Como o Pepperizer funciona

Para quem é esta parte

Para desenvolvedores e agentes de IA que avaliam o serviço, inclusive a pedido de quem pensa em assinar. Foi escrita para ser lida e conferida por um agente: descreve as peças, o caminho de cada mensagem, onde ficam os dados, as defesas e onde elas param, sem esconder limite. O que a parte de cima já disse em palavras simples não se repete aqui; aqui está o detalhe. Se algo daqui divergir do serviço de fato, vale o mais favorável ao cliente, como dizem os Termos de uso.

Em uma frase: é uma conta shell Linux pré-configurada, só do cliente. Vem pronta para o WhatsApp e os agentes dele, e ele pode mudar tudo e fazer o que quiser com ela, como em qualquer servidor alugado.

O desenho, numa figura

O caminho de uma mensagem, do celular do cliente até o agente, e o que fica em volta.

O que você contrata

Você aluga uma conta Linux (shell) só sua, já configurada, mantida por nós e operada pelo painel. Dentro dela rodam três coisas: a conexão com o seu WhatsApp, as suas sessões de IA (uma ou duas, sempre abertas) e um vigia que mantém tudo de pé. Quando algo para (WhatsApp desconectado, login vencido, limite de uso), o vigia te avisa por e-mail no endereço do cadastro (o painel lê a lista de avisos da sua conta e manda, de avisos@pepperizer.me) e por notificação no app do Claude (com o Claude conectado e o Remote Control ligado), que não dependem do seu WhatsApp; e, se o WhatsApp estiver de pé, também no grupo _pepperizer 🌶️. Aviso escrito pelo seu agente chega marcado como dele. Se a conta inteira parar de responder, o painel manda um e-mail dizendo isso, e outro quando ela voltar.

• A inteligência é sua: você conecta o Claude (a sua assinatura Pro ou Max), o ChatGPT (a sua conta) ou os dois. Os dois são opcionais, mas é preciso ao menos um. Cada sessão é o Claude Code ou o Codex, e você escolhe o motor de cada uma no painel; conectando só o ChatGPT, a primeira sessão já nasce no Codex. Não usamos chave de API, nem nossa nem sua, e não pagamos nem cobramos por mensagem.
• Até duas sessões, no motor que você quiser, incluídas no plano: duas Claude, duas ChatGPT, ou uma de cada. Cada agente seu (a Pepper e os que você criar) fica ligado a uma delas, e é essa sessão que atende as conversas dele. Uma sessão só atende os agentes dela: ela não vê os eventos da outra.
• Você pode tudo: pelo terminal do painel ou por SSH, você instala programas, roda os seus scripts, cria outros agentes, muda o código do Pepperizer e as instruções do agente. A configuração que entregamos é só o ponto de partida (veja É seu de verdade).
• O espaço é seu: as conversas, as configurações e a memória do agente ficam em arquivos na sua conta. Pelo painel, você baixa quando quiser o histórico, as mídias, as configurações, os agentes e os registros; o resto da conta (como a memória do agente) você copia pelo Terminal.
• A manutenção é nossa: atualizações, monitoramento da máquina e da sua conta a cada 5 minutos, reinício automático quando algo cai e segurança.
• Pagamento e vagas: como dito acima (pagar primeiro, sem teste grátis, fila sem cobrança). Quando abre uma vaga, a fila é avisada por e-mail um de cada vez, na ordem, com o link para continuar; pagamento confirmado depois de a vaga ser ocupada é devolvido e o pedido volta à fila. O desconto de quem entra por indicação soma com o cupom e respeita o mínimo dele.
• Onde roda: num servidor dedicado ao Pepperizer, num provedor de nuvem nos Estados Unidos (hoje em Miami). O provedor e a região podem mudar; se mudarem, avisamos. Cada servidor recebe um número limitado de contas, para todas rodarem bem.

