Segurança

Infraestrutura

• Banco de dados gerenciado: Os dados da aplicação são mantidos em um banco PostgreSQL gerenciado (Supabase), com backups automáticos e criptografados.
• Criptografia em repouso: Os volumes do banco de dados são criptografados com AES-256 por padrão.
• Criptografia em trânsito: Todo o tráfego usa TLS 1.2+, obrigatório na camada CDN (Cloudflare). HTTP é redirecionado para HTTPS.
• Rede de borda: O serviço é distribuído pelo Cloudflare, que oferece mitigação DDoS e proteção WAF.

Autenticação e controle de acesso

• Autenticação sem senha: Usamos links de acesso e chaves de acesso WebAuthn. Não há senhas que possam vazar.
• Cookies de sessão: HttpOnly, Secure, SameSite=Lax. As sessões são assinadas criptograficamente com um segredo sujeito a rotação.
• Acesso interno: Os sistemas de produção exigem MFA. O acesso ao banco de dados é restrito a engenheiros identificados, com permissões baseadas em funções.

Pagamentos

Os pagamentos são processados exclusivamente pelo Stripe (em conformidade com PCI-DSS nível 1). O Papigrows nunca vê, armazena ou transmite números de cartão. Os tokens Stripe são os únicos dados de cobrança que mantemos.

Integrações de terceiros

Os tokens OAuth das conexões CMS (Webflow, Shopify) são criptografados com AES-256-GCM antes de serem gravados no banco de dados. Solicitamos somente as permissões OAuth necessárias.

Divulgação responsável

Se você descobrir uma vulnerabilidade de segurança, informe pelo endereço [email protected]. Nosso objetivo é confirmar o recebimento dos relatos em 24 horas e resolver problemas críticos em 72 horas. Não tomamos medidas legais contra pesquisadores que agem de boa-fé.

GDPR e tratamento de dados

Consulte nossa política de privacidade para todos os detalhes sobre coleta e retenção de dados, seus direitos previstos no GDPR e nosso acordo de tratamento de dados (DPA), disponível mediante solicitação.

Contato

Questões de segurança: [email protected]
Contato geral: [email protected]