Política de privacidade do Synova

Atualizada em 17 de outubro de 2026.

O que o aplicativo guarda, e onde

Tudo que você cria no Synova (eventos, lista de convidados, registros de entrada e saída) fica no seu próprio aparelho, cifrado com a chave do evento. Essa chave só abre com a senha do evento, ou pelo cofre do próprio aparelho, se você escolher manter o evento destravado. Nenhum aplicativo além do Synova consegue ler esses arquivos.

Cada conta tem o seu espaço no aparelho, e uma conta não abre os eventos de outra: os segredos de cada uma ficam cifrados com a chave daquela conta. Os eventos criados sem conta continuam num espaço à parte, como sempre foram.

Se você desinstalar o aplicativo, o que está nele é apagado junto. Continua existindo só o que foi guardado fora dele: o que está no servidor do Synova (descrito abaixo), uma cópia de evento que você exportou, um backup de chave e os arquivos da sincronização no seu Drive, tudo cifrado. Sem nada disso, não há como recuperar os dados, nem por nós.

A conta do Synova (opcional)

A conta é opcional: o aplicativo funciona inteiro sem ela, e o botão de entrar sem conta continua na primeira tela. Você pode entrar com o Google ou com e-mail e senha. As contas ficam no Supabase, o provedor do servidor do Synova, num servidor em São Paulo. Sobre a sua conta, o servidor guarda:

• o e-mail da conta e, se você entra com o Google, o identificador da sua Conta Google e os dados de perfil que o Google entrega no login, como o nome;
• se você entra com e-mail e senha, a senha guardada pelo provedor de um jeito que ninguém consegue ler de volta;
• quando a conta foi criada e quando foi usada pela última vez;
• a chave da conta, criada no servidor e entregue ao seu aparelho depois que você entra. Ela cifra os segredos da conta no aparelho. Sozinha, ela não abre nenhum evento: as chaves dos eventos nunca chegam ao servidor em forma legível;
• o seu nome de usuário, se você escolher um, e o registro de cada celular da conta que o publicou: o que isso é está em "O nome de usuário e a caixa de entrada", abaixo;
• um registro das entradas na conta (data, e-mail e endereço IP), que o provedor pode manter para segurança. Ele é apagado junto com a conta;
• se você pedir a exclusão da conta pelo aplicativo, o pedido: quando foi feito, quando vence, e um selo cifrado que só a sua senha do cofre abre. O servidor guarda o selo e um resumo do código que desfaz o pedido, e nunca a senha. O pedido sai quando você desfaz, ou junto com a conta, no fim do prazo.

Quem cria a conta por e-mail recebe uma mensagem para confirmar o endereço, enviada pelo servidor do Synova.

O servidor do Synova

Numa conta, os aparelhos de um evento sincronizam pelo servidor, além da rede local e do Drive. Cada registro (um convidado novo, uma presença) vai cifrado com a chave do evento, que o servidor não tem. Ele guarda o conteúdo cifrado e, em claro, só o que precisa para entregar cada registro a quem falta:

• o identificador do evento e o do aparelho que registrou;
• um número de ordem, quando o registro chegou e uma impressão do conteúdo cifrado, para não guardar o mesmo registro duas vezes;
• uma impressão de uma senha tirada da chave do evento, que confere quem pode ler e escrever naquele evento sem revelar a chave;
• qual conta registrou o evento no servidor pela primeira vez. Essa ligação é apagada quando a conta é excluída.

O servidor não vê o que cada registro diz: nomes de convidados, o nome do evento, quem entrou. Ele vê quando os registros chegam e quantos são, o que mostra quando um evento está movimentado, mas não o que aconteceu nele. Quando o evento está aberto em mais de um aparelho, os registros novos também passam por um canal em tempo real do mesmo provedor, cifrados da mesma forma, e esse canal não guarda nada.

O servidor nasce ligado em cada evento de uma conta, e pode ser desligado por evento, na tela Sincronizar pela internet. Desligado, o evento continua sincronizando pela rede local e pelo Drive, se ele estiver ligado.

A cópia da conta e os seus outros celulares

Para você não perder os seus eventos ao trocar de celular, a conta pode guardar uma cópia no servidor: a identidade deste aparelho no Synova e as chaves e as listas dos eventos que ficam destravados nele. Ela é cifrada com uma chave que sai de uma senha do cofre que você escolhe, ou de um código de recuperação que o aplicativo cria e mostra uma vez. A senha e o código nunca são enviados: o servidor não consegue abrir a cópia, e nós também não. Depois de criada, a cópia é atualizada sozinha quando um evento muda. Se você esquecer a senha e perder o código, a cópia não abre mais.

