Privacidade

O que o OkMigo guarda

Tudo isto vive na infraestrutura do OkMigo, num banco de dados que não é de nenhuma plataforma de terceiros:

• Sua conta — e-mail, o nome que você escolher, e a senha guardada como hash (Argon2id: nem nós conseguimos lê-la). Se você entrou com Google, guardamos o identificador que o Google nos dá e o e-mail — nunca sua senha do Google.
• Suas conversas, inteiras. É o produto: sem memória não há amigo. Guardamos também qual modelo respondeu, quanto custou e quanto demorou.
• Uma representação matemática das mensagens (embeddings), que é o que permite ele lembrar de algo que você disse meses atrás.
• Um perfil sobre você, escrito automaticamente a partir das conversas. Você pode ver cada linha dele, corrigir e apagar.
• De onde você veio — o código de convite que você usou. Serve para sabermos que um evento trouxe pessoas; não entra no seu perfil e o amigo nunca fica sabendo.
• Suas chaves de IA, se você cadastrar alguma, cifradas (AES-256-GCM). Nenhuma tela e nenhum endereço da API devolve uma chave — nem para você.
• As fotos, os áudios e os arquivos que você manda. Ficam guardados, como a conversa: a foto que você mandou continua lá quando você rola para cima, e a mensagem de voz continua tocando. Junto de cada um fica também o que a máquina leu dele — a descrição da foto, a transcrição do áudio, o texto do documento —, porque é isso que faz ele lembrar do que havia ali meses depois. Você vê e apaga os documentos numa tela própria.

Do arquivo, o que fica guardado é o texto: um PDF ou uma planilha é lido, quebrado em pedaços e o arquivo original é descartado — não guardamos o documento em si. De uma foto escaneada sem texto nenhum não sobra nada, e ele te diz isso em vez de fingir que leu.

O que ele recusa guardar

A extração do perfil tem uma lista fechada de assuntos permitidos: interesses, rotina, preferências, jeito de se comunicar, relacionamentos, objetivos, gostos, opiniões, valores e contexto de vida. O que não está nessa lista o banco de dados recusa — não é uma promessa, é uma trava.

Além disso, um fato é descartado inteiro se contiver senha ou token, cartão, conta bancária, Pix, salário ou dívida sua, CPF ou saúde (remédio, diagnóstico, terapia). Você continua livre para falar disso com ele — a conversa é sua —, mas não vira perfil.

Sua localização nunca é guardada. Quando você permite, o aplicativo descobre sua cidade no próprio aparelho e manda só isso ("São Paulo, SP, BR") junto da mensagem, para ele saber onde você está naquele momento. Coordenada exata não sai do seu celular, e a cidade não fica registrada.

Quem mais vê

Esta é a parte que a maioria dos serviços esconde, então vai em primeiro lugar: para responder, o texto da sua conversa precisa chegar a um modelo de linguagem. Onde ele chega depende do caminho:

• Sem chave sua (o padrão): a conversa vai para o serviço de nuvem da Ollama, que roda o modelo e responde. É gratuito e é por isso que você não paga nada.
• Com a sua chave: vai para o provedor que você escolheu (Anthropic, OpenAI, OpenRouter), na sua conta lá.
• Modelos locais: em algumas horas a conversa é respondida por um computador do próprio OkMigo, e aí não sai para lugar nenhum.

Você sempre sabe qual foi: quando a resposta veio pelo caminho gratuito, a bolha diz "caminho gratuito" embaixo.

E o que você manda que não é texto segue caminhos diferentes — vale saber qual é qual:

• A foto vai para o modelo. Para o amigo poder comentar o que você mandou, a imagem é enviada a um modelo que a descreve em palavras — hoje, a nuvem da Ollama. Isso acontece mesmo se você cadastrou uma chave sua: ler a foto é uma coisa que o sistema decidiu fazer, e nenhum trabalho decidido por nós gasta o seu dinheiro. Em troca, a foto sempre segue o caminho gratuito.
• O arquivo também. Quando o assunto é um documento que você mandou, os trechos dele que importam para a sua pergunta entram no pedido, e o resumo de uma linha que aparece na tela foi escrito por um modelo. Então o conteúdo do documento atravessa igual à conversa.
• O áudio, não. Quem transcreve a sua mensagem de voz é um programa que roda nos servidores do próprio OkMigo; a gravação não é enviada a nenhuma outra empresa. O que sai daqui é a transcrição — texto, como qualquer mensagem sua.

