Segurança da Informação

Todo o tráfego entre o seu navegador e a plataforma é protegido por TLS/HTTPS. O acesso é servido atrás de um proxy reverso (Nginx) com certificados válidos, e conexões não seguras são redirecionadas para HTTPS.

Senhas de acesso nunca são armazenadas em texto puro: guardamos apenas o hash gerado com bcrypt (fator de custo 12). Segredos sensíveis de integrações (como senhas de SMTP) são armazenados com criptografia simétrica AES-256. Credenciais de integrações ficam em ambiente restrito, acessível apenas pela aplicação.

Cada empresa ("tenant") tem seus dados isolados por um identificador em todas as consultas. Esse isolamento é reforçado por duas camadas automatizadas na nossa esteira de integração contínua:

• um auditor estático que bloqueia a publicação de qualquer consulta ao banco que não filtre pelo identificador da empresa;
• testes de integração que criam empresas distintas e verificam, em tempo de execução, que os dados de uma nunca vazam para outra.

Esse é um dos pilares de segurança do produto e roda a cada alteração de código.

O acesso é autenticado por token (JWT) com expiração. Oferecemos verificação de telefone por código único (OTP) via WhatsApp e papéis de permissão granulares por usuário e por módulo, permitindo que cada membro da equipe veja apenas o que lhe compete.

A plataforma roda em servidor dedicado, com os componentes isolados em contêineres: PostgreSQL 16 (banco de dados), Redis 7 (filas e cache), armazenamento de mídia compatível com S3 e o serviço de conexão com o WhatsApp. O acesso administrativo à infraestrutura é restrito e feito por canais seguros.

Realizamos backups diários do banco de dados para permitir recuperação em caso de incidente. Os backups seguem um ciclo de rotação, após o qual são sobrescritos.

Por honestidade: não possuímos, no momento, certificações formais como SOC 2 ou ISO 27001, e não afirmamos possuí-las. Investimos continuamente em melhorias de segurança e avaliamos a adoção de certificações à medida que o produto amadurece.

Se você identificar uma vulnerabilidade, siga o nosso Programa de Divulgação de Vulnerabilidades e escreva para legal@prismacrm.com.br. Agradecemos a divulgação responsável.