Segurança

1. Como pensamos segurança

Os dados de cada conta ficam separados dos das outras. Cada pessoa só faz o que o papel dela permite, e as ações sensíveis ficam registradas. Não temos certificações como ISO 27001 ou SOC 2. Quando tivermos, elas aparecerão aqui.

2. Infraestrutura e rede

Criptografia em trânsito: todo acesso ao site, ao painel e à API usa HTTPS com TLS.
Proteção de borda: DNS e proteção contra ataques e robôs pela Cloudflare.
Limites de requisição: o login, os códigos de verificação e a API têm limite de tentativas por IP e por chave, para dificultar ataques de força bruta.
Serviços separados: painel, API pública e processamento em segundo plano rodam separados, cada um com o mínimo de acesso necessário.
Backups: o banco de dados tem cópia de segurança [frequência e retenção a confirmar], guardada [local a confirmar].

3. Isolamento entre contas

Os dados de todas as contas ficam no mesmo banco, mas separados por regras no próprio banco de dados (segurança em nível de linha, por empresa). Cada requisição só enxerga as linhas da conta de quem fez o pedido. Uma conexão sem conta definida não vê nada.

4. Acesso e autenticação

Papéis e permissões: dono, administrador, supervisor e atendente, cada um com o que pode ver e fazer.
Login por código: o acesso pode ser feito por um código enviado ao e-mail, válido por 10 minutos, de uso único e com até 5 tentativas.
Verificação em duas etapas por e-mail, que o dono pode exigir de toda a equipe.
Aparelhos confiáveis por 30 dias, que você vê e remove no seu perfil.
Segredos protegidos: senhas e códigos são guardados com hash; credenciais de SMTP cadastradas por revendas ficam cifradas.
Acesso do suporte: quando nossa equipe precisa entrar numa conta para ajudar, o acesso é registrado com motivo e tem tempo limitado. [Em implantação]

5. Registros e auditoria

Ações sensíveis ficam registradas com quem fez e quando, como exportar ou apagar os dados de um contato pela LGPD, mudar permissões e alterar configurações de segurança. Registros de acesso são guardados por 6 meses, como exige o Marco Civil da Internet.

6. Ferramentas de LGPD no painel

Exportar tudo o que a conta guarda sobre um contato.
Apagar um contato, com as conversas e as mídias dele, individualmente ou em lote.
Desligar qualquer recurso de IA da conta.

7. Inteligência artificial

A transcrição de áudio roda no nosso servidor e o áudio não vai para terceiros. Os recursos de IA que usam texto enviam o trecho necessário ao provedor de IA só quando estão ligados. Detalhes na Política de IA e em Subprocessadores.

8. Resposta a incidentes

Se identificarmos um incidente, contemos o problema, investigamos a causa e avisamos as empresas afetadas. Quando houver risco relevante aos titulares, comunicamos também a ANPD, no prazo da Resolução CD/ANPD nº 15/2024 (3 dias úteis). validar com advogado

9. Como reportar uma vulnerabilidade

Se encontrar uma falha, escreva para [email protected] com:

O que encontrou e onde (URL, tela ou rota da API).
Passos para reproduzir e o impacto que você imagina.
Seu nome ou apelido, se quiser ser citado.

Respondemos em até 3 dias úteis e mantemos você informado até a correção. Pedimos que você não acesse nem altere dados de outras pessoas além do mínimo necessário para provar a falha, não faça ataques de negação de serviço nem engenharia social com nossa equipe, e não divulgue antes da correção. Quem segue estas regras de boa-fé não sofrerá ação legal da nossa parte.

Outras políticas

Se tiver dúvida sobre este documento, escreva para [email protected].