As tuas fotos, as tuas regras.
Fora da nuvem, de vez.

Um Raspberry Pi 5 (8 GB) com um cartão micro-SD para o sistema e duas unidades USB para o armazenamento, em espelho, para que cada uma guarde uma cópia completa dos teus ficheiros: pens USB, SSD, discos rígidos ou cartões micro-SD em leitores de cartões USB, tudo funciona. Liga-as às duas portas USB azuis do Pi (as rápidas; assim, se uma avariar, o dispositivo diz-te qual delas substituir). Junta uma fonte de alimentação e um sistema de arrefecimento ativo: tudo componentes comuns. O Pi e duas pens USB de 512 GB custam cerca de 310 €, cerca de 340 € no total para 512 GB de armazenamento protegido. Consulta o README para ver a lista exata de componentes recomendados. Um Pi 5 com 4 GB também pode funcionar, com a etiquetagem de imagens e o reconhecimento facial desativados.

Sim, para um Raspberry Pi 5 com pelo menos 8 GB de RAM (um de 4 GB só funciona com a etiquetagem de imagens e o reconhecimento facial desativados em Definições): vê o separador Imagem para Raspberry Pi 5 no topo. Grava-a, liga o Pi e configura-o a partir do teu telemóvel: toca em «Configurar um novo dispositivo» na app para iOS ou Android, que encontra o Pi por Bluetooth e te guia no resto. Para qualquer outra máquina Debian/Ubuntu, usa o script de instalação.

Sim. O script de instalação funciona em qualquer máquina de 64 bits, Intel/AMD ou ARM, com Ubuntu, Debian ou outro Linux baseado em Debian: um PC ou portátil antigo, um mini PC ou uma placa como um Orange Pi com uma imagem Debian ou Ubuntu. Compila o software na própria máquina, por isso tens a mesma app: cópia de segurança de fotos, sincronização de pastas, etiquetagem de imagens, reconhecimento facial, amigos, partilha e atualizações em Definições. Dá-lhe 8 GB de memória, como o Raspberry Pi 5 para o qual foi concebido.

Algumas coisas que só o Raspberry Pi 5 tem:

• A imagem pronta a usar e a configuração a partir do telemóvel por Bluetooth. Noutras máquinas, executas um comando num terminal, e a primeira palavra-passe introduzida no dispositivo passa a ser a palavra-passe dele, por isso abre-o e escolhe uma logo de seguida.
• Saber que disco substituir. Num Pi, o alerta indica a porta USB onde está o disco avariado; noutras máquinas, diz «um dos dois discos de armazenamento» e indica o nome de sistema e o número de série do disco.
• As luzes de estado, que são ligadas aos pinos do próprio Pi (ver abaixo).

O script também consegue pôr dois discos em espelho noutras máquinas, mas só quando lho pedes, porque apaga ambos. Se não encontrar discos para pôr em espelho, para e explica-te como instalar num só disco. Para dares à máquina um endereço off-the.cloud, adiciona primeiro o nome na página da tua conta e copia para a máquina a identidade que lá aparece antes de executares o script.

As luzes são opcionais: uma por disco de armazenamento, verde quando está tudo bem e vermelha quando precisa de ti. Cada luz é um LED vermelho e um LED verde lado a lado (ou um LED bicolor com três pernas), e cada cor liga a um pino do Raspberry Pi através de uma resistência de 330 Ω. Faz as ligações com o Pi desligado. O dispositivo acende-as sozinho; não há nada para configurar.

As mesmas ligações, por palavras:

• Luz 1, vermelho: pino 11 (GPIO17), através de uma resistência de 330 Ω, à perna comprida do LED vermelho.
• Luz 1, verde: pino 13 (GPIO27), através de uma resistência de 330 Ω, à perna comprida do LED verde.
• Luz 1, as duas pernas curtas: pino 9 (GND).
• Luz 2, vermelho: pino 15 (GPIO22), através de uma resistência de 330 Ω, à perna comprida do LED vermelho.
• Luz 2, verde: pino 16 (GPIO23), através de uma resistência de 330 Ω, à perna comprida do LED verde.
• Luz 2, as duas pernas curtas: pino 14 (GND).

