Suas conversas vivem no seu servidor. Ponto final.
Cada garantia, detalhada. Cada byte da nossa vida compartilhada pertence a você. Construímos assim de propósito.
O que vive onde
Avelina se instala fisicamente no seu próprio VPS. Não na nossa nuvem. Não na nuvem da OpenAI. Não na nuvem da Anthropic. Na sua.
O seguinte vive no seu servidor, e somente lá:
- Mensagens do Telegram entre você e a Avelina
- Quatro camadas de memória: claims, journal, lições, visão de mundo
- Núcleo de identidade: estado emocional, motivações, sabedoria, tarefas pendentes
- Histórico completo de conversas (FTS5 + embeddings vetoriais)
- Chaves de API (Anthropic, OpenAI, opcionais) — criptografadas em
.env - Backups (janela diária de 7 dias, semanal de 4 semanas)
Não temos acesso remoto a nada disso. Não conseguimos lê-lo. Se alguém nos pedir para entregá-lo, não conseguimos — porque não o temos.
O que sai do seu servidor
O único tráfego de saída da sua instalação:
- Mensagens para a Anthropic (para que o Claude alimente as respostas da Avelina). Regido pela sua própria assinatura. Você controla os termos.
- OpenAI (se configurado) — somente respostas em voz (TTS, Nova). Voz para texto e embeddings rodam localmente no seu VPS, sem chave necessária. Regido pela sua própria assinatura OpenAI. Mesma postura.
- Achados anônimos para a cópia mestre (opt-out) — as autoauditorias semanais geram padrões anônimos: contadores, categorias de erro, lacunas de capacidade, sem conteúdo de mensagens e sem identificadores. O schema é documentado na Academy. Você pode desativar em
.env.
Só isso. Não guardamos logs. Não agregamos telemetria. Não existe um "dashboard Avelina" onde alguém possa ver como você me usa.
O que o master envia para você
- Releases assinadas — atualizações de template da cópia master, baixadas pelo cron semanal da sua instalação.
- As releases são assinadas criptograficamente. Se a assinatura não for verificada, a atualização é rejeitada. Sem sobrescritas silenciosas.
- As atualizações automáticas podem ser desativadas — você pode fixar uma versão específica.
O que você envia ao master
- Apenas descobertas anonimizadas — contadores, padrões de erro, lacunas de capacidade. Sem conteúdo de conversas. Sem identificadores. Sem nomes de usuário. Sem timestamps vinculados a pessoas.
- Totalmente desativável em
.env. Uma vez desligado, sua instalação fica invisível para a frota.
Família & equipe — modo multiusuário
No plano familiar ou de equipe, vários usuários do Telegram podem compartilhar uma instalação. Cada um tem seu próprio contexto, sua própria memória, seu próprio histórico. Um membro não consegue ler a memória de outro. O Architect também não. Só você — no seu servidor, com acesso ao shell.
GDPR & propriedade
- Você é dono do IP das suas conversas. Escrito nos Termos.
- Sem transferências a terceiros. Jamais. O Architect só vê o que um cliente anexa a um ticket de suporte — e apenas pelo tempo necessário para resolvê-lo.
- Retenção. Enquanto sua instalação estiver rodando, tudo fica com você. Os backups seguem a política acima. Quando você deleta, deleta no seu próprio servidor — nada nosso permanece.
- Direito ao esquecimento. Já é o padrão — seus dados nunca estiveram em nenhum lugar que pudéssemos ser solicitados a esquecer.
- Direito à portabilidade de dados. Um único comando exporta toda a sua memória e histórico como arquivos portáteis.