O que vemos de você

O registro completo

Doze linhas, nem uma a mais.

Cada uma existe porque o serviço não funciona sem ela. Nenhuma está lá “por precaução”.

O que registramos	Por quê	Por quanto tempo
Seu endereço de e-mail	É o seu único identificador. Ele recebe o link de acesso à sua área, a confirmação do seu pagamento e sua configuração. Sem ele, não podemos reconhecer você nem entregar nada a você.	Enquanto a conta existir
Plano e vencimento	COVE ou NODECOVE, mensal, anual ou de dois anos, com a data de término. É isso que determina se seu túnel deve continuar aberto amanhã de manhã.	Enquanto a conta existir
Número de inscrição e posição	Sua posição na ordem de inscrições. Ela determina a tabela de indicação que se aplica a você, três meses grátis para os primeiros mil, um depois disso. Sem esse número, não conseguiríamos cumprir essa promessa.	Enquanto a conta existir
Seu código de indicação	E, se você chegou pelo link de alguém, o identificador dessa pessoa, para creditar os meses dela. É um vínculo entre duas contas, não uma identidade.	Enquanto a conta existir
Se você abrir um link de indicação	Uma impressão do seu endereço, calculada com um segredo guardado fora da base de dados, para não contar vinte vezes a mesma visita. Ela não permite recuperar o endereço.	30 dias
O idioma que você escolheu	Para escrever para você nesse idioma.	Enquanto a conta existir
Por dispositivo: a chave pública, o endereço interno e a saída	Um túnel WireGuard funciona exatamente como uma agenda de contatos: o servidor precisa saber que a chave pública K corresponde ao endereço interno 10.x.y.z, senão ele não sabe para onde devolver as respostas. Não é um registro, é a tabela de roteamento. O túnel não funciona sem ela.	Enquanto o dispositivo estiver ativo
Por dispositivo: um rótulo legível	“iPhone”, “Notebook Linux”. Você escolhe esse nome ou nós o inferimos, apenas para que você reconheça seus próprios dispositivos na sua área e possa revogar um deles.	Enquanto o dispositivo estiver ativo
Um contador de bytes por dispositivo	Dois números: o que foi enviado, o que foi recebido. Eles servem apenas para a cota de 50 GB e para nada mais. Um volume não diz o que você fez: cem gigabytes de backup e cem gigabytes de vídeo dão o mesmo número.	Detalhe apagado em 40 dias · total mensal mantido
Seus pagamentos	O valor, o plano, o status do pagamento, o número do pedido e a cidade atribuída. Só isso. Nem nome, nem endereço, nem documento de identidade: não os pedimos, portanto não os temos. O pagamento chega diretamente ao nosso próprio servidor, sem nenhum intermediário.	Enquanto a conta existir
Suas sessões de navegador abertas	Um rótulo do tipo “Safari · macOS” e a hora da última atividade, para que você veja de onde sua conta está sendo acessada e possa encerrar uma sessão remotamente. São sessões do site, não túneis: encerrar uma delas não desconecta nenhuma VPN.	Desaparece da lista após 90 dias de inatividade
Um contador de pedidos por país e por mês	Uma linha do tipo “Vietnã, setembro de 2026, doze”. Ela nos ajuda a decidir onde abrir o próximo servidor de saída e em qual idioma escrever. O país é deduzido no momento do pedido, e depois o endereço é descartado sem ser registrado: esse contador não identifica ninguém, e nada o liga à sua conta.	Mantido: é um total, ele não descreve mais ninguém

Uma palavra sobre os cliques de indicação

Quando alguém abre um link de indicação, precisamos evitar que um mesmo visitante que recarrega a página vinte vezes conte vinte vezes. Por isso, registramos uma impressão do seu endereço, calculada com um segredo mantido fora da base de dados. É esse detalhe que faz a diferença: uma impressão calculada sem segredo pode ser revertida em poucos segundos, existem apenas quatro bilhões de endereços possíveis, e um computador testa todos eles. Com um segredo guardado em outro lugar, quem obtivesse uma cópia da base não conseguiria nada com isso.

Essa impressão só serve para descartar uma duplicata, o que deixa de fazer sentido depois de algumas semanas: ela é destruída após trinta dias pela mesma limpeza noturna que apaga a medição de audiência.

Uma indicação do país de onde vem o pedido

Precisávamos saber onde estão nossos clientes: isso é o que decide a próxima cidade onde abrimos um servidor de saída, e o próximo idioma que traduzimos. A forma habitual de saber isso é guardar o endereço de conexão, algo que recusamos fazer. Por isso, escolhemos o outro caminho.

