A maioria dos aplicativos financeiros coloca “respeitamos sua privacidade” em algum lugar do menu de configurações, ao lado de uma política de 4.000 palavras que ninguém lê. Queríamos escrever algo diferente: uma explicação simples do que o Amunta realmente faz com seus dados, verificada com base no código-fonte do próprio aplicativo, e não em um briefing de marketing.
O padrão: nada sai do seu telefone
O livro-razão da Amunta — despesas, receitas, dívidas, faturas, orçamentos, relatórios — é armazenado em um banco de dados local no seu dispositivo. Não há tela de inscrição, nem campo de e-mail, nem número de telefone necessário para começar a usar o aplicativo. Você abre e funciona.
Amunta não contém rastreadores de publicidade, Google Analytics ou SDK do Facebook. Diagnósticos técnicos anônimos limitados podem ser enviados para melhorar a estabilidade; eles não contêm valores, registros financeiros, contatos ou fotos e não podem identificar você como pessoa.
Um bloqueio de PIN está disponível se você desejar. Quando você define um PIN, o aplicativo armazena um hash SHA-256 dele, não o PIN em si – a mesma abordagem usada para armazenamento de senha em qualquer sistema que leve a segurança a sério. Se alguém obtivesse acesso aos dados brutos do aplicativo, não encontraria seu PIN em um arquivo.
A parte opcional: compartilhar um livro-razão com outra pessoa
Amunta também permite que duas pessoas vinculem suas contas — o que é útil se você e um parceiro, um colega de quarto ou um contato comercial quiserem compartilhar uma guia em execução sem que cada um de vocês insira novamente a mesma transação. Isso é opcional. O aplicativo base nunca solicita isso.
Quando você o ativa, eis exatamente o que acontece, porque achamos que “exatamente o que acontece” é uma resposta mais honesta do que “levamos sua privacidade a sério”.
Para obter um ID de rede (semelhante a SF-XXXXXXX), seu telefone gera um par de chaves criptográficas e envia uma solicitação de registro contendo três itens: a chave pública, a moeda selecionada e um sinalizador indicando a camada do aplicativo. Essa é toda a carga útil. Sem nome. Nenhum número de telefone. Nenhum endereço de e-mail. Se você digitou um número de telefone ou e-mail no aplicativo em outro lugar, eles permanecerão no armazenamento local do seu dispositivo e não farão parte desta solicitação.
O que criptografia realmente significa aqui
Depois que duas pessoas estão vinculadas, as transações compartilhadas são sincronizadas entre seus telefones por meio de um servidor de retransmissão. É aqui que “criptografado de ponta a ponta” significa algo específico ou é apenas uma frase. No caso de Amunta, é específico:
- Cada dispositivo possui um par de chaves. Ao enviar uma transação para um contato vinculado, as duas chaves públicas são combinadas usando a troca de chaves de curva elíptica X25519 para produzir um segredo compartilhado.
- Esse segredo compartilhado é executado por meio de HKDF-SHA256 para obter uma chave de criptografia estável.
- Os dados da transação são criptografados com AES-256-GCM antes mesmo de saírem do dispositivo.
A chave privada é gerada no dispositivo, guardada no armazenamento seguro e usada apenas localmente para calcular o segredo compartilhado. O protocolo A-Link não a envia ao servidor de retransmissão nem ao outro dispositivo.
A parte que a maioria das declarações “criptografadas” deixa de fora
É aqui que queremos ter mais cuidado do que a maioria dos aplicativos se preocupa. O servidor de retransmissão que transmite mensagens entre dispositivos vinculados não consegue ler o que está dentro deles – o conteúdo é texto cifrado AES-256-GCM e o retransmissor não contém a chave. Mas o relé vê informações de roteamento: qual ID de rede enviou uma mensagem, para qual ID de rede ela está endereçada e quando foi enviada. Isso é inevitável em qualquer sistema onde um servidor tenha que entregar uma mensagem ao destinatário certo – é a mesma compensação que o Signal e sistemas semelhantes fazem.
O relé também não mantém a mensagem como um arquivo. A carga criptografada é mantida apenas até que o dispositivo receptor confirme que ela chegou e foi processada e, em seguida, é excluída definitivamente. Se nunca for entregue ou se a confirmação nunca retornar, ele expirará e será excluído automaticamente após 24 horas.
A descrição precisa deste protocolo é: o servidor de retransmissão vê os identificadores de roteamento e os horários, mas não possui a chave necessária para ler o conteúdo da transação.
Por que isso é mais importante do que uma política de privacidade
Uma política de privacidade é uma promessa de comportamento; revisar a arquitetura mostra quais dados os fluxos conhecidos realmente transportam. Nas partes revisadas, o registro do A-Link não inclui a lista de contatos, as mensagens de retransmissão não contêm o conteúdo legível da transação e o PIN não é armazenado como texto simples.
Isso não afirma que qualquer programa esteja livre de erros ou riscos. O objetivo é oferecer uma descrição concreta e verificável em vez de garantias absolutas. Leia também o que realmente precisa de Internet e como funciona o backup criptografado.