Segurança

Esta página descreve, em linguagem direta, as práticas de segurança técnica e organizacional efetivamente em vigor na plataforma DuADS, mantida pela DUO SISTEMAS INTELIGENTES LTDA (CNPJ 53.552.100/0001-97). Não é um documento contratual - o DPA e o SLA regulam as obrigações formais.

Senhas e autenticação

Senhas nunca são armazenadas em texto puro - são protegidas com bcrypt (hash com custo computacional deliberadamente alto) e validadas contra critérios de composição e entropia (comprimento mínimo, variedade de caracteres, e verificação de senhas previsíveis/comuns) no momento do cadastro. O sistema também impede a reutilização das últimas senhas já usadas por um usuário. Um gerador de senha segura, baseado no módulo criptográfico nativo do Node.js, está disponível como alternativa a digitar uma senha manualmente.

Autenticação em duas etapas (TOTP, compatível com aplicativos autenticadores padrão) está disponível como módulo opcional, com códigos de recuperação de uso único para casos de perda de acesso ao segundo fator.

Isolamento entre agências (multi-tenant)

Cada agência cliente opera em um compartimento lógico isolado dentro da mesma infraestrutura: toda consulta a dados de clientes, campanhas, relatórios e usuários é filtrada pelo identificador da agência antes de chegar ao banco de dados, impedindo que uma agência acesse dados de outra.

Criptografia de credenciais

Segredos sensíveis armazenados pela plataforma (como tokens de conexão com contas de anúncios/redes sociais e o segredo da autenticação em duas etapas) são cifrados em repouso com AES-256 autenticado, nunca gravados em texto puro no banco de dados.

Controle de acesso por papel

O acesso a cada funcionalidade é controlado por um sistema de papéis e permissões granular, com a possibilidade de ajustar permissões individuais por usuário além do papel padrão. Contas de sistema não podem ser removidas, e a plataforma impede que uma agência fique sem nenhum administrador ativo.

Limitação de tentativas (rate limiting)

Rotas sensíveis (login, recuperação de senha, criação de conta) são protegidas por limitação de taxa de tentativas, compartilhada entre todas as instâncias da aplicação, para dificultar tentativas automatizadas de adivinhação de credenciais.

Auditoria

Ações relevantes realizadas na plataforma (criação, edição e exclusão de registros, mudanças de permissão, entre outras) ficam registradas em um log de auditoria com identificação de quem realizou a ação, quando, e a partir de qual endereço de rede.

O que ainda não temos

Em nome da transparência: a plataforma ainda não opera uma rotina formal de backup gerenciado com metas de tempo de restauração garantidas contratualmente (ver Seção 7 do SLA) nem certificações formais de segurança de terceiros (ex.: ISO 27001, SOC 2). Não fazemos alegações de conformidade que não possamos sustentar.

Suboperadores

A lista de suboperadores que processam dados em nome da CONTRATADA está publicada em /suboperadores.

Relatar um problema de segurança

Se você identificou uma vulnerabilidade ou problema de segurança na plataforma, entre em contato pelo canal de suporte informado no painel.