• No backup do Android: a chave que abre a cópia também é guardada no backup da sua Conta Google, para um celular novo restaurado desse backup trazer a conta sem pedir a senha. Isso só acontece quando o Android oferece cifra de ponta a ponta para esse backup (ele a amarra ao bloqueio de tela). Sem ela, nada é guardado ali.
• Dois celulares na mesma conta: eles deixam pedidos e respostas na pasta da conta no servidor, cifrados com a chave da cópia, para o segundo celular entrar nos eventos do primeiro. O servidor não consegue ler esses arquivos.
• A passagem por QR: o celular antigo deixa no servidor uma caixa cifrada, e a chave dela vai só no QR que o celular novo lê. Quando o novo recebe a caixa, ela é apagada.

O nome de usuário e a caixa de entrada (opcional)

Numa conta, você pode escolher um nome de usuário. É por ele que a equipe de um evento acha a sua conta, para três coisas: ligá-la ao seu nome na lista de convidados (feita a ligação, o seu código pessoal daquele evento chega ao aplicativo, em Como convidado), convidar você a se apresentar como aluno (ver "O pedido de aluno", abaixo) e chamar você para a equipe do evento. As três passam por uma caixa de entrada no servidor do Synova. É opcional: sem o nome, a conta funciona igual, e ninguém consegue ligar você a uma lista, convidar você nem chamar você pelo nome. Hoje passam pela caixa:

• o código pessoal de um convidado, mandado por quem liga (o dono do evento, ou um editor que ele autorizou), e um aviso quando a ligação é desfeita;
• o convite para se apresentar como aluno, que leva o identificador e o nome do evento e a chave pública dos pedidos dele. Ele não leva segredo nenhum, não abre nada do evento e só deixa você mandar um pedido;
• os três passos do convite para a equipe: o convite, que não leva a chave do evento e só deixa a pessoa pedir para entrar; o pedido, que leva a identidade do celular de quem aceitou, o nome e o posto com que ele vai aparecer no evento e a versão do aplicativo; e, quando o organizador aprova, a resposta, que leva a chave do evento, selada para o celular que pediu.

O que o servidor guarda, em claro:

• o nome de usuário e a conta a que ele pertence. Um nome é de uma conta só, e alguns nomes são reservados;
• o registro de cada celular da conta, até dez: uma marca tirada do identificador do celular, e não o identificador, e as chaves públicas dele, assinadas pelo próprio celular. São elas que deixam outro aparelho selar uma mensagem que só aquele celular abre;
• de cada mensagem na caixa: qual conta mandou, para qual conta e para qual celular dela, quando, e o conteúdo selado, que o servidor não consegue abrir. O tipo da mensagem vai dentro do selo, e o tamanho é arredondado para múltiplos de 256 bytes, o que esconde o tamanho dos nomes que vão dentro. Isso não esconde tudo: o pedido e a resposta de um convite para a equipe são maiores que um código pessoal, e a ordem das mensagens (uma conta manda, a outra responde, e a primeira responde de novo) mostra ao servidor que houve um convite entre as duas contas, mas não o que ele leva. Cada celular tira a sua cópia depois de ler, e o que ninguém leu sai sozinho 14 dias depois.

Quem consegue achar você: qualquer pessoa com uma conta no Synova que digite o seu nome de usuário exato recebe o identificador da sua conta e as chaves públicas dos seus celulares, que é o que precisa para mandar a você uma mensagem selada. Não há busca por parte do nome nem lista de nomes, e uma conta com a exclusão pedida não é achada nem recebe mensagem. Quem sabe o seu nome também pode chamar você para a equipe de um evento, ou convidar você a se apresentar como aluno: os dois convites aparecem como um cartão na lista de eventos e não fazem nada até você aceitar, e recusar não manda nada a ninguém. Um pedido para entrar na equipe só é aceito pelo celular que mandou o convite.

O convite para a equipe e a chave do evento. Aceitar um convite manda o pedido só ao celular que chamou, e aprovar manda a resposta só ao celular que pediu. A resposta leva a chave do evento, que abre a lista de convidados e os registros dele, e vai selada duas vezes para aquele celular: o servidor não a abre. O que um servidor invadido poderia tentar é apresentar as chaves dele no lugar das de uma das duas pessoas, e é para isso que existe o código de segurança: doze dígitos, iguais nos dois celulares quando ninguém está no meio. As duas pessoas conferem o código uma vez por celular, e o aplicativo avisa quando uma conta já conferida aparece com outro celular. Aprovar sem conferir é possível: o aparelho fica marcado como "código não conferido" em Aparelhos, e dá para conferir depois. Quem aprova sem conferir está confiando que o servidor não trocou as chaves. O link de convite e o QR continuam valendo, e não passam pela caixa.

