Perguntas frequentes.

Uma ferramenta de desenvolvimento: um app nativo de macOS que cria cápsulas de simulador iOS descartáveis e deixa seus agentes — Claude, Codex, Cursor — dirigirem o app dentro delas enquanto você assiste. Cada sessão vira evidência reproduzível: as capturas, o passo a passo da execução e o veredito, selados e prontos para rodar de novo. “Kelvin” é como chamamos o produto no dia a dia; o nome inteiro é Kelvin Code.

Precisa. Os runtimes de iOS vêm do Xcode e o Kelvin não substitui isso. O que ele faz é rodar o simulador fora do seu caminho: nenhuma janela de simulador abre, só a do Kelvin.

Funciona. O Kelvin que você baixa hoje roda inteiro na sua máquina, sem login e sem servidor nosso no caminho.

macOS 14 ou mais novo, Apple Silicon, com o Xcode instalado. Para tocar na tela, digitar e transmitir a sessão, macOS 15 e o idb-companion instalado pelo Homebrew.

Nada. O beta é gratuito e não pede cartão. Se houver preço, ele será anunciado antes de valer.

O app se atualiza sozinho pelo feed publicado neste site. Toda versão aparece no changelog, com o binário na página pública de releases.

Só de github.com/andermelo/kelvin-releases e deste site. Não distribuímos o Kelvin por nenhum outro canal.

Nome, foto de perfil e e-mail verificado — os escopos openid, email e profile, e nada além. O Kelvin Code não pede nem recebe acesso ao Google Drive, ao Gmail, ao calendário, a contatos, a repositório ou a qualquer outro dado da sua conta. O login existe em app.kelvincode.com só para dizer quem está na sessão; a identidade de uma pessoa aqui é o e-mail corporativo verificado, e o provedor é apenas o meio de prová-lo — por isso o GitHub (read:user, user:email) aparece lado a lado, sem hierarquia. O app que você baixa e roda no seu Mac não pede login nenhum.

No Kelvin Local, nada: sessões, telas e apps não saem do seu Mac. O Kelvin Code Cloud é opcional, e nele o seu Mac abre conexão somente para fora — o Kelvin não abre nenhuma porta de entrada na sua máquina.

O app que você envia é conferido por duas hashes — os bytes recebidos e a árvore do app extraído — antes de qualquer simulador ser tocado. E tudo é ligado a uma organização: pedir um objeto de outra organização responde “não encontrado”, sem confirmar que ele existe. Testes negativos cobrem esse caminho.

Toda ação crítica entra numa trilha de auditoria: mudança de papel e de associação, cadastro e revogação de máquina, aprovação do app enviado, transição de execução, controle concedido e devolvido, input aceito, aprovação e publicação. O controle ao vivo é de uma pessoa por vez e a troca é explícita — e o texto que você digita nunca entra em log nem na trilha.

Hoje a evidência fica. As janelas que pretendemos aplicar estão escritas na política de privacidade — 30 dias para uma execução que concluiu, 7 dias para uma que falhou, 90 dias para a trilha de auditoria —, e enquanto forem intenção o site diz que são intenção: nada é apagado por prazo, e nenhuma data aqui é promessa. O que é apagado de verdade é o estado de uma sala quando ela termina: chat, propostas, tíquetes e assentos.