Privacidade · Extensão de navegador
BiVelio Shield — Política de Privacidade
O BiVelio Shield («a extensão») é publicado pela BiVelio, Inc., uma sociedade do Delaware (Estados Unidos) que opera a partir de Andorra. Esta política descreve exatamente o que a extensão faz e não faz com os seus dados. Foi redigida para corresponder ao comportamento real do software — se ambos alguma vez divergirem, isso constitui um erro; comunique-o para privacy@bivelio.com.
Em resumo
- Corre no seu navegadorA deteção e a ocultação acontecem no seu dispositivo. Com um gateway de nomes — incluído no plano Team, ou configurado pela sua organização em qualquer plano pago, Pro ou Team — o texto de cada mensagem vai também para esse gateway, para encontrar nomes, respondidos como posições e guardados em lado nenhum.
- Sem conta, sem analíticaSem registo, sem rastreadores, sem cookies, sem SDK de publicidade. Nada a recusar.
- Nada do que escreves é enviado à BiVelio — com uma exceção que podes verNo nível gratuito a extensão não nos faz qualquer pedido por iniciativa própria; a única coisa que faz sozinha é abrir uma vez, numa instalação nova sem licença, um separador visível em privacy.bivelio.com/activar, e não envia nada nele. Pro e Team enviam a verificação de lugar e contagens sem valores — quantos valores de cada tipo ficaram de fora — e nunca uma palavra do que escreveste. A exceção: um gateway de nomes. No plano Team é o que a BiVelio opera para a sua organização ao abrigo de um contrato de subcontratação, incluído no plano; em qualquer plano pago a sua administração pode, em vez disso, apontar a extensão para um seu. O texto da mensagem vai para lá, é respondido com posições e não é guardado em lado nenhum.
- A chave do cofre nunca toca no discoO mapa valor ↔ token é cifrado com AES-GCM; a sua chave vive em memória e é descartada quando fecha o navegador.
A versão resumida
- A única função da extensão é manter os seus dados na sua máquina. No nível gratuito, não envia nada à BiVelio nem a qualquer terceiro. A única coisa que faz por iniciativa própria: numa instalação nova sem licença, abre uma vez um separador visível em privacy.bivelio.com/activar, para que o site lhe devolva a licença se tiver sessão iniciada lá; é uma página que o seu navegador carrega como qualquer outra, a extensão não envia nada nela e pode fechá-la.
- Os seus prompts são inspecionados e ocultados localmente, no seu navegador, antes de chegarem ao fornecedor de IA que escolheu (ChatGPT / Claude, e Gemini onde tenha dado acesso à extensão). O fornecedor recebe tokens de substituição em vez dos seus valores sensíveis — é esse o objetivo.
- Sem conta, sem registo, sem analítica, sem publicidade. Não recolhemos, vendemos, alugamos nem partilhamos os seus dados pessoais.
- Uma exceção, em qualquer plano pago — Pro ou Team: se a sua organização tiver um gateway de nomes — incluído no plano Team, ou configurado pela sua administração na política central —, o texto de cada mensagem que envia — e qualquer texto de 1.000 caracteres ou mais que cola na caixa de escrita do chat, no momento em que o cola; e, com o plano Team, o texto de um anexo, já ocultado no seu navegador — vai para esse gateway, que responde com as posições dos dados pessoais que deteta — nomes e lugares, e também contactos, identificadores, dados financeiros, endereços de rede, segredos e termos de categoria especial do art. 9.º do RGPD — e não guarda nada.
Âmbito: que documento está a ler
- Esta política cobre a extensão de navegador BiVelio Shield e nada mais. É o documento para o qual a ficha da Chrome Web Store aponta.
- O site de onde a possa ter descarregado, a conta, o plano de equipa e o Sandbox são cobertos pela política de privacidade do site e da conta, que é um documento separado.
- Os documentos legais em bivelio.com são de âmbito corporativo e descrevem outros produtos da BiVelio. Não descrevem a extensão.