As peças, sem segredo

O caminho de uma mensagem

1. Chega no seu WhatsApp. A conexão da sua conta recebe, como o WhatsApp Web receberia.
2. Filtro. Só seguem as mensagens das conversas que o agente monitora e as suas quando você chama um agente com /nome. Conversa que você não chamou nem monitorou não é gravada, de ninguém; ao chamar, passa a ser gravada dali em diante, as duas partes. Fora das conversas monitoradas, nada vai para a sua conta, nem o que você mesmo escreve, nem mídia, nem áudio: o agente nem fica sabendo que aquilo existiu. Habilitar: chamar um agente com /nome numa conversa passa a monitorá-la de vez (em Quando fizer sentido, Só esta conversa, sem aviso), e o Pepperizer te avisa no _pepperizer (ou no grupo da segunda sessão, se o agente for dela). Nada é retroativo: o que foi dito antes do chamado não é gravado. Para parar, desligue Monitorar na conversa, ou peça ali mesmo.
3. Vira texto. Áudio é transcrito, e imagem e documento são salvos na sua conta (o agente recebe o caminho do arquivo), e contato compartilhado vira uma linha com nome, telefones e e-mail do cartão.
4. Gravada antes de tudo. A mensagem vai para o histórico da conversa, na sua conta, antes de o agente agir. Nada se perde se o agente estiver reiniciando: o aviso de cada mensagem só conta como entregue alguns segundos depois de chegar à sessão sem ela cair, e o que não chegou vem de novo quando ela volta (marcado, e o agente confere no histórico se já respondeu).
5. O agente decide, segundo os ajustes daquela conversa (quando fala, contexto e se te avisa), o texto do agente e as regras que você ensinou. O sistema já entrega a ele só o que o ajuste pede: numa conversa em Nunca, por exemplo, nada chega ao agente na hora, a não ser o que é para te avisar; o histórico fica gravado para consulta.
6. Revisão antes de sair. Se a resposta vai para outra pessoa (não para você nem para o grupo _pepperizer ou o da segunda sessão), um revisor confere a mensagem antes (veja O risco que vem das mensagens, abaixo).
7. Resposta pelo seu número, sempre na mesma conversa em que ele foi chamado, e dentro dos limites de envio. Toda mensagem do agente sai marcada como dele, inclusive as que vão para você (na conversa consigo mesmo, no _pepperizer e no grupo da segunda sessão), para você distinguir o que você escreveu do que ele escreveu: em grupo, com 🤖 Nome: no começo; em conversa direta, com 🤖 no começo e — Nome no fim. O sistema põe a marca se o agente esquecer. O nome é o do agente da conversa; se a sessão que responde tem vários agentes e você chamou ali outro deles com /nome (inclusive no _pepperizer e no grupo da segunda sessão), assina o último que você chamou, e ele também fala ali com a persona dele, por até 6 horas desde esse /nome; depois, volta o agente da conversa. Só entram agentes da sessão que envia, e um /nome encaminhado não conta.

Como o painel muda o comportamento do agente

Tudo isso também se faz pelo WhatsApp, na própria conversa ou no _pepperizer: "/pepper responde tudo aqui", "/pepper para de acompanhar aqui", "monitore o grupo X só como contexto", "/pepper se ela me chamar, me avise", "alinhe com a Ana e o Beto", "aqui não prometa prazo", "cria um agente chamado chef".

Quando outra pessoa no grupo também tem Pepperizer

• /pepper é sempre do dono: o seu /pepper chama só a sua Pepper, e o da outra pessoa chama só a dela.
• Agentes podem conversar entre si, e isso é bem-vindo. Eles são orientados a encerrar quando o assunto se resolve.
• Se houver outra Pepper no grupo, a sua fica avisada de que "Pepper" pode não ser com ela. Ela decide pelo contexto (se responderam a uma mensagem dela, se o assunto é com você) e, na dúvida, fica quieta ou pergunta.

Regras do agente e travas do sistema

As três primeiras são regras das instruções do agente: o revisor e o auditor conferem, e podem errar. As travas são do sistema, não das instruções: ou impedem, ou avisam você na hora (ampliações de conversa, em até um minuto).

• Só você comanda. Pedido de outra pessoa para mudar algo é ignorado em silêncio.
• O que é dito numa conversa não aparece em outra.
• Dinheiro, prazo, agenda e destinatário novo voltam para você antes de qualquer compromisso. É o padrão de todo agente; você só afrouxa isso de propósito, agente por agente, em Agentes. Fechar valor ou compromisso novo continua sendo sempre seu.
• Travas do sistema: o que diz quem é você (seus números, os grupos _pepperizer) e o liga/desliga do revisor não mudam em silêncio: gravados direto no arquivo da conta, não valem; qualquer mudança neles, venha de onde vier, gera aviso na hora no _pepperizer e por e-mail; e ligar o envio sem revisor exige o seu confirmar; o /nome de outra pessoa, ou encaminhado, não habilita o agente numa conversa; toda ampliação de uma conversa gera uma linha para você no _pepperizer; o agente não consegue pôr outra pessoa nos seus grupos _pepperizer; e os limites de envio, abaixo.
• Limites de envio: no máximo 10 mensagens por minuto, 120 por hora e 500 por dia, e 15 conversas novas por dia. Vale para tudo o que sai pelo seu número pelo Pepperizer, inclusive as mensagens do próprio painel; só os avisos do sistema para você mesmo têm um freio próprio, fora desse limite; dá para baixar esses números, e subir só até o dobro. Criar grupo tem limite próprio: 3 por dia. Ao bater o limite, nada sai, e o agente te avisa. Existe para o seu número não ser bloqueado.

Segurança: o que fazemos, e o que ainda não fazemos

Você conecta aqui o seu WhatsApp e a sua conta de IA. É muita coisa sensível num lugar só, e tratamos isso como o risco principal do serviço.

