Medidas de Segurança e Técnicas & Organizacionais

Última atualização: 20 de maio de 2026
Versão: 1.0
Link permanente para esta versão: bespokely.io/legal/security/v1.0

Esta página descreve as medidas técnicas e organizacionais ("TOMs") que Bespokely Inc. ("Bespokely") implementa para proteger os dados pessoais processados em seus produtos, em cumprimento ao Art. 32 GDPR e obrigações equivalentes sob outras leis de proteção de dados.

Esta página se aplica a todos os produtos operados pela Bespokely Inc. Quando um produto difere materialmente da linha de base da plataforma, isso é destacado em §13 Notas específicas do produto.

§1 Governança de segurança da informação

• Um programa de segurança da informação documentado revisado pelo menos anualmente.
• Propriedade da segurança no nível do fundador (Edgardo Romo, executivo responsável).
• Políticas de segurança cobrindo: controle de acesso, uso aceitável, resposta a incidentes, gerenciamento de fornecedores, gerenciamento de mudanças, continuidade de negócios.
• Todos os funcionários reconhecem a política de segurança na contratação e em cada atualização material.

§2 Controle de acesso

§2.1 Identidade e autenticação

• Contas individuais nomeadas para cada operador da Bespokely. Nenhuma credencial compartilhada.
• Autenticação multifatorial obrigatória (mínimo TOTP) para todo acesso administrativo a sistemas de produção.
• Single sign-on via o provedor de identidade da Bespokely para qualquer operador com acesso à produção.
• Os usuários finais autenticam-se através do sistema de autenticação do produto relevante (Supabase Auth), com senhas hashadas em bcrypt e TOTP opcional.

§2.2 Autorização e menor privilégio

• Princípio da necessidade de saber: o acesso aos dados dos clientes é concedido apenas aos operadores que o requerem para uma tarefa específica.
• Controle de acesso baseado em funções no nível da aplicação.
• Políticas de Segurança em Nível de Linha (RLS) em todas as tabelas do banco de dados que contêm dados pessoais.
• A chave service_role do Supabase é mantida apenas em variáveis de ambiente do lado do servidor; nunca é exposta a pacotes do lado do cliente.

§2.3 Processo de entrada/movimentação/saída

• Provisionamento por ticket contra o provedor de identidade.
• Revisão de acesso trimestral pelo proprietário da segurança; funcionários desligados removidos dentro de 24 horas após a saída.

§3 Criptografia de dados

§3.1 Em repouso

• Criptografia AES-256 para todos os dados dos clientes armazenados no PostgreSQL, armazenamento de objetos (Supabase Storage) e backups.
• Backups de banco de dados criptografados com chaves gerenciadas pelo provedor; rotação de chaves conforme a política do provedor.
• Segredos sensíveis (chaves de API, tokens OAuth, referências de pagamento) armazenados em gerenciadores de segredos dedicados ou criptografados no nível da coluna usando pgsodium / pgcrypto.

§3.2 Em trânsito

• TLS 1.2 mínimo; TLS 1.3 preferido. Protocolos inseguros estão desativados.
• HSTS ativado em todos os domínios voltados para o cliente.
• Conexões de banco de dados usam SSL com sslmode=require mínimo (verify-full preferido para conexões servidor-banco de dados).
• Chamadas internas de serviço para serviço usam TLS terminadas no serviço receptor.

§4 Segurança de rede e infraestrutura

• Toda a infraestrutura opera em provedores gerenciados (Vercel, Supabase) com sua postura de conformidade subjacente (Vercel e Supabase dependem da infraestrutura da AWS para a região da UE — a AWS possui ISO 27001, SOC 2 Tipo II e outras certificações).
• Proteção DDoS na borda via Vercel.
• Segmentação de rede entre ambientes de produção, homologação e desenvolvimento. Nenhum banco de dados compartilhado entre ambientes.
• Isolamento de dados por inquilino: um projeto Supabase por cliente para cargas de trabalho de dados do cliente.

§5 Segurança de aplicação e ciclo de vida de desenvolvimento de software

• Todas as alterações de código passam por revisão de pull-request.
• Análise estática (linters, verificadores de tipo, varredura de dependências) é executada em cada alteração.
• Dependências rastreadas via arquivos de bloqueio; atualizações revisadas pelo menos mensalmente.
• Implantações em produção são imutáveis e com versão fixada; o rollback é de um clique.
• Segredos nunca são comprometidos no controle de versão; varredura de segredos pré-comprometida ativada.
• Vulnerabilidades da web mitigadas através de proteções em nível de framework (tokens CSRF, codificação de saída, consultas parametrizadas) e proteções em nível de plataforma (Vercel WAF, cabeçalhos CSP).

§6 Registro, monitoramento e auditoria

• O log de auditoria em nível de aplicação registra toda mutação de dados pessoais: ator, timestamp, id do registro, ação. Os payloads do log de auditoria referenciam apenas ids de registro — não contêm os dados pessoais em si.
• Log de auditoria de banco de dados ativado no nível do Supabase; consultas de operadores contra tabelas com dados pessoais são registradas.
• Logs de tempo de execução da Vercel capturam dados em nível de solicitação (endereço IP truncado, timestamp, caminho, status). Retenção: 30 dias.
• Sentry captura erros de aplicação com limpeza de PII ativada (campos de e-mail e texto livre redigidos antes da transmissão).
• Logs de auditoria retidos por 3 anos para satisfazer o requisito de prova de consentimento do Art. 7 GDPR e necessidades forenses operacionais.

