Segurança

1. Como protegemos a sua conta

A sua senha nunca é guardada como você a digitou. O que fica registrado é um resumo criptográfico (hash) irreversível: nem quem opera a plataforma consegue lê-la de volta. Por isso uma senha esquecida é redefinida, nunca recuperada.

Na hora de criar ou trocar a senha, verificamos se ela já apareceu em algum vazamento público conhecido. Se apareceu, ela é recusada, mesmo que atenda a todas as outras regras.

O acesso à sua conta viaja num cookie de sessão que o JavaScript da página não consegue ler. Não guardamos credencial no navegador, o que reduz o estrago possível caso alguma página seja comprometida.

Você pode ver a qualquer momento, no seu painel, os dispositivos com sessão aberta na sua conta, e encerrar remotamente qualquer um que não reconheça. Também pode consultar o seu próprio histórico de acessos.

2. Conexão e servidor

Todo o acesso à plataforma acontece por conexão criptografada (TLS). O cookie de sessão é marcado como exclusivo de conexão segura: num acesso sem criptografia ele simplesmente não é enviado, e a sessão não se sustenta.

O acesso técnico ao servidor e ao banco de dados é restrito à equipe responsável pela manutenção da plataforma, sob contrato.

3. Registros de acesso

A cada entrada na sua conta guardamos data, hora, endereço IP e porta de origem. Não é escolha nossa: o Marco Civil da Internet (art. 15) obriga o provedor de aplicações a manter esse registro, e o Decreto 8.771/2016 (art. 15-A) acrescentou a porta.

O prazo de guarda é de 6 meses a contar de cada acesso, e depois disso o registro é apagado. Um prazo maior só acontece por ordem judicial ou requisição de autoridade competente, como o próprio Marco Civil prevê (art. 15, §2).

Esses registros são fornecidos a terceiros apenas mediante ordem judicial (Marco Civil, art. 10, §1). Não os entregamos por pedido informal, de quem quer que seja.

Internamente, o acesso a esses registros é restrito e cada consulta fica registrada: quem consultou, quando e com qual filtro. A auditoria da consulta é tão registrada quanto o dado consultado.

4. Se acontecer um incidente

Em caso de incidente de segurança com risco relevante aos seus dados, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e a você é feita no prazo da Resolução CD/ANPD 15/2024, que é de 3 dias úteis a contar do conhecimento do fato.

A comunicação descreve o que aconteceu, quais dados foram envolvidos e o que você pode fazer para se proteger.

5. Onde ficam os seus dados

Os servidores da plataforma ficam fora do Brasil. A legislação brasileira continua se aplicando integralmente ao tratamento dos seus dados (Marco Civil, art. 11), e a transferência internacional é amparada pelas cláusulas-padrão contratuais aprovadas pela ANPD (LGPD, art. 33; Resolução CD/ANPD 19/2024).

6. Como falar com o encarregado

O encarregado pelo tratamento de dados (LGPD, art. 41) é quem recebe reclamações e comunicações dos titulares e da ANPD, e quem orienta sobre as práticas de proteção de dados da plataforma.