A controldealquiler.com no tenim la clau dels teus documents ni de les teves dades personals.
Aquí t'expliquem per què.

No podem recuperar les teves dades. No és que no vulguem: és que no podem. La teva clau privada de xifratge només la coneixes tu (i qui tu li la donis), i només s'utilitza en introduir-la al teu navegador. Si la poguéssim recuperar, també ho podria fer un atacant que comprometés els nostres servidors, un empleat descontent o una ordre judicial. La irrecuperabilitat és exactament la garantia. Recomanem desar la teva clau privada de xifratge en un gestor de claus (1Password, Bitwarden, l'anell de claus del navegador).

En dos moments, i convé distingir-los. El primer no el demanes tu: en pujar un fitxer —i també en obrir per primera vegada un habitatge amb documents arribats per correu, Telegram o WhatsApp— enviem al model, a través del nostre servidor, les primeres pàgines convertides en imatge, el text del PDF si en té i la nota que hi afegeixis (una foto hi va sencera) per classificar de què es tracta. El segon sí que el demanes tu amb un clic: en escanejar qualsevol document per treure'n les dades, el teu navegador el desxifra i l'envia sencer al model a través del nostre servidor, que el reenvia en memòria sense desar-lo (d'una escriptura, les seves cinc primeres pàgines). En tots dos casos el resultat torna al teu navegador i es xifra abans de desar-se: controldealquiler.com no emmagatzema còpies en clar, i el proveïdor del model (Anthropic) no entrena amb els teus arxius. L'original continua xifrat a la base de dades com qualsevol altre document. Si prefereixes que no passi cap dels dos, pots desactivar la intel·ligència artificial al teu perfil: llavors classifiques i omples les dades a mà, i del teu navegador no surt res més que els bytes xifrats del document. L'interruptor val per al que fa el teu compte: si un copropietari o la teva gestoria tenen la seva activada, els seus escanejos sí que es fan.

Sí, amb un matís que convé explicar amb honestedat. Comencem per desfer una comparació fàcil: no és que el fitxer que puges des de l'app no passi mai pel nostre servidor i el del correu sí. Quan puges un fitxer des de l'app, abans de xifrar-lo en surten del teu navegador les primeres pàgines convertides en imatge, el text del PDF si en té i la nota que hi afegeixis (una foto hi surt sencera) cap al nostre servidor i el nostre proveïdor d'IA, que la miren només per classificar de quin document es tracta. Aquest trànsit existeix, no es desa en clar, el proveïdor no hi entrena, i el pots desactivar del tot des del teu perfil desactivant la intel·ligència artificial: llavors classifiques tu a mà i no en surt res sense xifrar. Després, el fitxer sencer es xifra al teu navegador i el que es desa són bytes que només s'obren amb la teva clau. Un correu, en canvi, viatja per internet (el protocol SMTP) i arriba físicament al nostre servidor en clar i sencer — això no ho decideix controldealquiler.com, és com funciona el correu a tot el món. El que fem és xifrar-lo en l'instant en què arriba, fent servir la teva clau PÚBLICA de xifratge: un cadenat d'una sola direcció que qualsevol pot tancar però que només la teva clau privada (la que no surt mai del teu navegador) pot obrir. El servidor tanca el cadenat sense poder tornar-lo a obrir i esborra l'original en clar a l'instant. Així doncs, la diferència real no és «un hi passa i l'altre no», sinó quant hi passa i per què: del fitxer que puges en viatgen unes pàgines reduïdes per classificar-lo, o res si apagues la IA; del correu en viatja el missatge sencer, perquè el correu no sap arribar d'una altra manera. En cap dels dos casos no desem el document en clar. El correu es rep i es xifra dins de la UE (Irlanda); la lectura amb IA, si la tens activada, la fa el nostre proveïdor d'IA (Anthropic), fora de la UE. El que queda desat només s'obre amb la teva clau.