Que dados a extensão trata, e onde permanecem
| Dados | O que é | Onde reside | Sai do seu dispositivo? |
|---|---|---|---|
| Texto do prompt | O que escreve no ChatGPT / Claude — e no Gemini, onde tenha dado acesso à extensão | Processado na memória do seu navegador | Apenas a versão tokenizada chega ao fornecedor de IA — e a BiVelio não vê nada disso, salvo se a sua organização estiver na via dos nomes contra um gateway que a BiVelio opera para ela, pelo plano Team ou porque a sua administração apontou a extensão para lá (linha seguinte) |
| Texto da mensagem enviado ao gateway de nomes da sua organização (com o plano Team, ou por política central em Pro e Team); com o plano Team, também o texto de um anexo, já ocultado | O texto de cada mensagem que envia, tal como o escreveu e antes de a ocultação local ser executada — pelo que os identificadores, os segredos e os termos do art. 9.º que a camada determinista teria removido antes do fornecedor de IA chegam intactos ao gateway, exceto os termos da sua lista de termos confidenciais ou da lista da sua organização, que antes são substituídos por asteriscos do mesmo comprimento —, até 20.000 caracteres no plano Pro e 50.000 no plano Team, em blocos de até 4.000 verificados em paralelo, sempre que a sua organização esteja na rota de nomes: o plano Team traz o endereço dessa gateway assinado dentro da sua própria licença, e em qualquer plano pago a administração pode definir um na política central gerida, que tem precedência sobre o da licença; e qualquer texto de 1.000 caracteres ou mais que cole na caixa de escrita do chat, no momento em que o cola. Com o plano Team, também lhe chega o texto de um anexo que a extensão lê (um ficheiro de texto, ou um PDF, Word, Excel, PowerPoint ou OpenDocument), mas DEPOIS da ocultação local: os identificadores que deteta já são tokens [BV:…]; até 50.000 caracteres por anexo, nos mesmos fragmentos de até 4.000 — de um anexo mais longo verifica-se o início e um aviso indica-o. É todo o texto que a extensão lê nele — comentários, notas, cabeçalhos e rodapés, controlo de alterações, texto oculto e propriedades do documento incluídos —, exceto os campos de autor, que são substituídos no seu navegador e nunca são enviados. O ficheiro em si, as imagens e as digitalizações nunca lhe são enviados. | Enviado por TLS do seu navegador para esse gateway — o BiVelio Privacy Gateway da sua própria organização ou, ao abrigo de um contrato de subcontratação com a sua organização, um serviço que a BiVelio opera na Alemanha. Responde com as posições — e o texto correspondente — dos dados pessoais que deteta: nomes e lugares, e também contactos, identificadores, dados financeiros, endereços de rede, segredos e termos de categoria especial do art. 9.º do RGPD. Não guarda nada: sem armazenamento, sem registo do texto. A substituição e o cofre ficam no seu navegador. O pedido leva como credencial o token de licença da sua organização e, numa mensagem suficientemente longa para ser dividida em fragmentos, o código de idioma que a página do chat declara. | Sim, apenas para esse gateway, e apenas enquanto a sua organização estiver nessa via. Se o gateway não responder dentro do orçamento de tempo, ou se o texto exceder o que o seu plano permite, a mensagem sai apenas com a camada determinística; se alguns blocos responderem a tempo e outros não, os nomes encontrados nos que responderam também são aplicados. Em qualquer caso, um aviso diz-lhe de cada vez que os nomes não foram totalmente verificados. Sem gateway por qualquer das duas vias nada é enviado e esta linha não se aplica. |
| Mapa valor ↔ token (o «cofre») | por ex., um email ↔ [BV:EMAIL:…] | chrome.storage.local, cifrado com AES-GCM; a chave é mantida apenas no armazenamento de sessão em memória e nunca é escrita no disco | Não — os valores em bruto nunca são recuperáveis apenas a partir do disco, e nunca são transmitidos |
| Definições | O botão de ativar/desativar e o interruptor opcional «Ocultar por formato», e se a sua organização bloqueou a proteção em ativada (`locked`, um sim/não que reflete a sua política gerida) | chrome.storage.local | Não |
| Contador de «itens protegidos» | Um número de ocultações realizadas | chrome.storage.local | O número em si fica no teu dispositivo. No Pro e no Team sai a sua REPARTIÇÃO como contagens: quantos valores de cada família ficaram de fora. Nenhum texto, nenhum valor, nenhum token — e nada que diga quem, quando ao minuto ou em que conversa. |
| Marca temporal de «proteção interrompida» | A hora do último bloqueio fail-closed (`lastBlock`); o popup usa-a para o avisar de que um envio foi travado | chrome.storage.local | Não — apenas uma hora; não contém texto de prompt, valores ou tokens |
| Marcadores de diagnóstico | A versão do esquema de armazenamento e quando a extensão detetou pela última vez que um site tinha mudado de forma | chrome.storage.local | Não — um número de versão e uma marca temporal; nenhum texto e nenhum valor |
| Token de licença Pro | A credencial BVLIC1… que cola a partir de Painel → Faturação (apenas plano e validade — sem dados pessoais) | chrome.storage.local, verificada offline com a chave pública da BiVelio | No Pro e no Team, o token e um id de dispositivo aleatório são enviados à BiVelio numa verificação periódica de lugares (o token é um documento público, não um segredo; o id nomeia um lugar, não uma pessoa). O nível gratuito não envia nenhum — e nenhum transporta texto, valores ou tokens do cofre. E se uma verificação responder que a licença foi revogada — após uma mudança de plano, por exemplo — só o token vai uma vez a privacy.bivelio.com, que responde com a licença que a sua organização tem agora: no máximo um pedido destes por licença revogada e por dia, e nunca qualquer conteúdo. Esse mesmo token é também a credencial do relatório agregado e dos pedidos ao gateway de nomes: identifica a licença da sua organização, não a si. |