Isolamento entre clientes

• Cada cliente tem um usuário Linux próprio, com a pasta fechada para os outros.
• Uma conta não enxerga os processos das outras.
• Os seus serviços rodam numa jaula. Tudo o que roda para você (a conexão do WhatsApp, as sessões do agente, o vigia, os agendamentos, o resumo diário e o Terminal do painel) roda como serviço do sistema, cada um preso numa jaula que o systemd monta antes de o programa começar e da qual ele não consegue sair:
  • o sistema é só leitura: dá para usar os programas da máquina, não para mudá-los;
  • em /home só existe a sua conta: as pastas dos outros clientes nem aparecem;
  • cada serviço tem a sua própria pasta temporária (/tmp);
  • não há como ganhar privilégio lá dentro: sem sudo e sem programas que viram administrador;
  • só aparecem os processos da própria conta;
  • as configurações sensíveis da máquina (servidor web, certificados, SSH e os segredos do Pepperizer) ficam inacessíveis;
  • os limites de memória e de processos (abaixo) valem para os serviços da conta somados; a sessão SSH tem os mesmos limites, à parte.
• O que isso muda para você: o agente consegue ver se os serviços estão de pé e ler os registros deles, mas não consegue reiniciá-los, pausá-los nem trocar as sessões. Quem faz isso é o painel, de fora da jaula: quando o vigia percebe uma sessão caída, ele pede, e o painel religa em até 1 minuto; trocar o motor ou criar uma sessão (tela Agentes), pausar e retomar também passam pelo painel. Se você pedir ao agente para reiniciar uma sessão, ele faz o pedido ao painel do mesmo jeito. E se a conexão do WhatsApp travar de um jeito que ela mesma não percebe (parar de responder, ou ficar sem receber nada por 20 minutos), o painel a reinicia sozinho, no máximo uma vez a cada 30 minutos; com a conta pausada, não.
• Um firewall interno libera a porta de cada conta só para a própria conta e para o painel.
• Cada conta tem limites de recursos, para um cliente não atrapalhar os outros nem derrubar a máquina. Eles foram pensados para não pesar no uso normal:
  • Processador: quando várias contas querem o processador ao mesmo tempo, ele é dividido por igual entre elas. Sem disputa, a sua conta usa o que estiver livre, até no máximo 1,8 dos 2 processadores da máquina (uma trava contra programa travado em laço).
  • Memória: passando de 900 MB, a conta fica mais lenta, mas nada é encerrado. O teto é 1,6 GB, uma trava para uma conta não derrubar a máquina: se a conta chegar nele, o sistema encerra um programa dela, e o vigia religa os serviços em poucos minutos.
  • Disco e processos: as contas têm prioridade menor de disco, e cada uma roda até 400 processos ao mesmo tempo.
  • Os serviços da própria máquina, como este painel, têm prioridade.
• O código compartilhado (bibliotecas e o Claude Code) é somente leitura para as contas.

É o modelo de hospedagem com shell que provedores consagrados usam há décadas, como a WebFaction (comprada pela GoDaddy) e a Opalstack: uma conta Linux por cliente, num servidor compartilhado. A essa base somamos firewall por conta, processos invisíveis entre clientes, limites de recursos e a jaula dos serviços.

O que ainda não fazemos

• Não é uma máquina virtual por cliente. As contas dividem o mesmo servidor (e o mesmo sistema operacional), separadas pelo próprio Linux, como nas hospedagens com shell citadas acima.
• A internet do agente é livre, para ele pesquisar e navegar. Não há lista de sites permitidos.
• O revisor e o auditor olham só o WhatsApp: o que o agente faz dentro da conta e nos conectores da sua conta Claude fica com você (veja O risco que vem das mensagens).
• O SSH fica fora da jaula dos serviços. Entrando por SSH, você tem pasta fechada, processos invisíveis, firewall e limites, como um usuário comum de servidor compartilhado, sem sudo; vê o sistema e os nomes das outras contas, mas não entra nelas.
• Quem administra a máquina tem acesso técnico a tudo (veja Credenciais).

Credenciais

• As credenciais do WhatsApp, do Claude e do ChatGPT ficam só na sua conta. O painel nunca as lê nem as mostra.
• No login do Claude, o código que você cola é de uso único: ele passa pelo painel para chegar à sua conta e não serve para mais nada depois. No do ChatGPT é igual: o endereço de retorno que você cola passa pelo painel e vai só para a sua conta.
• Quem administra a máquina tem acesso técnico a tudo, como em qualquer hospedagem. O nosso compromisso: não abrimos a sua conta sem você pedir ou sem um incidente de segurança, e, se abrirmos, contamos.

Acesso ao painel

• A entrada é pelo link ou código que chega no seu WhatsApp (uso único, 10 minutos). Se o WhatsApp da conta estiver desconectado, o mesmo link e código vão para o e-mail do cadastro. Há limite diário de códigos por número e por conta; pedir de novo enquanto o link anterior vale reenvia o mesmo link uma vez, sem contar no limite; depois disso, nada sai até ele vencer. Se o código não chegar ou você não conseguir entrar, mande código no _pepperizer (ou no grupo da segunda sessão; o código chega sempre no _pepperizer): o código chega ali mesmo, sem depender do limite da página de entrar (só vale a sua mensagem, escrita no seu celular; a do agente ou encaminhada não pede nada). A tela responde igual exista ou não uma conta com o número. Abrir o link mostra um botão Entrar com o nome da conta: só o toque, dentro deste site, troca o acesso do navegador.
• O link que vai junto da fatura entra uma vez só, até 7 dias depois de a conta nascer (no navegador em que você se cadastrou, ele entra direto). Já usado, ele oferece mandar um link novo para o e-mail do cadastro; e a entrada também é pelo WhatsApp.
• O acesso vence com 30 dias sem uso e, de todo jeito, em 90 dias. Sair encerra o acesso deste aparelho no servidor; o botão Sair de todos os aparelhos, na página Assinatura, encerra os outros também.
• Há limite de tentativas por endereço e por número: erros demais no código bloqueiam novos palpites daquele número por um tempo; nesse tempo, chega só o link para tocar.
• As páginas do painel em que você entra (Início, Agentes, Conversas, Terminal, Assinatura e as outras) não carregam programas de outros sites e não podem ser embutidas em outros sites. As páginas públicas (a inicial, Como funciona, Termos de uso, Privacidade e Entrar) carregam o Google Analytics, para sabermos quantas pessoas visitam o site e de onde vêm: sem você aceitar na faixa do pé da tela, ele não grava cookie; anúncios ficam sempre desligados; e não mandamos ao Google nome, e-mail, telefone, CPF nem o nome de quem indicou. As mesmas páginas, menos a Entrar, usam o Meta Pixel, mais restrito: ele só é carregado depois do aceite (sem aceite, nenhum script nem requisição à Meta), sem correspondência avançada nem leitura automática de botões, com só dois eventos sem parâmetros (visita e início do cadastro). Para os dois, o caminho só vai se for uma dessas páginas (qualquer outro vira a raiz), com só os utm_* na query e, se o link anterior era do próprio site, só a raiz como origem. Não enviamos à Meta nome, e-mail, telefone nem CPF; pela política dela, a Meta pode ligar a visita à conta do Facebook ou do Instagram da pessoa, e o Pixel grava o cookie _fbp. A escolha guarda o que foi aceito (quem aceitou só o Google antes do Pixel é perguntado de novo) e muda em "Preferências de medição", no rodapé.