§7 Detecção e resposta a incidentes

• Alerta 24×7 sobre sinais de disponibilidade e segurança (picos de falha de autenticação, volumes incomuns de exportação de dados, picos de erro).
• Plano de resposta a incidentes documentado com classificação de severidade.
• Notificação ao cliente: para qualquer incidente de segurança confirmado que afete os dados pessoais de um cliente, a Bespokely notifica o cliente (controlador) sem demora indevida e, em qualquer caso, dentro de 24 horas da confirmação. Isso é mais rápido do que a janela de 72 horas do controlador para a DPA sob o Art. 33 GDPR para dar tempo aos controladores.
• Pós-incidente: post-mortem escrito dentro de 14 dias, incluindo ações de remediação e atualizações na documentação de segurança, se aplicável.

§8 Backup e continuidade de negócios

• Backups diários criptografados de todos os bancos de dados dos clientes.
• Retenção de backups: 7 dias, com recuperação em ponto no tempo disponível dentro dessa janela.
• Backups armazenados na mesma região da UE que os dados primários (Frankfurt para produtos da região da UE).
• Testes de restauração trimestrais para pelo menos um banco de dados de produção para validar a recuperabilidade.
• Plano de recuperação de desastres documentado com RTO alvo ≤ 4 horas e RPO ≤ 24 horas para falhas na região; mais longo para falhas em toda a região.

§9 Segurança do pessoal

• Verificações de antecedentes para todos os operadores com acesso à produção, sujeitas à legislação aplicável.
• Obrigações de confidencialidade em todos os contratos de trabalho e de prestadores de serviços.
• Treinamento anual de conscientização sobre segurança, incluindo simulação de phishing.
• Uso de dispositivos próprios permitido apenas para acesso não produtivo; acesso à produção apenas de dispositivos gerenciados.

§10 Gerenciamento de fornecedores e sub-processadores

• Cada sub-processador sob um Acordo de Processamento de Dados escrito que inclui Cláusulas Contratuais Padrão onde aplicável.
• Revisão anual da postura de segurança de cada sub-processador e status de DPF / certificação.
• Lista pública de sub-processadores mantida em bespokely.io/legal/sub-processors, atualizada com 30 dias de aviso prévio sobre mudanças conforme o DPA do cliente.
• Os clientes mantêm o direito de se opor a um novo sub-processador.

§11 Localização e soberania dos dados

• Os dados dos clientes para produtos que atendem clientes da UE são hospedados na AWS eu-central-1 (Frankfurt, Alemanha).
• Nenhuma replicação de dados dos clientes fora da UE em múltiplas regiões.
• Sub-processadores de inferência de LLM (OpenAI, Anthropic) operam nos EUA e processam prompts lá sob DPF / SCCs; configuramos esses provedores para optar por não treinar com conteúdo do cliente onde a opção existe.
• Os dados de conteúdo do cliente enviados para LLMs são minimizados e podem ser redigidos no nível da aplicação onde o caso de uso permite.

§12 Solicitações de titulares de dados e assistência aos controladores

• Ajudamos os clientes (controladores) a cumprir solicitações de titulares de dados sob o Art. 12–22 GDPR dentro do SLA definido no DPA do cliente (tipicamente: resposta ao controlador dentro de 14 dias após o recebimento de uma solicitação encaminhada).
• Fornecemos aos controladores as ferramentas necessárias para: exportar dados dos clientes, excluir registros a pedido e pseudonimizar registros onde a exclusão ainda não é possível devido a obrigações legais de retenção do controlador.

§13 Notas específicas do produto

§14 Certificações e atestações

As seguintes certificações são mantidas ou estão em escopo. Onde a Bespokely não está ainda certificada, confiamos nas certificações dos provedores de infraestrutura subjacentes.

• AWS (infraestrutura subjacente para Vercel e Supabase na região da UE): ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3, PCI DSS Nível 1, C5 (Alemanha).
• Vercel: SOC 2 Tipo II, ISO 27001.
• Supabase: SOC 2 Tipo II.
• Bespokely Inc. (direto): SOC 2 Tipo II — em escopo para 2026 (planejado).

§15 Atualizações desta página

Atualizações materiais são versionadas (v1.0, v1.1, etc.) e notificadas aos clientes ativos por e-mail com pelo menos 30 dias de antecedência antes de entrarem em vigor, exceto quando uma atualização aperta (em vez de relaxar) uma medida, caso em que entra em vigor imediatamente e é notificada dentro de 30 dias após a publicação.

Versões anteriores são preservadas em bespokely.io/legal/security/v[VERSION].

Contato para perguntas de segurança:
Bespokely Inc., 251 Little Falls Drive, Wilmington, DE 19808, EUA · privacy@bespokely.io · +1 (512) 348-6588