No iPhone, um app de bloqueio construído sobre os frameworks de Tempo de Uso da Apple não consegue ver quais apps você escolheu. Não por uma questão de política, e sim de arquitetura: o seletor em que você toca é desenhado pelo iOS, e o que o app recebe de volta é um conjunto de tokens opacos — identificadores lacrados, sem nome, sem identificador de pacote e sem ícone dentro. O app pode devolver um token ao sistema para levantar um bloqueio. Não consegue abrir o token. Ele também nunca recebe seu uso por app. Essa é uma das raras promessas de privacidade que você não precisa aceitar na fé, e vale entender antes de instalar qualquer coisa.
O que acontece de verdade quando você toca em “escolher apps” num bloqueador?
Quase nada do que você imagina.
Todo bloqueador legítimo de iPhone é construído sobre três frameworks da Apple: FamilyControls para permissão e seleção, ManagedSettings para o bloqueio e DeviceActivity para horários e limiares. O fluxo é assim:
- O app pede a autorização de Tempo de Uso. Você aprova com Face ID ou com o código do aparelho — uma concessão visível.
- O app apresenta um seletor. E aqui está o detalhe: não é o app que desenha esse seletor; é uma tela do sistema. Sua lista de apps é renderizada pelo iOS atrás de uma fronteira que o app de terceiros não consegue atravessar com a leitura — o desenvolvedor fornece a moldura e nada do que está dentro.
- Você faz sua seleção e fecha o seletor. O que o app recebe é uma
FamilyActivitySelection: um saco de tokens.
O passo três é onde a intuição quebra. Parece que você entregou uma lista para um app. Você não entregou. Você entregou uma lista para o iOS, e o iOS entregou ao app um punhado de comprovantes.
O que é um token opaco, em português claro?
Pense na ficha do guarda-volumes. Ela corresponde a exatamente uma mochila e permite agir sobre ela — devolva a ficha, a mochila é entregue. Mas a ficha não diz nada sobre a mochila: nem a cor, nem a marca, nem de quem é.
Um ApplicationToken funciona do mesmo jeito. O app pode entregá-lo ao ManagedSettings e dizer bloqueie isto, entregá-lo ao DeviceActivity e dizer me avise quando isto passar de quinze minutos, contar quantos tem em mãos e guardá-lo para reaplicar o mesmo bloqueio amanhã. Não consegue transformar um token em nome, ícone, identificador de pacote ou número de uso. Os tokens também têm escopo: o mesmo app no seu celular gera um token diferente dentro de outro bloqueador, então eles não servem para cruzar seus dados entre serviços.
Mas meu bloqueador mostra o nome e o ícone dos apps — como?
Essa é a objeção que convence a maioria das pessoas de que a promessa de privacidade é marketing, e a resposta é elegante. O SwiftUI oferece uma view Label que aceita um token e renderiza o nome e o ícone corretos na tela, dentro de uma view controlada pelo sistema. Os pixels aparecem na interface do app; o texto por trás nunca entra no código do app, não pode ser registrado em log e não pode ser enviado a lugar nenhum.
Então você vê o Instagram e o código do desenvolvedor vê um token ilegível apontando para ele. As duas coisas são verdade ao mesmo tempo. É a diferença entre uma janela e uma cópia.
O que um bloqueador consegue ver e o que ele nunca vê?
| Ele consegue ver | Ele nunca vê |
|---|---|
| Que você concedeu a autorização de Tempo de Uso | Quais apps você selecionou, por nome ou identificador |
| Quantos apps, categorias e domínios você escolheu | O ícone ou a categoria de qualquer seleção específica |
| Que um limiar registrado por ele foi cruzado | Minutos exatos por app, ou histórico de uso por app |
| Que um bloqueio foi aplicado ou removido | O que você fez dentro de qualquer app |
| O que você digita dentro do próprio app: metas, notas, ajustes | Seu histórico de navegação, mensagens ou tráfego de rede |
O modelo mental certo é que o bloqueador está cego e segurando um interruptor. Ele sabe que o interruptor foi acionado e mais ou menos quanto tempo se acumulou contra um contador que ele mesmo definiu. Ele não sabe o que existe do outro lado da parede.
Por que os números de um app de tempo de tela de terceiros são só estimativas?