Terminal no navegador

• A página Terminal do painel abre a linha de comando da sua conta (como o console de um servidor alugado) e também entra nas sessões do agente. Na sessão Claude, o que você digita vai direto para o agente, como se fosse você falando com ele; na sessão ChatGPT, você só assiste.
• É poder total sobre a sua conta: pelo terminal dá para rodar qualquer comando, ler, mudar e apagar qualquer arquivo seu (conversas, configurações, credenciais do WhatsApp, do Claude e do ChatGPT) e mandar o agente fazer qualquer coisa, inclusive enviar mensagens pelo seu WhatsApp. Não é um poder novo: o painel já controlava o agente, que roda comandos na sua conta sem pedir aprovação, e quem entra no seu painel já podia fazer tudo isso pedindo a ele. O terminal só tira o intermediário. Por isso, proteja o seu WhatsApp e o seu navegador: o acesso ao painel é pelo link ou código que chega no seu WhatsApp.
• O terminal roda como o seu usuário, dentro da mesma jaula e com os mesmos limites dos serviços da conta. Só o próprio site abre a conexão (não uma página de fora), são no máximo dois terminais por conta, e ele fecha sozinho com a página ou depois de 30 minutos sem digitar.
• Confirmação pelo WhatsApp: as ações que dão poder total sobre a conta (abrir o terminal, baixar a cópia da conta, adicionar ou remover chaves SSH, mudar a instrução de um agente, mudar as configurações de segurança, como os números de confiança, o número de alerta, o grupo _pepperizer e o revisor, e tudo o que muda quem comanda o agente: ligar o Remote Control, trocar a conta do Claude ou do ChatGPT já conectada, trocar as sessões e conectar o WhatsApp de novo depois da primeira vez) só valem se você entrou ou confirmou pelo código do WhatsApp nas últimas 24 horas. Passou disso, o painel pede um código novo, que mandamos no grupo _pepperizer do seu WhatsApp (ou no seu e-mail, se o WhatsApp estiver desconectado, conectado com um número que não é o do seu cadastro, ou se houver outra pessoa no grupo). Os códigos e links de entrada e de confirmação vão em sigilo: a sua conta guarda no histórico da conversa e no registro de envios só a marca "[código de entrada do painel]", sem o link nem os números, e o agente não os encontra por ali. Um agente tomado por completo, que mexa nos programas da própria conta, ainda poderia capturá-los; a confirmação protege contra aparelho esquecido e terceiro, não contra isso. A mensagem diz qual aparelho pediu (navegador e sistema) e a que horas; tocar no link que vai junto, mesmo em outro aparelho, libera aquele aparelho depois de você conferir e tocar no botão, e cada liberação gera um aviso no _pepperizer. As 24 horas contam de quando você confirmou, não renovam com o uso, e dentro delas o código não é pedido de novo. Entrar pelo link do e-mail ou da fatura abre o painel, mas não conta como confirmação. Há limite diário de códigos por conta. Assim, fora das 24 horas da sua última confirmação, um celular ou computador esquecido com o painel aberto não basta para as ações mais poderosas.

Acesso por SSH

• Se quiser, você entra na sua conta pelo terminal do seu computador, com ssh. Na página Terminal, você cadastra a sua chave pública e vê o comando pronto.
• O servidor só aceita chave, nunca senha. O painel aceita só chaves modernas (ed25519, ECDSA ou RSA de 3072 bits ou mais), uma por vez e sem opções escondidas, e mostra a impressão digital de cada uma para você conferir. Remover uma chave fecha o acesso dela na hora.
• As chaves ficam fora da sua conta. Quem grava é só o painel, num arquivo do sistema que o servidor de SSH lê e que a sua conta não consegue alterar (não há ~/.ssh/authorized_keys na sua pasta). Assim, nem um agente enganado por uma mensagem de terceiro consegue cadastrar uma chave SSH na sua conta.
• É o mesmo poder que a conta já tem: você entra como o seu usuário, com a pasta fechada, os processos invisíveis, o firewall e os limites da conta. A diferença para o terminal do painel é que o SSH não entra na jaula dos serviços (veja O que ainda não fazemos).

