Política de Privacidade do Blindado
Última atualização: 2 de outubro de 2026
Resumo: o Blindado não tem conta, não coleta dados
sobre você e não guarda o que você visita. Se você usa o controle parental, os aparelhos da
família trocam mensagens por um serviço nosso que não consegue ler nada: tudo
sai cifrado do aparelho, e só os aparelhos da família têm a chave.
O que o Blindado faz
O Blindado é um app pago de download único para iPhone, iPad, Mac e Android. Ele liga DNS
criptografado (DNS-over-HTTPS) em todo o sistema, bloqueia sites e apps dos assuntos que você
escolher (apostas, conteúdo adulto, política, futebol, reality shows e outros) e, se você
quiser, permite que um responsável defina essa proteção no aparelho de um filho.
Dados que coletamos
Nenhum dado pessoal. O Blindado não pede cadastro, e-mail nem telefone,
não tem SDK de análise (analytics) nem de anúncios e não envia telemetria. Não existe
histórico de navegação — nem no aparelho, nem conosco.
O app guarda no próprio aparelho só o necessário para funcionar: os assuntos e
regras que você escolheu e, por assunto, quantos bloqueios houve no dia (um número, sem dizer
quais sites). Essa contagem é apagada a cada dia.
Para onde vão suas consultas DNS
Para encontrar um site, o aparelho faz uma pergunta chamada consulta DNS. O Blindado faz
essa pergunta sair criptografada, direto para o provedor de DNS do nível escolhido:
Quem responde essas consultas é o provedor escolhido, não o Blindado. A decisão de bloquear
um assunto acontece antes, dentro do seu aparelho: o endereço bloqueado nem chega a
ser perguntado.
Filtros por assunto
As listas de cada assunto vêm dentro do app. A decisão de bloquear é tomada no aparelho, sem
consultar ninguém:
- iPhone, iPad e Mac: um filtro de conteúdo da Apple (sem acesso à rede) e, no
Safari, uma extensão que só recebe do app a lista de assuntos ligados — ela nunca envia o
endereço visitado para lugar nenhum.
- Android: uma VPN local por onde passam só as consultas de
endereço. Nenhum outro tráfego passa pelo Blindado, e nada é registrado. O Android
mostra o Blindado como VPN porque é assim que um app filtra endereços; ele não esconde seu
IP nem troca sua localização.
Quando a atualização das listas estiver ligada, o app baixa uma vez por dia a lista mais
nova de lists.blindado.app, sem nenhum identificador do aparelho, e confere a
assinatura digital antes de usar.
Controle parental: o que o responsável vê e não vê
O controle parental liga o aparelho de um filho ao de um responsável. Só é usado se você
ativar, e o aparelho supervisionado mostra sempre, na própria tela, o que o responsável vê.
- O responsável vê: o apelido do aparelho, se a proteção está ligada, se
falta alguma permissão, se outra VPN ou DNS assumiu, tentativas de remover o Blindado e — só se
ele pedir essa opção — quantos bloqueios houve por assunto no dia.
- O responsável recebe o endereço de um site só quando o próprio filho pede
para liberar aquele site, junto com o motivo que ele escrever.
- O responsável não vê: quais sites foram visitados ou bloqueados,
mensagens, fotos, localização ou qualquer conteúdo do aparelho.
No aparelho supervisionado, o Blindado pode usar permissões de sistema para proteger a
configuração:
- iPhone e iPad: Tempo de Uso da Apple (Family Controls), para impedir remover o
Blindado sem aprovação e bloquear apps dos assuntos.
- Android: administrador do dispositivo (sem nenhum poder além de exigir que
ele seja desativado antes de desinstalar) e o serviço de acessibilidade, que lê o endereço
aberto no navegador para bloquear seções de sites dos assuntos, fecha apps desses assuntos e
impede remover o Blindado sem o PIN do responsável. O que aparece na tela não é guardado nem
enviado — nem ao responsável.
O retransmissor da família
Para que os aparelhos da família conversem sem precisar de conta, o Blindado opera um único
serviço, o retransmissor (blindado-relay.guilherme-avieiras.workers.dev, hospedado na Cloudflare). Ele só é
usado por quem ativa o controle parental.
- Tudo que passa por ele é cifrado de ponta a ponta no aparelho de origem
(P-256 e AES-GCM), com uma chave que só os aparelhos da família têm. O retransmissor não
consegue ler políticas, relatos nem pedidos.
- Ele guarda, por aparelho: uma caixa de mensagens cifradas (apagadas ao serem lidas ou em
no máximo 7 dias), um identificador aleatório derivado da chave pública do
aparelho, códigos de envio (guardados só como hash) e, no iPhone e no iPad, o token de notificação da
Apple usado para acordar o app — as notificações levam só "Novidade da família", sem
conteúdo.
- O código de pareamento vale 10 minutos e uma vez só.
- Não gravamos endereços IP nem registros de acesso. Como qualquer
servidor na internet, a Cloudflare recebe o IP de cada conexão para entregá-la; nós não o
guardamos.
- Encerrar a supervisão apaga a caixa do aparelho no retransmissor e troca a chave da
família.
Tela "Testar"
A funcionalidade de teste faz requisições a uma lista fixa de domínios conhecidos (de
anúncio/rastreamento e de controle) apenas para mostrar a você, localmente, se a proteção
está bloqueando o que deveria. Nenhum resultado é enviado a servidor algum.
O que o Blindado NÃO faz
- Não é uma VPN de anonimização — não esconde seu IP nem troca sua localização.
- Não filtra o conteúdo dentro de outros aplicativos (feed do Instagram, TikTok,
YouTube, WhatsApp): o feed chega pelo mesmo endereço, qualquer que seja o assunto.
- Não guarda histórico de navegação, nem para você, nem para o responsável, nem para nós.
- Não usa cookies, pixels de rastreamento, identificadores de publicidade ou SDK de
terceiros.
Crianças
O controle parental foi feito para famílias. Mesmo no aparelho de uma criança, o Blindado
não coleta dados pessoais: o que sai do aparelho supervisionado é só o estado da proteção
descrito acima, cifrado de ponta a ponta para os responsáveis.
Alterações a esta política
Se esta política mudar, a nova versão será publicada nesta mesma página com a data de
atualização revisada no topo.
Contato
Dúvidas sobre esta política podem ser enviadas para
guilherme.avieiras@gmail.com.
← Blindado