| Relatório agregado de privacidade (Pro e Team) | Apenas contagens: quantos valores de cada família ficaram de fora, quantos envios foram bloqueados e quantos saíram sem proteção por tua decisão, e quantos saíram com os nomes por verificar ou verificados em parte porque o gateway de nomes não respondeu a tempo ou o texto excedia o limite do plano; e, num envio que decidiu fazer sem proteção, qual de cinco motivos fixos escolheu (ou nenhum) — um código, nunca palavras que escreva; e, em qualquer envio em que foi mostrado o cartão que propõe enviá-lo sem proteção, que foi mostrado, quer depois tenha enviado quer tenha cancelado; e, num envio acima do limite de pessoas por mensagem da sua organização que decidiu enviar como tokens, qual desses mesmos cinco motivos escolheu e que esse cartão foi mostrado | chrome.storage.local (uma fila com teto), enviada à BiVelio cerca de uma vez por hora | Sim, no Pro e no Team — e são apenas contagens. Não há texto, valores, tokens, nome, e-mail nem identificador de utilizador; as horas são guardadas à HORA, e nada regista o chat, a ferramenta ou o tópico. O nível gratuito não envia nada disto. É enviado com o token de licença da sua organização, que diz de quem é o relatório, e com o número de linhas perdidas antes de poderem ser enviadas. |
| Mapa de rotas assinado (planos pagos) | Uma lista dos endereços dos sites de chat com IA suportados para onde uma mensagem pode ser enviada — site, tipo de pedido, caminho e se a extensão a deve proteger ou bloquear —, assinada pela BiVelio e recebida com a resposta à verificação periódica de lugares (`bv_routes`), mais, por cada chave de assinatura, a versão mais recente aceite até agora, para que uma lista mais antiga nunca substitua uma mais recente (`bv_routes_floor`). Descreve os sites de chat, não a si: nenhum dado pessoal. | chrome.storage.local, e só é guardada depois de verificada offline com uma chave pública da BiVelio incluída na extensão | Não — apenas chega, e nada sobre ela é enviado. É recebida num plano pago, dentro da resposta à verificação que a licença já faz; o nível gratuito nunca recebe nenhuma. Só pode acrescentar proteção a uma rota de envio que a extensão ainda não conhece, e não pode retirar nem enfraquecer nenhuma proteção que a extensão já tenha. |
| Os seus termos confidenciais (`personalTerms`) — em todos os planos, incluindo o Gratuito | A lista de termos — nomes de clientes, processos ou projetos, nomes de código — que escreve na página de opções da extensão para que cada um seja substituído por um token antes de uma mensagem sair, como um IBAN. A lista da sua organização, quando a política central a define (`confidentialTerms`), é lida da área de políticas geridas do navegador, não lhe é mostrada na página de opções e pode ser lida por qualquer pessoa que abra chrome://policy nesse computador. | chrome.storage.local, guardada tal como a escreveu e SEM cifragem: ao contrário do cofre, tem de continuar lá depois de fechar o navegador, pelo que qualquer pessoa com acesso ao seu perfil do navegador a pode ler — um nome de código protege tanto como um nome real. | Não — nenhuma das duas listas é alguma vez enviada para lado nenhum. Um termo encontrado numa mensagem sai como token. Onde a sua organização está na rota de nomes, o gateway recebe, em vez de cada termo, asteriscos do mesmo comprimento: sabe onde está o termo e quanto mede, nunca o seu texto. No Pro e no Team, um termo substituído é contado no relatório agregado como um número, como qualquer outro valor. |
| Revisão antes de enviar (`reviewBeforeSend`, `reviewFamilies`) — onde a política da sua organização a ativa | Onde a política central da sua organização torna a revisão opcional: se a ativou na página de opções, e sobre que famílias de valores detetados quer decidir. Com a revisão ativa — por escolha sua ou porque a política a exige — um cartão mostra-lhe o que foi encontrado numa mensagem antes de ela sair, e escolhe, valor a valor, mantê-lo tal como o escreveu ou deixá-lo ser substituído por um token. Só se podem manter as famílias que a sua organização permite; os segredos, nunca. | chrome.storage.local: um sim/não e uma lista de nomes de família — sem texto, sem valores. A lista do cartão não é guardada. | As duas definições, não. Um valor que decide manter sai tal como o escreveu, em claro, para o fornecedor de IA — é decisão sua. Todo o resto da mensagem sai como tokens; cancelar ou fechar o cartão não envia nada. |
Quando fecha completamente o navegador, a chave de cifragem em memória é descartada, o cofre armazenado torna-se indecifrável, e as conversas mais antigas voltam a desidentificar-se, ficando como tokens opacos. Isto é intencional.
O que o nível gratuito oculta localmente
Antes de o seu prompt sair do navegador, o motor determinista deteta e substitui:
- Emails e números de telefone
- Números de cartão de crédito (validados por Luhn)
- IBANs e dados bancários (validados por mod-97)
- Documentos de identificação nacionais — DNI / NIE / CIF espanhóis, SSN dos EUA, e outros
- Chaves de API e segredos — OpenAI, AWS, GitHub, Stripe, Slack, e outros
- Endereços IP
- Termos de saúde, religião, biometria e genética — um léxico multilingue curado (categorias especiais do art. 9.º do RGPD)
Âmbito honesto: para manter a precisão elevada, os identificadores estruturados são validados pelo seu dígito de controlo, pelo que um valor bem formado mas inválido pode passar, a menos que ative “Ocultar por forma” (abaixo). O nível gratuito oculta os termos do art. 9.º do seu léxico curado, mas NÃO remove nomes de pessoas, moradas nem texto livre em geral — não existe um padrão fixo, e uma formulação do art. 9.º que o léxico não inclua passará também. Os nomes e o contexto são procurados por uma única via: quando a sua organização tem um gateway de nomes — incluído no plano Team, ou definido pela sua administração na política central em qualquer plano pago, Pro ou Team —, o texto de cada mensagem é enviado para esse gateway, que responde com as posições dos dados pessoais que deteta — uma camada que reduz a fuga de nomes e que, medida, não a elimina (ver «Nomes através do gateway da sua organização», abaixo). Sem gateway por qualquer das duas vias, a extensão não procura nomes em nenhum nível. A falha inversa não depende dessa opção: um identificador é validado depois de removidos os separadores, pelo que uma correspondência com dígito de controlo válido pode engolir as palavras vizinhas — medido, «BTW NL123456789B01 on file» leva seis caracteres da sua própria frase para dentro do token. Ao fornecedor não chega nada a mais (vê menos do que escreveu), mas o prompt fica alterado sem aviso.