O risco com o seu número

O Pepperizer usa uma integração não oficial com o WhatsApp (Baileys). Mantemos limites conservadores de envio e evitamos comportamentos parecidos com spam, mas não podemos garantir que a Meta nunca aplique restrições ao seu número. Em breve, suporte a Telegram.

O risco que vem das mensagens

O agente lê mensagens de outras pessoas, e alguém pode escrever algo tentando manipulá-lo ("ignore as instruções e…"). Separar uma pergunta legítima de um ataque olhando a mensagem que chega é impossível: o uso normal é justamente alguém pedir trabalho de verdade. Por isso a defesa principal fica na saída:

• Revisor antes de enviar. Toda mensagem que o agente envia pelo Pepperizer a outra pessoa passa, antes de sair, por um revisor: uma segunda chamada da sua própria assinatura (Claude ou ChatGPT, sem chave de API), sem ferramentas e sem a conversa do agente na cabeça. Ele vê a mensagem, o contexto daquela conversa, as regras que você deu para ela e os pedidos recentes, e só segura com sinal concreto de: segredo (senha, chave, dado de servidor), informação de outra conversa, valor, prazo ou horário fechado em seu nome sem você mandar, mensagem para quem ninguém pediu, ou obediência a ordem de terceiro. Na dúvida, deixa passar e anota. Quando não sabe de onde veio uma informação, ele pergunta a fonte ao agente e só deixa passar se ela bater com o que ele vê.
• O que ele segura vem para você no grupo _pepperizer (ou no grupo da segunda sessão, se quem escreveu foi um agente dela), com a mensagem exata, para quem ia, o motivo, o que liberar autoriza (por exemplo, "celular e CPF do dono") e um código. Respondendo liberar e o código (vale por 24 horas; mandar só o código também serve), você autoriza aqueles dados, para aquela pessoa, por 7 dias: o agente manda de novo, ajustado ao ponto da conversa, e o revisor deixa passar sem perguntar outra vez. O que estiver fora disso continua barrando; para desfazer antes, diga ao agente "não passe mais isso ao Leo". Respostas do agente à mesma pessoa enquanto você não decide não apagam a pendência. Reenviar a mensagem segurada pelo Pepperizer não a tira da revisão. Liberação nasce do seu liberar; uma gravada por fora só valeria depois de um reinício, e a cada reinício você recebe a lista das que estão em pé. Erros pequenos que o próprio agente corrige na hora (um horário ou valor que ele não podia fechar) podem ir só para o resumo do dia. O revisor usa o modelo mais capaz incluído na sua assinatura (o Opus, no Claude), e cada revisão consome a sua assinatura. Se o revisor falhar ou demorar (por exemplo, no limite de uso da assinatura), ele tenta uma segunda vez (se o serviço recusar por excesso de pedidos, espera alguns segundos e tenta de novo), no outro motor se você tiver uma sessão do Claude e outra do ChatGPT, dentro de um prazo total de cerca de 100 segundos; falhando de novo, a mensagem também fica segurada: você é avisado no _pepperizer e, com o código, ela sai como estava. Na tela Agentes, uma opção avançada, desligada por padrão, faz a mensagem sair sem revisão quando o revisor estiver indisponível. Ligar essa opção pede a sua confirmação no WhatsApp: um código chega no _pepperizer, e ela só vale quando você responde confirmar e o código. Assim, nem o agente, que tem acesso à sua conta, consegue ligá-la sozinho.
• Imagem e documento para outra pessoa passam por você. O revisor lê só a legenda: não vê o que há numa imagem ou num documento. Por isso, com o revisor ligado, todo anexo que o agente quer mandar a outra pessoa fica segurado (salvo o que cumpre um pedido seu, no item seguinte) e o próprio arquivo chega a você no _pepperizer (ou no grupo da segunda sessão), com para quem ia, a legenda e um código. Respondendo liberar e o código (vale por 24 horas), sai exatamente aquele arquivo com aquela legenda (até 700 caracteres); se o arquivo for trocado depois do aviso, ou não puder ser mostrado a você, ele não sai. Isso vale também com a opção de enviar sem revisão ligada; o que o agente manda a você mesmo não passa por isso.
• Pedido seu, conferido. Quando o agente cumpre um pedido seu a outra pessoa (feito com /nome numa conversa, ou no _pepperizer ou no grupo da segunda sessão), o envio diz qual mensagem sua ele cumpre. O sistema confere essa mensagem na memória dele, nunca no que o agente escreve: tem de ser sua (do seu WhatsApp, no celular, no WhatsApp Web ou num aparelho conectado; sem a marca 🤖 e não encaminhada), das últimas 6 horas e estar entre as 10 mensagens suas mais recentes que o agente recebeu (o que você escreve sem /nome numa conversa em que ele lê tudo não entra nela). Vale o /nome, o que você escreve na mesma conversa até 5 minutos depois dele e o que você escreve no _pepperizer. Conferida, o revisor recebe o texto exato do seu pedido, com a conversa e a hora, e costuma deixar passar o que está dentro dele (valor, prazo, horário, dados, repasse àquela pessoa); continua segurando segredo, destino diferente do pedido (a pessoa que ele nomeia; sem nome, a conversa onde você escreveu) e o que vai além dele, como um dado ou compromisso que você não mencionou. Um pedido que não diz o conteúdo ("ok", "pode") não cobre dado nem compromisso, e o que você cita de outra pessoa não conta como pedido seu. Não conferida, a revisão é a de sempre, e o agente fica sabendo. Se o revisor disser que o seu pedido manda enviar aquele arquivo àquela pessoa, o anexo sai direto, sem passar por você, um arquivo por pedido: o segundo anexo com o mesmo pedido vem para você conferir, como os outros. O limite: o revisor confere só o nome do arquivo, não o que há dentro dele, então, se o agente mandar o arquivo errado, ele sai (você pediu o envio). E um agente enganado pode citar um pedido seu verdadeiro para mandar outra coisa: o revisor confere se a mensagem cabe no pedido, e, como em tudo, pode errar.
• Calibrado para não atrapalhar. Revisor que barra ou pede confirmação demais mata o assistente. A calibragem veio de 10 dias da Pepper original: os erros reais foram vazar assunto de uma conversa para outra e errar o destino, não obedecer a estranhos. É isso que ele procura.
• Segredos que o sistema reconhece saem trocados por [segredo removido] em mensagem para outra pessoa.
• Conversa em Nunca (só observar), contato ou grupo, não recebe mensagem do agente: o sistema recusa, e não só a instrução, salvo ordem sua expressa para aquela mensagem.
• Quando as configurações da sua conta mudam fora do painel (pelo agente ou pelo terminal), você recebe no _pepperizer o resumo do que mudou. Texto de terceiro virando regra permanente é o caminho de ataque mais real, e assim você vê e desfaz. O que diz quem é você (seus números, o grupo _pepperizer e o da segunda sessão) e o liga/desliga do revisor não mudam em silêncio: gravados direto no arquivo da conta, não valem, e qualquer mudança neles, venha de onde vier, até pelo painel, gera um aviso na hora no _pepperizer e por e-mail. Além disso, o painel guarda, fora da sua conta (onde o agente não alcança), uma cópia desses valores a cada vez que você salva; se os que valem na conta passarem a ser outros, você recebe um e-mail dizendo qual mudou, com o link para corrigir, e nós também somos avisados.
• Mensagem agendada é revisada na hora de agendar, quando o seu pedido ainda está fresco. O grupo _pepperizer e o da segunda sessão são só seus: o sistema não deixa o agente pôr outra pessoa neles.
• Mensagem encaminhada chega ao agente marcada como encaminhada, e as instruções dele tratam texto, PDF e imagem de outras pessoas como dado, nunca como ordem.
• Cada decisão do revisor fica anotada na sua conta, no registro do revisor, para a conferência diária.