No momento em que um pedido é aberto, seu endereço é comparado a uma tabela de faixas de endereços instalada em nossa própria máquina: o conjunto de dados livre DB-IP Lite. Disso resultam duas letras, “VN”, “BR”, “DE”. Essas duas letras incrementam um contador do mês em curso, e o endereço desaparece ao final da requisição: ele não é registrado em nenhum lugar.

O que isso implica, dito com franqueza. Nenhum outro serviço é consultado: seu endereço não sai da máquina, nenhum terceiro o vê passar. O contador é um total por país e por mês, sem marcação de horário mais precisa, sem vínculo com sua conta, seu pagamento ou seu túnel, ele não permite saber de onde vem determinada pessoa, apenas de onde vêm nossos clientes. E se a tabela não conseguir localizar um endereço, o que acontece com um nó Tor ou outra VPN, o pedido é contado como não localizado, sem outra consequência.

Medimos a leitura destas páginas públicas

É preciso dizer isso aqui, senão esta página estaria mentindo. Desde setembro de 2026, as páginas públicas do site, inclusive esta, registram uma linha por visita, por um único motivo: saber em que ponto as pessoas desistem. Estávamos vendendo um serviço que quase ninguém concluía no processo de pedido, sem saber por quê. Adivinhar custava mais caro do que medir.

Essa medição não afeta nem sua área do cliente, nem seu túnel. Ela se limita às páginas de apresentação. O que é registrado cabe em uma linha anônima: quais seções foram exibidas e por quantos segundos, até onde a página foi percorrida, se a tela é a de um celular ou de um computador, o idioma informado pelo navegador, o domínio do site que trouxe você até aqui, e até qual etapa do pedido você chegou.

O que não está ali, e que importa muito mais: nenhum rastreador instalado no seu dispositivo, nenhum identificador de visitante, nenhum endereço de conexão, nem mesmo em forma de impressão, nenhuma assinatura de navegador, nenhum texto que você tenha digitado. Duas visitas do mesmo dispositivo permanecem duas linhas que nada conecta. Não conseguimos reconstruir um percurso individual, e não queremos: procuramos o ponto que trava, não a pessoa que trava.

Essas linhas são destruídas após sete dias. Só sobrevivem contadores por dia e por seção, do tipo “quarenta e oito visitas exibiram os preços”, números que não descrevem mais ninguém. E se seu navegador enviar o sinal “Não me rastreie” ou recusar a revenda de dados, nada é enviado: nenhuma linha é registrada para sua visita.

A outra metade

O que não existe em
nenhum lugar em nossa empresa.

Esta lista importa mais do que a anterior. O que não é registrado não pode vazar, não pode ser vendido, e não pode ser entregue.

· Nenhum endereço de conexão, nem em aberto nem transformado

Não registramos o endereço a partir do qual você se conecta. Nem em aberto, nem “criptografado para privacidade”. Aliás, essa última fórmula costuma ser uma ilusão: uma impressão de endereço calculada sem segredo externo é revertida trivialmente. Nossa base não contém mais nenhuma coluna desse tipo para as conexões. Só uma coisa é extraída do seu endereço no momento do pedido: o país, somado a um contador mensal, o endereço em si não é escrito, e isso está explicado acima.

· Nenhum registro dos sites que você visita

Nenhum histórico de destinos, nenhuma lista de domínios, nenhum registro de horário das suas consultas. O resolvedor de nomes que responde dentro do túnel é o nosso, instalado na própria saída: suas consultas não vão para um grande provedor de DNS. Ele funciona com o registro de consultas desativado e a verbosidade em zero, e só aceita solicitações vindas de dentro do túnel.

· Nenhum conteúdo

Não mantemos nada do que passa pelo túnel. Nem página, nem mensagem, nem arquivo, nem fragmento.

· Nenhuma identidade civil

Nenhum nome, nenhum endereço postal, nenhuma data de nascimento, nenhum documento de identidade, nenhum número de telefone. Não os pedimos, então não os temos. O pagamento é feito em bitcoin: também não há número de cartão nem dados bancários para proteger, porque eles nunca chegam até nós.

· Nenhum endereço Bitcoin, nenhum saldo, nenhuma chave pública estendida

Na NODECOVE, sua carteira consulta seu próprio indexador. Esse indexador recebe seus endereços, é o trabalho dele, precisa buscar as transações deles, mas nós não copiamos suas consultas para nossa base de dados e não temos acesso a elas. Nunca pedimos sua chave pública estendida, e você não deveria dar essa chave a ninguém. Para manter a chave em si fora de alcance, comparamos oito carteiras de hardware pelo que realmente importa: o que pode ser verificado, e o que o fabricante já deixou vazar.

