Segurança e dados

A base de dados e a autenticação do Chamou estão na Supabase, na região da União Europeia em Frankfurt (Alemanha). A aplicação corre na Vercel, também numa região europeia. Alguns fornecedores, como a Stripe e a Meta, podem tratar dados fora da UE; as garantias aplicáveis estão descritas na Política de privacidade.

Cada negócio só acede aos seus próprios dados. O isolamento é aplicado na própria base de dados, com regras de segurança ao nível da linha (row-level security): mesmo que um pedido chegue com o identificador de outro negócio, a base de dados não devolve nem altera essas linhas.

O negócio ativo vem sempre da sessão iniciada, nunca de um valor enviado pelo navegador. Estas regras são verificadas por testes automáticos a cada alteração da base de dados.

• Todas as ligações ao site e ao painel são cifradas (HTTPS/TLS), com HSTS ativo.
• As palavras-passe são guardadas apenas em formato cifrado (hash) pelo serviço de autenticação. Não as conseguimos ler.
• As mensagens do WhatsApp e as notas internas são cifradas com AES-256-GCM antes de serem guardadas, com a chave fora da base de dados. O nome e o telefone dos clientes não são cifrados, porque servem para os encontrar.
• A sessão no painel termina ao fim de 14 horas e obriga a voltar a iniciar sessão. Os cookies de sessão não são acessíveis a scripts da página.
• Na equipa, cada pessoa tem o seu próprio acesso e um papel (titular, administrador ou membro) que limita o que pode alterar.
• Alterações importantes, como mudanças de estado da conta feitas pela nossa equipa, ficam registadas.

Se ligar um calendário Google ou Outlook, os tokens de acesso são guardados cifrados com AES-256-GCM e nunca saem dos nossos servidores. Lemos apenas os períodos ocupados, não os detalhes dos eventos. Os eventos que criamos levam o nome, o telefone e as notas do cliente, e não são apagados automaticamente quando apaga um cliente. Pode desligar o calendário no painel a qualquer momento.

Os pagamentos são processados pela Stripe. Os dados do cartão são introduzidos nas páginas da Stripe e não passam pelos nossos servidores: não guardamos dados de cartões. As notificações que a Stripe nos envia são verificadas com assinatura antes de serem aceites.

O Chamou usa a API oficial WhatsApp Business Cloud, da Meta. Não usamos aplicações não oficiais nem ligações por código QR. As mensagens recebidas da Meta são verificadas com assinatura antes de serem processadas.

A base de dados beneficia das cópias de segurança automáticas da Supabase, de acordo com o plano contratado. A frequência e o período de retenção dependem desse plano. [CONFIRMAR PLANO E RETENÇÃO]

Se encontrou uma vulnerabilidade ou suspeita de acesso indevido à sua conta, escreva para [E-MAIL DE SEGURANÇA] com uma descrição do problema e os passos para o reproduzir. Respondemos o mais depressa possível e mantemos o contacto até o problema estar resolvido.

Pedimos que não aceda a dados de outros negócios, não degrade o serviço e nos dê tempo razoável para corrigir o problema antes de o divulgar.