Privacidade

Como seu conteúdo é protegido

Seu navegador criptografa seu texto e seus arquivos antes do upload, usando um método chamado AES-256-GCM. Seu dispositivo cria a chave. Você pode escrever um teaser público opcional. Os modelos de previsão e revelação adicionam um rótulo público de uma palavra. Um texto equivalente digitado ou colado no seu rascunho pode adicionar o mesmo rótulo; a revisão mostra isso antes da publicação. Guardamos sem criptografia seu teaser e qualquer rótulo que você mantiver. Eles podem aparecer antes de seu Postdate abrir. A página explica isso onde você escreve o teaser. Você vê os dois durante a revisão e pode remover o rótulo.

Nas mensagens Basic, guardamos a chave e a liberamos no horário de abertura escolhido. Prometemos não ler seu conteúdo antes disso. Podemos descriptografá-lo antes da hora, mas nossa política proíbe.

O Timelock criptografa a chave usando o drand, uma rede pública que libera números aleatórios. Quando dizemos “não podemos ver antes da hora”, queremos dizer que a criptografia impede o acesso antecipado. Isso protege o acesso pelo link, desde que o drand e a criptografia continuem seguros. Isso não apaga originais nem chaves que o remetente guardar.

Se você usar o link do Google Agenda, o link do Postdate vai para a sua conta do Google. Em um Postdate Basic, esse link abre a mensagem depois do horário de abertura.

O que armazenamos

Para cada link de mensagem, guardamos os dados criptografados, o horário de abertura, o horário de expiração e a chave. No Timelock, essa chave também é criptografada para uma liberação futura do drand. Guardamos seu teaser público sem criptografia até a limpeza após a expiração. Ele deixa de aparecer na página do Postdate quando a mensagem expira. Guardamos da mesma forma qualquer rótulo de previsão ou revelação que você mantiver. O rótulo permite que a página sugira o modelo correspondente. Qualquer pessoa com o link pode ver seu teaser e seu rótulo, inclusive nas prévias de links. Servimos imagens de prévia do teaser enquanto a mensagem existir, a menos que ela esteja bloqueada para análise. Servidores próximos dos visitantes mantêm cópias temporárias das prévias, às vezes até a mensagem expirar. Não podemos controlar prévias salvas por outros serviços.

Um checkout não concluído mantém o upload criptografado, a chave, as configurações, o teaser e o rótulo por até quatro dias. Ele também registra se você começou pela página de mensagem de outra pessoa e, quando disponível, uma categoria ampla da página de entrada, o idioma da primeira página de entrada e a categoria da origem do tráfego (busca, assistente de IA, X, Product Hunt, Postdate compartilhado, outra referência ou desconhecida). Registros pendentes expiram depois de quatro dias; a limpeza programada remove uploads grandes abandonados. Quando a mensagem é criada, contamos essas categorias nos totais diários. Nunca as guardamos no link da mensagem finalizada nem as enviamos ao Stripe.

Os nomes dos arquivos ficam dentro dos dados criptografados. Não guardamos nomes de arquivos separadamente nem os inspecionamos.

Usamos hashing para transformar endereços IP em códigos. Usamos esses códigos para limitar solicitações e tratar denúncias de abuso. Os registros de denúncia também guardam um identificador de rede com hash e são mantidos por 60 dias. Hashes de uploads criptografados usados para detectar uploads repetidos são mantidos por 30 dias. Nosso aplicativo guarda esses hashes em vez de endereços IP brutos. A Cloudflare processa seu endereço IP para atender às solicitações e fazer a verificação contra bots.

Quando uma mensagem expira, encerramos o acesso. A limpeza programada remove chaves e campos públicos expirados; atrasos ou instabilidades podem adiar a limpeza. Você não pode mais abri-la pelo Postdate. Cópias que as pessoas já abriram ou salvaram continuam existindo. Mantemos um pequeno registro do link expirado por cerca de mais 30 dias. Isso permite que a página diga "isto expirou" em vez de "nunca existiu". Esse registro não tem chave.

Mantemos um pequeno registro de moderação para links denunciados ou removidos por abuso. O registro inclui o identificador do link, o número de denúncias, os motivos, os horários, o tipo de conteúdo e uma faixa aproximada de tamanho. Links removidos também deixam um registro permanente para continuarem marcados como removidos. Ele nunca inclui o conteúdo, a chave nem o endereço IP bruto. Mantemos esse registro pelo tempo necessário para tratar abusos e solicitações legais.

Pagamentos

O Stripe processa os pagamentos das mensagens pagas. O número completo do seu cartão e o código de segurança vão direto para o Stripe. Nosso aplicativo não os recebe. O Stripe envia ao nosso servidor informações do checkout e do pagamento, que podem incluir um endereço de e-mail e dados de cobrança informados no checkout. Nosso aplicativo usa o status do pagamento, o valor, a moeda e referências aleatórias para confirmar a compra. Ele não salva um perfil de cliente.

Nossas solicitações de checkout não enviam ao Stripe seu link, conteúdo ou chave do Postdate. Enviamos ao Stripe referências aleatórias e nós mesmos as associamos ao seu link. Uma referência leva você de volta ao Postdate depois do pagamento. A limpeza programada a exclui depois de cerca de cinco dias. Mantemos a referência de confirmação do pagamento por cerca de 45 dias. Isso nos permite associar confirmações atrasadas à mensagem certa e corrigir problemas de pagamento. Nenhuma das referências contém seu conteúdo ou sua chave.

