Qualquer um pode prometer privacidade. O Lucent é construído de forma que violá-la exigiria esforço — a arquitetura simplesmente não tem para onde enviar seus dados.
Nada sai do dispositivo até que você exporte ou dê a um modelo um motivo para olhar. Esta é a versão curta — a política completa vem a seguir, e o código concorda com ela.
Suas notas vivem em um banco de dados criptografado com SQLCipher; os anexos são criptografados individualmente. Os caminhos de alto desempenho — derivação de chaves PBKDF2 e AES-256-GCM — rodam em Rust via JNI, com alternativas idênticas em Kotlin para que o app nunca fique refém de uma biblioteca nativa. Alguém segurando seu celular desbloqueado é uma coisa; alguém segurando seus arquivos não obtém nada além de ruído.
Esta é uma política real contra força bruta, não um pedido educado: esperas progressivas, um contador persistente que sobrevive a reinicializações, pergunta de segurança opcional, autodestruição opcional — e impressão digital no Android ou Windows Hello no desktop, educadamente fora de serviço durante todo o período de espera. Erre muitas vezes e o app simplesmente para de negociar.
Os backups são um único arquivo .lcb carregando notas, tarefas, histórico, chats, anexos e configurações entre dispositivos — pré-visualizado antes de alterar um único item, configurável para rodar automaticamente e protegido por senha. Um backup que ninguém consegue ler é uma lembrança e não um backup, então este é verificado na saída e novamente na entrada.
Integração com a folha de compartilhamento: desativada. Diagnósticos: desativados e mantidos localmente quando ativados. Os serviços de assistente que você conecta são totalmente escolha sua. O espelhamento em nuvem é um módulo que você mesmo configura, via WebDAV — seu servidor, suas regras. Não há nada "ativado por padrão, escondido em três menus" em lugar nenhum deste app.
Modelos em nuvem veem exatamente o que você coloca na frente deles — nada é sincronizado, indexado ou "aprimorado" em segundo plano. Prefere o modo eremita completo? Execute um .gguf localmente e a rede poderá ficar totalmente desligada. A única exceção deliberada à criptografia é a exportação para Markdown, Word, PDF ou Excel — um arquivo que você pode abrir em qualquer outro lugar, o que é exatamente o objetivo.
O Lucent é um aplicativo de notas e tarefas para Android e Windows. Esta política descreve o que o aplicativo armazena, o que ele envia para fora do seu dispositivo e como você controla ambos. Descreve o Lucent conforme ele é construído neste repositório.
O restante deste documento explica cada uma dessas afirmações em detalhes, incluindo as limitações.
O Lucent é desenvolvido por Jessica Martinez. Perguntas sobre esta política ou sobre o tratamento de dados pelo aplicativo podem ser enviadas para yuan47578@gmail.com.
O Lucent é software livre lançado sob a Licença MIT. O desenvolvedor não opera nenhum serviço que colete ou armazene dados de usuários, e o aplicativo não possui componente de servidor.
Tudo o que você cria no Lucent reside no armazenamento privado do próprio aplicativo no dispositivo. Essa área de armazenamento não pode ser lida por outros aplicativos comuns e é removida quando você desinstala o aplicativo ou limpa seus dados.
O material armazenado inclui:
O banco de dados é criptografado com SQLCipher. No Android, o aplicativo usa Room sobre SQLCipher; no Windows, usa SQLite através do driver JDBC incluso configurado com o mecanismo SQLCipher e o mesmo tipo de chave de 256 bits. Notas, tarefas, conversas, histórico e configurações estão todos dentro desse banco de dados.
Os anexos são criptografados separadamente. Cada arquivo é gravado em um contêiner autenticado AES-256-GCM, em blocos de 64 KiB, antes de atingir o disco. O nome do arquivo no disco é um identificador aleatório em vez do nome visível no aplicativo.
Os backups também são sempre criptografados; veja a seção 6.
