O que o NeverNo guarda, e o que não guarda

No armazenamento local, em texto puro

O que os nossos servidores veem

• quantos itens estão sincronizados e o tamanho de cada um, arredondado para um múltiplo de 256 bytes, nunca o tipo nem o conteúdo deles;
• o horário de cada gravação e o da última troca, e o dispositivo que gravou cada item;
• seus dispositivos (nome, status e datas) e suas chaves de acesso (identificador, nome, data);
• o espaço usado, comparado com o limite do seu plano. Um item excluído deixa por 180 dias um rastro sem conteúdo, para que seus outros dispositivos também o excluam.

Espaço de sincronização por plano

Quando o espaço enche, suas novas alterações esperam no seu dispositivo: nada se perde, e seus outros dispositivos continuam recebendo o que já está sincronizado. Se o seu plano mudar para um com menos espaço do que você usa, nada é apagado, mas nada novo é sincronizado, texto incluído, até você apagar o suficiente.

O controle continua com você

• Desativá-la, em Configurações › Dados, interrompe a sincronização e apaga dos nossos servidores os itens, os envelopes de chaves e os acessos de dispositivos. Ficam apenas marcadores sem conteúdo, listados mais abaixo: a data em que você a desativou e o rastro de uma eventual redefinição. Seus dados ficam neste navegador.
• Uma conversa efêmera nunca é gravada neste navegador, então nunca é sincronizada.
• Sua chave de recuperação abre seus dados em um dispositivo novo se você perder a chave de acesso. Ela é mostrada uma só vez e nós nunca a vemos. Para pedir uma nova, é preciso a sua chave de acesso ou a chave de recuperação antiga.
• Sem chave de acesso, sem chave de recuperação e sem outro dispositivo aprovado, a nossa cópia não pode mais ser aberta. Seus dispositivos mantêm os dados deles, e você pode reativar a sincronização a partir de um deles.
• “Trocar a chave” criptografa tudo de novo com uma chave nova: faça isso depois de revogar um dispositivo que você não controla mais.

• nada entra no IndexedDB: nem conversa, nem mensagem, nem mídia, e nenhuma chave é criada para ela;
• nenhum título na barra lateral nem na pesquisa, e nenhum endereço próprio: fica em /chat?ephemeral=1;
• a memória não lê nada dela nem aprende nada com ela, e nunca entra num backup, num link de compartilhamento nem na sincronização;
• recarregar a página, fechar a aba ou sair da conversa (dentro do aplicativo, depois de uma confirmação) a apaga de vez.

O que conta mesmo assim: suas mensagens contam para a cota do dia, e um voto numa resposta se soma a um total anônimo, como em qualquer conversa. Do nosso lado também nada muda: como em qualquer conversa, o texto atravessa os nossos servidores até o modelo e não é escrito em lugar nenhum.

O que conta mesmo assim: cada trecho indexado e cada pergunta pesquisada entram numa cota diária (vault), e o que o cálculo nos custa é registrado como um valor, como acontece com a memória. Com um modelo marcado “Anonimizado”, os trechos chegam ao criador dele com a mensagem, segundo as regras dele. “Apagar tudo” nas Configurações exclui o cofre com o resto.

Qualquer ação para o exterior (enviar uma mensagem, chamar uma ferramenta que age) aguarda a sua aprovação com um toque; as notificações nunca contêm o conteúdo da missão.

“Excluir minha conta”, nas Configurações, apaga tudo isso: a assinatura é cancelada, o cliente da Stripe e seus cartões são excluídos, depois o backup, a cópia sincronizada, os links, as chaves, os contadores (inclusive os dos testes), os custos e, por fim, a conta. As autorizações dadas ao Google, Notion, Slack ou GitHub são revogadas nesses serviços; se um deles não responder, a nossa cópia do acesso é apagada mesmo assim, e você pode remover a autorização na sua conta nesse serviço. O que fica: os contadores de votos anônimos; o registro de administração, sem o ID da conta; os documentos contábeis que a lei exige (pedidos pagos em cripto e a prova dos recibos deles, desvinculados de você); as estatísticas de uso, desvinculadas da conta, por até 90 dias; os contadores ligados à impressão digital de um endereço IP, que se apagam sozinhos (48 horas, ou no fim do mês para os testes). Fora do nosso banco de dados: o registro de envio dos nossos e-mails na Resend, os backups técnicos da Supabase enquanto forem mantidos, e as faturas que a Stripe guarda do lado dela.

