Provas e transparência

Em outubro de 2026, há duas coisas estabelecidas por outros que não nós:

• O editor. A TRASIMENE SAS está inscrita no registo nacional de empresas francês com o SIREN 103 240 560: sociedade por ações simplificada criada a 30 de março de 2026, com sede em 61 rue de Lyon, 75012 Paris, presidida por Mohamed Essid. A Apple identifica a mesma empresa pelo seu número DUNS 286714569 na ficha da App Store. Consultar o registo: annuaire-entreprises.data.gouv.fr.
• As aplicações publicadas. Cada versão da aplicação é examinada pela Apple antes de ser disponibilizada na App Store, e pela Google antes de ser disponibilizada no Google Play. A aplicação Android foi lançada a 9 de julho de 2026 e a aplicação para iPhone a 4 de agosto de 2026.

• Ficha da App Store
• Ficha do Google Play
• Registo nacional de empresas francês

Uma avaliação independente só figura nesta página com o nome do organismo, a respetiva data e o relatório completo.

A Trasimène trabalha sem nenhum botão para premir. O seu telemóvel mede as suas definições, a sua rede e, no Android, as suas aplicações; os nossos servidores comparam essas medições com regras e com listas de ameaças atualizadas todos os dias e devolvem um resultado verde, vermelho ou cinzento, explicado na sua língua. No Android, a análise é feita a cada 30 minutos por predefinição. No iPhone, é feita quando o iOS o permite.

Em outubro de 2026, a aplicação faz até 157 verificações no Android e 48 no iPhone. As nossas verificações seguem o referencial público MITRE ATT&CK Mobile, que descreve as técnicas de ataque dirigidas aos telemóveis (attack.mitre.org). Cada alerta diz o que foi visto e o que deve fazer.

Um resultado cinzento significa que a medição não pôde ser feita: falta uma permissão, a VPN está desligada ou o sistema não o permite. Um cinzento nunca é apresentado como verde.

Quando uma regra se engana, corrigimo-la no servidor. A correção entra em vigor em poucos minutos e o seu telemóvel recebe-a na análise seguinte, sem atualização da aplicação.

As nossas informações sobre ameaças vêm de fontes públicas e reconhecidas: URLhaus, ThreatFox, MalwareBazaar e Feodo Tracker (abuse.ch), OpenPhish, Phishing.Database, CERT Polska, Google Safe Browsing, VirusTotal em último recurso (que recebe a impressão digital de um ficheiro ou um nome de site, nunca o ficheiro), Have I Been Pwned para as fugas de endereços, a lista de falhas exploradas da CISA e a base NVD. A lista completa, por utilização, está na página Como funciona a Trasimène.

Ficheiros de teste reconhecidos

A indústria antivírus utiliza ficheiros de teste inofensivos para verificar se uma proteção reage: o ficheiro EICAR, publicado pelo organismo europeu com o mesmo nome, e os ficheiros da AMTSO, a associação dos editores de segurança e dos laboratórios de teste, entre os quais uma aplicação Android de teste. Desde 22 de outubro de 2026, os nossos servidores reconhecem as impressões digitais destes ficheiros, em todas as suas formas publicadas, e tratam-nos como qualquer outra ameaça conhecida. Descarregar estes ficheiros: eicar.org e amtso.org.

• A Trasimène concentra-se no que realmente expõe um telemóvel: as suas definições, a sua rede, as suas ligações e, no Android, as suas aplicações.
• Quando uma aplicação levanta um problema, a Trasimène diz-lhe qual, porquê e como desinstalá-la. A decisão continua a ser sua.
• A VPN assinala-lhe os sites perigosos que contacta, sem cortar a sua ligação em seu lugar. A resolução dos nomes é confiada ao Quad9, um serviço suíço que afasta do seu lado os domínios maliciosos que conhece.
• No iPhone, o iOS isola cada aplicação das outras: nenhuma aplicação vê a lista das outras, os respetivos ficheiros, os seus SMS ou as respetivas notificações. A Trasimène trabalha dentro deste quadro, com 48 verificações: jailbreak, versão do iOS, perfis e gestão remota, rede e Wi-Fi, ligações dos códigos QR, fugas do seu endereço de e-mail.

