Emmanuel Schalit é fundador e presidente executivo da Dashlane, um software de proteção de palavras-passe para aceder a serviços digitais que foi referenciado pelo Washington Post como “a Apple do jogo de passwords“. O sucesso levou-o do primeiro escritório e sede da empresa, em Nova Iorque, onde vive, para os de Paris, em França, onde nasceu. Desde o início de outubro, a startup que conta com 54 milhões de dólares em investimento tem uma terceira morada: na zona do Saldanha, em Lisboa. “Há uma nova paragem nas minhas viagens entre Nova Iorque e Paris, Lisboa”, assume em entrevista por videochamada ao Observador.

Há vários anos que Schalit é orador na Web Summit, conferência tem vindo a falar não só da sua experiência à frente da Dashlene mas dos problemas que quer resolver na área da cibersegurança. Para o executivo, a “Internet vai tornar-se cada vez mais insegura” e vai ter “cada vez mais medidas de segurança em todos os sites”. A solução passa por utilizar tecnologia que evite que sejam os sites a guardar as palavras-passe e informação pessoal. Para isso, o Dashlane, que concorre diretamente com o Last Pass e outros serviços da Google e da Apple, patenteou um método para gerir tudo com uma só palavra-chave mestre que não é guardada em servidores. Segundo Schalit, mesmo que sejam atacados por hackers, não é possível encontrar nada nos servidores que possa ser copiado e associado ao utilizador, ao contrário do que aconteceu no recente ataque ao Facebook, no qual foram comprometidos dados de 29 milhões de utilizadores.

Schalit fala de como é importante ter sempre “uma palavra passe que nunca é igual entre serviços”, da necessidade de pensar num testamento digital, porque é que o futuro da sua empresa vai, agora, passa por Lisboa e também das tatuagens que fez — e que fizeram dele o rosto de uma notícia viral em 2013 –, quando, por ter chegado ao um e aos 10 milhões de utilizadores, marcou os momentos no corpo.

Porquê Lisboa depois de abrirem escritórios em Paris e Nova Iorque?
Para mim tudo começou há dois anos, quando estava na Web Summit pela primeira vez. Já tinha falado em Dublin, mas fui a Lisboa em 2016 e fiquei completamente surpreendido pelo clima vibrante do ecossistema tecnológico em Portugal. Não se pode compreender até vermos e experienciarmos. Entrei neste espétaculo massivo e percebi que a maioria das pessoas são de Portugal. Pensei: há alguma coisa realmente a acontecer em Lisboa. Na altura, foi uma revelação para mim. Não sou o único a pensar isto, por isso é que a Web Summit se comprometeu a ficar mais 10 anos. É imenso tempo no mundo tecnológico. Não somos a única empresa a apostar que Lisboa vá ser o próximo hub tecnológico da Europa.

Há muitas razões. Estamos apenas no início. Ainda só contratámos três pessoas e apenas uma se juntou. O crescimento em Lisboa vai ser rápido. Posso dizer que, com as primeiras pessoas que contratámos em Lisboa, fiquei deslumbrado com as valências que mostravam no curriculum. São todos portugueses, mas também trabalharam em empresas que são muito globais. Viajaram, voltaram para Portugal. Penso que isso é a outra razão. É como em Paris e em Nova Iorque: encontramos em Lisboa pessoas que são de Lisboa, mas que também têm experiências à volta do mundo. Para mim, isso é muito precioso. Somos uma empresa multicultural. Nos escritórios em Paris, cerca de 40% das pessoas nem sequer falam francês. Isso é outra coisa que Portugal tem.

Não estavam outras cidades em cima da mesa?
É verdade. Contudo, a razão de abrir um novo escritório em Lisboa deveu-se ao facto de o nosso crescimento estar a acelerar e o que está a limitar esse crescimento é a velocidade a que podemos crescer e contratar novo talento. Chegámos a um ponto em que ter apenas duas localizações é um fator limitativo. Mesmo num local como Nova Iorque ou Paris, há um número limitado de candidatos em cada local. É por isso que adicionar mais locais à volta do mundo é importante para acelerar o crescimento da nossa equipa. Começamos com três pessoas em Lisboa, mas no próximo ano vamos ser entre 30 a 40 pessoas.

