Segurança e conformidade: como o SignFlow protege seus documentos

# Segurança e conformidade: como o SignFlow protege seus documentos

No SignFlow, a segurança não é um complemento — ela está integrada a cada aspecto da nossa plataforma. Este guia explica como protegemos seus documentos e mantemos a conformidade com os padrões do setor.

Nossos princípios de segurança

Seguimos três princípios fundamentais:

1. 1Segurança desde a concepção: a segurança é incorporada desde o início
2. 2Defesa em profundidade: múltiplas camadas de proteção
3. 3Melhoria contínua: auditorias e atualizações regulares

Criptografia de dados

Criptografia em repouso

Todos os documentos são criptografados quando armazenados:

• Algoritmo: criptografia AES-256
• Gerenciamento de chaves: AWS KMS com rotação automática
• Armazenamento: buckets S3 criptografados com versionamento

`typescript // Exemplo: criptografia de documento const encryptedDocument = await encrypt(document, { algorithm: 'AES-256-GCM', keyId: process.env.KMS_KEY_ID }); `

Criptografia em trânsito

Toda a transmissão de dados usa:

• TLS 1.3: segurança de transporte mais recente
• Perfect Forward Secrecy: chaves de sessão exclusivas
• HSTS: conexões HTTPS obrigatórias

Alcançamos uma classificação A+ no SSL Labs.

Autenticação e autorização

Autenticação de múltiplos fatores

Oferecemos suporte a vários métodos de 2FA:

• Apps autenticadores TOTP
• Códigos por SMS (método de backup)
• Chaves de segurança de hardware (FIDO2/WebAuthn)

Gerenciamento de sessões

• Cookies seguros HTTP-only
• Expiração de sessão em 30 dias
• Logout automático por inatividade
• Rastreamento e gerenciamento de dispositivos

Controle de acesso

Permissões granulares:

• Nível de documento: controle quem pode visualizar/editar cada documento
• Baseado em funções: atribua funções com permissões específicas
• Nível de equipe: gerencie o acesso entre equipes
• Nível de API: limite as chaves de API a ações específicas

Segurança da infraestrutura

Infraestrutura em nuvem

• Provedor: AWS (certificado SOC 2 Type II)
• Regiões: EUA, UE, Ásia-Pacífico
• Redundância: implantação multi-AZ
• Backups: backups automáticos diários com retenção de 30 dias

Segurança de rede

• Firewall: AWS WAF com regras personalizadas
• Proteção contra DDoS: AWS Shield Standard
• Limitação de taxa: throttling de requisições de API e web
• Lista de IPs permitidos: recurso Enterprise para acesso restrito

Segurança da aplicação

• Verificação de dependências: checagens automáticas de vulnerabilidades
• Análise de código: análise estática a cada commit
• Testes de intrusão: auditorias anuais de terceiros
• Bug Bounty: programa de divulgação responsável

Certificações de conformidade

SOC 2 Type II

Mantemos a conformidade com SOC 2 Type II:

• Critérios de Serviços de Confiança: segurança, disponibilidade, confidencialidade
• Auditoria anual: avaliação independente de terceiros
• Relatório disponível: entre em contato com vendas para o relatório SOC 2

Conformidade com o GDPR

Para clientes europeus:

• Contrato de Processamento de Dados: disponível mediante solicitação
• Direito de acesso: exporte seus dados a qualquer momento
• Direito de exclusão: exclua sua conta e seus dados
• Portabilidade de dados: baixe em formatos padrão
• Privacidade desde a concepção: coleta mínima de dados

Conformidade com a HIPAA

Clientes da área da saúde podem usar o SignFlow:

• Business Associate Agreement: disponível para organizações de saúde
• Proteção de PHI: armazenamento e transmissão criptografados
• Logs de auditoria: rastreamento abrangente de atividades
• Controles de acesso: permissões baseadas em funções

Conformidade com o eIDAS

Para assinaturas eletrônicas na UE:

• Assinaturas Eletrônicas Avançadas: suporte a assinaturas qualificadas
• Trilha de auditoria: registros de assinatura à prova de adulteração
• Verificação de identidade: múltiplos métodos de verificação

