Política de segurança

1. Nosso compromisso

A segurança faz parte de como a OFMfy é construída. Aplicamos medidas técnicas e administrativas proporcionais aos riscos e à natureza dos dados tratados, como exige o art. 46 da LGPD, e as revisamos continuamente.

2. Medidas técnicas

• todo o tráfego entre você e a plataforma é criptografado em trânsito;
• senhas são guardadas apenas como hash; as chaves e autorizações dos canais conectados são guardadas criptografadas;
• cada espaço de trabalho é isolado: um cliente não enxerga os dados de outro, e essa regra é aplicada no próprio banco de dados;
• mídias privadas são entregues por links temporários, que expiram;
• login, cadastro e recuperação de senha passam por verificação anti-robô, e acessos abusivos são bloqueados por e-mail, dispositivo e endereço de rede;
• as ações sensíveis e os acessos são registrados, para auditoria e investigação;
• a infraestrutura conta com proteção contra ataques de negação de serviço, cópias de segurança e atualizações de segurança frequentes.

3. Medidas organizacionais

O acesso interno aos dados é restrito a quem precisa dele para operar ou dar suporte, é registrado e está sujeito a dever de confidencialidade. Os prestadores que operam a infraestrutura são contratados com obrigações de segurança e de confidencialidade.

4. O que esperamos de você

A segurança da sua conta também depende de você:

• use uma senha forte e exclusiva, ou entre com uma conta Google protegida por verificação em duas etapas;
• não compartilhe o seu login; convide cada operador com o acesso dele;
• remova o acesso de operadores que deixaram a sua agência;
• não envie chaves, senhas ou códigos por mensagem a ninguém; a OFMfy nunca pede a sua senha;
• desconfie de mensagens que peçam pagamento ou dados em nome da OFMfy fora da plataforma;
• avise a OFMfy imediatamente se suspeitar de acesso indevido à sua conta.

5. Incidentes de segurança

Se um incidente de segurança for identificado, a OFMfy age para contê-lo, investigar a causa, reduzir os efeitos e evitar que se repita. Quando o incidente puder trazer risco ou dano relevante aos titulares, a OFMfy comunica os afetados e a Autoridade Nacional de Proteção de Dados em prazo razoável, conforme o art. 48 da LGPD, informando o que aconteceu, os dados envolvidos e as medidas tomadas.

Quando o incidente envolver dados que a OFMfy trata em nome de uma agência, a OFMfy avisa a agência, que é a controladora, para que ela também possa cumprir as próprias obrigações.

6. Relato responsável de vulnerabilidades

Se você encontrar uma falha de segurança na OFMfy, relate pelo e-mail ofmfybr@gmail.com, com a descrição da falha, os passos para reproduzi-la e o possível impacto. Para que a pesquisa seja considerada de boa-fé, é preciso:

• não acessar, copiar, alterar ou apagar dados de outros clientes além do mínimo necessário para demonstrar a falha;
• não degradar o serviço, não fazer testes de carga e não usar engenharia social contra a equipe ou os clientes;
• não explorar a falha além da demonstração e não a usar em benefício próprio;
• manter a falha em sigilo até a OFMfy corrigi-la, por um prazo razoável;
• testar apenas com a sua própria conta.

Quem relatar uma falha seguindo essas regras não será alvo de medidas judiciais da OFMfy por causa da pesquisa. Atividades fora dessas regras, ou que acessem dados alheios, podem configurar o crime de invasão de dispositivo informático (art. 154-A do Código Penal, incluído pela Lei 12.737/2012) e serão tratadas como tal.

7. Limites

Nenhum sistema conectado à internet é totalmente invulnerável. A OFMfy se compromete com as medidas descritas aqui e com a melhoria contínua delas, mas não pode garantir que nunca haverá um incidente. As responsabilidades de cada parte estão nos Termos de uso.