oversharingmuch?

Como avaliamos

Cada nota deste site é calculada, nunca digitada à mão. Reunimos fatos documentados sobre uma empresa, como uma multa de um regulador, um recurso de criptografia ou uma ordem judicial, e cada fato move uma categoria da nota para cima ou para baixo. Os números abaixo vêm diretamente do código que calcula as notas, então esta página não tem como ficar desatualizada.

O que conta como evidência

  • Uma afirmação, um fato. Cada evidência é uma única frase factual com data.
  • Sempre com fonte. Cada afirmação tem link para pelo menos uma fonte. Fontes primárias (decisões de reguladores e tribunais, as políticas da própria empresa, relatórios de transparência e posts de blog) contam integralmente. O jornalismo de qualidade conta um pouco menos.
  • Arquivada. Sempre que possível, linkamos uma cópia da Wayback Machine, porque as políticas de privacidade mudam sem alarde.
  • Problemas corrigidos ainda contam, mas menos. Um vazamento que foi corrigido aconteceu mesmo assim, mas pesa menos do que um que continua em curso.

O que não fazemos

  • Não aceitamos dinheiro, anúncios nem links de afiliados das empresas que avaliamos.
  • Em geral, não damos nota separada aos produtos. A confiança é uma propriedade da empresa: o mesmo conjunto de dados, a mesma política de privacidade e a mesma exposição legal. Os apps aparecem sob a empresa, com uma observação quando um deles é claramente melhor ou pior. A exceção é um produto que concorre em uma categoria em que o restante das evidências da empresa não se aplica, como o Proton VPN entre as VPNs. Ali ele recebe uma nota própria, construída com as evidências sobre a empresa inteira mais as evidências sobre aquele produto, para que o e-mail criptografado não eleve a avaliação de uma VPN.
  • Não chutamos. Se não temos evidências para uma categoria, ela fica de fora em vez de ser presumida boa ou ruim.

A fórmula

  1. Cada categoria começa em 50, uma nota neutra.
  2. Cada evidência soma ou subtrai pontos conforme sua gravidade, multiplicados pelo peso da sua melhor fonte.
  3. Problemas que a empresa corrigiu ainda contam, com 50% dos pontos.
  4. Se uma empresa não consegue ler seus dados, há menos para vazar ou entregar. As evidências negativas sobre pedidos de governos, jurisdição e histórico são reduzidas em até 50%, na proporção da nota em "Eles conseguem ler seus dados?".
  5. Os pontos são convertidos para a escala de 0 a 100 com uma curva: cada fato conta, mas cada fato extra move a nota um pouco menos, de modo que uma categoria nunca bate em um piso ou teto fixo.
  6. A nota geral é a média ponderada das categorias que têm evidências.
  7. Uma empresa precisa de evidências em pelo menos 6 das 9 categorias antes de publicarmos uma nota.

Categorias e pesos

CategoriaPeso
Eles conseguem ler seus dados?
Se o seu conteúdo tem criptografia de ponta a ponta ou de acesso zero, de modo que a própria empresa não consiga lê-lo.
20%
Modelo de negócio
Como a empresa ganha dinheiro. Modelos baseados em publicidade e compartilhamento de dados recompensam coletar mais sobre você.
15%
Histórico
Vazamentos, escândalos e multas de reguladores, e como a empresa reagiu.
13%
Pedidos de governos e da Justiça
O que a empresa entrega à polícia, aos tribunais e aos governos, e se ela contesta ou divulga esses pedidos.
12%
Coleta de dados
Quanto a empresa coleta, incluindo o rastreamento fora dos próprios produtos.
10%
A IA e suas conversas
Se seus chats, publicações e arquivos são usados para treinar IA, revisados por pessoas ou mantidos depois que você os apaga.
10%
Seu controle
Você consegue ver, exportar e apagar seus dados, e recusar sem interfaces enganosas?
8%
Transparência
Código aberto, auditorias independentes e relatórios de transparência.
6%
Jurisdição
As leis de qual país se aplicam, e quanto essas leis protegem você da vigilância.
6%

Gravidade

GravidadePontos
Leve±8
Moderada±15
Alta±30
Grave±50

Tipo de fonte

Tipo de fonteMultiplicador
Primária×1
Secundária×0.8
Outra×0.5

Guia de gravidade

Como decidimos quanto um fato pesa. A mesma regra vale para boas e más notícias, de modo que o mesmo tipo de fato tem sempre o mesmo peso.