Os backups técnicos da Supabase guardam uma cópia do banco de dados, e portanto de qualquer linha excluída, enquanto a Supabase os mantiver.

• o texto das suas mensagens e das respostas, e o raciocínio do modelo;
• suas instruções personalizadas, as lembranças da sua memória e as fichas dos personagens que você cria, que vão junto com cada mensagem;
• seus anexos: um PDF é lido na memória e descartado, um arquivo de texto é lido pelo próprio navegador;
• as imagens que você envia: verificadas e depois recodificadas sem metadados (localização, câmera) antes de irem para o provedor;
• as imagens que você cria: voltam do provedor e vão direto para o seu navegador, que as criptografa;
• suas descrições no Studio, sua voz ditada e os textos lidos em voz alta;
• suas pesquisas na web: a consulta sai do nosso servidor sem nenhum identificador e não é registrada por nós; conforme o seu plano, ela passa pela Exa, que pode guardá-la (veja “Pesquisa na web” mais abaixo).

Nossos logs de erro só anotam marcadores técnicos: um nome de modelo ou de provedor, um código de erro, um número de operação de créditos. Uma conta só aparece ali sob uma etiqueta calculada com uma chave secreta, que sozinha não diz nada; só a exclusão de uma conta anota o ID dela, nunca o e-mail. Fora daqui, alguns provedores guardam por um tempo o que recebem: veja “Quem lê suas mensagens”.

Os eventos brutos são apagados após 90 dias; ficam apenas totais diários anônimos. Desative “Compartilhar estatísticas anônimas” nas Configurações, ou deixe o seu navegador enviar Global Privacy Control ou Do Not Track: você continua sendo contado, sem impressão e sem vínculo com a sua conta, e o que estava vinculado é apagado. Excluir a conta apaga também a parte dela.

O interruptor fica em Configurações › Dados, ligado por padrão; desligado, suas mensagens chegam como estão aos modelos anonimizados. Os modelos privados nunca são mascarados: nada é guardado neles, e uma máscara errada custaria mais do que protege. Sob a barra de escrita, “3 itens mascarados” lista o que foi substituído na última mensagem. Medido em casos selados, postos de lado e nunca usados para ajustar os detectores: os endereços postais são detectados em 72% dos casos, os números de telefone em 94%, os IBANs em 100%, e em 160 armadilhas (textos que parecem dados pessoais sem o ser) não houve nenhum falso alarme. São resultados dos nossos próprios testes, não uma garantia: um dado escrito de forma incomum pode passar, por isso releia o que você envia a um modelo anonimizado. Uma terceira rodada de melhoria está prevista depois do lançamento.

• A exportação em PDF é achatada: cada página é desenhada como imagem com caixas opacas pintadas sobre os trechos escondidos, e um novo arquivo é gerado só a partir dessas imagens, sem nenhum objeto do original. Sem camada de texto, sem fontes, sem metadados (título, autor, produtor, XMP), sem anexos, sem anotações, sem scripts, sem revisões anteriores: o arquivo nunca os teve.
• Antes do download, a página verifica o arquivo que gerou: nenhum dos valores escondidos nem nenhuma das estruturas proibidas pode aparecer nele; senão, a exportação para e nada é baixado.
• As exportações em Markdown e texto substituem cada trecho escondido por um marcador numerado ([EMAIL_1]) ou por um bloco de █, à sua escolha, com um relatório opcional que dá contagens por tipo, nunca um valor.
• A página conta, com as medições do próprio navegador, as requisições que ela faz desde que você solta o arquivo, sem contar os arquivos do site; o número fica em 0 e aparece ao lado do botão de exportar.
• Nada é salvo: nem arquivo, nem texto, nem detecção, neste navegador ou em outro lugar. A cópia se chama documento-tarjado, nunca pelo nome do original. Se você estiver conectado à sua conta, pode escolher depois“Salvar no meu cofre”: é o cofre habitual, descrito acima.