A chave do banco de dados e a chave de anexos são valores aleatórios de 256 bits gerados no seu dispositivo. Não são derivadas de nada que você digite e não são salvas no disco em texto simples. No Android, são protegidas por uma chave mantida no Android Keystore, com respaldo de hardware quando o dispositivo fornece, com um fallback local quando o Keystore não está disponível. Uma cópia de recuperação de cada chave é mantida para que um problema no Keystore não destrua seus dados.
Chaves de API, senhas WebDAV, a senha de backup e suas credenciais de bloqueio do app são armazenadas pelo mesmo caminho de segredos criptografados, nunca em texto simples. Sua senha de bloqueio do app e resposta de segurança nunca são armazenadas: apenas um hash com sal (salt) é mantido, e a senha em si não pode ser recuperada dele.
A criptografia aqui protege os dados em repouso: uma cópia do banco de dados, um arquivo de anexo ou um backup retirado do dispositivo não pode ser lido sem a chave. Ela não protege contra alguém usando seu dispositivo já desbloqueado com sua conta do sistema operacional e não protege os dados enquanto o app está aberto, pois o conteúdo descriptografado necessariamente reside na memória do dispositivo enquanto é exibido ou editado.
O Lucent não faz afirmações falsas sobre isso. Se a biblioteca de criptografia não puder ser carregada, ou um banco de dados não puder ser criptografado ou desbloqueado, o aplicativo registra o fato e avisa em vez de fingir sucesso; as Configurações oferecem uma verificação de criptografia que confirma se os valores estão selados e abrem corretamente. Se um banco de dados não puder ser descriptografado com a chave armazenada, o Lucent o separa em vez de excluí-lo e informa você, para que você possa restaurar a partir de um backup.
Widgets de tela inicial no Android exibem títulos de notas ou tarefas no seu inicializador. Qualquer coisa que um widget exiba é visível para quem puder olhar aquela tela. Os widgets são opcionais e podem ser removidos.
Por padrão, nada sai. O Lucent não requer conexão de rede para notas, tarefas, lembretes, histórico, anexos, pesquisa local ou o assistente no dispositivo.
Especificamente, o Lucent não contém SDK de análise, SDK de publicidade, serviço de relatório de falhas (crash reporting) e nem identificadores de rastreamento. Não há sistema de contas nem impressão digital do dispositivo enviada para lugar algum. O Crash Shield, quando ativado, grava erros capturados em um arquivo de log local no dispositivo e não os transmite. O registro de diagnósticos funciona da mesma forma: fica desativado por padrão, grava localmente e só é enviado a algum lugar se você mesmo o exportar e optar por compartilhar o arquivo.
Como não há servidor do Lucent, o desenvolvedor não tem como ler seus dados e não tem como recuperá-los para você.
Cada uma das opções a seguir é opcional, vem desativada por padrão e está sob o seu controle. Quando uma delas está ativa, os dados saem do dispositivo diretamente do app para o terceiro que você configurou; não passam por nenhum serviço do Lucent, pois nenhum existe.
O assistente no modo nuvem usa uma chave de API que você fornece e um provedor que você escolhe. O Lucent fala os formatos de requisição de endpoints compatíveis com OpenAI, Anthropic e Google, e qualquer endereço compatível com OpenAI funciona, incluindo DeepSeek e gateways auto-hospedados. Você pode manter vários perfis de provedor e alternar entre eles.
Quando você envia uma mensagem, o Lucent faz uma requisição HTTPS do seu dispositivo para a URL base configurada. Essa requisição contém:
Sua chave de API é enviada a esse provedor como cabeçalho de autenticação da requisição. Não é enviada para mais nenhum lugar. Leia a política de privacidade do provedor escolhido para entender o que ele faz com o texto recebido; esses termos são entre você e esse provedor, e o Lucent não tem visibilidade nem controle sobre eles.