Com um LED bicolor, a perna comum (normalmente a do meio) liga ao GND; tem de ser do tipo com a perna negativa partilhada, chamado cátodo comum. O que as luzes indicam:

• Ambas verdes: os dois discos estão a funcionar e têm os mesmos ficheiros.
• Uma vermelha, uma verde: o disco da luz vermelha deixou de funcionar ou foi retirado. Os teus ficheiros estão seguros no outro: substitui o da luz vermelha em breve.
• Uma vermelha a piscar, uma verde: um disco novo está a receber uma cópia dos teus ficheiros. Não retires o da luz verde até as duas voltarem a ficar verdes.
• Ambas vermelhas: não há nenhum espelho ativo: o dispositivo foi configurado sem dois discos, ou nenhum dos discos está a funcionar.
• Ambas apagadas: o dispositivo está desligado ou ainda a arrancar.

Cada luz acompanha um dos dois discos do espelho, não uma porta USB, por isso consulta o alerta na app para saberes que disco retirar.

Basta um dispositivo. Como proprietário, adicionas uma conta para cada pessoa em Definições › Utilizadores (na app web, na app para iPhone ou na app para Android), e cada pessoa escolhe a sua palavra-passe da primeira vez que inicia sessão. Cada conta tem a sua própria cópia de segurança de fotos e a sua biblioteca, e as fotos e os ficheiros dela são encriptados com a palavra-passe dessa pessoa, por isso não os consegues abrir a partir da tua conta. Todos partilham o mesmo dispositivo e os seus dois discos em espelho; o ecrã Utilizadores mostra quanto espaço ocupa cada conta, e podes pausar uma conta, ou removê-la juntamente com os ficheiros dela, a qualquer momento.

Não há um limite fixo de contas, mas cada uma executa a sua própria cópia do software do dispositivo e ocupa memória, por isso, quantas mais houver, mais lento fica o dispositivo. Recomendamos no máximo cinco num só dispositivo.

Para usar a sua conta fora de casa, um familiar precisa de um endereço off-the.cloud próprio, tal como um dispositivo. Dás-lhe um quando adicionas a conta dele na app web: em Definições › Utilizadores, deixa Pedir acesso à ponte marcado e ele recebe <nome de utilizador>.off-the.cloud (se esse endereço estiver ocupado, escolhe outro nome de utilizador). Decide quando adicionares a conta, porque não há nenhuma opção para dar um endereço a uma conta existente mais tarde. As apps para iPhone e Android ainda não oferecem isto: as contas adicionadas lá só funcionam na tua rede doméstica.

O dispositivo regista estes endereços sozinho, fora da tua conta da ponte, por isso não contam para os cinco endereços dela nem aparecem na página da tua conta. Com um destes endereços, um familiar chega à sua conta a partir de qualquer lado, e podem tornar-se amigos no feed privado e partilhar fotos lá.

Troca os dois cartões por outros maiores, um de cada vez, com o dispositivo a funcionar. Retira um cartão e coloca um maior, pelo menos do mesmo tamanho que o que retiraste: o dispositivo copia tudo para ele automaticamente (o que já estiver no cartão novo é apagado). Recebes um alerta a dizer que um disco deixou de funcionar, o que aqui é normal, e outro, «Os dois discos de armazenamento voltaram a funcionar», quando a cópia terminar; isso pode demorar algumas horas num cartão grande. Só depois fazes o mesmo com o outro cartão. Quando os dois cartões forem maiores, o dispositivo aumenta sozinho o armazenamento para o tamanho do mais pequeno, em cerca de dez minutos, sem parar. Os teus ficheiros ficam disponíveis durante todo o tempo, mas enquanto uma cópia está a decorrer estão num só cartão, por isso nunca retires o segundo cartão antes de a primeira cópia terminar.

