Política de Segurança da Informação

1. Responsabilidade e revisão

O administrador da empresa é o responsável por esta política e por fazê-la ser cumprida. Ela é revisada ao menos uma vez por ano e sempre que houver mudança relevante no sistema ou um incidente.

2. Classificação dos dados

• Confidencial: credenciais de acesso aos marketplaces (tokens OAuth), senhas, chaves e segredos do sistema.
• Restrito: dados da operação de cada vendedor, como pedidos, valores, custos, despesas e estoque.
• Interno: registros técnicos e documentação.
• Público: o site e materiais de divulgação.

Dados pessoais de compradores dos marketplaces não são armazenados: dos pedidos ficam apenas os campos financeiros e de produto.

3. Criptografia

• Em trânsito: todo o tráfego usa HTTPS com TLS 1.2 ou superior.
• Em repouso: os tokens dos marketplaces são cifrados com AES-256-GCM, com a chave guardada fora do banco de dados.
• Senhas são guardadas apenas como hash scrypt, e os tokens de sessão apenas como hash SHA-256.
• Segredos ficam só nas variáveis de ambiente do servidor: nunca no repositório de código, no navegador ou no app.

4. Controle de acesso

• Menor privilégio: o acesso à produção é restrito ao administrador da empresa.
• O acesso aos servidores é feito por SSH com chave, sem login por senha.
• As contas críticas (repositório de código, hospedagem, domínio, e-mail e pagamentos) usam autenticação em dois fatores.
• Toda rota da API exige sessão autenticada, e os dados de cada vendedor ficam isolados dos demais no código. Testes automatizados verificam as duas regras a cada mudança.
• As integrações com marketplaces pedem apenas permissões de leitura.
• Acessos de terceiros para avaliação são somente leitura, têm prazo de validade e são revogados ao fim da avaliação.

5. Segurança de rede

• Só ficam expostos à internet o HTTPS (com o HTTP redirecionando para ele) e o SSH.
• O banco de dados e a aplicação escutam apenas no localhost e na rede privada dos containers, atrás de um proxy reverso (nginx).
• O login tem limite de tentativas, e as requisições que alteram a conta conferem a origem.

6. Configuração mínima dos equipamentos

• Disco cifrado.
• Bloqueio automático de tela com senha.
• Atualizações automáticas do sistema operacional e de segurança.
• Proteção contra malware ativa (no macOS, XProtect e Gatekeeper; em outros sistemas, um antivírus equivalente).
• Nenhuma conta compartilhada.

7. Desenvolvimento seguro e gestão de vulnerabilidades

• O código fica em repositório privado, e toda mudança passa por uma bateria de testes automatizados antes de ir para produção.
• As dependências são atualizadas com regularidade, e os alertas de segurança delas são acompanhados.
• Auditorias de segurança do código são feitas periodicamente.
• Prazo de correção: vulnerabilidades críticas em até 7 dias, altas em até 30 dias, demais na próxima manutenção planejada.

8. Registros e monitoramento

• Alterações em registros financeiros ficam em trilha de auditoria (quem, quando, antes e depois).
• Registros da aplicação e do servidor são mantidos para investigar falhas, e nunca contêm senhas nem tokens.
• Há alertas automáticos para falhas nas sincronizações com os marketplaces.

9. Resposta a incidentes

Responsável: o administrador da empresa. Qualquer pessoa pode comunicar um incidente ou uma vulnerabilidade em info@strawify.com.br. Diante de um incidente:

• Identificar e registrar: o que aconteceu, quando e quais dados e contas foram afetados.
• Conter: revogar tokens e sessões, trocar segredos e bloquear o acesso indevido.
• Avaliar o risco aos titulares e aos vendedores.
• Comunicar: vendedores afetados, marketplaces parceiros (TikTok Shop, Shopee, Mercado Livre) e, quando houver risco ou dano relevante, a ANPD, no prazo de 3 dias úteis.
• Corrigir a causa e restabelecer o serviço.
• Revisar: documentar a causa e as medidas para não repetir.

10. Retenção e exclusão

• Quando um vendedor desconecta um marketplace, as credenciais dele são apagadas na hora.
• Ao fim da relação, ou seja, com a exclusão da conta, todos os dados do vendedor são apagados definitivamente após a carência de 30 dias.
• Pedidos de acesso, correção ou exclusão são atendidos em até 15 dias.

11. Fornecedores

Usamos apenas fornecedores necessários ao serviço (hospedagem, pagamentos, login e notificações), que recebem só os dados indispensáveis. A lista está na Política de Privacidade.

12. Contato

Segurança e privacidade: info@strawify.com.br.