A ligação fica no evento, e não no servidor. Quando a equipe liga você a um convidado, o seu nome de usuário e o identificador da sua conta entram no registro daquele evento, cifrados com a chave dele, como qualquer outro registro: o servidor não os lê, e quem os vê é a equipe do evento. Desligar não apaga a ligação do histórico do evento: ela passa a constar como desfeita.

No seu celular: os códigos que você recebeu ficam no cofre da conta, até 200, e as páginas que você abriu pelo aplicativo ficam guardadas cifradas, para abrir sem internet. Abrir uma página pelo aplicativo manda ao servidor só o identificador do evento e o endereço calculado do código, sem a sua conta: o servidor não sabe qual conta abriu qual página. O cofre da conta guarda também os convites para a equipe que você mandou e recebeu e os pedidos, até sete dias cada, e as identidades dos celulares com que você trocou um convite, com a marca de quais tiveram o código conferido. Tudo isso fica cifrado com a chave da conta, e sai com a exclusão dela ou ao desinstalar o aplicativo.

Tirar o nome de usuário libera o nome para outra pessoa e não desfaz nenhuma ligação já feita; o registro dos seus celulares fica enquanto a conta existir. Desligar um convidado da conta avisa o celular dela, por cortesia: o que faz o código antigo parar de abrir a página é o organizador trocar o código, e a ficha do convidado oferece as duas coisas juntas.

O pedido de aluno (opcional)

Um evento pode deixar os próprios participantes se apresentarem, em vez de a equipe procurar cada um pelo nome de usuário. A equipe (o dono do evento, ou um editor que ele autorizou) convida de dois jeitos: pelo seu nome de usuário, pela caixa de entrada, ou mandando o link do evento para os alunos, que pode circular num grupo ou num cartaz. O link não carrega segredo: ele leva o identificador e o nome do evento, que quem tiver o link consegue ler, e a chave pública dos pedidos. Ele não é assinado, então o nome do evento que ele mostra não é conferido; um link montado à mão com outra chave só faz o pedido não chegar a ninguém. Abrir o link no aplicativo guarda o convite neste celular e não manda nada a servidor nenhum.

Para se apresentar é preciso uma conta com nome de usuário. Você escreve o seu nome completo, e o pedido vai ao evento, no servidor do Synova. Ele leva o nome que você escreveu e o registro do seu celular (as chaves públicas, para a equipe mandar o código depois), assinados pela identidade do celular, e vai selado para a chave dos pedidos do evento, que sai da chave do evento: o servidor não o abre. Quem tem o evento no celular consegue abri-lo, e o aplicativo mostra os pedidos só a quem liga convidados, que vê o nome que você escreveu, o seu nome de usuário e as linhas da lista que combinam com ele. Você não vê nada da lista. O pedido é completado até múltiplos de 256 bytes: um nome curto e um médio dão o mesmo tamanho, e um nome comprido, a partir de umas sessenta letras (menos, se ele tiver muitos acentos), deixa o pedido um degrau maior.

O que o servidor guarda de cada pedido, em claro:

• que a sua conta mandou um pedido àquele evento, e quando, ao lado do conteúdo selado. A equipe, ao ler os pedidos, recebe também o identificador da sua conta e o seu nome de usuário de agora;
• até três pedidos de cada conta por evento, e cinco mil por evento. O aplicativo tira o seu pedido anterior antes de mandar outro, então a equipe vê um pedido por pessoa.

O pedido sai do servidor quando a equipe decide, quando você desiste dele ou recusa o convite, e a limpeza diária apaga o que passou de 30 dias sem decisão. Confirmar é ligar a sua conta a uma linha da lista, como na ligação pelo nome de usuário: a ligação entra no registro cifrado do evento, e o seu código pessoal chega pela caixa de entrada, em Como convidado. Recusar não avisa você: o pedido só sai do servidor, e o aplicativo continua dizendo que ele espera, até o prazo ou até você desistir.

No seu celular, os convites para se apresentar ficam no cofre da conta, um por evento, até 50 e até 30 dias desde o último passo: o evento e o nome dele, quem chamou (quando o convite veio pelo nome de usuário) e, depois de você mandar, o nome que escreveu e quando. Um convite sai sozinho quando o código daquele evento chega, e o teto não tira um convite que tem um pedido esperando: com o celular cheio, o convite novo é que fica de fora. Tudo isso fica cifrado com a chave da conta e não sai do aparelho.

Os certificados (opcional)

O organizador pode emitir certificados de participação pelo aplicativo. O certificado leva o nome de quem participou, o evento, as datas e a carga horária, impressos no papel e dentro do QR. Para pôr o QR, é preciso uma conta: ele leva uma assinatura digital, e quem confere pergunta ao registro de certificados, no servidor do Synova, se aquele certificado foi emitido e se continua valendo. Um certificado sem QR não passa pelo servidor.