· Nenhum registro sobre as próprias saídas

Não é uma intenção, é o estado real das máquinas, e isso pode ser verificado. Em cada uma das nossas saídas, o registro do sistema existe apenas em memória: o diretório que o tornaria permanente não existe, então uma reinicialização não deixa nada atrás de si. O segundo serviço de registro está desativado e bloqueado. O firewall não tem nenhuma regra que registraria a passagem de um pacote. Uma tarefa horária passa depois como rede de segurança e remove do registro do sistema qualquer linha que mencione o túnel. Nenhuma análise de tráfego, nenhuma inspeção de pacotes, nenhuma captura está instalada. Última verificação em 10 de setembro de 2026, saída por saída, e nesse dia encontramos algo, está descrito mais abaixo.

· Nenhuma impressão de navegador

Não mantemos o registro completo que seu navegador envia a cada visita. Extraímos dele um rótulo de dispositivo legível no momento da conexão, “Firefox · Windows”, e descartamos o restante sem registrá-lo.

O que nos incomoda

Cinco reservas
que devemos a você.

Uma página de privacidade que só contém boas notícias é uma página de publicidade. Aqui estão os pontos em que nossa posição é menos nítida, e o que fazemos a respeito.

Só guardamos a chave privada de um túnel até você instalá-lo. O servidor cria a configuração do seu túnel, portanto conhece a chave privada nesse momento. Assim que o túnel está instalado no seu aparelho, o servidor apaga essa chave e guarda apenas a chave pública de que precisa para deixar você passar. O que isso significa honestamente: entre o pedido e a instalação, alguém que obtivesse a base de dados poderia se passar por esse aparelho diante do nosso servidor. Depois da instalação não resta nada a levar. O que isso nunca permitiu, em momento algum: ler tráfego passado nem entrar nos seus aparelhos. O preço dessa escolha é seu: não podemos reenviar uma configuração, porque não a temos mais. Se você perder o arquivo, revogue o aparelho na sua área e instale um novo, o que leva um minuto e não consome um aparelho a mais.

Enquanto você está conectado, a máquina vê seu tráfego passar. É isso que é um túnel: seus pacotes passam pelo nosso servidor, senão não haveria saída. Nosso compromisso é sobre o que registramos, não sobre uma impossibilidade física. Quem afirma o contrário está mentindo para você. É também a razão de ser do seu nó: nas operações em Bitcoin, o único modelo sólido é aquele em que você não precisa confiar em nós.

Não controlamos nossos provedores de hospedagem. Nossos servidores são alugados. O locador vê o volume total de tráfego da máquina e conhece seu endereço, como qualquer fornecedor. Escolhemos provedores de hospedagem e jurisdições levando isso em conta, mas não podemos prometer o comportamento de terceiros. É por isso que nossas saídas estão distribuídas entre várias empresas sem relação entre si: uma falha ou uma ordem judicial contra uma delas afeta suas máquinas, não as das outras. Não vamos chegar a escrever que nenhuma autoridade pode alcançar o conjunto, várias das nossas saídas ainda compartilham um mesmo provedor de hospedagem, e uma decisão contra ele as afetaria juntas. Substituir uma saída perdida leva alguns dias, o tempo de alugar uma máquina em outro lugar e testá-la antes de abri-la. Preferimos escrever isso para você em vez de deixar você deduzir.

O servidor do site mantém por duas horas um registro que traz seu endereço. Isso não afeta os túneis, apenas as solicitações que chegam a estas páginas web. Ele existe para que uma ferramenta de defesa reconheça e bloqueie uma máquina que ataca o site, o que é impossível sem ver de onde ela vem. Ele é apagado a cada hora e mantém apenas uma geração: no máximo duas horas de vida, nunca uma cópia, nunca um backup. É o único lugar da instalação onde um endereço é registrado, e preferimos escrever isso para você do que deixar você acreditar em uma pureza que não existe.

Nossos e-mails passam por um provedor. O link de acesso, a confirmação de pagamento e a configuração são enviados por um serviço de envio terceiro, que por isso vê seu endereço de e-mail e o conteúdo da mensagem. Isso vale para qualquer envio de e-mail. Se isso incomodar você, abra sua conta com um endereço dedicado que não revele nada sobre você: é a única coisa que pedimos a você, e ele pode ser tão anônimo quanto você quiser.

Requisições

O que entregaríamos
se fôssemos obrigados.

A pergunta honesta não é “vocês vão resistir?”, mas “o que vocês têm para entregar?”.