A definição opcional «Ocultar por formato»
Pode ativar «Ocultar por formato» na janela para também esconder identificadores que parecem um IBAN, um cartão ou um documento de identificação mas falham o respetivo checksum (por exemplo, um número mal digitado). Está desativada por predefinição, continua a ser executada inteiramente de forma local, e dizemos-lhe com clareza que pode ocultar em excesso elementos como números de encomenda, marcas temporais ou códigos de rastreio. A escolha é sua.
O que a extensão NÃO faz
- Não envia à BiVelio as tuas mensagens, os valores que oculta nem os tokens que os substituem — com uma exceção declarada: quando a sua organização está na via dos nomes contra um gateway que a BiVelio opera para ela ao abrigo de um contrato de subcontratação — incluído no plano Team, ou porque a sua administração apontou a extensão para lá —, o texto de cada mensagem chega a esse serviço tal como o escreveu, antes de a ocultação local ser executada (exceto os termos da sua lista de termos confidenciais ou da lista da sua organização, que antes são substituídos por asteriscos), e responde com as posições e o texto correspondente dos dados pessoais que deteta — incluindo os termos de categoria especial do art. 9.º do RGPD — e não guarda nada. Os valores ficam no seu navegador em todas as vias. Os tokens também, exceto com o plano Team, em que o texto de um anexo chega a esse serviço DEPOIS da ocultação local, com os tokens que já substituem os seus identificadores.
- Não usa rastreadores, cookies, SDKs de analítica ou publicidade.
- Não lê nem atua em qualquer website que não sejam os sites de chat de IA suportados (ver Permissões). Apenas três endereços podem alguma vez receber algo dela: o destino de licença para onde vão a verificação de lugar de Pro e Team e o relatório agregado horário — licensing.bivelio.com, salvo se a sua licença trouxer o seu próprio endereço de plano de controlo, caso em que vão para lá —; privacy.bivelio.com, e só depois de uma verificação ter respondido que a licença está revogada, para trocar esse token revogado pela licença que a sua organização tem agora — é enviado apenas o token revogado, e no máximo uma vez por dia —; e o gateway de nomes da sua organização — o endereço que a sua licença Team transporta, ou o que a sua administração definiu na política central —, e apenas para enviar o texto da mensagem e receber posições. Numa instalação nova sem licença — nem fornecida por uma organização, nem já presente na extensão — abre ainda, uma vez, um separador visível em https://privacy.bivelio.com/activar, para que o site lhe devolva a licença se tiver sessão iniciada lá (remover a extensão apaga a licença que guardava); a extensão não envia nada nesse separador e, sem licença, funciona simplesmente no nível gratuito. Não acede ao seu histórico de navegação, a outros separadores ou aos seus ficheiros.
- Não vende nem partilha dados pessoais, e nunca utiliza os seus dados para determinar a solvabilidade ou para efeitos de concessão de crédito.
- Não protege o modo de voz nem o tempo real. Redige o texto que escreves; um turno falado no ChatGPT Advanced Voice ou na voz do Claude viaja por uma ligação de áudio em direto separada que a extensão nunca vê — e uma ferramenta de texto não consegue redigir áudio. Escreve, não fales, quando o turno levar dados sensíveis.
- Não cobre o compositor «Cowork» do Claude. A extensão oculta o envio normal do chat do Claude; o Cowork escreve num endpoint diferente (`PUT /v1/code/sessions/…`) que a extensão deixa intacto de propósito, porque essa carga é código e configuração de sessão, não prosa. Considere desprotegido tudo o que escrever no Cowork.
- Não inspeciona ficheiros, imagens nem anexos nos planos Gratuito e Pro: um documento carregado, um PDF ou um passaporte fotografado seguem para o fornecedor tal como estão, e um aviso informa-o disso. O plano Team redige ficheiros de texto e documentos PDF / Word / Excel / PowerPoint no seu navegador antes do envio; digitalizações, imagens e outros ficheiros ilegíveis perguntam sempre primeiro antes de sair sem proteção. No Gemini, este tratamento dos anexos nunca foi medido contra o caminho de carregamento do site: considere não protegido um ficheiro que anexe no Gemini, em qualquer plano.
Permissões, e por que a extensão precisa delas
- storage
- para manter o botão de ativar/desativar, a definição «Ocultar por formato», o contador sem valores, o cofre cifrado (chave mantida em memória, nunca no disco), a sua lista de termos confidenciais e as definições da revisão antes de enviar descritos acima.
- scripting
- para reinjetar o script de redação local num separador de chat de IA que já estava aberto quando a extensão foi instalada ou atualizada. Sem esta permissão, esses separadores ficariam desprotegidos até os recarregar à mão. Só pode ser executado nos sites autorizados listados abaixo.