Eles conseguem ler seus dados?
Leve ±8
Abrange metadados ou um recurso restrito.
Moderada ±15
Abrange um produto ou recurso, ou uma proteção que precisa ser ativada ou que é parcial.
Alta ±30
Abrange um produto importante ou a maior parte do seu conteúdo, como mensagens, backups ou arquivos.
Grave ±50
Abrange o serviço principal e quase todo o seu conteúdo, por padrão: ou com criptografia de ponta a ponta/acesso zero, ou legível pela empresa.
Modelo de negócio
Leve ±8
Produtos de publicidade pequenos ou secundários, anúncios que não usam seus dados pessoais, ou um compromisso limitado.
Moderada ±15
Alguns anúncios ou conteúdo patrocinado; ou salvaguardas estruturais, como propriedade sem fins lucrativos ou um compromisso público de não exibir anúncios.
Alta ±30
Um grande negócio de publicidade ao lado de outras receitas; ou, positivamente, financiado por usuários ou hardware, sem publicidade.
Grave ±50
A maior parte da receita vem de publicidade direcionada ou da monetização de dados dos usuários.
Histórico
Leve ±8
Um incidente pequeno, corrigido rapidamente, ou um incidente em um fornecedor com dados limitados.
Moderada ±15
Uma multa ou acordo menor, uma exposição limitada, ou uma mudança de produto que expôs dados de pessoas.
Alta ±30
Uma multa ou acordo de 100 milhões de euros ou dólares ou mais, dados de mais de 1 milhão de pessoas expostos, funcionários abusando do acesso a dados de usuários, ou um regulador proibindo o serviço.
Grave ±50
Uma multa ou acordo de 1 bilhão de euros ou dólares ou mais, dados de mais de 100 milhões de pessoas expostos, ou uso indevido deliberado de dados pessoais contra pessoas.
Pedidos de governos e da Justiça
Leve ±8
Uma única entrega de um pequeno metadado.
Moderada ±15
Uma entrega documentada de dados limitados, o abandono de uma proteção sob pressão de um governo, ou a resistência pública a uma exigência na Justiça.
Alta ±30
Ela consegue (ou não consegue) entregar o conteúdo dos seus dados: mensagens, arquivos, backups, chaves de criptografia ou registros de conversas em massa.
Grave ±50
A empresa não consegue entregar praticamente nada, mesmo obrigada; ou dá às autoridades, por projeto, acesso amplo ou em tempo real.
Coleta de dados
Leve ±8
Um pequeno dado adicional, como um número de telefone.
Moderada ±15
Coleta seu conteúdo mais os dados habituais de conta e dispositivo, ou um projeto que preserva a privacidade em um recurso específico.
Alta ±30
Coleta ampla ou sensível (localização, voz, biometria, teclas digitadas, navegação), ou uma coleta que uma auditoria independente comprovou ser mínima.
Grave ±50
Rastreia você em escala enorme em outros sites, em outros apps ou no mundo físico.
A IA e suas conversas
Leve ±8
Uma prática menor envolvendo IA e dados.
Moderada ±15
Treinamento com publicações públicas, um recurso de IA que expôs dados, ou uma opção de recusa, um chat temporário ou um plano sem treinamento.
Alta ±30
Suas conversas são usadas para treinamento por padrão, revisadas por pessoas ou mantidas por anos; ou uma IA projetada para que a empresa não consiga guardar seus dados.
Grave ±50
Suas conversas são usadas para anúncios ou treinamento sem possibilidade de recusa.
Seu controle
Leve ±8
Opções básicas de download ou exclusão.
Moderada ±15
Boas ferramentas para exportar e apagar seus dados, ou para usar o serviço sem fornecer dados pessoais.
Alta ±30
Um regulador concluiu que seu consentimento foi forçado, ou uma proteção em todo o sistema que bloqueia o rastreamento por padrão.
Grave ±50
Você não consegue ver, exportar nem apagar seus dados de forma alguma.
Transparência
Leve ±8
Publica periodicamente um relatório de transparência.
Moderada ±15
Publica cada pedido de governo e a resposta dada.
Alta ±30
Os apps são de código aberto ou auditados de forma independente.
Grave ±50
Tudo é de código aberto e auditado de forma independente, incluindo os servidores.
Jurisdição
Leve ±8
Uma proposta de mudança legal que poderia enfraquecer ou reforçar a proteção.
Moderada ±15
A lei dos EUA (como o CLOUD Act) pode obrigar o acesso, ou uma lei de privacidade forte, como o GDPR da UE ou a lei suíça, protege você.
Alta ±30
Funcionários em um Estado assim têm acesso regular aos dados.
Grave ±50
Os dados ficam em um Estado, ou a empresa responde a um Estado, onde as empresas precisam colaborar com serviços de inteligência e os tribunais não são independentes.

Níveis

  • 80–100Boca fechadaNão consegue ler seus dados nem se quisesse.
  • 60–79DiscretoColeta alguns dados, mas em geral os guarda para si.
  • 40–59FalanteConta mais sobre você do que você provavelmente gostaria.
  • 25–39IndiscretoSeus dados fazem parte de como ele ganha dinheiro.
  • 0–24Sem filtroTrata seus dados como se estivessem à disposição de todos.