Política de Privacidade

O Saturnino é um pet de desktop que organiza o seu dia. Ele foi feito para que o que você escreve fique com você: suas tarefas, o que você despeja (escrito ou falado) e as conversas que o radar lê são tratados no seu computador, pelo BERTunino, um modelo brasileiro que vem junto com o app.

1. Quem é responsável

O Saturnino é um projeto pessoal mantido por Gabriel Goetten. Para dúvidas, pedidos de acesso ou exclusão, use o formulário de contato do site. Você não precisa publicar seu e-mail: informe apenas se quiser receber resposta.

2. Dados que ficam no seu computador

O app mantém localmente suas tarefas, preferências, itens adiados, links iCal, identificador aleatório de instalação e contas de calendário conectadas. Tokens OAuth do Google ou da Microsoft são armazenados com a proteção de credenciais oferecida pelo sistema operacional. O Saturnino não recebe sua senha Google.

3. Dados do Google Agenda

Se você escolher conectar o Google Agenda, o Saturnino solicita somente permissões de leitura. Ele acessa o endereço de e-mail usado para identificar a conta conectada, a lista de calendários visíveis e os títulos e horários dos eventos. O app ignora eventos de dia inteiro, convites recusados e informações de local de trabalho. Ele não cria, altera nem apaga eventos.

Esses dados são usados para mostrar suas próximas reuniões, evitar conflitos no plano diário e oferecer alertas relacionados à agenda. Organizar o dia acontece no seu computador (veja a seção 4): as reuniões não são enviadas a nenhum serviço de IA. Eles não são vendidos, usados para publicidade nem compartilhados para criação de perfis comerciais.

Limited Use: o uso e a transferência para outros aplicativos de informações recebidas das APIs do Google obedecem à Google API Services User Data Policy, incluindo os requisitos de Limited Use.

4. Organizar o despejo

O que você despeja, escrito ou falado, é organizado no seu computador pelo BERTunino, um modelo de linguagem brasileiro e pequeno, treinado pelo Saturnino em português (calibrado a partir do BERTimbau, modelo aberto da NeuralMind/Unicamp), que vem junto com o app. Com o app em inglês, quem lê é a versão em inglês do BERTunino (calibrada a partir do DistilBERT, modelo aberto da Hugging Face, licença Apache 2.0; parte do que ele aprendeu vem de conversas públicas de WhatsApp do projeto WhatFutures, da Universidade de Newcastle, licença CC BY 4.0), que também vem junto. Funciona sem internet. Se o modelo não puder ler o texto, cada linha vira uma tarefa.

5. Falar em vez de escrever

Em Despejar, você pode falar em vez de digitar. A gravação só começa quando você toca em falar e termina quando você toca em pronto. O áudio é transformado em texto no seu computador, por um programa de transcrição que vem com o app (whisper.cpp). O arquivo de áudio existe apenas numa pasta temporária enquanto é transcrito e é apagado em seguida, inclusive se a transcrição falhar. O texto aparece na caixa para você conferir e só é organizado, como descrito acima, quando você pede. Na primeira vez, e só com sua confirmação, o app baixa do Hugging Face um modelo de voz de 488 MB, conferido por uma assinatura antes de ser usado. O diagnóstico e as contagens anônimas registram apenas números, como a duração da fala, nunca o que foi dito.

6. “Guardar pro pet”

Essa função vem bloqueada até você autorizá-la. Ao acioná-la, uma imagem da tela principal e até 4.000 caracteres do texto copiado são enviados ao proxy e à API Google Gemini para extrair uma tarefa. O Saturnino não grava a imagem nem o texto da captura em sua base. Revise a tela antes de usar: senhas, documentos e conversas visíveis podem aparecer na imagem.

7. Radar de compromissos (beta)

Em resumo: o radar vem ligado (dá pra desligar em Ajustes → Privacidade); as conversas são lidas no seu computador e não são guardadas; e toda sugestão passa por você antes de virar tarefa.

No Windows, o radar usa a API de acessibilidade do sistema para observar o campo de mensagem que está ativo em aplicativos de comunicação compatíveis. Não instala captura de teclado e ignora campos de senha. A passagem de um campo preenchido para vazio pode indicar um envio, mas também pode ser um rascunho apagado; por isso o Saturnino apresenta a sugestão para sua decisão.

