O que acontece com o que você escreve

Onde suas respostas ficam

Com conta e com o pacto aceito, o livro fica guardado no servidor do app — é o que permite reencontrá-lo em qualquer navegador. Essa é a versão principal, visível só para a sua conta, e “apagar o livro” a remove do banco em uso. Cópias técnicas temporárias podem existir na recuperação local e nos backups, nos limites explicados abaixo. Os trechos soltos que você guardar fora do livro ficam na biblioteca da conta, sob a mesma regra. Se você tiver acionado uma das quatro saídas externas explicadas abaixo, apagar o livro não apaga eventuais registros de segurança mantidos pelo provedor.

Se um rascunho local de recuperação — desta aba, ou deixado por uma versão anterior do app — não combinar com a versão confirmada pelo servidor, o app bloqueia novas gravações para não sobrescrever nenhum dos dois. A cópia local continua disponível para você baixar e recuperar; ela não é reaberta nem apagada automaticamente.

O que uma conta guarda

Escrever exige conta; ler estas páginas públicas, não. A conta usa e-mail e senha, e criá-la é aceitar a guarda. No servidor ficam somente:

o e-mail da conta, usado para entrar, confirmar o endereço e redefinir a senha — nunca para marketing;
a data em que o e-mail foi confirmado, quando foi;
o código canônico do idioma que você escolher para a interface, ou nenhum enquanto você não escolher. O código não traduz nem altera o que você escreveu. As edições jurídicas desta política existem em en, pt-BR e es; isso não publica, por si só, esses três idiomas no restante da interface. Quando uma edição jurídica é pedida, o app seleciona somente o locale exato e nunca substitui outro idioma como fallback;
o registro do aceite da política de privacidade: data, locale exato, território operacional BR, versão semântica, versão curta, algoritmo e representação do texto que alimentou o SHA-256, além de um código derivado do e-mail (HMAC) — não o e-mail em claro. Aceites novos identificam o artigo HTML apresentado. Recibos anteriores à versão semântica registram honestamente que identificavam o arquivo-fonte ERB, sem reclassificá-lo como bytes apresentados. Trocar só o idioma não cria um novo aceite quando a versão semântica é a mesma. Esse registro é a prova legal do aceite. Enquanto a conta existe, o registro a acompanha e não pode ser podado. Depois da exclusão da conta, ele sobrevive sem vínculo com ela, e o prazo de retenção de cinco anos é contado da data da exclusão;
o seu livro, no mesmo formato da seção livro do arquivo completo de exportação, com um número de revisão técnico que impede duas abas de se sobrescreverem — o servidor valida só a forma e o tamanho do arquivo, e nenhum trecho é lido ou interpretado. Suas marcas viajam dentro dele: quais trechos você deixou fora da consulta às fontes e a marca histórica de possível sugestão de reescrita. Em livros antigos, essa marca também pode dizer apenas que o uso anterior não pode mais ser reconstruído com certeza; ela não afirma que houve sugestão. A marca não volta a “não” se um cartão for apagado, porque mantém honesta a declaração de autoria do PDF;
dois metadados técnicos da conta: um número monotônico de revisão e uma época aleatória em formato UUID. Eles não contêm texto e, juntos, impedem uma aba antiga de recriar o livro depois de “apagar o livro”. A época é trocada a cada exclusão; os dois campos permanecem enquanto a conta existir, mesmo quando não há livro, e são apagados junto com a conta;
quando você apaga um texto avulso, o UUID técnico e aleatório daquela fonte — sem as palavras, sem hash das palavras e sem data ou hora. Essa marca impede que uma aba antiga recrie o texto depois da exclusão. Uma importação nova e confirmada pode liberar a mesma identidade; a marca restante é apagada junto com a conta;
as escolhas de como o livro fica em PDF — formato da página, miolo, capa e paleta e, se você escrever, a dedicatória, a epígrafe e a contracapa, que são suas palavras e saem impressas no livro;
se você enviar uma imagem de capa, a versão dela que o servidor preparou — reencodada, com os metadados (inclusive localização de GPS) removidos e o tamanho limitado; a imagem original não é guardada, e apagar a capa, o livro ou a conta apaga essa imagem junto;
