A guarda da chave

O que é a chave

O conteúdo da cápsula é cifrado. A chave é o que o torna legível de novo na data de abertura. Ela aparece na tela uma única vez, no momento do lacre, e também é enviada para o seu e-mail.

Guarde-a com o cuidado que você guardaria uma carta que só poderá ser aberta daqui a muitos anos. Sem ela — se você tiver escolhido ficar só com a chave — a cápsula permanece fechada para sempre.

Opção 1 — Guardamos uma cópia (recuperável)

Guardamos uma cópia da chave do nosso lado. Se você perder a sua, ainda conseguimos abrir a cápsula para você na data de abertura.

Isso também quer dizer que existe, do nosso lado, um caminho para abrir a cápsula. Escolha esta opção se a recuperação importa mais do que a exclusividade da guarda.

Opção 2 — Só você guarda (irreversível)

Não guardamos cópia da chave. A responsabilidade por ela é 100% sua.

Se a chave se perder, o conteúdo da cápsula nunca mais pode ser lido. Ninguém consegue recuperá-lo:

• nem você, sem a chave;
• nem nós, que operamos o serviço;
• nem a nossa equipe de suporte, por nenhum pedido ou comprovação;
• nem com a chave mestra ou qualquer acesso administrativo que tenhamos.

Não é uma questão de política que possa ser revista num caso especial: sem a chave, não existe caminho técnico até o conteúdo.

O que conseguimos conferir — e o que não

Guardamos um verificador da chave. Ele só serve para confirmar se uma chave digitada é a certa. Com ele não é possível ler o conteúdo da cápsula.

Isso funciona porque o verificador usa um sal distinto do sal usado para derivar a chave de decifragem. Conferir e ler são capacidades separadas no código — e é a única afirmação criptográfica que fazemos.

Quando conseguimos ler — e quando não

A escolha de guarda da chave é uma troca, com todas as letras: recuperabilidade ou privacidade perante nós. Não é a mesma promessa nos dois modos.

Se você escolhe “guardamos uma cópia” (recuperável), nós guardamos a chave da cápsula envolvida pela chave-mestra do serviço. Enquanto a cápsula está lacrada, o operador consegue decifrar o conteúdo — esse é o propósito do modo, e o que o torna recuperável se você perder a sua chave. Não prometemos ilegibilidade nesse modo.

Se você escolhe “só você guarda” (irreversível), não guardamos cópia da chave. Nesse modo — e só nele — afirmamos que o conteúdo da cápsula ainda lacrada não é legível por nós. Mesmo assim, duas situações documentadas fogem dessa regra, e omiti-las seria pior do que nomeá-las:

• Export do contribuinte (até 30 dias): quando um contribuinte pede uma cópia do que ele mesmo escreveu, geramos um blob separado, só com a parte dele, com chave envolvida sob a chave-mestra do serviço. Durante no máximo 30 (trinta) dias, esse blob é legível do nosso lado. Não é a cápsula inteira; é o recorte do contribuinte.
• Re-wrap na abertura: no momento em que a cápsula é aberta (maturidade + chave correta), as chaves são re-envolvidas para que o conteúdo possa ser lido por quem tem direito. A partir daí a cápsula deixou de estar “lacrada” no sentido desta promessa — a abertura é exatamente o instante em que a leitura se torna possível pelo desenho do sistema.

Resumo: no modo recuperável, nós conseguimos ler enquanto está lacrada. No modo “só você guarda”, não conseguimos — salvo o export do contribuinte e o re-wrap na abertura.

Como a sua escolha é registrada

Registramos a opção escolhida, a data, a hora e a versão destes termos em vigor. Depois de feito, esse registro não é alterado.

Responsabilidade

[APROVAR] Se você escolher a opção “só você guarda” e a chave se perder, a Cápsula do Tempo não se responsabiliza pela perda permanente de acesso ao conteúdo. Essa escolha é sua, tomada com aviso prévio nesta página, e o sistema não possui caminho alternativo de recuperação — nem suporte, nem chave mestra, nem ordem administrativa interna mudam esse fato técnico.

Na opção “guardamos uma cópia”, nossa obrigação é a de manter a cópia com o mesmo cuidado operacional do restante do serviço e usá-la para recuperar o acesso a seu pedido legítimo na abertura. [APROVAR] Limites de indenização e exclusões gerais de responsabilidade do prestador.