Trilha de auditoria

Toda ação em um documento é registrada:

Eventos rastreados

• Documento criado, enviado, visualizado
• Assinaturas adicionadas
• Documento concluído, anulado
• Tentativas de acesso (bem-sucedidas e malsucedidas)
• Alterações de configurações

Detalhes do log de auditoria

Cada entrada de log inclui:

`json { "timestamp": "2024-01-20T10:30:00Z", "actor": "john@example.com", "action": "document.signed", "documentId": "doc_123", "ipAddress": "192.0.2.1", "userAgent": "Mozilla/5.0...", "geolocation": "San Francisco, CA, US" } `

Logs à prova de adulteração

• Hashing criptográfico: cada entrada é hasheada
• Cadeia de custódia: as entradas são encadeadas
• Imutável: os logs não podem ser modificados ou excluídos

Privacidade dos dados

Coleta de dados

Coletamos apenas o necessário:

• Dados da conta: e-mail, nome, empresa
• Dados do documento: arquivos, assinaturas, metadados
• Dados de uso: uso de recursos, métricas de desempenho

Nós nunca:

• Vendemos seus dados
• Usamos seus documentos para treinar IA
• Compartilhamos dados com terceiros (exceto prestadores de serviço)

Retenção de dados

• Documentos ativos: retidos enquanto a conta estiver ativa
• Documentos concluídos: retidos conforme suas configurações (padrão: 7 anos)
• Documentos excluídos: excluídos permanentemente após 30 dias
• Backups: expurgados após 30 dias

Localização dos dados

Escolha onde seus dados são armazenados:

• Estados Unidos: AWS us-east-1
• União Europeia: AWS eu-west-1 (Frankfurt)
• Ásia-Pacífico: AWS ap-southeast-1 (Singapura)

Os dados nunca saem da região escolhida.

Resposta a incidentes

Monitoramento de segurança

Monitoramento 24/7 para:

• Tentativas de acesso não autorizado
• Padrões de atividade incomuns
• Anomalias do sistema
• Divulgações de vulnerabilidades

Plano de resposta a incidentes

Se ocorrer um incidente de segurança:

1. 1Detecção: alertas e monitoramento automatizados
2. 2Contenção: ação imediata para limitar o impacto
3. 3Investigação: análise de causa raiz
4. 4Notificação: clientes afetados notificados em até 72 horas
5. 5Remediação: correção de vulnerabilidades e reforço das defesas

Contato com a equipe de segurança

Relate problemas de segurança:

• E-mail: security@signflow.com
• Chave PGP: disponível em signflow.com/security
• Bug Bounty: hackerone.com/signflow

Melhores práticas para usuários

Senhas fortes

• Use um gerenciador de senhas
• Ative a 2FA na sua conta
• Use senhas exclusivas para cada serviço
• Troque as senhas se forem comprometidas

Segurança de documentos

• Não compartilhe links de assinatura publicamente
• Revise com cuidado os endereços de e-mail dos signatários
• Ative datas de expiração nos documentos
• Anule documentos enviados por engano

Segurança da equipe

• Revise o acesso dos membros da equipe regularmente
• Remova o acesso de ex-funcionários imediatamente
• Use permissões baseadas em funções
• Ative a 2FA para todos os membros da equipe

Segurança da API

• Faça a rotação das chaves de API regularmente
• Use chaves com escopo e permissões mínimas
• Armazene as chaves com segurança (nunca no código)
• Monitore o uso da API em busca de anomalias

Transparência

Acreditamos na transparência:

• Página de segurança: signflow.com/security
• Página de status: status.signflow.com
• Política de privacidade: signflow.com/privacy
• Termos de serviço: signflow.com/terms

Dúvidas?

Tem dúvidas sobre segurança?

• E-mail: security@signflow.com
• Documentação: docs.signflow.com/security
• Vendas: sales@signflow.com (para relatórios de conformidade)

Temos o compromisso de conquistar e manter sua confiança por meio de práticas de segurança robustas e comunicação transparente.

Última atualização: 20 de janeiro de 2024