Isso cai do mesmo desenho, e é a contrapartida honesta do benefício de privacidade. Um bloqueador não recebe um contador de minutos ao vivo. Ele registra limiares no DeviceActivity — me avise quando os apps selecionados chegarem a cinco minutos neste intervalo — e o iOS devolve uma chamada quando um limiar é cruzado, então o uso é inferido de quais limiares dispararam. O iOS também mede uso acumulado ao longo de um intervalo, e não por sentada, então nem existe um conceito limpo de esta sessão disponível para um app de terceiros.
Qualquer app de iPhone mostrando precisão de segundos por app está usando a extensão de relatório da própria Apple, que roda numa caixa tão fechada que não consegue enviar esses dados para lugar nenhum, ou está obtendo os números por um caminho que vale perguntar qual é. Números grosseiros são sintoma de um bom modelo de privacidade, e não um defeito.
Por que alguns apps pedem perfil de VPN ou perfil de configuração?
Porque estão fazendo algo que o FamilyControls não consegue fazer — e é aqui que a conta de confiança realmente muda.
Perfis de VPN ou de filtro de conteúdo. Bloquear sites exige interceptar uma requisição do navegador, e o bloqueio de apps da Apple não alcança o tráfego do Safari. Uma configuração de VPN passa sua atividade de rede por um filtro capaz de inspecionar os domínios que você visita. Ferramentas multiplataforma que cobrem Windows, Android e iOS geralmente usam isso, já que os frameworks da Apple só existem nas plataformas da Apple. Funciona e é legítimo, mas é uma superfície fundamentalmente maior: quem opera esse filtro pode, em tese, ver por onde você anda.
Perfis de configuração ou de MDM. São cargas de gerenciamento de dispositivo feitas para hardware de empresa e de escola. Dependendo do conteúdo, um perfil pode impor restrições que o usuário não consegue remover e expor bastante coisa sobre o aparelho. Um app de consumo pedindo a uma pessoa física que instale um desses está pedindo algo que nunca foi desenhado para essa relação.
Nenhum dos dois é automaticamente sinistro — um produto de controle parental, ou um bloqueador que precisa cobrir o notebook do trabalho, pode não ter alternativa. Mas saiba que barganha você está fazendo: um bloqueador de FamilyControls é estruturalmente incapaz de aprender muita coisa sobre você, enquanto um bloqueador baseado em VPN está te pedindo confiança.
Uma ressalva: este é um texto sobre iOS. No Android, bloqueadores normalmente dependem do Serviço de Acessibilidade e do UsageStatsManager, que entregam nomes de pacote e uso por app às claras. A garantia dos tokens opacos é uma propriedade das plataformas da Apple e não se transfere.
“Trabalho em hospital e metade do que tem no meu celular é trabalho. Eu partia do princípio de que todo app de foco estava montando um perfil meu em silêncio, então nunca instalei nenhum. O que mudou minha cabeça foi entender como o seletor funciona de verdade — o app não vê a minha seleção porque o iOS nunca entrega ela para ele. Isso é um tipo de promessa diferente de uma política de privacidade.” — Juliana, farmacêutica clínica, 38
Como avaliar as promessas de privacidade de qualquer app de tempo de tela?
Uma checagem de cinco minutos para qualquer app da categoria:
- Quais permissões ele pede? A autorização de Tempo de Uso sozinha é uma concessão estreita e bem delimitada. Um perfil de VPN, um perfil de configuração, permissões de acessibilidade ou acesso total à rede alargam bastante essa concessão. Pergunte o que a permissão extra está te comprando.
- Bloquear exige conta? Se você precisa criar login antes de conseguir bloquear um único app, algum estado está indo para algum lugar. Pode estar tudo bem — sincronizar exige isso —, mas é uma escolha, não uma necessidade.
- Quão precisos são os números? No iOS, gráficos com minutos exatos por app são sinal para olhar mais de perto, e não um recurso para premiar.
- Leia a seção Privacidade do App na App Store, principalmente Dados vinculados a você. Análise de uso e relatório de falhas são normais; dados de uso amarrados a uma identidade, ou qualquer coisa em Dados usados para rastrear você, é outra conversa.
- Confira a política sobre terceiros. SDKs de publicidade e parceiros de atribuição são a rota realista pela qual dados de comportamento escapam de um app bem construído no resto.
- Pergunte o que acontece se a empresa sumir. Um modelo no aparelho degrada para o app parar de funcionar. Um modelo na nuvem significa que seu histórico mora dentro da aquisição de alguém.
