Em resumo

O GravesMail é um cliente de e-mail centrado no armazenamento local. O seu e-mail é baixado para o seu computador e fica lá. Não opero servidores que armazenem, leiam ou processem o seu e-mail. Não coleto informações pessoais. Não exibo anúncios. Não vendo dados. Nada sobre o seu e-mail sai do seu computador; o servidor de e-mail é usado apenas para baixar e enviar o seu e-mail.

Quais dados o GravesMail armazena

Todos os dados são armazenados localmente no seu perfil de usuário — em %LocalAppData%\GravesMail no Windows, ou no local equivalente da plataforma no macOS, Linux, iOS e Android. Veja o que é mantido e por quê:

O banco de dados criptografado. Os seus e-mails e quase todos os seus dados de apoio ficam em um único repositório com criptografia integral do banco de dados: cada mensagem, assunto, remetente e anexo, além dos seus contatos, calendário, assinaturas, Regras rápidas e regras avançadas, listas de remetentes seguros e bloqueados, reputação dos remetentes, treinamento do filtro de spam, limites ajustados e configurações de segurança. Antes, eles eram arquivos soltos ao lado do banco de dados; foram consolidados dentro dele, o que reforçou a proteção deles. Eles não saíram do seu dispositivo — nada mudou quanto ao lugar onde os seus dados ficam, apenas quanto à forma como são armazenados localmente.

Arquivos que ficam fora do banco de dados, porque são necessários antes que ele possa ser aberto ou porque precisam sobreviver à perda dele:

• A chave do banco de dados — mantida no armazenamento seguro de chaves do próprio dispositivo (DPAPI no Windows, Keychain no macOS/iOS, Keystore no Android, o armazenamento de segredos do sistema no Linux). Ela não pode ficar dentro do banco de dados que desbloqueia.
• Credenciais de conta salvas — as suas senhas de IMAP/SMTP e os tokens OAuth2, criptografados com a chave do seu dispositivo e mantidos deliberadamente separados do banco de dados de e-mails.
• bmk.wrap — as cópias encapsuladas da sua chave mestra de backup. Ele fica junto dos seus backups, e não no banco de dados, justamente porque um backup existe para sobreviver à perda desse banco de dados.
• O seu chaveiro PGP — mantido no formato padrão em disco, com o chaveiro privado sob a sua própria chave de encapsulamento.
• backups/ — arquivos de backup criptografados (.gravesmail-backup), com AES-256 sob a chave mestra de backup
• Catálogo de backups — um índice local de metadados para navegar instantaneamente pelo conteúdo dos backups (nunca é transmitido)
• Registro de exclusões — conteúdo das mensagens excluídas, para recuperação (retenção configurável: 30–365 dias)

Os arquivos que vêm com o aplicativo — o modelo de spam de base, as regras YARA de base e a tabela de consulta geográfica — são recursos do programa, não dados seus. Eles são substituídos quando você atualiza e ficam excluídos dos backups.

Nenhum dado é armazenado fora deste diretório. Nenhum dado é armazenado em servidores remotos.

Quais dados o GravesMail nunca coleta

• Endereços de e-mail — os seus ou os de quem envia e-mails para você
• Conteúdo de e-mail — nem linhas de assunto, nem corpos de mensagens, nem anexos
• Informações sobre remetentes ou destinatários
• Senhas ou credenciais
• Listas de contatos
• Eventos do calendário
• Endereços IP
• O seu nome, a sua localização ou qualquer informação que identifique você
• Padrões de uso — não rastreio com que frequência você abre o aplicativo, quais e-mails lê nem como interage com as mensagens
• Relatórios de falhas ou diagnósticos — nada é enviado automaticamente, nunca
• Dados de instalação ou de registro — não há nenhuma conta para criar

Privacidade dos backups

O GravesMail cria backups criptografados de todo o seu perfil local:

• Os backups agendados e manuais locais do dispositivo (completos e diferenciais) são criptografados com AES-256 sob uma chave mestra de backup que o GravesMail gera e gerencia. A chave nunca é armazenada sem proteção — só são mantidas cópias encapsuladas, encapsuladas tanto sob o armazenamento seguro de chaves do seu dispositivo (para que os backups de rotina não precisem de senha) quanto sob uma frase secreta de recuperação que você define uma vez. A frase secreta de recuperação é obrigatória, não opcional, e é ela que permite que estes backups sejam restaurados em um dispositivo novo ou substituído. Eu nunca recebo a chave nem a frase secreta, e não posso recuperar nenhuma das duas para você.
• O Backup portátil com senha (Arquivo → Backup portátil com senha…) é selado com uma senha que você escolhe, usando alongamento de chave PBKDF2-SHA256 em 600.000 iterações. Se você perder essa senha, o backup não pode ser aberto — por projeto, e por ninguém, nem por mim.
• Os catálogos de metadados dos backups são armazenados localmente e nunca são transmitidos. Eles permitem navegar instantaneamente pelo conteúdo dos backups sem descriptografar o backup inteiro.
• Os snapshots pré-operação são criados antes de operações destrutivas (verificações com regras rápidas, expurgos, limpeza da lixeira), como rede de segurança.

Todos os arquivos de backup ficam no seu computador, a menos que você mesmo os copie para outro lugar. Um Backup portátil com senha contém todo o seu perfil — incluindo as senhas de conta salvas e as chaves que desbloqueiam os seus e-mails — protegido apenas pela senha que você escolheu, por isso guarde o arquivo em um lugar seguro.

Privacidade das Regras rápidas

Os dados das Regras rápidas são armazenados no seu banco de dados local criptografado. As mensagens que as suas regras separam na Armadilha de spam, as listas de correspondências delas e as próprias definições das regras nunca saem do seu computador. Quando você exclui uma regra ou expurga o que ela capturou, os dados são removidos permanentemente do seu banco de dados local.

Como as suas credenciais são armazenadas

O GravesMail mantém todos os seus e-mails e dados pessoais criptografados em repouso em todos os dispositivos. A chave de criptografia fica no armazenamento seguro de chaves do próprio dispositivo — DPAPI no Windows, Keychain no macOS e no iOS, Keystore no Android e o armazenamento de segredos do sistema no Linux — de modo que os dados só são legíveis no seu dispositivo. Se você salvar as suas credenciais de e-mail, elas são criptografadas da mesma forma e só podem ser descriptografadas no mesmo computador, pelo mesmo usuário que as salvou.

O GravesMail nunca transmite as suas credenciais a nenhum servidor que não seja o servidor de e-mail do seu provedor, para fins de login.

Nas contas Microsoft/Outlook que usam autenticação OAuth2, o GravesMail usa o fluxo padrão da Microsoft Identity Platform. Os tokens de autenticação são armazenados localmente com a mesma criptografia. O GravesMail não tem acesso à senha da sua conta Microsoft.

A geolocalização é local

O GravesMail consulta a origem geográfica dos e-mails recebidos como um dos seus sinais de spam. Essa consulta é feita inteiramente no seu dispositivo, em uma tabela de correspondência entre países e intervalos de IP incorporada ao aplicativo. Não há consultas DNS, nem chamadas a APIs externas, nem nenhum serviço de consulta de terceiros. Os metadados das suas mensagens nunca são enviados a lugar nenhum para serem geolocalizados.

Dados de geolocalização de IP da DB-IP (db-ip.com), sob a licença CC BY 4.0.

Bloqueio de imagens externas e proteção contra pixels de rastreamento

As imagens externas são bloqueadas por padrão para impedir que os remetentes descubram o seu endereço IP, que você abriu o e-mail deles, quando e a partir de qual dispositivo.

Os pixels de rastreamento (imagens invisíveis de 1×1 usadas unicamente para rastreamento por confirmação de leitura) são detectados e removidos separadamente. São controles independentes — você pode carregar as imagens sem carregar os rastreadores.

Criptografia de ponta a ponta (OpenPGP)

O GravesMail é compatível com o OpenPGP padrão para e-mail criptografado de ponta a ponta e assinado. Tudo acontece no seu dispositivo: as chaves são geradas localmente, a sua chave secreta nunca sai da sua máquina, e a criptografia e a descriptografia são feitas pelo aplicativo. Não há custódia de chaves, nem envio para servidores de chaves, nem nenhum serviço meu no caminho — não tenho nenhuma cópia das suas chaves e não consigo ler os seus e-mails criptografados.

O que o PGP oculta: o corpo da mensagem e os anexos.

O que o PGP não oculta: a linha de assunto, os campos Para/De/Cc e quando a mensagem foi enviada. Esses dados trafegam sem criptografia e continuam visíveis para a infraestrutura de e-mail, incluindo o seu provedor. É um limite do próprio PGP/MIME, compartilhado por todos os clientes que o implementam, incluindo o Proton — não é algo que o GravesMail possa corrigir, nem algo que eu vá dar a entender que seja diferente.

