Documento
Só um e-mail, que serve para entrar e recuperar a conta. Nem telefone, nem documento, nem data de nascimento. A maioridade é declarada por você, e fica só a declaração. Sem anúncios, sem venda de dados, sem rastreadores de terceiros.
Suas conexões com o Trivo são cifradas (TLS). As conversas diretas podem ligar a criptografia de ponta a ponta: com ela ativa, o Trivo guarda só o texto cifrado e não tem chave para abrir — nem as mensagens, nem a chamada de voz e vídeo daquela conversa. A chave privada nasce e mora no seu aparelho e nunca chega aos nossos servidores.
As mensagens de servidores (canais) NÃO são de ponta a ponta, de propósito: ficam acessíveis ao Trivo para permitir moderação, histórico e denúncia. Elas são protegidas por controle de acesso, TLS e criptografia em repouso — mas o sistema consegue lê-las, e nunca chamamos isso de E2EE.
Um servidor pode instalar Apps escritos por outras pessoas. Quando isso acontece, o App passa a receber o que acontece nos canais que ele alcança — e quem instalou é que decide quais cargos ele tem, porque o App nunca enxerga mais do que esses cargos permitem.
A lista abaixo é gerada do mesmo catálogo de classes de dado que o código usa — quando o sistema muda, esta página muda junto. A exclusão de conta ainda não tem botão; o destino de cada dado já está decidido no banco, e é o que está escrito aqui.
Uma imagem de perfil que a moderação do Trivo tirou do ar. O arquivo sai do caminho público e fica num depósito que nenhuma tela alcança, como prova do que foi tirado.
Apelido, nome de exibição, bio, foto e capa, e-mail, a derivação da senha (argon2id, que não volta atrás), o registro do aceite dos termos e a declaração de maioridade.
Cada login vira uma sessão: só a derivação do token (nunca o token), quando foi criada e usada, e um rótulo grosso do aparelho, tipo Chrome no macOS — o user-agent inteiro é descartado.
As mudanças sensíveis da sua conta — troca de apelido, de senha, de e-mail — que só você lê, em Ajustes. Sem senha, token nem e-mail inteiro no texto.
O que você escreve nos canais de servidores, com as menções e reações. Não são de ponta a ponta, de propósito: moderação, histórico e denúncia precisam alcançá-las.
As conversas entre duas pessoas. Com a criptografia de ponta a ponta ativa, o servidor guarda só o texto cifrado e não tem chave para abrir.
As imagens enviadas em mensagens de canal, com medidas e tipo verificados no envio.
Só o lado PÚBLICO das chaves de cada aparelho e os envelopes cifrados que distribuem as chaves de conversa. A chave privada nasce e mora no seu aparelho e nunca chega aos servidores.
Quem iniciou uma chamada de conversa direta, quando, e quanto durou — é o que desenha a linha Chamada de voz no histórico. O áudio e o vídeo em si nunca são gravados.
Pedidos e vínculos de amizade, e quem você bloqueou. Quem você bloqueia não é avisado.
De quais servidores você faz parte, os cargos que recebeu, e a organização pessoal que só você vê: pastas e ordem da coluna de servidores, e as preferências de notificação (nível de aviso, silêncio, supressão de @everyone) por servidor e por canal.
Até onde você leu cada canal e cada conversa direta — uma marca por conversa, substituída a cada leitura. Não é histórico de navegação: só a última posição existe.
Quem está online e quem está digitando agora. Vive na memória do servidor, nunca no banco — só o status que você declarou (disponível, ausente, não perturbe, invisível) fica na conta.
As denúncias feitas e recebidas, com a evidência copiada no ato da denúncia — apagar a mensagem original depois não apaga o que a moderação precisa avaliar.
O registro do que a moderação de cada servidor fez (expulsões, banimentos, mudanças de canal e cargo), os banimentos em si e os cortes de voz.
Sanções aplicadas pela equipe do Trivo — a contas e a servidores —, as retenções (holds) de moderação ou de obrigação legal — a marca de que um conteúdo específico não pode ser destruído enquanto um caso estiver aberto — e as regras de moderação preventiva que a equipe mantém (os termos e o que cada um faz).
Cada ação da equipe do Trivo pelo painel — quem fez, o quê, quando e por quê. Inclusive as recusadas.
Contagens curtas de uso (quantas mensagens, quantos logins, quantos uploads na janela) que seguram spam e força bruta, e a marca de qual aviso do servidor de chamadas já foi processado — é ela que impede o mesmo aviso de valer duas vezes.
Os tokens de confirmar e-mail e recuperar senha (só a derivação, uso único, com validade) e o pedido de troca de e-mail à espera das duas confirmações.
Quando você entra no aplicativo do Trivo, ele abre uma entrada no site e você confirma com um clique no navegador. Ficam guardadas só as derivações do segredo do aplicativo e do código temporário que conclui a entrada, com o endereço e o tipo de aparelho de onde ela partiu — nunca o código em si, nunca o segredo, nunca a sua senha.
Quando você troca de apelido, o antigo fica 14 dias fora do balcão — para ninguém assumir sua identidade no minuto seguinte.
A estrutura dos servidores que você cria: canais, categorias, cargos, convites, quem enxerga cada canal restrito e os Apps instalados. É estrutura compartilhada — dela dependem todas as pessoas do servidor.
As insígnias que você recebeu, códigos que resgatou, planos e assinaturas, os selos de verificação e as chaves de recurso do produto.
As mensagens que o próprio Trivo manda — avisos de produto, manutenção, novidades. O conteúdo é escrito pela equipe, existe uma vez no servidor e NÃO é de ponta a ponta: é mensagem do Trivo para você, não conversa entre pessoas. Do seu lado, só a marca de quando cada comunicado chegou e foi lido.
Os Apps que você cria como desenvolvedor — nome, descrição, avatar, o endereço para onde o Trivo entrega as interações —, os comandos que cada um registra e a credencial de acesso de cada um. Um App não é uma conta: não tem senha, e-mail nem login. Da credencial, o servidor guarda só uma impressão (hash) que não volta atrás: o token aparece uma única vez, quando é gerado, e nem a equipe do Trivo consegue recuperá-lo.
Quando você aciona um comando, um botão ou um formulário de um App, o que você digitou vai para o App e fica guardado só enquanto ele tem prazo para responder. Ao lado, e separado, fica o registro técnico da ENTREGA — por onde ela saiu, quanto demorou, se deu erro —, que não guarda nada do que você escreveu.
Cada login cria uma sessão própria, que aparece na sua tela de dispositivos conectados. Dá para encerrar uma sessão específica ou sair de todos os outros dispositivos de uma vez — na hora, inclusive para as conexões em tempo real. Dúvidas sobre as regras de uso? Estão nos termos.