Os dois discos em espelho já guardam duas cópias de tudo, mas estão ambos no mesmo sítio: protegem-te da avaria de um disco, não de roubo, incêndio, avaria dos dois discos ou de um ficheiro eliminado por engano. Para teres uma cópia guardada noutro lado, podes alternar um dos discos:

1. Com o dispositivo a funcionar e sem carregamentos em curso, retira um dos dois discos. O dispositivo continua com o outro e recebes um alerta a dizer que um disco deixou de funcionar, o que aqui é normal.
2. Coloca no lugar dele um disco sobressalente, pelo menos do mesmo tamanho que o que retiraste. O dispositivo apaga-o e copia tudo para ele automaticamente. Quando terminar, recebes outro alerta, «Os dois discos de armazenamento voltaram a funcionar»; isso pode demorar algumas horas.
3. Guarda o disco que retiraste num local seguro, longe do dispositivo. Para atualizares a cópia mais tarde, repete o processo: o disco que sai é a tua nova cópia, e o que entra é apagado e preenchido de novo.

Até uma cópia terminar, os teus ficheiros estão num só disco, por isso nunca retires o outro disco antes disso. Enquanto faltar um disco, o dispositivo aceita como substituto qualquer disco suficientemente grande que ligues e apaga-o, por isso não ligues outros discos entretanto.

O disco que guardas é uma cópia completa do dispositivo tal como estava quando o retiraste: os teus ficheiros, a base de dados, as definições e o endereço dele. Um computador não o consegue ler diretamente. Para o recuperar, configura um Raspberry Pi com a imagem, liga esse disco e escolhe «Recuperar este dispositivo» na configuração: tudo volta a ficar como estava e, quando adicionares um segundo disco, o dispositivo volta a enchê-lo. Precisas da palavra-passe do dispositivo tal como estava quando o disco foi retirado, porque os ficheiros nele estão encriptados com ela. Usa-o apenas em vez do dispositivo original, nunca ao mesmo tempo, porque ambos responderiam no mesmo endereço. Os ficheiros nele estão encriptados, mas os nomes, as etiquetas e as tuas publicações não, por isso guarda-o com o mesmo cuidado que o próprio dispositivo.

Os teus telemóveis e computadores também guardam as suas próprias cópias: as apps copiam as tuas fotos e pastas para o dispositivo, não as movem. Para guardares num computador uma cópia de algo que está no dispositivo, seleciona-o em Ficheiros na app web e escolhe Transferir ZIP, ou adiciona uma das pastas do dispositivo à app para Mac, Windows ou Linux. Isso é uma sincronização, não uma cópia de segurança, por isso um ficheiro eliminado num lado é eliminado no outro.

Lamentamos, mas não. A palavra-passe do teu dispositivo é a única coisa que desbloqueia a chave com que os teus ficheiros estão encriptados. O dispositivo não a guarda, nós também não, e não há forma de a repor nem nenhuma porta das traseiras: sem ela, ninguém consegue abrir as fotos, os vídeos e os ficheiros guardados com ela, nem tu, nem mais ninguém no dispositivo, nem nós. É isso que os mantém seguros se o dispositivo for roubado.

O que podes fazer:

• Alguma das tuas apps ainda tem sessão iniciada? Então ainda consegue abrir tudo, porque guarda a palavra-passe. Não termines a sessão nela e usa-a para copiar o que precisas antes de avançares.
• Procura os teus originais. As apps copiam fotos e pastas para o dispositivo sem as removerem, por isso a maior parte do que lá está pode ainda estar nos teus telemóveis e computadores.
• Recomeça. Grava um cartão novo, volta a configurar o dispositivo e escolhe «Começar do zero» (isto apaga os dois discos); depois, escolhe uma palavra-passe nova e deixa que as tuas apps voltem a fazer a cópia de segurança de tudo.
• Um familiar esqueceu-se da palavra-passe? O proprietário também não a pode repor. A única forma é remover a conta dessa pessoa, o que elimina os ficheiros dela, e voltar a criá-la.

A palavra-passe da tua conta off-the.cloud é outra: se te esqueceres dela, a página da conta envia-te por email uma ligação para a repores, e o teu dispositivo e os teus ficheiros não são afetados. Para evitares tudo isto, guarda a palavra-passe do dispositivo num gestor de palavras-passe ou escrita num local seguro. Podes alterá-la em Definições a qualquer momento, desde que saibas a atual, e os teus ficheiros ficam como estão.

