1. Camadas de segurança
Em trânsito
HTTPS/TLS com HSTS. O tráfego passa pela borda da Cloudflare e chega à nossa origem por canal cifrado, com certificado gerenciado na AWS.
Em repouso
AES-256 no banco de dados e no armazenamento de arquivos, com chaves gerenciadas pelo AWS KMS.
Acesso
Verificação em duas etapas (2FA) por app autenticador ou e-mail, com códigos de backup — obrigatória para o proprietário da conta. Senhas protegidas com Argon2id, sessões com expiração e bloqueio após tentativas suspeitas.
Infra
AWS na região Leste dos EUA (Norte da Virgínia · us-east-1), rede isolada (VPC), borda Cloudflare com proteção contra ataques (DDoS) e cabeçalhos de segurança (HSTS, X-Frame-Options e afins).
2. Práticas operacionais
- Backups: backups automáticos do banco de dados gerenciados pela AWS, com retenção configurada;
- Revisão de código: mudanças relevantes passam por revisão antes de entrar em produção;
- Dependências: acompanhamos vulnerabilidades conhecidas nas bibliotecas que usamos e aplicamos correções;
- Análises de segurança: rodamos análises de segurança estáticas (sobre o código) e dinâmicas (sobre a aplicação) ao longo do desenvolvimento.
3. Resposta a incidentes
Monitoramos a plataforma e mantemos procedimentos para conter e tratar incidentes de segurança. Em caso de incidente que possa representar risco relevante aos titulares, comunicamos a ANPD e os afetados dentro do prazo legal previsto na LGPD.
Encontrou um possível problema de segurança? Reporte para seguranca@klosi.com.br — agradecemos a divulgação responsável.
4. Conformidade
- LGPD (Lei nº 13.709/2018) — buscamos conformidade contínua;
- Marco Civil da Internet (Lei nº 12.965/2014) — guarda de registros pelos prazos previstos;
- Pagamentos: não armazenamos dados de cartão — o processamento é feito por parceiro especializado (Asaas).
5. Transparência
Como princípio de privacidade desde a concepção:
- Minimizamos dados e não coletamos a sua geolocalização;
- Mantemos um registro de consentimento (LGPD) imutável e auditável;
- Publicamos a lista de operadores/subprocessadores na Política de Privacidade.