A Web Summit foi um dos motivos principais para escolher Lisboa?
Não, a Web Summit é uma ilustração. Não escolhemos Lisboa porque a Web Summit acontece ali. A razão porque a Web Summit escolheu Lisboa é, provavelmente, a razão de a escolhermos também. A energia vibrante das pessoas na indústria tecnológica. Mesmo que a Web Summit tivesse mudado de sítio, não tinha mudado a minha decisão.

É novamente orador este ano. Quais são as vantagem de falar num evento destes?
Quando vou a um evento destes, obviamente que falo da minha empresa, mas é mais importante para falar de problemas maiores. É mais para se ter uma conversa. Há uma coisa em comum entre todos os que visitam a Web Summit: todos nos preocupamos com a Internet.

Em Dublin já era um evento relativamente grande, mas a cidade estava a ter dificuldades em receber tanta gente. Desde a primeira vez que fui orador até agora, mudou muito. Num painel há dois anos, em Lisboa, uma das coisas que falámos foi sobre a cibersegurança na Internet das coisas. Mas o que é preciso uma pessoa lembrar-se é que, nessa altura, estavam a decorrer as eleições americanas. Falei em palco da passagem de um mundo no qual existem um ou três mil milhões de dispositivos ligados à Internet, em 2016, para um mundo no qual por volta de 2022 vão estar 30 mil milhões dispositivos ligados. O risco para a Internet neste aumento é um risco no qual na altura não pensávamos tanto. No dia seguinte, houve esse resultado inesperado das eleições americanas. Dois meses depois, começámos a ouvir que a razão pode ter sido problemas de cibersegurança com a Internet.

Há uma linha contínua neste evento, de uma edição para a outra, no qual vemos grandes acontecimentos geopolíticos a serem impactados por coisas que pareciam pequenas. Permite pôr as coisas em perspetiva. Veja-se o que aconteceu ao Facebook. As chaves que estavam a guardar as contas de 90 milhões de pessoas ficaram comprometidas. É sobre isso que vou falar este ano. Parece uma coisa pequena, mas põe a Internet em si mesma em perigo.

“É preciso compreender o que é uma proposta interessante para um português. Vai ser diferente do que em França”

E estas novas pessoas em Portugal, são novas contratações ou já faziam parte da Dashlane?
Trabalhavam noutras empresas, como a Farfetch e a Uber. Estavam em startups muito bem sucedidas. Só uma é que já juntou oficialmente. Nas próximas semanas vão começar todas a trabalhar.

Quanto foi o investimento para abrir este novo escritório? 
Compreendo a pergunta, mas não estamos a pensar nisso nesses termos. Se se excluirmos as contratações, não é preciso um monatnte massivo para investir em Portugal. Estamos a arrendar escritórios.

Mas quanto foi o investimento?
Não estive envolvido nesse nível de detalhe. Mas o montante não é alto. A verdadeira área onde vamos investir dinheiro é nas pessoas. A maneira como penso é 40 pessoas vezes o salário que vão receber. O resto é minúsculo. Não sei de cor. Tivemos de pagar a advogados para montar a entidade, tivemos de pagar honorários para montar algumas coisas, mas à nossa escala, a única coisa que posso dizer é que o valor foi pequeno o suficiente para nem o saber bem. Posso dizer que foram algumas poucas dezenas de milhares de euros. À nossa escala, é um número muito pequeno. O que não vai ser um investimento pequeno vai ser contratar cerca de 40 pessoas num ano.

Que dificuldades encontrou ao abrir um escritório em Portugal?
Quando se começa a ter uma presença num novo país é sempre complicado. Já tínhamos passado por isso na Europa, com o escritório em Paris, mas mesmo assim há coisas diferentes, como: “Como é que se cria uma entidade jurídica em Portugal?”; “Como é que se adapta o nosso plano de ter ações da empresa a cada funcionário para que isso funcione em Portugal e com portugueses?”. É diferente. Contratos de trabalho, a mesma diferença. Posso dizer que essa foi primeira dificuldade que encontrámos, todas as medidas e o ordenamento jurídico, porque Portugal não é França nem os Estados Unidos.

Mas é mais complicado?
Não. Já trabalhei em vários negócios internacionais para perceber que raramente é mais complicado. É apenas diferente e é preciso perceber essas diferenças. Por exemplo, é preciso compreender o que é uma proposta interessante para um português. Vai ser diferente do que é em França. É preciso saber quais são os benefícios que uma pessoa em Portugal espera ter do empregador. Não é só os salários serem diferentes, porque os mercados de trabalho são diferentes. Os benefícios de saúde também o são, por exemplo.

