Hoome na empresa

Em cinco linhas

• O que é: uma extensão do Chrome (Manifest V3) que substitui a página de nova aba por uma página de atalhos, com pastas, busca e widgets opcionais.
• Permissões: storage, unlimitedStorage, search, system.cpu e system.memory, mais o acesso a dois serviços de ícones. A leitura dos favoritos é opcional e só é pedida na hora de uma importação, assim como a dos sites mais visitados, pedida só ao clicar em “Sugerir também seus sites mais visitados”. O login em uma conta Premium, também opcional, só é pedido ao clicar em “Fazer login com o Google”.
• Rede: dois serviços de ícones recebem o nome de domínio dos seus atalhos. Os widgets de previsão do tempo e de marés, desligados por padrão, consultam o Open-Meteo. Nada mais sai da máquina, a não ser a sincronização, se a pessoa ligá-la, e a cópia das mesas que a sincronização da conta Premium guarda em hoome.dev.
• Do lado do desenvolvedor: nenhuma conta é necessária e, sem conta, a extensão nunca entra em contato com o desenvolvedor. A conta, opcional, serve apenas para a assinatura Premium e para guardar a cópia das mesas que a sincronização da conta lhe confia. Sem telemetria, sem publicidade, e a sincronização, desligada por padrão, passa pela conta do navegador.
• Corte total: um modo de “privacidade estrita” elimina todas as requisições de rede da extensão, ícones inclusive.

As permissões pedidas, em bom português

Permissão	O que ela permite
storage	Salvar atalhos, pastas, configurações, notas e tarefas no armazenamento local que o navegador reserva à extensão, e no armazenamento sincronizado se a pessoa ligar a sincronização.
unlimitedStorage	Ultrapassar a cota padrão desse armazenamento: os ícones em cache, um plano de fundo importado e os backups locais podem chegar lá.
search	Passar uma busca digitada na barra ao navegador, que a faz com o buscador escolhido nas configurações dele. O Hoome não escolhe nem altera nenhum buscador.
system.cpu e system.memory	Ler a carga do processador e a memória ocupada para os widgets Processador e Memória, desligados por padrão. Nada é gravado nem transmitido.
bookmarks, opcional	Ler uma única vez a árvore de favoritos para criar as pastas que foram marcadas. Não está presente na instalação, é pedida ao clicar na importação e pode ser retirada em chrome://extensions. Os favoritos não são modificados nem transmitidos.
topSites, opcional	Ler na máquina a lista dos sites mais visitados, para sugeri-los na janela “Novo atalho”. Não está presente na instalação, é pedida ao clicar em “Sugerir também seus sites mais visitados” e pode ser retirada em chrome://extensions. A lista não é gravada nem transmitida, e nenhum ícone é pedido para esses sites antes de serem adicionados. Não está no pacote do Firefox.
identity, opcional	Abrir a janela de login do Google, ao clicar em “Fazer login com o Google”, para a conta Premium. Não está presente na instalação, não gera nenhum aviso do Chrome e pode ser retirada em chrome://extensions.
notifications e alarms, opcionais	Avisar o fim do timer, mesmo com a aba fechada. Não estão presentes na instalação e são pedidas na primeira vez que o timer é iniciado.
Substituição da página de nova aba	Mostrar a página da extensão quando uma aba é aberta. É a razão de ser do Hoome.
Acesso a gstatic.com e icons.duckduckgo.com	Baixar o ícone de um site no serviço de ícones do Google, ou no do DuckDuckGo quando o Google não devolve nada aproveitável.

Nada mais é declarado: nem tabs, nem history, nem cookies, nem webRequest, e nenhum script injetado nas páginas visitadas. A política de segurança de conteúdo limita a execução ao código do pacote: nenhum script, nenhuma fonte tipográfica e nenhuma folha de estilo vindos da internet.

A chave externally_connectable reserva só às páginas de https://hoome.dev a possibilidade de enviar uma mensagem à extensão, para passar um ticket de acesso de uso único entre o site e a extensão. Ela não gera nenhum aviso e não dá nenhum acesso às páginas visitadas.

Na instalação, o Chrome resume esses dois acessos de host com a fórmula genérica dele: “Ler e alterar seus dados em gstatic.com e icons.duckduckgo.com”. É o rótulo padrão de qualquer permissão de host, e a extensão só baixa imagens ali.

