Segurança
Segurança na DueVestor
Como mantemos os seus dados — e os dados dos seus sujeitos — seguros em trânsito, em repouso e contra ameaças internas.
Encriptação
TLS 1.2+ em trânsito (terminado no Cloudflare, cifras modernas). As cópias de segurança da base de dados são encriptadas antes de saírem do servidor.
Controlos de acesso
O acesso à produção está limitado a um único operador fundador. As operações administrativas sensíveis passam por um registo de auditoria (ADR-058) com retenção de 2 anos. O acesso por API é opaco por chave (hash HMAC-SHA256; ADR-056) — um dump da base de dados não permite reutilizar uma chave sem o segredo da aplicação.
Firewall de aplicações web e proteção DDoS
O DueVestor funciona atrás da rede Cloudflare de nível Pro — fornecendo capacidade de firewall de aplicações web (WAF), mitigação automática de DDoS e filtragem de bots na borda da rede. As regras WAF gerenciadas protegem contra os padrões de ataque OWASP Top 10 antes de chegarem à camada de aplicação.
Comunicar uma vulnerabilidade
Envie um e-mail para [email protected] com uma descrição, os passos de reprodução e o seu CVSS sugerido. Comprometemo-nos a um acuse de receção em 72 horas e a uma resolução ou explicação em 30 dias. Sem recompensas monetárias na v1; crédito público no post-mortem, se assim o desejar.
O que enviamos aos LLMs
Os dados dos sujeitos enviados para a Anthropic estão cobertos por um contrato de não utilização para treino — não são utilizados para treinar modelos.
Subprocessadores
O DueVestor utiliza os seguintes subprocessadores para prestar o serviço. Notificamos os clientes com 30 dias de antecedência antes de adicionar qualquer subprocessador que trate dados pessoais de cidadãos da UE.
| Fornecedor | Finalidade | Região |
|---|---|---|
| RunPod | Hosting — application, database, workers | EEA |
| Cloudflare | CDN + DNS + WAF + DDoS protection + file storage (R2) | Global |
| Anthropic | LLM inference (no-training contract) | US |
| Resend | Transactional email | US |
| Twilio | SMS / phone verification | US |
| PayPal | Credit purchases | US |
| GitHub | Source code hosting (no user data) | US |
Precisa de um DPA assinado?
Os clientes podem solicitar um Acordo de Processamento de Dados assinado.
Ver / assinar DPA →