Em alguns países, as pessoas esperam um carro da empresa. Noutros, quando se vive muito longe de onde se trabalha, é preciso até pensar nos transportes. É preciso compreender todos os aspetos de cada mercado laboral. Aqui foi [um processo] muito direto abrir o escritório, bastou aceitar que todos os mercados locais são diferentes. No futuro, vamos provavelmente contratar pessoas para Lisboa que não são dali. Posso dizer que já temos pessoas nos nossos escritórios em Paris e Nova Iorque que adorariam ir trabalhar para Lisboa. Vão existir mudanças internas por causa disso, mas era importante ter em Lisboa os primeiros funcionários a serem de Portugal. A primeira pessoa que contratámos foi para isso mesmo, um especialista em recursos humanos. Porque ela percebe o que é contratar em Lisboa.

“Não registamos a localização dos nossos utilizadores. Não é informação que queremos ter”

Já teve um investimento muito grande na Dashlane, de milhões de dólares…
No total, já angariámos 54 milhões de dólares [cerca de 47,4 milhões de euros] de capitais próprios e um número considerável de dívida, podemos pensar nisto em algo perto de 70/80 milhões de capital em fundos.

Vão ter mais rondas de investimento no futuro?
Não temos planos a curto prazo para investimento. As nossas receitas estão a crescer muito rapidamente e não temos nenhuma necessidade imediata para mais capital. Temos várias oportunidades, pelo facto de a sede ser nos Estados Unidos. Contudo, para já, não precisamos de mais.

Afirmam que têm 200 mil utilizadores lusófonos, mas em Portugal, quantos têm especificamente?
Somos muitos cuidadosos com o que registamos sobre os nossos utilizadores. A privacidade é importante. Atrás de mim tenho escritas três palavras, não sei se dá para ver.

Simplicidade, Universalidade e Privacidade, sim.
São as bases da Dashlane. Não registamos a localização dos nossos utilizadores. Não é informação que queremos ter. A razão pela qual podemos dizer que temos 200 mil lusófonos é porque é esse o número de pessoas que registou a app em língua portuguesa. É o máximo que registamos. Portugal pode ser uma percentagem disso. O Brasil pode também influenciar. Ou Angola ou Moçambique, entre outros países.

Falou em privacidade. Quanto ao Regulamente Geral Sobre a Proteção de Dados, foi uma boa medida para prevenir os problemas de privacidade que existem com a Internet?
É um dos temas que mais gosto. E aqui preciso de reiterar, sou francês, o que significa que sou europeu. Mesmo que possa soar um pouco americano e tenha vivido 14 anos nos Estados Unidos, ainda olho para esses problemas de uma perspetiva europeia. Quando começámos a Dashlane, tomámos uma decisão consciente de que os nossos servidores estivessem em Dublin porque queríamos que os dados estivessem sobre a tutela do direito da proteção de dados europeu. Até para utilizadores americanos. E isso foi uma decisão em 2011.

Penso que o RGPD é uma medida fantástica da União Europeia. Apoio-o a 100%. O que está a acontecer é incrível. Como a maioria das tecnológicas são globais estão a ser forçadas a funcionar de acordo com o RGPD. Fez-se do RGPD um padrão global e é preciso lembrar que a União Europeia é um mercado maior do que os Estados Unidos. Na Califórnia, já estão a fazer leis que vão nessa direção e há líderes como Tim Cook a pedir ao governo para regular e reconhecer que as coisas foram demasiado longe.

“Não podemos confiar que os serviços que utilizamos não vão ser hackeados [pirateados, roubados, usurpados digitalmente]. Eles vão ser hackeados”

Conhece o projeto Solid, de Tim Berners Lee, o ‘pai da Internet’? O que a ideia faz não retira a necessidade de ter de existir uma Dashlane? Porque permite ao utilizador manter consigo os dados.
Tenho seguido esse projeto com muita atenção. Olhando para o que Tim Berners Lee fez, que é alguém com quem não me consigo comparar — ele é o inventor da Internet, merece muito respeito por isso –, a análise que faz do problema é a mesma que fazemos. Aposto que olhou para o que aconteceu com o Facebook da mesma maneira. A ideia de um sistema centralizado tem erros. É muito perigosa, não pode funcionar. Se pusermos a identidade de toda a gente num cofre muito grande que pode ser atacado num só ataque, cria-se um grande problema. O que ele quer fazer com o Solid é descentralizar a identidade. E é exatamente o que fazemos. Cada utilizador do Dashlane tem a sua informação de identidade guardada num cofre diferente. De certa forma, já estamos a construir uma abordagem descentralizada para proteger as identidades. O Solid é uma abordagem open-source.