Os três botões de acesso rápido

Os botões de histórico, downloads e favoritos pedem ao Chrome que abra a própria página dele na aba atual. Essa navegação não exige a permissão tabs, que é a que serve para ler o conteúdo das abas: a extensão mostra a página do navegador, não lê nada dela. Esses botões podem ser ocultados nas configurações.

O que sai da máquina, e para onde vai

Lista completa dos endereços que a extensão pode contatar por conta própria.

Endereço	Quando	O que é enviado
Serviço de ícones do Google (t3.gstatic.com)	Ao adicionar um atalho e na primeira vez que um atalho sem ícone é exibido; depois, no máximo uma vez por semana em caso de falha. Nunca se o ícone está em cache, nem com iniciais ou uma imagem escolhida.	O nome de host do site, por exemplo receita.fazenda.gov.br. Nem o caminho, nem o título da página.
icons.duckduckgo.com	As mesmas condições, se o Google não devolveu nada aproveitável.	O nome de host do site.
geocoding-api.open-meteo.com	Widget de previsão do tempo ligado, quando a pessoa busca uma cidade nas configurações.	O texto digitado e o idioma.
api.open-meteo.com	Widget de previsão do tempo ligado e cidade escolhida: na exibição da página, se a previsão tem mais de trinta minutos, ou ao atualizar manualmente.	As coordenadas da cidade e os campos pedidos.
marine-api.open-meteo.com	Widget de marés ligado e lugar escolhido: na exibição, se as alturas da água têm mais de três horas, ou ao atualizar manualmente.	As coordenadas do lugar e o campo pedido, a altura da água.
hoome.dev	Só se a pessoa fizer login na conta Premium opcional: no login, ao abrir a seção Conta das configurações, ao clicar em “Abrir minha conta” e, depois do login, a cada abertura de uma aba (no máximo uma vez por minuto) e após cada alteração, para reler e depositar a cópia das mesas. Nunca no modo de privacidade estrita.	O token de sessão da conta e, no login, o código devolvido pelo Google. Atalhos, pastas e notas em um único caso: um assinante Premium conectado, que não parou a sincronização, deposita uma cópia das suas mesas na conta dele, sem nenhuma imagem nem a posição do aparelho.

Quatro esclarecimentos úteis para uma avaliação:

• Os ícones recebidos são convertidos em imagens pequenas, guardados localmente, e não são pedidos de novo.
• Nenhum identificador de usuário, de instalação ou de máquina acompanha essas requisições, que levam os cabeçalhos habituais do navegador, como qualquer imagem.
• Os widgets vêm desligados por padrão: em uma instalação nova, só os dois serviços de ícones são contatados.
• A barra de busca entrega a pesquisa ao buscador escolhido no navegador quando a pessoa aperta Enter, igual a digitar na barra de endereços, sem pedir sugestões durante a digitação. A localização só é solicitada com um clique explícito nas configurações da previsão do tempo, pela janela de autorização do próprio Chrome.

Cortar tudo: o modo de privacidade estrita

Para uma máquina de onde nenhum dado deve sair, nem mesmo um nome de domínio, as configurações oferecem um modo de “privacidade estrita”, na seção Dados. Com ele ligado, a extensão não emite mais nenhuma requisição: os ícones dão lugar a iniciais coloridas, o widget de previsão do tempo fica indisponível e o botão dele fica desabilitado. Fazer login na conta se torna impossível, e uma extensão que já esteja com a sessão iniciada deixa de contatar hoome.dev.

Os ícones que já estão em cache continuam sendo exibidos, porque são locais, e um botão apaga todos eles, mediante confirmação. O modo continua ligado depois de uma importação, da restauração de um backup ou de uma volta aos atalhos padrão, para que nenhuma dessas operações reative requisições sem que a pessoa saiba. Tudo o que é local continua funcionando: backups, exportação, importação e recuperação dos favoritos.

Onde os dados ficam

Tudo é gravado no armazenamento local que o Chrome reserva a cada extensão, na própria máquina. A extensão só usa o armazenamento sincronizado se a pessoa ligar a sincronização, desligada por padrão: os dados passam então pela conta do Google dela, e nada é enviado a um servidor do Hoome, a não ser a sessão da conta Premium para quem fizer login e a cópia das mesas que a sincronização da conta Premium deposita lá.

Ali estão os atalhos e as pastas, as configurações, as notas e as tarefas, um contador de aberturas por atalho que serve para ordenar os resultados da busca, uma cópia da versão anterior gravada antes de cada salvamento, os três últimos backups, o plano de fundo importado e a última previsão do tempo se o widget estiver ligado. Para quem fez login na conta, soma-se a sessão, guardada à parte: nem exportada, nem incluída nos backups.

