As precauções que tomámos,uma a uma.

Não tens uma palavra-passe, por isso não a podemos perder

No Dumpbox não existe um campo de palavra-passe. Entra-se com a Google, com a Apple, ou com um código que chega ao teu email: três caminhos que acabam todos numa sessão assinada, e nenhum dos três nos põe nas mãos uma palavra secreta tua.

Não é um atalho. Um arquivo de palavras-passe é a coisa mais valiosa que um site pequeno pode guardar e também aquela que sabe guardar pior: se não o temos, não há nada para roubar, nada que tenhas reutilizado noutro sítio, nada para mudar à pressa no dia de uma má notícia.

A única palavra-passe do produto é a opcional que podes pôr num link partilhado. Dessa, no servidor não fica o texto mas uma impressão com sal à frente, e a comparação acontece no servidor: o valor nunca chega ao navegador de quem tenta entrar.

• Nenhuma palavra-passe de acesso: nem guardada, nem transmitida, nem para recuperar.
• A sessão vive num cookie httpOnly de catorze dias: nenhum script o consegue ler, nem o nosso.
• Todo o site apenas em HTTPS, declarado ao navegador como obrigatório durante um ano.

Os dados que não temos

O que recolhemos está escrito por inteiro na política de privacidade e cabe em poucas linhas: email, nome, nome de utilizador, as fotos que carregas. Mas a lista que conta mesmo é a contrária.

Não te pedimos o número de telemóvel para te inscreveres. Não lemos os teus contactos. Não sabemos onde estás enquanto usas o site. Não compramos dados sobre ti a ninguém, e não vendemos os teus a ninguém.

A câmara e o microfone nem sequer te podemos pedir: desligamo-los ao nível do navegador com um cabeçalho que sai em cada uma das respostas do site. Não é uma promessa que te peçamos para acreditar, é uma linha que podes ler tu próprio nas ferramentas de programador do teu navegador.

• Permissions-Policy: camera=(), microphone=(), payment=() — em todas as páginas.
• Nenhum outro site pode emoldurar o Dumpbox dentro de si: as páginas recusam estar dentro de uma moldura.
• Os links que já são em si uma chave saem com no-referrer: esse endereço não chega a ninguém, nem sequer como origem de um tipo de letra.

A localização de uma foto nunca é uma morada

As fotos tiradas com o telemóvel trazem muitas vezes um GPS preciso ao metro. Num conteúdo público esse número não é «um lugar»: é a casa de alguém.

Quando lemos a data em que a foto foi tirada, o bloco de GPS está desligado de propósito. A única função que o lê arredonda-o a duas casas decimais — cerca de um quilómetro — ainda antes de o devolver: o ponto exato não existe em momento nenhum dentro do programa, nem por um instante nem em memória. Depois mostramo-lo como sugestão, e só vai parar à galeria se fores tu a confirmá-lo.

O mesmo arredondamento é repetido no servidor, sobre o valor que chega. Em matéria de precisão não confiamos no navegador — nem no nosso.

• Duas casas decimais: cerca de 1,1 km. Chega para espalhar os pontos num mapa, não chega para encontrar uma porta.

O que um convidado carrega ninguém vê até tu aprovares

Quem aponta ao QR carrega sem conta, a partir do navegador e sem instalar nada. O ficheiro cai numa zona de espera onde se pode escrever mas não ler: nem esse convidado, nem outro convidado, nem quem adivinhasse o endereço exato do ficheiro. As fotos aparecem quando quem é dono da galeria as aprova.

À entrada olhamos para os bytes verdadeiros do ficheiro, não para o nome nem para o que o navegador declara. Os formatos aceites são uma lista fechada, e os tipos de imagem que podem transportar código executável não estão lá.

Um link de contribuição não é para sempre: podes protegê-lo com uma palavra-passe, dar-lhe um prazo, ou deixar de aceitar carregamentos. E quando eliminas a conta, todos os teus links e QR deixam de funcionar no mesmo instante.

• As contribuições dos convidados são só de escrita: quem carrega não consegue reler nem o seu próprio ficheiro.
• As regras que decidem quem lê o quê vivem no servidor, não na página: mudar de navegador não muda as permissões.

