Segurança
Última atualização em 14 September 2026. Só são listadas medidas que existem. O que falta é listado como em falta.
Porque é que esta página é directa. Uma pessoa só conta a um companheiro coisas que não conta a mais ninguém: o que dói, do que tem medo, quem deixou de ligar. Se isso vazasse não seria um incómodo, seria uma humilhação. Por isso esta página indica o que está mesmo em vigor e, no fim, o que ainda não está.
Em que ponto as coisas estão
Uma máquina dedicada na EU, não alojamento partilhado. Fornecedor: Hetzner Online GmbH.
A fala é processada em tempo real. Não existe gravação que possa vazar, ser intimada ou ser perdida.
Certificados da Let's Encrypt, renovados automaticamente.
Um token longo e aleatório por pessoa. Sem contas partilhadas, sem palavras-passe para voltar a usar ou perder.
O início de sessão por palavra-passe no servidor está totalmente desativado.
Listados pelo nome no política de privacidade. Nada mais recebe dados.
Como é que a memória de uma pessoa permanece só dela
Este é o risco que mais importa num serviço como este: alguém abrir uma conversa e ouvir falar da vida de um estranho, ou pior, a própria vida ser lida por outra pessoa.
Cada pedido transporta o próprio token da pessoa. Cada consulta de memória é limitada a esse token ao nível da base de dados, por isso não existe consulta que possa devolver episódios de outra pessoa. Os tokens são longos e aleatórios, não sequenciais, por isso não podem ser adivinhados nem percorridos aumentando um número.
Testamos isto em cada alteração de código. São criados dois companheiros, um recebe uma memória e o teste tenta então chegar a essa memória através do token do outro. Se algum dia conseguir, a alteração não é lançada. Não é uma política numa página, é um teste que tem de passar.
O que sai do nosso servidor, e o que não sai
Guardado apenas nas nossas máquinas: texto de conversas, memória, perfis, nomes de familiares, datas, notas de saúde e de estado de espírito.
Sai da nossa máquina: a fala em tempo real e o texto da conversa, para o fornecedor do modelo de fala indicado no política de privacidade, para reconhecimento e resposta. Pelos termos da API deles esse conteúdo não é usado para treinar modelos. Esta é a única parte de uma conversa que vai para qualquer outro lado, e preferimos dizê‑lo de forma simples em vez de o deixar descobrir.
Não é enviado para lado nenhum: nada é vendido, nada vai para anunciantes e não há scripts de estatísticas ou de seguimento neste site. Não há banner de cookies porque não há nada para aceitar.
Procurar coisas sem deixar fugir dados
Quando o James encontra uma clínica, um livro ou uma receita, consulta serviços públicos abertos: OpenStreetMap, Open Library, Wikisource, TheMealDB. Eles recebem o termo de pesquisa e uma zona aproximada, nunca um nome e nunca mais nada da conversa.
Usamos fontes reais de propósito em vez de deixar um modelo de linguagem responder de memória. Um endereço de clínica inventado com confiança, dado a alguém que precisa de um médico, é uma falha de segurança e não uma questão de aparência.
Mensagens de emergência
Só a própria mensagem e o identificador do destinatário vão para o fornecedor de mensagens. A conversa não vai. Cada tentativa é registada com o respetivo resultado, e uma falha é comunicada em voz alta à pessoa em vez de ser engolida em silêncio. Acreditar que a ajuda está a chegar quando não está é o pior resultado que este sistema pode produzir, por isso é tratado como uma propriedade de segurança, não uma gentileza.
Manter o software honesto
- Testes automáticos correm antes de cada colocação em produção, cobrindo isolamento de memória, recusa em inventar uma conversa passada, relato honesto de mensagens falhadas e as regras de crise.
- Cada ficheiro alterado no servidor em produção é copiado primeiro, com data e hora, para que uma alteração má possa ser revertida imediatamente.
- Segredos são guardados em ficheiros legíveis apenas pela conta de serviço, nunca na página, nunca no repositório.
- A instrução de sistema proíbe inventar memórias. A bateria de testes verifica o comportamento, porque uma regra numa instrução é um pedido e um teste é prova.
O que ainda não está em funcionamento
Listar estas coisas é o objetivo da página. Qualquer pessoa pode reivindicar as partes boas.
- Cada base de dados é cifrada em repouso. SQLCipher, AES-256, no nosso próprio servidor na Finlândia. O ficheiro de chaves é legível só por root e as cópias em texto simples feitas durante a migração foram destruídas, não apagadas. O áudio nunca é escrito em disco.
- Nenhuma auditoria de segurança independente. Nenhuma empresa externa reviu este sistema. Diremos isso nesta página quando alguma o fizer, com a data.
- Nenhuma certificação ISO 27001 ou SOC 2. Não temos nenhum dos dois e não sugerimos o contrário.
- O próprio disco não é cifrado. As bases de dados estão cifradas (ver acima), mas a cifragem de disco total está desativada, o que é normal para uma máquina que tem de reiniciar sem ninguém presente. O acesso físico ao host continua por isso a ser um limite de risco real e confiamos nos controlos do centro de dados do fornecedor para isso.
- A chave da base de dados vive no mesmo servidor. Tem de ser assim para o James responder às três da manhã sem uma pessoa a desbloquear seja o que for. Por isso a cifragem protege um disco roubado ou um ficheiro de cópia de segurança que vaze. Não protege contra um atacante que já tenha acesso administrativo ao servidor em execução. Quem disser o contrário sobre um serviço como este está a exagerar.
- Nenhuma autenticação de dois fatores nas contas. porque não há palavras‑passe: o acesso é a ligação privada. Isso é mais simples para uma pessoa de 80 anos e também quer dizer que uma ligação que vaze é uma conta que vaza. Diga‑nos e voltamos a emiti‑la de imediato.
- Nenhuma recompensa formal por falhas. Mas veja abaixo e nós respondemos.
Se encontrar um problema
Escreva para security@hellojames.io ou legal@hellojames.io. Diga‑nos o que encontrou e como o reproduzir. Respondemos em 72 horas, não o iremos ameaçar e daremos crédito se quiser isso.
Se acreditar que dados foram expostos, diga isso na linha de assunto e tratamos como um incidente de imediato: autoridade notificada em 72 horas quando exigido, e pessoas afetadas são informadas diretamente, em palavras simples.