Como o Reaudit protege os seus dados.

O nosso compromisso com a segurança

No Reaudit, a segurança é a nossa máxima prioridade. Aplicamos medidas de segurança de nível industrial para proteger os nossos dados, infraestrutura e operações. Esta página descreve as nossas práticas e políticas de segurança.

1. Encriptação de dados

1.1 Encriptação em trânsito

• TLS 1.3: Todos os dados em trânsito são encriptados com TLS 1.3 e conjuntos de cifras robustos
• HTTPS Everywhere: Todas as ligações exigem HTTPS
• Perfect Forward Secrecy: Aplicado para proteção adicional

1.2 Encriptação em repouso

• AES-256: Todos os dados sensíveis são encriptados em repouso
• Encriptação da base de dados: Encriptação completa da base de dados ao nível do campo
• Cópias de segurança encriptadas: Todas as cópias de segurança são encriptadas
• Gestão de chaves: Gestão segura das chaves de encriptação

2. Controlo de acesso

2.1 Autenticação

• OAuth 2.0: Integração segura com terceiros (Google)
• Gestão de sessões: Sessões JWT com cookies seguros httpOnly e expiração automática (7 dias)
• reCAPTCHA v3: Proteção contra bots na autenticação
• Proteção contra ataques de força bruta: Limitação de pedidos

2.2 Autorização

• Controlo de acesso baseado em funções (RBAC): Permissões detalhadas
• Princípio do menor privilégio: Os utilizadores têm o acesso mínimo necessário
• Segregação de dados: Separação rigorosa dos dados entre clientes
• Registos de auditoria: Registo abrangente de todas as ações de acesso

3. Segurança da infraestrutura

3.1 Segurança da infraestrutura

• MongoDB Atlas: Base de dados gerida com certificações SOC 2 e ISO 27001
• Docker: Deployment em contentores com políticas de reinício automático
• DDoS Protection: Proteção DDoS e WAF da Cloudflare

3.2 Segurança das aplicações

• Web Application Firewall (WAF): Proteção contra ataques web comuns
• Validação de entradas: Validação rigorosa de todos os dados introduzidos pelos utilizadores
• Proteção CSRF: Proteção contra Cross-Site Request Forgery
• Política de Segurança de Conteúdo: Aplicação de políticas CSP rigorosas
• Cabeçalhos seguros: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 Segurança da API

• Autenticação da API: Chaves de API com armazenamento seguro
• Limitação de pedidos: Proteção contra abuso da API
• Versionamento da API: Evolução controlada da API
• Registo da API: Registo abrangente de todos os pedidos à API

4. Monitorização e resposta

4.1 Monitorização

• Monitorização de erros: Monitorização de erros em tempo real através do Sentry
• Registo estruturado: Registo centralizado da aplicação com marcas temporais
• Monitorização de disponibilidade: Monitorização da disponibilidade do serviço

4.2 Resposta a incidentes

• Plano de resposta: Procedimentos documentados de resposta a incidentes
• Contenção: Isolamento rápido dos sistemas afetados
• Notificação de violações: Notificação no prazo de 72 horas, em conformidade com o RGPD

5. Proteção de dados

5.1 Cópias de segurança de dados

• Cópias automáticas: Cópias de segurança diárias automatizadas através do MongoDB Atlas
• Recuperação point-in-time: Possibilidade de restaurar os dados para qualquer ponto no tempo
• Encriptação: Todas as cópias de segurança são encriptadas

5.2 Eliminação de dados

• Eliminação segura: Eliminação criptográfica de dados
• Política de conservação: Políticas claras de conservação de dados
• Eliminação a pedido: Capacidade de eliminar dados de utilizadores

6. Desenvolvimento seguro

• Revisão de código: Todas as alterações de código estão sujeitas a revisão por pares
• TypeScript Strict Mode: Código type-safe que reduz os erros
• Análise de dependências: Análise automatizada de vulnerabilidades em pacotes de terceiros
• Separação de ambientes: Ambientes distintos de desenvolvimento, staging e produção

7. Segurança da equipa

• Acordos de confidencialidade: Assinados por todos os membros da equipa
• Princípio do menor privilégio: Os membros só têm acesso ao que é necessário
• Revogação de acesso: Revogação imediata à saída

8. Conformidade e certificações

8.1 Certificações atuais

• GDPR: Conformidade total com o Regulamento Geral sobre a Proteção de Dados
• CCPA: Conformidade com o California Consumer Privacy Act
• PCI DSS: Conformidade para processamento de pagamentos

8.2 Alinhamento com normas

• SOC 2: Controlos de segurança alinhados com os critérios AICPA Trust Service. A certificação formal faz parte do nosso roteiro.
• ISO 27001: Práticas de segurança alinhadas com o quadro ISO 27001. A certificação faz parte do nosso roteiro.

9. Segurança de terceiros

• Avaliação de Fornecedores: Avaliação de segurança rigorosa
• Acordos de tratamento de dados: Contratos com todos os subcontratantes
• Acesso mínimo: Acesso limitado de terceiros
• Revisões Regulares: Monitorização contínua de fornecedores

10. Disponibilidade do serviço

• Managed Database: MongoDB Atlas com failover automático
• Reinício automático: Políticas de reinício do Docker para recuperação do serviço
• CDN: Cloudflare CDN para distribuição global de conteúdo

11. Comunicação de vulnerabilidades

Incentivamos a divulgação responsável de vulnerabilidades de segurança. Se descobrir uma vulnerabilidade:

• Envie um email para [email protected]
• Forneça uma descrição detalhada da vulnerabilidade
• Não a divulgue publicamente até a corrigirmos
• Não aceda nem modifique dados de utilizadores

Responderemos no prazo de 48 horas e trabalharemos consigo para resolver o problema.

12. Contacto

Para questões ou preocupações de segurança: