Segurança no Zetdo

1. Modelo de segurança

Segurança faz parte do desenho do produto, infraestrutura, implantação e operação do Zetdo. Usamos controles em camadas para autenticação, autorização, armazenamento de dados, segredos, monitoramento, backups e resposta a incidentes.

O Zetdo ainda é um produto em estágio inicial. Não afirmamos ter SOC 2, ISO 27001, HIPAA, PCI DSS ou outra certificação formal salvo publicação específica, mas desenhamos controles para tornar essas auditorias viáveis conforme a plataforma amadurece.

2. Hospedagem e infraestrutura

• Hospedagem em nuvem: o Zetdo roda principalmente no Microsoft Azure, com ambientes separados de desenvolvimento, homologação e produção.
• Infraestrutura como código: recursos Azure são provisionados com Terraform para reduzir alterações manuais e melhorar revisão.
• Controles de implantação: deploys de produção usam GitHub Actions e Azure OIDC, evitando credenciais de implantação de longa duração.
• Limites de rede e serviço: APIs backend, Azure Functions, filas, bancos, armazenamento e segredos são separados por ambiente e finalidade.

3. Autenticação e controle de acesso

• A autenticação de usuários é feita pelo Firebase Authentication.
• Requisições de API exigem tokens autenticados e verificações de contexto de empresa antes do acesso a dados da empresa.
• Verificações de função e participação restringem ações administrativas e no nível da empresa.
• Acesso à produção é limitado a pessoas com necessidade operacional e revisado conforme equipe e plataforma crescem.

4. Proteção de dados

• Criptografia em trânsito: o Zetdo usa HTTPS/TLS para navegador, mobile, API, webhooks e comunicações com provedores.
• Criptografia em repouso: serviços de dados Azure fornecem criptografia em repouso para bancos, armazenamento, backups e discos gerenciados pela plataforma quando aplicável.
• Gestão de segredos: segredos de serviço e strings de conexão ficam no Azure Key Vault e são acessados por identidades gerenciadas quando suportado.
• Separação de tenants: dados de negócio dos clientes são escopados por identificadores de empresa e verificações de autorização.
• Histórico de auditoria: eventos de criação, atualização, exclusão e restauração escopados por empresa são registrados para agregados suportados.

5. Backups e recuperação

• Cosmos DB usa backup contínuo com recuperação a ponto no tempo quando configurado.
• Azure Blob Storage e serviços relacionados são configurados com armazenamento criptografado e recuperação operacional conforme necessidade de ambiente.
• Backups servem para recuperação de desastre, exclusão acidental e resiliência operacional. Não substituem as obrigações próprias de manutenção de registros do negócio.

6. Monitoramento e resposta a incidentes

O Zetdo registra logs operacionais, identificadores de correlação, eventos de provedores e eventos relevantes de segurança para detectar falhas, abuso, tentativas de acesso não autorizado, problemas de entrega e problemas de infraestrutura.

Quando identificamos um incidente de segurança, investigamos escopo, contemos o problema, preservamos evidências relevantes, corrigimos a causa e notificamos clientes afetados ou autoridades quando legalmente exigido.

7. Mensageria segura

• Entrega de e-mail, SMS e WhatsApp é separada da orquestração de lembretes para que provedores de entrega não controlem a lógica de agendamento.
• Webhooks de provedores são verificados quando suportado antes de aceitar eventos de entrega.
• Opt-outs e preferências de destinatários são respeitados no fluxo de mensagens.
• A entrega de mensagens pode ser limitada, repetida, bloqueada ou suspensa quando risco de provedor, abuso ou conformidade exigir.

8. Responsabilidade compartilhada

• Você é responsável por escolher senhas fortes, proteger dispositivos, limitar acesso da equipe, atribuir funções com cuidado, manter contatos de clientes corretos e pedir e guardar os registros necessários para sua própria conformidade.
• Você é responsável por ter permissão para contatar clientes por e-mail, SMS ou WhatsApp e por respeitar opt-outs e regras locais de marketing.
• O Zetdo é responsável por operar os controles da plataforma descritos aqui e responder a vulnerabilidades e incidentes dentro do limite do nosso serviço.

9. Divulgação de vulnerabilidades

Se você acredita ter encontrado uma vulnerabilidade, reporte para [email protected] com detalhes suficientes para reproduzirmos o problema. Buscamos confirmar recebimento em até dois dias úteis.

Não acesse, modifique, exclua, extraia ou divulgue dados que não sejam seus. Não execute testes destrutivos, negação de serviço, engenharia social, spam ou ataques físicos. Dê ao Zetdo uma oportunidade razoável para investigar e corrigir antes de divulgar publicamente.

10. Contato

Relatos de segurança: [email protected]. Dúvidas de privacidade: [email protected]. Suporte geral: [email protected].