OOuro Digital

Política de Segurança da Informação e Resposta a Incidentes

Versão 1.0 · Última atualização: 26 de outubro de 2026 · English version below

1. Escopo e responsável

Esta política vale para o aplicativo Ouro Digital, sua infraestrutura e todas as pessoas com acesso administrativo a ele. A responsável pela segurança da informação, pela proteção de dados (DPO) e pela resposta a incidentes é Giovanna Mota — contato@giovannamota.com.br.

2. Classificação dos dados

  • Público: conteúdo do site e informações públicas de produtos.
  • Interno: configurações e métricas agregadas do serviço.
  • Confidencial: dados pessoais dos usuários, credenciais da sessão do WhatsApp, tokens de autorização de marketplaces (como TikTok Shop e Mercado Livre) e chaves de API.

Dados confidenciais são sempre criptografados em trânsito e em repouso, nunca são gravados em registros (logs) nem expostos ao navegador, e só são acessados pelo servidor quando necessários para a função pedida pelo usuário.

3. Controle de acesso (privilégio mínimo)

  • Cada usuário só acessa os próprios dados: o banco aplica regras de segurança por linha (Row Level Security) em todas as tabelas.
  • Chaves secretas e tokens ficam em variáveis protegidas no servidor, sem acesso pelo navegador e fora do código-fonte.
  • O acesso administrativo à infraestrutura (banco, hospedagem, servidor do WhatsApp e repositório de código) é restrito à responsável, com conta individual e autenticação em dois fatores.
  • Os acessos são revisados a cada três meses e removidos imediatamente quando deixam de ser necessários.

4. Criptografia

  • Em trânsito: todo o tráfego usa HTTPS/TLS, inclusive entre o aplicativo, o banco, o servidor do WhatsApp e as APIs dos marketplaces.
  • Em repouso: banco de dados e backups criptografados pelo provedor (Supabase).

5. Proteção de rede e infraestrutura

  • A infraestrutura roda em provedores de nuvem gerenciados (Supabase, Vercel e Fly.io), na região de São Paulo, com isolamento de rede entre clientes e proteção contra ataques mantida por esses provedores.
  • O banco não aceita acesso direto sem autenticação; o servidor do WhatsApp exige uma chave secreta em toda chamada.
  • Erros e acessos são registrados pelos provedores e acompanhados pela responsável.

6. Regras do dia a dia

  • Autenticação em dois fatores obrigatória nas contas administrativas (Google, GitHub, Vercel, Supabase e Fly.io);
  • Senhas fortes e únicas, guardadas em gerenciador de senhas; nenhuma senha ou chave é enviada por mensagem ou e-mail;
  • Computadores com sistema atualizado, antivírus ativo e bloqueio de tela automático;
  • Mesa e tela limpas: nada de credenciais anotadas em papel ou expostas em compartilhamento de tela.

7. Gestão de vulnerabilidades

  • As bibliotecas do aplicativo são atualizadas regularmente e verificadas contra vulnerabilidades conhecidas;
  • Os alertas de segurança dos provedores (como os avisos de segurança do Supabase) são revisados a cada mudança no banco;
  • Vulnerabilidades críticas são corrigidas em até 7 dias; as demais, na próxima atualização planejada.

8. Resposta a incidentes

Incidente é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade dos dados ou do serviço. Qualquer pessoa pode reportar um incidente suspeito para contato@giovannamota.com.br.

  • Papéis: a responsável coordena a resposta, decide as medidas e faz as comunicações; os provedores de infraestrutura são acionados pelos canais de suporte deles quando necessário.
  • 1. Identificar: registrar o que aconteceu, quando e quais dados e usuários podem ter sido afetados.
  • 2. Conter: revogar e trocar chaves, tokens e senhas expostos, desconectar sessões e bloquear o acesso indevido.
  • 3. Avaliar: medir o risco para os titulares e para os parceiros.
  • 4. Comunicar: quando houver risco ou dano relevante, comunicar a ANPD e os titulares afetados em até 3 dias úteis, conforme a regulamentação da ANPD, e avisar o TikTok Shop, os demais marketplaces e os vendedores afetados sem demora indevida e em até 72 horas após a confirmação do incidente.
  • 5. Corrigir e aprender: corrigir a causa, restaurar o serviço e registrar o que mudou para evitar que se repita.

