres que uma pessoa não vê mas um modelo consegue ler, e marca as palavras dela como citação, com a instrução de nunca obedecer ao texto citado. Isso torna muito mais difícil uma mensagem direcionar o que a AI te diz, embora não impossível. A resposta a essas funções é sempre mostrada a você primeiro e nunca é enviada sozinha. Respostas automáticas, ativadas em um perfil, são a exceção: elas enviam as respostas sem mostrá-las antes.
O texto em inglês é a referência; qualquer tradução é apenas uma comodidade. A ajuda fica guardada neste telefone e não contacta ninguém.
CHANNEL