- Acesso de host a chatgpt.com, chat.openai.com, claude.ai
- para executar a ocultação local apenas nesses sites de chat de IA.
- alarms
- (Pro e Team) para agendar a verificação periódica de lugar descrita abaixo — cerca de duas vezes por dia, ou de hora a hora quando a licença da sua organização leva o endereço do gateway de nomes — e o relatório agregado horário. Sem uso no nível gratuito.
- Acesso de host a licensing.bivelio.com
- (Pro e Team) para onde vão a verificação de lugar e o relatório agregado horário: licensing.bivelio.com, salvo se a sua licença trouxer o seu próprio endereço de plano de controlo, caso em que vão para esse endereço. A extensão não pede permissão para nenhum outro site — nem sequer para o gateway de nomes: o seu worker em segundo plano chama o endereço em que a sua organização está — o que a sua licença Team transporta, ou o que a sua administração definiu —, e só responde um gateway que aceite explicitamente a extensão. O mesmo vale para privacy.bivelio.com, que também não precisa de permissão de site: quando uma verificação responde que a licença está revogada, o worker em segundo plano pede-lhe uma vez a licença que a sua organização tem agora, enviando apenas o token revogado — assim uma atualização ou mudança de plano não tem de ser reativada à mão em cada máquina.
- Acesso de anfitrião opcional a gemini.google.com
- só é pedido se ativar o Gemini no popup, e o Chrome pergunta-lhe primeiro. Enquanto não o conceder, a extensão não é executada no Gemini; depois de concedido, a ocultação local funciona lá como nos sites acima, e pode retirá-lo nas definições de extensões do Chrome.
Os fornecedores de IA que utiliza
Quando envia uma mensagem, a extensão reencaminha o prompt ocultado para o fornecedor de IA que escolheu (OpenAI para o ChatGPT, Anthropic para o Claude, Google para o Gemini). A sua utilização desses serviços rege-se pelas respetivas políticas de privacidade e condições — a extensão não altera a sua relação com eles; apenas reduz os dados sensíveis que recebem.
Nomes através do gateway da sua organização (Pro e Team)
O nível Gratuito é totalmente local, conforme descrito acima, e nunca procura nomes de pessoas. No plano Team o gateway vem com o plano: o endereço do serviço de nomes que a BiVelio opera chega assinado dentro da licença da sua própria organização, pelo que não há nada a instalar nem qualquer URL a escrever. Em qualquer plano pago — Pro ou Team — a administração da sua organização pode, em vez disso, definir um endereço de gateway na política central gerida, e esse endereço prevalece: o que a extensão verifica antes de chamar o gateway é que tem uma licença paga, não qual dos planos pagos é. O seu painel gera essa política no plano Team; no Pro, uma administração pode na mesma escrever o mesmo endereço à mão na política gerida do Chrome. A partir daí, o texto de cada mensagem que envia vai do seu navegador para esse gateway tal como o escreveu, antes de a ocultação local ser executada — pelo que os identificadores, os segredos e os termos do art. 9.º que a camada determinista teria removido antes do fornecedor de IA lá chegam intactos, exceto os termos da sua lista de termos confidenciais ou da lista da sua organização, que antes são substituídos por asteriscos do mesmo comprimento — e o gateway responde com as posições e o texto correspondente dos dados pessoais que deteta: nomes e lugares, e também contactos, identificadores, dados financeiros, endereços de rede, segredos e termos de categoria especial do art. 9.º do RGPD; a substituição e o cofre ficam no seu navegador, e o gateway não guarda nada. Com o plano Team, o texto de um anexo também vai para esse gateway, mas só DEPOIS da ocultação local, com os identificadores já substituídos por tokens: todo o texto que a extensão lê nele — comentários, notas, cabeçalhos e rodapés, controlo de alterações, texto oculto e propriedades do documento incluídos — exceto os campos de autor, que são substituídos no seu navegador e nunca são enviados; até 50.000 caracteres por anexo, e de um mais longo só o início. Se o gateway não responder dentro do seu orçamento de tempo (até 16 segundos), o anexo é carregado na mesma com os identificadores substituídos, e um aviso indica-lhe que os nomes nele não foram totalmente verificados. Colar 1.000 caracteres ou mais na caixa de escrita do chat envia esse texto colado para o mesmo gateway no momento em que o cola — antes de enviar a mensagem, e mesmo que depois a edite ou nunca a envie. Uma mensagem é verificada à procura de nomes até 20.000 caracteres no plano Pro e até 50.000 no plano Team: um texto com mais de 4.000 caracteres é dividido em blocos de até 4.000, com uma pequena sobreposição para que um nome que fique num corte não se perca, e os blocos seguem para o gateway em paralelo. Acima do limite do seu plano o gateway não é sequer chamado. Esse gateway é o BiVelio Privacy Gateway da sua própria organização, ou o serviço que a BiVelio opera na Alemanha ao abrigo do contrato de subcontratação que faz parte das condições do plano Team; fora disso, nada é enviado à BiVelio. Se o gateway não responder dentro do orçamento de tempo — inalcançável, demasiado lento ou com a sua camada de nomes desligada — ou se o texto exceder o limite do seu plano, a mensagem sai apenas com a camada determinística; se alguns blocos responderem a tempo e outros não, os nomes encontrados nos que responderam também são aplicados. Em qualquer caso é mostrado um aviso de cada vez; esses envios são contados no relatório agregado da sua organização como «enviados sem verificação de nomes». Esta camada reduz a fuga de nomes e não prometemos que os elimine. Leia os 4,875 % de docs/BENCHMARKS.md pelo que são: esse valor mede a pilha SEM esta camada (os detetores deterministas mais o Presidio). Medido no mesmo corpus com o modelo que o gateway executa realmente, nenhum dos 800 valores fugiu. Esse corpus é sintético e pontua apenas nomes e lugares — nada diz sobre moradas ou termos de saúde — pelo que um zero ali não é uma promessa de zero aqui. Não há um interruptor por utilizador. Quando o endereço vem com o plano Team, quem for proprietário ou administrador desliga a camada para toda a organização a partir do painel, e isso demora até uma hora a chegar a um navegador; quando vem da política gerida central — sempre no Pro, e no Team onde quer que uma administração tenha fixado uma —, é esse endereço que manda, como acima, e a camada desliga-se retirando-o dessa política. Sem gateway por qualquer das duas vias, nesta via não acontece absolutamente nada.
