Termos
de Uso

1. Quem somos

O coletivo é um ecossistema digital fechado, gerido coletivamente, concebido para proteger a comunicação, a identidade e os dados de ativistas, militantes, jornalistas, periféricos, pessoas LGBTQIAPN+, mulheres em risco, vítimas de abuso religioso e qualquer pessoa em situação de vulnerabilidade perante sistemas de poder e opressão.

Nascemos em 2025, no Brasil, de quem viu em tempo real a fusão entre igrejas evangélicas com poder institucional, braços dentro da polícia e do Congresso, e estruturas de vigilância digital voltadas a silenciar dissidência. Somos uma resposta técnica a uma ameaça real.

Somos independentes. Nenhum governo, investidor, anunciante ou autoridade detém qualquer influência sobre a infraestrutura mantida pelo coletivo nem sobre as decisões tomadas de forma coletiva. A infraestrutura é mantida de forma distribuída por membros e operadores em várias localidades — sem ponto único de falha e sem jurisdição singular que possa nos atingir.

Entendemos a tecnologia como infraestrutura de luta e resistência — não como produto de consumo. O coletivo age segundo princípios de propriedade coletiva, horizontalidade e abolição de hierarquias de acesso ao conhecimento digital.

2. Acesso e Elegibilidade

O coletivo não é uma plataforma aberta ao público geral. Esta posição evoluiu ao longo da nossa história recente e está documentada aqui de forma transparente.

Janeiro 2025 — Abertura total

O coletivo foi lançado como plataforma aberta a todos — qualquer pessoa podia criar conta mediante validação mínima. O princípio era de acesso universal à infraestrutura de resistência.

2025 — A infiltração

Durante a operação em modo aberto, identificámos operadores deliberados: perfis criados por estruturas religiosas, milícias digitais e agentes policiais com o objetivo de mapear membros, identificar ativistas LGBTQIAPN+ e jornalistas de investigação, e vazar identidades a grupos de extermínio. A abertura, sem confiança verificada, tornou-se uma armadilha para quem veio buscar proteção.

Março 2026 — Web of Trust (modelo atual)

O acesso passou a ser concedido exclusivamente por Web of Trust (WoT): um membro ativo, com identidade validada na rede, emite um token criptográfico que endossa o novo membro. Não existe cadastro aberto. Não existe formulário público. Existe confiança construída no mundo real — verificada e blindada no mundo digital.

Quem explicitamente não é admitido

O coletivo reserva-se o direito de recusar ou encerrar o acesso, sem aviso prévio ou recurso, a:

• Policiais militares ou civis em atividade, independente de cargo ou intenção declarada
• Pastores, líderes ou representantes de igrejas com mandato político ou braço armado
• Membros identificados de milícias digitais ou grupos de ódio religioso
• Jornalistas de veículos que financiam ou distribuem desinformação sistematizada
• Qualquer pessoa cujo objetivo identificado seja vigilância, mapeamento de membros ou extração de dados para terceiros

O membro que endossou uma conta comprometida por qualquer dos critérios acima tem a sua confiança na rede reavaliada pela comunidade.

3. O que armazenamos

Coletamos o estritamente necessário para o funcionamento da plataforma. Nada mais.

• Nome de usuário fornecido no registro
• Hash criptográfico da senha — nunca a senha em texto plano
• Secret TOTP do autenticador em dois fatores
• A chave pública de encriptação — nunca a chave privada, que existe só no teu dispositivo
• Uso de espaço de armazenamento no Drive (em bytes totais — sem nomear ficheiros, sem listar conteúdo)
• E-mail pessoal externo, apenas se fornecido voluntariamente, para recuperação opcional
• Preferências de notificação de segurança (alertas de login e pânico via Telegram/Discord) — armazenadas como flags binárias, sem associação a identidade externa

Não armazenamos conteúdo de mensagens do Pulse ou do Mail, metadados de comunicação, histórico de navegação, localização ou comportamento dentro da plataforma. O que existe nos nossos servidores relativo a comunicações privadas são bytes completamente ilegíveis, cifrados no dispositivo do remetente antes de saírem.

