Segurança de Dados

Todas as comunicações entre o seu navegador e os servidores do Stepiqy são protegidas por TLS 1.2 ou superior (HTTPS). Conexões não seguras (HTTP) são automaticamente redirecionadas para HTTPS. Certificados digitais são gerenciados pela Vercel com renovação automática via Let's Encrypt.

• Banco de dados: armazenado no Supabase com criptografia AES-256 em repouso. Backups automáticos diários também são criptografados.
• Senhas: nunca armazenadas em texto claro. Utilizamos o algoritmo bcrypt com fator de custo elevado e salt individual por usuário. Nem mesmo nossa equipe pode visualizar sua senha.
• Dados financeiros: o Stepiqy não armazena números de cartão, CVV ou dados bancários. Esses dados trafegam exclusivamente entre você e a Stripe, sem passar pelos nossos servidores.

• Row-Level Security (RLS): o banco de dados Supabase implementa políticas de segurança em nível de linha, garantindo que cada usuário só acesse seus próprios dados.
• JWT com expiração: sessões autenticadas utilizam tokens JWT com prazo de expiração, renovados automaticamente apenas durante uso ativo.
• Princípio do menor privilégio: as chaves de API e credenciais de serviços de terceiros possuem apenas as permissões estritamente necessárias.
• Variáveis de ambiente: credenciais sensíveis (chaves de API, secrets) são armazenadas exclusivamente como variáveis de ambiente no servidor, nunca expostas no código-fonte público.

• Rate limiting nas APIs para prevenir abusos e ataques de força bruta.
• Monitoramento contínuo de logs de acesso e atividades suspeitas.
• Webhooks de pagamento validados com assinatura criptográfica (HMAC-SHA256) da Stripe.
• Revisão periódica de dependências de software para identificação de vulnerabilidades conhecidas (CVEs).

Em caso de incidente de segurança que envolva dados pessoais com risco relevante aos titulares, o Stepiqy seguirá o seguinte procedimento:

1. 1
   Identificação e contenção: Isolamento imediato do sistema ou componente afetado.
2. 2
   Avaliação de impacto: Determinação do escopo, natureza dos dados e titulares possivelmente afetados.
3. 3
   Notificação: Comunicação à ANPD e aos titulares afetados em prazo razoável (máximo 72 horas úteis), conforme Art. 48 da LGPD.
4. 4
   Remediação: Correção da causa raiz, aplicação de patches e reforço de controles.
5. 5
   Relatório pós-incidente: Documentação das lições aprendidas e melhorias implementadas.

A segurança é uma responsabilidade compartilhada. Para proteger sua conta, recomendamos:

• Usar uma senha forte e exclusiva para o Stepiqy (mínimo de 12 caracteres, combinando letras, números e símbolos).
• Nunca compartilhar suas credenciais de acesso com terceiros.
• Sair da conta ao usar dispositivos compartilhados ou públicos.
• Manter seu dispositivo e navegador atualizados.
• Estar atento a tentativas de phishing — o Stepiqy nunca solicitará sua senha por e-mail.
• Notificar imediatamente qualquer atividade suspeita em sua conta para support@stepiqy.com.

Caso você identifique uma vulnerabilidade de segurança na plataforma Stepiqy, pedimos que nos reporte de forma responsável antes de tornar o problema público:

Agradecemos a colaboração da comunidade de segurança e nos comprometemos a tratar os relatos com seriedade, confidencialidade e celeridade.

Esta Política de Segurança pode ser atualizada para refletir melhorias implementadas ou mudanças regulatórias. Alterações relevantes serão comunicadas por e-mail ou por aviso na plataforma.