«Alojado na UE» escreve-se facilmente. Por isso, esta página não diz «UE», mas sim quem, o quê e onde, com nomes, sedes e centro de dados. Se alguma informação aqui estiver errada, é um erro que queremos que nos atires à cara: support@memexa.ai.
Guardado em Paris
Na Scaleway. A leitura é feita pela Mistral em Paris e pela IONOS em Berlim.
Ninguém treina com eles
Nem nós, nem os nossos fornecedores.
Tudo é teu
Exportas com um clique. Sem subscrição, continua tudo legível.
Antes de falarmos de locais: podes sair a qualquer momento. Um clique nas definições exporta tudo, na íntegra: as notas em Markdown, os textos dos documentos, as ligações e todos os outros dados em JSON, os teus ficheiros originais num ZIP à parte. Formatos que qualquer ferramenta lê, e funciona também sem subscrição ativa. O grafo é um índice, não uma prisão. Um fornecedor que fala primeiro do centro de dados e só depois da exportação trocou a ordem.
O Memexa funciona na Scaleway, na região fr-par, Paris: servidores aplicacionais, PostgreSQL gerido e armazenamento de objetos (documentos). Todas as ligações à base de dados passam por uma rede privada; a base de dados não tem endereço público. O operador é a Scaleway SAS, filial do grupo Iliad, França.
A lista completa: cada empresa com sede e finalidade. O que não consta aqui não recebe os teus dados.
Scaleway SAS
Mistral AI SAS
IONOS SE
BunnyWay d.o.o.
Sendinblue SAS (Brevo)
Armitage Labs OÜ (Creem)
Migadu-Mail GmbH
Langfuse GmbH
Plausible Insights OÜ
Todos os planos passam pela Armitage Labs OÜ (Creem), em Tallinn, como merchant of record. A Creem trabalha, por sua vez, com subcontratados nos EUA, porque sem as redes de cartões e os seus prestadores de serviços não há pagamento com cartão. Preferimos escrevê-lo a deixá-lo desaparecer debaixo de um «UE». Esta cadeia recebe o que uma faturação exige: endereço de e-mail, país de faturação, montante, estado da subscrição. Nunca recebe: notas, documentos, pesquisas, o grafo. Não tem acesso à base de dados nem ao armazenamento de objetos e não toca nos teus conteúdos em momento algum. As transferências estão cobertas pelas cláusulas contratuais-tipo da UE; a lista atualizada de subcontratados está em creem.io/dpa.
support@ e privacy@ estão alojadas na Migadu-Mail GmbH, com sede em Appenzell Exterior, na Suíça; os servidores estão na OVH, na UE. A Suíça não é membro da UE, mas a Comissão Europeia reconhece-lhe um nível adequado de proteção de dados, pelo que uma transferência para lá não precisa de garantias adicionais. Nestas caixas está o que nos escreves: e-mail de suporte. Nenhum conteúdo da tua memória. A Migadu é um serviço de e-mail pago, sem financiamento publicitário. O e-mail recebido para a tua memória não passa por aqui, mas pela Brevo, que tem a sua própria linha na tabela acima.
O processamento dos teus conteúdos é feito com modelos da Mistral AI, Paris. Concretamente: mistral-ocr-latest para reconhecimento de texto, mistral-embed para embeddings, mistral-small para condensação e voxtral-mini para transcrição de áudio. Nenhum fornecedor de modelos norte-americano vê os teus conteúdos. E ninguém treina modelos com eles: nem nós, nem estes serviços, que só processam os teus conteúdos para a respetiva função. O modelo de linguagem com que falas (Claude, ChatGPT, …) vem da tua própria app de IA. O Memexa só lhe entrega as citações. A isto junta-se uma peça com fornecedor próprio: a ordenação dos resultados de pesquisa.
Quando uma pesquisa devolve vários resultados de qualidade semelhante, um modelo adicional ordena-os por relevância (um chamado cross-encoder): Qwen/Qwen3-VL-Reranker-8B no AI Model Hub da IONOS SE, com sede em Montabaur. Para lá vão excertos de texto dos candidatos, através do endpoint openai.inference.de-txl.ionos.com (o nome vem da interface compatível com a OpenAI; a OpenAI não está envolvida), e são tratados no centro de dados da IONOS em Berlim. A sede da empresa e o local de tratamento ficam, portanto, ambos na Alemanha. Além disso, o passo não corre em todas as pesquisas, apenas quando os resultados estão muito próximos entre si e ordená-los muda de facto alguma coisa. E recebe excertos, não documentos inteiros.
O registo de erros corre numa instância GlitchTip auto-alojada na nossa própria infraestrutura Scaleway: os relatórios de falhas não saem dos nossos servidores. E não te contêm a ti: antes de um relatório sair, são removidos a identidade do utilizador, o IP, os cookies, os cabeçalhos, os tokens de autorização, o corpo do pedido e a query string. O corpo é a parte importante: caso contrário, estariam lá conteúdos de notas e pesquisas. O tracing de desempenho está desativado por predefinição. As estatísticas de visitas deste site não usam cookies (Plausible, UE) e na app não há nenhumas.
