Segurança e dados
Onde os dados ficam, como trafegam, quem alcança e o que é registrado.
De quem são os dados no sistema que vocês constroem para nós?
Seus. Tratamos os dados para operar o serviço contratado e nada além disso. Eles não são misturados com os de outro cliente, não são vendidos e não são usados para anunciar aos seus usuários. Se a relação acabar, os dados vão com você.
Como os dados são protegidos em trânsito?
As conexões usam HTTP/3 e o domínio está na lista HSTS pré-carregada dos navegadores, então o navegador se recusa a falar sem criptografia já na primeiríssima visita, antes que qualquer redirecionamento pudesse ser interceptado. A troca de chaves é pós-quântica: X25519 combinado com ML-KEM-768, escolhida para que o tráfego capturado hoje continue resistindo quando um computador quântico puder atacá-lo.
Como senhas, chaves e credenciais de API são guardadas?
Nunca no código-fonte — e quem impõe isso é o build, não a disciplina: código com segredo escrito à mão é recusado antes de entrar. Os segredos ficam criptografados num repositório de configurações e só são decifrados em tempo de execução onde realmente fazem falta, então trocar uma chave é uma mudança em um lugar, não uma caçada pela base de código inteira.
O que é registrado e dá para saber quem mudou alguma coisa?
Dá. Eventos da aplicação, erros e ações administrativas vão para o banco de dados, e não para arquivos de texto espalhados por servidores, então dá para pesquisar de verdade. As alterações administrativas registram quem agiu, o que mudou e quando. Para "quem mexeu nesse preço mês passado" existe resposta, não palpite.
Como vocês lidam com cookies e consentimento?
Cookies não essenciais só entram depois que o visitante aceita, a escolha fica registrada e todo site que construímos tem uma página para mudar ou revogar isso depois. Recusar é um clique, não uma caçada dentro de um menu de configurações — e quem recusa continua com um site que funciona.