Maskeno
Request access

Política de Privacidade

Última atualização: Outubro de 2026

Versão autoritativa: a versão vinculativa desta Política de Privacidade é a versão em inglês. Consulte a Política de Privacidade em inglês. O resumo abaixo é fornecido apenas para fins informativos.

Controlador de Dados

Creatiwi AI
República da Polônia
Contato: [email protected]

Processamento Local

O Maskeno prioriza o processamento local. A deteção e a redação (ocultação) de dados pessoais (PII) são executadas no seu dispositivo, depois de os modelos estarem nele, usando reconhecedores de padrões (Microsoft Presidio), o classificador multilingue nym e o modelo OPF de pessoas e endereços, além de um modelo GLiNER2 só para polaco, via ONNX Runtime. Nenhuma etapa de deteção envia os seus documentos para um servidor. O reconhecimento de texto (OCR) de páginas e imagens digitalizadas também é executado apenas localmente: com o Tesseract integrado no aplicativo (padrão) ou com o Ollama nesta máquina. Não existe OCR na nuvem, e o documento original nunca sai do seu dispositivo. Isto não significa que o aplicativo não use a rede: veja a lista abaixo. A deteção também é incompleta e o texto mascarado não é anonimizado, por isso leia o texto mascarado antes de o enviar para qualquer lugar.

O Que Sai do Seu Dispositivo

O uso do aplicativo envolve várias solicitações de rede. Nós as listamos claramente em vez de afirmar que nada "nunca" sai do seu dispositivo:

  • Avaliação: no registo são enviados um identificador de máquina pseudónimo (um hash do seu hardware de rede, ou um ID aleatório), a plataforma do sistema operacional e a versão do aplicativo; nas verificações de estado, o identificador de máquina; nos relatórios de uso, o identificador de máquina com o número de projetos e de páginas. Tudo isto vai para o nosso servidor de avaliação, não está condicionado ao consentimento de análise e não é interrompido por uma licença: uma licença válida levanta os limites da avaliação, mas o aplicativo continua a pedir o estado da avaliação e a enviar os relatórios de uso.
  • Dados de idioma para OCR: quando você executa o OCR num idioma cujo ficheiro de idioma não está na cache de dados de idioma do aplicativo (na primeira vez e de novo depois de essa cache ser esvaziada), o aplicativo baixa o ficheiro de idioma do Tesseract correspondente (por exemplo, polaco e inglês) da CDN de dados de idioma do tesseract.js (jsDelivr). O aplicativo guarda a cache na pasta temporária do seu sistema operativo, que o sistema ou uma ferramenta de limpeza pode esvaziar. É um simples pedido de download, sem conteúdo de documentos, identificador de máquina nem chave de licença. Para manter o OCR totalmente offline, defina a variável de ambiente TESSDATA_PATH, no ambiente a partir do qual o aplicativo é iniciado, para uma pasta com os ficheiros de idioma comprimidos em gzip, com o nome <lang>.traineddata.gz (para um documento em polaco, pol.traineddata.gz e eng.traineddata.gz). Os ficheiros .traineddata simples também funcionam, se a pasta contiver nessa forma todos os idiomas de que o aplicativo precisa e nenhum como ficheiro .gz; não misture as duas formas na mesma pasta. Para um idioma cujo ficheiro falte nela, o aplicativo não recorre ao download.
  • Licenciamento: se você inserir uma chave de licença, a chave e o identificador de máquina são enviados ao Polar.sh para ativar a licença e, aproximadamente a cada 7 dias, para a revalidar. A ativação envia também a plataforma e a versão do aplicativo.
  • Download de modelos de deteção: quando um perfil precisa de um modelo que ainda não está no dispositivo, os ficheiros são baixados. Os perfis secure, legal e medical precisam do modelo nym (cerca de 376 MB). legal e medical precisam também do modelo OPF (cerca de 917 MB), tal como secure para texto que não está em polaco. Para texto em polaco, legal e medical precisam ainda do modelo polaco GLiNER2 (cerca de 395 MB). Os três vêm de models.audior.app, o nosso próprio armazenamento no Cloudflare R2, e os modelos nym e OPF recorrem ao Hugging Face se esse anfitrião estiver inacessível, responder com um erro ou servir outros bytes. O modelo GLiNER2 não tem alternativa. Cada ficheiro é verificado no download contra um tamanho e um hash SHA-256 fixados. Nenhum dado de documentos é enviado; se a variável de ambiente HF_TOKEN estiver definida, é enviada ao Hugging Face como token bearer num download alternativo. O perfil developer não baixa nada.
  • Lista de modelos do Ask AI e verificação da chave de API: quando o seletor de modelos do Ask AI não tem uma lista em cache (a lista fica em cache durante uma hora) ou quando você a atualiza, o aplicativo obtém a lista de modelos do OpenRouter, com a sua chave de API do OpenRouter, se a tiver guardado. Testar a chave do OpenRouter nas Configurações envia essa chave ao OpenRouter. Nenhum dado de documentos é enviado. Se você não configurar o OpenRouter, estes pedidos não acontecem.
  • Ollama: o aplicativo comunica apenas com o Ollama nesta máquina. Para o Ollama, aceita somente um endereço de loopback (localhost, 127.x.x.x ou ::1) e recusa qualquer outro. Verifica o endereço ao guardá-lo, apaga em cada arranque um endereço guardado que não seja de loopback e volta a verificá-lo antes de cada execução do OCR, porque o OCR vê o documento original, sem máscaras. Trata-se de verificações de estado, versão e lista de modelos, downloads e remoções de modelos, imagens de página quando você executa o OCR com o Ollama, e o prompt com o texto mascarado quando executa o Ask AI com o Ollama. As verificações de estado correm automaticamente sempre que as Configurações ou o painel Ask AI são abertos, mesmo que você nunca use o Ollama, e não há configuração para as desativar. Todos estes pedidos vão para esse endereço de loopback.
  • OCR: nada sai do seu dispositivo. O OCR é exclusivamente local: Tesseract integrado no aplicativo (padrão) ou Ollama nesta máquina. Não existe OCR na nuvem, e as imagens de página nunca são enviadas a um provedor na nuvem.
  • "Ask AI" (opcional): o prompt escolhido mais o texto mascarado do projeto vai para o OpenRouter com a sua própria chave de API, para o Ollama nesta máquina, para o chatgpt.com através de um link que contém o texto, ou para onde você colar um prompt copiado. Veja a secção seguinte.
  • Relatórios de falhas e análise de uso (opt-in): desativados por padrão; só após o seu consentimento, dado na janela de consentimento ou nas Configurações. O Sentry recebe relatórios de falhas (mensagens de erro e stack traces, com um ID de instalação aleatório) e o Aptabase recebe eventos de uso. Nenhum conteúdo de documentos é anexado de propósito. No processo principal, o texto de um erro (mensagem, pilha, breadcrumbs, etiquetas) passa por um depurador estrito que substitui caminhos, endereços de e-mail, IBANs, números longos e texto entre aspas, e qualquer palavra que não seja das próprias mensagens do aplicativo, por um sublinhado; os relatórios de falhas na janela do aplicativo só depuram caminhos de ficheiros, por isso outro texto pode ser enviado a partir dali. Um depurador é uma rede de segurança, não uma garantia. Os nomes e os valores de texto dos eventos de uso são validados e encurtados antes do envio. Retirar o consentimento interrompe novos eventos de uso e novos relatórios de falhas do processo principal; relatórios já em fila ainda podem ser enviados, e os relatórios de falhas na janela do aplicativo continuam ativos até você reiniciá-lo.
  • Feedback (opcional): ao enviar o formulário, a nossa equipa recebe, através de um webhook do Slack, as suas respostas e seleções no formulário (alguns campos de texto são encurtados e cadeias sensíveis reconhecidas são substituídas), a hora do envio, a versão do aplicativo, a plataforma e a versão do sistema operacional, o nome do provedor de OCR configurado e se existe um ficheiro de licença. Nos relatórios de erros a caixa "incluir logs" vem marcada por padrão. O formulário mostra as linhas de log antes do envio e o texto mostrado é o texto enviado: apenas entradas de aviso e de erro escritas por uma compilação que depura o conteúdo, no máximo 20 entradas e 2.900 caracteres. Cada linha passa pelo depurador estrito (caminhos, endereços de e-mail, IBANs, números longos e texto entre aspas são substituídos, bem como qualquer palavra que não seja das próprias mensagens do aplicativo). O aplicativo escreve as entradas como mensagens fixas com números e códigos, não como texto livre. É uma salvaguarda, não uma garantia: uma palavra de um documento que seja também uma palavra do próprio aplicativo pode passar. O texto que escreve no formulário também é depurado. Desmarque a caixa para não enviar nenhuma linha de log. Se o aplicativo não tiver um endereço de webhook configurado, nada é enviado.
  • Atualizações: o aplicativo verifica o GitHub Releases cerca de 10 segundos após cada inicialização e a seu pedido, e baixa as atualizações automaticamente. Os pedidos incluem a plataforma e um ID aleatório de atualização; baixar uma atualização pode revelar a versão que você usa. Todas as versões de lançamento fazem isto, incluindo a versão portátil, e não há configuração para o desativar. As versões empacotadas de desenvolvimento têm a publicação desativada.