Auditor diário: junto do resumo diário, uma revisão independente lê o que o agente mandou a outras pessoas desde o último resumo e procura incidentes: assunto de uma conversa contado em outra, senha ou dado de acesso, valor ou prazo prometido sem você, mensagem no lugar errado, pedido de terceiro obedecido fora do combinado e tentativas de manipulação. Ela vê também o que o agente mandou a quem não está nas conversas acompanhadas e o registro do revisor. Ela roda com contexto limpo: sem as instruções do agente, sem ferramentas, só com o texto das conversas, tratado como dado (entre marcadores que quem escreve a mensagem não consegue adivinhar, e com o nome de cada contato marcado como escolhido por ele). O que ela apontar vem no resumo para você conferir; com a sua assinatura de IA no limite de uso, ela é adiada junto com o resumo (veja Resumo diário, acima). Ela olha depois do fato: não impede o envio, mas não deixa um deslize passar despercebido.

Até onde vai essa proteção. O revisor e o auditor cuidam do que o agente envia pelo WhatsApp. O que ele faz fora disso, dentro da sua conta, fica com você, como numa máquina alugada: ele tem internet livre (para pesquisar e navegar), roda comandos e usa os conectores que você ligou na sua conta Claude (Gmail, Drive…). Quem cuida dos seus agentes é você. O revisor confia nos registros da sua conta, que o agente também escreve. E ele confere o que sai pelo Pepperizer: um agente tomado por completo pode contorná-lo, porque roda na sua conta, onde também estão as credenciais do WhatsApp. As liberações vêm do seu liberar no WhatsApp; uma gravada por fora só vale depois de um reinício, e a cada reinício você recebe a lista das que estão em pé. O revisor julga uma mensagem de cada vez e pode errar; o auditor diário, que lê o dia inteiro, é a segunda chance. Na prática: não acompanhe conversas com quem você não confia, e não dê ao agente acesso a mais do que ele precisa. O revisor pode ser desligado por você, na página Agentes do painel.