Sim: põe-na em apenas carregamento, com o cadeado ao lado da pasta em Ficheiros (na app web, na app para iPhone ou na app para Android). A partir daí, nada nessa pasta pode ser eliminado, seja a partir de um telemóvel, de um computador ou da web, e quando um ficheiro é carregado novamente com o mesmo nome, o dispositivo guarda também a versão anterior, por isso uma edição nunca substitui o teu original. As apps de sincronização para Mac e Windows/Linux fazem isto sozinhas para uma pasta de que escolhas fazer cópia de segurança. Podes voltar a desativá-lo com o mesmo cadeado; as versões guardadas até aí mantêm-se.

O teu dispositivo está atrás do router de casa, por isso a internet não lhe consegue chegar sozinha. A ponte é o nosso serviço de retransmissão em off-the.cloud: dá ao teu dispositivo um endereço como casa.off-the.cloud e encaminha para ele as ligações das tuas apps e dos dispositivos dos teus amigos. Precisas dela para chegares ao teu dispositivo fora de casa, para os amigos e as publicações, para ligações de partilha que funcionam em qualquer lado e para as notificações no teu telemóvel. Em casa não precisas dela: os ficheiros, a cópia de segurança de fotos dos teus telemóveis e computadores, a galeria, as etiquetas e as pessoas funcionam todos através da tua própria rede.

Para a usares, cria uma conta; a configuração do dispositivo pede uma, mas também podes saltar este passo e ligar-te mais tarde em Definições. Sem a ponte, continuas a poder chegar ao teu dispositivo fora de casa com o Tailscale Funnel ou com uma ponte tua (vê a pergunta seguinte).

Sim. Todo o Off The Cloud é software gratuito e de código aberto, sob a licença GNU AGPL: o dispositivo, as apps e a ponte. Em casa, não custa nada além do teu hardware.

A ponte é a única parte paga, e é opcional. A tua conta é gratuita durante os dois primeiros anos; depois disso, custa 9,99 € + IVA por ano, com até cinco endereços off-the.cloud incluídos, e enviamos-te um email antes de o período gratuito terminar. Cada endereço além desses cinco custa 2 € por ano: a página da tua conta regista até cinco, por isso, para mais, escreve-nos para info@off-the.cloud ou usa o formulário abaixo. Se deixares de pagar, os teus endereços são libertados e o teu dispositivo continua a funcionar em casa.

Para chegares ao teu dispositivo fora de casa sem a ponte:

• Tailscale Funnel, integrado (Definições › Tailscale Funnel), publica o teu dispositivo num endereço teu em ts.net. Precisas de uma conta Tailscale, o Tailscale limita a quantidade de dados que pode passar, e os amigos, as publicações e as contas de família não funcionam assim: é indicado para um dispositivo usado como armazenamento privado teu.
• Uma ponte tua: a ponte também é de código aberto, por isso podes executá-la no teu próprio servidor e domínio. Nesse caso, os teus amigos têm de usar a mesma ponte.
• A tua própria VPN para a tua rede doméstica: as apps chegam ao dispositivo como se estivesses em casa.

Em casa, costuma ser muito mais rápido. As apps para iPhone, Android, Mac e Windows/Linux ligam-se diretamente ao teu dispositivo através do teu próprio Wi-Fi ou da tua rede, por isso as cópias de segurança, os carregamentos grandes e os vídeos circulam à velocidade da rede local. Um serviço na nuvem tem de enviar cada ficheiro pela ligação à internet da tua casa, cuja velocidade de envio é muitas vezes uma pequena fração da do teu Wi-Fi. Fora de casa, as apps passam pela ponte, como habitualmente. A ligação em casa é encriptada e verificada com a chave do próprio dispositivo, por isso nada é alguma vez enviado para uma máquina que se faça passar pelo teu dispositivo.

Os teus ficheiros são encriptados em repouso com uma chave que só a tua palavra-passe desbloqueia, e a palavra-passe nunca é guardada no dispositivo. As fotos e os vídeos que publicas, e as publicações que os teus amigos partilham contigo, são a exceção: são guardados sem encriptação para que os dispositivos dos teus amigos os possam obter a qualquer momento. Os nomes dos ficheiros e as etiquetas também ficam legíveis para que a pesquisa funcione. Nada é vendido, usado para treinar modelos de IA nem mostrado a alguém com quem não tenhas escolhido partilhá-lo. As duas perguntas seguintes explicam o que a ponte e outros serviços veem, e onde as tuas fotos são analisadas.

