Segurança

Dados de cada empresa, separados

• Toda consulta ao banco de dados é restrita à empresa da conta conectada. Uma empresa nunca vê clientes, projetos, documentos ou conversas de outra, e esse isolamento é coberto por testes automáticos.
• Pelo WhatsApp, o assistente identifica o cliente pelo número cadastrado e só consulta os documentos publicados dos projetos ativos daquele cliente. Documentos não publicados nunca chegam à IA.
• Os links para baixar documentos são temporários e expiram em 5 minutos.

Contas e acesso

• As senhas exigem pelo menos 10 caracteres e são guardadas apenas como hash (bcrypt), nunca em texto.
• Depois de 10 tentativas de login erradas, a conta é bloqueada por 60 minutos. Há também limites de tentativas por endereço IP e por e-mail.
• O formulário de recuperação de senha responde da mesma forma para qualquer e-mail, para não revelar quem tem conta.
• Você pode entrar com a sua conta Google, sem criar uma senha.
• A nossa equipe só acessa as páginas internas com verificação em duas etapas (código de um app autenticador). A única página interna que reúne dados de todas as empresas mostra apenas números agregados de uso e custo da IA, sem nomes de clientes, telefones, documentos ou mensagens.

Infraestrutura

• Toda conexão usa HTTPS; o acesso sem criptografia é redirecionado.
• O banco de dados e os arquivos ficam em provedores de infraestrutura com criptografia em repouso.
• Telefones, e-mails e o texto das mensagens são filtrados dos registros técnicos do sistema.
• Uma política de segurança de conteúdo (CSP), que limita os scripts que as páginas podem executar, está em fase de monitoramento antes de passar a bloquear.

WhatsApp e inteligência artificial

• Toda mensagem recebida do WhatsApp tem a assinatura de origem verificada antes de ser processada.
• Cada número pode enviar até 20 mensagens por hora ao assistente, o que protege contra abuso.
• Mensagens de voz são transcritas e o áudio é descartado logo em seguida; ele não é armazenado.
• As cópias dos documentos enviadas ao fornecedor de IA que gera as respostas são apagadas de lá quando o documento recebe nova versão ou é excluído. Os fornecedores de IA não usam esses dados para treinar modelos.

Pagamentos

Os pagamentos são processados por um provedor certificado PCI DSS. Os dados do cartão vão direto do seu navegador para ele e nunca passam pelos nossos servidores.

Registros e retenção

• Registros de acesso (IP, data, hora e página de cada acesso à conta, inclusive tentativas de login): guardados por 6 meses, como exige o Marco Civil da Internet, e apagados automaticamente depois.
• Eventos de segurança (bloqueios, trocas de senha, exportações e exclusões de conta): guardados por 1 ano.
• O texto das mensagens é apagado depois de 12 meses. Você pode baixar todos os seus dados ou excluir a conta a qualquer momento, no painel.

Incidentes

Se acontecer um incidente de segurança que possa trazer risco aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas no prazo legal, e avisaremos as empresas afetadas sem demora.

Encontrou uma vulnerabilidade?

Escreva para privacidade@obrapocket.com.br com os detalhes. Pedimos que não acesse dados de outras pessoas além do necessário para demonstrar o problema e que nos dê um prazo razoável para corrigi-lo antes de divulgar. Agradecemos quem reporta de boa-fé.