O registro guarda:

• um resumo (SHA-256) de cada certificado e do PDF de cada pessoa, a data do registro e, se o certificado for revogado, a data e o motivo, que sai de uma lista fixa. O nome de quem recebeu nunca chega ao servidor: ele vai no QR, no papel e no arquivo, e o registro tem só o resumo, de onde o nome não se tira;
• a chave pública que assinou cada certificado, de qual conta ela é, quando ela foi desligada, se foi, e o nome do aparelho em que ela nasceu, que só a própria conta vê;
• qual conta registrou cada evento para emitir certificados;
• para cada conta que o dono do evento autoriza a emitir ou a revogar certificados, a marca dessa conta naquele evento, guardada no lugar do identificador da conta: um resumo tirado do evento e da conta, que muda de um evento para outro. O servidor, que calcula a marca, sabe de qual conta ela é; quem só a vê, como a equipe do evento, não reconhece a mesma conta em dois eventos;
• o que a conferência mostra de quem emitiu, escolhido por quem emite: um nome, uma instituição e, se a pessoa quiser, o domínio do e-mail da conta, como ufg.br. Um e-mail pessoal, como o do Gmail, aparece só como "e-mail pessoal". A instituição e o domínio ficam como estavam em cada certificado; o nome segue a escolha de agora.

O que quem emite escolhe mostrar aparece para qualquer pessoa que conferir um certificado emitido por ele, junto com as datas, a revogação e o aviso de chave desligada. A conferência não pede conta: ela responde a quem tem o QR ou o arquivo do certificado.

A página de conferência, caioalexnes.github.io/c, é a que abre pelo QR. O conteúdo do QR fica na parte do endereço depois do #, que o navegador não envia a servidor nenhum, nem a quem hospeda a página. Ela manda ao registro só o resumo do certificado, ou do PDF escolhido, e não guarda nada: nem o que foi conferido, nem quem conferiu. A conferência pelo aplicativo funciona do mesmo jeito.

Excluir a conta

Você pode excluir a conta a qualquer momento, pelo aplicativo, ou pedir por e-mail se não tiver mais o aplicativo. Pelo aplicativo, a exclusão espera 30 dias: nesse prazo a conta fica trancada em todos os celulares, nada dela abre nem se baixa, e você pode desfazer o pedido com a senha do cofre. No fim do prazo, ela é apagada sozinha. Excluir apaga, no servidor, o login, a chave da conta, a cópia da conta, os arquivos que os seus celulares trocam entre si, o registro das entradas, o nome de usuário, o registro dos seus celulares, as mensagens da caixa de entrada (as recebidas e as que você mandou), os pedidos de aluno que a conta mandou e a ligação entre a conta e os eventos que ela registrou; a cópia da conta e os arquivos entre os celulares saem já no pedido, e durante os 30 dias o nome de usuário não é achado por ninguém, a conta não recebe mensagem e não manda nem tira pedido de aluno. Um pedido de aluno que ela já tinha mandado continua guardado nesse prazo, e a equipe ainda o vê, mas não consegue ligar a conta a uma linha por ele. Os registros cifrados dos eventos continuam no servidor, porque pertencem ao evento e os outros aparelhos dependem deles. Os certificados que a conta emitiu continuam conferíveis: saem o nome que a conferência mostrava, a ligação com a conta e as autorizações, e ficam o resumo, as datas, a revogação, a chave pública e a instituição e o domínio de cada certificado. As páginas dos convidados no servidor ficam até o prazo delas, e ninguém mexe mais nelas depois do pedido: quem quiser tirá-las antes desliga as páginas antes de pedir a exclusão. As ligações entre a sua conta e os convidados ficam nos registros cifrados dos eventos, que são da equipe de cada um. O passo a passo, e tudo o que é apagado e o que fica, está em Excluir a conta.

As permissões que o aplicativo pede

• Câmera: para ler o QR do crachá na porta do evento e o código de pareamento entre aparelhos. As imagens não são gravadas nem enviadas.
• Localização precisa: só quando o organizador liga a regra de raio ou toca em "usar onde estou". Tem uma seção inteira sobre isso logo abaixo.
• Microfone: só se você ligar o assistente de IA e segurar o microfone dele para falar em vez de escrever. Não há escuta contínua: a gravação começa quando o seu dedo encosta e acaba quando ele sai. Onde o aparelho reconhece a fala sem internet, ela não sai dele; quando falta o pacote de voz do idioma, quem reconhece é o serviço do Android, e aí ela sai. O aplicativo pergunta uma vez antes, e quem recusa continua escrevendo.
• Notificações: para avisar na tela quando chega um aviso do evento ou um pedido esperando decisão. O aplicativo não roda em segundo plano: se ele estiver fechado, nada é entregue.
• Internet: para sincronizar com outro aparelho na mesma rede local, falar com o servidor do Synova se você usa uma conta e, se você ativar, guardar arquivos no seu Google Drive. O aplicativo funciona inteiro sem internet.
• Estado da rede: para saber se há conexão antes de tentar sincronizar.
• Vibração: para o retorno no crachá lido, de quem está com o aparelho na mão e não olhando a tela.

