Segurança

Esta página descreve como protegemos o seu produto e os dados dos seus clientes. Ela lista apenas práticas que aplicamos hoje. Não temos certificações como SOC 2 ou ISO 27001; se isso mudar, vai estar escrito aqui.

Acesso

• Cada pessoa tem o próprio usuário, com o menor privilégio necessário e MFA obrigatório. Nenhuma credencial é compartilhada.
• O usuário root de cada conta fica guardado e não é usado no dia a dia.
• Os acessos são revistos ao fim de cada projeto e sempre que alguém deixa o time.
• As publicações de versão se autenticam por OIDC, sem chaves de acesso de longa duração.

Segredos

Senhas e chaves nunca ficam no código. Elas ficam em cofre, como o AWS Secrets Manager, o AWS Systems Manager Parameter Store ou o HashiCorp Vault, conforme a infraestrutura do projeto, e são lidas apenas pelo serviço que precisa delas.

Dados

• Os dados são criptografados em trânsito (TLS) e em repouso, nos bancos e no armazenamento.
• A região onde os seus dados ficam é definida com você no início de cada projeto, de acordo com onde estão os seus usuários e com as exigências legais que se aplicam ao seu negócio.
• Cada projeto tem ambientes separados de homologação e produção. A homologação começa com dados fictícios, para existir com o que interagir desde o primeiro dia. Antes de cada lançamento, ela também é testada por um grupo de pessoas reais envolvidas no projeto, que usam os próprios dados e são incentivadas a usar o produto do jeito errado de propósito, para vermos como ele se comporta.

Infraestrutura

Toda a infraestrutura é descrita em código (Terraform) e revisada antes de ser aplicada. Os bancos de dados ficam em redes privadas, e só é exposto à internet o que precisa estar acessível.

Backups

Os bancos de dados têm backup automático. A retenção padrão é de 7 dias e pode ser ampliada conforme o projeto. Quando o seu negócio exige uma perda máxima de dados definida (RPO), como 24 horas, a política de backup é desenhada para cumpri-la.

Desenvolvimento

• Toda mudança é revisada por uma pessoa antes de chegar à produção.
• Antes de lançamentos importantes, fazemos uma revisão de segurança do código e verificamos as dependências em busca de vulnerabilidades conhecidas.

Incidentes

Se um incidente de segurança afetar dados pessoais, avisamos você em até 48 horas depois de identificá-lo, com o que aconteceu, o que foi afetado e o que já foi feito. Também apoiamos você nas obrigações legais, incluindo a comunicação à ANPD.

Privacidade

Pela LGPD, você é o controlador dos dados e a Forge Labs é a operadora. Usamos os seus dados apenas para operar o seu produto. Nunca os vendemos, compartilhamos para marketing ou usamos para treinar modelos. Quando o nosso trabalho juntos termina, os seus dados são devolvidos a você e apagados dos nossos ambientes assim que a transição é concluída, e confirmamos a exclusão por escrito.