Se disseres que não, ficamos a contar

Antes da tua escolha não sai um único pedido: não são «menos dados», são zero — e não o dizemos de cor, foi verificado no site verdadeiro, com um navegador limpo, a olhar para o tráfego de rede. O que muda é o que acontece a seguir, e os dois caminhos são mesmo diferentes.

Se disseres que sim, as ferramentas são quatro e a cookie policy enumera-as uma a uma. Se disseres que não, fica só a contagem: nenhum cookie escrito ou lido, nenhum identificador, os anúncios não são personalizados, e a cada evento é retirado tudo menos o nome. Sai «alguém inscreveu-se», nunca quem — e essa subtração não é uma cautela de princípio: sem ela sairiam o teu nome de utilizador e até o de outras pessoas.

Não te dizemos que é «totalmente anónimo», porque uma linha honesta vale mais do que uma tranquilizadora: para contar, um pedido ao Google sai, e como todos os pedidos na web leva consigo o teu endereço IP e o navegador que usas. Isso não conseguimos fazer desaparecer. O que conseguimos, e fazemos, é não lhe juntar mais nada.

O aviso não te recebe na cara: espera que tenhas visto o que é o Dumpbox, assim quem passa e se vai embora nunca o vê. Os dois botões têm exatamente a mesma largura, porque recusar não pode custar mais do que aceitar, e «Ignorar» é definitivo: não volta a perguntar-te da próxima vez.

A escolha muda-se quando quiseres a partir da cookie policy, e a revogação vale no instante em que a fazes — não a partir do carregamento seguinte da página.

• Antes da tua escolha: zero pedidos a terceiros, nem medição nem publicidade.
• Se recusares: nenhum cookie, nenhum identificador, e de cada evento sai só o nome.
• O consentimento revoga-se na mesma página onde se lê o que cada ferramenta faz.

Quando há inteligência artificial, dizemo-lo

No site há imagens geradas, e são uma coisa só: as capas de uma parte das galerias publicadas pela nossa conta oficial, as que enchem as páginas públicas até haver fotos verdadeiras que cheguem. Não são fotografias de uma noite: são ilustrações. A regra que as governa não é «nada de caras», é nenhuma parecença com uma pessoa real — uma cara inventada a rir serve, o grande plano de quem está no palco não.

Pelas tuas fotos, ao contrário, não passa modelo nenhum. Não as usamos para treinar coisa nenhuma e não as usamos para a nossa publicidade: a licença que nos dás nos Termos cobre alojá-las e mostrá-las a quem tu decidires, e acaba aí.

Também a imagem para as stories não é gerada. É a tua foto recomposta com texto sobre uma tela desenhada dentro do teu navegador, no teu dispositivo: para a fazer não sai nada para terceiro nenhum.

• As imagens geradas estão apenas nas galerias da nossa conta oficial, nunca nas tuas.
• Nenhum conteúdo carregado por pessoas é usado para treinar modelos, nossos ou de outros.

Se alguma coisa correr mal, há uma fila e há uma hora

Cada foto, comentário, galeria ou perfil denuncia-se de dentro da página em dois toques, escolhendo entre nove motivos. Quem publicou nunca vê quem denunciou — e quem denuncia não tem de escrever para endereço nenhum para o fazer.

A promessa escrita é que uma pessoa olhe dentro de vinte e quatro horas. Não é um slogan pendurado: é um único número dentro do código, e serve para duas coisas ao mesmo tempo — desenhar o tempo que vês e ordenar a fila, com as denúncias fora de prazo no topo. Assim uma que chega tarde não se pode esconder no fim da lista.

E ir embora é tão rápido como entrar: a conta elimina-se sozinha a partir das Definições, na hora, e leva consigo galerias, fotos, vídeos, comentários e links. Não há período de arrependimento, e dizemo-lo antes em vez de te deixar descobri-lo depois.

• Nove motivos de denúncia, do direito de autor à automutilação, sem nenhum email para escrever.
• Vinte e quatro horas é a janela do compromisso, e é o mesmo número que ordena a fila de moderação.

As mesmas coisas, com as palavras de um advogado