Dito aqui uma vez em vez de em cada recurso, porque vale para todos.
Tudo o que você coloca numa conversa — palavras, fotos, uma localização, uma reação, o fato de você ter lido algo — chega à pessoa com quem você está falando. Isso é o recurso, não um vazamento. Só é um risco se você não tiver certeza de quem ela é, e é para isso que serve o vínculo: Vínculo mostra como ter certeza, e o cartão diz Vinculado quando você tem.
Então o resto destas páginas não repete isso. O que elas dizem, numa frase, é onde um recurso expõe algo além disso: para a rede em que você está, para o nosso servidor, para a Apple ou o Google, ou para uma empresa que não somos nós. Essas frases são curtas de propósito e existem para que nada te surpreenda depois, não para te convencer a não usar algo.
O CHANNEL nunca envia contatos para a nuvem. Um contato existe no CHANNEL porque você o digitou, o importou, ou pareou com ele. Contatos › Telefone pode mostrar a agenda do seu próprio telefone para você achar alguém sem redigitar: ela só é lida enquanto essa aba está aberta, nunca é salva e nunca é enviada a lugar nenhum, e só a pessoa que você escolhe importar é mantida.
Ajustes › Privacidade › Sugerir pessoas ao compartilhar coloca as pessoas com quem você conversa no topo do menu Compartilhar do seu telefone, e tocar em uma abre o CHANNEL com essa pessoa já escolhida. Fica desligado até você ligar. Para isso, o sistema do seu telefone fica sabendo com quem você conversa e com que frequência. Não faz nada enquanto o bloqueio do app ou um PIN do app estiver ativo, e desligar apaga esse registro.
Nada impede a outra pessoa de tirar uma captura de tela, gravar ou fotografar o que você envia a ela, e o CHANNEL não saberia disso. Não há ajuste para isso, porque um ajuste aqui não protegeria ninguém de ninguém.
O que é protegido neste telefone, sempre: uma foto para ver uma vez enquanto está na tela, o código QR de pareamento, e toda tela em que um segredo é digitado, que é o teclado do PIN, o código de coação, a frase secreta do backup e uma chave de AI. Uma captura de uma dessas fica em branco, e a página em branco diz por quê.
O que não é protegido: suas conversas e seus contatos. Tirar uma captura da sua própria conversa é comum, e a privacidade deste app se baseia no que sai do telefone, não em impedir o dono de fotografá-lo. A única exceção é uma conversa com Privacidade avançada ativada, que um telefone Android protege sim — veja Mensagens.
Nada, a menos que você diga o contrário. Uma notificação nomeia o perfil em que a mensagem chegou e nada mais. As Prévias — quem escreveu, e o que a pessoa disse — vêm desativadas no início, e ativá-las exige dois interruptores: um na página do contato e um para o perfil, e o do perfil é um teto. Uma conversa com Privacidade avançada ativada não mostra prévia nenhuma, seja qual for o ajuste dos interruptores.
Ler em voz alta, no menu de toque longo de uma mensagem, usa a voz do próprio telefone, offline. As palavras não são enviadas a lugar nenhum para serem faladas.
Ajustes › Privacidade › Ocultar o app ao sair dele faz o cartão no alternador de apps ser uma página cor de vinho em branco em vez das suas conversas. Fica ligado a menos que você desligue. Num telefone Android o mesmo botão também recusa capturas de tela dentro do CHANNEL, porque lá é um ajuste só e não dois. Uma câmera apontada para a tela ainda vê tudo.
Ajustes › Bloqueio do app › Face ID exige o desbloqueio do próprio telefone, seja ele um rosto, uma digital ou uma senha, para abrir o CHANNEL, e de novo depois que ele passou um tempo em segundo plano.
Ajustes › Bloqueio do app › PIN do app adiciona um código seu. Ele funciona até num telefone sem bloqueio nenhum, e é pedido antes de qualquer outra coisa. Um rosto sozinho nunca abre um CHANNEL protegido por PIN. Com Face ID também ativado, é o PIN primeiro, depois o rosto ou a digital. O PIN nunca é guardado; um hash lento dele é. Três tentativas erradas iniciam um atraso que dobra.