Na desinstalação, o Chrome apaga esse armazenamento inteiro, backups e cache de ícones inclusive. Não sobra nada em nenhum outro lugar, a não ser, para quem tem uma conta, essa conta e a cópia das mesas que a sincronização guarda lá: as duas são excluídas juntas na página da conta, em hoome.dev. Sem desinstalar, um comando das configurações esvazia atalhos e pastas, depois de tirar um backup restaurável.

Para levar uma configuração adiante, a exportação JSON gera um arquivo baixado na máquina: atalhos, pastas, notas, tarefas, configurações e, se você quiser, os ícones e o plano de fundo. Ele não é enviado a lugar nenhum e se importa em outra máquina, por exemplo antes da troca de um computador.

Implantação em um parque de máquinas

O que funciona hoje:

• A extensão está publicada na Chrome Web Store. Ela se implanta com as políticas habituais do Chrome, instalação forçada ou lista de permissões, a partir do identificador da extensão, que informamos quando solicitado.
• O pacote não carrega nenhum código remoto: a versão que a sua equipe examinou é a que roda, até a atualização seguinte publicada na loja.
• Para padronizar as máquinas, configure uma máquina de referência, exporte o arquivo JSON e importe-o nas demais. O modo de privacidade estrita faz parte das configurações exportadas, então ele pode chegar já ligado.
• Para proibir qualquer conta no parque, a política ExtensionSettings pode bloquear a permissão identity do Hoome (blocked_permissions): fazer login se torna impossível, o resto funciona.

O que não existe, e é melhor saber antes de planejar:

• Nenhum esquema de política gerenciada. As configurações não são enviadas nem pelo console de administração, nem por GPO. Importar o arquivo JSON continua sendo uma ação manual em cada máquina.
• Nenhuma distribuição fora da loja: nem pacote hospedado por conta própria, nem instalador clássico.
• Nenhum console de administração, nenhum inventário, nenhum relatório de estado, e nada disso está previsto a curto prazo.

Se algum desses limites for um impedimento, diga: eles vêm da pouca idade do produto, não de uma questão de princípio.

O capítulo RGPD

Sem conta, o desenvolvedor não trata nenhum dado pessoal ligado ao uso da extensão: nenhum servidor contatado, nenhum registro do nosso lado, portanto, nesse escopo, nenhum operador de tratamento e nenhuma transferência para fora da União Europeia. A conta Premium, opcional, é a exceção: endereço de e-mail, nome, identificador do Google, dispositivos conectados, estado da assinatura e, com a sincronização do Premium, uma cópia das suas mesas, hospedados na Netlify, sendo a assinatura conduzida pela Paddle, revendedor oficial. Uma máquina em que o Premium não seja desejado pode simplesmente nunca fazer login, ligar o modo de privacidade estrita ou receber a política que bloqueia a permissão identity. Os dados da pessoa ficam na máquina dela, sob o controle do navegador, e são apagados nas configurações ou desinstalando a extensão, e a cópia enviada para a nuvem, excluindo a conta.

Dois pontos merecem ficar anotados se você mantém um registro de tratamento no nível da máquina: as requisições de ícones expõem ao Google e ao DuckDuckGo o nome de domínio dos atalhos criados, junto com o endereço IP da máquina, como qualquer imagem carregada de um site de terceiros; e o widget de previsão do tempo, se estiver ligado, transmite ao Open-Meteo as coordenadas da cidade escolhida. Esses fluxos saem do navegador, nunca de um servidor do Hoome, e o modo de privacidade estrita elimina todos eles. O detalhe está na política de privacidade, e o raciocínio que levou a essas escolhas, na página privacidade em primeiro lugar.

Conferir sem acreditar na nossa palavra

As permissões reais se leem em chrome://extensions, botão “Detalhes”, e no manifest.json do pacote instalado. O tráfego se controla na aba “Rede” das ferramentas do desenvolvedor, em uma nova aba recarregada. Os dados locais se inspecionam na aba “Aplicativo”, na seção reservada ao armazenamento das extensões.

Uma pergunta antes de aprovar

Escreva para contact@hoome.dev dizendo o seu contexto: número de máquinas, restrições internas, pontos que você precisa documentar. Quem responde é uma pessoa, não um formulário. E se a sua avaliação precisar de um documento para anexar ao processo, fornecemos uma versão detalhada desta página, atualizada em relação à versão publicada.