Els teus documents i les teves dades personals se'ls emporten xifrats (iv + ciphertext + auth tag). La clau que els obre també hi és, però tancada amb la teva clau privada de xifratge: per obrir-la haurien d'endevinar la teva clau privada, provant combinacions contra PBKDF2 amb 200.000 iteracions per intent. Amb una clau privada llarga, això és computacionalment prohibitiu; amb una de curta, és atacable, així que tria-la llarga. El que desem en clar per calcular —imports, dates, caselles, municipi— sí que quedaria exposat.

Lliurem el que tenim: els teus documents i les teves dades personals, xifrats i sense la clau; i en clar, el que desem per calcular (imports, dates, caselles i municipi). No és resistència: és realitat tècnica. Qui vulgui llegir els teus arxius te'ls haurà de demanar directament a tu, com a qualsevol altre arrendador d'aquest país.

Mira-t'ho tu mateix: obre les DevTools del teu navegador (F12), pestanya Network, i puja un document. Hi veuràs dues coses. Una petició a /api/extract que porta les primeres pàgines convertides en imatge i, si el PDF té text, aquest text: és la classificació automàtica, i en pujar un document és l'únic que en surt llegible (la resta només surt quan tu demanes un escaneig, com llegir un contracte o importar un extracte del banc) — si desactives la intel·ligència artificial al teu perfil, aquesta petició desapareix del tot. I la pujada del document en si, on el que viatja són cadenes hexadecimals precedides d'un IV, sense cap camp llegible: això és el que es desa, i és exactament el que es veu a la demo interactiva de dalt. Si vols anar més a fons, mira el codi de xifratge a la pestanya Sources del navegador — en producció el veuràs minificat, però fa servir les API estàndard del navegador (`window.crypto.subtle`).

Sí, i sense eines tècniques. Quan l’app et demani la teva clau privada de xifratge, escriu 99999999: entraràs al teu compte sense la teva clau i en mode de només lectura, sense poder canviar les teves dades. El que puguis llegir així és el que ha d’estar sense xifrar per poder fer els càlculs i oferir-te el servei, per exemple imports, dates, caselles i percentatges. La resta —noms, NIF, adreces, conceptes, notes, documents i fotos— hi apareix com un buit, perquè està xifrada i només s’obre amb la teva clau. Un avís a dalt de cada pantalla et recorda que ets en aquest mode; el seu botó «Surt» et torna a la pantalla que demana la teva clau.

PBKDF2-SHA256 amb 200.000 iteracions i salt únic per usuari per derivar la KEK a partir de la teva clau privada de xifratge. AES-KW per embolcallar una DEK aleatòria per usuari. AES-256-GCM amb IV aleatori de 96 bits i tag d'autenticitat de 128 bits per xifrar cada blob de document i cada camp PII a la base de dades. Per als fitxers que entren per correu fem servir a més un xifratge de sobre (envelope): cada adjunt es xifra amb una clau AES-256-GCM aleatòria que, al seu torn, s'embolcalla amb la teva clau pública RSA-OAEP de 3072 bits; només la teva clau privada, que viu al teu navegador, pot desembolcallar-la. Són tots estàndards NIST, els mateixos que fan servir bancs i missatgeria xifrada.

El copropietari fa servir la teva mateixa clau privada de xifratge, així que pot llegir les dades d'aquell habitatge. L'important és com li arriba aquesta clau: l'hi passes tu pel teu propi canal (en persona, per telèfon, per missatge), mai a través nostre. El nostre servidor només trasllada la teva clau ja xifrada (embolcallada) del teu compte al seu; sense la frase que només coneixeu vosaltres, aquest paquet és il·legible. El copropietari accedeix únicament a l'habitatge que compartiu —no a la resta dels teus, això ho limita el control d'accés— i li pots revocar l'accés quan vulguis. El contrapunt honest: en donar-li la teva clau, aquesta persona pot llegir les dades d'aquell habitatge; comparteix-la només amb qui confies.