A promessa é “o arquivo nunca sai do seu dispositivo, e você revisa antes de exportar”, não uma garantia: um detector não encontra nada que não conheça (um nome fora da sua lista, uma data, um lugar), e uma página digitalizada depende do que o OCR conseguiu ler. O passo de revisão existe para isso.

O Auto usa modelos privados; alguns intercâmbios passam por um modelo anonimizado, após o mascaramento. Os modelos privados do Auto: DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4 Flash, DeepSeek V4 Pro, GLM 5.2, NeverNo Uncensored, Qwen 3.5 35B e Mistral Small 3.2. Fora desses intercâmbios e das perguntas políticas abaixo, um modelo anonimizado só responde se você o escolher, ou se clicar, embaixo de uma resposta, na sugestão de perguntar a ele. Em algumas perguntas políticas que os modelos chineses recusam, o Auto responde com o Claude (Anthropic), um modelo anonimizado, após o mascaramento e em provedores com retenção zero, em vez de DeepSeek, GLM, Kimi ou Qwen.

Imagens, vídeos e sons

O Studio passa pela Runware. As descrições saem do nosso servidor sem nenhum identificador. Esta tabela também é gerada a partir do código.

Os outros serviços que veem algo passar

Busca na web

Para assinantes, a Exa recebe a consulta (uma consulta curta tirada da sua mensagem) e devolve os resultados; uma conta gratuita tem uma busca Exa por dia e depois passa pela Serper; sem conta, é a Serper. A Exa pode guardar a consulta e usá-la para melhorar seus serviços e treinar seus modelos: não contratamos nenhuma opção de retenção zero. Conforme o assunto, algumas buscas nunca são enviadas a ela. A Serper devolve os resultados do Google; o Jina Reader lê as páginas encontradas, ou o endereço que você cola. Nenhum dos três recebe um identificador nem seu endereço IP. Numa pesquisa aprofundada, a opção “Redação premium” faz o GPT 6.1 Sol buscar ele mesmo na web (a busca integrada da OpenAI, via OpenRouter, no Microsoft Azure, com retenção zero solicitada): ele recebe a sua pergunta mascarada como para um modelo anonimizado. Quando uma página original ficou ilegível, uma pesquisa aprofundada envia o endereço dela ao Internet Archive para ler uma cópia arquivada. Se uma pesquisa for feita em “todas as fontes”, consultas redigidas a partir da sua pergunta também vão para o arXiv, o OpenAlex e a base EDGAR da SEC. Nenhum deles recebe um identificador nem seu endereço IP.

Voz

O ditado e o Confessionário são transcritos pelo Whisper na Groq, com retenção zero, ou na DeepInfra quando a Groq demora; as vozes Kokoro, Inworld e Qwen passam pela DeepInfra; as vozes da xAI e da MiniMax, pela Runware. Sua voz é transcrita e depois esquecida. Com Pro+ e Max, a leitura em voz alta das respostas é feita pela ElevenLabs (voz Jessica): os dados de contato são mascarados antes do envio, cada leitura é apagada do histórico da nossa conta logo em seguida, e algumas respostas nunca passam por lá, nem uma voz escolhida por você.

Criadores dos modelos anonimizados

Os modelos anonimizados passam pela OpenRouter com a opção de retenção zero: o provedor que responde se compromete a não guardar nada. Os poucos modelos sem rota de retenção zero estão indicados na tabela acima; o criador deles guarda então a solicitação segundo as próprias regras (Anthropic até 30 dias, OpenAI 30 dias). O Gemini é servido pelo Google, que também pode guardar por até 90 dias uma solicitação sinalizada pelo seu monitoramento de abuso (sem usá-la para treinar seus modelos).

