Como pensamos sobre segurança
Tratamos a segurança como uma propriedade base do produto, não como uma funcionalidade adicional. Isto significa: predefinições seguras, configurações mínimas, dependências atualizadas e acesso concedido por necessidade e não por conveniência. Os mesmos engenheiros que lançam funcionalidades também lidam com as implicações de segurança dessas funcionalidades.
Esta página resume o que fazemos — as certificações que possuímos, onde os dados residem, como os pagamentos são protegidos e como reportar uma vulnerabilidade se encontrar uma.
Certificações e conformidade
Estamos vinculados e nos auditamos em relação aos seguintes frameworks:
- GDPR — conformidade total com o Regulamento Geral de Proteção de Dados da UE, incluindo uma política de privacidade publicada, um registro documentado das atividades de processamento e um contato designado para proteção de dados.
- PCI DSS — os dados de cartão de pagamento são tratados exclusivamente pela Stripe, que é certificada PCI Nível 1. Nunca vemos, armazenamos ou transmitimos números de cartão brutos.
- ISO 27001 — nossos fornecedores de hospedagem e plataforma são certificados; nosso sistema interno de gestão de segurança da informação espelha os mesmos controles.
- SOC 2 Tipo II — concluído anualmente para a plataforma voltada ao cliente.
Cópias dos certificados estão disponíveis mediante solicitação através da página de contato.
Criptografia em trânsito e em repouso
Todo o tráfego de e para o site usa TLS 1.3; protocolos mais antigos são desabilitados no nível do balanceador de carga. O HSTS é aplicado com uma janela de pré-carregamento para que os navegadores se recusem a conectar via HTTP simples após a primeira visita.
Os dados em repouso em nosso banco de dados e armazenamento de objetos são criptografados com AES-256. As chaves de criptografia são gerenciadas pelo KMS do provedor de nuvem; nenhum engenheiro possui uma chave de texto simples de longa duração.
Controles de acesso
O acesso à produção é restrito a um pequeno número de engenheiros nomeados. A autenticação é via SSO com MFA obrigatório — normalmente uma chave de segurança de hardware. Não há contas compartilhadas nem senhas de conta de serviço estáticas; toda credencial de longa duração é rotacionada automaticamente.
Cada ação contra dados de produção é registrada com o autor, a hora e o registro afetado. Os logs são imutáveis e retidos por 12 meses.
Segurança de pagamento
Todos os pagamentos passam pela Stripe (e, para compradores poloneses, pelo Przelewy24). Ambos são processadores de pagamento certificados PCI-DSS. O formulário do cartão é renderizado dentro do sandbox deles, para que os dados do cartão nunca toquem nossos servidores; recebemos apenas uma referência tokenizada.
Ativamos o 3-D Secure 2 por padrão e contamos com o mecanismo de risco da Stripe, além de nossas próprias regras de velocidade, para sinalizar tentativas fraudulentas. Os reembolsos são roteados de volta pelo método original, sem manuseio manual dos dados do cartão.
Seus dados
Coletamos o mínimo necessário para entregar um pedido: nome, endereço de cobrança, e-mail, referência de pagamento. Não vendemos dados pessoais a ninguém, nunca. Não incorporamos rastreadores de publicidade de terceiros.
De acordo com o GDPR, você tem o direito de acessar seus dados, corrigi-los, exportá-los ou excluí-los. A política de privacidade explica como exercer esses direitos e por quanto tempo cada categoria de dados é retida.
Divulgação responsável
Se você acredita ter encontrado um problema de segurança, escreva para nós através da página de contato e responderemos em um dia útil. Diga-nos qual é o problema, onde e como reproduzi-lo. Atualmente, não executamos um programa pago de caça a bugs, mas creditamos os relatores que seguem a divulgação responsável em nossa página pública de agradecimentos de segurança.
Pedimos que você não teste contra as contas de outros usuários, não execute scanners automatizados contra a produção e não divulgue publicamente um problema antes que tenhamos a chance de corrigi-lo.