Como o Unscrol ajuda?
Resposta honesta primeiro: a ferramenta de tempo de tela mais privada do seu iPhone é a que a Apple já entrega. O Tempo de Uso, os Limites de Apps e o Repouso não envolvem terceiro nenhum, não custam nada e mantêm tudo dentro do sistema da própria Apple. Se uma janela de Repouso e um código na mão do seu companheiro resolvem seu problema, essa é a resposta certa e você pode parar por aqui.
O Unscrol é um app para iPhone e Apple Watch para o caso em que a tela de limite da Apple parou de mudar alguma coisa — construído dentro da fronteira descrita acima, e não em volta dela.
Você escolhe dois números, um total diário e um máximo por sessão, e o iOS impõe os dois: consuma um bloco do orçamento do tamanho de uma sessão e os apps escolhidos travam por 15 minutos; gaste o orçamento diário inteiro e eles travam até amanhã. Um Escudo agendável cobre janelas como sono ou trabalho, e desligá-lo no meio é lento de propósito — um exercício de respiração e uma espera, não um toque só.
Sobre privacidade especificamente, o Unscrol pede a autorização de Tempo de Uso e mais nada. Sem VPN. Sem perfil de configuração. O seletor que você vê é o do sistema, e o app recebe apenas tokens opacos, então não consegue ler quais apps você escolheu, os nomes deles, os ícones nem seu uso por app. Listas de bloqueio e dados de uso são processados no aparelho pelo iOS e nunca chegam aos servidores do Unscrol. A contrapartida está dita com todas as letras dentro do app: os números de uso são estimativas derivadas de limiares cruzados, e não de um cronômetro, porque é o único número que essa arquitetura consegue produzir. Grátis para baixar; o plano premium opcional adiciona seguro de sequência para um dia perdido e cinco desafios simultâneos em vez de um.
Perguntas frequentes
Um app de tempo de tela consegue ver quais aplicativos eu bloqueei?
No iOS, não. Um bloqueador construído sobre o framework FamilyControls da Apple nunca recebe identidades de apps. Quando você escolhe os apps, o seletor em que você está tocando é desenhado pelo sistema, e não pelo app, e o que volta é um conjunto de tokens opacos: identificadores lacrados que o app pode devolver ao iOS para aplicar um bloqueio, mas não consegue decodificar em nome, identificador de pacote ou ícone. O app sabe quantas coisas você selecionou e nada sobre o que elas são. Isso é imposto pelo sistema operacional, e não prometido numa política.
O que é um token opaco na API de Tempo de Uso da Apple?
Um token opaco é uma referência sem significado que fica no lugar de um app, de um domínio de site ou de uma categoria que você selecionou. O framework FamilyControls da Apple emite esses tokens para que um app de terceiros consiga agir sobre a sua seleção sem nunca descobrir o que ela é. O token pode ser devolvido ao iOS para bloquear o app ou para registrar um limiar de uso, e é só isso. Os tokens também têm escopo, então o mesmo app gera tokens diferentes dentro de apps diferentes e não pode ser usado para cruzar seus dados entre serviços.
Por que alguns bloqueadores pedem para instalar um perfil de VPN?
Normalmente porque bloqueiam sites, ou porque bloqueiam em outras plataformas, como Windows e Android, onde os frameworks de Tempo de Uso da Apple não existem. Passar seu tráfego por um filtro é a única forma de interceptar uma requisição do navegador. É uma técnica legítima, mas é uma concessão de confiança bem maior do que um bloqueio no aparelho: quem opera esse filtro pode, em tese, ver os domínios que você acessa. O mesmo vale para qualquer app de consumo que peça a instalação de um perfil de configuração ou de gerenciamento, tecnologia feita para aparelhos corporativos.
Como saber se um app de tempo de tela é realmente privado?
Olhe o que ele pede e o que ele mostra. Um app que só solicita a autorização de Tempo de Uso e nunca pede VPN, perfil de configuração ou permissões de acessibilidade é estruturalmente limitado no que consegue aprender. Veja se é preciso criar conta só para bloquear alguma coisa e leia a seção Privacidade do App na App Store, principalmente o que estiver em Dados vinculados a você. Desconfie de gráficos com minutos exatos por app no iOS, porque esse nível de detalhe costuma significar que os dados estão sendo tratados em algum lugar que o sistema não protege.