Política de Segurança

Introdução

Na Warranlytics, segurança não é apenas uma funcionalidade - é fundamental para tudo que fazemos. Entendemos que você está nos confiando dados valiosos de garantia e informações comerciais, e levamos essa responsabilidade a sério.

Esta política de segurança descreve as medidas técnicas e organizacionais que usamos hoje para proteger suas informações.

Descrevemos apenas controles que já estão em vigor. A Warranlytics não possui certificação SOC 2, ISO 27001 ou PCI DSS.

1. Proteção de Dados

Protegemos seus dados com várias camadas de controle: HTTPS para todo o tráfego, verificação de permissões em cada requisição e logs de auditoria das alterações nos seus registros.

Senhas e tokens de sessão nunca são armazenados em texto puro, e endereços de e-mail e números de telefone são mascarados nos logs da aplicação.

• HTTPS para todo o tráfego via Cloudflare, com HTTP Strict Transport Security (HSTS)
• Senhas com hash bcrypt
• Tokens de atualização armazenados apenas como hash SHA-256
• Tokens de sessão mantidos em cookies httpOnly, Secure e SameSite
• E-mails e telefones mascarados nos logs
• Exportação e exclusão de dados mediante solicitação

2. Controle de Acesso

Implementamos controles de acesso rigorosos baseados no princípio de menor privilégio. Os usuários recebem acesso apenas aos dados e funções necessários para suas funções específicas.

O login é protegido por limitação de requisições e tokens de acesso de curta duração com rotação de tokens de atualização. A autenticação de dois fatores ainda não está disponível.

• Controle de acesso baseado em funções (RBAC)
• Tokens de acesso de curta duração com rotação de tokens de atualização
• Logs de auditoria das alterações em garantias, reivindicações, faturas e outros registros
• Cada consulta limitada aos dados da sua própria organização
• Limitação de requisições no login, na redefinição de senha e nos códigos de uso único

3. Segurança de Rede

Todo o tráfego de produção passa pela Cloudflare, incluindo seu firewall de aplicações web, antes de chegar aos nossos servidores, e as portas do nosso banco de dados nunca ficam expostas à internet.

Cada requisição é autenticada e verificada contra permissões baseadas em funções antes de poder acessar seus dados.

• Firewall de aplicações web (WAF) da Cloudflare
• Cabeçalhos de segurança em cada resposta, incluindo HSTS e uma Content Security Policy
• Redes de contêineres isoladas para cada ambiente
• Portas do banco de dados nunca expostas em produção
• Mitigação de DDoS via Cloudflare
• Requisições de origem cruzada limitadas às nossas próprias aplicações

4. Segurança de Infraestrutura

A plataforma roda em contêineres sobre infraestrutura de nuvem gerenciada, atrás da Cloudflare. Os contêineres rodam com um usuário sem privilégios de root, e cada ambiente é isolado dos demais.

Mantemos dependências e imagens base atualizadas e aplicamos patches de segurança à medida que são lançados.

• Hospedagem em nuvem gerenciada atrás da Cloudflare
• Contêineres executados sem privilégios de root
• Dependências e imagens base mantidas atualizadas
• Implantações definidas em configuração com controle de versão
• Logs da aplicação e monitoramento de disponibilidade
• Segredos fornecidos pelo ambiente, nunca incluídos no código

5. Segurança de Aplicações

Nossas aplicações seguem práticas de codificação segura, com controles de segurança em várias camadas da aplicação.

Cada requisição é validada e higienizada na fronteira da API, as dependências são mantidas atualizadas e as vulnerabilidades relatadas são corrigidas rapidamente.

• Revisão de código e linting automatizado em cada alteração
• Proteção CSRF em cada requisição que altera dados
• Campos desconhecidos rejeitados por validação estrita de entrada
• Validação segura de entrada e sanitização
• Tratamento seguro de erros e logging
• Segurança de API e limitação de taxa

6. Prevenção de Fraudes

As verificações antifraude são regras determinísticas aplicadas a cada reivindicação de garantia: detectamos registros e reivindicações duplicados, confirmamos que o número de série é válido e verificamos se a reivindicação está dentro do período de cobertura da garantia.

