CONFIANÇA & SEGURANÇA
O que podemos colocar por escrito.
Nossa própria postura, como tratamos acessos e dados, quem processa o quê e o que fazemos quando algo quebra. Cada item pode ser verificado ou solicitado.
Nossa própria postura
Operamos os mesmos controles que pedimos a você.
Este site é estático, então a lista é curta por decisão de projeto. Curta não é o mesmo que verificada — confira você mesmo antes de aceitar a nossa palavra.
- TLS 1.3 com HSTS em todas as respostas HTTPS
- Cabeçalhos de segurança fortes: CSP, HSTS, opções de frame, política de referenciador e política de permissões
- MFA em toda conta que possa alterar este site ou acessar dados de clientes
- Acesso com privilégio mínimo em toda conta, inclusive nas nossas
- Cópias de segurança semanais, com restauração testada no mesmo intervalo
- Atualização de dependências em um calendário fixo, com os registros de alterações lidos antes de integrar
Verifique você mesmo
Confira no Security Headers e no SSL Labs antes de confiar em qualquer coisa nesta página.
Os dois são gratuitos e independentes de nós. Se algo falhar, avise — preferimos corrigir em vez de ver isso aparecer na sua revisão de compras.
Verificações e evidências
- Security Headers — CSP, HSTS, opções de frame e política de referenciador no domínio raiz
- SSL Labs — versão do protocolo, conjuntos de cifras e cadeia de certificados
Acesso
O acesso é delimitado, tem prazo e é removido.
A pergunta real não é se um fornecedor pode ser confiável. É o que o fornecedor consegue alcançar, por quanto tempo, e que evidência fica quando ele vai embora.
Perguntar sobre um pedido de acesso específico- Um cofre dedicado por projeto. As credenciais ficam em um único cofre, compartilhado apenas com as pessoas daquele projeto e removido quando ele termina.
- MFA obrigatório. Toda conta que usamos, inclusive os painéis administrativos do cliente, exige um segundo fator. Conveniência não é exceção.
- Prazo definido e revogação em até 30 dias. O acesso é concedido para a janela do projeto e removido em até 30 dias após o encerramento, com confirmação por escrito quando solicitada.
- Nenhuma credencial por e-mail. Nem antes do contrato, nem durante a entrega, nem depois. Usamos o cofre ou um convite com escopo limitado.
- Produção apenas quando o escopo exige. Homologação, uma cópia ou acesso somente leitura é o padrão; administração em produção precisa de justificativa por escrito.
Tratamento de dados
Por quanto tempo guardamos as coisas.
Esses prazos valem para este site e para os projetos de clientes, a menos que um contrato assinado defina outro. A exclusão é confirmada por escrito, sempre.
| Dado | Onde fica | Retenção | Exclusão |
|---|---|---|---|
| Envios do formulário de contato | Banco de dados do formulário e caixa de entrada compartilhada | 24 meses a partir da última resposta | Excluídos mediante pedido por escrito; confirmação enviada por escrito |
| Notas de projeto | Espaço de trabalho privado do projeto, apenas com a equipe do projeto | 12 meses após o encerramento do projeto | Destruídas no encerramento, se solicitado; confirmação por escrito |
| Achados e relatórios | Armazenamento criptografado e a sua própria cópia | 12 meses; a sua cópia é sua para guardar | Nossa cópia excluída mediante pedido; confirmação por escrito |
| Logs e saída bruta de varredura | Logs de hospedagem, de acesso e do espaço de varredura | 30 dias, depois rotacionados ou excluídos | Exclusão confirmada por escrito junto com o encerramento |
Pedidos de exclusão vão para xcsfx@icloud.com. Confirmamos o que foi excluído, de onde e em que data.
Suboperadores
Quem toca nos dados, e o que vê.
