App de diário pessoal com senha: o que a senha protege, o que a criptografia protege e o que verificar

Quase todo app de diário se diz privado. Alguns querem dizer que o app tem uma senha. Outros, que os dados são criptografados nos servidores deles. Uns poucos, que ninguém além de você consegue ler o que você escreve, nem mesmo a empresa. São três promessas muito diferentes, e a página da loja raramente diz qual delas você está levando.

Este guia explica a diferença em palavras simples, o que a criptografia normalmente não cobre e o que perguntar antes de confiar a um app as partes da sua vida que você nunca contou a ninguém.

Nível 1: uma senha ou Face ID no app

O bloqueio do app pede um código ou o seu rosto antes de mostrar qualquer coisa. É útil: impede que um parceiro, um filho ou um colega que pegue o seu celular desbloqueado fique rolando suas entradas.

É só isso que ele faz. Os dados em si continuam iguais. Se o app guarda uma cópia na nuvem, essa cópia é exatamente tão legível quanto era antes de você criar a senha. Um bloqueio é uma cortina, não um cofre.

Nível 2: criptografia “em trânsito” e “em repouso”

A maioria dos serviços sérios criptografa os dados no caminho até o servidor (o cadeado no navegador, o TLS) e nos discos do servidor. Isso protege você de alguém escutando em um Wi-Fi público e de um disco rígido roubado.

Mas quem guarda as chaves é o serviço. O software dele precisa ler suas entradas para mostrá-las em um celular novo, então também consegue lê-las em outras situações: um técnico de suporte com acesso demais, uma conta de administrador invadida, uma ordem judicial. “Criptografamos seus dados” muitas vezes é verdade e, ainda assim, significa que a empresa poderia ler tudo se quisesse ou se fosse obrigada.

Nível 3: criptografia no seu aparelho, com a sua chave

O modelo mais forte criptografa suas palavras no seu celular, com uma chave gerada a partir de uma senha que só você sabe, antes de qualquer envio. O servidor guarda um texto embaralhado que não consegue ler. Quando o sistema é desenhado para que os dados só possam ser lidos na sua ponta, isso se chama criptografia de ponta a ponta: nas palavras da Electronic Frontier Foundation, a informação é transformada em uma mensagem secreta por quem a envia e “decodificada apenas pelo destinatário final”. Em um diário, você é os dois.

Essa proteção tem um preço, e um app honesto avisa logo de cara: se você esquecer a senha e não tiver uma chave de recuperação, ninguém consegue recuperar suas entradas. Nem o suporte, nem os desenvolvedores. Os serviços que fazem isso direito dizem isso com todas as letras: as perguntas frequentes sobre criptografia do Day One afirmam que, se a chave for perdida, o diário criptografado “não pode ser descriptografado”, e a Apple avisa que, se você ativar a Proteção Avançada de Dados e perder o acesso à conta, ela “não terá as chaves de criptografia para ajudar você a recuperá-la”. Isso não é um defeito. É o que “não conseguimos ler” realmente significa, e é por isso que bons apps dão a você uma chave de recuperação ou um backup da chave, e por isso você deve guardá-la.

O que a criptografia costuma deixar visível

Mesmo com criptografia forte, “tudo é criptografado” raramente é verdade ao pé da letra. Pergunte sobre:

• Títulos e datas. Muitos apps os deixam legíveis para que a linha do tempo e a busca funcionem sem a sua senha.
• Fotos, vídeos e notas de voz. Arquivos grandes costumam ser guardados de forma diferente do texto, e nem sempre são criptografados da mesma forma.
• Tags, humores, lugares. Campos pequenos, mas juntos podem dizer muita coisa.
• Metadados. Quando você escreve, com que frequência, quanto. A criptografia esconde o conteúdo, não o fato de que o conteúdo existe. O guia da EFF diz isso de forma simples: a criptografia de ponta a ponta “não protege seus metadados”.
• Notificações. Um lembrete que mostra o título de uma entrada na tela de bloqueio mostra esse título a qualquer um que olhe o seu celular. Normalmente dá para ocultar a prévia das notificações nos ajustes do celular.

Nada disso torna um app ruim. Torna suspeita uma promessa vaga. Um app confiável sabe dizer exatamente quais campos são criptografados e quais não são.

Se o app tem IA

Os recursos de IA em um diário funcionam enviando suas palavras a um modelo de linguagem, que quase sempre roda nos servidores de outra empresa. Texto criptografado não pode ser analisado, então o texto que vai para a IA é a versão legível. Isso não é necessariamente um problema, mas você deveria saber:

• A IA é opcional, e algo é enviado antes de você concordar?
• O modelo de qual empresa recebe o texto?
• Essa empresa pode usar o seu texto para treinar os modelos dela? (Em muitas APIs de IA, isso depende de o desenvolvedor pagar ou não pelo serviço.)
• Cada recurso de IA pode ser desligado separadamente, e o que acontece com as entradas bloqueadas?