Repasse para um modelo anonimizado

Em algumas solicitações, se o nosso modelo privado não responder, a resposta pode ser escrita por um modelo de terceiros anonimizado (Grok, xAI), acionado com retenção zero: seus dados pessoais (nome, e-mail, telefone, endereço…) são mascarados antes de ele os ver, exatamente como nos modelos de terceiros que você pode escolher.

Confessionário

O Confessionário responde com o Claude Sonnet da Anthropic, servido pelo Google Vertex ou Amazon Bedrock via OpenRouter com a opção de retenção zero: nada é guardado no provedor. Se o Sonnet não responder, o Claude Haiku assume nas mesmas condições e, em último caso, o GLM 5.2, um modelo privado. Em algumas trocas de mensagens, a resposta vem do Grok 4.20 na xAI (dados pessoais mascarados, retenção zero), depois do DeepSeek V4 Pro na DeepInfra, depois do Dolphin num provedor externo com retenção zero, via OpenRouter, dois modelos privados. A voz dele está descrita logo abaixo.

Voz do Confessionário

A voz que você escolhe no Confessionário é produzida pela ElevenLabs, que age em nosso nome (como operadora) e recebe apenas o texto da resposta a ler, nunca a sua voz nem a sua conta. Antes do envio, os endereços de e-mail, números de telefone, endereços postais, dados bancários, números de cartão e endereços IP de uma frase são substituídos por palavras neutras (“seu endereço de e-mail”); nomes e sobrenomes ficam, para que a voz possa dizê-los. A ElevenLabs guarda cada frase no histórico da nossa conta: nós a apagamos alguns segundos depois de ser dita e, a cada 5 minutos, o que ainda estiver lá depois de 10 minutos é apagado. O que a ElevenLabs guarda para o próprio combate a abusos segue as regras dela. Algumas frases, e todas quando a ElevenLabs não responde, são lidas por uma das vozes listadas acima.

Memória

Em todas as contas, inclusive as gratuitas, um modelo privado (DeepSeek V4 Flash na DeepInfra) identifica os fatos a lembrar e calcula os vetores deles; o resultado volta para o seu navegador, que o criptografa.

Segurança

Nossos limites absolutos são verificados por modelos privados do nosso catálogo, que leem um pedido de imagem ou uma imagem que você envia, e depois a esquecem.

Antirrobô

Um visitante sem conta passa uma vez pela verificação do Cloudflare Turnstile, que recebe o endereço IP dele e sinais técnicos do navegador.

Pagamento

A Stripe recebe seu e-mail e o ID da sua conta para vincular o pagamento, e os dados do seu cartão, que nós nunca vemos.

Hospedagem

O site roda na Vercel, que vê suas requisições passarem. O banco de dados, as contas, o backup criptografado e a cópia de sincronização criptografada ficam na Supabase, que também envia por e-mail o seu código de login.

Cofre

Os trechos dos documentos do seu cofre e as suas perguntas recebem o vetor deles de um modelo privado na DeepInfra (Qwen3-Embedding-0.6B); os vetores voltam ao seu navegador, que os criptografa.

/** * Local-only encryption for the Zero-Log store. * * One AES-256-GCM key per browser, generated on first use as a non-extractable * CryptoKey and kept in IndexedDB: it never leaves the device and cannot be read * back as raw bytes, even by our own scripts. */import { requestPersistentStorage } from "./storage";export type Sealed = { v: 1; iv: Uint8Array<ArrayBuffer>; ct: Uint8Array<ArrayBuffer> };const encoder = new TextEncoder();const decoder = new TextDecoder();export type KeyStore = {  load: () => Promise<CryptoKey | undefined>;  /** Stores the key unless one is already there (the first stored wins). */  save: (key: CryptoKey) => Promise<void>;};let keyPromise: Promise<CryptoKey> | null = null;let activeStore: KeyStore | null = null;/** Point the module at the table that holds the key. Called once by the database. */export function configureKeyStore(store: KeyStore) {  activeStore = store;  keyPromise = null;}

• src/lib/db/crypto.ts (85 linhas)
• src/lib/backup-crypto.ts (51 linhas)
• src/lib/share.ts (165 linhas)

Nosso repositório ainda é privado. Um repositório público virá depois, para você poder comparar este código com o que o seu navegador executa.

