Segurança e privacidade, às claras

Todo acesso ao Zizelo usa HTTPS, com certificados emitidos e renovados automaticamente. O cabeçalho HSTS obriga o navegador a usar conexão segura por um ano, inclusive em subdomínios.

SOC 2 CC6.7ISO 27001 A.8.20, A.8.24

O firewall do servidor aceita apenas acesso administrativo por SSH e tráfego web (portas 80 e 443). A aplicação só responde por meio do proxy reverso, e o banco de dados não tem porta publicada na internet.

SOC 2 CC6.6ISO 27001 A.8.20, A.8.22

Política de segurança de conteúdo (CSP) restrita ao próprio domínio, bloqueio de enquadramento contra clickjacking, proteção contra adivinhação de tipo de arquivo e política de referência restrita em todas as páginas.

SOC 2 CC6.6, CC6.8ISO 27001 A.8.26, A.8.27

O site não carrega fontes, scripts, pixels ou rastreadores de terceiros. Tudo o que o navegador executa é servido pelo próprio Zizelo, o que fecha uma porta comum de vazamento de dados.

SOC 2 CC6.8, P6.1ISO 27001 A.8.26, A.5.34

A aplicação roda em contêiner a partir de uma imagem Node.js mínima (Alpine). A imagem é reconstruída a cada publicação, sempre buscando a versão mais recente da base.

SOC 2 CC7.1, CC8.1ISO 27001 A.8.8, A.8.9

Desenvolvimento, testes automatizados e produção usam bancos distintos, e os testes usam apenas dados fictícios. A limpeza do banco recusa bases de produção, e atalhos de desenvolvimento, como o código fixo de recuperação de senha, nunca funcionam em produção.

SOC 2 CC8.1ISO 27001 A.8.31, A.8.33

Verificação contínua do serviço a partir de fora do servidor, com alerta à equipe e página pública de status.

Situação atual: Hoje a saúde da aplicação é conferida pelo contêiner a cada 30 segundos e em toda publicação, localmente e pela internet.

SOC 2 CC7.2ISO 27001 A.8.16

Senhas são guardadas apenas como hash bcrypt, com mínimo de oito caracteres. Ninguém da equipe consegue ler a senha de um usuário.

SOC 2 CC6.1ISO 27001 A.5.17, A.8.5

Cada sessão usa um identificador aleatório de 256 bits, em cookie httpOnly, Secure e SameSite, válido por até 30 dias. Redefinir a senha encerra todas as sessões abertas.

SOC 2 CC6.1ISO 27001 A.8.5

Código de seis dígitos enviado por e-mail, guardado só como hash, válido por 15 minutos e bloqueado após cinco tentativas. Há limite de pedidos por conta, a resposta não revela se o e-mail tem cadastro e a pessoa recebe um aviso quando a senha muda.

SOC 2 CC6.1ISO 27001 A.5.17, A.8.5

Três perfis por espaço: Administrador, Especialista e Leitor. Cada leitura e cada alteração conferem no servidor o vínculo e o perfil da pessoa; a interface nunca é a única barreira.

SOC 2 CC6.2, CC6.3ISO 27001 A.5.15, A.5.18, A.8.3

Cada empresa tem o seu espaço. Toda consulta é filtrada pelo vínculo ativo do usuário com aquele espaço, e o endereço de um espaço sem vínculo responde como inexistente. Testes automatizados conferem esse isolamento a cada versão.

SOC 2 CC6.1ISO 27001 A.8.3

Novas empresas entram com e-mail de domínio próprio, com servidor de e-mail válido, e CNPJ ativo conferido em consulta pública. As demais pessoas só entram por convite de um administrador.

SOC 2 CC6.2ISO 27001 A.5.16

A área da equipe Zizelo é separada do painel e só abre para contas marcadas manualmente como equipe. Para diagnosticar um problema, a equipe pode ver o painel como o usuário por no máximo duas horas, sem aceitar termos ou convites em nome dele. Cada acesso e cada alteração aparecem na trilha do próprio espaço, visível para o cliente.

SOC 2 CC6.3ISO 27001 A.8.2, A.5.15

Chaves da API de eventos são guardadas só como hash, e a chave completa aparece uma única vez, na criação. Os endpoints internos de agendamento exigem segredo próprio, comparado em tempo constante.