Cada pedido que sai da sua máquina revela o seu endereço IP (ou o da sua VPN ou proxy) ao servidor que o recebe.

O identificador de máquina é uma impressão digital de hardware pseudónima, não o seu nome ou e-mail. Serve para aplicar os limites da avaliação e associar uma licença a um dispositivo.

O Que o Ask AI Envia

O Ask AI não envia apenas texto "seguro". Envia o prompt mais o texto mascarado do projeto:

  • Os trechos que você rejeitou continuam visíveis, a não ser que outra máscara os cubra.
  • Os dados pessoais que os detetores não encontraram são enviados sem alteração.
  • Marcadores como <PRIVATE_PERSON_1> são pseudónimos, não anonimização: valores normalizados iguais partilham um marcador e algumas formas flexionadas partilham o marcador da forma de origem, enquanto fragmentos de trechos unidos e trechos manuais recebem números próprios. Esse agrupamento não é uma identidade nem uma contagem fiável, mas marcadores repetidos ainda sugerem ao destinatário quantas pessoas distintas existem.
  • Tudo o que rodeia os marcadores (funções, datas, locais, acontecimentos) é enviado tal como está escrito.

Quando o risco avaliado é alto, o aplicativo pede confirmação antes de alguns envios, mas o Ask AI fica indisponível enquanto a deteção estiver incompleta ou indisponível. Leia o texto mascarado antes de enviar. Quando o prompt é copiado ou aberto no chatgpt.com, ele sai do aplicativo e passa a ficar sob a política do serviço de destino. A única coisa que pode chegar a um provedor na nuvem é o texto mascarado que você decide enviar com o Ask AI; os pedidos ao OpenRouter saem diretamente do seu dispositivo com a chave de API que você inseriu, sem passar por um servidor do Maskeno.

O OCR integrado pontua cada página digitalizada que lê. Se uma página for pontuada como fraca ou ilegível, o Ask AI e a exportação do texto ocultado pedem que confirme que a reviu, e o processo principal recusa a exportação até que o faça; a sua confirmação vale para o texto dessa página e cai se a página for lida de novo. A pontuação é uma rede de segurança com limites: não cobre páginas lidas com o Ollama (sem pontuação de confiança), documentos que não precisaram de OCR nem projetos anteriores, e uma boa pontuação não prova que tudo na página foi lido, porque o texto que a análise da página descartou não é contado.

Armazenamento no Seu Dispositivo

A base de dados do projeto é cifrada (SQLite3 Multiple Ciphers, ChaCha20-Poly1305, não SQLCipher). A chave fica num ficheiro db.key protegido com o safeStorage do Electron: DPAPI no Windows (qualquer programa executado na sua conta do Windows pode decifrá-la), Keychain no macOS e um serviço de segredos no Linux. Se o safeStorage não estiver disponível, a chave é escrita em texto simples e apenas é registado um aviso.

Ficheiros de modelos baixados e dados de idioma para OCR: são downloads públicos, sem conteúdo de documentos. O aplicativo não os cifra, e "Reset all data" não os remove. Os modelos de deteção ficam na pasta de cache predefinida da biblioteca transformers.js: uma pasta .cache dentro da pasta do pacote da biblioteca, entre os ficheiros do aplicativo. O aplicativo não define outro local. Os ficheiros de idioma para OCR (pol.traineddata, eng.traineddata e assim por diante) ficam numa pasta chamada maskeno-tessdata dentro da pasta temporária do seu sistema operativo, que o sistema ou uma ferramenta de limpeza pode esvaziar. O aplicativo volta a baixá-los na próxima vez que precisar, a menos que TESSDATA_PATH esteja definida. Quando TESSDATA_PATH está definida, o aplicativo guarda ainda cópias dos ficheiros lidos dessa pasta numa subpasta de maskeno-tessdata cujo nome é src- seguido de doze caracteres hexadecimais.