4. Pulse e Mail — encriptação ponta a ponta

O Pulse (mensagens diretas em tempo real) e o Mail (correio interno) funcionam com encriptação ponta a ponta obrigatória. A mensagem é transformada em dados ilegíveis no teu dispositivo antes de sair — usando RSA-OAEP 2048-bit para troca de chaves e AES-256-GCM por mensagem (Perfect Forward Secrecy: chave AES efémera e única a cada envio). O servidor recebe, armazena e retransmite apenas bytes cifrados via WebSocket — nunca lê conteúdo.

As chaves são geradas automaticamente no browser em 1-2 segundos quando necessário — sem configuração manual pelo utilizador.

Para o Pulse, implementamos o Círculo de Segurança: uma camada de redundância que permite alertas automáticos E2EE para vigias de confiança pré-selecionados via canais fora da rede NTXA (Telegram/Discord), ativados por sinal de pânico. O servidor não possui qualquer rastro técnico que ligue a tua identidade à dos teus vigias até que o gatilho seja acionado.

Responsabilidade do utilizador

A chave privada não é guardada no servidor. O utilizador é responsável por exportar e guardar o ficheiro de backup nas Definições. Se essa chave for perdida, o acesso às mensagens anteriores é irrecuperável — inclusive para nós. Se um novo par de chaves for gerado (ex: após trocar de dispositivo), as mensagens anteriores ficam permanentemente inacessíveis para ambas as partes. É o preço da privacidade real.

4-B. Drive — armazenamento soberano zero-knowledge

O Drive é o módulo de armazenamento pessoal de ficheiros. Opera segundo o princípio de conhecimento zero: o servidor nunca vê o conteúdo nem o nome real de nenhum ficheiro.

Antes de qualquer ficheiro sair do teu dispositivo, o browser executa automaticamente:

• Gera uma chave AES-GCM 256-bit exclusiva para aquele ficheiro
• Cifra o conteúdo do ficheiro com essa chave
• Cifra o nome original com a tua chave E2EE pessoal (RSA-OAEP 4096-bit)
• Envolve a chave AES com a tua chave pública RSA (key wrapping)
• Envia para o servidor apenas: blob cifrado, nome cifrado, IV e chave AES embrulhada

O servidor armazena ficheiros com nomes gerados por hash SHA-256 aleatório e extensão .ntxa. Se um agressor obtiver acesso físico ao servidor, encontrará apenas dados binários sem qualquer significado, impossíveis de associar a uma identidade ou conteúdo específico. O acesso direto ao diretório de storage está bloqueado por .htaccess.

Responsabilidade do utilizador

A perda da chave privada E2EE torna todos os ficheiros no Drive permanentemente inacessíveis — inclusive para nós. Não existe modo de recuperação. Exporta o teu backup de chaves nas Definições regularmente.

5. Feed — a praça pública imutável

O Feed é a praça pública do coletivo. Sem algoritmos, sem anúncios, sem curadoria invisível. É também a única área do NTXA onde exercemos moderação ativa — porque é um espaço partilhado e visível a todos os membros.

Posts são permanentes e verificáveis

Para publicar no Feed, é obrigatório ter as chaves E2EE ativas na sessão. O botão de publicação permanece desativado até que a chave privada esteja carregada e verificada no browser — sem chave, não existe publicação. Esta validação ocorre tanto no frontend (verificação via NTXAChaves.estaDesbloqueado()) como no backend (validação de chave_publica_rsa antes de aceitar qualquer POST).

Quando publicas no Feed, o teu browser assina o post criptograficamente com chave privada secp256k1 antes de o enviar. Cada post é encadeado por hash SHA-256 ao post anterior — qualquer adulteração quebra toda a corrente e torna-se matematicamente detectável. Em simultâneo, o evento é transmitido para relays da rede Nostr (protocolo NIP-01): mesmo que o coletivo caia, a prova criptográfica da tua voz continua existindo em servidores independentes fora do nosso controlo.

Posts publicados no Feed não podem ser editados nem apagados — nem pelo autor, nem por nós. Esta imutabilidade é técnica, não política: é uma garantia contra censura silenciosa, incluindo a nossa.

Para posts que não devem ser públicos, os Círculos de Seguidores aplicam E2EE (AES-256-GCM) ao conteúdo — imutável no servidor, mas apenas legível por quem aproves explicitamente. O controlo de acesso é teu, garantido pela criptografia.