O assistente não pode alterar seus dados silenciosamente. Antes de gravar qualquer coisa, ele mostra o que pretende fazer, e essa etapa de confirmação fica ativada por padrão. Ferramentas são opcionais: o modelo local tem seu próprio interruptor de ferramentas, e o acesso a ferramentas do assistente em nuvem é uma configuração que você pode desativar. Desativar qualquer um deles significa que o modelo pode conversar, mas não pode ler ou modificar suas notas e tarefas.
A pesquisa na web é desativada por padrão. Quando você a ativa e o assistente decide que uma pesquisa é necessária, o Lucent envia a consulta para um mecanismo de busca público. Você escolhe qual ou deixa em Automático, que tenta sucessivamente até que um responda: Bing, DuckDuckGo, Google, Brave, Mojeek, Yandex, Baidu, Sogou, 360 Search e a API de pesquisa da Wikipedia. Nenhuma chave de API de pesquisa é usada e nenhuma conta é criada. O texto da consulta sai do seu dispositivo; os resultados voltam para o assistente e são incluídos na resposta dele. O mecanismo que responde vê a consulta e seu endereço IP. A pesquisa na web precisa do modo agente e, no modelo local, do interruptor de ferramentas; o Modo Blackout a bloqueia completamente.
A pesquisa semântica do Lucent acompanha o assistente que você estiver usando, então não há nada extra para configurar. Enquanto o modelo local for o assistente ativo, a indexação permanece no dispositivo e não está implementada na versão atual, portanto nada sai dele. Enquanto o modelo em nuvem estiver ativo, o texto sendo indexado é enviado ao endpoint de embeddings do seu provedor de IA configurado para gerar cada vetor, o que significa que o texto das notas sai do seu dispositivo. Alternar entre os dois modelos altera esse comportamento instantaneamente.
O backup na nuvem é desativado por padrão. Se você o ativar, fornecerá o endereço, usuário e senha de um serviço compatível com WebDAV no qual já possua uma conta, como Nutstore, Nextcloud, Koofr ou qualquer outro servidor WebDAV. O Lucent faz upload dos seus arquivos de backup .lcb para a pasta que você indicar nesse servidor, podendo listá-los e baixá-los novamente para restauração. Os arquivos são criptografados antes de serem enviados; o serviço armazena o arquivo criptografado e as credenciais inseridas são enviadas a esse serviço para autenticação. O upload automático em nuvem é uma opção separada e também vem desativada por padrão.
A verificação automática de atualizações vem desativada por padrão. Quando você a ativa ou quando pede para o Lucent verificar, o aplicativo solicita as informações de versão mais recente à API pública de lançamentos do GitHub para este repositório e compara os números de versão. A solicitação não contém dados pessoais além do que qualquer requisição HTTPS comum carrega, como seu endereço IP e um user-agent identificando o Lucent. Se houver uma versão mais nova, o Lucent a oferece; o instalador ou APK só é baixado do GitHub se você optar por atualizar.
O Lucent não envia nada para fora por conta própria. Dois recursos repassam dados a outros aplicativos, e ambos estão sob seu controle:
Se você importar um modelo GGUF, o assistente poderá executá-lo com llama.cpp diretamente no dispositivo. Nesse modo, nada é enviado para lugar nenhum: não há conta, nem chave de API e nenhuma requisição de rede para gerar respostas. O arquivo do modelo fica no seu dispositivo e o modelo é descarregado da memória ao sair do app. Ferramentas locais são um controle separado e ficam desativadas por padrão. A aceleração por GPU é opcional e pode ser desativada.