Chaves de API, qualidade de leitura e registos: as Configurações só guardam a sua chave do OpenRouter. As chaves que versões anteriores guardaram para fornecedores que o aplicativo já não usa (ElevenLabs, Resemble, Gemini, OpenAI e Anthropic) são eliminadas uma vez do ficheiro de configurações no primeiro arranque desta versão; se uma eliminação falhar, é repetida no arranque seguinte. Para cada página digitalizada lida pelo OCR integrado, a base de dados guarda ainda um resumo da qualidade de leitura (pontuação, confiança média, contagens de palavras e intervalos de caracteres de palavras duvidosas, sem texto) e o momento em que a confirmou. O log do aplicativo é escrito a partir de uma lista fixa de eventos (mensagens fixas com números, referências e códigos). O aplicativo foi construído para não escrever nomes de ficheiros, caminhos, texto de documentos nem, em operações que podem tratar um documento, mensagens de erro, e o texto que não controla passa antes por um depurador. É uma regra de projeto com testes, não uma garantia; entradas de versões anteriores podem conter mais. O log de falhas na sua pasta pessoal contém, de um erro, a classe, o código e as posições dentro do aplicativo, não a mensagem, além do ID de instalação.

As chaves de API e a chave de licença usam o mesmo mecanismo. Se o safeStorage não estiver disponível, as chaves de API são guardadas em texto simples (as Configurações mostram um aviso) e a chave de licença fica apenas codificada em base64, o que não é cifragem. Os pedidos normais enviam a chave guardada diretamente ao provedor selecionado, sem passar por um servidor do Maskeno.

Não são cifrados: imagens de página, cópias dos ficheiros de origem importados, logs do aplicativo, o ficheiro de configurações (as chaves individuais dentro dele são cifradas, o ficheiro não), os metadados do ficheiro de licença, os ficheiros do identificador de máquina e do ID de atualização, o ficheiro de estado da avaliação (legível, protegido contra adulteração), o ficheiro de memória partilhada do SQLite e, na sua pasta pessoal, os logs de falhas e de arranque e, se a depuração de arranque estiver ativa, um log de depuração.

Retenção e Eliminação de Dados

  • Ao eliminar um projeto, cópias antigas permanecem nos backups cifrados até serem substituídas por backups mais recentes.
  • "Reset all data" apaga o banco de dados com os ficheiros WAL e de memória partilhada, os backups, o ficheiro de configurações, as amostras de voz e o ficheiro de licença. Deixa vários ficheiros: imagens de página, ficheiros importados, logs, db.key, os ficheiros do identificador de máquina e do ID de atualização, eventuais cópias de recuperação Maskeno.db.corrupted-* (que ainda podem conter dados de projetos), os ficheiros de modelos baixados e os dados de idioma para OCR, os logs na pasta pessoal e o ficheiro de estado da avaliação. Este último fica fora da pasta de dados do utilizador de propósito, para que reinstalar não reinicie a avaliação.
  • O nosso servidor de avaliação armazena o seu identificador de máquina pseudónimo e os contadores de uso. O aplicativo não mostra o identificador de máquina. Para solicitar a eliminação desse registo, escreva para [email protected].
  • Os dados de licença são geridos pelo Polar.sh de acordo com a sua política de privacidade.

Análise do Site

Este site carrega o script do Plausible Analytics. Consulte a política de dados do Plausible.

Seus Direitos sob o GDPR

Como titular de dados na União Europeia, você tem os direitos de acesso, retificação, apagamento, portabilidade de dados, oposição e retirada do consentimento. Os fluxos de dados descritos acima incluem o registo da avaliação, entradas de limite de taxa por IP de curta duração, o que você envia pelo formulário de feedback, os relatórios de falhas e de uso que aceitou, a análise do site e os dados de licença mantidos pelo Polar.sh. Entre em contato conosco em [email protected].

Contato