Novidades · Segurança no Blackbear

O que nossos servidores veem

Todo serviço na nuvem guarda metadados sobre você. A maioria esconde esse fato na página nove de uma política de privacidade. Nós preferimos publicar o inventário.

Isto é o que os servidores do Blackbear armazenam, conferido com o esquema real do nosso banco de dados no momento em que publicamos este post. Não a versão de marketing. As colunas.

Sua conta

Você pode entrar com e-mail, telefone, Google ou Apple. Seja qual for a sua escolha, o identificador fica armazenado criptografado e é localizado por um hash com chave. Conseguimos descriptografar o seu e-mail quando precisamos enviar um link mágico, e ele nunca aparece sem censura nos nossos registros.

O login por telefone usa o Twilio Verify para enviar os códigos. Nós nunca guardamos os códigos; o Twilio necessariamente vê o seu número para entregar a mensagem.

Se você paga pela sincronização, o Stripe guarda os seus dados de pagamento. Nós guardamos uma referência de cliente, o seu plano e o estado da sua assinatura. Nunca vemos o seu cartão.

Sincronização

Para cada mudança que você sincroniza, o servidor registra: o tipo de coisa (um arquivo, uma tarefa, um evento da agenda), o ID, metadados de versão para resolver conflitos, um carimbo de data e hora, qual dos seus dispositivos a enviou e o tamanho em bytes. O conteúdo em si é texto cifrado, lacrado no seu dispositivo como descrito na parte 1.

Então, sim: poderíamos ver que você sincroniza mais planilhas do que notas, e que você fica ativo nas manhãs de dias úteis. Isso é metadado de verdade, e não vamos fingir que não é. O que não conseguimos ver: títulos, texto, tags, nomes de pastas ou qualquer coisa dentro dos seus arquivos.

As linhas de mídia são ainda mais enxutas: uma chave de armazenamento opaca terminada em .enc, uma contagem de bytes e o tipo geral do arquivo, vindo da validação do envio. Os nomes dos seus arquivos nunca entram na chave de armazenamento nem no banco de dados.

Mensagens

A caixa postal é um ponto de passagem, não um arquivo. Uma linha de mensagem guarda a conta de quem envia, a conta de quem recebe, um ID de conversa, carimbos de data e hora e o envelope lacrado. Conseguimos ver quem conversa com quem, e quando. Não conseguimos ver o que é dito.

A retenção é automática: as mensagens entregues são apagadas depois de 24 horas. As mensagens não entregues esperam até 30 dias pelo destinatário e depois são apagadas.

Espaços compartilhados

Para a colaboração, o servidor guarda os membros de cada grupo pela impressão digital da chave, os papéis assinados, as épocas das chaves e as atualizações criptografadas. Ele consegue saber que cinco impressões digitais compartilham um documento e com que frequência editam. Não consegue ler uma palavra dele. A parte 3 explica isso em detalhes.

Dispositivos

A sua lista de dispositivos mostra, para cada dispositivo, uma plataforma, o horário da última sincronização e um cursor de sincronização. Hoje os nomes dos dispositivos ficam armazenados do jeito que você os digitou: chame um dispositivo de “MacBook”, e não de algo que você se importaria que víssemos.

Registros de segurança

Mantemos um registro de auditoria dos eventos de segurança: logins, falhas, operações sensíveis, com endereço IP e user agent. Ele existe para detectar abusos, e não fica em estado bruto. Depois de um período limitado, cada registro é reduzido ao mínimo: o IP é mascarado, o user agent vira só o nome de uma plataforma, e o ID da sua conta é substituído por um ID de privacidade opaco. Os registros reduzidos são criptografados e vão para um armazenamento frio, e as linhas brutas são apagadas.

Até os nossos próprios registros perdem os detalhes que identificam alguém, com data marcada.

Estatísticas de acesso

O nosso site (este aqui) envia um único sinal de visualização de página para a nossa própria API. Sem cookies, sem fingerprinting, e o Do Not Track é respeitado. Os valores que identificam alguém passam por um hash com um salt que muda todo dia, os valores brutos são descartados, e as linhas são apagadas numa janela móvel. O app nunca é rastreado. Sem telemetria, sem SDKs, sem scripts de terceiros. Não conseguimos fazer testes A/B com você. Ficamos sabendo dos bugs quando você nos conta.

No fim das contas

Construímos o Blackbear para que a resposta honesta a “o que vocês sabem sobre mim?” continue curta. Um identificador criptografado. Texto cifrado com formatos e carimbos de hora. Um ponto de passagem que esquece em horas. Registros que esquecem de propósito.

Uma promessa de privacidade que você não pode conferir é só uma impressão. Um inventário que você pode nos cobrar é um compromisso público. Este é o nosso, conferido linha por linha com o esquema em produção em 15 de agosto de 2026.