Somos uma empresa, não uma causa: mediante requisição válida de uma autoridade competente, cumpriremos a lei. O que o dossiê entregue conteria é, portanto, exatamente a primeira lista desta página: um endereço de e-mail, um plano, datas, pagamentos, volumes em bytes. Nada que se pareça com um histórico de navegação, porque ele não existe.

É essa a vantagem de registrar pouco. Uma política de privacidade protege você enquanto a empresa se mantém firme e cumpre sua palavra. Uma base de dados que não contém a informação protege você também no dia em que a empresa mudar de mãos, tiver suas máquinas apreendidas, ou tiver seus backups roubados.

Um limite que não podemos contornar. Uma requisição também pode exigir não o que já temos, mas que comecemos a registrar o que não registramos, para uma conta especificada e a partir daquele momento. Nenhum fornecedor no mundo pode prometer escapar disso, e desconfie de quem afirma o contrário. Nossa única resposta honesta: não construímos uma ferramenta para fazer isso, e no dia em que fôssemos obrigados a adquirir uma capacidade de vigilância permanente, encerraríamos o serviço em vez de continuar vendendo esta página.

A NodeCove não foi feita para contornar uma obrigação legal. Ela foi feita para que a privacidade das suas finanças não seja, por padrão, um assunto de todo mundo.

Um nó privado e suas conexões se dissolvendo na escuridão

Registro das remoções

O que já removemos,
e quando.

Mantemos este registro porque uma promessa verificável vale mais do que uma promessa elegante. Cada linha é um lugar onde mantínhamos algo que não deveríamos ter mantido.

Data	O que desapareceu	Por quê
Setembro de 2026	A impressão de endereço das sessões	Registrávamos uma impressão do seu endereço de conexão combinada a um identificador de dispositivo. Como esse identificador ficava armazenado na mesma linha, a impressão podia ser revertida em poucos segundos: ela não era anônima. Além disso, ela nunca era relida pelo nosso código. O cálculo foi removido e a coluna, destruída.
Setembro de 2026	Duas colunas de endereço e de navegador, que permaneceram vazias	Nossa tabela de sessões previa registrar o endereço de conexão e o registro completo do navegador. Elas nunca foram preenchidas, mas a mera presença delas convidava alguém, um dia, a preenchê-las. Nós as destruímos em vez de contar com a disciplina.
Setembro de 2026	Uma coluna chamada “impressão de dispositivo”	Prevista desde o início do projeto, nunca escrita por nenhum código, nunca preenchida. Um campo com esse nome na tabela de clientes é exatamente o que nos seria criticado, e com razão. Destruído.
Setembro de 2026	O histórico detalhado das medições de tráfego	Fazíamos leituras dos contadores de cada dispositivo em intervalos regulares, e nada apagava essas leituras. Somadas ao longo de anos, elas desenham seus horários de conexão. O total mensal já basta para a cota: o detalhe agora é apagado automaticamente após 40 dias.
10 de setembro de 2026	Um registro de pacotes que permaneceu ativo em oito saídas	Ao verificar nossas próprias máquinas uma por uma, descobrimos que uma regra de firewall, escrita para ajustar o modo de contorno, registrava no log do sistema o endereço interno do túnel e o destino dos pacotes recusados. Ela tinha permanecido ativa em oito das dez saídas, com um registro permanente e nenhuma limpeza. Não a encontramos porque alguém reclamou: nós a encontramos procurando. A regra foi removida, o registro voltou a ser apenas em memória, o segundo serviço de registro foi bloqueado, os vestígios existentes foram destruídos, e uma limpeza horária foi instalada nas dez máquinas.
10 de setembro de 2026	As impressões de endereço dos cliques de indicação, mantidas sem limite	A impressão que descarta duplicatas de um link de indicação permanecia na base indefinidamente, por falta de uma data de expiração prevista. Agora ela é destruída após trinta dias, pela mesma limpeza noturna que apaga a medição de audiência.

O que vemos
de você.

Doze linhas, nem uma a mais.

O que não existe em
nenhum lugar em nossa empresa.

Cinco reservas
que devemos a você.

O que entregaríamos
se fôssemos obrigados.

O que já removemos,
e quando.

Não podemos entregar o que nunca escrevemos.

Doze linhas, nem uma a mais.

O que não existe emnenhum lugar em nossa empresa.

Cinco reservasque devemos a você.

O que entregaríamosse fôssemos obrigados.

O que já removemos,e quando.

Não podemos entregar o que nunca escrevemos.

O que não existe em
nenhum lugar em nossa empresa.

Cinco reservas
que devemos a você.

O que entregaríamos
se fôssemos obrigados.

O que já removemos,
e quando.