Lacradas no seu iPhone
Cada cópia de processamento recebe uma chave nova só dela e é lacrada antes de sair do seu celular. O armazenamento só guarda a cópia lacrada.
Suas fotos são pessoais
Úteis para você.
Privadas por design.
Lacradas no seu iPhone. Abertas só pelo processamento automatizado, com uma chave que ninguém, nem no Balise nem em qualquer outro lugar, pode usar.
O Balise torna suas fotos úteis sem manter uma segunda biblioteca de fotos. Seus originais ficam no app Fotos da Apple.
Vídeo · 0:59
Como o Balise protege suas fotos.
Nossa equipe não pode abrir suas fotos
Não por política, mas por design. A chave que abre uma cópia fica em um cofre de hardware, sob custódia separada, e só o processamento automatizado pode usá-la. Quem mantém essa regra é um custodiante independente, não nós.
Você decide o que sua IA vê
O Claude e o ChatGPT podem usar suas informações pesquisáveis. Para receber fotos, eles precisam que você aprove a seleção exata. O acesso pelo Balise dura uma hora.
O que acontece com uma foto
Lacrada até o único lugar onde é aberta.
- Seu iPhone
Lacra cada cópia com uma chave nova só dela. O original fica no app Fotos da Apple.
- Armazenamento privado
Só guarda a cópia lacrada.
- O serviço de processamento
O único lugar onde uma cópia é aberta, para que o Balise e seus provedores de IA possam analisá-la. Os provedores recebem uma cópia descriptografada por tempo limitado.
- O que o Balise guarda
O que aprendeu. A cópia é apagada.
Parte do processamento usa uma cópia temporária em armazenamento privado na nuvem. Os detalhes abaixo explicam os limites e as exceções.
Quem guarda a chave
Ninguém, nem no Balise nem fora dele, pode usar a chave.
- Ela não sai do cofre
- A chave privada foi criada dentro de um módulo de segurança de hardware e não pode ser exportada, nem pelo Balise nem por ninguém. Uma cópia só pode ser aberta pedindo ao cofre que desbloqueie a chave dela.
- Uma única porta, e ela é automática
- Só o serviço de processamento pode pedir ao cofre que desbloqueie a chave de uma foto, uma foto por vez. As contas da nossa equipe, nossos servidores e nossas ferramentas de implantação são recusados pela regra de acesso, e nenhuma pessoa pode fazer login como o serviço de processamento.
- Nas mãos de alguém que não somos nós
- Um custodiante independente, de fora do Balise, mantém a regra de acesso e a chave de assinatura que atesta qualquer nova chave do cofre. Não podemos ampliar por conta própria quem pode usar a chave, e cada uso fica registrado para o custodiante.
Quando você conecta o Claude ou o ChatGPT
Uma conexão não dá permissão para ver todas as fotos.
Seu assistente pode pesquisar as informações que o Balise aprendeu. Quando ele precisa de fotos, o Balise mostra no app a seleção exata para você aprovar.
A aprovação vale só para essas fotos e para a conexão que fez o pedido, por uma hora a partir da sua decisão. Olhar de novo não estende o prazo. Uma nova seleção precisa de uma nova aprovação.
Sua aprovação é assinada no seu iPhone. O serviço que descriptografa uma foto confere essa assinatura antes de abrir qualquer coisa. Assim, uma aprovação criada pelos próprios servidores do Balise não abre nada.
O prazo de uma hora limita o acesso pelo Balise. Ele não pode apagar uma foto que o assistente já recebeu nem removê-la da sua conversa. Nesse caso, valem as configurações e as políticas do seu assistente.
Fotos que pedem mais cuidado
Algumas fotos recebem cuidado extra.
- Fotos explícitas são descartadas
- O Balise as descarta logo no início, antes de olhar mais de perto, apaga essas fotos e não aprende nada com elas.
- Fotos de saúde continuam privadas
- O que o Balise aprende com uma receita médica, um resultado de exame ou a foto de um machucado fica como um registro só seu, para você perguntar sobre isso no Balise ou no assistente que conectar. Essas fotos nunca aparecem em uma História, em um item em destaque, em uma capa nem no seu mapa.