Ficar preso: dá para sair?

Privacidade também é controle. Um diário que você não consegue exportar é um diário que você não consegue levar quando a empresa muda os preços, acrescenta recursos que você não quer ou fecha as portas. Verifique se a exportação é gratuita, em que formato ela sai e se fotos e áudios vêm junto ou só o texto.

Dez perguntas para fazer a qualquer app de diário

1. O app tem bloqueio, e o que ele protege?
2. Meu texto é criptografado no meu aparelho antes de ser enviado, ou só no servidor?
3. Quem guarda a chave? A empresa consegue ler minhas entradas?
4. O que acontece se eu esquecer a senha? Existe uma chave de recuperação?
5. Quais campos não são criptografados: títulos, datas, humores, fotos, áudio?
6. O app tem IA? Ela é opcional, só com o meu consentimento? Qual fornecedor recebe o meu texto?
7. Minhas entradas são usadas para treinar algum modelo de IA?
8. O que as notificações mostram na tela de bloqueio?
9. Posso exportar tudo, com as mídias, de graça?
10. Posso excluir minha conta e meus dados dentro do próprio app?

Como o Lifeline responde

Já que estamos pedindo que você cobre esse padrão dos apps, aqui estão as nossas próprias respostas, inclusive as partes menos impressionantes.

• Bloqueio. Você pode bloquear qualquer memória com uma senha mestra. As palavras dela (o texto, suas reflexões, as perguntas da IA e suas respostas) são criptografadas no seu celular com AES-256-GCM, usando uma chave derivada da sua senha, antes de chegar ao nosso servidor. Não conseguimos lê-las. Depois de definir uma senha mestra, você também pode desbloquear com Face ID, impressão digital ou o código do celular.
• O que não é criptografado. O título, a data, as emoções (inclusive a palavra que você escolhe para o sentimento), as fotos, os vídeos, as notas de voz e os nomes delas, e a música anexada a uma memória não são criptografados. As memórias que você não bloqueia são protegidas em trânsito e nos servidores do Google, como na maioria dos apps, mas não são criptografadas com a sua chave.
• Senha esquecida. Quando você define a senha, o app dá a você uma chave de recuperação. Com ela, você pode criar uma nova senha e manter tudo. Sem ela, ninguém consegue abrir as memórias bloqueadas, nem nós.
• IA. Opcional. Nada é enviado até você concordar uma vez. Depois disso, cada recurso envia só o que precisa, pelo nosso servidor, ao modelo Gemini do Google. Um único botão desliga tudo, e há botões próprios para as perguntas, para os padrões do mês e para a Bússola da vida com “O que veio depois de momentos parecidos”. Usamos o Gemini sob os termos de serviço pago do Google, nos quais o Google não usa os prompts nem as respostas para melhorar os produtos dele; ele guarda registros por um tempo limitado para evitar abusos e por motivos legais. Recursos em segundo plano nunca enviam o texto de uma memória bloqueada; perguntas sobre uma memória bloqueada só são enviadas depois que você confirma. O app tem uma tela “O que a IA vê”, que descreve o que cada recurso envia.
• Notificações. Os lembretes de “Neste dia” e o widget da tela inicial mostram o título de uma memória, mas nunca o título de uma memória bloqueada. Se até isso for demais para a sua tela de bloqueio, desligue o lembrete ou oculte as prévias nos ajustes do celular.
• Estatísticas de uso. Como a maioria dos apps, o Lifeline usa o Firebase Analytics e o Crashlytics do Google para contar como os recursos são usados e para receber relatórios de falhas. Eles não contêm o texto das suas memórias. Também usamos o App Events da Meta para saber quais anúncios nossos levam a instalações e compras: ele recebe eventos como cadastro, início de um período de teste e compra do Premium, nunca nada do que você escreve. No iPhone, isso só acontece se você permitir que o app faça rastreamento.
• Exportação e exclusão. A exportação é gratuita: um ZIP com cada memória em texto, mais suas fotos, vídeos e notas de voz. As memórias bloqueadas entram depois que você digita a senha e, dentro do ZIP, já não estão criptografadas, então guarde o arquivo em um lugar seguro. Sua conta e seus dados podem ser excluídos dentro do app; nossos backups são apagados em até 30 dias.

Seja qual for o app que você escolher, o hábito que mais protege você é sem graça: um bloqueio forte no próprio celular e a sua chave de recuperação anotada em um lugar seguro que não seja o mesmo celular.

Lifeline para iPhone e iPad · Lifeline para Android