Segurança

Onde estamos

O EasyFlow360 é operado pela Mundyal Technology LLC, uma limited liability company de Massachusetts, sediada em Holden, Massachusetts. Esta página é o que podemos mostrar sobre como o Serviço é construído e operado.

Não temos nenhuma certificação de segurança de terceiros. Não alegamos SOC 2, ISO 27001 nem equivalente, e qualquer frase no nosso material que sugira o contrário está errada. O que oferecemos em vez disso é esta página, o Acordo de Tratamento de Dados e uma resposta por escrito ao seu questionário de segurança, que mantemos pré-preenchido.

Criptografia

Todo o tráfego é criptografado em trânsito com TLS. O nosso banco de dados e as nossas cópias de segurança externas são criptografados em repouso. Os identificadores fiscais são adicionalmente criptografados no nível do campo com AES-256-GCM, sob uma chave guardada separadamente do banco de dados, de modo que uma cópia do banco, por si só, não os revela. Os documentos e arquivos são armazenados em infraestrutura com controle de acesso. As senhas são armazenadas com hash bcrypt e nunca em forma legível.

Controle de acesso

• Isolamento por empresa em cada requisição. Cada requisição é restrita à empresa de onde veio. Não existe visão compartilhada nem consulta entre empresas.
• Seis níveis de permissão para a equipe, mais um perfil separado de cliente. Os usuários abaixo dos níveis administrativos veem apenas os clientes aos quais estão designados. Os clientes veem o próprio espaço de trabalho e nada mais.
• Autenticação de dois fatores opcional. TOTP por usuário, com códigos de recuperação e dispositivos memorizados, na web, no iOS e no Android. A adesão é voluntária, portanto trate o recurso como disponível e não como obrigatório.
• Uma sessão por usuário. Um segundo acesso encerra o primeiro, de modo que uma sessão esquecida em um computador compartilhado deixa de funcionar.
• Identificadores fiscais mascarados por perfil. Os perfis que não trabalham na conta veem apenas os últimos quatro dígitos.

Registros de auditoria

Cada caminho de dinheiro e cada assinatura tem o seu próprio registro: pagamentos, conciliação, faturamento, assinatura e eventos de acesso. Os registros de assinatura guardam um hash SHA-256 do documento como assinado, o texto exato de consentimento exibido e o IP e o dispositivo de quem assinou. As ações de administradores da plataforma, incluindo qualquer acesso de suporte ao espaço de trabalho de uma empresa, são gravadas em um registro encadeado por hash, de modo que uma entrada removida ou alterada é detectável em vez de invisível.

Hospedagem, cópias de segurança e recuperação

O Serviço roda em infraestrutura gerenciada, com um banco de dados gerenciado que permite recuperação para um ponto no tempo. As cópias de segurança são feitas todas as noites para um local separado e mantidas por 30 dias. Os registros excluídos vão para uma lixeira de 30 dias antes de serem removidos em definitivo, de modo que uma exclusão acidental é recuperável sem restaurar uma cópia de segurança.

Suboperadores

A mesma lista da seção 5 da Política de Privacidade e da seção 7 do Acordo de Tratamento de Dados. Cada um recebe apenas o que a função indicada exige.

• Stripe: processamento de pagamentos, contas de recebimento e as conexões bancárias e de cartão de crédito que os seus usuários autorizam (Política de Privacidade da Stripe)
• Anthropic: extração das transações dos extratos que os seus usuários enviam e sugestão de categoria contábil. O extrato é enviado por inteiro, portanto tudo o que ele contém vai com ele. A Anthropic não usa dados enviados por meio da sua API para treinar os seus modelos (Política de Privacidade da Anthropic)
• Nossos provedores de hospedagem, de banco de dados e de cópias de segurança: operar o Serviço e armazenar os seus dados
• Nosso provedor de e-mail: entregar notificações, faturas e solicitações de assinatura

Avisamos com 30 dias de antecedência antes de incluir um suboperador que trate dados de clientes, compromisso que está na seção 7 do Acordo de Tratamento de Dados.

Se algo der errado

Mantemos um manual de resposta a incidentes por escrito: um responsável nomeado pelas decisões, uma ordem de contenção que preserva o registro de auditoria como evidência, um inventário das categorias de dados que mantemos e os prazos de notificação. Notificamos as empresas afetadas no prazo de 72 horas a contar do momento em que tomamos conhecimento de uma violação, informando o que aconteceu, quais categorias de dados foram envolvidas e o que estamos fazendo. Você continua sendo o controlador dos dados dos seus clientes, portanto notificar autoridades e titulares é tarefa sua, e a nossa é entregar os fatos a tempo do seu próprio prazo.

Relate uma suspeita de vulnerabilidade ou de incidente para contact@easyflow360.com, que chega à pessoa responsável pela resposta. Não temos programa de recompensa por falhas, e não ameaçaremos ninguém que relate um achado de boa-fé.

Os seus dados, nas suas condições

• Exportação: um titular ou administrador pode baixar a empresa inteira em Configurações, a qualquer momento, como um único arquivo com os registros em JSON mais todos os arquivos armazenados. Sem solicitação e sem espera.
• Exclusão: excluímos ou anonimizamos em até 90 dias a contar da solicitação, e confirmamos por escrito. Veja Excluir a sua conta.
• Solicitações de titulares: quando um cliente seu procura nós diretamente, encaminhamos essa pessoa a você, porque você é o controlador daquele registro, e avisamos que ela procurou. Ajudamos você a responder em até 10 dias úteis.

O que não temos

Esta lista está aqui para que você possa julgar o resto da página. Tudo nela é trabalho que decidimos não fazer por ora ou que ainda não alcançamos.

• Nenhuma auditoria SOC 2, ISO 27001 ou equivalente. Nenhuma certificação de terceiros de qualquer tipo.
• Nenhum teste de intrusão externo. A revisão de segurança foi interna até hoje.
• Nenhuma varredura de malware nos arquivos enviados. Os envios têm tipo verificado e tamanho limitado; não são varridos.
• Nenhuma autenticação de dois fatores obrigatória. Ela está disponível para todos os usuários e é ativada por usuário, e não vamos descrevê-la como obrigatória.
• Nenhuma página pública de status. Os incidentes são comunicados por e-mail às empresas afetadas.
• Nenhum seguro cibernético e nenhum advogado contratado em regime permanente. Ambos são itens abertos, e não descuidos.
• Implantação em uma única região e em um único servidor. As cópias de segurança ficam em outro local; a infraestrutura que atende as requisições não é redundante entre regiões.

Idioma

Esta é a tradução para o português do Brasil desta página, que é publicada em inglês em easyflow360.com/security. A tradução existe para ser lida, não para substituir o texto em inglês: havendo divergência de sentido entre as duas versões, prevalece a versão em inglês.

Fale com nós

Envie um questionário de segurança, um Acordo de Tratamento de Dados para assinarmos ou uma dúvida sobre qualquer linha desta página para contact@easyflow360.com.