01Cifrado antes de sair do dispositivo
Os textos, os metadados próprios do conteúdo (como títulos ou etiquetas) e os anexos são protegidos localmente antes de serem guardados ou sincronizados. O CloudKit e a infraestrutura AAK recebem esse conteúdo já cifrado, não o original legível. Os metadados operacionais não estão cobertos pela cifragem de ponta a ponta aplicada ao conteúdo, embora a infraestrutura os proteja durante a transmissão e o armazenamento — o detalhe está na nossa Política de Privacidade.
02Chaves separadas por espaço e conteúdo
A hierarquia Root Key → Space KEK → Item Key → DEK compartimenta o Legacy. Cada um dos cinco espaços tem material criptográfico próprio e cada item a sua chave, limitando o impacto de uma falha isolada.
03Keychain, Secure Enclave e Face ID
O material sensível do dispositivo é guardado através do Keychain do iOS. A Apple documenta proteção AES-256-GCM e acesso mediado pelo Secure Enclave para os segredos do Keychain. O Face ID ou o código autoriza localmente: a AAK não recebe nem guarda dados biométricos.
04A Apple separa identidade e sincronização
O Sign in with Apple autentica a conta, mas o identificador interno da AAK permanece separado das chaves do Legacy. A cópia cifrada do proprietário sincroniza-se na sua base CloudKit privada, num contentor isolado para a app.
05Infraestrutura AAK e Cloudflare
O backend trata apenas os dados operacionais necessários, verificações e pacotes de entrega já cifrados. O Cloudflare D1 acrescenta AES-256-GCM em repouso e TLS em trânsito. É uma camada adicional; o Zero Knowledge não depende dela.
06Guardiões sem acesso, destinatários limitados
A ativação exige verificação distribuída: nenhum guardião pode decidir ou ler sozinho. Cumprido o processo, cada destinatário só pode receber o pacote cifrado que o proprietário lhe atribuiu.
07Recuperação sem porta traseira
O Recovery Kit contém um segredo aleatório de 256 bits criado no dispositivo. A AAK não guarda uma cópia utilizável. Assim, o proprietário pode recuperar o acesso, mas a AAK, a Apple e o suporte não conseguem contornar a proteção.
08Enquadramento europeu, afirmações verificáveis
O AAK Legacy é concebido e gerido a partir de Espanha segundo os princípios do RGPD. Verificámos diretamente na configuração real de produção que as bases de dados da Cloudflare D1 são executadas na região WEUR (Europa Ocidental) sem qualquer parâmetro de «jurisdiction» configurado: segundo a documentação oficial da Cloudflare, isso torna a região uma preferência de desempenho, não uma garantia jurídica de residência exclusiva na UE. A Apple, a Cloudflare, a Stripe Identity e a Resend declaram publicamente recorrer a Cláusulas Contratuais-Tipo (e, quando aplicável, ao Data Privacy Framework UE-EUA) para as suas transferências internacionais; o detalhe fornecedor a fornecedor está na nossa Política de Privacidade.