O que fica, e por quanto tempo
Suas fotos e o que o Balise aprende são coisas diferentes.
- Cópias de processamento comuns
- São apagadas quando o processamento termina, incluindo qualquer comparação de Pessoas que você tenha ativado. Uma regra de limpeza do armazenamento de um dia serve de reforço se uma exclusão for interrompida.
- Fotos que você aprova para um assistente
- Só as cópias selecionadas, com acesso encerrado uma hora após a aprovação. A exclusão vem depois da expiração, e buscar uma foto de novo nunca estende o acesso.
- Fotos à espera de uma nova categoria
- Nada é guardado. Se o Balise precisar de uma categoria que ainda não criou, ele guarda o que notou na foto, não a fotografia.
- Informações pesquisáveis
- Descrições, datas, lugares, anotações e outros detalhes ficam na sua conta privada do Balise, para você encontrar e usar. Apagar uma cópia de processamento não apaga essas informações. Você pode apagá-las no Balise.
- O que você publica
- Cartões, Histórias e outros conteúdos publicados seguem suas escolhas de compartilhamento. Eles continuam disponíveis, conforme as regras de publicação, até você tirá-los do ar. Alguém pode já ter salvado uma cópia.
Se quiser os detalhes
A proteção vista de perto.
Como funciona a criptografia?
Seu iPhone cria uma chave AES-256-GCM nova para cada cópia de processamento e lacra a cópia com ela. Depois, lacra essa chave com uma chave pública RSA-OAEP de 3072 bits (SHA-256), para que só a chave privada correspondente possa abri-la. As cópias ficam lacradas no armazenamento.
A chave privada foi criada dentro de um módulo de segurança de hardware (Google Cloud HSM) e não pode ser exportada. Só o serviço de processamento pode usá-la, para desbloquear a chave de uma foto por vez. A API coordena as solicitações, mas nunca detém a chave. Tudo o que o processamento extrai de uma foto é lacrado de novo com uma chave nova.
Seu iPhone também reconhece a chave usada para lacrar. Se receber uma chave que não reconhece, e que o custodiante não atestou, ele para em vez de enviar.
Tudo é criptografado de ponta a ponta?
O Balise criptografa as cópias das imagens antes do envio, mas o processamento automatizado precisa descriptografá-las. Não é um sistema em que só os seus dispositivos podem analisar as imagens. Suas informações pesquisáveis ficam guardadas separadamente nos servidores do Balise e não estão cobertas pela mesma criptografia por imagem.
O que os provedores de IA recebem?
Os provedores de processamento do Balise recebem as imagens descriptografadas ou o texto necessários para a tarefa. O acesso às fotos usa links de curta duração ou uma entrada temporária e privada na nuvem. Hoje, as entradas do Vertex têm uma janela de acesso de dez minutos. O acesso expira independentemente da exclusão física, que é tentada de novo após a expiração, com uma regra de limpeza do armazenamento de um dia como garantia. Essas entradas temporárias usam a criptografia do armazenamento na nuvem, e não a criptografia por imagem feita no celular.
O Balise não autoriza treinamento com o seu conteúdo. Isso é diferente de prometer que um provedor não guarda nada. Veja a Política de Privacidade para conhecer os provedores e os dados envolvidos. Conectar sua própria conta do Claude ou do ChatGPT é uma escolha à parte, regida pelas configurações e políticas desse serviço.
O que significa “nossa equipe não pode abrir suas fotos”?
Ninguém no Balise pode abrir a cópia privada de uma foto, e isso não é uma política interna. Nossas contas são recusadas pela regra que protege a chave. Essa regra é mantida por um custodiante independente, de fora do Balise, que também recebe um registro de cada uso da chave.
A cópia é criptografada no seu iPhone, então, sem a chave mestra, ela não pode ser aberta.
Se você publicar uma foto de propósito ou enviá-la ao suporte, as pessoas com quem você a compartilhar poderão vê-la.
Suas lembranças. Você decide.
Escolha o que o Balise pode importar. Aprove os pedidos de fotos. Apague o que o Balise aprendeu quando quiser.
Peça um conviteVeja a Política de PrivacidadeÚltima atualização: 11 de setembro de 2026. Tem alguma pergunta? Fale com a gente.