Ninguém pode recuperar este PIN. Nem você, nem nós. Nós nunca o guardamos — só um hash lento que consegue conferir uma resposta e não consegue produzir uma. Não há conta, nenhum e-mail registrado e ninguém a quem apelar. Esqueça-o e as mensagens neste telefone se vão.
Então escolha um que você ainda vai lembrar daqui a seis meses, e faça um backup antes de defini-lo (Ajustes › Backup), guardado em algum lugar que você consiga acessar sem este app.
Esse custo também é por que o CHANNEL pede menos de um PIN do que um site pede. Só dois são recusados:
Essas são as duas primeiras coisas que qualquer um tenta. Tudo o mais é seu, incluindo repetições: 1223, 7788 e 1911 estão todos ok. Uma regra que os proibisse te empurraria para um código que você anota ou esquece, e esquecer é o resultado que custa tudo.
Quatro dígitos já bastam. Seis é melhor se você for lembrar — e se preferir palavras, ative Usar letras e números e digite uma frase em vez disso.
Tentativas por adivinhação já são tratadas em outro lugar: o atraso depois de tentativas erradas dobra, e conferir um palpite é propositalmente lento. Um PIN mais longo acrescenta muito pouco em cima disso. Lembrar dele acrescenta tudo.
O PIN não é copiado para um dispositivo vinculado. Cada um recebe o seu próprio, então desbloquear aqui nunca desbloqueia lá, e um dispositivo que você perde não entrega os outros.
Os dois vêm desativados até você os ativar, em Ajustes › Bloqueio do app, e os dois são para um dispositivo que outra pessoa possa estar segurando.
Pedir PIN para trocar de perfil. O seletor de perfis é uma lista de identidades que você mantém separadas de propósito, e sem isso ele abre qualquer uma delas com um toque. Ative isso e trocar pede o PIN do app primeiro — até para um perfil que não tem bloqueio próprio, porque o que está sendo protegido é a troca, não o destino.
Este é o caso do tablet emprestado. Sob um único login, o telefone ou tablet não dá ao CHANNEL nenhuma forma de diferenciar duas pessoas, então o PIN é a única separação que existe.
Pedir PIN antes de excluir. Excluir um contato, uma conversa ou um perfil pede o PIN do app primeiro, e depois ainda pergunta se você tinha certeza daquele. Duas perguntas diferentes: se você tem permissão, e se você quis dizer aquilo mesmo.
Não há período de tolerância em nenhum dos dois. O bloqueio do app espera um minuto antes de perguntar de novo, para que sair para copiar um código não te custe um desbloqueio; esse raciocínio não se aplica a algo que nada pode desfazer. Uma exclusão aqui é real — o registro se vai, não uma marcação — então ser perguntado é toda a proteção.
Nenhum dos dois usa seu rosto ou digital. Num dispositivo compartilhado, esses costumam estar disponíveis para quem estiver segurando o telefone; o PIN é a parte que não está.
Um perfil pode ter um código próprio, separado do PIN do app. Em Ajustes › Privacidade, com Este perfil ativado, toque em Definir um PIN do perfil. Uma vez definido, a linha passa a dizer Alterar PIN do perfil, e Remover PIN do perfil aparece abaixo.
É de fato um segundo código: seu próprio salt, sua própria contagem de tentativas erradas, seu próprio atraso. Errar na porta de um perfil não bloqueia o app, e saber o PIN do app não abre o perfil. O sentido de ter vários perfis é que eles são separados, e um único código para todos faria essa separação só parecer real para quem já te viu digitar uma vez.
A ordem segue a do app. Abrir o app pede o PIN do app, depois o rosto ou a digital. Abrir um perfil protegido pede o PIN do perfil, depois o rosto ou a digital dele se Bloquear este perfil estiver ativado. Um rosto sozinho nunca abre uma identidade que pediu um segundo segredo.
Uma diferença em relação ao bloqueio do app é proposital: a tela de entrada do perfil nomeia o perfil, o que a tela de bloqueio do próprio app nunca faz.
