Declaração de segurança

Esta declaração explica como o NotionManager protege seus dados e suas credenciais, e onde ficam os nossos limites. Ela complementa a Política de Privacidade: a política responde “o que coletamos”, e esta declaração responde “como protegemos e o que não prometemos”. Cada descrição técnica aqui vem da implementação e do processo de publicação da versão atual.

Este documento trata apenas de “quem consegue chegar aos seus dados”. O que um backup contém, em que situações ele fica incompleto e como verificar se ele serve são outra questão, respondida na Declaração de integridade dos dados que acompanha esta. Cada documento trata de um assunto e não repete o outro.

Segurança é uma propriedade do conjunto

Segurança não é um recurso: é uma propriedade que aparece quando o sistema inteiro é colocado em um ambiente real. Um bom projeto é o ponto de partida, mas o ambiente ao redor costuma decidir o resultado mais do que o projeto: quem faz login nesta máquina, se o disco está criptografado, em que mídia o backup vai parar, quem mais está na rede, e com quais páginas a integração foi compartilhada no Notion. A maior parte disso não está sob nosso controle.

Então o que podemos fazer é segurar o lado do software: o NotionManager faz o possível para não expor riscos de segurança e não ampliar a superfície de ataque. Na prática, isso significa não introduzir nenhum canal pelo qual não possamos responder (sem telemetria, sem atualização automática em segundo plano, sem servidor intermediário), pedir apenas as permissões mínimas necessárias para o trabalho (somente leitura no Notion) e manter as informações sensíveis na sua própria máquina. Onde não chegamos (o serviço de rede local não tem TLS, a chave da criptografia local é distribuída junto com o programa, o instalador ainda não é assinado) escrevemos isso com clareza, em vez de contornar com palavras.

Leia este documento em duas partes: as primeiras seções contam o que fazemos, e a seção 9 conta o que não fazemos e o que precisamos de você. Segurança vem de “um software o menor possível” mais “um ambiente que você entende e controla” — falta uma das metades e não se sustenta.

Resumo

• O NotionManager é um programa de desktop local-first: backup, indexação e navegação acontecem inteiramente na sua máquina, e não operamos nenhum servidor que receba, veja ou guarde o seu conteúdo do Notion.
• Para o Notion fazemos apenas requisições de leitura, e a integração só alcança as páginas e os bancos de dados que você compartilhou explicitamente com ela.
• Não coletamos telemetria, estatísticas de uso nem relatórios de falha, e não incluímos nenhum SDK de análise, publicidade ou rastreamento de comportamento.
• A versão atual não tem canal de atualização automática em segundo plano: você baixa e instala as versões novas pelo site ou pelo GitHub Releases.
• O aplicativo acessa apenas dois destinos externos: a Notion API e o serviço de licença, usado somente quando você ativa ou valida uma licença.
• A licença é uma compra única. O token é assinado com RSA-PSS, verificado offline pelo cliente e vinculado a esta máquina.
• Limites conhecidos (leia a seção 9 sem falta): a chave da criptografia local de credenciais é distribuída junto com o programa e não substitui a criptografia de disco; a “navegação remota” é um serviço HTTP dentro da rede local e não tem TLS; o instalador ainda não tem assinatura de código nem notarização.

1. Onde ficam seus dados

• O motor de backup, o índice do banco de dados e a interface de navegação rodam na sua máquina. Cada backup grava no diretório que você definiu para aquele perfil, e o índice e os snapshots ficam em um arquivo SQLite local dentro do repositório.
• Não operamos nenhum intermediário: não existe sistema de contas, nem cópia na nuvem, nem a etapa de “primeiro envia, depois baixa”. Os arquivos na sua máquina são tudo o que existe — nós não conseguimos vê-los.
• Quais objetos entram em um backup e onde termina a integridade dele está na Declaração de integridade dos dados. O diretório do repositório é inteiramente seu: apagar o diretório apaga o backup.

