Como seus dados são protegidos
Sim, os dados ficam na nuvem, mas os nomes chegam lá embaralhados. Quem guarda o conteúdo não tem a chave para abrir. Veja o que isso significa, e também o que ainda não protegemos.
A ideia, em palavras simples
Pense em um cofre alugado em um prédio. O prédio guarda o cofre, mas não tem a chave.
No Prontos, o seu aparelho embaralha nomes e informações antes de enviar. Na nuvem fica só o conteúdo embaralhado, e a chave fica nos aparelhos que a congregação aprovou.
Por isso, quem administra os servidores, e isso inclui a equipe do Prontos, não consegue ler os nomes guardados no banco de dados.
O que fica guardado na nuvem
Embaralhado: o servidor não consegue ler
- Nomes das pessoas
- Sexo, situação e privilégios
- Parentes e observações
- Partes que cada pessoa pode fazer
- Nome da congregação
Visível para o servidor
- E-mail de quem usa o app, necessário para entrar
- A que congregação, identificada só por um número, cada e-mail pertence, e suas permissões
- Datas das reuniões e tipos de parte
- Códigos aleatórios no lugar das pessoas em cada designação
- Dados técnicos dos acessos, como endereço IP, nos registros dos provedores
Perguntas comuns
Onde os dados ficam?
Em empresas de nuvem: o banco de dados no Supabase, o site na Vercel e o envio dos códigos por e-mail no Resend. Elas guardam ou transportam a informação, mas os nomes chegam embaralhados. O e-mail de quem entra é visível para o Supabase e para o Resend, porque sem ele o código não chegaria.
E se o banco de dados vazar?
Quem obtiver uma cópia vê conteúdo embaralhado no lugar dos nomes. Mas veria os e-mails de quem usa o app, as datas e os códigos aleatórios. Ou seja, um vazamento poderia revelar que certo e-mail usa o Prontos. Nenhum sistema na internet pode prometer risco zero.
A equipe do Prontos pode ler os nomes?
Não pelo banco de dados, porque a chave não fica lá. Existe um limite honesto: como o site é entregue pela internet, uma atualização maliciosa ou um ataque ao site poderia, em tese, capturar o que aparece na tela. Por isso seguimos reforçando essa parte.
E se alguém invadir o e-mail de uma pessoa?
A pessoa invasora consegue entrar na conta, mas em um aparelho novo os nomes não abrem até alguém aprovar esse aparelho. O pedido aparece em um aparelho já aprovado, com um código. Quem tem papel além de ver o quadro também precisa do app autenticador.
Quem da congregação vê o quê?
Todo membro aprovado pode acessar o que é do quadro, como nomes de exibição e designações publicadas. Nome completo, sexo, privilégios, parentes e observações só abrem para quem tem papel de designação ou configuração. Cada congregação fica separada das demais.
Que dados pessoais são pedidos?
Só o necessário: e-mail para entrar, nome completo e nome de exibição. Sexo e privilégios servem para aplicar as regras do rodízio. Não pedimos documentos, endereço nem foto. Não há senha para ser roubada, e o app não usa anúncios nem rastreadores.
E se eu perder o aparelho?
Em um aparelho novo, a pessoa pede aprovação a outro aparelho seu ou a um administrador. Os dados continuam na nuvem. Se todos os administradores perderem o acesso, só o código de recuperação abre os dados. Sem ele, ninguém consegue recuperá-los, nem nós. Por isso, vale ter dois administradores, e quem perder o código pode gerar outro enquanto tiver um aparelho aprovado.
A inteligência artificial lê os nomes?
Hoje o app não usa inteligência artificial. Quando existir, será opcional e com a chave da própria congregação, para ler a apostila, sem enviar dados de pessoas.
O que ainda não está pronto
Preferimos dizer claramente. O Prontos ainda está em desenvolvimento, e estes pontos importam:
- Aparelho desbloqueado: quem estiver com ele na mão e com a sessão aberta vê o que a pessoa vê. Ainda não há bloqueio automático por inatividade.
- Aparelho perdido ou ex-membro: ainda não há tela para bloquear um aparelho já aprovado nem para trocar as chaves depois disso.
- Pressão ou coação: se alguém for obrigado a abrir o app, a tecnologia não consegue impedir. Por isso guardamos o mínimo possível.
- Código de aprovação: 6 dígitos são práticos, mas não bastariam contra uma invasão sofisticada dos servidores. Uma aprovação por QR code está planejada.
- Backup: a cópia cifrada ainda não tem tela. Por enquanto, não há como baixar uma cópia própria.
- Pedidos da LGPD: exportar ou excluir os dados de uma pessoa ainda não têm tela própria.
- Auditoria: o sistema tem testes automáticos, mas ainda não passou por uma revisão de segurança independente.
O que você pode fazer
- Use senha ou biometria no celular e no computador, e proteja bem o seu e-mail.
- Guarde o código de recuperação em papel, longe do aparelho.
- Só aprove um aparelho se confirmar com a pessoa e o código bater.
- Saia do app em computadores compartilhados.
- Tenha pelo menos dois administradores.
Para quem entende de tecnologia
- Campos cifrados no aparelho com XChaCha20-Poly1305 (libsodium), com o contexto do registro como dado associado.
- Duas chaves por congregação (quadro e administrativa), com versão. Cada aparelho tem um par X25519, e as chaves chegam em envelopes selados.
- A chave privada do aparelho fica no IndexedDB, protegida por uma chave AES-GCM não exportável do navegador.
- Código de recuperação de cerca de 124 bits, com Argon2id.
- Isolamento por congregação com Row Level Security do PostgreSQL. Segundo fator TOTP obrigatório para qualquer papel além de ver o quadro.