Moderação no Feed

A moderação existe apenas no Feed e tem âmbito restrito: conteúdo que cause dano direto a pessoas reais. Dissidência política, crítica religiosa (incluindo crítica a igrejas evangélicas com poder institucional), expressão sexual entre adultos, conteúdo sensível — não é moderado com base nas leis de nenhum Estado. A moderação é exercida por pessoas eleitas pela comunidade, não por algoritmos.

6. Cofre — credenciais, 2FA e notas

O Cofre é o módulo unificado de gestão de segredos pessoais: passwords, códigos TOTP e notas privadas. Todos os dados são cifrados localmente com RSA-OAEP 4096-bit antes de qualquer transmissão — o servidor armazena apenas bytes ilegíveis.

O funcionamento assenta numa chave mestre que existe exclusivamente na tua mente, nunca é enviada ao servidor, nunca é armazenada e nunca pode ser recuperada por nós.

Todos os pontos de entrada de dados sensíveis (Login, Cofre, Master Key) utilizam teclado virtual com disposição de teclas aleatorizada a cada acesso — neutralizando spywares e keyloggers de nível de sistema operacional que capturam toques físicos no teclado.

7. VPN — túnel soberano WireGuard

A VPN do NTXA é um túnel WireGuard exclusivo para membros — protocolo auditável publicamente, com superfície de ataque mínima e criptografia moderna. O tráfego passa pelos servidores do coletivo: ao contrário dos módulos E2EE, o tráfego de rede é visível na camada de transporte para a infraestrutura NTXA, mas nunca para terceiros, ISPs ou autoridades externas.

O kill-switch está integrado por design: se a ligação VPN cair por qualquer motivo, o tráfego é bloqueado por completo antes de expor o IP real. Não existe "momento de exposição" entre a queda da VPN e o bloqueio.

O que não registramos

Não mantemos logs de tráfego, histórico de ligações, destinos visitados ou qualquer registo de atividade dentro do túnel VPN. A única informação retida é o facto de um determinado membro ter uma ligação VPN ativa, necessário para gestão técnica da sessão.

7-B. Contatos — agenda E2EE

O módulo de Contatos é um gerenciador de contatos pessoal com encriptação ponta a ponta. Opera com a mesma arquitetura criptográfica do Mail, Pulse e Drive: todos os dados (nomes, telefones, e-mails, notas e grupos) são cifrados com RSA-OAEP no teu dispositivo antes de sair. O servidor armazena apenas bytes ilegíveis — sem acesso ao conteúdo, sem metadados de rede social, sem possibilidade de reconstituir a tua lista de relações.

A importação via CSV (compatível com exportações do Google Contacts) também é cifrada localmente antes de qualquer transmissão — cada registo importado é individualmente cifrado com E2EE. A busca funciona por decifração local, sem transmitir dados ao servidor.

8. Inexistência de Colaboração Estatal

O coletivo não reconhece a jurisdição de nenhum Estado sobre a nossa soberania digital. Ignoramos, rejeitamos e combatemos ativamente qualquer tentativa de interferência, pedidos de dados ou ordens de colaboração de governos, polícias ou tribunais — incluindo o Estado Brasileiro, onde nascemos.

Esta posição não é retórica. É técnica: a arquitetura E2EE zero-knowledge significa que, mesmo que quiséssemos colaborar, não existem dados legíveis para entregar. O que está nos nossos servidores é matematicamente ilegível sem as chaves privadas dos membros — que nunca tocam os nossos servidores.

Warrant Canary

Mantemos um Warrant Canary público e verificável em /canary. Enquanto o canary estiver ativo, nenhuma autoridade tocou na nossa infraestrutura, nenhuma ordem judicial foi recebida e nenhuma colaboração ocorreu. Se o canary for removido ou deixar de ser atualizado, o recado está dado — sem que precisemos dizer nada explicitamente.

Qualquer tentativa de intimidação ou coação estatal é tratada como um ato de agressão técnica e será denunciada publicamente através dos nossos canais de resistência.

9. Segurança da conta e Defesa Ativa

A autenticação em dois fatores (2FA/TOTP) é obrigatória. Além disso, implementamos múltiplas camadas de Defesa Ativa que aniquilam tentativas de invasão antes que ganhem tração.

Kill-Switch de Coação (Dual-Password)

O coletivo opera com lógica de senha dupla para proteção contra coação física ou estatal. A Senha Real concede acesso pleno ao sistema. A Senha de Coação, quando introduzida, executa imediatamente a eliminação de todos os dados privados (DMs, e-mails, cofres, chaves E2EE) e redireciona o agressor para uma conta visualmente normal, mas completamente vazia. A operação é instantânea e irreversível.

