Segurança e Proteção de Dados

• Todo o site funciona por HTTPS (conexão cifrada).
• A sessão vai em cookie httpOnly (o JavaScript da página não consegue ler) e assinado — se alguém alterar o conteúdo, o servidor recusa.
• Ao sair, a sessão é invalidada no servidor: o cookie antigo deixa de funcionar.
• Cada pessoa acessa apenas o que é dela. O painel de administração é restrito ao administrador do grupo.

• A sua senha nunca é guardada como você digita: guardamos apenas um hash (bcrypt), que não pode ser revertido.
• As credenciais das contas de streaming cedidas são guardadas criptografadas com AES-256-GCM.
• Essas credenciais só aparecem para quem ocupa uma tela ATIVA daquela conta (e para o administrador do grupo).
• Toda visualização de credencial é registrada no log de auditoria (quem viu, qual conta e quando).
• Não existe chave de criptografia padrão: sem a chave configurada, o sistema se recusa a funcionar (fail-closed).

• Limite de tentativas de login e de recuperação de senha (contra força bruta).
• Recuperação de senha com token assinado, de uso único e com prazo de validade.
• Respostas genéricas na recuperação de senha, para não revelar quem tem conta.
• Bloqueio de conteúdo externo pela política de segurança do navegador (CSP).
• Operações sensíveis gravadas em log de auditoria.

Guardamos o registro de acesso à aplicação (endereço IP e data/hora) por 6 meses, como exige o art. 15 da Lei 12.965/2014. Depois desse prazo, os registros são descartados. Esses registros ficam disponíveis apenas para o administrador e para atendimento de ordem judicial ou administrativa fundamentada.

Fazemos cópias de segurança do banco de dados. As cópias são guardadas em ambiente controlado, com acesso restrito, e servem para recuperar o serviço em caso de falha.

Se houver um incidente de segurança que possa causar risco ou dano relevante a você:

• Contemos o problema e trocamos as chaves e sessões afetadas.
• Avaliamos quais dados e quantas pessoas foram atingidas.
• Comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas, em prazo razoável, explicando o que aconteceu, quais dados foram envolvidos e o que você deve fazer.
• Registramos o ocorrido e as medidas tomadas.

• Use uma senha só sua, forte, e não repita a senha de outros serviços.
• Não compartilhe o acesso da conta que você ocupa com quem está fora do app.
• Não troque a senha de uma conta cedida por outra pessoa — isso derruba o acesso de todos.
• Se desconfiar de algo, troque a sua senha em 'Minha Conta' e avise o administrador.

Encontrou uma vulnerabilidade? Escreva para davisales@fident.ia.br com o que você encontrou e como reproduzir. Pedimos que não explore a falha, não acesse dados de outras pessoas e não divulgue antes de corrigirmos. Tratamos esses avisos com prioridade.

Veja também a Política de Privacidade e a Política de Uso Aceitável.