Um perfil com PIN próprio, ou com Bloquear este perfil ativado, é pedido em qualquer lugar de onde outro perfil possa chegar até ele, não só no seletor de perfis:
O perfil em que você está já foi aberto, então nada disso vale para ele.
Um perfil com PIN próprio pode ter um código de coação só dele: Código de coação do perfil, abaixo de Remover PIN do perfil. Como todo código no CHANNEL, é opcional, e nada pede que você defina um.
Digitado onde esse perfil pede o PIN, ele abre o perfil exatamente como o PIN. Quando abre, as conversas e os contatos desse perfil já não estão lá: cada mensagem, cada cartão exceto o do próprio perfil, as fotos deles, os anexos e os convites pendentes. Uma chamada para ele é encerrada. O perfil fica, com o nome, o PIN e o próprio cartão, e nenhum outro perfil do telefone é tocado. Nada na tela mostra o que aconteceu, e nada é enviado a ninguém.
O código de coação do app é o que esvazia o telefone inteiro.
Excluir um perfil leva o PIN e o código de coação dele junto.
Um cartão pertence ao perfil em que foi criado. Alguém que escreve para você num perfil é adicionado ali e em nenhum outro lugar, e um contato que você digita à mão é igual: dois perfis num mesmo telefone não compartilham nada, a menos que você diga que sim.
O próprio cartão diz a qual perfil pertence, sob Mostrar em, e você pode mudar isso ali sem abrir o editor. Ele pergunta primeiro, porque esse ajuste decide quem pode ver o cartão daquela pessoa, e um toque errado não deveria ampliar isso silenciosamente. De qualquer forma, as mensagens dela ficam no perfil em que chegaram; uma conversa nunca é compartilhada entre perfis, só o cartão.
Um cartão vive em um só perfil. Se você quiser escrever para essa pessoa a partir de outro, abra o cartão dela ali e escolha Escrever deste perfil.
Copia o que está escrito no cartão — o nome, os números, os endereços — e nada mais. As chaves nunca são copiadas, nem o quanto o app tem certeza da identidade dela, porque as duas coisas são fatos sobre o pareamento que aquele perfil fez e não sobre a pessoa. Então o novo perfil começa um primeiro contato comum: a outra pessoa é perguntada, como seria um desconhecido, e não lhe é dito nada sobre ser você de novo.
Esse custo é o recurso funcionando certo. Um perfil que herdasse o pareamento do outro estaria dizendo à outra pessoa que dois perfis são uma pessoa só, que é exatamente a única coisa que os perfis existem para evitar.
Mude o nome no topo do cartão dela para o que quiser. Este perfil mostra esse nome, um cartão que ela enviar nunca substitui um nome que você escolheu, e nenhum outro perfil é afetado.
Muda um nome em uma lista e nada mais. Uma notificação ainda pode citar a mensagem, uma captura de tela ainda mostra a conversa, e quem abrir este perfil lê tudo. Protege uma olhada numa lista de conversas, que é algo real de se querer, e não é uma tranca.
Se a olhada é o que preocupa você, desligue também as prévias para essa pessoa no cartão dela, porque outro nome com as prévias ligadas é justamente a armadilha que isto seria de outro modo.
Sob um único login, o sistema operacional não separa duas pessoas. Tudo o que o CHANNEL guarda é alcançável por quem estiver segurando o dispositivo. O PIN não é uma conveniência aqui; é o isolamento inteiro.
Ative Outras pessoas usam este dispositivo em Ajustes › Bloqueio do app. Esse único interruptor faz o que três ajustes teriam que fazer de outra forma: o app bloqueia no momento em que sai de vista, sem período de tolerância, e toda troca de perfil pede o PIN. É um único interruptor de propósito — passar um tablet adiante não deveria exigir descobrir quais ajustes somados dão a proteção que você quer.
Depois dê a cada perfil de cada pessoa seu próprio PIN, em Ajustes › Privacidade com Este perfil selecionado. Esse ajuste faz três coisas:
Ative Pedir PIN antes de excluir na mesma página. Excluir é real aqui — o registro se vai, e nada o restaura — então ser perguntado é toda a proteção.