2. O limite de permissões com o Notion

• O aplicativo acessa o seu workspace com a sua própria integração interna do Notion (um Personal Access Token também funciona). A credencial é criada por você, guardada por você e pode ser revogada no Notion a qualquer momento.
• O aplicativo envia ao Notion apenas requisições somente leitura (api.notion.com). Não existe no código nenhuma chamada que crie, altere ou exclua páginas, blocos ou bancos de dados; mesmo que o token que você forneça tenha permissão de escrita, o programa não a usa.
• Por padrão, a integração só vê o que você compartilhou explicitamente com ela. A recomendação é compartilhar apenas as páginas raiz que precisam de backup e manter a capacidade de somente leitura nas configurações da integração.
• Como revogar: no Notion, deixe de compartilhar ou exclua a integração. Depois disso, o token salvo na sua máquina deixa de funcionar na hora e o aplicativo não consegue mais ler nada.

3. Como as credenciais são guardadas

• O integration token e a senha da “navegação remota” não são gravados em disco em texto claro: eles ficam em campos criptografados do banco de metadados local (AES-256-CBC, com a chave derivada por scrypt a partir de uma constante dentro do programa).
• O objetivo dessa criptografia é manter as credenciais fora de arquivos de configuração, logs e arquivos exportados. Ela não protege de quem já consegue ler o seu disco, porque a chave é distribuída junto com o programa. O seu limite real são a conta do sistema operacional e a criptografia de disco: ative o BitLocker / FileVault / LUKS e defina uma senha para a conta.
• O token serve apenas para acessar a Notion API e os seus próprios serviços locais. Ele não é enviado a nenhum outro terceiro e não é gravado no arquivo de perfil exportado.
• O arquivo de perfil exportado contém apenas metadados (nome, caminho do repositório, agendamento, política de retenção, lista de entradas) e os dados de backup, e não contém o token, o token de licença nem a senha da navegação remota; depois de importar em outra máquina, você precisa informar o token de novo.

4. Navegação remota (recurso pago, desligado por padrão)

• Ao ativar, o aplicativo sobe um serviço HTTP na sua máquina e entrega o backup como páginas web a outros dispositivos da mesma rede (celular, tablet, outro computador). A porta padrão é 8732; o endereço de escuta padrão são todas as interfaces de rede, para que os dispositivos da rede local acessem sem configuração extra — é um padrão mantido de propósito, para não complicar a vida de quem não é técnico.
• Toda requisição exige autenticação HTTP Basic; as credenciais são comparadas em tempo constante como resumos SHA-256, a senha é guardada criptografada, e a resposta de falha não distingue se o erro foi no usuário ou na senha.
• A interface remota é uma interface de navegação somente leitura: não devolve o token nem o caminho do repositório, e de fora só se vê uma lista de perfis sem os campos sensíveis.
• Os caminhos de arquivos estáticos e anexos são normalizados e ficam restritos ao diretório do repositório, então não há como escapar dele com ..
• Esse serviço não tem TLS: a senha e o conteúdo trafegam em texto claro dentro da mesma rede. Por isso use apenas em uma rede confiável — a LAN de casa ou do escritório, ou a sua própria VPN; não exponha o serviço diretamente à internet nem o coloque em uma rede em que você não confia (Wi-Fi público, rede de escritório compartilhada, rede de visitantes). Se precisar de acesso de fora da rede, coloque-o atrás do seu próprio proxy reverso com TLS ou de uma VPN.

5. A quais serviços o aplicativo se conecta

O aplicativo se comunica com apenas dois tipos de serviço externo:

1. Notion API (api.notion.com): lê os dados do seu workspace durante o backup, diretamente entre a sua máquina e o Notion.
2. Serviço de licença (lic.notionmanager.com): contatado apenas quando você ativa ou valida uma licença, para confirmar a licença com o provedor de pagamento e obter o token assinado. Ele recebe a chave de licença, o install_id (veja a seção 6) e os dados de pedido e de e-mail que o provedor de pagamento já tem; ele não recebe o conteúdo do seu workspace.

Além disso:

• Sem telemetria, sem estatísticas de uso, sem envio automático de relatórios de falha, e nenhum SDK de análise, publicidade ou rastreamento de comportamento.
• A versão atual não abre canal de atualização automática em segundo plano: as versões novas são publicadas no site e no GitHub Releases, e você baixa e instala por conta própria.
• Os logs locais existem só para diagnóstico e ficam na sua máquina. Se você mesmo enviar os logs ao suporte, confira antes se não há ali nada que você prefira não compartilhar.