O PGP protege os e-mails em trânsito — contra a interceptação e contra o seu provedor de e-mail. Ele não é uma ferramenta antiforense. Depois que uma mensagem é descriptografada, ela fica em cache no banco de dados local criptografado do GravesMail, para que você possa pesquisá-la e lê-la offline, o que significa que, em disco, ela é protegida pela criptografia do seu dispositivo e não pelo PGP.

Se você perder a sua chave secreta, os e-mails criptografados para ela ficam permanentemente irrecuperáveis. Eu não posso recuperá-los para você — não há nenhuma cópia em custódia, e é essa mesma decisão de projeto que faz com que ninguém mais possa ler os seus e-mails.

E-mail protegido por senha

Quando você envia uma mensagem com Proteger com senha (sem chave necessária), o corpo da mensagem e todos os anexos são criptografados no seu dispositivo em um ZIP AES-256 padrão antes de a mensagem sair. A selagem é feita localmente — nada é enviado para mim nem para nenhum serviço para realizá-la, e não há nenhum servidor no caminho.

A senha é só sua. O GravesMail a mostra a você uma vez, nunca a envia por e-mail, nunca a armazena e nunca a transmite. Não tenho nenhuma cópia dela nem meio de abrir o que você enviou. É você quem a compartilha com o destinatário por outro canal — por telefone, mensagem de texto ou chat criptografado.

A proteção é a senha e nada mais. Não há expiração nem revogação remota, porque ambas exigiriam um servidor que, deliberadamente, não opero. Como em qualquer e-mail, o assunto, os campos Para/De e o momento do envio da mensagem continuam trafegando sem criptografia.

Mais um limite, dito sem rodeios porque você deve ouvi-lo de mim em vez de descobri-lo: o formato ZIP criptografa o conteúdo dos arquivos, não a estrutura do arquivo compactado. Quem interceptar a mensagem ainda pode ver quantos arquivos há dentro e os tamanhos aproximados e as datas e horas deles — mas não os nomes, que são substituídos por marcadores neutros, nem o conteúdo. Se esses metadados, por si sós, puderem revelar a alguém algo que você precisa manter privado, este recurso não é a ferramenta certa para essa mensagem.

Compilações para cinco plataformas

• Windows — a compilação da Microsoft Store é assinada pela Microsoft
• Linux — em breve
• macOS — em breve
• iOS — em breve
• Android — em breve

As cinco plataformas têm características de privacidade idênticas. Nenhuma plataforma envia dados de volta à origem nem se comporta de forma diferente no que diz respeito à privacidade. Há um recurso que realmente difere conforme a plataforma, e é um limite de detecção, não de privacidade: a Camada de proteção AV do sistema usa o seu antivírus instalado no Windows e não está disponível no macOS, no Linux nem em dispositivos móveis, onde informa “não disponível” em vez de dar a entender uma verificação que nunca fez.

Serviços de terceiros

O GravesMail se conecta apenas ao seu provedor de e-mail (por conexões TLS/SSL criptografadas) e, nas contas Microsoft, à Microsoft Identity Platform para a autenticação OAuth2. O GravesMail não usa redes de publicidade, serviços de análise estatística, serviços de relatórios de falhas nem plataformas de rastreamento.

Compras

As compras do GravesMail pela Microsoft Store são processadas pela Microsoft. A GravesWare, LLC não recebe nem armazena dados de cartões de pagamento.

Aberto à inspeção

O seu banco de dados, os arquivos de backup e o registro de exclusões são todos arquivos locais comuns sob o seu controle — no seu disco, no seu perfil de usuário, onde você pode vê-los, copiá-los ou excluí-los. Nada fica escondido em um serviço que você não possa inspecionar, e nada se comunica com a origem.

Privacidade das crianças

O GravesMail não coleta conscientemente nenhuma informação de ninguém, incluindo crianças com menos de 13 anos. Como o GravesMail não coleta informações pessoais por padrão, ele não apresenta riscos específicos à privacidade das crianças.

Alterações nesta política

Se esta política de privacidade for atualizada, as alterações serão publicadas nesta página com uma nova data de “Última atualização”. Como o GravesMail não coleta endereços de e-mail nem informações de contato, não posso notificar você diretamente das alterações. Recomendo que você consulte esta página periodicamente.

Contato

Resumo