Fundamento jurídico
A extensão processa o seu prompt no seu próprio dispositivo, por sua instrução, para fazer a única coisa para a qual a instalou. Quando o RGPD se aplica, trata-se da execução do contrato que aceitou ao instalá-la (Art. 6.º, n.º 1, alínea b). A própria BiVelio não trata esses dados: no nível gratuito nenhum dado pessoal nos chega, pelo que não há tratamento por parte da BiVelio a justificar. No Pro, a verificação de lugar — o seu token de licença e um identificador de dispositivo aleatório — é tratada para fazer cumprir os lugares que comprou, também ao abrigo do Art. 6.º, n.º 1, alínea b. Quando a sua organização está na rota de nomes — porque a sua licença Team leva o endereço do gateway, ou porque uma administração configurou um gateway na política central gerida — o texto enviado para lá é tratado por instrução da sua organização: a sua organização é a responsável pelo tratamento, e quem opera o gateway — a própria organização, ou a BiVelio ao abrigo de um contrato de subcontratação com ela (Art. 28.º) — atua como sua subcontratante.
Durante quanto tempo os dados são conservados
No seu dispositivo: o cofre cifrado, as definições e os contadores sem valores ficam no armazenamento de extensões do seu navegador até fechar o navegador (a chave de cifragem é descartada e o cofre torna-se indecifrável) ou desinstalar a extensão (tudo é removido). A sua lista de termos confidenciais e as definições da revisão antes de enviar são a exceção ao fecho do navegador: ficam até as alterar na página de opções ou desinstalar a extensão. Nos servidores da BiVelio: absolutamente nada no nível gratuito. No Pro, o registo da verificação de lugar — identificador de dispositivo e último dia visto — é conservado enquanto o lugar está ativo e marcado como desativado quando retira o dispositivo; hoje não existe uma purga automática, como a política do site e da conta também declara. Num gateway de nomes, seja o da sua própria organização ou o serviço operado pela BiVelio: o texto de uma mensagem, ou o de um anexo já ocultado no seu navegador, existe em memória durante o pedido e nunca é escrito em disco nem num registo.
Transferências internacionais
O prompt tokenizado vai para o fornecedor de IA que escolheu, ao abrigo da política desse fornecedor; a OpenAI e a Anthropic tratam dados nos Estados Unidos. Para o Gemini, o fornecedor é a Google, ao abrigo das suas próprias condições e onde quer que trate os dados. A BiVelio não é parte nessa transferência nem a altera — a extensão apenas reduz o que o pedido contém. No Pro, a verificação de lugar chega ao servidor de licenciamento da BiVelio na Alemanha (Hetzner Online GmbH) e permanece na UE. Quando a sua organização está na rota de nomes — porque a sua licença Team leva o endereço do gateway, ou porque uma administração configurou um gateway na política central gerida — o texto da mensagem — e, com o plano Team, o de um anexo, já ocultado — vai para esse gateway: onde quer que a sua organização o execute ou, no caso do serviço operado pela BiVelio, para a Hetzner Online GmbH na Alemanha, dentro da UE.
Decisões automatizadas
A extensão não toma qualquer decisão a seu respeito na aceção do Art. 22.º e não constrói qualquer perfil. Cada decisão de ocultação no seu navegador é uma regra determinística — padrão, checksum, ação — que pode inspecionar no Playground deste site. Os nomes que um gateway encontra vêm de um modelo estatístico, de melhor esforço e não exaustivo; também eles decidem apenas o que é substituído no seu texto, nunca nada a seu respeito.
Os seus direitos
Uma vez que a extensão não armazena quaisquer dados pessoais nos nossos servidores — um serviço de nomes operado pela BiVelio, onde a sua organização o tiver escolhido, mantém o texto de uma mensagem apenas em memória e apenas durante o pedido —, em regra não há nada a que possamos aceder, exportar ou eliminar em seu nome. Os dados locais (cofre, definições, contador) estão inteiramente sob o seu controlo: o interruptor e o contador alteram-se ou repõem-se a partir do popup, o cofre desidentifica-se sozinho quando fecha o navegador (a sua chave de cifra nunca sai da memória), e desinstalar a extensão remove tudo. A sua lista de termos confidenciais e as definições da revisão alteram-se ou esvaziam-se a qualquer momento na página de opções da extensão. Ao abrigo do RGPD e de legislação semelhante, pode ainda assim contactar-nos com qualquer questão ou pedido.