Reivindicações que não passam em uma verificação são sinalizadas para revisão da sua equipe. Não há aprendizado de máquina nem criação automatizada de perfis.

• Detecção de registros e reivindicações duplicados
• Validação do número de série
• Verificação do período de cobertura e validade
• Códigos QR e links de verificação assinados nos certificados de garantia
• Trilha de auditoria em cada garantia e reivindicação
• Reivindicações sinalizadas retidas para revisão manual

7. Resposta a Incidentes

Temos um processo documentado para lidar com incidentes de segurança: apurar o que aconteceu, limitar o impacto e corrigir a causa.

Respondemos a incidentes de segurança assim que tomamos conhecimento deles, seguindo procedimentos documentados para limitar seu impacto e informando os clientes afetados.

• Procedimentos documentados de resposta a incidentes
• Limitação de requisições e regras de firewall para conter abusos
• Logs do servidor e trilhas de auditoria para apurar o que aconteceu
• Comunicação e notificação de incidentes
• Análise de causa raiz pós-incidente
• Melhoria contínua de processos

8. Conformidade e Proteção de Dados

Desenvolvemos seguindo práticas de segurança consolidadas e projetamos a plataforma em torno das obrigações de proteção de dados que se aplicam aos nossos clientes.

Mantemos registros internos e logs de auditoria suficientes para comprovar nossas obrigações do GDPR, e podemos fornecê-los mediante solicitação.

• Conformidade LGPD para proteção de dados
• Criptografia em trânsito e em repouso
• Controle de acesso baseado em funções em cada registro
• Registro de auditoria no servidor para acessos a dados
• Processo documentado de resposta a incidentes
• Revisões de acesso com privilégio mínimo

9. Treinamento de Segurança para Funcionários

Todos da nossa pequena equipe com acesso aos sistemas de produção recebem orientação sobre nossas práticas de segurança ao entrar.

O acesso aos sistemas de produção é limitado às pessoas que precisam dele para operar o serviço.

• Orientação de segurança para todos com acesso à produção
• Acesso à produção limitado a quem precisa
• Segredos mantidos fora do código-fonte
• Orientações sobre o tratamento de dados de clientes
• Procedimentos de resposta a incidentes
• Acessos removidos prontamente quando alguém deixa a equipe

10. Segurança de Terceiros

Mantemos deliberadamente pequeno o número de suboperadores e recorremos a provedores consolidados para hospedagem, envio de e-mails e armazenamento de arquivos.

Cada provedor recebe acesso apenas aos dados necessários para cumprir sua função, e podemos fornecer nossa lista atual de suboperadores mediante solicitação.

• Um conjunto deliberadamente pequeno de suboperadores
• Acordos contratuais de segurança
• Cada provedor limitado aos dados mínimos necessários
• Lista atual de suboperadores disponível mediante solicitação
• Requisitos de manuseio de dados
• Notificação de incidentes e procedimentos de resposta

11. Relatórios de Segurança

Encorajamos a divulgação responsável de vulnerabilidades de segurança e mantemos canais claros para pesquisadores de segurança e usuários relatarem problemas.

Todos os relatos de segurança são levados a sério e investigados rapidamente.

• Divulgação responsável por e-mail para contact@warranlytics.com
• Relatos confirmados e investigados rapidamente
• Processo de escalação de incidentes
• Correções priorizadas por gravidade
• Comunicação transparente de resolução
• Melhorias de segurança baseadas em feedback

12. Informações de Contato

Para perguntas sobre segurança, para relatar uma vulnerabilidade de segurança ou para solicitar informações adicionais sobre nossas práticas de segurança, entre em contato conosco:

E-mail: contact@warranlytics.com

Para assuntos de segurança urgentes, envie um e-mail com o assunto 'URGENTE - Segurança' ou ligue para +880 1811 955 677 em horário comercial.