Continuidade
Se a Aeterne deixar de existir
Num produto de herança, perenidade é parte do produto. A pergunta certa não é “e se vocês fecharem?” — é “meus herdeiros ainda conseguem abrir o cofre?”. A resposta foi desenhada para ser sim, mesmo num mundo sem a Aeterne.
Seus dados são seus — e exportáveis a qualquer momento
Em Configurações → Seus dados, você baixa num único arquivo os registros do cofre, ainda fechados à chave, a lista de herdeiros e o histórico do cofre. Com essa cópia e a sua senha-mestra ou a chave de recuperação, o cofre pode ser reaberto sem nós quando o código-fonte do programa que abre o cofre estiver publicado — o que nos comprometemos a fazer se encerrarmos (veja abaixo). Sem aprisionamento, por desenho.
Cópia completa dos registros · baixada por você, guardada onde você quiser.
A abertura acontece no aparelho de quem recebe
A reabertura acontece inteiramente no aparelho de quem você escolheu. O nosso servidor nunca teve a chave — só guarda conteúdo embaralhado. Com o arquivo exportado, a chave de recuperação e o código-fonte do programa de abertura, que nos comprometemos a publicar se encerrarmos, o cofre pode ser reaberto mesmo que a Aeterne não exista mais.
A abertura acontece só no aparelho · o nosso servidor nunca vê a chave nem o conteúdo aberto.
Aviso de 90 dias se encerrarmos
Se um dia a Aeterne encerrar as atividades, avisaremos com pelo menos 90 dias de antecedência e manteremos o serviço funcionando nesse prazo, para você exportar o seu cofre (Termos, item 6).
Código-fonte do programa de abertura publicado se encerrarmos
Se um dia a Aeterne encerrar, nos comprometemos a publicar o código-fonte do programa que abre o cofre e a descrição do formato da cópia exportada, para que qualquer programador possa abrir o cofre de forma independente. É o programa em si — não é uma senha nem um código seu, nem um acesso de emergência da nossa equipe.
Só métodos de proteção padronizados, listados na página de Segurança e disponíveis em bibliotecas abertas.
Sem plano pago, o cofre continua guardado
Se o plano pago terminar, o cofre não é apagado: ele continua guardado, sem prazo, à espera dos herdeiros — juntos, no número que você definiu, ou, na regra 1-de-1, a única pessoa indicada —, porque o tempo da herança não é o tempo de uma assinatura. Para arquivos, sem plano pago, o limite é de 5 GB: acima dele, avisamos com pelo menos 90 dias de antecedência, e nada é apagado com o gatilho em andamento nem se você não tiver confirmado que está bem depois do aviso (Termos, item 5.3.1).
Registros guardados sem prazo, mesmo sem plano pago · só os herdeiros reabrem (juntos, quando são dois ou mais; sozinha, a pessoa única da regra 1-de-1).
Nunca herdar do silêncio
Uma liberação nunca acontece por inércia ou por falta de resposta sozinha. Há avisos repetidos antes de qualquer passo irreversível e, quando um registro está marcado como de alto valor, a liberação passa antes por uma revisão humana da equipe da Aeterne, com confirmação em dois fatores e registro na trilha de auditoria. Ninguém herda só porque ninguém falou nada.
Gatilho de inatividade com confirmações em camadas + revisão humana com dois fatores quando há registro de alto valor.
Quando formalizado, o código-fonte do programa que abre o cofre e os manuais de operação ficarão sob a guarda de um terceiro independente (escrow), com instruções para manter o serviço ou facilitar a saída ordenada dos dados em caso de encerramento.
Guarda por uma fundação ou um agente de depósito independente · entrega do material se a Aeterne encerrar.
O que já está provado é a abertura: ela usa só a cópia exportada, as chaves e o programa de abertura — nunca o nosso servidor —, e um teste automático confirma isso a cada mudança. Hoje esse programa roda no Aeterne; por isso nos comprometemos a publicar o código-fonte dele se encerrarmos. O que ainda depende de nós é o disparo: perceber a inatividade e liberar o acesso acontece hoje na nossa infraestrutura. Por isso a cópia antecipada existe e por isso desenhamos a continuidade institucional (depósito em formalização + encerramento ordenado): para que a liberação também não dependa só de nós. Não maquiamos isso.
Publicar o código-fonte preserva a abertura — não a operação (servidores, avisos, suporte) por décadas a fio. Por isso recomendamos sempre manter um backup independente da sua chave de recuperação e das suas seeds mais críticas. Nenhum cofre — nem o nosso — deve ser a única cópia do que importa.
Veja como tudo isso é protegido em Segurança e o que já fazemos, e o que ainda falta, no Trust Center.
Sem aprisionamento, por desenho. Seus dados saem com você, a qualquer momento.