1. Nossa abordagem
Segurança é um compromisso contínuo: aplicamos controles técnicos e organizacionais alinhados a boas práticas de mercado e à LGPD, com revisão periódica de riscos. O princípio é mínimo privilégio — acesso a dados apenas quando necessário à função.
2. Criptografia
- Em trânsito: TLS/SSL (HTTPS) em todo o site, painel e APIs, com HSTS;
- Senhas: armazenadas com hash de força (bcrypt/argon2-style), nunca em texto puro;
- Dados sensíveis em repouso: criptografia nos serviços de banco de dados e armazenamento da plataforma.
3. Infraestrutura
- Hospedagem em infraestrutura Cloudflare (Workers/Pages) com rede global, WAF e mitigação de DDoS;
- Banco de dados D1, armazenamento de arquivos R2 e cache KV com isolamento por binding;
- Segredos (chaves de API, tokens) armazenados como secrets da plataforma — nunca em repositório ou no cliente;
- Deploy automatizado com build verificado antes da publicação.
4. Autenticação e sessões
- Autenticação com e-mail e senha, com validação de força mínima;
- Sessões gerenciadas com expiração e invalidação em logout;
- Rota de redefinição de senha por token de uso único e expiração curta;
- E-mails transacionais (verificação de conta e recuperação de senha) via provedor dedicado.
5. Controle de acesso
- Perfis separados: cliente, suporte e admin, cada um com rotas e APIs próprias;
- Verificação de sessão no servidor a cada requisição autenticada;
- Rate limiting em APIs de autenticação para conter força bruta;
- Registro de eventos de segurança relevantes (login, redefinição, alterações administrativas).
6. Backups e continuidade
- Exportações periódicas do banco de dados (D1) para restauração;
- Versionamento de assets e possibilidade de rollback de deploy;
- Dados de download servidos por armazenamento durável (R2).
7. Monitoramento e resposta a incidentes
Monitoramos erros e eventos da aplicação, com procedimento de resposta que inclui detecção, contenção, investigação, remediação e comunicação. Incidentes que acarretem risco relevante a titulares são comunicados à ANPD e aos afetados conforme a legislação. Registramos ocorrências para melhoria contínua dos controles.
8. Pagamentos
Os planos são pagos via Pix por instituição de pagamento parceira. Não armazenamos dados completos de cartões de crédito — eles não são necessários ao nosso modelo. Chave Pix e dados transacionais são tratados apenas para conciliação, emissão de recibo e obrigações fiscais.
9. Pessoas e governança
- Acesso da equipe ao ambiente de produção é individual, rastreável e revogável;
- Acordos de confidencialidade com equipe e prestadores;
- Revisão de permissões em mudanças de papel ou desligamentos;
- Conformidade com a LGPD, descrita em LGPD e na Política de Privacidade.
10. Divulgação responsável
Encontrou uma vulnerabilidade? Nos avise de forma responsável, sem explorar dados de terceiros ou interromper o serviço. Envie a descrição, passos de reprodução e impacto potencial para sac@mobixflow.com.br com assunto "Segurança — relato de vulnerabilidade". Confirmaremos o recebimento, trabalharemos em conjunto na correção e, com seu consentimento, creditaremos o relato na divulgação. Enquanto a correção não estiver publicada, mantenha o relato confidencial.
11. Contato
Questões de segurança: sac@mobixflow.com.br — Mobix Flow Tecnologia Ltda, CNPJ 59.582.935/0001-76, São Paulo/SP.