Os seus dados

• Histórico e configurações ficam em arquivos de texto na sua conta. Você baixa tudo pelo painel: histórico, imagens e documentos recebidos, os áudios que você mandou, configurações, agentes e os registros do revisor e dos envios.
• Conversa que você não chamou nem monitorou não é gravada, de ninguém; ao chamar, passa a ser gravada dali em diante, as duas partes. Fora das conversas monitoradas não fica nada: nem o que os outros escrevem, nem o que você escreve, nem mídia, nem áudio. Chamar o agente com /nome numa conversa passa a monitorá-la de vez: daí em diante, as mensagens de todos ali são gravadas; o que foi dito antes do chamado não é.
• Fora da sua conta ficam só: os dados de cadastro e de cobrança, a cópia das chaves de segurança (no painel), as sugestões de melhoria do agente (abaixo) e os registros do sistema, que guardam trechos curtos das mensagens enviadas.
• Sugestões de melhoria: o agente da conta pode mandar ao Pepperizer sugestões de melhoria do sistema com wa sugerir "texto": até 1000 caracteres e 5 por dia por conta, com os segredos que o sistema reconhece mascarados antes de sair. Que não leve dado de conversa, nome ou número é regra das instruções do agente, não trava do sistema. Ficam num arquivo do painel, são apagadas quando a conta é removida e saem das cópias de segurança em até 30 dias.
• O modelo de IA roda fora da máquina. Para responder, as sessões mandam à Anthropic (Claude) ou à OpenAI (ChatGPT) o texto das conversas que o agente lê e o que ele abre para trabalhar. O mesmo vale para o revisor e o resumo diário. Isso acontece na sua assinatura e segue os termos dela, como quando você usa o Claude ou o ChatGPT direto. O áudio é transcrito na sua conta: só o texto vai.
• Cópia de segurança (backup): usamos o serviço de backup do provedor de nuvem que usamos, que pode mudar. O disco do servidor é cifrado em repouso.
  • Cópia da máquina: até três cópias automáticas do servidor inteiro (diária, semanal e quinzenal), nenhuma com mais de 14 dias, em hardware separado no mesmo data center, em Miami (EUA). Elas incluem todas as contas, inclusive as credenciais delas (WhatsApp, Claude e ChatGPT).
  • Cópia fora da máquina: todo dia, só os registros do painel (cadastro, cobrança, configuração do serviço e as sugestões de melhoria), guardada por 30 dias. Nunca o conteúdo das contas.
  • Cópia da conta na remoção: guardada por 30 dias, sem as credenciais do WhatsApp, do Claude e do ChatGPT.
  • Quando some: depois da remoção, as credenciais saem dos backups em até 14 dias. A cópia de remoção fica 30 dias no servidor e, como ela entra no backup da máquina, que gira em até 14 dias, o resto some de vez em até 44 dias (30 + até 14).
  • Logs do sistema, com trechos curtos das mensagens enviadas: guardados por até 30 dias.
  É uma proteção contra perder a máquina, não um arquivo de versões das suas conversas: se algo é importante para você, baixe uma cópia de vez em quando pelo painel.
• Ao fim do período pago, a conta pausa. Trinta dias depois, ela é apagada. Por segurança, guardamos uma cópia do histórico e das configurações por mais 30 dias, sem as credenciais do WhatsApp, do Claude e do ChatGPT, e depois a descartamos.
• Não vendemos nem usamos os seus dados para nada além de manter o serviço funcionando. O resumo do que guardamos, por quanto tempo e como pedir acesso ou exclusão está em Privacidade.

É seu de verdade: leve tudo, mude tudo

Tudo o que roda para você mora na sua conta, em arquivos que você pode ler, copiar e levar embora:

• ~/pepperizer/: o código do Pepperizer que roda para você (a conexão do WhatsApp, o vigia, a transcrição e as instruções do agente);
• ~/data/: as suas configurações, os seus agentes, as regras que você ensinou e o histórico das conversas.

Você pode copiar essa camada inteira e rodar numa máquina sua. O que fica do nosso lado é só o painel, e se quiser um igual, peça ao seu próprio agente para criar um. Não chamamos isso de software livre no sentido formal, mas na prática é quase melhor: você leva tudo, funcionando.

Como ganhamos dinheiro: com o aluguel da conta e a manutenção dela (máquina, atualizações, monitoramento, segurança). Não com os seus dados, nem prendendo você.

Você pode mudar tudo, inclusive quebrar

Com acesso à conta, dá para mudar qualquer comportamento, inclusive a ponto de o painel deixar de entender a sua instalação. Nós permitimos isso, e funciona assim:

• O que você muda em ~/data/ (configuração, agentes, instruções, histórico) é seu e as atualizações nunca mexem.
• As atualizações substituem o código em ~/pepperizer/. Para mudar o código e manter, crie o arquivo ~/data/manter-meu-codigo: a sua conta sai das atualizações automáticas, e o painel avisa que ela roda com código próprio. Para voltar ao padrão, apague o arquivo.
• Com código próprio, partes do painel podem não funcionar, e as atualizações de segurança do código passam a ser responsabilidade sua: a sua conta deixa de recebê-las sozinha. A manutenção e a segurança da máquina e o monitoramento continuam por nossa conta.

A Pepper ajuda em tudo isso

Você não precisa abrir o terminal (ele existe, na página Terminal do painel, para quem quiser). Peça à Pepper, no _pepperizer 🌶️ ou com /pepper:

• "acompanha este grupo só quando falarem de prazo", "cria um agente chamado chef", "mostra as regras desta conversa": ela muda as configurações por você;
• "volta a configuração deste grupo ao padrão", "desfaz a última mudança": ela guarda a versão anterior da configuração (uma);
• "atualiza a minha instalação para a versão padrão mais nova": ela traz o código padrão para a sua conta e tira a marca de código próprio, se você quiser;
• "me explica como você funciona": ela conta, sem esconder nada técnico.