1. 1Seus dados criptografados

   Aba Aplicativo (Chrome, Edge) ou Armazenamento (Firefox), depois IndexedDB › neverno › messages. O campo content de cada mensagem é um objeto { v, iv, ct }: bytes ilegíveis. Em keys, a chave aparece com extractable: false.

2. 2O que sai quando você escreve

   Aba Rede, depois envie uma mensagem: sai uma requisição chat, com a conversa atual e suas configurações do momento. Nenhuma outra conversa sai.

3. 3As pequenas requisições que se seguem

   Memória ligada: duas pequenas requisições memory enviam em seguida essa última troca para identificar os fatos a lembrar. Conversa nova: uma requisição chat/title também envia sua primeira pergunta e o começo da resposta, uma única vez, para dar um título a ela. Sugestões ativadas (Configurações, Conteúdo): depois de uma resposta, uma requisição chat/follow-ups envia sua última pergunta com o começo e o fim da resposta, para sugerir como continuar; nada é guardado. Sincronização ativada: requisições sync/push e sync/pull levam itens que o seu navegador criptografou, cujo campo ct é ilegível. Seu cookie de sessão vai junto com cada uma delas, a requisição chat inclusive, como em qualquer site em que você está logado.

4. 4A chave de um link de compartilhamento

   Abra um link de compartilhamento com a aba Rede aberta: a requisição shares/… só contém o ID do link. O que vem depois do # não aparece em lugar nenhum.

5. 5Com quem a página pode falar

   Em neverno.ai, o cabeçalho Content-Security-Policy da página lista os únicos endereços que ela tem permissão para contatar: nossos servidores, a Supabase, as CDNs da Runware para as suas mídias, a Cloudflare para a verificação antirrobô e dois endereços reservados à conversa por voz em tempo real do Confessionário (api.elevenlabs.io e o nosso servidor rt.neverno.ai), listados de antemão: enquanto esse recurso não estiver aberto, a página nunca se conecta a eles. Nenhuma medição de audiência de terceiros, nenhum anúncio.

• O NeverNo não é uma rede de anonimato. Nosso provedor de hospedagem vê seu endereço IP, como em qualquer site: não o registramos em nenhuma das nossas próprias tabelas, mas os logs técnicos dele podem guardar um rastro de acordo com as próprias regras, e a Supabase, que cuida do login das contas, guarda o endereço IP de cada sessão aberta. Para escondê-lo, use uma VPN ou o Tor.
• Para escolher o modelo, decidir se faz uma pesquisa e aplicar nossos limites absolutos, nosso servidor lê sua mensagem na memória enquanto a resposta é gerada. Ele não a grava em lugar nenhum, mas vê a mensagem passar.
• Com cada mensagem vai também a conversa atual (as mensagens recentes dela), porque um modelo não se lembra de nada de uma chamada para a outra.
• O selo “Privado” se baseia nos compromissos da DeepInfra e na opção de retenção zero da OpenRouter. Não podemos inspecionar os servidores deles.
• Um modelo “Anonimizado” é lido pela empresa que o criou (Anthropic, OpenAI, Google, xAI), que pode guardar a solicitação por um tempo de acordo com as próprias regras. Seus endereços de e-mail, números e nomes marcados são mascarados antes (veja acima); o resto do texto não. Para uma conversa sensível, fique com um modelo privado.
• A criptografia local impede que alguém leia suas conversas abrindo o banco de dados do jeito que está, e nenhum script consegue extrair a chave. Ela não protege você de uma pessoa ou de um programa com acesso ao seu dispositivo ou à sua sessão aberta: bloqueie o seu dispositivo.
• Alguns marcadores continuam legíveis no seu navegador (datas, modelos, tipos de mídia), e suas preferências de interface ficam ali em texto puro.
• Os vídeos e sons que você cria esperam na CDN da Runware até o seu navegador baixá-los; quanto tempo eles ficam lá depende da Runware: até 7 dias para um clipe, segundo a expiração que o endereço dele indica (medido em 11 de novembro de 2026).
• Nosso código ainda não é público: você mesmo ainda não pode comparar o código publicado com o que o seu navegador executa.
• A sincronização deixa alguns metadados visíveis: quantos itens, o tamanho arredondado deles e o horário de cada gravação, e portanto o ritmo da sua atividade. Um dispositivo aprovado que não é mais seu mantém a chave até você trocá-la.
• Se você esquecer a frase secreta do seu backup, ou limpar o navegador sem ter backup nem sincronização, seus dados se perdem: não temos como recuperá-los.