Uma mensagem de conversa costuma depender do que veio antes: “vou analisar isso” só faz sentido ao lado da mensagem anterior. Por isso o radar lê também as últimas quatro linhas visíveis da conversa aberta — o que inclui mensagens de outras pessoas. Essas linhas são usadas naquele instante e descartadas: não são gravadas em disco, não entram no histórico do aplicativo e o registro de diagnóstico anota apenas quantas linhas foram usadas, nunca o conteúdo. O radar nunca lê o histórico inteiro da conversa. De tudo isso, a única coisa que o Saturnino guarda é a sua própria mensagem, como evidência da tarefa criada — para que você possa conferir depois de onde ela veio. Se a leitura falhar na hora, essa mesma mensagem (sem as linhas de contexto) fica guardada só no seu computador por até 48 horas para tentar de novo, e é apagada se você desligar o radar.

A leitura é feita pelo BERTunino, um modelo de linguagem pequeno, treinado pelo Saturnino em português, que vem junto com o app e roda no seu computador, até sem internet. O radar nunca faz screenshot. Aceites, rejeições e correções usados para ajustar a confiança também ficam no computador.

8. Aviso de distração

Em resumo: vem ligado, funciona só no seu computador e não olha a sua rede. Dá pra desligar em Ajustes → Privacidade.

No Windows, o pet avisa quando você passa tempo demais rolando sites marcados, como YouTube, Instagram ou Reddit; você escolhe quais. Enquanto o aviso está ligado, um processo local confere a cada dois segundos se a janela em primeiro plano é de um navegador aberto num desses sites, e há quantos segundos o computador não recebe um toque, clique ou rolagem. O título da janela é comparado com os sites marcados e descartado no mesmo instante; de outros programas, o título nem é lido. O Saturnino recebe só o nome do site marcado, ou nada. Ele não lê o endereço nem o conteúdo da página, não captura teclas, não tira screenshot e não monitora conexões de rede.

No seu computador ficam apenas quantas vezes você respondeu “é trabalho”, “pausa” ou “ver a lista” e, no registro de diagnóstico, o nome do site e os minutos quando o aviso aparece. Você pode desligar o aviso ou desmarcar sites a qualquer momento em Ajustes → Privacidade.

9. No celular (Android)

O app de Android faz o mesmo que o do computador, e o que você escreve e fala também fica no celular: tarefas, despejos, a voz (transcrita no aparelho pelo whisper.cpp) e o que o BERTunino lê.

Acessibilidade. O radar, o aviso de distração e o pet flutuante usam o serviço de Acessibilidade do Android. Antes de você ligá-lo, o app mostra uma tela explicando o que é lido e pede o seu “concordo”; sem ele, o serviço não faz nada, mesmo que seja ligado pelas configurações do Android. Com ele ligado, o Saturnino lê o texto das mensagens que você envia no WhatsApp, WhatsApp Business, Telegram, Teams, Slack, Discord, Gmail, Outlook, Mensagens do Google e da Samsung, Messenger, Instagram e Google Chat, e o nome da conversa quando aparece na tela. Campos de senha e caixas de busca são ignorados, e um rascunho apagado não é lido. A leitura é feita no celular pelo BERTunino, e o texto é descartado em seguida; só quando parece uma promessa a sua mensagem fica guardada no celular, junto da sugestão de tarefa, para você decidir. Dos outros aplicativos, o serviço só sabe qual está na frente e se você está mexendo nele, para o aviso de distração, sem ler o que aparece na tela. Nenhum texto lido pelo serviço sai do celular. Dá para desligar a qualquer momento em Ajustes → No celular ou na Acessibilidade do Android.

Microfone. Usado só enquanto você grava uma fala no Despejar; o áudio é transcrito no celular e apagado em seguida.

Internet. O app de Android só usa a internet para ler os links de agenda (iCal) que você colocar, baixar o modelo de voz uma vez (se você usar a fala), enviar a mensagem de feedback que você escrever e, se ligadas, as contagens anônimas de uso descritas na seção 10.

10. Melhoria opcional do produto

A opção “Ajudar a melhorar o Saturnino” vem desligada. Se você a ativar, podemos guardar sob um identificador aleatório: seu despejo, o plano gerado, data, dia da semana, horários de reuniões sem seus títulos, quantidade de tarefas abertas e versão do app. Mesmo sem nome ou e-mail, o texto que você escreveu pode conter informações que identifiquem você ou terceiros. Você pode desligar a opção a qualquer momento.