Mais três travessias, todas pequenas e todas reais:

• Notificações passam pelo Google (Firebase), que entrega o aviso ao seu celular. O aviso carrega o começo da frase que ele te mandou — então o Google vê esse pedaço. Se isso te incomodar, desligue as notificações.
• A conexão passa pela Cloudflare, que cuida do endereço seguro (https) e do túnel até o servidor.
• Agentes especialistas: quando o amigo consulta um especialista (cinema, por exemplo), ele manda só a pergunta, filtrada, e nenhum identificador seu — o especialista não tem como saber que duas perguntas vieram da mesma pessoa.

E nós? Quem cuida do OkMigo entra por um painel separado, com conta própria — não é uma conta de usuário com um botão a mais. Nesse painel não existe tela que mostre o texto de uma conversa: o que ele mostra é contagem, data da última mensagem, qual modelo respondeu e quanto custou. Não é uma regra que a gente promete cumprir — é que a consulta que traria o texto não está escrita em lugar nenhum.

Há uma exceção, e ela é sua: quando você denuncia alguém, as falas que a denúncia carrega são lidas da sua conta, e são as que a outra pessoa te mandou. Sem denúncia não há trecho; e denunciar não abre a conversa do outro lado — abre a sua.

O que nunca acontece

• Ninguém compra seus dados, porque não vendemos. Não há anúncio, não há segmentação, não há "parceiro comercial".
• Seu perfil não é usado para te oferecer coisas. Quando o OkMigo aproxima duas pessoas (você vendendo algo, alguém procurando), isso só acontece a partir de uma intenção que você declarou em conversa — nunca de algo deduzido sobre você. O sistema exige que toda intenção aponte para a mensagem em que ela nasceu.
• Numa conversa revelada entre duas pessoas, o que a outra pessoa escreve não vira perfil seu nem entra na sua busca — e vice-versa.
• Seu nome não aparece antes de os dois toparem se conhecer.

O que você pode fazer

• Ver tudo que o sistema escreveu sobre você, linha por linha, incluindo o que já foi apagado.
• Corrigir conversando: dizer "não é bem assim" aposenta o fato errado.
• Apagar um fato. Por padrão ele fica marcado como apagado (para que o sistema não volte a aprendê-lo na conversa seguinte); há também a remoção definitiva, com o aviso de que aí ele pode reaparecer.
• Apagar a conta. Nas configurações do aplicativo. Vai embora tudo: conversas, memória, perfil, chaves, notificações. Sem cópia guardada, sem período de carência, sem "desativado". A memória é sua; sair é levá-la embora.

Uma exceção, e ela é importante o bastante para estar aqui em vez de numa nota de rodapé: o que você escreveu dentro de um sócio fica lá, com o seu nome, mesmo que você saia da empresa ou apague sua conta. A memória do sócio é do negócio, não sua — e uma empresa precisa saber quem combinou o quê com qual cliente. Enquanto um sócio está aberto, o aplicativo mostra esse aviso na tela o tempo inteiro — não é uma linha que você lê uma vez e some. O que sai junto com a sua conta é tudo o resto: o seu amigo pessoal, o seu perfil, as suas conversas privadas.

Onde isso roda, e o que ainda é frágil

O OkMigo está em fase de testes, com pessoas convidadas uma a uma. Roda em servidores próprios, não numa nuvem alugada — o que significa que os dados não estão espalhados por serviços de terceiros, e também que a operação é caseira. Sendo honesto sobre o tamanho: não há equipe de plantão e não há garantia de disponibilidade. A cópia de segurança é a exceção, porque o modo de falha dela é perder tudo: ela é diária, cifrada, guardada fora do servidor — e toda vez que roda é restaurada e conferida, porque backup que ninguém restaurou é esperança, não backup.

Por isso vale a recomendação sincera: converse com ele como quem conversa com um amigo novo. Ele não é o lugar para guardar segredo que não pode vazar de jeito nenhum.

Falar com a gente

Dúvida, pedido de exclusão, ou algo que pareceu errado: [email protected]. Quem responde é uma pessoa.