Seus contatos e conversas já são separados entre perfis, com ou sem PIN: cada perfil guarda os seus. O PIN é sobre quem pode abrir um perfil, não sobre manter as listas separadas.
O limite honesto. Nada disso torna um dispositivo compartilhado privado. Quem quer que o esteja segurando ainda consegue ver que o CHANNEL está instalado, que existem perfis, e que mensagens chegam. Um perfil que realmente importa não pertence a um dispositivo que outras pessoas usam, e nenhum ajuste nesta página muda isso.
O código de coação do app também pertence aqui: ele destrói tudo o que o CHANNEL guarda no dispositivo, então num dispositivo compartilhado destrói o de todos. O código de coação próprio de um perfil alcança só esse perfil.
Código de coação, sob o mesmo título, é um segundo código, e só aparece depois que um PIN é definido. Digitado no lugar do seu PIN, ele faz na tela exatamente o que o seu PIN faz: o app abre. O que mudou quando ele abre é que tudo o que o CHANNEL guardava neste telefone se foi -- primeiro a chave que sela os armazenamentos, depois as identidades, depois cada arquivo -- e o app que você está vendo está vazio. Nada diz que houve um apagamento, e não há mais nada para tocar. Não existe etapa de confirmação, e esse é justamente o ponto: um segundo toque é algo que alguém ao seu lado consegue ver e interromper, e faria o código de coação parecer diferente do verdadeiro. Em troca, digitá-lo é imediato e não pode ser desfeito. Uma cópia guardada em outro lugar, como um backup ou outro telefone, não é tocada.
Todo armazenamento que o CHANNEL escreve é selado com uma chave que nunca sai do hardware seguro deste telefone. Um arquivo copiado, uma imagem de disco ou um backup roubado não rendem nada sem ela.
Nada mais. Nenhuma análise, nenhum relatório de falha, nenhum sinal de uso, e a Ajuda não contata ninguém a menos que você toque em Obter.
Toda a Ajuda está dentro do app e funciona sem nada conectado, para sempre. Quando existem páginas mais novas, uma linha no topo da Ajuda diz Há ajuda atualizada disponível e oferece Obter.
Saber disso não custa nada: o app aprende isso de uma consulta que já faz para o seu correio, então não há conexão extra e nenhum padrão novo para ninguém observar. A Ajuda não checa na abertura nem numa agenda, porque uma solicitação numa agenda reportaria quando você abre o app, quer alguém estivesse contando ou não.
Nada é baixado até você tocar no botão, e a folha diz claramente o que tocar nele faz. Ele contata nosso site público, channelmessenger.net, e esse servidor vê seu endereço. Nada mais é enviado, e a Ajuda funciona sem isso. Se isso importa onde você está, faça isso numa rede que não seja a sua.
Nosso servidor nunca diz onde as páginas estão, só que existem mais novas, e o app as escreve só quando cada página está em mãos, então um download que para na metade deixa a Ajuda que você tem como estava.
Ajustes › Recursos de IA aceita Meu próprio servidor como provedor: uma máquina que você roda, geralmente alcançada por uma rede privada sua. Nada sobre ele chega até nós. Nunca nos dizem o endereço, a solicitação nunca toca nosso servidor, e as palavras vão para a sua máquina e ficam lá. Veja Ajustes.
Se você ativar Conversar como contato para uma conta de AI, esse contato é uma conversa com sua própria conta de provedor e nada mais. É dito a ele, nas suas instruções, que ele só consegue ver esta conversa, que não tem memória das suas outras sessões, nenhum acesso aos seus contatos, sua localização ou seu telefone, que não consegue enviar uma mensagem ou realizar nenhuma ação, e que nunca deve te pedir uma senha, uma chave ou um código. Nada mais neste telefone é enviado a ele. Só você pode escrever para ele, e ele não consegue alcançar mais ninguém.
As solicitações são contadas por conta, então você consegue ver para que uma conta tem sido usada.
O texto em inglês é a referência; qualquer tradução é apenas uma comodidade. A ajuda fica guardada neste telefone e não contacta ninguém.