Contagens anônimas de uso. Separado da opção acima, o app envia uma vez por dia, sob o mesmo identificador aleatório, apenas números sobre o dia anterior: por exemplo, quantas tarefas foram concluídas ou adiadas, quantas mensagens o radar observou e quantas falharam, se o calendário e o radar estão ligados, e a versão do app. Nenhum texto, nome, título de reunião ou conteúdo de mensagem entra nesse envio: o servidor descarta qualquer campo que não seja número ou sim/não. Também entram como números quais partes do app foram usadas: quantas vezes cada aba ou área de Ajustes foi aberta, como uma tarefa foi marcada como feita, qual pet e qual visual estão em uso, quantos segundos de fala foram transcritos. No app de Android, as mesmas contagens incluem ainda quantas vezes o pet flutuante e o widget foram tocados, se a Acessibilidade, o pet flutuante e o widget estão ligados, e se alguma parte do app parou sozinha. Essas contagens vêm ligadas e podem ser desligadas em Ajustes → Privacidade → Contagens anônimas de uso. Execuções de teste (versão de desenvolvimento ou emulador) não enviam nada.

11. Métricas anônimas do site

O site usa o Vercel Web Analytics para contar visitas e páginas acessadas. A ferramenta não usa cookies e registra dados de forma anonimizada, como página visitada, origem aproximada do acesso, país, navegador e sistema operacional. Essas métricas servem somente para entender se o site está sendo encontrado e melhorar sua experiência; não incluem o conteúdo digitado no formulário nem os dados armazenados pelo aplicativo.

Além disso, o próprio site conta, sem cookie e sem nenhum identificador, o que acontece em cada visita: a página vista, por quanto tempo ficou aberta, até onde foi rolada, os cliques nos botões de download, na demonstração e nas perguntas, o tipo de origem da visita (busca, rede social ou acesso direto, nunca o endereço), se a tela é de celular, se o idioma do navegador é português e se aquele navegador já tinha visitado o site (um sim/não guardado nele mesmo, que não sai como código). Cada visita vira uma linha só de números, que não se liga a nenhuma outra. O que você digita no formulário de contato não entra. Navegadores com Global Privacy Control ou “Não rastrear” ligados não enviam nada.

Proteção do download. Quando você clica para baixar o app, o site pode usar o Cloudflare Turnstile para conferir que é uma pessoa, não um robô. Nessa verificação a Cloudflare vê o seu endereço IP e dados técnicos do navegador. A Cloudflare também usa esses dados para melhorar essa proteção; veja o adendo de privacidade do Turnstile. A verificação só é carregada depois desse clique, e navegadores com Global Privacy Control ou “Não rastrear” ligados pulam a verificação. O nosso servidor não grava o IP: só conta, na memória e por até um dia, quantos downloads saíram de cada endereço.

12. Prestadores envolvidos

• Google: autenticação, Google Calendar API e a API Gemini, usada só em “Guardar pro pet” e nas exceções da seção 4.
• Vercel: hospedagem do site e do proxy, métricas anônimas de visitação e registros técnicos de segurança e operação.
• Supabase: armazenamento das contagens anônimas de uso (ligadas por padrão, podem ser desligadas), das contagens do site (sem identificador) e dos registros de melhoria, estes somente quando você dá consentimento.
• Formspree: entrega das mensagens enviadas voluntariamente pelo formulário de feedback.
• Cloudflare: a verificação anti-robô do botão de download (Turnstile), só depois do clique. Vê o endereço IP e dados técnicos do navegador.
• Hugging Face: hospedagem do modelo de voz, baixado uma vez se você usar a fala. Recebe apenas o pedido de download, sem nenhum dado seu.

13. Retenção e exclusão

Dados locais permanecem até você desconectar a conta, remover os arquivos do app ou desinstalá-lo. Desconectar uma conta apaga do Saturnino o token salvo naquele computador; você também pode revogar o acesso na sua Conta Google. Registros opcionais de melhoria são mantidos enquanto forem úteis ao desenvolvimento. Para solicitar a exclusão deles, envie pelo formulário o “código de dados” exibido em Ajustes → Privacidade. As contagens anônimas de uso seguem a mesma regra e podem ser excluídas pelo mesmo código.

14. Segurança e escolhas

Usamos conexão HTTPS, permissões de calendário somente leitura, proteção local dos tokens, leitura do despejo e do radar no próprio computador e minimização dos dados guardados. Nenhum sistema é infalível. Conectar calendário, permitir captura, desligar o radar, desligar o aviso de distração, baixar o modelo de voz, compartilhar dados de melhoria e enviar contagens anônimas de uso são decisões separadas. Vêm ligados só o radar e o aviso de distração, que ficam no seu computador, e as contagens anônimas (só números), e tudo pode ser desligado sem perder as funções básicas.

15. Mudanças nesta política

Se o tratamento de dados mudar de forma relevante, esta página e a data acima serão atualizadas antes de a nova prática entrar em vigor.