Em resumo
- Sem contas, sem rastreamento, sem publicidade.
- Não armazenamos endereços IP.
- O que você envia é criptografado no seu dispositivo antes do envio. Nosso servidor não consegue lê-lo.
- Os comentários se tornam públicos depois que um membro da equipe editorial os aprova.
- O único cookie é o da verificação antispam, nos formulários.
O que coletamos
| Quando você | O que é guardado | O que não é |
|---|---|---|
| Lê o site | Contagens anônimas de visualizações de páginas, feitas pela medição de audiência sem cookies do nosso provedor de hospedagem. | Seu endereço IP, um perfil seu ou qualquer coisa que acompanhe você em outros sites. |
| Envia um relato, um caso ou material | Seu texto e seus arquivos, criptografados para que não possamos lê-los no servidor; o momento em que chegaram; um hash do seu código de protocolo. Um endereço de contato apenas se você fornecer um, e ele é criptografado junto com o resto. | Seu endereço IP, o próprio código de protocolo ou seu nome, a menos que você o escreva. |
| Comenta | O nome de exibição que você escolher (ou “Anônimo”) e seu texto. Os comentários não são criptografados, porque se destinam a ser publicados após a moderação. | Seu e-mail, endereço IP ou qualquer conta. |
| Exerce o direito de resposta | O mesmo que em um envio: criptografado no seu dispositivo. | Seu endereço IP. |
Como funciona a criptografia
Quando você clica em enviar, seu navegador cria uma nova chave aleatória, criptografa com ela seu texto e cada arquivo (XChaCha20-Poly1305) e, em seguida, tranca essa chave separadamente com a chave pública de cada membro da equipe editorial. Somente as cópias trancadas saem do seu dispositivo.
Nosso servidor armazena o resultado e não tem nenhuma chave capaz de abri-lo. As chaves privadas dos editores são mantidas off-line, com cópias de segurança impressas, e só são carregadas em um navegador enquanto um membro da equipe editorial está lendo os envios.
Limites: o que isto não consegue proteger
- Nosso provedor de hospedagem vê seu endereço IP. O site funciona em uma rede de hospedagem que vê o endereço de cada conexão. Nós não o armazenamos, mas o provedor o processa.
- Um site comprometido poderia servir código alterado. Alguém que assumisse o controle deste site poderia alterar o formulário para que ele enviasse suas palavras sem criptografia. O hash publicado do script do formulário permite que qualquer pessoa verifique o código que recebeu; veja abaixo.
- Seu próprio dispositivo. A criptografia não protege contra alguém que possa ver sua tela, seu histórico de navegação ou um computador compartilhado. Se isso for um risco, leia como enviar com segurança: use uma janela privada, o Tor Browser ou um dispositivo que não seja seu.
- O que você escreve pode identificar você. Datas, lugares e pequenos detalhes podem apontar para quem escreveu, mesmo quando o nome é omitido. Os editores removem detalhes identificadores antes de qualquer publicação, mas pense no que você inclui.
Por quanto tempo guardamos os dados
| Envios | Até que os editores tenham concluído o assunto; as cópias de segurança criptografadas expiram após um prazo a ser definido antes do lançamento. Um envio não pode ser retirado depois de enviado. |
|---|---|
| Comentários | Os comentários aprovados permanecem na página em que estão. Os comentários pendentes e rejeitados são excluídos após um prazo a ser definido antes do lançamento. |
| Ações dos editores | O que um membro da equipe editorial fez com um envio (por exemplo, “contado como corroboração”) é registrado para fins de prestação de contas, sem o conteúdo do envio. |
| Contagem de visitas | Apenas números agregados, mantidos pelo provedor de hospedagem segundo sua própria política de conservação de dados. |
Solicitações legais
Se recebermos uma exigência legal relativa a um envio, o máximo que podemos entregar a partir do servidor é o texto cifrado, que não conseguimos ler, o momento em que ele chegou e o hash do seu código de protocolo. Não temos endereços IP para fornecer.
As chaves off-line dos editores poderiam, em princípio, ser exigidas dos próprios editores. Esse é mais um motivo para omitir tudo o que você não precisa nos contar.
Verificação do formulário de envio
O script do formulário de envio é carregado com Subresource Integrity: seu navegador se recusa a executá-lo se ele for diferente da versão que a página espera. Publicamos aqui o hash do script para que ele possa ser comparado com o que seu navegador recebeu e com cópias desta página arquivadas em outros lugares.
- Hash do script do formulário
- Publicado com a primeira versão
Contato e controlador dos dados
Perguntas sobre privacidade podem ser enviadas pelo formulário criptografado.
- Controlador dos dados
- A ser designado antes do lançamento