Última atualização: 24 de outubro de 2026
Política de privacidade
Resumindo: não pedimos o teu número de telefone, nem email, nem nome. As tuas mensagens são cifradas no teu telemóvel e nós não as conseguimos ler. O nosso servidor guarda só o mínimo para as entregar, durante pouco tempo.
Quem é responsável
A SEALER (app e servidor) é um projeto de Nuno Gonzalez, em Portugal, responsável pelo tratamento dos dados descritos aqui. Contacto: privacidade@sealerapp.com.
A app está em testes fechados: por agora, só testadores convidados têm acesso ao serviço.
O que fica só no teu telemóvel
As tuas mensagens, imagens, mensagens de voz, ficheiros, contactos, a lista de pessoas que bloqueaste, a tua identidade (as tuas chaves) e as definições ficam guardados apenas no teu telemóvel, numa base de dados cifrada (SQLCipher) cuja chave está protegida pelo próprio telemóvel. Nós nunca recebemos estes dados em claro. Se perderes o telemóvel ou desinstalares a app, não os conseguimos recuperar (a cópia de recuperação, se a ligares, está explicada mais abaixo).
As chamadas de voz e as videochamadas não são gravadas, nem no telemóvel nem no servidor. A app só usa o microfone quando gravas uma mensagem de voz ou estás numa chamada, e a câmara só quando a ligas numa videochamada, sempre depois de lhe dares permissão.
Os grupos funcionam da mesma forma: cada mensagem é cifrada para cada membro e o servidor não sabe que o grupo existe. O estado "online" (podes desligá-lo nas Definições) é enviado só aos teus contactos, cifrado como uma mensagem, quando abres e fechas a app. Não fica guardado em lado nenhum, nem no servidor nem no telemóvel de quem o recebe.
A foto de perfil, se escolheres uma, é reduzida no teu telemóvel e enviada só aos teus contactos, cifrada como uma mensagem. O servidor não sabe que é uma foto e só a guarda, cifrada, até o contacto a receber. Fica no telemóvel de cada contacto até ele te apagar dos contactos, ou até a tirares. As medalhas funcionam da mesma forma: o certificado da medalha vai cifrado só aos teus contactos e o servidor não sabe que é uma medalha.
Chamadas e videochamadas
Entre contactos mútuos, a chamada é direta. Quando os dois têm um ao outro nos contactos, a chamada liga-se diretamente de telemóvel para telemóvel, logo na primeira chamada e só depois de atenderes. Assim o som e a imagem chegam melhor. Nesse caso, cada um fica a saber o endereço de rede (IP) do outro. A chamada continua cifrada ponta a ponta: ninguém pelo caminho a consegue ouvir nem ver.
Nos outros casos, passa pelo nosso servidor. Se não forem contactos mútuos, ou se um de vocês bloquear o outro ou o apagar dos contactos, a chamada passa pelo servidor das chamadas e o teu IP não é partilhado com o contacto. Se isso acontecer a meio de uma chamada, ela passa logo para o servidor.
Vídeo só para quem aceita. Numa videochamada, o teu vídeo só é mostrado a quem aceitar vê-lo. Se a outra pessoa não aceitar, a tua câmara desliga-se. Podes desligar a câmara quando quiseres.
O que passa pelo nosso servidor
Para as mensagens chegarem a quem não está ligado no momento, passam por um servidor da SEALER (o "relay"), alojado na Amazon Web Services, num centro de dados na Suécia (União Europeia). O servidor trata:
- O teu ID: uma chave pública criada no teu telemóvel, que não diz quem és. Não está ligado a nenhum telefone, email ou nome.
- As tuas chaves públicas: servem para outra pessoa poder começar uma conversa contigo de forma cifrada. São públicas por natureza.
- Mensagens, imagens, mensagens de voz e ficheiros à tua espera: chegam já cifrados. O servidor não consegue ler o conteúdo e não guarda quem os enviou (o remetente vai dentro da parte cifrada). Guarda só para que ID são.
- O endereço de notificações do teu telemóvel (se tiveres as notificações ligadas): um código dado pela Google (Android) ou pela Apple (iPhone) ao telemóvel. Serve só para o servidor pedir à Google ou à Apple que acorde o telemóvel quando te chega uma mensagem e tens a app fechada. Esse pedido vai vazio: não leva a mensagem, quem a enviou nem o teu ID. Nas chamadas de voz vai marcado como chamada, para o telemóvel tocar mesmo com o bloqueio da app ativo.
- Chamadas de voz e videochamadas pelo servidor (quando não são diretas): o som e a imagem passam pelo servidor das chamadas já cifrados no teu telemóvel, por isso o servidor não os consegue ouvir nem ver. Também não sabe que contas estão a falar: vê só um código de sala aleatório e os endereços de rede dos dois telemóveis, que guarda em memória apenas enquanto a chamada dura.
