O que coletamos

Servidores, identidades, chaves privadas, senhas, trechos e chaves de host lembradas ficam cifrados na sua própria máquina, sob uma chave derivada da sua senha mestra. Não temos essa senha e não podemos derivá-la.

Se você ativar a sincronização, os registros cifrados são copiados para os nossos servidores para que seus outros dispositivos possam buscá-los. A cifragem acontece antes de qualquer envio. Quem operar o servidor — nós inclusive — vê tamanhos de registro e horários, não conteúdos.

Não coletamos o conteúdo das suas sessões de terminal, os endereços dos servidores a que você se conecta, seus nomes de usuário ou suas chaves. Não há registro de teclas nem gravação de sessão — a menos que você ative os registros de sessão, guardados com a mesma cifragem que todo o resto.

A digitação por voz não envia nada até você concordar: na primeira vez que você pressiona o microfone, o Termiyo explica o que ela faz e não grava nada até você concordar. Depois que você concorda, o que você fala passa pelo nosso servidor até o Deepgram, um serviço de transcrição de voz, e o texto volta para você como rascunho. Nosso servidor repassa o áudio e não guarda nada dele. É preciso estar conectado a uma conta Termiyo, e isso conta todo mês na IA incluída no seu plano.

Enquanto você fala, o áudio fica na memória do aplicativo no seu computador, e o aplicativo o corta nas suas pausas em trechos curtos e envia cada um ao servidor do Termiyo (num ditado longo, enquanto você ainda fala, e o resto quando você para). O servidor do Termiyo não guarda o áudio: ele não é gravado no nosso banco de dados, em arquivo nem em log, e o que é registrado na sua cota é o número de tokens de IA que cada trecho custou, calculado pela duração.

Em cada solicitação pedimos ao Deepgram que a deixe fora do seu Model Improvement Program, e segundo a documentação do Deepgram os dados dessas solicitações ficam guardados só pelo tempo necessário para processá-las; a página “Your Data at Deepgram” diz que o Deepgram então não guarda nem o áudio nem o texto depois de responder, nem os usa para treinar seus modelos. Nada do que você dita chega a um terminal ou ao assistente de IA até você clicar em um botão no rascunho.

O Termiyo envia um relatório curto sobre si mesmo, no máximo uma vez a cada 24 horas, e está ligado desde o momento em que você o instala. Leva a versão do aplicativo, a sua plataforma e o seu processador, como esta cópia foi instalada, o idioma da interface, se a verificação de atualizações está ligada e quantos despejos de falha estão na pasta dele. Essa é a lista completa. Vai sem identificador de qualquer tipo, portanto um relatório não pode ser ligado a outro nem a você, e aqui não se guarda nada sobre você que se possa consultar. Nada das suas sessões viaja com ele: nenhum nome de host, nenhum nome de usuário, nenhum comando, nenhuma saída, nenhum caminho, nenhuma chave. O Termiyo diz isso na primeira vez que é executado, e a chave que desliga está a um clique em Configurações → Ajuda. Os relatórios de falha são outra coisa: desligados numa instalação nova, desligados depois de uma atualização e desligados até que você vá ligá-los.

Quando o aplicativo falha, o despejo do sistema operacional é escrito numa pasta da sua própria máquina. Configurações → Ajuda lista o que há nessa pasta, diz em palavras simples o que um despejo pode conter, e a abre. Com o envio desligado — que é como toda instalação começa — o despejo fica lá, e só sai se você mesmo o anexar a um relatório de erro.

Se você ligar: o despejo é enviado por HTTPS para termiyo.com e guardado lá para que as pessoas que constroem o Termiyo possam abri-lo num depurador. Ele leva o próprio despejo, com o nome que a sua própria máquina deu àquele arquivo, a versão, a plataforma e a arquitetura, e um identificador daquela instalação — criado na primeira vez que algo é enviado, de modo que uma instalação que nunca ligue isso não tem nenhum. Não registramos o endereço de onde ele veio. Um despejo com mais de 2 MB não é enviado. A mesma tela lista tudo o que foi enviado e tem um botão que pede ao nosso servidor para apagar esses relatórios junto com os despejos.

Isto não é uma posição geral sobre privacidade. Um cliente SSH vê os nomes de host, os usuários e os comandos com que você chega aos sistemas de produção. Um despejo pode conter qualquer um deles, e não existe versão filtrada de uma imagem de memória — é memória, não um formulário. É por isso que isto é uma chave que você tem de procurar e ligar, por isso a tela onde ela está diz antes o que há no arquivo, e por isso é a única coisa desta página que muda quando você liga.

O que mudou aqui, dito em voz alta em vez de editado em silêncio: esta seção afirmava antes que os relatórios de falha não estavam apenas desligados, mas ausentes, que aqui não havia nada para ligar e que um relatório não tinha para onde ir. As três coisas eram verdadeiras em todas as versões anteriores à que acrescentou o endereço de envio, e essa versão tornou-as falsas. O que não mudou é a parte que mais importa, e de todo modo é a frase melhor: nada sai da sua máquina a não ser que você ligue isto.

O Termiyo pede que você crie uma conta numa instalação nova, e você pode recusar e continuar usando o programa. Uma conta guarda um endereço de e-mail, um verificador de senha (não a senha), suas chaves públicas, o estado da sua assinatura e — para cada máquina em que você entra na conta — uma etiqueta, que é o nome de host daquele computador com o sistema operacional entre parênteses depois dele, junto com quando aquela máquina nos alcançou por último. A etiqueta fica guardada como está escrita, sem cifragem, porque o sentido dela é você poder ler a lista e reconhecer as suas próprias máquinas. Apague a conta e tudo isso vai com ela.

Perguntas sobre qualquer disto vão para info@termiyo.com.