SOC 2 CC6.1ISO 27001 A.5.17, A.8.5

Segundo fator no login por aplicativo autenticador, com códigos de recuperação, começando pelos administradores de espaço.

Situação atual: Hoje o login usa e-mail e senha.

SOC 2 CC6.1ISO 27001 A.8.5

Bloqueio temporário após tentativas repetidas de senha, por conta e por origem, contra ataques de força bruta.

Situação atual: O limite já existe na recuperação de senha; o próximo passo é aplicá-lo também ao login.

SOC 2 CC6.1, CC6.6ISO 27001 A.8.5

Chaves e tokens de Google Workspace, Microsoft 365 e Meta Ads são cifrados com AES-256-GCM, com chave própria, separada da chave de sessão. Nunca voltam para a tela (só os quatro últimos caracteres) e são apagados no momento em que o conector é removido.

SOC 2 CC6.1, C1.1ISO 27001 A.8.24, A.5.17

Os conectores pedem apenas permissões de leitura e falam só com endereços fixos de cada fornecedor, com tempo limite em toda chamada. Na autorização pelo Google, o retorno é conferido com um valor assinado e de validade curta.

SOC 2 CC6.6, CC9.2ISO 27001 A.5.23, A.8.26

Do extrato em CSV guardamos só as cobranças recorrentes detectadas; as demais linhas são descartadas na leitura. Das contas de anúncio lemos apenas números agregados do mês, sem dados das pessoas alcançadas.

SOC 2 P3.1ISO 27001 A.5.34

Tokens, chaves e cabeçalhos de autorização são removidos das mensagens de erro antes de qualquer gravação ou exibição. A trilha de auditoria nunca guarda senhas ou credenciais.

SOC 2 C1.1ISO 27001 A.8.11, A.8.15

Sem escolha, só funcionam os cookies necessários. Preferências de interface e estatísticas dependem de autorização, a escolha fica registrada na conta como prova e pode ser mudada a qualquer momento. Não usamos cookies de publicidade.

SOC 2 P2.1ISO 27001 A.5.34

Política de Privacidade e Termos de Uso publicados em português e inglês, com versão e histórico. O aceite fica registrado na conta, e o painel pede novo aceite quando um documento muda.

SOC 2 P1.1, CC2.3ISO 27001 A.5.31, A.5.34

A empresa cliente é controladora dos dados do espaço; o Zizelo atua como operador. Não usamos esses dados para publicidade, não os vendemos e não criamos perfis de comportamento. Exportação e exclusão a pedido.

SOC 2 P4.1, P6.1ISO 27001 A.5.34

Sessões expiram em 30 dias. Códigos de recuperação valem 15 minutos e são apagados após o uso. Cópias do banco ficam 14 dias, e credenciais de conectores somem no momento em que o conector é removido.

SOC 2 P4.2, C1.2ISO 27001 A.8.10

Administradores poderão exportar e excluir os dados do espaço diretamente no painel, sem depender de pedido à equipe.

Situação atual: Hoje exportação e exclusão são atendidas a pedido.

SOC 2 P5.1, P4.3ISO 27001 A.8.10, A.5.34

Nomeação do encarregado pelo tratamento de dados pessoais (DPO) e definição do prazo de exclusão dos dados após o encerramento do contrato.

Situação atual: Em definição antes da abertura comercial, junto com a revisão jurídica dos documentos.

SOC 2 P4.2, P8.1ISO 27001 A.5.34

Cada alteração relevante registra quem fez, quando, por qual caminho (manual, importação, conector ou API) e o antes e o depois. A trilha fica disponível para a própria empresa, com busca.

SOC 2 CC7.2, CC4.1ISO 27001 A.8.15

Toda ação da equipe Zizelo na área administrativa fica registrada com autor, data, alvo e detalhes da alteração.

SOC 2 CC7.2, CC6.3ISO 27001 A.8.15, A.8.2

Cada publicação em produção registra a revisão aprovada, a cópia do banco feita antes e o resultado das verificações de saúde.

SOC 2 CC8.1ISO 27001 A.8.15, A.8.32

Registros do servidor e da aplicação centralizados, com alertas para padrões suspeitos, como picos de falha de login ou de uso da API.

Situação atual: Hoje os registros ficam no servidor e na trilha, e a análise é manual.

