Segurança

Infraestrutura segura

Nossos serviços estão hospedados na infraestrutura da Amazon Web Services (AWS). Não hospedamos nem operamos nossos próprios roteadores, balanceadores de carga, servidores DNS ou servidores físicos. Os data centers da Amazon contam com segurança 24 horas por dia com equipe presente, controle de acesso biométrico, vigilância por vídeo e fechaduras físicas. Todos os sistemas, dispositivos em rede e circuitos são monitorados constantemente. As instalações da AWS são certificadas pelas normas ISO 27001, SOC 1 e SOC 2/SSAE 16/ISAE 3402 (anteriormente SAS 70 Tipo II), PCI Nível 1, FISMA Moderate e Sarbanes-Oxley (SOX). Saiba mais sobre a segurança da AWS.

Hospedado nos EUA ou na UE – a escolha é sua

Estados Unidos – atendidos por centros de dados e subprocessadores localizados nos EUA, com nossos principais serviços hospedados na Virgínia do Norte; e a União Europeia – atendida por centros de dados da UE, com nossos principais serviços hospedados em Frankfurt, na Alemanha. Alguns subprocessadores, como os responsáveis pelo envio de e-mails, pagamentos, registro de erros, monitoramento de aplicativos e geração opcional de conteúdo e imagens por IA, processam dados fora da UE. Nossa página de subprocessadores lista cada um deles e onde processam os dados.

Sempre criptografado

Criptografia em trânsito – Todos os dados enviados de ou para nossa infraestrutura são criptografados em trânsito, de acordo com as melhores práticas do setor, por meio do Transport Layer Security (TLS 1.2 ou 1.3). Nossa configuração SSL recebeu a classificação de segurança A+ do Qualys SSL Labs.

Criptografia em repouso – Todos os dados dos nossos usuários são criptografados em nossos bancos de dados por meio do algoritmo de criptografia AES256, comprovadamente seguro.

Pagamentos seguros

Não lidamos nem armazenamos números de cartões de crédito – os dados do seu cartão são capturados diretamente e armazenados com segurança pela Braintree (uma empresa do PayPal), nossa provedora de pagamentos. A Braintree possui certificação de conformidade com o PCI Nível 1 e está listada como Provedora em Conformidade Global com a Visa® e Provedora em Conformidade com a MasterCard® (SDP). Realizamos uma autoavaliação anual da norma PCI DSS com a Braintree. Saiba mais sobre a segurança e a conformidade da Braintree.

Monitoramento de segurança de aplicativos

• Utilizamos uma solução de monitoramento de segurança para obter visibilidade sobre a segurança de nossas aplicações, identificar ataques e responder rapidamente a uma violação de dados.
• Utilizamos tecnologias para monitorar exceções, registros e detectar anomalias em nossos aplicativos.
• Coletamos e armazenamos registros abrangentes para fornecer uma trilha de auditoria das atividades de nossos aplicativos. Nossos registros alimentam alertas automatizados, que são investigados pela nossa equipe.
• Os eventos de segurança são registrados e notificações são enviadas em caso de ataques críticos, a fim de permitir uma correção rápida.

Proteção da segurança de aplicativos

• Utilizamos o Amazon Web Application Firewall para proteger nossos usuários contra uma ampla variedade de vulnerabilidades. O AWS WAF integra proteções contra as categorias de ataques mais críticas, como injeções de SQL e cross-site scripting. Ele bloqueia ataques em tempo real e nos avisa quando os invasores começam a sobrecarregar nossas aplicações.
• Os formulários do nosso site utilizam o Cloudflare Turnstile para bloquear bots.
• Utilizamos cabeçalhos de segurança para proteger nossos usuários contra ataques. Nossos serviços receberam a nota A+ do SecurityHeaders.io.

