Privacidade

Quem o mantém

O Castarot é mantido por uma só pessoa, em privado. Não há empresa por trás. Para qualquer coisa deste documento — incluindo um pedido para apagar ou exportar os teus dados — escreve para [email protected].

O que fica guardado

A pergunta que escreves. As cartas que saíram e em que sentido. A leitura escrita para ela. Cada pergunta seguinte e a resposta. Se deixaste um eco, aquilo que depois anotaste como tendo acontecido de facto, e a resposta da leitora. A leitora e a tiragem que escolheste, e a língua da página.

Se entrares na conta, mais uma coisa: o teu endereço de e-mail, o momento em que foi confirmado, a língua a partir da qual entraste e — só se escolheres uma — que carta tomaste como a tua marca. Sem nome, sem perfil, sem palavra-passe.

A pergunta e o resultado são a parte sensível — texto livre sobre a tua própria situação, onde talvez tenhas escrito algo que não querias guardado. É por isso que o comando de apagar os tira na hora, e é por isso que, nas leituras sem conta, são a primeira coisa a ser esvaziada quando o prazo se cumpre.

Entrar deixa um rasto próprio, curto e à parte das leituras. A ligação de uso único fica apenas em forma de resumo e é deitada fora uma semana depois de expirar. A mensagem que a levou guarda o texto uma semana; depois esse texto é esvaziado e a linha desaparece ao fim de noventa dias. As tentativas de entrada são contadas durante trinta dias para que ninguém possa martelar a porta, e uma tentativa recusada fica anotada, com o endereço de onde veio, durante noventa dias. Nada disto serve para mais nada.

Há mais uma coisa a ser contada, e não fala de ti. Quando escolhes uma música de fundo, o sítio soma 1 a um total para aquela faixa, aquele dia e aquela língua de página. É um número, não um registo: nada o liga a ti, ao teu cookie ou a qualquer leitura, por isso não há ali nada para consultar nem nada para apagar. A tua escolha fica só no teu navegador.

Pagar acrescenta duas coisas e mais nada. Uma é a conta da areia: quanta entrou ou foi gasta, quando, e para que leitura foi. A outra é um único número de referência que a Stripe te dá como cliente, para que uma compra posterior ou um cancelamento caiam na mesma pessoa. O cartão não está entre elas, nem a morada de faturação — nenhum dos dois chega a este sítio.

O que não fica guardado

Sem palavra-passe. Entra-se por uma ligação de uso único enviada para o teu endereço, por isso não há nada para roubar nem nada para reutilizar. Sem nome, sem perfil, sem fotografia. Sem dados de cartão nem morada de faturação: o cartão é tratado pela Stripe nas páginas dela e nunca chega a este sítio. Sem estatísticas de terceiros: este sítio não carrega um único script alheio, por isso não há Google Analytics, nem Clarity, nem pixel publicitário.

O teu endereço IP não é escrito na base de dados por nada do que tires ou escrevas. A única exceção é a maquinaria de entrada, descrita acima: as tentativas são contadas por endereço para que não se possa martelar a porta, e uma tentativa recusada fica anotada com o endereço de onde veio. Ambas se limpam sozinhas nos prazos indicados. Fora isso, um endereço aparece por pouco tempo no registo do servidor, como em qualquer servidor web, e é usado no momento do pedido para confirmar por DNS inverso se um visitante que se diz rastreador de pesquisa o é mesmo. O registo de rastreador que fica guarda apenas o agente do utilizador, o caminho e a língua — não o endereço.

Quem és aqui

Sem conta, este navegador é a tua identidade. Na primeira tiragem, o sítio põe um id aleatório num cookie chamado cst_a. Não contém nada sobre ti — existe só para que uma leitora reconheça que duas leituras vêm da mesma pessoa. O cookie é http-only, só vai por https, não é partilhado com outros sítios e dura um ano.

Isto corta para os dois lados, e vale a pena saber antes de contar com ele: noutro navegador, noutro aparelho, ou depois de limpares os cookies, aqui és outra pessoa. As tuas leituras anteriores não desaparecem, mas já nada te consegue ligar a elas — o que também quer dizer que desse lado não podem ser apagadas.

A conta é a saída. Entra e a identidade passa a ser o endereço: as leituras já feitas nesse navegador mudam-se uma vez, e daí em diante o mesmo historial segue-te em qualquer aparelho onde entres. A sessão vive num segundo cookie, cst_session, que é assinado e não guardado, e dura trinta dias.