Além de notas e tarefas, o assistente pode receber um conjunto de ferramentas real: uma pasta de área de trabalho que pode ler e gravar, comandos de terminal, documentos, extensões e conexões com serviços externos. Cada um desses itens é um interruptor separado em Configurações → Avançado → Ferramentas, e as partes que se comunicam para fora do dispositivo só agem quando ativadas e, por padrão, pedem sua confirmação primeiro.
sub-agents da área de trabalho no seu dispositivo, e nada é enviado para fora.Um backup é um único arquivo .lcb criado por você. Pode conter notas, tarefas, histórico de versões, cadernos, conversas, anexos, configurações e chaves de API, e opcionalmente fontes importadas e modelos locais. Você escolhe o que incluir e onde o arquivo é salvo.
Todo arquivo .lcb é criptografado. Existem dois modos:
Um backup protegido por senha pode conter opcionalmente uma pergunta e resposta de segurança para recuperar a senha mais tarde. Essa opção vem desativada por padrão e torna o backup tão seguro quanto o elemento mais fraco entre a senha e a resposta; escolha uma pergunta cuja resposta ninguém mais saiba.
Backups automáticos, quando ativados, gravam na pasta que você escolher, mantêm o número de cópias definido e também podem fazer upload para a sua pasta configurada no WebDAV. O próprio arquivo de backup é o mesmo contêiner criptografado em todos os casos. Onde seus arquivos de backup residem e quantas cópias existem é inteiramente decisão sua, assim como excluí-los.
A integração com shell privilegiado do Lucent é opcional, vem desativada por padrão e requer software e permissões externos ao Lucent.
No Android, o app pode usar o Shizuku para executar operações privilegiadas quando você tiver instalado o Shizuku, iniciado seu serviço e concedido permissão ao Lucent no sistema. Isso existe para executar ações que você solicite explicitamente e que aplicativos normais não podem realizar sozinhos, como instalar uma atualização do app baixada por você. O Lucent não pode iniciar o Shizuku, não pode auto-conceder a permissão e não faz nada por esse caminho a menos que você tenha ativado a integração e concedido a permissão. Você pode revogá-la a qualquer momento no Shizuku ou nas configurações do Android, e desativar a integração no Lucent. A verificação da identidade privilegiada real pode ser conferida no app, que mostra o UID obtido.
O Lucent também declara as permissões comuns do Android de que necessita, cada uma para uma finalidade declarada; consulte a seção 8.
O Lucent não pede acesso amplo aos seus arquivos ou armazenamento a menos que você ative o kit de ferramentas do agente e o aponte para uma pasta de trabalho, caso em que o acesso a todos os arquivos é o que permite que essa pasta seja lida e gravada como arquivos comuns; você pode recusar e manter a área de trabalho dentro do armazenamento do próprio Lucent. Em outros casos, arquivos e pastas são escolhidos por você por meio do seletor do sistema, e o Lucent recebe unicamente o item específico selecionado. Fontes e modelos funcionam da mesma forma: você os escolhe e eles são copiados para o armazenamento do aplicativo.