O “pai” da Internet tem um novo projeto para proteger os dados pessoais

O projeto parte do principio de que os sites mudam, o que é diferente da Dashlane, é isso?
Exatamente. É muito importante perceber essa diferença. Se o Sir Lee tivesse tido esta abordagem do Solid quando criou a Internet, não havia este problema e a Dashlane não existia, mas ninguém pensava que viria a acontecer o que acontece hoje. O desafio atual é que há três mil milhões de utilizadores na Internet a interagir com dezenas de milhões de serviços digitais. A própria noção de ter ambos a adotar uma nova infraestrutura é uma transição que vai demorar muito tempo. A nossa perspetiva é que, ao demorar muito tempo até isso se aplicar com o Solid, o problema continua a existir hoje. A nossa solução é para agora. É quase tão boa como o que o Solid propõe, mas funciona atualmente. E enquanto coisas com o Solid se vão tornando uma realidade, podemos ser a solução transitória.

Por exemplo, com o Facebook, posso utilizar o Dashlane para manter a minha password. Mas estou sempre a dar informação ao Facebook…
Sim. A fuga de dados do Facebook revelou que é uma má ideia utilizar o Facebook Connect, independentemente do que seja. Depois disso, a maneira como a Internet funciona atualmente — e vai continuar a funcionar nos próximos anos –, é que ainda vai ser preciso ter passwords, emails e cartões de crédito. Por isso, qual é a solução pragmática para o problema? São duas coisas: primeiro, é preciso voltar a ter controlo sobre isso. Pôr tudo num cofre que só a pessoa, como um utilizador, apenas tenha acesso. E depois, é preciso uma solução em que se possa ter várias credenciais muito diferentes em todos os serviços, porque não podemos confiar que os serviços que utilizamos não vão ser hackeados [pirateados, roubados, usurpados digitalmente]. Eles vão ser hackeados.

A única maneira, atualmente, de resolver isto, é utilizar a tecnologia. Ter credenciais diferentes em todo o lado e automatizar o processo. E já é possível fazê-lo, é a boa notícia. E quantas mais pessoas o fizerem, isso vai ter um significado muito grande no futuro. Se as pessoas não começarem a fazer isso, a Internet vai tornar-se cada vez mais insegura e vão existir ter cada vez mais medidas de segurança em todos os sites. As coisas vão ser menos práticas.

Posso ter um palavra-passe diferente para todos os serviços e ter tudo gerido pela Dashlene. Mas não estou a centralizar os meus dados convosco em vez de outras empresas? Isto num mundo em que, como disse, toda a gente vai ser hackeada.
É uma ótima questão. Mas isto vai à pergunta em que falei porque é que não sei responder quantos utilizadores estão em Portugal. A maneira como a Dashlane funciona é uma abordagem descentralizada. Os dados são guardados num dispositivo — seja o tablet, o smartphone, o computador –, e está encriptado com a palavra chave mestre. E essa palavra passe tem duas características fundamentais. A primeira é que não há registo dessa palavra passe em lado nenhum. Não está registada no dispositivo ou nos nossos servidores. Só na cabeça do utilizador. A segunda característica, e temos uma patente nisto, é que não usamos essa palavra-passe para autenticar o utilizador nos nossos servidores. Usamos outra autenticação. Nos nossos servidores temos, em teoria, muitos dados, mas na prática são milhares de milhões de dados encriptados diferentes para cada utilizador. E nunca os vimos.

O nosso princípio não é o de que nunca vamos ser hackeados. Isso é errado. O nosso princípio é se formos alguma vez hackeados — espero que nunca aconteça — não há nada para os hackers [piratas informáticos] encontrarem. O que vão encontrar vão ser milhões de ficheiros, cada um encriptado com chaves diferentes, ficheiros que nunca vimos. Isto é diferente do Facebook. Quando os hackers entraram no Facebook, os dados estão todos lá. Os nossos dados estão protegidos de forma diferente.