• VPN. O conteúdo do seu tráfego não é lido nem registado. Os nossos servidores guardam o histórico das suas ligações à VPN (servidor, endereço atribuído no túnel, horas de ligação e de desligação), apagado 72 horas após o fim do acesso, e o volume de dados trocado em cada mês, guardado durante 13 meses. Durante 48 horas, guardam também os sites das nossas listas de ameaças e de publicidade que contactou, com o respetivo número, os nomes de sites inexistentes mais pedidos e números sobre as suas ligações e os nomes pedidos (quantidade, portas, duração, comprimento), sem qualquer endereço nem nome de site.
• Cofre. As suas palavras-passe, notas e ficheiros são encriptados nos nossos servidores com AES-256-GCM, através de uma chave única para a sua conta, guardada num gestor de segredos de acesso restrito, onde cada leitura de uma chave é registada. Esta chave não é derivada da sua palavra-passe: recupera o seu cofre ao iniciar sessão num novo telemóvel, sem nenhuma frase de recuperação para guardar. Os nossos servidores desencriptam o conteúdo para lho apresentar na aplicação. Capacidade: 5 GB, até 30 MB por ficheiro, 10 000 palavras-passe e 10 000 notas. A chave e o cofre são destruídos 30 dias após a eliminação da sua conta.
• Resultados das verificações. O resultado de cada verificação (verde, vermelho ou cinzento, com a respetiva explicação) é guardado durante 30 dias, para apresentar o histórico e os relatórios. O detalhe de uma anomalia pode indicar o nome de um site ou de uma aplicação; desaparece com a anomalia.
• Aplicações Android. Para avaliar as suas aplicações, os nossos servidores guardam, para cada uma, o nome técnico, a impressão digital do ficheiro, a assinatura do editor e a origem, durante 30 dias após a última análise que a detetou. Os ficheiros das próprias aplicações nunca saem do seu telemóvel.
• Medição de utilização. A aplicação envia medições de utilização (ecrãs abertos, etapas do percurso) ao Firebase Analytics e ao PostHog, para melhorar o produto. Estão ativas de início e podem ser desativadas nas definições da aplicação, através do interruptor «Análise de utilização». Os relatórios de erros vão para a Sentry e para o Firebase Crashlytics.

Os dados da sua conta (endereço de e-mail, nome, preferências) são mantidos enquanto a sua conta existir. O detalhe de cada dado, do respetivo prazo de conservação e da respetiva base legal consta da política de privacidade.

Os seus dados não são vendidos a ninguém. A aplicação não apresenta qualquer publicidade e não integra nenhuma ferramenta da Meta, do TikTok, do Snapchat ou do LinkedIn. Toda a segurança é gratuita, sem período de avaliação nem limite de duração; apenas a VPN é paga: 3,99 €/mês ou 39,99 €/ano.

Para fazer funcionar o serviço, confiamos dados a prestadores, cada um para uma tarefa precisa:

• Alojamento: Google Cloud, região europe-west1 (União Europeia), para a API, o site, as bases de dados e os ficheiros do cofre; as chaves do cofre estão no gestor de segredos do Google Cloud. Os 19 servidores da VPN são máquinas Google Cloud, uma por país, instaladas e administradas pela Trasimène.
• Medição de utilização, desativável: Firebase Analytics (Google) e PostHog (servidores na União Europeia).
• Relatórios de erros: Sentry (servidores na União Europeia para as aplicações e o site) e Firebase Crashlytics.
• Pagamento: Apple na aplicação para iPhone, Google na aplicação Android; RevenueCat e Stripe em trasimene.com. Não vemos nem conservamos quaisquer dados de cartão bancário.
• E-mails: Resend, para as mensagens de confirmação, de alerta e de faturação, e para a newsletter, se estiver inscrito.
• Monitorização de fugas: O Have I Been Pwned recebe cada endereço de e-mail que opta por monitorizar e indica-nos se consta de uma fuga conhecida; verificação quando é adicionado e, depois, a cada 24 horas.
• Reputação de ligações e ficheiros: Google Safe Browsing e VirusTotal, que recebem o endereço de uma ligação ou a impressão digital de um ficheiro, nunca o ficheiro.

Medição das nossas campanhas, com o seu consentimento: quando cria uma conta com o seu endereço de e-mail no Android ou em trasimene.com, uma caixa, não assinalada, propõe-lhe que nos ajude a saber que campanhas trazem utilizadores reais. Se aceitar, a criação da conta e uma subscrição são comunicadas às nossas plataformas de publicidade (Meta, TikTok, Snapchat, LinkedIn) com uma impressão digital (hash) do seu endereço de e-mail. A Meta, o TikTok e o Snapchat recebem também, no registo, o seu endereço IP e a descrição técnica do seu navegador ou do seu telemóvel (user-agent). O Google Analytics recebe um identificador de conta, nunca o seu endereço. Sem o seu consentimento, nada é enviado, e nunca nada parte de um iPhone. Pode retirar o seu consentimento a qualquer momento nas definições da sua conta.

As nossas declarações às lojas. A etiqueta de privacidade da App Store e a secção Segurança dos dados do Google Play indicam, no formato imposto por cada loja, o que a aplicação recolhe e partilha. Somos nós que as redigimos e as revemos a cada alteração, para que correspondam à nossa política de privacidade e a esta página.

Cada prestador, as transferências para fora da União Europeia e os seus direitos são detalhados na política de privacidade.

Encontrou uma falha na aplicação, no site ou na API? Escreva para contact@trasimene.com. O nosso ficheiro security.txt, no endereço /.well-known/security.txt, indica este contacto e remete para esta política.

Confirmamos a receção no prazo de 5 dias úteis e damos-lhe uma primeira avaliação no prazo de 15 dias úteis. Corrigimos as falhas confirmadas com prioridade e mantemo-lo informado até à publicação da correção.

Não intentamos qualquer ação judicial contra quem atue de boa-fé: quem não lê, não altera nem conserva os dados de outros utilizadores, quem não perturba o serviço e quem nos dá tempo para corrigir antes de publicar.

Agradecimentos

Com o respetivo consentimento, cada pessoa que nos comunicou uma falha confirmada é nomeada aqui, com a data.

• Como funciona a Trasimène
• Segurança e cifragem
• Política de privacidade
• Empresa e imprensa
• Ficheiro security.txt