Gerenciamento de incidentes

Incidentes de segurança suspeitos, incluindo quaisquer violações de segurança lógica e física, são registrados, acompanhados e resolvidos de acordo com nossa Política e nossos procedimentos de Gestão de Incidentes. Quando exigido pela legislação aplicável, incluindo a Lei de Resiliência Cibernética da UE, notificamos as autoridades competentes (como a ENISA) sobre incidentes de segurança significativos dentro dos prazos estabelecidos. Caso uma violação de dados pessoais afete seus dados, informaremos os clientes afetados sem demora injustificada e no prazo de 48 horas após a confirmação do incidente. Notificamos os órgãos reguladores e as pessoas afetadas conforme exigido por lei. Se você tiver alguma dúvida ou suspeitar que um incidente possa ter ocorrido, entre em contato com security@groupmap.com.

Relatórios de tempo de inatividade

Publicamos os incidentes que afetam a disponibilidade em nossa página de status assim que os confirmamos. No caso de um incidente de nível Alto ou Crítico (conforme classificado em nossa Política de Gerenciamento de Incidentes), também enviamos um e-mail aos contatos indicados pelos clientes corporativos. Nossa plataforma de hospedagem geralmente elimina a necessidade de tempo de inatividade quando fazemos alterações em nossos serviços. Programamos manutenções planejadas para minimizar as interrupções e as divulgamos em nossa página de status.

Sua privacidade está protegida

Seus dados continuam sendo de sua propriedade e só podem ser acessados por quem você decidir compartilhá-los. A TeamRetro (e a equipe da GroupMap Technology) só poderá acessar seus dados em circunstâncias limitadas, como quando exigido por lei ou para prestar suporte técnico. Todos os detalhes podem ser encontrados na Política de Privacidade da TeamRetro.

Retenção e exclusão de dados

Nós mantemos os dados dos nossos usuários por um período de 365 dias após o término do período de teste ou da assinatura. Em seguida, todos os dados são completamente removidos do aplicativo. Os usuários podem solicitar a remoção dos dados a qualquer momento, excluindo sua conta ou entrando em contato com o suporte da TeamRetro. Saiba mais sobre nossas configurações de privacidade em nossa Política de Privacidade.

Continuidade dos negócios e recuperação de desastres

Fazemos backup de todos os nossos ativos críticos e testamos regularmente a restauração desses backups para garantir uma recuperação rápida em caso de desastre. Realizamos um backup completo dos dados dos clientes a cada 24 horas. Os backups são criptografados com segurança e armazenados por 30 dias; após esse período, são destruídos de forma segura. Estabelecemos planos de Continuidade de Negócios e Recuperação de Desastres e os revisamos anualmente.

Programação segura

Nossos desenvolvedores são obrigados a seguir nossa Política de Segurança de Aplicativos, formalmente documentada, bem como as melhores práticas e estruturas de segurança (OWASP Top 10, SANS Top 25). Utilizamos as seguintes melhores práticas para garantir o mais alto nível de segurança em nosso software:

• Os desenvolvedores participam de treinamentos regulares sobre segurança para se informarem sobre vulnerabilidades e ameaças comuns
• Todas as alterações passam por revisão por pares, inclusive no que diz respeito a vulnerabilidades de segurança: antes da incorporação, sempre que possível, e, caso contrário, posteriormente, por meio de uma revisão mensal de todas as alterações incorporadas sem aprovação. As versões de produção também precisam de aprovação antes de serem implantadas.
• Atualizamos regularmente nossas dependências e nos certificamos de que nenhuma delas apresente vulnerabilidades conhecidas
• Utilizamos o Teste Estático de Segurança de Aplicações (SAST) para detectar vulnerabilidades básicas de segurança em nossa base de código
• Utilizamos o Teste Dinâmico de Segurança de Aplicativos (DAST) para fazer a varredura em nossos aplicativos
• Com o uso do Datadog, podemos corrigir com mais eficiência as vulnerabilidades identificadas por testes de segurança, auditorias ou pelo programa de divulgação de vulnerabilidades. Cada versão de produção é verificada em busca de componentes com vulnerabilidades conhecidas, e o Dependabot propõe atualizações de dependências semanalmente.

