# O acordo, e o que o sustenta

> Um cliente de correio para computador com uma bateria que defines tu: baixa-a e a caixa de entrada estreita, as notificações esperam, e a tua janela de anulação alarga. Cifrado na tua própria máquina. Beta privada em macOS.

As credenciais vão do dispositivo para o fornecedor e ficam por aí. Um armazenamento SQLCipher e um índice de pesquisa cifrado em repouso. Consentimento de IA por funcionalidade e por conta. Qualquer mensagem se exporta como .eml. Sem publicidade, sem analítica, sem pixéis de rastreio. O preço está por decidir, e nunca se promete «vitalício».

Porquê confiar num cliente feito por uma pessoa?

Pela minha palavra? Não devias — e esta página não to pede. Cada promessa abaixo nomeia o mecanismo que a faz cumprir: para onde vai a tua palavra-passe, o que um modelo pode tocar, como sais, e como isto é pago. O que não está publicado não está nesta página.

## Os compromissos

### A tua palavra-passe

Desta máquina para o teu fornecedor, e fica por aí — guardada no porta-chaves do sistema, ou num ficheiro cifrado que só a tua conta abre. Os clientes que a fazem passar por uma nuvem própria guardam lá também uma cópia do teu correio; aqui não há nada por onde a fazer passar.

### O armazenamento

O teu correio é um ficheiro SQLCipher no teu próprio disco. A chave está no teu porta-chaves, ou atrás de um envelope Argon2id que a tua frase-passe abre — e o índice de pesquisa está cifrado em repouso com uma chave derivada dessa mesma.

### O que um modelo pode tocar

Nada, até ligares um. O consentimento é por funcionalidade e por conta, em três níveis — completo, só o envelope, ou desligado, em que desligado significa que nenhum modelo lê essa conta de todo. Apertá-lo apaga o que já tinha sido derivado; uma conta que acrescentes começa no completo.

### Quando sai

Mandar uma conversa a um fornecedor que configuraste levanta um aviso que o nomeia, uma vez por conversa. O teu próprio rascunho e os teus próprios termos de pesquisa não o levantam — essas são palavras tuas, não do teu correspondente.

### O que um agente pode fazer

Ler, pesquisar, arquivar e escrever rascunhos. O envio está desligado até o concederes, e a recusa acontece em Rust, não na interface. Cada ação fica num registo de auditoria com um Reverter ao lado; as duas sem retorno — um rascunho e um envio — recusam em vez de fingir.

### A saída

Qualquer mensagem se escreve como .eml a partir dos bytes que chegaram, e di-lo no seu próprio cabeçalho onde esses não foram guardados. O correio volta a entrar a partir de mbox e .eml. Não há botão para exportar a caixa inteira: o armazenamento já é um ficheiro que tens.

### Nada está a observar

Sem publicidade, sem analítica, sem telemetria. As imagens remotas ficam bloqueadas até autorizares o remetente, os pixéis de rastreio são retirados mesmo para remetentes autorizados, e nada do que envias leva um. Os relatórios de falhas estão desligados até os ligares, e o único endereço que alcança sozinho e que não é o teu fornecedor é o GitHub, a perguntar por atualizações.

### O que fala

IMAP com CONDSTORE e QRESYNC, JMAP com push e Sieve do lado do servidor, Gmail pela sua própria API, Microsoft 365 por Graph, POP3. O OpenPGP assina e cifra nos dois sentidos, indo buscar chaves ao próprio domínio do teu correspondente. O S/MIME só lê — verifica e decifra, e nunca assina.

### A parte que podes ler

O modelo de capacidade em que a bateria corre é o @kumbatio/energy-system — MIT, no npm e no GitHub, por isso o que decide quando o teu correio fica retido é legível. O cliente em si não é de código aberto: ainda não foi escolhida licença.

## Como isto é pago

### O preço

Por decidir. Não há nenhum número neste sítio, nenhuma tabela de planos e nada a pagar — a beta pede um endereço e mais nada.

### Já excluído

Nunca uma licença vitalícia — é a promessa que esta categoria quebra com mais frequência. Nunca uma barreira paga no adiamento, no envio diferido, na anulação, nas regras, na caixa unificada ou na pesquisa: cobrar por isso é cobrar-te por ser um cliente de correio.

### Não é pago por

Publicidade — não há código publicitário na aplicação. O teu correio — nenhum assunto, remetente ou corpo é mandado para outro lado que não o teu fornecedor. Revenda — não se recolhe nada que pudesse ser revendido.

### Se eu parar

O teu correio é um ficheiro SQLCipher no teu próprio disco com uma chave que tens, e cada mensagem se escreve num formato normal. Sair não exige em momento algum que eu ainda cá esteja. O que não vais ter é um plano de encerramento que não construí.

### O formulário desta página

Guarda o teu endereço, o que usas agora e o que detestas nisso. É essa a tabela toda.

## Páginas

This page as HTML: https://meltemi.email/pt/trust

- [A bateria](https://meltemi.email/pt/index.md): Diz-lhe quanto te resta.
- [Triagem](https://meltemi.email/pt/triage.md): A pilha, e encontrar seja o que for.
- [Envio](https://meltemi.email/pt/sending.md): Também és remetente.
- [Privacidade](https://meltemi.email/pt/privacy.md): Teu, e continua teu.
- [Pedir acesso à beta](https://meltemi.email/pt/beta.md): macOS · sem conta · sem cartão

## Idioma

- [English](https://meltemi.email/trust.md)
- [Ελληνικά](https://meltemi.email/el/trust.md)
- [Français](https://meltemi.email/fr/trust.md)
- [Deutsch](https://meltemi.email/de/trust.md)
- [Español](https://meltemi.email/es/trust.md)
- [Italiano](https://meltemi.email/it/trust.md)
- [العربية](https://meltemi.email/ar/trust.md)