| Permissão | Por que o Lucent a solicita |
|---|---|
Acesso à rede (Android INTERNET) | Enviar mensagens ao provedor de assistente configurado, pesquisa na web quando você a ativa, backup via WebDAV quando você o ativa e verificações de atualização quando você as ativa. Nada é enviado sem que uma delas esteja em uso. |
Notificações (Android POST_NOTIFICATIONS) | Exibir lembretes de tarefas e o progresso de downloads, backups ou gerações iniciadas por você. |
Alarmes exatos (Android SCHEDULE_EXACT_ALARM) | Disparar lembretes de tarefas no horário exato configurado, em vez de horários aproximados. |
Executar na inicialização (Android RECEIVE_BOOT_COMPLETED) | Registrar novamente seus lembretes após a reinicialização do dispositivo, para que um lembrete definido para amanhã sobreviva a um reboot. |
Serviço em primeiro plano (Android FOREGROUND_SERVICE, FOREGROUND_SERVICE_DATA_SYNC) | Manter um backup, download ou geração por modelo em execução quando o app não estiver em primeiro plano, evitando que seja interrompido pela metade. |
Desbloqueio biométrico (Android USE_BIOMETRIC; Windows Hello no Windows) | Permitir que você desbloqueie o aplicativo com impressão digital ou reconhecimento facial em vez de digitar a senha de bloqueio. Opcional, desativado por padrão e usado exclusivamente para desbloqueio local. |
Vibração (Android VIBRATE) | Retorno tátil ao digitar e interagir com elementos. |
Instalar pacotes (Android REQUEST_INSTALL_PACKAGES) | Instalar atualizações baixadas por você, usando o instalador do sistema. |
Permissão de serviço Shizuku (Android moe.shizuku.manager.permission.API_V23) | A integração privilegiada opcional descrita na seção 7. Declarada apenas para permitir o uso do Shizuku caso instalado; não tem efeito algum sem a instalação e concessão no Shizuku. |
Acesso a todos os arquivos (Android MANAGE_EXTERNAL_STORAGE) | Opcional, desativada a menos que você a conceda, e usada apenas para que a pasta de trabalho escolhida possa ser lida e gravada como arquivos normais. Sem ela, o Lucent mantém a pasta de trabalho em seu próprio armazenamento interno. |
Localização (Android ACCESS_COARSE_LOCATION, ACCESS_FINE_LOCATION) | Lida somente quando o assistente chama sua ferramenta de localização, o que por sua vez só acontece se o controle de dispositivo estiver ativado e a permissão concedida. O Lucent nunca rastreia sua localização em segundo plano. |
O Lucent não pede acesso amplo aos seus arquivos ou armazenamento a menos que você ative o kit de ferramentas do agente e o aponte para uma pasta de trabalho, caso em que o acesso a todos os arquivos é o que permite que essa pasta seja lida e gravada como arquivos comuns; você pode recusar e manter a área de trabalho dentro do armazenamento do próprio Lucent. Em outros casos, arquivos e pastas são escolhidos por você por meio do seletor do sistema, e o Lucent recebe unicamente o item específico selecionado. Fontes e modelos funcionam da mesma forma: você os escolhe e eles são copiados para o armazenamento do aplicativo.
A privacidade no Lucent é composta por interruptores, todos em suas mãos, todos nas Configurações. Os principais são:
O Lucent mantém seus dados no seu dispositivo até que você os exclua. Notas e tarefas excluídas vão para a lixeira primeiro e são removidas permanentemente após 30 dias, a menos que você esvazie a lixeira ou limpe todos os dados antes. O histórico de versões é mantido apenas enquanto a respectiva opção de histórico estiver ativa e é removido junto com a nota ou tarefa a que pertence.
Para apagar tudo:
Se você deseja que esses dados também desapareçam, exclua os arquivos e use os controles de exclusão dos respectivos provedores.
Três itens fogem ao alcance do Lucent e o aplicativo não pode excluí-los por você:
Se você deseja que esses dados também desapareçam, exclua os arquivos e use os controles de exclusão dos respectivos provedores.
O Lucent é um aplicativo de notas e tarefas de uso geral. Não é direcionado a crianças, não possui sistema de contas, não tem anúncios nem funções sociais, e o desenvolvedor não coleta dados pessoais de ninguém, incluindo crianças. Os dados do app permanecem no dispositivo da pessoa que o utiliza.
Se uma versão futura do Lucent alterar o tratamento de dados, esta política será atualizada e a data no topo mudará. Alterações substantivas, isto é, que afetem o que sai do seu dispositivo, serão descritas nas notas de lançamento da versão em que forem introduzidas. A versão desta política aplicável a você é a fornecida com a versão do Lucent que você está executando, e o histórico pode ser acompanhado no histórico de commits do repositório.
Dúvidas, correções e sugestões sobre privacidade no Lucent podem ser enviadas para yuan47578@gmail.com.
Desenvolvedora: Jessica Martinez
Copyright © 2026-2027 Jessica Martinez.