1. 15 de novembro de 2026A tabela do que nossa base guarda agora diz onde ver e encerrar suas sessões abertas: Configurações › Segurança.
2. 11 de novembro de 2026Criações longas: nossa base agora anota, para um vídeo, se ele parte de uma imagem importada (um simples indicador, sem descrição e sem imagem). O tempo em que a Runware guarda um clipe agora está indicado: até 7 dias, medido.
3. 11 de novembro de 2026Os contadores e os valores de custo de um visitante são apagados depois de 48 horas, sem exceção; os contadores de teste ligados a um endereço IP, no fim do mês; o rastro de inatividade do registro de administração não guarda mais o ID da conta; os resultados de uma missão são apagados por uma limpeza a cada hora.
4. 11 de novembro de 2026O link “Continuar no Studio”, abaixo de uma imagem num chat, não coloca mais a descrição da imagem no endereço da página; antes desta data, ela podia aparecer nos logs técnicos do nosso provedor de hospedagem.
5. 11 de novembro de 2026Excluir uma conta agora também apaga os contadores de teste dela e revoga as autorizações dadas ao Google, Notion, Slack ou GitHub. Nossos logs só anotam uma conta sob uma etiqueta com chave, e os modelos anonimizados só passam pelos provedores que esta página cita.
6. 11 de novembro de 2026Esta página foi conferida linha por linha com o código e corrigida: a Supabase guarda o endereço IP e o navegador de cada sessão aberta; a tabela do que o nosso banco de dados guarda foi completada, família por família; o cabeçalho de segurança lista também dois endereços reservados à voz em tempo real do Confessionário (desde o início de novembro); os serviços que uma pesquisa aprofundada contata e os modelos de reserva do Confessionário estão citados.
7. 9 de novembro de 2026Os contadores de uso de uma conta passam a ser guardados por 31 dias (só números, nunca conteúdo) para que o calendário de 30 dias de “Minha assinatura” fique completo; os de um visitante continuam sendo apagados após 48 horas.
8. 9 de novembro de 2026Auto: em algumas perguntas políticas que os modelos chineses recusam, ele agora responde com o Claude (Anthropic), um modelo anonimizado, em vez do Mistral Small: os dados pessoais são trocados antes do envio e recolocados na resposta, em provedores com retenção zero. Um modelo que você escolhe nunca é substituído.
9. 9 de novembro de 2026Auto: em algumas perguntas políticas que os modelos chineses recusam, ele responde com outro modelo privado (Mistral Small, ou Dolphin se necessário) em vez de DeepSeek, GLM, Kimi ou Qwen. Um modelo que você escolhe nunca é substituído.
10. 9 de novembro de 2026Pesquisa na web: a Exa atende os assinantes (uma pesquisa por dia com uma conta gratuita, depois Serper e Jina; sem conta, Serper e Jina). A Exa pode guardar a consulta (sem identificador nem endereço IP), o que nenhum dos nossos registros faz.
11. 8 de novembro de 2026Sincronização: os arquivos dos projetos de até 200 KB cada já acompanhavam você, agora isso está dito; um plano com menos espaço do que você usa interrompe as novas sincronizações, texto incluído, até você apagar o suficiente.
12. 5 de novembro de 2026A voz do Confessionário agora é produzida pela ElevenLabs: os dados pessoais são substituídos antes do envio, e cada frase é apagada do histórico da nossa conta alguns segundos depois de ser dita.
