Segurança

Os requisitos de segurança são definidos na fase de projeto e mantidos ao longo do desenvolvimento, da revisão e da publicação. Os ambientes são separados por finalidade e a exposição a redes públicas é deliberadamente reduzida.

Alterações na plataforma passam por revisão e aprovação antes da publicação, com responsabilidade registrada para cada mudança.

Todo o tráfego para os serviços O-Bainc® é servido sobre HTTPS com criptografia de transporte moderna, com redirecionamento de requisições não seguras e aplicação de transporte estrito.

Os dados em repouso são criptografados com algoritmos padrão de mercado, sob custódia de chaves gerenciada. As cópias de segurança herdam a mesma postura.

O acesso aos sistemas de produção é restrito a pessoal autorizado, em regime de privilégio mínimo baseado em função, e é revisado periodicamente.

O acesso privilegiado exige autenticação forte com verificação multifator. Ações elevadas são registradas e atribuíveis a uma identidade individual.

Eventos de autenticação, administração e acesso a dados são registrados centralmente e retidos para revisão. A atividade anômala é monitorada continuamente.

Eventos de segurança seguem um processo de resposta definido, com responsabilidade atribuída, contenção e revisão pós-incidente. Quando um incidente afeta dados pessoais, a notificação segue os prazos previstos na nossa Política de Privacidade e na lei aplicável.

A segurança é governada como obrigação institucional, com responsabilidade definida, política documentada e revisão periódica. A plataforma foi concebida em torno da LGPD (Brasil), do GDPR (UE/Reino Unido) e de regimes equivalentes de proteção de dados.

Acordos de tratamento de dados, governança de subprocessadores e controles de transferência internacional são parte integrante do desenho da plataforma, não camadas sobrepostas.

Os controles são reavaliados conforme a plataforma, seu enquadramento regulatório e o cenário de ameaças evoluem. Gestão de vulnerabilidades, revisão de dependências e remediação são atividades contínuas, não exercícios periódicos.

As constatações são acompanhadas até o encerramento, com responsabilidade definida, e mudanças de controles são refletidas na política e nesta página conforme entram em vigor.

Aceitamos divulgação coordenada de questões de segurança por pesquisadores, parceiros e contrapartes institucionais. Entre em contato pelo endereço abaixo com uma descrição clara, passos de reprodução e, quando aplicável, prova de conceito.

Comprometemo-nos a confirmar o recebimento rapidamente, manter os pesquisadores informados sobre o andamento da remediação e não adotar medidas legais contra pesquisa de boa-fé conduzida nos termos desta política.