6. Licença, assinatura e vínculo com o dispositivo

• A licença é uma compra única, não uma assinatura. O serviço de licença assina o token de licença com RSA-PSS/SHA-256 e o cliente verifica a assinatura offline com uma chave pública embutida; a requisição de ativação trafega em um envelope RSA-OAEP + AES-256-GCM.
• O install_id é calculado com SHA-256 a partir da impressão digital da máquina (o machine-id do sistema ou, na falta dele, hostname|platform|arch|modelo de CPU), recalculado a cada inicialização e nunca gravado em disco. Seu único uso é identificar o dispositivo para a validação da licença e a contagem de ativações, e ele não contém nem se associa a informações pessoais suas. Por isso o token fica vinculado a esta máquina: copiá-lo para outra não funciona, e nos enviar o install_id de outra pessoa junto com a chave dela também não funciona.
• Depois de uma ativação bem-sucedida não há mais reconexão periódica, e os recursos comprados continuam funcionando offline por muito tempo.

7. Distribuição e verificação do instalador

• Os instaladores são publicados no GitHub Releases, cada versão vem com o seu valor SHA-256 e a página de download indica o comando de verificação. Confira antes de instalar.
• Se o valor não bater, o arquivo foi alterado ou está corrompido: descarte-o e baixe de novo por um canal oficial.
• O instalador atual não tem assinatura de código nem notarização (a build para macOS não habilita o hardened runtime e o Windows não tem certificado de assinatura configurado), então o sistema pode avisar que o programa vem de um desenvolvedor desconhecido. Esse é o estado atual e conhecido; veja a seção 9.

8. Site e pagamentos

• O site é estático e pré-renderizado, hospedado na Vercel; as fontes são servidas pelo próprio site e as páginas não carregam scripts de análise, publicidade ou rastreamento de terceiros. As suas preferências de idioma e de tema ficam no localStorage do seu próprio navegador.
• O checkout é feito pelo provedor de pagamento (Paddle como comerciante registrado, além do canal Dodo Payments): o número do cartão e os dados de pagamento vão apenas para o provedor, e nós não os tocamos nem os guardamos. O site não coleta o seu token do Notion e não precisa dele.
• Só guardamos o que você mesmo nos envia (e-mail para o suporte, comentários, pedidos de reembolso), e guardamos para responder e para exibir.

9. Limites conhecidos e o que não prometemos

• Criptografia local não é proteção local: veja a seção 3, e combine com criptografia de disco e senha de conta.
• A navegação remota não tem TLS: veja a seção 4. Ela foi projetada como um recurso de conveniência para uso dentro da LAN ou de uma VPN, não para exposição à internet.
• O instalador não é assinado nem notarizado: não conseguimos provar a origem do binário pela cadeia de assinatura do sistema, então use como referência o valor SHA-256 publicado no GitHub Releases.
• Se um backup está completo ou não fica fora deste documento: o que um backup contém, o que não vai aparecer nele (o alcance da Notion API e as lacunas conhecidas) e a prática 3-2-1 de cópias que recomendamos estão na Declaração de integridade dos dados. Este documento trata apenas de quem consegue chegar aos seus dados e não repete essa parte.
• Não oferecemos programa de bug bounty nem SLA: este é um produto de software de compra única, e a nossa resposta de segurança segue o compromisso da seção 10.

10. Como relatar um problema de segurança

• Envie problemas de segurança para security@notionmanager.com; dúvidas gerais, sugestões de recursos e reembolsos vão para support@notionmanager.com.
• No relatório, inclua o máximo que puder: versão do software, sistema operacional, passos para reproduzir, escopo do impacto e a sua avaliação. Se precisar, reproduza em um workspace de teste e não anexe dados reais do seu workspace.
• Não divulgue um problema ainda não corrigido em canais públicos (issues, fóruns, redes sociais).
• Nosso compromisso: confirmar o recebimento em até 3 dias úteis; depois da confirmação, informamos o plano de correção e o prazo. Quando a correção for publicada, agradecemos nas notas da versão (se você concordar em ser citado).