Quem mais lhe toca

A leitura é escrita por um modelo de linguagem grande da DeepSeek. Para a produzir, a tua pergunta, as cartas e as instruções da leitora seguem para a API da DeepSeek. Se preferires que um terceiro nunca veja uma pergunta em concreto, não a escrevas — tira sem pergunta; uma leitura aberta funciona.

A base de dados é o Neon, alojado na AWS em Singapura. O sítio corre num servidor ConoHa no Japão, atrás da Cloudflare, que vê os pedidos a passar. O correio de entrada sai pelo Amazon SES em Tóquio, que vê o endereço para onde entrega. Se comprares areia, a Stripe recebe o pagamento e vê o teu cartão e os dados de faturação. A lista é esta.

Quanto tempo fica

Com conta, aquilo que escreveste fica até tu o tirares. Nada expira por temporizador, porque tens como ir buscá-lo de volta — o comando de apagar aqui em baixo e um endereço para onde escrever.

Sem conta é ao contrário, e de propósito: ao fim de 180 dias, a pergunta, a leitura, as perguntas seguintes e o resultado são esvaziados. Quem não tem conta não consegue voltar mais tarde para os retirar, por isso o sítio fá-lo em seu lugar. A linha em si fica — que cartas saíram e quando é o que permite a uma leitora dizer «esta volta a ti pela terceira vez», e essa parte não é privada da mesma maneira.

Isto não é uma frase escrita para parecer responsável. Corre num temporizador no servidor, e a cada passagem é impresso quantos registos continuam fora de prazo. Na última passagem esse número foi zero.

Apagar

Com sessão iniciada, o comando está no fundo da tua própria página. Remove a conta, tudo o que foi escrito por baixo dela, o próprio endereço e as anotações que a maquinaria de entrada tinha guardado. Mostra-te primeiro quantas coisas são, pergunta uma vez e depois apaga — de imediato, não numa fila.

Sem conta, o mesmo tipo de comando está na página Sobre e remove tudo o que está guardado para este navegador: cada leitura, cada pergunta seguinte, cada eco. O id do cookie é largado ao mesmo tempo, por isso a leitura seguinte começa do zero.

Nenhum dos dois se desfaz. Se preferires ter uma cópia antes, ou se perdeste o navegador que levava o id, escreve para [email protected].

Apagar a conta também acerta o dinheiro. A subscrição é cancelada para que não volte a ser cobrado nada, e um plano anual é devolvido pelos meses inteiros que ainda não te tinham sido entregues. Se alguma dessas coisas não puder ser concluída, a eliminação pára e dizemos-te porquê — é melhor continuares a existir aqui do que seres apagado enquanto uma cobrança continua a correr. Uma coisa fica: o registo do que foi pago permanece na Stripe, porque a lei obriga a guardar contas. Esse registo é um recibo; não tem nada das tuas perguntas nem das tuas leituras.

Os teus direitos

Se estás no EEE ou no Reino Unido, o RGPD dá-te o direito de ver o que está guardado, corrigir, mandar apagar, limitar ou opor-te ao uso e levar uma cópia para outro lado. Se estás na Califórnia, a CCPA dá-te direitos equivalentes, e este sítio não vende nem partilha informação pessoal no sentido dessa lei. A base legal para conservar uma leitura é o interesse legítimo em que o sítio funcione como diz que funciona — uma leitora que se lembra; quanto à conta, é o acordo que fechas ao entrar. Tudo isto se exerce pelo comando de apagar ou escrevendo para [email protected]. Não custa nada, e não é preciso conta para perguntar. Também podes reclamar junto da autoridade de proteção de dados do teu país.

Idade

Este sítio não é para menores de 13 anos, nem abaixo da idade mínima mais alta que o teu país fixe, se fixar alguma. Com menos de 18, usa-o com autorização de um pai, mãe ou tutor. Se algo aqui foi escrito por uma criança, diz-me e eu removo.

Alterações

Esta página muda quando o sistema muda, não ao contrário. A data lá em cima diz quando foi verdadeira pela última vez. Se mudar algo de fundo — um novo subcontratante, uma conservação mais curta ou mais longa, mais alguma coisa guardada — a data mexe-se e a secção diz o que mudou. Perguntas: [email protected].