Remote Control: todos os seus agentes, alcançáveis pelo WhatsApp

Isto é do motor Claude: só existe com o Claude conectado e uma sessão com motor Claude. Uma sessão com motor ChatGPT não alcança nem é alcançada pelas suas outras sessões do Claude, nem por /nome nem por Remote Control; quem usa só o ChatGPT não tem esta parte. Se você chamar um /nome que é de outra sessão sua, quem atende é a sua sessão Claude, mesmo que o pedido tenha caído num chat atendido pelo ChatGPT.

O Remote Control do Claude Code (chamar suas outras sessões do Claude pelo WhatsApp) vem desligado; você liga na tela Conexões. Ligado, na prática:

• Elas aparecem na sua conta Claude pelo nome que você deu (a primeira é a pepperizer). Você as acompanha e conversa com elas pelo app ou pelo site do Claude, como qualquer outra sessão sua.
• Ele alcança as suas outras sessões. Qualquer Claude Code seu com Remote Control ligado, no notebook, no servidor ou na nuvem, vira um /nome no WhatsApp: "/deploy roda os testes e me conta", e a resposta volta no mesmo chat. Para quem desenvolve, é um painel de controle de agentes no bolso.
• E elas o alcançam. As suas outras sessões podem pedir coisas a ele, inclusive mandar mensagem pelo seu WhatsApp, e ele cumpre como pedido seu (a mensagem a outra pessoa ainda passa pelo revisor). Uma sessão mais sigilosa fica de fora com o Remote Control desligado nela.

Para o bem e para o mal: quem tem acesso à sua conta Claude tem, por tabela, acesso ao seu agente e ao seu WhatsApp. Proteja a conta Claude como protege o WhatsApp: senha forte, verificação em duas etapas e atenção às sessões abertas. Se não quiser isso, deixe o Remote Control desligado, ou desligue na tela Conexões. A Pepper continua atendendo o WhatsApp, mas fica isolada das outras sessões.

Controle remoto pelo app do ChatGPT

É o equivalente do Remote Control para o motor ChatGPT: a sua sessão com motor ChatGPT passa a aparecer no app do ChatGPT, onde você conversa com ela, inclusive pelo chat de voz. É um recurso experimental da OpenAI: pode mudar ou parar. Vem desligado; você liga na tela Conexões. Ligar pede a confirmação pelo código (autenticação recente) e reinicia só essa sessão; a cada vez que ela sobe com o controle remoto conectado, você recebe um aviso no _pepperizer 🌶️. O agente da sua conta tem o mesmo acesso que você na conta, inclusive para ligar o controle remoto e gerar um código. No Modo conservador, fica desligado e não liga.

• Como funciona. A sessão ChatGPT é um codex app-server que o runner da sua conta mantém aberto. Com o controle remoto ligado, o próprio runner pede a esse app-server para se conectar ao serviço de controle remoto da OpenAI (a função remote control do Codex), sem nenhum processo novo: o app-server continua dentro da sua conta e da mesma jaula, e cai junto com a sessão. A escolha não fica gravada na configuração do Codex: desligado, a sua conta também reduz o risco de uma configuração antiga do Codex ligar o controle remoto por conta própria (com uma trava interna do Codex; se ela não segurar, você recebe um aviso). Isso não vale contra o agente da conta, que pode mudar a própria configuração.
• Pareamento. O botão Gerar código de pareamento mostra um código curto, que vale 10 minutos, para você digitar no app do ChatGPT. O código aparece só na tela: não vai ao WhatsApp, ao histórico nem aos registros. A conexão com o ChatGPT é da sua conta, e é a mesma a cada reinício da sessão. Desligar aqui corta a conexão; não testamos o que acontece com um aparelho já pareado quando você desliga e liga de novo, então, para desparear um aparelho, remova-o no app do ChatGPT.
• Uma sessão por conta. O ChatGPT aceita uma conexão por conta; com duas sessões ChatGPT, só a primeira entra. No app, ela aparece com o nome do servidor da sua conta, que é o mesmo das outras contas daquele servidor.
• Quem está no app é você. O que chega pelo app do ChatGPT é tratado como vindo de você, como no terminal e no SSH: não passa pelo revisor nem pelos limites de quem é terceiro. Só ligue se o ChatGPT conectado aqui é a sua própria assinatura, e proteja essa conta como protege o WhatsApp: quem tem acesso a ela e a um aparelho pareado fala com o seu agente como se fosse você.

Feito por agentes, com um humano decidindo

O Pepperizer é desenvolvido e operado de forma agêntica: agentes de IA escrevem o código, testam, publicam e cuidam da máquina, com intervenção humana mínima. Um humano decide o produto e aprova mudanças sensíveis de infraestrutura e de permissão.

Isso permite evoluir rápido, e também traz riscos novos. Para conter os erros que agentes cometem, usamos verificações automáticas antes de publicar, testes de ponta a ponta em contas descartáveis, cópias antes de qualquer remoção e registro das mudanças. Mesmo assim, erros acontecem, e quando acontecerem, você vai saber.