As tuas fotos, os teus vídeos e os teus ficheiros ficam no teu dispositivo. Nada é vendido, usado para publicidade ou para treinar IA, e nenhuma das apps contém ferramentas de análise, publicidade ou relatórios de falhas. Há alguns serviços envolvidos, e isto é o que cada um recebe:

• A ponte (gerida por nós, em servidores da OVH em França), se a usares: a tua conta (email, nome, apelido e país), os nomes dos teus dispositivos (como casa.off-the.cloud), quando uma app chegou pela última vez a cada dispositivo, totais de tráfego por hora (nunca o conteúdo) e, durante 90 dias, o endereço de internet das tentativas falhadas de ligação como o teu dispositivo. As ligações a ela são encriptadas, mas a ponte desencripta-as e volta a encriptá-las à passagem, por isso não são encriptadas ponto a ponto; nada do que passa é guardado. Um dispositivo sem a ponte só a contacta durante a configuração.
• A Apple e a Google entregam as notificações em iPhones e telemóveis Android. Uma notificação só diz quem fez o quê («Ana gostou da tua publicação») ou que aconteceu algo ao teu dispositivo (um disco deixou de funcionar, ficou sem ligação), nunca o que diz uma publicação ou um comentário, e nunca uma foto. A app para Android usa o Firebase da Google para isto e para mais nada. As notificações num navegador passam pelo serviço push do fabricante do navegador, encriptadas.
• A Proton envia os nossos emails (confirmação do teu email, reposição de palavra-passe, o aviso antes de uma conta sem utilização ser removida) e entrega os registos do dispositivo que escolhas enviar-nos.
• O início de sessão com a Apple ou o Google, se o usares, dá-nos o teu email e o teu nome.
• O GitHub disponibiliza o software do dispositivo e as atualizações; durante a instalação ou a atualização, o dispositivo também transfere componentes do servidor espelho da linguagem Go, gerido pela Google, pacotes dos repositórios do sistema operativo e do Tailscale e, da primeira vez, os modelos de IA a partir do Hugging Face e do GitHub. Como em qualquer transferência, estes serviços veem o endereço de internet da tua casa.
• Mapas: quando abres os detalhes de uma foto, o mapa vem do OpenStreetMap (app web e Android) ou do Apple Maps (iPhone), que veem o local mostrado.
• O Tailscale, só se ativares o Tailscale Funnel (o software está instalado, mas fica desativado até lá).

Ainda não há nenhum fornecedor de pagamentos. Os detalhes estão no nosso aviso de privacidade.

No teu dispositivo. O modelo de etiquetagem e os modelos de rostos são transferidos uma vez, quando o software é instalado, e são executados no processador do próprio dispositivo; com várias contas de família, a principal executa-os para todos. Nenhuma foto é enviada para lado nenhum para ser etiquetada ou reconhecida, e os nomes dos lugares vêm de uma lista de cidades guardada no dispositivo, por isso as localizações das tuas fotos também não são enviadas para lado nenhum.

O reconhecimento facial está desativado a menos que o ligues, na configuração ou em Definições, porque os rostos são dados pessoais sensíveis. Analisa as fotos adicionadas enquanto está ativo, e os dados faciais que guarda são encriptados com a tua palavra-passe, tal como os teus ficheiros; os nomes que dás às pessoas não são. A etiquetagem está ativa desde o início e pode ser desativada em Definições.

As tuas fotos só saem do dispositivo quando escolhes: quando as publicas para os teus amigos, envias uma ligação de partilha ou as abres nas tuas apps fora de casa, através da ponte.

Sim: o dispositivo, a ponte e todos os clientes são de código aberto e estão no GitHub. Podes auditá-los, alojar a tua própria ponte ou compilar a tua própria imagem do dispositivo a partir do código-fonte.

É totalmente opcional. Usa o OTC apenas como NAS para cópias de segurança e sincronização de ficheiros, se for só isso que queres: o feed social só mostra conteúdo de amigos que aceitaste explicitamente.