13. 4 de novembro de 2026Adicionado o que acontece com as solicitações aos modelos anonimizados e ao Confessionário (retenção zero e as exceções indicadas).
14. 4 de novembro de 2026As impressões digitais de endereço IP usadas nos limites e nos testes gratuitos agora cobrem toda a rede /64 de um endereço IPv6 (o bloco de endereços de uma mesma conexão): trocar de endereço não multiplica mais os limites. Continua sendo uma impressão digital com chave secreta, nunca o endereço em si.
15. 1 de novembro de 2026Sincronização criptografada de ponta a ponta para as contas: uma cópia ilegível nos nossos servidores, que só a sua chave de acesso, a sua chave de recuperação ou os seus dispositivos aprovados abrem. As mídias não são sincronizadas.
16. 1 de novembro de 2026Velocidade das páginas (LCP, INP, CLS) medida no seu navegador e adicionada às estatísticas de uso, arredondada e só por tipo de página. Nada é enviado se o compartilhamento de estatísticas estiver desativado.
17. 1 de novembro de 2026Memória entre conversas para todas as contas, inclusive no plano gratuito. Visitantes sem conta continuam sem memória.
18. 31 de outubro de 2026Estatísticas de uso sem conteúdo: a nossa própria contagem, sem cookies, uma impressão do dia, um interruptor nas Configurações.
19. 31 de outubro de 2026Cofre privado: documentos salvos criptografados neste navegador; só saem os trechos de que uma pergunta precisa, com essa pergunta.
20. 31 de outubro de 2026Conversas efêmeras: uma conversa salva só na memória da aba, nunca escrita neste navegador.
21. 31 de outubro de 2026Os valores do custo do seu uso incluído agora são apagados automaticamente após 35 dias.
22. 31 de outubro de 2026Esta página e o código que criptografa são publicados.
23. 31 de outubro de 2026Pesquisa na web: a consulta sai do nosso servidor sem identificador e sem endereço IP, e não é registrada.
24. 31 de outubro de 2026Sua cor de destaque é salva no seu perfil, como o seu avatar desde o dia anterior (uma semente, nunca uma foto).
25. 30 de outubro de 2026As imagens que você envia são verificadas e depois recodificadas sem metadados antes de irem para um provedor.
26. 30 de outubro de 2026Limpeza automática a cada hora: contadores de uso com mais de 48 horas, links de compartilhamento expirados.
27. 30 de outubro de 2026Exclusão da conta nas Configurações: assinatura, cliente da Stripe, backup, chaves, contadores e custos apagados.
28. 30 de outubro de 2026Votos nas respostas: simples contadores anônimos, sem conta e sem texto.
29. 30 de outubro de 2026Backup criptografado com uma frase secreta (PBKDF2, 600.000 iterações, AES-256-GCM).
30. 30 de outubro de 2026Links de compartilhamento criptografados, chave no # do link; as imagens são criptografadas neles com a mesma chave.
31. 30 de outubro de 2026Cabeçalhos de segurança: a página só pode contatar nossos servidores, a Supabase, as CDNs de mídia e a Cloudflare.
32. 30 de outubro de 2026Chaves de API: só uma impressão digital SHA-256 é guardada.
33. 30 de outubro de 2026Login com um código por e-mail; o teste sem conta é vinculado a uma impressão digital do endereço IP, nunca ao endereço em si.
34. 29 de outubro de 2026Histórico criptografado no navegador (AES-256-GCM, uma chave não extraível por navegador).