Duas permissões aparecem na lista do Android e o Synova não usa nenhuma das duas: as de biometria e impressão digital. Elas vêm de uma biblioteca do próprio Android (androidx.biometric) que chega junto de outra dependência. Não há desbloqueio por digital em lugar nenhum do aplicativo.

Fotos e arquivos são acessados apenas quando você escolhe um, pela tela do próprio sistema Android, ou dentro de uma pasta que você escolhe nela. O aplicativo não varre a sua galeria nem os seus arquivos.

Localização

O organizador pode marcar no mapa onde o evento acontece e exigir que os registros de presença sejam feitos perto dali. Com essa regra ligada, o aplicativo lê a posição do aparelho no instante de cada registro e guarda a coordenada junto do registro, para o organizador poder conferir depois.

O botão "usar onde estou", que o organizador usa para marcar o local do evento, também lê a posição: uma vez, naquele momento, e só quando ele toca.

• A leitura é pontual. O aplicativo não acompanha trajeto, não lê em segundo plano e não lê com o evento fechado.
• Com a regra desligada, que é como o evento fica enquanto ninguém marcar um ponto, a posição não é lida em nenhuma entrada, e a permissão só é pedida se alguém tocar em "usar onde estou".
• A coordenada fica dentro do registro e sincroniza com os outros aparelhos do mesmo evento. Pelo servidor e pelo Drive, ela viaja cifrada junto com o resto do registro.
• Ela não vai para a vitrine: o arquivo público não carrega coordenada nem horário de ninguém.
• Negar a permissão não impede ninguém de entrar no evento. Sem posição o registro acontece do mesmo jeito, marcado como "sem posição"; dependendo de como o organizador configurou, ele pode ficar esperando a autorização dele.

Leitura de listas por foto, imagem, PDF e planilha

Quando você importa uma lista, a leitura acontece dentro do seu aparelho: o texto de um PDF é lido do próprio arquivo quando ele tem texto, e uma foto ou um PDF digitalizado passa por um reconhecimento de texto que roda localmente. O arquivo e o texto lido não são enviados para lugar nenhum.

Há uma exceção, e ela nunca acontece sozinha: com o assistente de IA ligado, você pode mandar o arquivo para o modelo quando a leitura no aparelho não serviu. O aplicativo lê no aparelho primeiro, sempre; quando o resultado sai ruim, a tela diz o que saiu errado e oferece mandar, dizendo para onde. Nada sai sem você pedir, e o padrão é não mandar.

Sincronização pelo Google Drive (opcional)

Você pode ativar a sincronização pelo Google Drive. Numa conta ela é a reserva do servidor, e serve sobretudo aos aparelhos do evento que usam o aplicativo sem conta. Quando ativa:

• O aplicativo publica no seu próprio Drive, em arquivos criados por ele.
• O conteúdo desses arquivos é cifrado. O Google armazena, mas não consegue ler: a chave do evento nunca é enviada para ele.
• O aplicativo usa a permissão mais restrita disponível (drive.file), que dá acesso apenas aos arquivos que ele mesmo criou. Ele não enxerga o resto do seu Drive.
• Você pode apagar esses arquivos a qualquer momento, pelo próprio Drive.
• Os arquivos ficam numa pasta chamada Synova, e a tela "Arquivos no Drive" do aplicativo manda para a lixeira do Drive os de eventos que você não usa mais. Na lixeira, o próprio Drive os guarda por 30 dias.

Se você não ativar, nenhuma conta Google é pedida para a sincronização e nada dela é publicado.

A vitrine do convidado (opcional)

O organizador pode publicar uma página só de leitura para os convidados acompanharem o evento. Ela nasce desligada. Quando ligada, o aplicativo publica um arquivo no Drive do organizador e o marca como legível por qualquer pessoa que tenha o link.

O que vai nesse arquivo:

• o nome do evento, a programação (as sessões) e os avisos publicados;
• para cada convidado, um identificador opaco e em quais sessões ele esteve presente, sem horário, sem coordenada e sem o código do crachá;
• nome, e-mail, telefone e qualquer outra coluna da lista só entram se o organizador escolher publicá-las. O padrão é nenhuma: quem liga a vitrine e não escolhe nada publica a programação, os avisos e uma tabela de identificadores.