Análise de vulnerabilidades

A TeamRetro é submetida a varreduras mensais e, após lançamentos importantes, pelo intruder.io para identificar possíveis vulnerabilidades na infraestrutura, na plataforma e nos aplicativos. Quaisquer vulnerabilidades identificadas são avaliadas e mitigadas de acordo com nossas políticas de segurança de aplicativos.

Testes de penetração

Periodicamente, contratamos testes de penetração independentes para validar a segurança da plataforma TeamRetro. Corrigimos todas as falhas críticas em até 48 horas e as falhas de alta gravidade em até 7 dias.

Avaliações de risco

É realizada uma avaliação anual de riscos para identificar ameaças e vulnerabilidades nos sistemas da TeamRetro. As estratégias de mitigação são desenvolvidas com base nos resultados da avaliação de riscos.

Fortalecimento do sistema

CONTAINERIZAÇÃO DE SERVIDORES – O TeamRetro utiliza a containerização do sistema operacional por meio do AWS Fargate para garantir que o acesso aos dados e ao código do TeamRetro seja devidamente restrito. Todos os serviços do TeamRetro são executados em recursos de computação dedicados, isolados em sua própria rede virtual.

SISTEMAS DE ARQUIVOS EFÊMEROS DO SERVIDOR – Os servidores da TeamRetro operam em um sistema de arquivos efêmero, restaurado para uma cópia nova do código implantado mais recentemente pelo menos uma vez por dia ou sempre que uma nova versão é implantada.

ATUALIZAÇÕES DO SISTEMA – As atualizações no nível da plataforma (sistema operacional, bibliotecas do sistema e serviços) dos servidores de aplicativos e bancos de dados do TeamRetro são realizadas de forma contínua.

ATUALIZAÇÃO DE APLICATIVOS – A atualização de aplicativos (bibliotecas de aplicativos etc.) é realizada pela TeamRetro de forma contínua.

COMPUTADORES – Todos os equipamentos da equipe (como laptops e computadores de mesa utilizados no desenvolvimento) utilizam armazenamento criptografado e são protegidos por software antivírus atualizado.

Registro abrangente

Mantemos registros abrangentes de todas as transações realizadas no sistema, incluindo registros específicos das tentativas de login. Nossa equipe utiliza esses registros, bem como os alertas automatizados gerados a partir deles, para investigar tentativas de acesso não autorizado.

Acesso da nossa equipe

• Nossa equipe só pode acessar os dados dos usuários com a aprovação da nossa equipe de segurança e somente quando exigido por lei ou para prestar suporte técnico. Todos os detalhes podem ser encontrados em nossa Política de Privacidade.
• Nossos funcionários e prestadores de serviços assinam um Acordo de Não Divulgação e Confidencialidade para proteger as informações confidenciais de nossos clientes.
• Nossos funcionários e prestadores de serviços passam por uma verificação de antecedentes realizada por um serviço líder no setor.
• O nível de acesso de cada um de nossos funcionários é determinado com base na necessidade, revisado periodicamente e revogado caso não seja mais necessário. Exigimos a autenticação multifatorial para todos os sistemas críticos do TeamRetro.
• É necessária a autenticação de dois fatores para o acesso administrativo.

Divulgação responsável

Incentivamos todos que pratiquem a divulgação responsável e cumpram nossas políticas e termos de serviço a participarem do nosso programa de divulgação de vulnerabilidades. Evite testes automatizados e realize testes de segurança apenas com seus próprios dados. Não divulgue nenhuma informação sobre as vulnerabilidades até que as corrijamos. Podemos, a nosso critério, oferecer reconhecimento por relatórios de alta qualidade e de grande impacto. Saiba mais sobre o programa de divulgação responsável da TeamRetro.