Com es protegeixen les teves dades

La regla

Tot el que comparteixes amb casa teva es xifra al teu mòbil abans de sortir-ne. El nostre servidor guarda sobres tancats i els reparteix als altres mòbils de la casa. Ni el servidor ni les persones que fem besteed els podem obrir.

No és una política que un dia poguéssim canviar. És com està feta l'app: les claus no ens arriben mai, i per tant no hi ha res que poguéssim llegir, cedir ni perdre.

Com funciona, dit planer

Quan es crea una llar, el mòbil que la crea genera un clauer: una clau per a cada àmbit (agenda, llistes, fitxes de casa, diners, contractes). Cada mòbil de la casa té el seu parell de claus; la meitat privada neix al mòbil i viu al magatzem segur del sistema (Keystore a Android, Clauer a iOS). No en surt mai.

Per deixar entrar un altre mòbil, les claus que li toquen s'emboliquen només per a ell, amb la seva clau pública. Qui no té la clau d'un àmbit no el pot llegir, encara que tingui els sobres a la mà.

Els diners van un pas més enllà: cada moviment es tanca amb la seva pròpia clau, embolicada només per a qui pot veure aquell llibre. Un llibre personal que obres a la teva parella el pot llegir el seu mòbil i cap altre.

Les còpies al núvol es xifren al mòbil amb una clau aleatòria que et guarda el sistema del teu mòbil (Block Store de Google a Android, Clauer d'iCloud a l'iPhone). Aquella clau no la veiem mai.

Què sí que surt en clar, i quan

Tres coses, i totes tres les engegues tu: la frase que apuntes quan tens l'ajuda de la IA engegada i no s'entén; el text dels conceptes dels moviments nous quan importes un extracte (mai els imports, les dates ni els comptes); i un document que li demanes llegir —un contracte en PDF o foto, o un extracte en PDF—, que s'envia sencer.

Van del nostre servidor a Anthropic, que torna la resposta. El servidor no ho desa; apunta un comptador de cost. Anthropic ho processa segons les condicions de la seva API i no hi entrena els seus models. Sense compte, o amb l'ajuda de la IA apagada, no s'envia res.

Què té el servidor, cosa per cosa

Al navegador (app.besteed.com)

La mateixa app funciona al navegador a app.besteed.com, i hi valen les mateixes regles. Allà, «el teu mòbil» vol dir aquest navegador, en aquest ordinador, en aquest perfil: cada navegador des d'on entres és un aparell més de la casa, i rep les claus de la casa des d'un altre aparell teu, o d'un adult de casa, igual que ho faria una tauleta.

La clau privada de l'aparell es guarda xifrada a l'emmagatzematge del lloc, tancada amb una clau que genera el navegador i que no deixa sortir mai (WebCrypto, no extractable). Les dades de la casa també viuen a l'emmagatzematge del lloc. Res no viatja al servidor en clar, exactament com al mòbil.

Esborrar les dades del lloc és com desinstal·lar: aquell navegador perd la seva identitat i la seva còpia local. Quan hi tornes a entrar, un altre aparell teu, o un adult, li torna les claus i la casa torna a baixar del servidor. En una finestra privada o d'incògnit, tot se'n va en tancar-la.

Com ho pots comprovar

Dins de l'app, Ajustos → Què veu el servidor demana al servidor un sobre teu de debò i te l'ensenya tal com hi és: bytes il·legibles. Després et llista, cosa per cosa, què té el servidor de tu en clar.

A Casa → Grup, cada membre porta l'empremta de la seva clau. Llegiu-vos-la en persona: si coincideix, la clau que tens és seva i ningú no s'hi ha posat pel mig. L'app recorda cada clau que ha vist i t'avisa si el servidor un dia en dona una altra.

Si aquesta pàgina et deixa cap pregunta, escriu a support@besteed.com. Preferim explicar-ho que no pas que ens creguis a cegues.

Què no podem fer

No podem llegir les teves dades per ajudar-te, ni donar-les a ningú, perquè no les tenim. I si perds tots els mòbils de casa i la clau de la còpia, tampoc no te les podem recuperar. És el preu de la regla, i creiem que és el bo.