quando você pede, a última versão do PDF do seu livro, composta no servidor a partir do livro guardado — gerar outra substitui a anterior, e apagar o livro ou a conta apaga o PDF junto;
os trechos da biblioteca da conta: o que você guarda solto na tela Escrever, fora de qualquer livro, e os fragmentos das cartas. Arquivos antigos também podem conter uma pergunta de apoio que o app ofereceu; sua origem continua marcada e ela não é apresentada como palavra sua. Tudo é exportável, apagável um a um e removido junto com a conta;
na área de música, quando você a usa: a letra que você escrever ou aprovar, com as versões congeladas dela e o registro de cada aprovação; a lista de palavras que você pedir para nunca serem cantadas; os dois consentimentos específicos; e o áudio — o do candidato, por sete dias e depois descartado sozinho, e o que você aprovar, até você apagar. Nada disso circula e não há vitrine pública. O que você escreveu — a letra, as versões congeladas, cada aprovação, a lista de palavras e os recibos dos dois consentimentos — sai inteiro no pedido dos seus dados; o áudio que você aprovar é baixável em MP3 com a letra em texto, pela própria tela; o áudio do candidato não sai, porque vence em sete dias e uma cópia permanente dele desfaria o prazo; e apagar uma música deixa só uma marca opaca para que uma restauração antiga não a traga de volta;
uma configuração antiga de versões de texto: um sim ou não, sem texto nenhum, mantido apenas para compatibilidade com contas e arquivos anteriores. O app não oferece mais reescrita por inteligência artificial;
se a sua conta operar o estúdio editorial — a área de trabalho de quem cuida do conteúdo do app —, o papel dado a ela e o registro dos atos praticados com esse papel: quem agiu, o que fez, sobre o quê, o motivo que escreveu e o resultado. Esse registro não muda depois de escrito e fica sujeito a uma retenção de dois anos. Depois desse prazo, só pode ser removido pela operação protegida de manutenção, nunca pelo runtime normal nem por um deploy. O motivo é um texto livre de quem opera, e pode conter o que essa pessoa digitar — inclusive o nome ou o e-mail de alguém; o que ele nunca guarda é o que você escreveu no app. Nenhum papel do estúdio alcança o livro, os trechos, a capa ou o PDF de conta nenhuma;
se a sua conta escrever no estúdio editorial, o trabalho que ela fez lá: os rascunhos salvos e as versões congeladas, com as datas de cada registro; as revisões e as publicações, cada uma com a data e o motivo escrito por quem a fez. Rascunhos e versões podem guardar texto do app — avisos, tarefas e instruções editoriais que orientam a máquina —, escrito por quem opera; nunca o que você escreveu. As versões não são apagadas por prazo, porque é delas que sai a volta atrás de uma publicação;
identificadores internos gerados pelo banco e os vínculos técnicos que associam sessões e o livro à conta;
uma chave técnica aleatória que seleciona seu espaço local, sem conter seu nome ou qualquer trecho do livro;
um hash lento e salgado da senha — nunca a senha;
hashes dos tokens das sessões — o token legível fica só no cookie protegido;
contadores técnicos de versão da credencial, usados para invalidar sessões antigas quando a senha muda;
datas de criação e atualização da conta e de criação e expiração das sessões.

Não pedimos nem guardamos nome civil ou telefone. O e-mail é usado somente para operar e proteger a conta: entrar, confirmar o endereço e redefinir a senha. Nunca é usado para propaganda. Para entregar essas mensagens transacionais, o app envia à Resend o endereço destinatário, o assunto e o corpo da mensagem, incluindo o link de confirmação ou redefinição; a Resend atua como provedor de entrega. Endereço IP, navegador e User-Agent não entram nas tabelas, nas sessões nem nos registros de requisição do app. Fora dos dados da conta inventariados acima, a conta não guarda o texto enviado pelas três primeiras saídas externas. A área de música é a exceção que guarda dados; ela está descrita abaixo. O trabalho editorial escrito por uma conta operadora segue o item próprio acima.