Isso é pseudônimo, não anônimo. Quem souber o identificador de alguém sabe onde essa pessoa esteve, e num evento pequeno o próprio padrão de presenças pode apontar para uma pessoa. Para acompanhar um evento costuma bastar; não é sigilo, e não vamos chamar de sigilo.

O arquivo carrega uma data de validade e vence 30 dias depois da última sessão do evento. O organizador pode apagá-lo antes disso, pelo próprio Drive, e desligar a vitrine a qualquer momento.

Se o organizador também ligar o crachá na vitrine, cada convidado ganha ali um bloco cifrado com o QR dele, que só abre com o código pessoal que ele recebeu. Sem esse código, o bloco não diz nada a quem tem o link.

Quem abre a página baixa o arquivo direto do Google. Não há servidor nosso no meio, e nós não registramos quem abriu, quando, nem de onde.

As páginas dos convidados no servidor do Synova (opcional)

Numa conta, o organizador pode dar a cada convidado uma página só dele, aberta por um link pessoal ou digitando o código pessoal que ele recebeu. Ela nasce desligada, e quem a liga é o dono do evento: o pedido de um editor nunca a liga sozinho. A página mostra o nome do convidado, o QR de entrada dele (se o organizador ligar o crachá), as sessões em que ele esteve e as em que ele é esperado, e a parte comum do evento: a programação, os avisos e o local.

Cada página vai ao servidor cifrada com uma chave que sai do código pessoal daquele convidado, e o servidor nunca recebe o código. A parte comum vai cifrada também, e a chave dela só está dentro das páginas pessoais. O que o servidor vê, em claro:

• o identificador do evento e quantas páginas ele tem: uma por convidado, mais a parte comum;
• o tamanho de cada página, arredondado para múltiplos de 256 bytes, para não dizer o tamanho de um nome nem quantas sessões alguém frequentou, e quando cada uma mudou;
• até quando as páginas do evento valem;
• quem pede qual página, e quando, com o endereço de internet (IP) de quem abre, nos registros técnicos do provedor, como em qualquer página da internet.

Ele não vê nome, presença nem código, e não consegue abrir página nenhuma. O endereço de cada página sai do código por uma conta feita para ser lenta, e achar um código a partir do endereço custa o mesmo que abrir a página.

O código pessoal é a chave da página. Quem tiver o link pessoal de alguém, ou o código, abre a página dessa pessoa e vê o QR de entrada dela, como quem visse o crachá impresso. O link pessoal é mandado pelo organizador (pela planilha de códigos ou pela ficha do convidado) ou, quando a sua conta está ligada ao convidado pelo nome de usuário, o código chega dentro do aplicativo, em Como convidado (ver "O nome de usuário e a caixa de entrada"). O organizador pode trocar o código de uma pessoa a qualquer momento: o código antigo deixa de abrir a página na publicação seguinte. Trocar o código não muda o QR de entrada, e quem já viu a página viu o QR. Quem abriu a página uma vez também continua conseguindo ler a parte comum (a programação, os avisos e o local) enquanto ela estiver no ar, mesmo depois de o código dele ser trocado.

Quem publica é o aparelho do dono do evento, quando ele sincroniza. As páginas saem do ar 30 dias depois do fim da última sessão do evento (sem nenhuma sessão com horário de fim, 30 dias depois da última publicação), e quando o organizador as desliga: na hora, ou na primeira sincronização com internet depois disso.

A página que o convidado abre fica no mesmo endereço da vitrine, no GitHub Pages, que vê o endereço de internet de quem a abre, como qualquer site. Ela manda ao servidor do Synova só o endereço calculado do código: o código chega no link depois do sinal #, que o navegador não manda a servidor nenhum, nem ao que hospeda a página. Para abrir na porta sem sinal, a página guarda no próprio navegador do convidado as páginas abertas ali: o nome do evento e o da pessoa, o código, e a última cópia da página como ela veio do servidor. Isso não sai do navegador, e quem usar aquele navegador abre a página dali, como com o link. O botão Esquecer apaga.

Backup de chave (opcional)

Você pode salvar um arquivo com a identidade deste aparelho no Synova (a chave que assina o que ele registra), as chaves dos eventos que ele mantém destravados e as listas desses eventos. É o que permite voltar a ser dono dos seus eventos num aparelho novo, com ou sem conta.