As chaves de acesso seguem o princípio do privilégio mínimo: cada sistema recebe apenas as permissões de que realmente precisa. Exemplo: o deploy automático deste site não tem nenhuma chave de CDN com alcance de toda a conta, apenas um token que faz exatamente uma coisa: limpar a cache destas páginas. As chaves centrais ficam no Secret Manager da Scaleway, não em sistemas de build externos.
Na maioria dos serviços, é o código da aplicação que impede que vejas dados alheios. Basta então um «where user = …» esquecido numa única consulta para haver uma fuga. No Memexa, a separação está uma camada abaixo: o PostgreSQL impõe-na através de row-level security. Sem um contexto de utilizador definido, a base de dados não devolve linha nenhuma: não as erradas, mas nenhuma. O contexto é definido por transação e desaparece automaticamente quando esta termina, por isso não pode passar para a ligação seguinte do pool. Para que continue assim, corre com os testes uma verificação que dispara assim que surge uma nova tabela sem row-level security ou sem classificação explícita: o build falha em vez de passar em silêncio.
O Claude, o ChatGPT e o Cursor não recebem uma chave-mestra. O acesso passa por OAuth: antes de autorizares, vês que app de IA está a pedir e para onde vai o acesso, e confirmas tu mesmo. O clipper do navegador e o acesso completo de IA têm permissões separadas: o clipper pode guardar, não pesquisar o teu acervo. Podes desligar as apps de IA ligadas a qualquer momento no Memexa; além disso, uma app de IA pode devolver o seu acesso por iniciativa própria. E a verificação de acesso não depende de um único ponto central: cada interface verifica a sessão por si, para que um erro num sítio não abra tudo.
Podes apagar a tua conta tu mesmo, com confirmação por e-mail. O que acontece a seguir está invertido de propósito: primeiro são removidos todos os ficheiros do armazenamento de objetos, em todo o prefixo do utilizador, ou seja, incluindo ficheiros órfãos que já não pertencem a nenhuma entrada. Só depois são apagados os registos da base de dados. Se a eliminação dos ficheiros falhar, todo o processo é interrompido e a tua conta mantém-se, em vez de os dados de gestão desaparecerem e os documentos ficarem para trás. O processo pode ser repetido sem risco. Conteúdos individuais podes apagá-los um a um a qualquer momento, sem tocar na conta.
Cada troço é cifrado: TLS 1.2 ou superior na periferia, as versões mais antigas estão desativadas; também as ligações à base de dados verificam o certificado e o nome de host, não apenas «cifradas de alguma forma». A base de dados está numa rede privada sem endereço público. À frente estão uma WAF e proteção contra DDoS, e o servidor de origem só aceita pedidos vindos da rede da CDN, por isso não se chega a ele diretamente. O contentor da aplicação corre sem privilégios de root, as dependências são construídas a partir de um lockfile fixado, e o único binário externo de que precisamos está fixado a uma versão e a uma soma de verificação.
Uma página que só enumera pontos fortes é um anúncio. Por isso, aqui fica a lista contrária. Cada ponto é uma pergunta que nos fizeram ou que nos fariam:
«Os teus dados nunca saem da UE.»
Não dizemos isso. Assim que ligas o Claude ou o ChatGPT, envias citações ao fornecedor deles. É esse o objetivo, mas é uma decisão tua, não uma garantia nossa. A isto junta-se a cadeia de pagamento, referida abertamente mais acima.
«Só tu consegues decifrar os teus dados.»
Não dizemos isso. O Memexa não tem cifragem ponta a ponta. Para que o reconhecimento de texto, a pesquisa e as ligações funcionem, o serviço e os subcontratantes referidos têm de conseguir ler os conteúdos. Quem precisa de um verdadeiro armazenamento zero-knowledge precisa de outra ferramenta e não deve acreditar em ninguém que prometa as duas coisas ao mesmo tempo.
«Certificado segundo a ISO 27001 ou SOC 2.»
Não somos. Fizemos a verificação com critérios orientados pela OWASP, o que é diferente de um certificado, e também não lhe chamamos isso.
«Testes de intrusão feitos por auditores independentes.»
Não. Há várias revisões de segurança do código, documentadas e em várias fases, todas internas. Um pentest externo é outra coisa, e enquanto não houver um, aqui não aparece outra palavra.
«Alta disponibilidade, 99,9 %.»
Não. A base de dados de produção funciona sem failover. Há cópias de segurança e recuperação para um ponto no tempo, mas nenhum nível de disponibilidade garantido. E enquanto não pudermos mostrar uma restauração ensaiada e datada, também não prometemos nenhum.
O Memexa é autofinanciado: sem investidores, sem pressão de saída. As tuas subscrições são o modelo de negócio, não os teus dados.
Depois a partir de 2,99 €/mês · cancelas antes · cartão obrigatório