Alertas Soberanos de Login e Pânico

O membro pode configurar, de forma independente nas Definições, alertas para os seguintes eventos de segurança:

• Alerta de login — notificação instantânea via Telegram e/ou Discord a cada início de sessão na conta
• Alerta de pânico — notificação disparada quando o botão de pânico ou a senha de coação são ativados

Todas as notificações são enviadas sem endereço IP, sem localização e sem metadados de rede — o coletivo opera sob política de IP Zero desde março de 2026. O alerta informa o evento (acesso ou pânico) e o timestamp, nada mais. Os tokens de bot Telegram/Discord são armazenados cifrados e o coletivo não tem acesso às mensagens trocadas entre os bots e os canais do membro.

Hard RAM Erase

Em caso de inatividade prolongada ou ativação do sinal de pânico, as chaves criptográficas são expurgadas atomicamente da memória RAM. Esta operação impede a extração forense de hardware — mesmo que um agressor obtenha acesso físico ao dispositivo após a sessão, as chaves não existem mais em memória.

Blindagem contra Força Bruta

Após 5 erros consecutivos em Login, 2FA ou Master Key, a conta é bloqueada por 24 horas. O sistema responde com silêncio absoluto — sem mensagens de erro informativas que possam orientar o ataque.

Proteção CSRF e Session Binding

Todas as interações com as APIs são protegidas por tokens CSRF dinâmicos. Cada sessão é vinculada ao User-Agent de origem. Alterações súbitas de User-Agent sem aviso prévio resultam em terminação imediata da sessão.

Logout com Pânico

O logout pode ser ativado em modo de pânico (?panic=1). Neste caso, para além de encerrar a sessão, o sistema dispara automaticamente os alertas de pânico configurados via Telegram/Discord — se o membro tiver essa opção ativa nas Definições. É uma camada de alarme externo acionada no próprio momento da fuga.

Contra-Inteligência

Para os agentes que cumprem estritamente a lei, somos apenas silêncio e criptografia. Para os que usam a farda ou o cargo para extrapolar limites judiciais, o coletivo opera como uma armadilha ativa: mapeamos, identificamos e documentamos cada rastro de abuso técnico. Se agirem fora da legalidade para nos intimidar, a sua identidade e os seus métodos serão as próximas informações expostas pelo Coletivo. O medo mudou de lado.

10. Encerramento e Higienização de conta

Podes encerrar a tua conta a qualquer momento, diretamente nas Definições. Além do encerramento total, o membro pode optar pela Higienização Seletiva: apaga todo o conteúdo privado (DMs, Mail, Cofre, chaves E2EE) instantaneamente, mas mantém o perfil e os posts públicos no Feed ativos — a voz da resistência permanece online mesmo após a purga de dados sensíveis.

O encerramento remove os dados do perfil ativo. Não são mantidos registros de IP ou metadados de rede após o encerramento. A eliminação é imediata e completa.

O coletivo reserva-se o direito de encerrar contas que violem os critérios de elegibilidade estabelecidos na Seção 2, sem aviso prévio ou direito de recurso.

11. Propriedade e governança

O coletivo não tem donos, acionistas ou investidores. A infraestrutura é mantida coletivamente e está descentralizada em servidores em 4 continentes — nenhuma entidade singular, nenhum governo e nenhuma ordem judicial num único país pode atingir o conjunto da nossa infraestrutura.

As decisões estruturais são tomadas por assembleia, não por conselho administrativo. O código é aberto, auditável e desenvolvido de forma colaborativa. Acreditamos que a emancipação digital só é possível quando os meios de produção tecnológica são socializados — quando a tecnologia serve o povo, não o capital.

12. Alterações a estes Termos

Qualquer alteração substancial será comunicada com antecedência mínima de 30 dias via Pulse e Mail internos. Alterações que modifiquem a política de privacidade ou a posição de não colaboração com autoridades serão submetidas a votação da comunidade antes de entrarem em vigor.

13. Contato

Para questões relacionadas com estes Termos, utiliza os canais internos do NTXA ou a nossa página de Contatos. Não respondemos a comunicações externas não solicitadas.