Segurança do zcal
Última atualização em 1º de janeiro de 2024
Esta tradução é fornecida para sua conveniência. Se houver divergência em relação à versão em inglês, prevalecerá a versão em inglês.
A segurança dos seus dados é de suma importância para nós, e estamos empenhados em mantê-los seguros. Este documento descreve em detalhes as medidas que adotamos para proteger seus dados, tanto em trânsito quanto em repouso.
Segurança organizacional
Nossa postura de segurança se baseia nestas boas práticas fundamentais:
- O acesso a servidores, código-fonte e ferramentas de terceiros é estritamente limitado aos membros principais da equipe.
- Utilizamos senhas fortes, geradas aleatoriamente e armazenadas com segurança em um gerenciador de senhas.
- Funcionários e prestadores de serviços recebem apenas o acesso mínimo necessário para desempenhar suas funções. Esse acesso raramente se estende a sistemas ou dados de produção.
- Empregamos ferramentas automáticas de detecção de vulnerabilidades de segurança para identificar prontamente problemas em nossas dependências. Priorizamos a aplicação ágil de correções e a implantação rápida.
- Os dados de produção nunca são copiados para dispositivos externos.
Autenticação
Quando você se cadastra no zcal, criamos um registro de usuário em nosso banco de dados contendo:
- Nome e sobrenome
- Endereço de e-mail
Se você optar por se autenticar por meio de um parceiro OAuth (Google, Microsoft), armazenamos com segurança credenciais criptografadas (token de acesso OAuth e token de atualização) vinculadas à sua conta de usuário.
Criptografia
Todas as páginas do aplicativo são protegidas com criptografia TLS.
Quando você conecta um aplicativo de terceiros, como Google, Microsoft, Apple, Stripe ou Zoom, criptografamos os tokens de acesso antes de armazená-los em nosso banco de dados.
Infraestrutura
Nosso aplicativo está hospedado no Google Cloud, na região us-central1.
Acesso de terceiros
Normalmente, os usuários conectam uma ou mais contas de calendário (por exemplo, Google Agenda) e provedores de videoconferência (por exemplo, Zoom). Isso serve exclusivamente para permitir que o zcal crie eventos de calendário e sessões de conferência em seu nome e verifique os horários já ocupados ao gerar links de agendamento. Retemos apenas os dados mínimos necessários para essas funções e os utilizamos estritamente para as finalidades pretendidas. Nunca armazenamos dados de eventos de calendário em nossos repositórios de dados persistentes.
Registros (logs)
Os registros (logs) do aplicativo são armazenados no Google Cloud e mantidos por 30 dias. Todos os dados transmitidos ao Google Cloud são criptografados em trânsito.
Práticas de desenvolvimento de software
Todo código passa por revisão por pares por meio de Pull Requests no GitHub. Aplicamos um conjunto robusto de testes automatizados e linters por meio de integração contínua antes de qualquer implantação.
Perguntas frequentes
Vocês armazenam cópias dos meus eventos de calendário em seus servidores?
Não. Verificamos os calendários que você conectou em busca de conflitos (quase) em tempo real quando alguém usa seu link de agendamento. Atualmente, armazenamos em cache os resultados dessas consultas de eventos de calendário apenas na memória do aplicativo.
Vocês têm certificação SOC 2 ou ISO 27001?
Estamos trabalhando ativamente para obter essas certificações.
Como faço para relatar uma possível vulnerabilidade ou preocupação de segurança?
Entre em contato conosco pelo e-mail [email protected]. Observe que, no momento, não oferecemos remuneração por relatórios de segurança independentes.
