O preço do serviço, o modelo de receitas e os dados recolhidos são três perguntas distintas; cada resposta exige documentação.
O facto de uma aplicação de mensagens ser gratuita não prova, por si só, que vende os dados dos utilizadores. Os serviços podem ser financiados por donativos, subscrições, serviços empresariais ou publicidade. A pergunta certa é que dados o serviço recolhe, porque precisa deles, durante quanto tempo os guarda e com quem os partilha.
A encriptação ponta a ponta é apenas uma parte desta avaliação. O conteúdo encriptado de uma mensagem e as informações sobre o momento e o percurso da comunicação não são a mesma questão.
Porque não basta dizer «se é gratuito, o produto és tu»?
A frase pode chamar a atenção para os incentivos económicos, mas não substitui a documentação. Por exemplo, o Signal explica na sua página de donativos o modelo sem fins lucrativos apoiado pelos utilizadores. Não se pode concluir que vende o grafo de comunicações apenas porque é gratuito.
No sentido inverso, pagar também não garante a minimização de dados. Um serviço pago pode guardar dados para operações, apoio ou análise do produto. Avalie separadamente o preço, a propriedade da empresa, a política de privacidade e a arquitetura técnica.
| Modelo de financiamento | Pergunta útil para avaliar |
|---|---|
| Donativos | Qual é a transparência das principais fontes e dos custos operacionais? |
| Subscrição do utilizador | Que dados gera o pagamento e que fornecedores estão envolvidos? |
| Serviços empresariais | Como se separam os dados de contas pessoais e empresariais? |
| Publicidade | Em que dados se baseiam os anúncios e têm relação com conversas privadas? |
A existência de um modelo de receitas não demonstra, por si só, todas as práticas de dados do serviço.
O que são metadados e porque são sensíveis?
Os metadados são informações em torno da comunicação: momento, dimensão aproximada dos dados, percurso de entrega ou membros de um grupo, consoante o desenho do serviço. A combinação desses dados pode revelar padrões de comunicação, mesmo sem ler o texto das mensagens.
Contudo, não é possível inferir com certeza a identidade, o assunto da conversa ou a localização exata a partir de cada ligação. A qualidade e o contexto dos dados importam. Por exemplo, registar um endereço IP não é o mesmo que ter uma localização GPS exata.
Por outro lado, não desvalorize o conteúdo das mensagens. O facto de os metadados serem sensíveis não significa que o conteúdo de um contrato, uma fotografia ou uma conversa privada tenha «pouco valor».
Como ler uma política de privacidade?
Em vez de procurar uma frase publicitária, registe estes pontos:
- Tipo de dados: identificador, número, contactos, IP, momento, token de notificações, relatório de erro ou dados de pagamento?
- Finalidade: encaminhamento, prevenção de abusos, sincronização, análise ou publicidade? Não confunda uma finalidade genérica e vaga com uma explicação concreta.
- Destinatário: o próprio serviço, o prestador de alojamento, serviços de notificações, o fornecedor de pagamentos ou um parceiro publicitário?
- Conservação: qual é o prazo ou critério de eliminação? Que efeito tem eliminar a conta nas cópias de segurança e nos registos de segurança?
- Controlo: o que é opcional e que funcionalidade deixa de funcionar sem esses dados?
Se a resposta não for clara, escreva «desconhecido»; a ausência de provas de venda não prova a ausência de recolha, e a existência de recolha também não prova automaticamente a venda.
O que afirma o Livara explicitamente?
A página de segurança do Livara afirma que conserva metadados operacionais para entrega e sincronização, incluindo relações entre interlocutores, pertença a grupos, momentos, tamanho do texto cifrado e estado da entrega. A mesma página indica que o LSS1 ainda não está ligado ao percurso normal de envio de mensagens.
Assim, não se pode apresentar o Livara como «totalmente anónimo» nem a sua base de dados como «desprovida de qualquer informação útil». O conteúdo privado encriptado e os metadados visíveis são duas partes distintas. Para conhecer as regras de utilização dos dados, deve também ler a política de privacidade em conjunto com a arquitetura técnica, não em substituição desta.
A autenticação SRP também não determina o modelo de receitas nem a recolha de metadados. Este protocolo diz respeito ao início de sessão; utilizá-lo não torna matematicamente impossível vender dados. A criptografia pós-quântica também não é sinónimo de ocultar o grafo de comunicações.
Crie uma comparação útil
Para duas ou três opções, crie uma tabela com as colunas «dados necessários», «dados opcionais», «acesso do serviço», «prazo de conservação», «modelo de receitas» e «fonte e data». Não force uma marca verde ou vermelha numa característica desconhecida. Se utilizar um serviço empresarial, acrescente o contrato, a gestão de dispositivos e os requisitos de conservação da organização.
Conclusão: uma alegação de privacidade deve ser sustentada por documentação e desenho técnico. Ser gratuito não é motivo de condenação, e pagar ou citar o nome de um algoritmo não é prova de imunidade.