Cinco categorias. Nenhuma delas recebe mais do que a função exige.
| Serviço | Finalidade | Categoria de dados |
|---|---|---|
| Rede de borda e WAF | Terminação de TLS, cache e filtragem de requisições | Endereço IP, cabeçalhos de requisição e eventos de segurança |
| Hospedagem estática | Serve as páginas, os estilos e os scripts deste site | Endereço IP e logs padrão de requisição |
| Recebe envios de formulário e transporta as respostas | Nome, endereço de e-mail e conteúdo da mensagem | |
| Pagamentos | Cobra planos de manutenção e faturas de projeto | Contato de cobrança e valor da fatura; os dados do cartão ficam com o processador |
| Monitoramento de disponibilidade | Verifica se o site e os endpoints respondem | Caminho da requisição, código de status e tempo de resposta |
Esta tabela é um resumo. O DPA traz a lista autoritativa para um projeto assinado, incluindo entidades legais, condições de tratamento e notificação de incidentes.
Resposta a incidentes
Os primeiros cinco dias, por escrito.
Esses prazos consideram o horário de suporte, das 09:00 às 18:00 GMT+8, de segunda a sexta-feira. São compromissos que conseguimos cumprir, não uma aspiração.
Confirmação em até 4 horas úteis
Uma pessoa identificada confirma o relato, o escopo afetado e o horário da próxima atualização.
Atualização a cada 24 horas
Uma atualização por escrito todos os dias até o incidente ser encerrado, mesmo quando não há nada novo a dizer.
Causa raiz em até 5 dias úteis
O que aconteceu, em ordem, e qual controle falhou ou estava ausente.
Análise pós-incidente para o cliente
A mesma causa raiz, mais o que mudou, escrita para que sua equipe possa agir.
Não somos um SOC 24/7. Não há plantão noturno nem promessa às 3 da manhã. Se a sua exigência é plantão 24 horas, não somos o encaixe certo, e diremos isso na primeira conversa, não na proposta.
Certificações
Não temos ISO 27001 nem SOC 2.
Não vamos alegar uma certificação que não temos, nem pegar emprestada a credibilidade de um selo que não temos o direito de exibir.
O que não podemos oferecer
- Certificação ISO 27001
- Relatório SOC 2 Type I ou Type II
- Certificação Cyber Essentials
- Atestado PCI DSS — os dados do cartão ficam com o processador de pagamentos
Se o seu processo de compras exige uma dessas, não somos o fornecedor para esse negócio. Preferimos perder a venda a distorcer a documentação.
Evidências que você pode ler
- Políticas de segurança por escrito, versionadas e compartilhadas quando solicitadas
- Acesso com privilégio mínimo, com um responsável nomeado para cada conta
- Um DPA assinado antes de qualquer dado de cliente chegar
- Questionários de segurança respondidos por escrito, não em uma ligação comercial
- Um pacote de evidências em cada projeto: escopo, achados, reteste, encerramento
As respostas vêm das mesmas políticas todas as vezes, então são consistentes entre negociações.
Relatar uma vulnerabilidade
Se você acha que encontrou algo, conte para nós primeiro.
Preferimos ler um e-mail desorganizado de um pesquisador a saber de uma falha por outro caminho.
xcsfx@icloud.comPorto seguro
- Pesquisa de boa-fé nas suas próprias contas, ou em um ambiente de teste que você nos peça para criar, é bem-vinda.
- Não acesse, altere ou exfiltre dados de outras pessoas. Pare e reporte.
- Dê-nos tempo para corrigir antes de publicar, e diga se pretende publicar.
- Confirmamos em até 2 dias úteis e informamos se conseguimos reproduzir.
Não vamos tomar medidas legais por pesquisas que sigam estas regras. Essa é a política inteira; não existe formulário separado.
Próximo passo
Leia o documento e depois faça a pergunta difícil.
O DPA traz a lista autoritativa de suboperadores e as condições. Se algo aqui não bate com o seu questionário, coloque no formulário e responderemos por escrito.