Segurança e divulgação responsável

1. Medidas técnicas

• Isolamento entre clientes imposto pela base de dados (Row Level Security), com testes automáticos que provam que um cliente não lê dados de outro.
• Cifra em trânsito (TLS 1.2+) e em repouso; tokens e chaves de integrações cifrados com AES-256-GCM; chaves de API guardadas apenas como hash.
• Ficheiros privados servidos com ligações temporárias e apenas a quem tem acesso; links das aulas ao vivo revelados só na janela da sessão.
• Pagamentos aceites só depois de verificados junto da plataforma de pagamento, com processamento idempotente.
• Autenticação sem palavra-passe para alunos; dois fatores para as equipas; limites de pedidos contra abuso.
• Chaves de IA e segredos apenas no servidor, nunca no navegador ou nas apps.

2. Medidas organizativas

• Acesso a dados de produção restrito ao mínimo necessário e registado.
• Revisão de código e testes automáticos em cada alteração; dependências atualizadas regularmente.
• Registo de auditoria das ações no painel; monitorização de erros com alertas.
• Cópias de segurança diárias e plano de recuperação.

3. Gestão de incidentes

Todos os incidentes de segurança são registados, avaliados e documentados, incluindo os que não exigem notificação.

Quando uma violação de dados pessoais afeta clientes, avisamo-los sem demora injustificada e no máximo em 48 horas, com a informação de que precisam para cumprir as suas obrigações. Como responsável, notificamos a CNPD em 72 horas quando a violação for suscetível de criar risco, e as pessoas afetadas quando o risco for elevado.

4. Reportar uma vulnerabilidade

Escreva para [EMAIL DE SEGURANÇA] com a descrição, os passos para reproduzir e o impacto. Confirmamos a receção em 3 dias úteis e mantemos o contacto até à correção.

• Teste apenas com contas suas; não aceda, altere ou elimine dados de terceiros.
• Não faça testes de negação de serviço, spam ou engenharia social.
• Dê-nos um prazo razoável para corrigir antes de divulgar publicamente.

Quem cumprir estas regras de boa-fé não será alvo de qualquer ação da nossa parte. O contacto também está em /.well-known/security.txt.