Em resumo

O GravesMail é um cliente de e-mail centrado no armazenamento local. O seu e-mail é transferido para o seu computador e fica lá. Não opero servidores que armazenem, leiam ou processem o seu e-mail. Não recolho informações pessoais. Não apresento anúncios. Não vendo dados. Nada sobre o seu correio sai do seu computador; o servidor de correio é usado apenas para receber e enviar o seu correio.

Que dados o GravesMail guarda

Todos os dados são guardados localmente no seu perfil de utilizador — em %LocalAppData%\GravesMail no Windows, ou no local equivalente da plataforma no macOS, Linux, iOS e Android. Eis o que é guardado e porquê:

A base de dados encriptada. O seu correio e quase todos os seus dados de apoio vivem num único repositório com encriptação integral da base de dados: cada mensagem, assunto, remetente e anexo, mais os seus contactos, calendário, assinaturas, Regras rápidas e regras avançadas, listas de remetentes seguros e bloqueados, reputação dos remetentes, treino do filtro de spam, limiares ajustados e definições de segurança. Antes eram ficheiros soltos ao lado da base de dados; foram consolidados dentro dela, o que reforçou a sua proteção. Não saíram do seu dispositivo — nada mudou quanto ao local onde os seus dados vivem, apenas quanto à forma como são guardados localmente.

Ficheiros que ficam fora da base de dados, porque são necessários antes de ela poder ser aberta ou porque têm de sobreviver à sua perda:

• A chave da base de dados — guardada no armazenamento seguro de chaves do próprio dispositivo (DPAPI no Windows, Keychain no macOS/iOS, Keystore no Android, o armazenamento de segredos do sistema no Linux). Não pode viver dentro da base de dados que desbloqueia.
• Credenciais de conta guardadas — as suas palavras-passe IMAP/SMTP e os tokens OAuth2, encriptados com a chave do seu dispositivo e mantidos deliberadamente separados da base de dados de correio.
• bmk.wrap — as cópias encapsuladas da sua chave mestra de cópia. Fica junto das suas cópias de segurança e não na base de dados, precisamente porque uma cópia de segurança existe para sobreviver à perda dessa base de dados.
• O seu porta-chaves PGP — mantido no seu formato padrão em disco, com o porta-chaves privado sob a sua própria chave de encapsulamento.
• backups/ — ficheiros de cópia de segurança encriptados (.gravesmail-backup), com AES-256 sob a chave mestra de cópia
• Catálogo de cópias de segurança — um índice local de metadados para percorrer de imediato o conteúdo das cópias (nunca é transmitido)
• Registo de eliminações — conteúdo das mensagens eliminadas, para recuperação (retenção configurável: 30–365 dias)

Os ficheiros que vêm com a aplicação — o modelo de spam de base, as regras YARA de base e a tabela de consulta geográfica — são recursos do programa, não dados seus. São substituídos quando atualiza e são excluídos das cópias de segurança.

Nenhum dado é guardado fora deste diretório. Nenhum dado é guardado em servidores remotos.

Que dados o GravesMail nunca recolhe

• Endereços de e-mail — os seus ou os de quem lhe envia e-mail
• Conteúdo de e-mail — nem linhas de assunto, nem corpos de mensagens, nem anexos
• Informações sobre remetentes ou destinatários
• Palavras-passe ou credenciais
• Listas de contactos
• Eventos do calendário
• Endereços IP
• O seu nome, a sua localização ou qualquer informação identificativa
• Padrões de utilização — não registo com que frequência abre a aplicação, que e-mails lê nem como interage com as mensagens
• Relatórios de falhas ou diagnósticos — nada é alguma vez enviado automaticamente
• Dados de instalação ou de registo — não há nenhuma conta para criar

Privacidade das cópias de segurança

O GravesMail cria cópias de segurança encriptadas de todo o seu perfil local:

• As cópias de segurança agendadas e manuais locais do dispositivo (completas e diferenciais) são encriptadas com AES-256 sob uma chave mestra de cópia que o GravesMail gera e gere. A chave nunca é guardada em claro — só são mantidas cópias encapsuladas, encapsuladas tanto sob o armazenamento seguro de chaves do seu dispositivo (para que as cópias de rotina não precisem de palavra-passe) como sob uma frase-passe de recuperação que define uma vez. A frase-passe de recuperação é obrigatória, não opcional, e é o que permite que estas cópias sejam restauradas num dispositivo novo ou substituído. Nunca recebo a chave nem a frase-passe, e não posso recuperar nenhuma delas por si.
• A Cópia portátil protegida por palavra-passe (Ficheiro → Cópia portátil protegida por palavra-passe…) é selada com uma palavra-passe escolhida por si, usando extensão de chave PBKDF2-SHA256 a 600 000 iterações. Se perder essa palavra-passe, a cópia não pode ser aberta — por conceção, e por ninguém, incluindo eu.
• Os catálogos de metadados das cópias de segurança são guardados localmente e nunca são transmitidos. Permitem percorrer de imediato o conteúdo das cópias sem desencriptar a cópia inteira.
• Os instantâneos pré-operação são criados antes de operações destrutivas (análises com regras rápidas, purgas, limpeza do lixo), como rede de segurança.

Todos os ficheiros de cópia de segurança ficam no seu computador, a menos que seja o utilizador a copiá-los para outro local. Uma Cópia portátil protegida por palavra-passe contém todo o seu perfil — incluindo as palavras-passe de conta guardadas e as chaves que desbloqueiam o seu correio — protegido apenas pela palavra-passe que escolheu, por isso guarde o ficheiro num local seguro.

Privacidade das Regras rápidas

Os dados das Regras rápidas são guardados na sua base de dados local encriptada. As mensagens que as suas regras põem de parte na Armadilha de spam, as respetivas listas de correspondências e as próprias definições das regras nunca saem do seu computador. Quando elimina uma regra ou purga o que ela capturou, os dados são removidos permanentemente da sua base de dados local.

Como são guardadas as suas credenciais

O GravesMail mantém todo o seu correio e os seus dados pessoais encriptados em repouso em todos os dispositivos. A chave de encriptação fica no armazenamento seguro de chaves do próprio dispositivo — DPAPI no Windows, Keychain no macOS e no iOS, Keystore no Android e o armazenamento de segredos do sistema no Linux — pelo que os dados só são legíveis no seu dispositivo. Se guardar as suas credenciais de e-mail, são encriptadas da mesma forma e só podem ser desencriptadas no mesmo computador, pelo mesmo utilizador que as guardou.

O GravesMail nunca transmite as suas credenciais a nenhum servidor que não seja o servidor de correio do seu fornecedor de e-mail, para efeitos de início de sessão.

Nas contas Microsoft/Outlook que usam autenticação OAuth2, o GravesMail usa o fluxo padrão da Microsoft Identity Platform. Os tokens de autenticação são guardados localmente com a mesma encriptação. O GravesMail não tem acesso à palavra-passe da sua conta Microsoft.

A geolocalização é local

O GravesMail consulta a origem geográfica do correio recebido como um dos seus sinais de spam. Essa consulta é feita inteiramente no seu dispositivo, numa tabela de correspondência entre países e intervalos de IP incorporada na aplicação. Não há consultas DNS, nem chamadas a API externas, nem nenhum serviço de consulta de terceiros. Os metadados das suas mensagens nunca são enviados para lado nenhum para serem geolocalizados.

Dados de geolocalização de IP da DB-IP (db-ip.com), sob a licença CC BY 4.0.

Bloqueio de imagens externas e proteção contra pixéis de rastreio

As imagens externas são bloqueadas por predefinição para impedir que os remetentes fiquem a saber o seu endereço IP, que abriu o e-mail deles, quando e a partir de que dispositivo.

Os pixéis de rastreio (imagens invisíveis de 1×1 usadas unicamente para rastreio por recibo de leitura) são detetados e removidos à parte. São controlos independentes — pode carregar as imagens sem carregar os rastreadores.

Encriptação ponto a ponto (OpenPGP)

O GravesMail suporta o OpenPGP padrão para correio encriptado de ponta a ponta e assinado. Tudo acontece no seu dispositivo: as chaves são geradas localmente, a sua chave secreta nunca sai da sua máquina, e a encriptação e a desencriptação são feitas pela aplicação. Não há custódia de chaves, nem envio para servidores de chaves, nem nenhum serviço meu pelo caminho — não tenho nenhuma cópia das suas chaves e não consigo ler o seu correio encriptado.

O que o PGP oculta: o corpo da mensagem e os anexos.

O que o PGP não oculta: a linha de assunto, os campos Para/De/Cc e quando a mensagem foi enviada. Esses dados viajam em claro e continuam visíveis para a infraestrutura de correio, incluindo o seu fornecedor. É um limite do próprio PGP/MIME, partilhado por todos os clientes que o implementam, incluindo o Proton — não é algo que o GravesMail possa corrigir, nem algo que eu vá dar a entender que seja diferente.