Para conter tentativas automatizadas, o app usa transitoriamente o prefixo do endereço de rede recebido (IPv4 /32 ou IPv6 /64), um identificador aleatório guardado na sessão cifrada do navegador e, quando necessário, o e-mail informado. Esses valores formam chaves HMAC com finalidade separada; não aparecem legíveis no cache e os contadores expiram em no máximo uma hora. O cadastro também tem um contador global sem identificador, contra abuso distribuído — quando ele fecha, todo cadastro espera até uma hora, inclusive o legítimo. Como em qualquer serviço na internet, a Fly.io ainda precisa processar endereço IP e metadados de rede para entregar e proteger a conexão.

Esqueceu a senha? A redefinição é por link enviado ao e-mail da conta. As sessões deixam de autenticar em até 30 dias e podem ser encerradas antes. Há no máximo dez sessões ativas por conta; as mais antigas são encerradas quando esse teto é alcançado, e encerrar outra sessão pede a senha atual. Em operação normal, os registros já expirados são removidos por uma varredura limitada executada a cada 15 minutos.

Antes de apagar a conta, você pode exportar seus dados para um arquivo seu no formato portátil v6, incluindo o livro, os textos soltos, a preferência de idioma e os metadados dos recibos. Importar esse arquivo restaura a preferência, mas nunca transforma um recibo exportado em novo aceite. Ao confirmar, o servidor primeiro valida suas credenciais e emite uma autorização curta; só então o livro é apagado do servidor, junto com a conta, e o navegador limpa os vestígios locais. Se essa preparação falhar, o pedido não é enviado e nada é apagado. Depois da confirmação, e-mail e senha não são reenviados no pedido final de exclusão.

Apagar a conta remove e-mail, chave técnica, hash de senha, sessões e o livro do banco em uso. Backups de banco e seu histórico de recuperação podem conservar uma versão anterior desses dados por até sete dias; snapshots de volume, por até cinco dias. Eles ficam isolados e não servem ao login normal. Toda restauração acontece primeiro num banco separado e revoga sessões; se não for possível provar que a restauração inclui todas as exclusões e trocas de credencial, as contas restauradas são apagadas antes de o banco atender o público. A exclusão não alcança arquivos que você exportou.

As quatro situações em que seu texto pode sair daqui

1 · Lentes

Você marca de um a três trechos visíveis. Somente esses trechos saem quando você clica em “Enviar”; usar perguntas do percurso não envia texto.

2 · Entrevista

Você marca os trechos que deseja compartilhar. “Criar com os trechos marcados” os envia; “Usar a pergunta do percurso” não envia esses trechos ao serviço de IA.

3 · Ver uma passagem relacionada

Quando você marca um trecho do que escreveu e pede uma passagem relacionada, somente esse trecho é enviado — e a tela mostra o texto exato antes, palavra por palavra, para você conferir e confirmar. Ele passa pela busca no acervo de fontes e pela OpenAI. O que volta são passagens de outros autores, com obra e localização, numa devolução só. Nada disso é guardado: nem o trecho, nem a devolução, nem a pergunta. Seu texto não é reescrito e nada entra no seu livro.

