Segurança e privacidade

Onde os dados ficam

O banco de dados e os arquivos ficam em São Paulo, no Supabase. As funções do servidor rodam em São Paulo, na Vercel, e as páginas estáticas passam pela rede global de entrega. Os outros serviços que tocam em algum dado estão na lista de suboperadores, com o país de cada um.

Uma empresa nunca vê os dados de outra

• Em toda tabela, o próprio banco só entrega as linhas da empresa de quem pergunta (row-level security).
• A cada pedido, o servidor confere no banco a que empresa você pertence e qual é o seu papel. Dizer no navegador que você é de outra empresa não abre nada.
• Temos testes automáticos que tentam ler, alterar, apagar e inserir dados de uma empresa usando a conta de outra, e que precisam falhar.

Criptografia

Todo o tráfego usa HTTPS, com HSTS de 2 anos para o navegador nunca cair em conexão aberta. O provedor do banco cifra os dados em repouso. Chaves de API e tokens de integração ainda ganham uma cifra nossa (AES-256), com a chave fora do banco.

Acesso e papéis

Quem usa entra por link ou código enviado ao e-mail, ou pela conta Google. Dentro da empresa há cinco papéis: dono, admin, gerente, membro e leitura. Leitura só vê, membro importa dados e pede conexões, gerente também aprova melhorias, admin gerencia a equipe e as configurações, dono apaga a empresa. O papel é conferido no servidor a cada pedido. A demonstração também abre pela conta: as empresas de exemplo só aparecem para as contas que liberamos. A demonstração com os números de quem assiste aceita ainda uma senha de acesso, e essa tela não grava nada no nosso banco. Do lado da GrowRockets, as telas internas que leem dados de empresas abrem só para uma lista fechada de e-mails da equipe, com e-mail confirmado, conferida no servidor.

Outras proteções

O que está ligado hoje:

• Cada empresa vê só os próprios dados: o banco aplica a regra de acesso por empresa em toda tabela (row-level security) e testamos que uma empresa não lê, não altera e não apaga dado de outra
• Conexão cifrada (HTTPS) em todo o site, com HSTS de 2 anos, e dados cifrados em repouso pelo provedor do banco
• Chaves de API e tokens de integração cifrados com AES-256 antes de entrar no banco, com a chave guardada fora do banco
• Acesso por link ou código enviado por e-mail, ou por conta Google, com papéis na empresa (dono, admin, gerente, membro e leitura) conferidos no servidor a cada pedido
• Política de segurança de conteúdo (CSP) com código novo a cada página, cabeçalhos contra clique disfarçado e adivinhação de tipo de arquivo, e proteção contra pedido vindo de outro site nas ações que mudam dados
• Limite de pedidos por pessoa e por rede, verificação anti-robô e campo armadilha nos formulários públicos
• Relatórios de erro sem corpo de pedido, cookies, e-mail nem variáveis do código, removidos antes de sair do servidor
• Segredos só no servidor: nenhuma chave secreta vai para o navegador, e o código é conferido por testes automáticos para isso

Seus direitos

Dentro do Radar, em Configurações, na seção "Privacidade e dados", cada pessoa baixa os próprios dados, corrige o nome e apaga a conta, sem esperar resposta de ninguém. Dono e admin baixam também os dados da empresa. Para qualquer outra coisa, ou para um pedido da sua empresa sobre dados dos clientes dela, escreva ao encarregado. O scan de receita sai sozinho no prazo acima; apagar a conta apaga também os scans feitos com ela ou com o mesmo e-mail.

Rony Lussari: privacidade@growrockets.com (rony@growrockets.com)

Se algo der errado

Se um incidente afetar dados pessoais, avisamos a empresa cliente sem demora indevida. Quando somos a controladora, comunicamos a ANPD e as pessoas no prazo da lei. O aviso diz o que aconteceu, quais dados, o que já fizemos e o que a empresa pode fazer.

Certificações e testes

Não temos certificação SOC 2 nem ISO 27001, e não afirmamos nenhuma. Os controles seguem a mesma linha dessas normas, e podemos responder ao questionário de segurança da sua equipe. Hoje não temos relatório de teste de invasão por terceiro independente para compartilhar.

Achou uma falha?

Escreva para privacidade@growrockets.com. Não faça testes que afetem outras pessoas nem acesse dados que não são seus. Respondemos em até 3 dias úteis e não tomamos medida contra quem avisa de boa-fé. O endereço também está em /.well-known/security.txt.