Privacidade: o que nossos servidores guardam
As datas indicam o prazo de retenção após o último evento. Nada nesta página é uma promessa que não possamos cumprir: arquivos, mensagens, cartões, mensagens de voz, chamadas, conteúdo de salas, reservas e avaliações vão de dispositivo para dispositivo e nunca passam pelos nossos servidores.
Atualizado em 29 de outubro de 2026
O que nossos servidores guardam
| O quê | Onde | Prazo | Por quê | Exportação |
|---|---|---|---|---|
| E-mail da conta, eventos de login | Cognito | até a conta ser excluída | login por código; convites | sim |
| Perfil: nome, foto, slug de palavras ou identificador, a chave de identidade (ipk) ou vk, a lista assinada de dispositivos (pacotes públicos por dispositivo, rótulos, a chave pública da época e os envelopes da época por dispositivo — somente texto cifrado), gerações da chave da caixa de entrada | Accounts | até ser excluído ou renovado (uma versão antiga da lista de dispositivos não é mantida; uma geração anterior da caixa de entrada, 24 h) | a página do link; lacrar toques e compartimentos para o dispositivo que estiver presente | sim |
| Controles (política): quem pode falar comigo, pausa, o que aceito, horários e seu modo, somente direto, política da caixa de entrada | Accounts | até serem alterados | aplicar os controles do usuário | sim |
| Dispositivos: nome, plataforma, formato, chaves públicas de assinatura e de lacre, inscrição de push, notificações e seus tipos, horário silencioso, plantão, o hash com sal e a validade do token do dispositivo | Accounts | até o dispositivo ser removido (o token vai junto) | cadastro, o push sem texto, disponibilidade, entrada quando o login está fora do ar | sim |
| Salas: a linha do registro (tipo, dono, pagante, ids de perfil dos membros, delegados, entrada, geração, a validade escolhida; nunca um nome nem conteúdo) | Rooms | 30 dias parada ou a validade escolhida | permitir que os membros encontrem e paguem a sala | sim |
| Chamadas: uma concessão e minutos/bytes via relay, como qualquer sessão | Usage | como as linhas de uso | medição quando passa pelo relay | sim (em uso) — nunca mídia, nunca quem ligou para quem |
| Plano, ids de cliente e de assinatura do Stripe, limite de gastos, assentos | Accounts, Stripe | até ser excluído; o Stripe guarda as faturas conforme a própria retenção | cobrança | sim |
| Contadores de uso por mês e por concessão (minutos e bytes via relay, provedor, pagante, horário de emissão e de relatório) | Usage | linhas do período, 13 meses; linhas de concessão, 48 h | pague conforme o uso, o limite, a conciliação | sim |
| Metadados da sessão (link, modelo, estado, quem aceitou, quando, tamanhos e tipos informados pelo anfitrião) | Sessions 24 h; linhas business audit# 90 dias | como as linhas de sessões | a caixa de entrada empresarial e sua auditoria | sim (exportação empresarial) |
| Participação em organização, funções, convites (hash do e-mail e hash do código) | Accounts | até serem removidos; convites, 7 dias | a equipe | sim |
| Chaves de API (nome, escopos, hash com sal), webhooks (URL, segredo criptografado), entregas (status) | Accounts, Webhooks | até serem excluídos; entregas, 14 dias | a API corporativa | sim (nomes e URLs) |
| O compartimento lacrado (somente texto cifrado) | Slots | 7 dias ou até a retirada | a única mensagem enquanto o receptor está ausente | listado, não legível |
| Linhas de conexão ativa (id da conexão, sala, dispositivo, hash do IP com chave) | Connections | 2 horas | sinalização | não |
| Contadores de limite de uso (hashes com chave, sem endereço) | RateLimits | a janela, no máximo 24 h | limites contra abuso | não |
| Logs do servidor (ids, códigos, durações; nunca corpos, tokens, endereços, nomes) | CloudWatch | 14 dias | operação | não |
| Conversas, arquivos, mensagens de voz, o registro de uso, decisões sobre contatos, chaves | somente o dispositivo | a configuração de histórico do dispositivo | o app | pelo dispositivo |
Nunca nos nossos servidores, por construção: arquivos, mensagens, cartões, mensagens de voz, chamadas, conteúdo de salas, reservas, avaliações, chaves privadas, segredos de pareamento ou de sala, o texto claro de um compartimento, quem fala com quem em uma sala de pareamento, o endereço de um visitante (somente hash, 2 h), o conteúdo de um push.
A única exceção
Um texto curto lacrado por par de quem envia e quem recebe, com até 280 caracteres de texto simples e 2 KiB lacrados, pode esperar até 7 dias por um receptor ausente e é apagado quando retirado. Ele é criptografado para a chave do receptor: nossos servidores guardam apenas texto cifrado e não conseguem lê-lo. Todo o resto passa ao vivo enquanto as duas pontas estão conectadas ou espera na caixa de saída de quem envia.
Suas escolhas
A exportação da conta é montada a partir desta mesma tabela: toda linha marcada com "sim" acima está nela. Excluir a conta exclui as linhas mantidas "até a conta ser excluída". Seu conteúdo, que fica só no dispositivo, é exportado e excluído pelo dispositivo.
Quem é o responsável
O WhispShare é operado pela LED TECHNO FUSION S.R.L., Str. Petre Andrei nr. 4C, parter, Iași, Romania, CUI 40378030, Registro Comercial J2019000036229. Para dúvidas sobre privacidade, escreva para support@whispshare.com.