Cookies e análises

Para restaurar um rascunho não concluído, este navegador salva localmente seu texto, teaser e configurações, sem criptografia. Arquivos anexados não são salvos com o rascunho normal. Quando você escolhe outro idioma enquanto escreve, seu navegador salva temporariamente o rascunho completo, incluindo os arquivos anexados, no seu dispositivo e sem criptografia, para que a próxima página possa restaurá-lo. Removemos essa cópia temporária quando ela é lida. Uma troca de idioma interrompida vale por cinco minutos; cópias expiradas são removidas na próxima vez que uma troca de idioma for salva ou quando você limpar os dados de navegação deste site. Depois de uma publicação bem-sucedida, apagamos o texto do rascunho. Esta aba também guarda seu comprovante de compartilhamento e, no Basic, seu link de exclusão privado. Limpe os dados de navegação deste site para remover as informações salvas localmente.

Não usamos análises de rastreamento de terceiros e não definimos cookies de rastreamento. Mantemos totais diários de entradas em páginas, inícios de escrita, aberturas da revisão, primeira exibição do preço de 3 USD, seleções de Timelock, checkouts, links criados, criações pagas e criações gratuitas autorizadas, agrupados por um pequeno conjunto de categorias de página de entrada, idioma da primeira página de entrada e origem do tráfego. Esses totais não contêm identificadores de visitantes, links de mensagens, conteúdo, nomes de arquivos, URLs de referência completas nem termos de busca. Sua aba guarda apenas essas categorias, um horário de expiração e marcadores por aba das etapas que ela já contou, no armazenamento da sessão, durante uma janela de medição que termina 30 minutos após sua última atividade na página; eles não são usados para identificar você entre abas ou visitas. A medição no navegador respeita o Do Not Track e o Global Privacy Control. Os totais do servidor continuam contando criações e checkouts bem-sucedidos, com a atribuição ausente registrada como desconhecida. A página de criação usa o Cloudflare Turnstile para bloquear bots. O Turnstile pode definir o próprio cookie funcional durante a verificação. Veja a política de privacidade da Cloudflare para mais detalhes. O Postdate funciona na Cloudflare. A Cloudflare processa as solicitações para servir o site.

Reconhecemos buscadores, assistentes de IA, o X e o Product Hunt pelo site de origem ou por um valor de utm_source reconhecido em um link compartilhado. Entre os buscadores estão Google, Bing, DuckDuckGo, Yahoo! Japan, Qwant e Startpage. Os assistentes de IA são ChatGPT, Perplexity, Gemini, Microsoft Copilot, Claude, Grok, DeepSeek, Meta AI, Le Chat e Duck.ai. Um link criado por um assistente de IA que abre a página de criação já preenchida também conta como visita de assistente de IA. Para visitas de assistentes de IA, também mantemos um total diário por assistente. Uma visita que começa em um link de um Postdate que alguém compartilhou com você conta na categoria de origem "Postdate compartilhado". Seu navegador reduz essa informação a uma categoria de origem antes da medição. Outros parâmetros da URL são ignorados por essa medição. O idioma de entrada descreve a página, não sua nacionalidade nem sua localização. Solicitações de medição de robôs automáticos que se identificam como tais, como os robôs dos buscadores, são contadas por tipo de robô e ficam fora dos totais de visitas.

Em um Postdate que alguém compartilhou com você, contamos totais semanais de visualizações da contagem regressiva, aberturas e toques no botão para criar seu próprio Postdate, apenas por idioma da página. Seu navegador conta cada uma dessas ações uma vez por Postdate. Ele guarda no seu dispositivo quais Postdates já contou e nunca envia esse registro. Esses totais não contêm link, conteúdo nem identificador de visitante, e respeitam o Do Not Track e o Global Privacy Control.

Quando um app como WhatsApp, iMessage, Slack ou Discord busca uma de nossas páginas para mostrar a prévia de um link, somamos um a um total semanal desse app e dessa categoria de página. Todos os links de Postdate contam na mesma categoria, sem idioma; nossas páginas públicas contam por tipo e idioma. Nunca registramos qual Postdate teve prévia, quem o compartilhou nem qualquer endereço de rede.

Depois que você cria um Postdate, ou quando volta de um pagamento cancelado, podemos fazer perguntas opcionais de um toque, com respostas fixas. Se você tocar em uma resposta, somamos essa resposta a um total diário por pergunta, resposta e idioma da página. Na pergunta sobre como você conheceu o Postdate, também somamos a categoria de origem do tráfego descrita acima, a menos que seu navegador envie Do Not Track ou Global Privacy Control. Sem esses sinais, também contamos quantas vezes cada pergunta aparece e quantas vezes alguém toca em "Agora não". Você não pode digitar uma resposta, e esses totais não são vinculados ao seu Postdate nem ao seu pagamento. Seu navegador lembra, no seu dispositivo, quais perguntas você respondeu ou fechou, para não perguntarmos de novo. Esta aba também registra que já fez uma pergunta. Nenhum desses registros é enviado para nós. O convite para conversar com o Tony é um simples link de e-mail; o Postdate não coleta nenhum endereço.

Se algo falhar na página de criação ou na página de um Postdate, como ao criar ou abrir um Postdate, a página pode nos enviar um código de erro fixo e informar em qual das duas páginas isso aconteceu. Somamos isso a um total diário. Esses relatórios não contêm conteúdo da mensagem, link, texto do erro nem identificador de visitante, e respeitam o Do Not Track e o Global Privacy Control.

Contato

E-mail privacy@postdate.io com dúvidas sobre privacidade. Denuncie abusos pelo e-mail abuse@postdate.io.