O PGP protege o correio em trânsito — contra a interceção e contra o seu fornecedor de correio. Não é uma ferramenta antiforense. Depois de uma mensagem ser desencriptada, fica em cache na base de dados local encriptada do GravesMail, para que a possa procurar e ler offline, o que significa que, em disco, é protegida pela encriptação do seu dispositivo e não pelo PGP.

Se perder a sua chave secreta, o correio encriptado para ela fica permanentemente irrecuperável. Não o posso recuperar por si — não há nenhuma cópia em custódia, e é essa mesma opção de conceção que faz com que mais ninguém possa ler o seu correio.

E-mail protegido por palavra-passe

Quando envia uma mensagem com Proteger com palavra-passe (sem chave), o corpo da mensagem e todos os anexos são encriptados no seu dispositivo num ZIP AES-256 padrão antes de a mensagem sair. A selagem é feita localmente — nada é enviado para mim nem para nenhum serviço para a realizar, e não há nenhum servidor pelo caminho.

A palavra-passe é só sua. O GravesMail mostra-lha uma vez, nunca a envia por e-mail, nunca a guarda e nunca a transmite. Não tenho nenhuma cópia dela nem forma de abrir o que enviou. É o utilizador que a partilha com o destinatário por outro canal — por telefone, SMS ou conversa encriptada.

A proteção é a palavra-passe e nada mais. Não há expiração nem revogação remota, porque ambas exigiriam um servidor que, deliberadamente, não opero. Como em qualquer e-mail, o assunto, os campos Para/De e o momento do envio da mensagem continuam a viajar em claro.

Mais um limite, dito sem rodeios porque deve ouvi-lo de mim em vez de o descobrir: o formato ZIP encripta o conteúdo dos ficheiros, não a estrutura do arquivo comprimido. Quem intercetar a mensagem pode ainda ver quantos ficheiros estão lá dentro e os respetivos tamanhos aproximados e datas e horas — mas não os nomes, que são substituídos por marcadores neutros, nem o conteúdo. Se esses metadados, por si sós, puderem revelar a alguém algo que precisa de manter privado, esta funcionalidade não é a ferramenta certa para essa mensagem.

Compilações para cinco plataformas

• Windows — a compilação da Microsoft Store é assinada pela Microsoft
• Linux — brevemente
• macOS — brevemente
• iOS — brevemente
• Android — brevemente

As cinco plataformas têm características de privacidade idênticas. Nenhuma plataforma envia dados para a origem nem se comporta de forma diferente no que respeita à privacidade. Há uma capacidade que difere realmente consoante a plataforma, e é um limite de deteção, não de privacidade: a Camada de proteção AV do sistema usa o seu antivírus instalado no Windows e está indisponível no macOS, no Linux e nos dispositivos móveis, onde indica «indisponível» em vez de dar a entender uma análise que nunca fez.

Serviços de terceiros

O GravesMail liga-se apenas ao seu fornecedor de e-mail (através de ligações TLS/SSL encriptadas) e, nas contas Microsoft, à Microsoft Identity Platform para a autenticação OAuth2. O GravesMail não usa redes de publicidade, serviços de análise estatística, serviços de relatórios de falhas nem plataformas de rastreio.

Compras

As compras do GravesMail através da Microsoft Store são processadas pela Microsoft. A GravesWare, LLC não recebe nem guarda dados de cartões de pagamento.

Aberto à inspeção

A sua base de dados, os ficheiros de cópia de segurança e o registo de eliminações são todos ficheiros locais comuns sob o seu controlo — no seu disco, no seu perfil de utilizador, onde os pode ver, copiar ou eliminar. Nada está escondido num serviço que não possa inspecionar, e nada comunica com a origem.

Privacidade das crianças

O GravesMail não recolhe conscientemente nenhuma informação de ninguém, incluindo crianças com menos de 13 anos. Uma vez que o GravesMail não recolhe informações pessoais por predefinição, não apresenta riscos específicos para a privacidade das crianças.

Alterações a esta política

Se esta política de privacidade for atualizada, as alterações serão publicadas nesta página com uma nova data de «Última atualização». Uma vez que o GravesMail não recolhe endereços de e-mail nem informações de contacto, não o posso notificar diretamente das alterações. Recomendo que consulte esta página periodicamente.

Contacto

Resumo