Política de Segurança

1. Nosso Compromisso com a Segurança

Estamos comprometidos em proteger a segurança e a integridade da nossa plataforma, dos dados dos nossos usuários e dos sistemas que dão suporte aos nossos serviços. Esta Política de Segurança descreve nossa abordagem em relação à segurança da informação e as medidas que implementamos para proteger seus dados.

2. Segurança da Infraestrutura

2.1 Hospedagem e Data Centers

• Nossos serviços são hospedados em infraestrutura de nuvem de nível corporativo
• Os data centers mantêm certificações SOC 2 Type II e ISO 27001
• Os controles de acesso físico incluem autenticação biométrica e vigilância 24 horas por dia, 7 dias por semana
• Energia, refrigeração e conectividade de rede redundantes garantem alta disponibilidade

2.2 Segurança de Rede

• Todos os dados em trânsito são criptografados usando TLS 1.3
• Um Web Application Firewall (WAF) protege contra vetores de ataque comuns
• Serviços de mitigação de DDoS são implantados na borda da rede
• O tráfego de rede é continuamente monitorado em busca de anomalias

3. Segurança das Aplicações

• São seguidas práticas de ciclo de vida de desenvolvimento seguro (SDLC)
• São realizadas revisões de código e análises estáticas regularmente
• A varredura de dependências identifica vulnerabilidades em bibliotecas de terceiros
• Testes de invasão (penetration testing) são realizados pelo menos anualmente por empresas independentes

4. Proteção de Dados

4.1 Criptografia

• Os dados em repouso são criptografados usando criptografia AES-256
• Os dados em trânsito são criptografados usando TLS 1.3
• As chaves de criptografia são gerenciadas por meio de um serviço dedicado de gerenciamento de chaves
• A rotação regular de chaves é realizada de acordo com nossa política de gerenciamento de chaves

4.2 Controles de Acesso

• O controle de acesso baseado em funções (RBAC) limita o acesso aos dados a pessoal autorizado
• A autenticação multifator (MFA) é obrigatória para todos os sistemas internos
• Revisões de acesso são conduzidas trimestralmente
• O princípio do menor privilégio é aplicado em todos os sistemas

5. Resposta a Incidentes

Nosso processo de resposta a incidentes inclui:

1. Detecção: Sistemas automatizados de monitoramento e alerta identificam possíveis incidentes
2. Triagem: A equipe de segurança avalia a gravidade e o impacto
3. Contenção: Ações imediatas para limitar o escopo do incidente
4. Erradicação: Identificação e eliminação da causa raiz
5. Recuperação: Restauração dos sistemas e serviços afetados
6. Revisão Pós-Incidente: Análise abrangente e melhoria de processos

6. Gestão de Vulnerabilidades

• A varredura automatizada de vulnerabilidades é realizada continuamente
• Vulnerabilidades críticas são corrigidas no prazo de 24 horas após a descoberta
• Mantemos um programa de divulgação responsável para pesquisadores externos
• Avisos de segurança são publicados para questões que afetam os clientes

7. Continuidade dos Negócios

• Backups regulares são realizados com redundância geográfica
• Planos de recuperação de desastres são testados pelo menos duas vezes por ano
• Objetivo de Tempo de Recuperação (RTO): 4 horas para serviços críticos
• Objetivo de Ponto de Recuperação (RPO): 1 hora para dados críticos

8. Conformidade

Mantemos conformidade com:

• SOC 2 Type II
• GDPR (Regulamento Geral de Proteção de Dados)
• CCPA (Lei de Privacidade do Consumidor da Califórnia)
• PCI DSS para processamento de pagamentos

9. Divulgação Responsável

Se você descobrir uma vulnerabilidade de segurança, denuncie-a de forma responsável:

• E-mail: security@unifapi.com
• Não divulgue publicamente a vulnerabilidade antes de a tratarmos
• Forneça detalhes suficientes para que possamos reproduzir o problema
• Comprometemo-nos a confirmar o recebimento das denúncias no prazo de 24 horas

10. Contato

Para consultas relacionadas à segurança, entre em contato com nossa Equipe de Segurança pelo e-mail security@unifapi.com.