• O arquivo é protegido por uma senha que você escolhe. Sem ela, ele não abre, nem para nós.
• Ele fica onde você salvar. Se você marcar a opção, uma cópia vai também para o seu Google Drive, como arquivo privado: ao contrário da vitrine, ele não é compartilhado com ninguém.
• Para restaurar pelo Drive, o aplicativo lista só os backups de chave que ele mesmo criou na sua conta.

O assistente de IA (opcional)

O Synova pode conversar com um modelo de IA através de um de dois serviços de terceiros: o OpenRouter, que repassa o pedido a modelos de outras empresas, ou a API Gemini, do Google. Ele nasce desligado e depende de duas coisas: o organizador do evento tem que liberar, e cada aparelho tem que ligar o dele, com uma conta do serviço conectada por quem usa aquele aparelho. Sem as duas, o assistente não existe.

Quando está ligado, o que você digita sai do aparelho e chega ao serviço que responde: o OpenRouter e, dali, a empresa que roda o modelo escolhido, ou o Google. Isso não é cifrado de ponta a ponta: eles leem. O modo privacidade, ligado por padrão, pede ao OpenRouter que use só provedores que não guardam o que recebem. Não controlamos o OpenRouter, o Google nem esses provedores, e não temos como garantir o que eles fazem.

E o assistente lê o evento para responder. Ele pode pedir ao aplicativo os números do evento, a programação, uma busca na lista, a ficha de um convidado, um exame dos registros de presença, as configurações do evento e dos aparelhos, o estado da sincronização e as colunas de uma lista que você está importando, com algumas amostras de cada uma. O que essas leituras devolvem sai do aparelho junto com a pergunta:

• nomes de convidados, os campos que a pergunta alcançar, nomes de sessões e horários de entrada;
• antes de qualquer coisa sair, o aplicativo tapa e-mail, CPF e sequências longas de dígitos, e nunca manda os códigos que abrem a porta: o do crachá e o código pessoal da vitrine;
• o nome não é tapado, e isso é uma escolha: é ele que a pergunta precisa. Se isso não lhe serve, o assistente é para ficar desligado;
• ele só lê. Não registra presença de ninguém, não muda a lista, não apaga e não publica nada. O que ele propõe vai para a mesma tela de revisão do resto, e quem aplica é uma pessoa;
• o que ele leu para cada resposta fica escrito na conversa, acima da resposta.

O dado do evento só passa por um caminho que não tem permissão de treinar com o que recebe. Quando a conta em uso não é um desses, o assistente continua conversando e para de ver o evento, e a tela diz isso. Essa é a regra do aplicativo sobre os próprios pedidos dele; não é uma promessa sobre o que um terceiro faz com o que recebe.

Pelos termos do Google para a API Gemini, o que é enviado com uma chave da camada gratuita é usado para melhorar os produtos do Google e pode ser lido por revisores humanos; com faturamento ativo no projeto da chave, não é. A chave não diz qual é. O Synova trata o Gemini como podendo treinar com o que recebe, a menos que a pessoa declare que a chave é de um projeto com faturamento. O aplicativo não tem como conferir essa declaração: ela é a palavra de quem a fez.

Um arquivo anexado ao chat sai inteiro, e só nesse caso: a imagem ou o PDF como está, com os nomes, os números e tudo o mais que estiver impresso nele. O aplicativo não consegue tapar nada dentro de uma imagem como tapa e-mail e CPF no que ele lê do evento, e não tenta.

Para manter a escolha de modelos em ordem, o aplicativo também faz algumas chamadas próprias, e só depois de o assistente ter sido usado: cerca de uma vez por semana, e depois de um modelo falhar, ele manda números de funcionamento (quantas vezes cada modelo respondeu ou falhou, quanto levou, e os nomes dos modelos) e pede uma ordem nova para os modelos de reserva; uma vez por dia, faz três perguntas fixas de teste ao modelo que respondeu, para notar se o modelo por trás de um nome foi trocado. Nada do evento vai nessas chamadas, e elas podem ser desligadas nos ajustes do assistente.

Cada pergunta é cobrada da conta que você conectou (a camada gratuita do Gemini não cobra, e tem limites por minuto e por dia), e essas chamadas também. A chave de cada conta fica no seu aparelho, no armazenamento seguro do sistema.

Modelos de IA inventam coisas. Uma resposta do assistente é uma sugestão, nunca um registro. Cada resposta tem um botão de denunciar: denunciar esconde aquela resposta da conversa e guarda a denúncia neste aparelho, e nada é enviado por denunciar. Depois disso, e só depois, o aplicativo oferece passar a denúncia ao autor, e você pode recusar; se aceitar, o texto que vai é mostrado antes, porque ele pode carregar nomes da sua lista, e quem escolhe para onde mandar é você. É o único lugar em que algo legível da sua lista pode chegar ao autor, e ele depende de dois toques seus.