9. Exclusão de dados

Dados de usuários e de parceiros são excluídos em até 30 dias após o encerramento da conta, o fim da relação contratual ou a revogação de uma autorização, salvo obrigação legal de guarda. Pedidos de exclusão, atualização ou acesso feitos por usuários, vendedores ou pelo TikTok Shop são atendidos em até 15 dias.

10. Revisão

Esta política é revisada pelo menos uma vez por ano e após qualquer incidente relevante.

Information Security and Incident Response Policy

Version 1.0 · Last updated: October 26, 2026

1. Scope and owner

This policy covers the Ouro Digital application, its infrastructure and everyone with administrative access to it. The owner of information security, data protection (DPO) and incident response is Giovanna Mota — contato@giovannamota.com.br.

2. Data classification

  • Public: website content and public product information.
  • Internal: settings and aggregated service metrics.
  • Confidential: users' personal data, WhatsApp session credentials, marketplace authorization tokens (such as TikTok Shop and Mercado Livre) and API keys.

Confidential data is always encrypted in transit and at rest, is never written to logs or exposed to the browser, and is accessed by the server only when needed for the function requested by the user.

3. Access control (least privilege)

  • Each user can only access their own data: the database enforces Row Level Security on every table.
  • Secret keys and tokens are stored in protected server-side environment variables, never in the browser or in source code.
  • Administrative access to the infrastructure (database, hosting, WhatsApp server and code repository) is restricted to the owner, with an individual account and two-factor authentication.
  • Access is reviewed every three months and removed immediately when no longer needed.

4. Encryption

  • In transit: all traffic uses HTTPS/TLS, including between the application, the database, the WhatsApp server and marketplace APIs.
  • At rest: database and backups encrypted by the provider (Supabase).

5. Network and infrastructure protection

  • The infrastructure runs on managed cloud providers (Supabase, Vercel and Fly.io) in the São Paulo region, with tenant network isolation and threat protection maintained by those providers.
  • The database does not accept direct unauthenticated access; the WhatsApp server requires a secret key on every call.
  • Errors and access are logged by the providers and monitored by the owner.

6. Daily security baseline

  • Mandatory two-factor authentication on administrative accounts (Google, GitHub, Vercel, Supabase and Fly.io);
  • Strong, unique passwords kept in a password manager; no password or key is sent by message or email;
  • Computers with up-to-date operating systems, active antivirus and automatic screen lock;
  • Clean desk and clean screen: no credentials written on paper or exposed during screen sharing.

7. Vulnerability management

  • Application dependencies are updated regularly and checked against known vulnerabilities;
  • Provider security alerts (such as Supabase security advisors) are reviewed with every database change;
  • Critical vulnerabilities are fixed within 7 days; others in the next planned update.

8. Incident response

An incident is any event that compromises the confidentiality, integrity or availability of data or of the service. Anyone can report a suspected incident to contato@giovannamota.com.br.

  • Roles: the owner leads the response, decides on measures and handles communications; infrastructure providers are engaged through their support channels when needed.
  • 1. Identify: record what happened, when, and which data and users may be affected.
  • 2. Contain: revoke and rotate exposed keys, tokens and passwords, disconnect sessions and block unauthorized access.
  • 3. Assess: evaluate the risk to data subjects and partners.
  • 4. Notify: where there is relevant risk or harm, notify the ANPD and affected data subjects within 3 business days, per ANPD regulation, and notify TikTok Shop, other marketplaces and affected sellers without undue delay and within 72 hours of confirming the incident.
  • 5. Fix and learn: fix the root cause, restore the service and record the changes made to prevent recurrence.

9. Data deletion

User and partner data is deleted within 30 days of account closure, the end of the contractual relationship or the revocation of an authorization, unless retention is required by law. Deletion, update or access requests from users, sellers or TikTok Shop are fulfilled within 15 days.

10. Review

This policy is reviewed at least once a year and after any relevant incident.