Não é já o mesmo que o Keychain, da Apple, ou o Google Chrome já fazem? Também guardam palavras passe para aceder a vários serviços no dispositivo e só o utilizador é que sabe a palavra passe mestre. Como é que é o Dashlane difere?
Em duas maneiras. Primeiro, sim, está certo, no exemplo do Chrome, pode encriptar os dados antes de pôr nos servidores da Google, mas não é a pré-definição deles. É preciso ir às definições e ativar isso. Ou seja, a maioria das pessoas não faz isso. Porque não sabem. Mas há outra maneira, que é uma das bases para o nosso serviço. Por exemplo, ai usar o Keychain ou o repositório do Chrome para palavras-passe, há uma falha fundamental. Não é universal. Normalmente, no Keychain, quando pomos os dados, só podemos utilizar num dispositivo com iOS ou num Mac. Não dá para utilizar noutros serviços. Na verdade, o número de pessoas que trabalham exclusivamente com a Apple ou com a Google é um número de pessoas verdadeiramente pequeno. Mesmo que se use um Mac, pode ser que se utilize o Firefox. Por isso é que isto é um problema que [estas empresas] não podem resolver, só o fazem no próprio ecossistema.

No último lançamento do iOS 11, a Apple viu que ninguém estava a utilizar o Keychain pelo teclado do iOS. O que fizeram no iOS 12? Deixaram-nos a nós interagir com o teclado do iOS. Isto porque perceberam que não podem ser universais e nós podemos ser. É o mesmo que a diferença entre o Dropbox e o iCloud. Não é que o iCloud não seja bom, mas não se pode utilizar o iCloud num dispositivo Android [com facilidade].

Melhor palavra-passe? “Não é reutilizada”

Qual a melhor palavra passe?
Não é ser complicada ou não, é não ser igual em todos os sites. Uma palavra passe igual em todos os sites é a mesma coisa que dar cópias da chave de casa sempre que alguém vai entregar alguma coisa. É um absurdo. A melhor palavra passe não é reutilizada.

Sobre o testamento digital, também é um tema que tem mostrado bastante interesse em alguns discursos. Se tiver uma conta da Dashlane, morro, o que acontece a esta ferramenta que permite aceder a todos os meus dados de serviços na Internet?
Construímos a medida do testamento digital no Dashlane de uma forma segura. Chama-se “contacto de emergência”. O utilizador designa alguém, ou várias pessoas, para ser um contacto de emergência. Escreve-se o e-mail da pessoa, que depois só tem de criar uma conta no Dashlane que pode ser gratuita. Depois disso, passa a haver uma ligação entre as duas contas. Na conta da pessoa designada passa a haver um botão que, quando carregado, inicia um temporizador que tem o tempo que foi definido pelo utilizador inicial. Cinco dias, uma semana, um mês, o que for. Se ativado, vai dizer à conta do utilizador que a conta terceira pediu acesso aos dados. Se não se fizer nada, depois do tempo passado, é concedido o acesso à conta designada. Ou seja, os nossos utilizadores nem precisam de mostrar um certificado de óbito ou nada. É apenas um temporizador que o utilizador definiu em vida e, depois de esse temporizador terminar quando ativado, eles recebem uma cópia dos dados todos ou apenas das palavras passes que o utilizador quis (um recebe de dois serviços, outro designado de três, etc.). É seguro e simples.

E dizem às pessoas quando criam uma conta de Dashlane que têm esta opção?
Sim, mas sendo honesto, acho que não estamos a fazer um trabalho suficientemente bom nisto. Recentemente um amigo meu que perdeu o irmão, que era um utilizador ávido do Dashlane, telefonou-me a dizer que o irmão tinha morrido e pediu para aceder aos dados. Expliquei que nem eu conseguia aceder aos dados, porque foi assim que o sistema foi construído. Infelizmente, o irmão não tinha ativado esta opção. Senti-me mesmo mal, significa que não estamos a fazer um bom trabalho a dizer isto aos nossos utilizadores. Toda a gente devia fazer isto. Toda a gente mesmo. É como fazer um testamento digital.

Teve já uma história viral por ter feito uma tatuagem quando chegou ao um milhão de utilizadores. Quando chegar aos mil milhões de utilizadores, vai fazer outra tatuagem?
Sim. Ainda é pior do que isso. As minhas tatuagens de um milhão e 10 milhões de utilizadores estão no ombro. Mas quando chegarmos a 100 milhões de utilizadores, vou fazer numa parte do meu corpo em que seja visível a qualquer momento. Não sei onde, mas não vou poder esconder os 100 milhões. E com mil milhões? Veremos.