Reclamações e autoridade de controlo
Se considerar que a extensão ou a BiVelio tratou os seus dados de forma ilícita, pode apresentar reclamação a uma autoridade de controlo — em particular no Estado-Membro da UE da sua residência habitual, do seu local de trabalho ou do local da alegada infração (Art. 77.º). O Comité Europeu para a Proteção de Dados mantém a lista de todas as autoridades e dos respetivos contactos. Preferíamos que nos escrevesse primeiro, mas não é obrigado a fazê-lo. edpb.europa.eu ↗
Encarregado de proteção de dados
A BiVelio não designou um encarregado de proteção de dados: a extensão mantém o seu tratamento no seu dispositivo ou, com um gateway de nomes, por instrução da sua organização, e a pequena quantidade de dados sem valores que o Pro envia não constitui o controlo em grande escala ou sistemático para o qual o Art. 37.º o exige. Todas as questões de privacidade são tratadas diretamente em privacy@bivelio.com, e esta secção mudará no dia em que isso mudar.
Crianças
O BiVelio Shield não se destina a crianças com menos de 16 anos e não trata conscientemente os seus dados.
Alterações a esta política
Atualizaremos esta página e a respetiva data de «Última atualização» quando o comportamento da extensão em matéria de dados mudar. As alterações materiais serão refletidas aqui antes de produzirem efeito numa versão lançada.
Contacto
Questões ou pedidos sobre privacidade: privacy@bivelio.com
BiVelio, Inc., 131 Continental Dr, Suite 305, Newark, DE 19713, Estados Unidos · a operar a partir de Andorra 🇦🇩 · +1 302 208 5841
Histórico de versões
Cada alteração ao que este documento declara consta aqui com a respetiva data. A redação anterior é conservada no histórico do repositório público.
- v1.13
Os anexos passam agora também pela camada de nomes. Até à 1.12 um anexo nunca era enviado ao gateway de nomes, pelo que o nome de uma pessoa dentro de um documento chegava em claro ao fornecedor de IA. A partir desta versão, com o plano Team, o texto de um anexo que a extensão lê (um ficheiro de texto, ou um PDF, Word, Excel, PowerPoint ou OpenDocument) vai também para o gateway de nomes em que a sua organização está — o endereço que a sua licença Team leva, ou o que uma administração fixa na política central —, mas DEPOIS da ocultação local: os identificadores que deteta já são tokens [BV:…], e o gateway lê as palavras à volta. Até 50.000 caracteres por anexo, nos mesmos fragmentos de até 4.000; de um anexo mais longo verifica-se o início e um aviso indica-o. O destinatário, o subcontratante, o que volta e o que se guarda — nada: o texto existe em memória durante o pedido — não mudam em relação à 1.12; o ficheiro em si, as imagens e as digitalizações continuam a nunca ser enviados. Nos planos Gratuito e Pro a extensão não abre os anexos, por isso aí nada muda. Esta versão declara também um separador que a extensão abre: numa instalação nova sem licença — nem fornecida por uma organização, nem já presente na extensão, e não instalada pela organização — abre uma vez um separador visível em privacy.bivelio.com/activar, para que o site devolva a licença a quem lá tenha sessão iniciada (remover a extensão apaga a licença que guardava); a extensão não envia nada nesse separador, e o nível gratuito continua a não fazer qualquer pedido por iniciativa própria.
- v1.12
Declara, antes de ser publicado, o que a próxima versão da extensão acrescenta. Gemini: onde der à extensão acesso a gemini.google.com, o texto das suas mensagens do Gemini é ocultado no seu navegador como no ChatGPT e no Claude e, onde a sua organização está na rota de nomes — o endereço que a sua licença Team leva, ou o que uma administração define na política central no Pro ou no Team —, vai para esse gateway como nos outros dois sites. Dois dados novos guardados apenas no seu dispositivo: a sua própria lista de termos confidenciais (`personalTerms`), guardada tal como a escreveu e sem cifragem, nunca enviada; e as definições da revisão antes de enviar (`reviewBeforeSend`, `reviewFamilies`) — um valor que mantém nesse cartão sai para o fornecedor de IA tal como o escreveu. Regista ainda três passagens acrescentadas ao texto da 1.11 depois de 25 de setembro sem novo número de versão: os termos confidenciais chegam ao gateway de nomes como asteriscos do mesmo comprimento (28 de setembro); o relatório agregado leva o código de um motivo de uma lista fechada de cinco, e se o cartão de decisão foi mostrado, num envio feito sem proteção (28 de setembro) ou enviado como tokens acima do limite de pessoas por mensagem da organização (29 de setembro). E diz expressamente que o token de licença é também a credencial do relatório agregado e dos pedidos de nomes, que a verificação de lugar se faz no Pro e no Team, e qual é a permissão opcional do Gemini. Nenhum destinatário novo do lado da BiVelio; o que o gateway de nomes devolve e guarda não muda.