4 · Música a partir do que você escreveu

Existe uma área de música, aberta a quem entra na conta, em que uma pessoa pode transformar relatos que ela mesma escolheu numa letra e depois numa música. Esta saída é diferente das três acima e a diferença é o motivo de ela estar escrita aqui: ela grava. O texto escolhido vai à OpenAI para propor a letra; a letra que a pessoa aprovar, mais as escolhas de estilo de um catálogo fechado e o nome do modelo pedido, vão a um serviço de geração musical; e o áudio gerado volta à OpenAI para conferir se o cantado corresponde à letra. São dois consentimentos separados: um autoriza tratar o que a pessoa escreveu, o outro autoriza os envios ao exterior e nomeia os dois — o motor de música e a transcrição do cantado. Antes de ir ao motor, a tela mostra o corpo exato que sai, campo por campo, com os nomes que eles têm na rede; e a pessoa pode recusar a conferência do cantado, perdendo a conferência, não a aprovação. O arquivo de áudio fica guardado no servidor — o candidato por sete dias e depois descartado sozinho, e o que a pessoa aprovar até ela apagar. O trabalho passa por uma fila, o que ela escreveu sai no pedido dos dados dela e o áudio aprovado é baixável pela tela. Recusar um candidato apaga imediatamente o áudio dele. Apagar uma música aprovada remove o áudio do app e deixa uma marca opaca para que uma restauração antiga não a traga de volta. Revogar qualquer um dos consentimentos interrompe novas gerações, apaga o áudio de candidatos e músicas guardadas e acrescenta um recibo de revogação. A letra, as versões congeladas, as decisões, a lista de palavras, os recibos de consentimento, os registros de candidatos usados pela cota e as marcas opacas permanecem enquanto a conta existe. A exclusão da conta remove do banco ativo do app as linhas restantes da música; qualquer arquivo baixado continua com a pessoa. Nenhum desses controles locais pede ao motor de música que apague, nem prova que ele apagou, o pedido, a tarefa, o áudio ou os registros de segurança. A retenção e a exclusão no motor dependem dos controles e termos do provedor.

Nas três primeiras situações, o app não grava o texto em banco, arquivo, fila ou log de aplicação. Isso descreve a guarda no app, não a do destinatário. Nas chamadas de texto à OpenAI nessas situações e na proposta de letra da música, a OpenAI informa que pode manter prompts e respostas em registros de monitoramento de abuso por até 30 dias e por mais tempo quando houver obrigação legal ou necessidade razoável de segurança, salvo quando o projeto tem controles especiais aprovados. Por isso não prometemos que o texto desaparece imediatamente do provedor.

Não envie nome completo, endereço, documento, informação médica ou outro dado que você não queira compartilhar com um serviço externo. Todo o percurso de escrita, composição e exportação funciona sem usar IA.

Se você ditar por voz

Quem transforma fala em texto é o navegador, que pode enviar o áudio ao serviço de reconhecimento do próprio fornecedor. Este app não recebe nem guarda o áudio: recebe apenas o texto que aparece no campo. Prefere não depender desse serviço? É só escrever.

O que a gente conta, e não é sobre você

Contamos quantas vezes alguns eventos de navegação chegam por dia — só o total agregado. Esses contadores não têm vínculo com conta ou sessão, nem guardam texto ou identificador de participante. Isso serve para localizar trechos confusos, mas não equivale a contar pessoas únicas. Não medimos quanto tempo você levou em cada frase nem guardamos o que respondeu ou escreveu.

Durante a mudança de endereço, contamos também o total diário de ações autenticadas que ainda chegam pelo endereço anterior. Esse número serve apenas para saber quando é seguro encerrar a drenagem. Ele não guarda conta, sessão, rota, IP ou conteúdo; registra somente o dia, o total e a hora da atualização mais recente.

Se este computador é de outra pessoa

Laboratório da faculdade, biblioteca, casa de alguém: a cópia principal do seu texto fica no servidor da conta, mas, enquanto você trabalha, o navegador pode manter um rascunho temporário de recuperação local no armazenamento da aba. Saia da conta E feche as abas do app antes de deixar o computador — uma aba aberta ainda mostra o que estava na tela. Qualquer arquivo de exportação, PDF ou áudio aprovado que você baixar continua nessa máquina até você apagá-lo.

Isto não é avaliação

Não há nota, não há ranking, e ninguém — professor, instituição ou qualquer outra pessoa — recebe seu texto por aqui. Se você quiser mostrar, é você quem mostra.

Resumo rápido