SOC 2 CC7.2, CC7.3ISO 27001 A.8.16

Verificação de tipos, testes unitários, testes de integração com banco real, compilação de produção e testes de ponta a ponta no navegador rodam a cada mudança. Só uma revisão aprovada pode ser publicada.

SOC 2 CC8.1ISO 27001 A.8.25, A.8.29, A.8.32

A suíte automatizada confere isolamento entre espaços, perfis sem permissão de alteração, credenciais que não voltam para a tela, limites da recuperação de senha e o modo de suporte. Esta página também é conferida: um teste falha se um controle publicado perder a referência no código.

SOC 2 CC7.1, CC8.1ISO 27001 A.8.29

O servidor publica apenas a revisão aprovada no CI, faz uma cópia verificada do banco antes, confere a saúde localmente e pela internet e volta sozinho à versão anterior da aplicação se a nova não responder.

SOC 2 CC8.1, A1.2ISO 27001 A.8.32

Dados de formulários e da API são validados no servidor com esquemas tipados. CNPJ, e-mails, valores e arquivos CSV passam por regras próprias, cobertas por testes.

SOC 2 PI1.2ISO 27001 A.8.28

As bibliotecas são instaladas a partir de versões travadas. O servidor busca o código com uma chave exclusiva de somente leitura e confere a identidade do GitHub por chave fixada.

SOC 2 CC6.1, CC8.1ISO 27001 A.8.4, A.8.9

Chaves de sessão, de cifra e de serviços externos ficam em variáveis de ambiente do servidor, fora do repositório. Em produção, a cifra de credenciais não funciona sem uma chave dedicada de ao menos 32 caracteres.

SOC 2 CC6.1ISO 27001 A.8.9, A.5.17

Análise contínua de dependências e de código no repositório, com atualização assistida das bibliotecas.

Situação atual: Ativar alertas de dependências e análise estática de código no GitHub.

SOC 2 CC7.1ISO 27001 A.8.8

Avaliação anual por equipe externa, com resumo do relatório disponível sob acordo de confidencialidade.

Situação atual: Previsto para depois da abertura comercial.

SOC 2 CC4.1ISO 27001 A.5.35, A.8.8

O banco é copiado todos os dias, e cada cópia é conferida antes de ser aceita. As cópias ficam guardadas por 14 dias.

SOC 2 A1.2ISO 27001 A.8.13

Antes de qualquer versão nova entrar no ar, uma cópia verificada do banco é feita, para permitir voltar ao estado anterior.

SOC 2 A1.2, CC8.1ISO 27001 A.8.13, A.8.32

Envio das cópias, cifradas, para armazenamento separado do servidor de produção, em outra região.

Situação atual: Hoje as cópias ficam no próprio servidor de produção.

SOC 2 A1.2ISO 27001 A.8.13, A.5.30

Restauração completa de uma cópia em ambiente isolado, com tempo medido e resultado registrado.

Situação atual: Cada cópia já é conferida na criação; falta a rotina de restauração completa.

SOC 2 A1.3ISO 27001 A.5.30, A.8.13

Procedimento para detectar, conter e comunicar incidentes, incluindo o aviso às empresas afetadas e à ANPD nos termos da LGPD.

Situação atual: O compromisso de comunicação está na Política de Privacidade; o procedimento escrito, com responsáveis e prazos, está em elaboração.

SOC 2 CC7.3, CC7.4ISO 27001 A.5.24, A.5.26

Cada serviço externo que recebe dados está listado nesta página e na Política de Privacidade, com a finalidade e os dados envolvidos. Os conectores de Google, Microsoft e Meta só entram em uso quando a empresa os ativa.

SOC 2 CC9.2ISO 27001 A.5.19, A.5.23

Quem encontrar uma falha pode escrever para o contato de segurança, publicado também em /.well-known/security.txt, no padrão RFC 9116.

SOC 2 CC2.3ISO 27001 A.6.8

Política de segurança da informação aprovada, termo de confidencialidade e treinamento anual para todas as pessoas com acesso a dados de clientes.

Situação atual: Em elaboração, junto com a formação da equipe.

SOC 2 CC1.4, CC2.2ISO 27001 A.5.1, A.6.3, A.6.6

Inventário de ativos e riscos, com tratamento priorizado e revisão anual dos controles publicados nesta página.

Situação atual: Primeira avaliação formal prevista para antes da abertura comercial.

SOC 2 CC3.2ISO 27001 cl. 6.1.2, A.5.9