- v1.11
As mensagens longas passam a ser verificadas em blocos. Até à 1.10, uma mensagem ia para o gateway de nomes até 4.000 caracteres e, acima disso, o gateway não era sequer chamado. A partir desta versão, a camada de nomes verifica uma mensagem até 20.000 caracteres no plano Pro e até 50.000 no plano Team: um texto com mais de 4.000 caracteres é dividido em blocos de até 4.000, com uma pequena sobreposição, que seguem para o mesmo gateway em paralelo. Acima do limite do plano, o gateway continua a não ser chamado. Se alguns blocos não responderem a tempo, são aplicados os nomes encontrados nos restantes e o aviso continua a dizer que os nomes não foram totalmente verificados. Chega agora ao gateway mais texto de cada mensagem longa; o destinatário, as categorias de dados, o que volta e o que se guarda não mudam em relação à 1.10.
- v1.10
Uma correção à 1.9, e esta é sobre a DECLARAÇÃO e não sobre o interruptor: a base do Art. 6.º e a transferência do Art. 44.º descreviam apenas a organização que configura um gateway, pelo que uma organização Team — cuja licença leva esse endereço assinado, sem que ninguém configure nada — não lia ali nem a sua base jurídica nem a sua transferência para a Alemanha. As duas secções nomeiam agora as duas vias dentro da frase que as condiciona: o endereço que uma licença Team leva assinado, e o que uma administração escreve na política central gerida, em qualquer plano pago, Pro ou Team. O que viaja, o que volta e o que é guardado não mudam em relação à 1.9; nenhum novo destinatário e nenhuma nova categoria de dados.
- v1.9
Uma correção no mesmo dia à 1.8, e é sobre o desligar, não sobre o que viaja: onde este documento descrevia apenas uma via para desligar a camada de nomes, passa a nomear as duas na mesma frase. No Team desliga a camada a partir do painel quem for proprietário ou administrador; no Pro, e em qualquer instalação cujo gateway venha de uma política gerida, manda essa política e a camada desliga-se retirando-lhe o endereço. O que viaja, o que volta e o que é guardado não mudam em relação à 1.8; nenhum destinatário novo e nenhuma categoria de dados nova.
- v1.8
A via dos nomes passa a vir com o plano Team. Até hoje só existia onde uma administração tinha escrito um endereço de gateway na política central; com o Team, o endereço do serviço operado pela BiVelio viaja assinado dentro da licença da sua própria organização, pelo que nada é instalado e nenhum URL é escrito, e quem for proprietário ou administrador desliga a camada para toda a organização a partir do painel — um desligar que demora até uma hora a chegar a um navegador; no Pro, e em qualquer instalação cujo gateway venha de uma política gerida, manda essa política e a camada desliga-se retirando-lhe o endereço. O que viaja, o que volta e o que é guardado não mudam face à 1.7. Esta versão põe ainda o cabeçalho de acordo com o corpo: a troca da licença revogada contra privacy.bivelio.com foi escrita neste aviso a 19-09 e a versão ficou na 1.7, pelo que a página nomeava três endereços dizendo ser o documento que nomeava dois.
- v1.7
Declarados os nomes através do gateway da organização: quando a administração define um endereço de gateway na política central (qualquer plano pago — Pro ou Team), o texto de cada mensagem — até 4.000 caracteres, nunca anexos — e qualquer colagem de 1.000 caracteres ou mais vão para esse gateway, o da própria organização ou um serviço que a BiVelio opera na Alemanha ao abrigo de um contrato de subcontratação, e voltam como posições; nada é guardado. Os envios sem verificação de nomes (o gateway não responde a tempo, o texto é demasiado longo) são avisados de cada vez e contados no relatório agregado. Os 4,875 % publicados medem a pilha SEM essa camada; com ela, nenhum dos 800 valores do corpus fugiu. O corpus é sintético, pelo que não se promete zero.
- v1.6
A redação de anexos passa para o plano Team: nos planos Gratuito e Pro um anexo é carregado sem inspeção, com um aviso, tal como antes.
- v1.5
Disposição por camadas com um índice e um resumo. Adicionados o fundamento jurídico, a conservação, as transferências internacionais, as decisões automatizadas, as reclamações e a declaração sobre o EPD, para que o aviso cubra por si só todos os pontos do Art. 13.º.
- v1.4
Declarada a verificação de lugar do Pro: o token de licença e um identificador de dispositivo aleatório são enviados periodicamente; o nível gratuito continua a não enviar nada.
- v1.3
Declarada a ocultação de anexos do Pro: os ficheiros de texto e os documentos PDF, Word, Excel e PowerPoint são reescritos no navegador antes do carregamento; as digitalizações e as imagens perguntam primeiro.
- v1.2
Tabela de armazenamento completada com a marca temporal do bloqueio e os marcadores de diagnóstico. Declarados três limites de cobertura: os modos de voz e de tempo real, os anexos não inspecionados no nível gratuito e o compositor Cowork do Claude. Declarada a sobre-ocultação junto a um identificador com checksum válido.
- v1.1
Responsável identificado na íntegra com a morada postal e o telefone que constam da declaração de comerciante da Chrome Web Store. Declarado o léxico de categorias especiais do Art. 9.º do RGPD como parte do que o nível gratuito oculta.
- v1.0
Primeira publicação.