Segurança da informação

1. Compromisso

A segurança da informação no Prism MKG segue três princípios: confidencialidade (só quem deve acessa), integridade (os dados não são alterados sem registro) e disponibilidade (o serviço e os dados estão lá quando você precisa). Esta página resume as proteções em vigor e é revisada ao menos uma vez por ano.

2. Proteções no produto

• Criptografia em trânsito: todo o tráfego do site, do sistema e da API usa HTTPS/TLS.
• Senhas: guardadas só como hash, nunca em texto puro.
• Tokens e segredos de integração (Meta, Infobip): guardados cifrados no banco.
• Tokens da API: guardamos só o hash; o valor aparece uma única vez, na criação.
• Webhooks: os eventos da Meta são aceitos só com assinatura válida.
• Isolamento por conta: cada consulta é limitada à conta do usuário autenticado.
• Proteção de formulários: toda alteração exige token contra envio forjado (CSRF).
• Hospedagem no Brasil: aplicação e banco de dados em data center no Brasil.

3. Controle de acesso e auditoria

• Perfis por conta (dono, administrador, atendente), com as telas sensíveis restritas a dono e administrador.
• Auditoria de toda ação que altera dados: quem fez, quando, o quê, o resultado e o endereço IP, com dados sensíveis mascarados.
• Tentativas de login com falha também são registradas.
• Acesso da equipe de suporte a uma conta fica marcado na auditoria dessa conta.

4. Fornecedores

Usamos fornecedores que tratam dados em nosso nome (hospedagem, e-mail, pagamento, mensageria e IA), listados na Política de privacidade. Cada um recebe só os dados necessários à sua função.

5. Incidentes

Eventos de segurança são registrados, analisados e tratados. Se um incidente puder causar risco ou dano relevante aos titulares, comunicamos os clientes e titulares afetados e a ANPD nos prazos da regulamentação, com o que aconteceu, os dados envolvidos e as medidas tomadas.

6. Reportar uma vulnerabilidade

Encontrou uma falha de segurança? Escreva para contato@xxxxxxxx.com.br com o assunto "Vulnerabilidade", contando:

1. o endereço ou a tela afetada;
2. os passos para reproduzir;
3. o impacto que você imagina.

Confirmamos o recebimento, mantemos você informado sobre a correção e não tomaremos medidas contra pesquisas de boa-fé que: não acessem, alterem ou apaguem dados de terceiros além do mínimo para demonstrar a falha; não tirem o serviço do ar; não usem engenharia social; e deem um prazo razoável para a correção antes de divulgar. O contato também está publicado em /.well-known/security.txt.

7. Responsabilidades do cliente

• Dar a cada pessoa o próprio acesso e o perfil mínimo necessário.
• Remover da conta quem sai da equipe.
• Guardar tokens da API em local seguro e revogar os que não usa mais.
• Proteger o acesso à própria BM e à conta da Meta com verificação em duas etapas.

Histórico de revisões