Segurança

Esta página descreve as medidas de segurança que o PagTreine adota hoje. Ela complementa a Política de Privacidade e o documento de Tratamento de dados. Só listamos o que já existe no app, sem promessas de certificações que ainda não temos.

1. Conexão protegida

Todo o acesso ao app é feito por HTTPS, e o site instrui os navegadores a só usar conexão segura (cabeçalho HSTS). Os dados trafegam criptografados entre o seu aparelho e os servidores.

2. Login e senhas

• As senhas são guardadas com hash criptográfico, nunca em texto puro.
• Exigimos senha forte: pelo menos 8 caracteres, com letra minúscula, letra maiúscula, número e símbolo.
• A recuperação de senha é feita por um link enviado ao e-mail da conta, com prazo de validade. Um link vencido ou já usado não permite trocar a senha.

3. Cada usuário só vê os próprios dados

• O banco de dados usa controle de acesso por linha (Row Level Security): mesmo que uma consulta seja feita por fora da tela do app, cada conta só consegue ler e alterar os registros que são dela.
• Regras no próprio banco impedem ligar um registro seu (como presença ou falta) a um aluno de outra conta.
• Configurações sensíveis, como o plano contratado, só podem ser alteradas pelo servidor, e não pelo usuário.

4. Armazenamento dos dados

Os dados ficam em um banco gerenciado pelo Supabase, que, segundo o próprio provedor, aplica criptografia em repouso. Veja a lista de fornecedores em Tratamento de dados.

5. Integração com o Google Calendar

• A conexão é autorizada por você, diretamente no Google, e você pode desconectar quando quiser.
• O segredo do aplicativo junto ao Google fica só no servidor e nunca chega ao navegador.
• O token de renovação que guardamos fica em uma área do banco que o navegador não consegue ler; só o servidor acessa. Ao desconectar, ele é revogado no Google e apagado.
• O token de acesso, de curta duração, fica apenas na memória do seu navegador.

6. Proteções no navegador

• O app não pode ser embutido dentro de outros sites (proteção contra clickjacking).
• O navegador é instruído a não adivinhar o tipo dos arquivos recebidos e a limitar as informações enviadas a outros sites quando você clica em um link.
• O app bloqueia o acesso a câmera, microfone e localização do aparelho.

7. Avisos automáticos e notificações

O envio automático de avisos de vencimento é protegido por uma chave secreta guardada em cofre, de forma que apenas o agendador do sistema consegue acionar essa função. As notificações push usam o protocolo padrão do navegador (Web Push).

8. Revisões

Fazemos revisões de segurança do próprio código e corrigimos o que encontramos. Quando uma falha conhecida é descoberta em uma peça de software que usamos, atualizamos o quanto antes.

9. Cópia dos seus dados

Você pode exportar um backup completo dos seus dados quando quiser, em Configurações → Exportar backup, e restaurá-lo depois. Recomendamos guardar uma cópia sua, principalmente enquanto o produto está em fase de testes.

10. O que depende de você

• Use uma senha única e não a compartilhe.
• Saia da conta em aparelhos compartilhados ou de outras pessoas.
• Mantenha o e-mail da conta protegido, pois é por ele que a senha é recuperada.
• Não cadastre dados de saúde nem outros dados sensíveis dos alunos.
• Avise-nos se notar qualquer acesso ou comportamento suspeito.

11. Limites e incidentes

Nenhum sistema é totalmente imune a riscos. Se ocorrer um incidente que possa afetar os seus dados, seguimos o que está descrito na Política de Privacidade e no documento de Tratamento de dados.

12. Reportar um problema de segurança

Se você encontrou uma falha ou suspeita de um incidente, escreva para flavio_cerqueira@hotmail.com, com o máximo de detalhes que puder. Não é preciso (nem recomendado) acessar dados de outras pessoas para provar a falha.