O que fica guardado, e por quanto tempo

• No seu aparelho: até você esquecer o evento, excluir a conta ou desinstalar o aplicativo. Sair de uma conta não apaga nada: os eventos dela ficam guardados para quando você entrar de novo. Com a exclusão pedida, os eventos da conta ficam trancados no aparelho durante os 30 dias, e saem quando ele se conectar depois do prazo.
• A conta e a chave da conta: até você excluir a conta, e, com a exclusão pedida pelo aplicativo, até o fim dos 30 dias para desfazer.
• O nome de usuário e o registro dos seus celulares: o nome, até você tirá-lo ou excluir a conta; o registro, até você excluir a conta. As mensagens da caixa de entrada: cada cópia sai quando o celular a lê, e o que ninguém leu sai 14 dias depois de mandado. Os pedidos de aluno: até a equipe decidir, você desistir, ou 30 dias depois de mandados. Os quatro saem com a conta, no fim dos 30 dias. Os códigos e as páginas de convidado que o aplicativo guardou no seu celular: até você excluir a conta ou desinstalar o aplicativo. Os convites para a equipe e os pedidos guardados no seu celular: até sete dias cada; os convites para se apresentar como aluno, até 30 dias desde o último passo; as identidades dos celulares com que você trocou um convite, até você excluir a conta ou desinstalar o aplicativo.
• A cópia da conta e os arquivos entre os seus celulares: até você pedir a exclusão da conta. A caixa da passagem por QR sai assim que o celular novo a recebe.
• Os registros cifrados dos eventos no servidor: eles não têm, hoje, um prazo para sair, e não saem quando uma conta é excluída, porque pertencem ao evento e os outros aparelhos dependem deles. O servidor não consegue lê-los.
• O registro dos certificados: ele não tem prazo para sair, e continua depois da exclusão da conta de quem emitiu, sem o nome escolhido e sem a ligação com a conta, para um certificado já entregue a alguém continuar conferível.
• As páginas dos convidados no servidor: até 30 dias depois do fim da última sessão do evento (sem sessão com fim, 30 dias depois da última publicação), ou até o organizador desligá-las. Uma limpeza diária apaga as que venceram. Elas não saem quando a conta é excluída: ficam até o prazo delas.
• No navegador de quem abriu uma página de convidado: as páginas abertas ali, até a pessoa tocar em Esquecer ou limpar os dados do navegador.
• No seu Google Drive: até você apagar. O arquivo da vitrine vence 30 dias depois da última sessão do evento.
• Registros técnicos de acesso que o provedor do servidor mantém, como qualquer serviço na internet: ele os apaga sozinho, em poucos dias.

O que sai do aparelho sem ser por sua conta

O que não existe aqui

• Não há publicidade.
• Não há rastreamento de uso, medição de audiência nem perfil de usuário.
• Não há conta obrigatória: sem conta, o aplicativo funciona inteiro.
• Não há venda de dados. Os serviços de terceiros que aparecem nesta página (o Supabase, que hospeda o servidor, o Google e o OpenRouter) recebem só o que está descrito nela, e só quando você usa o recurso de cada um.

Os seus direitos

Pela Lei Geral de Proteção de Dados (LGPD), você pode pedir a confirmação de que tratamos dados seus, o acesso a eles, a correção e a exclusão. Escreva para caioalex.nes@gmail.com a partir do endereço da sua conta, para podermos confirmar que o pedido é seu. A exclusão da conta também pode ser feita pelo próprio aplicativo, a qualquer momento.

Dados de outras pessoas

Uma lista de convidados contém dados de outras pessoas. Quem organiza o evento é quem responde por eles: por como foram obtidos, por como são usados e por quanto tempo são guardados. Isso inclui a decisão de ligar a vitrine, a de escolher quais colunas ela publica, a de ligar as páginas dos convidados e de decidir a quem mandar cada link pessoal, a de ligar um convidado a uma conta pelo nome de usuário, a de convidar alunos a se apresentarem e a de confirmar a linha de cada um, a de chamar alguém para a equipe e aprovar o pedido, que entrega a chave do evento ao celular de quem pediu, a de emitir certificados e a quem entregá-los, a de ligar o assistente de IA e a de mandar ao autor uma resposta denunciada que carregue nomes. O autor do aplicativo não tem acesso legível a essa lista e não tem como intervir nela.

Licença

O Synova é software proprietário, com todos os direitos reservados ao autor, e o código não é público. As versões até a 0.2.0 foram publicadas sob licença MIT, e essa permissão continua valendo para elas. Nada disso muda o que está escrito acima: o que esta política diz sobre os seus dados vale igual.

Contato

Dúvidas sobre esta política: caioalex.nes@gmail.com.