- A cópia de recuperação (só se ligares a chave de recuperação, nas Definições): a tua identidade, os teus contactos (nome e ID), a lista de bloqueados e a tua medalha, cifrados no teu telemóvel com uma chave que sai das tuas 12 palavras. O servidor guarda a cópia sem a conseguir abrir, ligada ao teu ID. Não leva mensagens nem grupos. As 12 palavras nunca saem do telemóvel. Por isso, num telemóvel novo, as 12 palavras recuperam o teu ID e os contactos, mas nunca as mensagens antigas nem os grupos.
- Denúncias (só se denunciares alguém): o motivo, o ID da conta denunciada e as mensagens que escolheres (até 20, sem anexos), cifrados no teu telemóvel para uma chave que só a equipa da SEALER tem. O servidor guarda a denúncia sem a conseguir ler e sem registar quem a fez; conta apenas quantas denúncias cada conta fez num dia, para evitar abusos.
- Contas banidas: se uma conta for banida por não cumprir os termos, o servidor guarda o ID dessa conta para recusar a ligação dela.
- O endereço de rede (IP) do teu telemóvel: é necessário para manter a ligação. Só é usado em memória enquanto estás ligado e não fica registado.
O servidor guarda também contagens anónimas (por exemplo, quantas mensagens passaram num minuto e quanto tempo demoraram), sem IDs, IPs nem conteúdo. Servem para ver se o serviço está a funcionar bem.
Durante quanto tempo
- Mensagens à tua espera: até as recebes. Se nunca as fores buscar, são apagadas 30 dias depois de chegar a última.
- Imagens, GIFs, mensagens de voz e ficheiros à tua espera: nas conversas a dois, apagados quando os descarregas; nos grupos, e se ninguém os descarregar, ao fim de 24 horas.
- As tuas chaves públicas: enquanto usares a app. Se não a abrires durante 90 dias, são apagadas sozinhas.
- O endereço de notificações: enquanto as notificações estiverem ligadas. É renovado sempre que abres a app e apagado ao fim de 90 dias sem a abrires, quando desligas as notificações ou quando apagas a conta.
- Chamadas de voz e videochamadas: nada fica guardado. A sala desaparece do servidor quando a chamada acaba.
- Cópia de recuperação: enquanto usares a app (é renovada quando a abres). Apagada ao fim de 90 dias sem a abrires, quando desligas a chave de recuperação ou quando apagas a conta.
- Denúncias: 30 dias. O número de denúncias feitas por cada conta num dia: 2 dias.
- Contas banidas: enquanto o banimento durar.
- Quanto enviaste em anexos por dia (só um número, para evitar abusos): 2 dias.
- Depois de apagares a conta: durante 30 dias, o servidor lembra-se só de que aquele ID foi apagado, para avisar quem te tentar escrever. Depois, nada.
Para que usamos estes dados
Só para entregar as tuas mensagens, guardar a cópia de recuperação que pediste, analisar denúncias e manter o serviço a funcionar e protegido contra abusos. A base legal é a prestação do serviço que pedes ao usar a app e, nas denúncias e banimentos, o interesse legítimo de proteger quem usa a SEALER. Não usamos os dados para publicidade, não criamos perfis e não os vendemos nem partilhamos com ninguém.
Quem mais está envolvido
- Amazon Web Services: aloja o servidor (na Suécia). Só vê dados cifrados e técnicos.
- Cloudflare: aloja este site (ver a política de cookies).
- Google (Firebase Cloud Messaging): entrega o aviso que acorda o telemóvel quando tens a app fechada. A Google fica a saber que aquele telemóvel recebeu um aviso, a que horas e se é uma chamada, mas não o conteúdo, quem enviou nem o teu ID. A notificação que vês ("Tens mensagens novas", ou a chamada a tocar) é criada pela própria app, no teu telemóvel. Podes desligar as notificações no menu da app.
- Apple (Apple Push Notification service), só no iPhone: o servidor fala diretamente com a Apple, sem a Google nem outras empresas pelo meio. A Apple fica a saber o mesmo que a Google no Android: que aquele iPhone recebeu um aviso, a que horas e se é uma chamada. O texto "Tens mensagens novas" vem da própria app. As chamadas não ficam no histórico de chamadas do iPhone.
A app não tem publicidade, estatísticas de utilização nem relatórios de falhas de outras empresas.
Apagar os teus dados
Na app, nas Definições, escolhe Destruir perfil e dados: apaga primeiro o que está no servidor (incluindo a cópia de recuperação) e depois tudo do teu telemóvel. Se já desinstalaste a app, vê a página Apagar a conta.
Os teus direitos
Tens direito a aceder aos teus dados, a corrigi-los, a apagá-los, a limitar ou a opor-te ao seu tratamento e a recebê-los num formato portátil. Como não sabemos quem és (não há telefone, email nem nome), a forma mais segura de exercer estes direitos é na própria app, que prova que és o dono do ID. Para outras questões, escreve para privacidade@sealerapp.com. Podes também apresentar queixa à Comissão Nacional de Proteção de Dados (CNPD), em cnpd.pt.
Idade mínima
A SEALER é para pessoas com 16 anos ou mais. Se tens menos de 16 anos, não uses a app.
Alterações a esta política
Se mudarmos a forma como tratamos os dados, atualizamos esta página antes de a mudança chegar à app. A data no topo mostra quando foi a última alteração.