Política de segurança da informação

1. Princípios

Confidencialidade, integridade, disponibilidade e resiliência razoável, proporcionais ao risco e ao estado da técnica. A AppByte não garante segurança absoluta: as medidas declaradas refletem a configuração vigente e podem evoluir.

2. Medidas técnicas

• Transporte: criptografia em trânsito conforme a configuração vigente da rede CDN e dos demais fornecedores listados em Suboperadores.
• Em repouso: criptografia em repouso conforme as capacidades do fornecedor de base de dados gerenciada e de armazenamento de arquivos.
• Segregação multi-tenant: isolamento lógico dos dados por Cliente (academia).
• Ambientes separados: produção, teste e desenvolvimento, cada um com bases de dados independentes.
• Controle de acesso: princípio do privilégio mínimo, autenticação robusta, multifator quando disponível, controle de contas privilegiadas.
• Logs e auditoria: registro de ações relevantes e retenção conforme a Política de privacidade.
• Backups: rotinas regulares de backup e verificação periódica.
• Vulnerabilidades: monitoramento, aplicação de patches e revisão periódica de dependências.
• Observabilidade: monitoramento de erros e métricas internas da plataforma da academia e do app do atleta.

3. Medidas organizacionais

• Acordos de confidencialidade com o pessoal autorizado.
• Capacitação periódica da equipe em boas práticas de segurança e privacidade.
• Controle de acessos por papel e revogação oportuna após desvinculações ou mudanças de função.
• Procedimento documentado de resposta a incidentes.
• Revisão e atualização periódica desta política.

4. Gestão de incidentes

Diante de um incidente de segurança que possa afetar Dados do Cliente ou dos atletas, a AppByte notificará o Cliente sem demora indevida e, quando possível, dentro de 72 horas desde a confirmação interna, com o conteúdo e alcance descritos no DPA.

5. Responsabilidade compartilhada

A segurança é responsabilidade compartilhada. O Cliente deve administrar adequadamente sua equipe e seus atletas, manter credenciais seguras e revogadas em tempo, ativar multifator quando disponível, proteger seus dispositivos e revisar periodicamente permissões e configurações, conforme os Termos do serviço e a Política de uso aceitável.

6. Divulgação responsável de vulnerabilidades

Agradecemos a divulgação responsável de vulnerabilidades em security@uwod.app. Para que o relato seja recebido como divulgação responsável, solicitamos:

• não divulgar publicamente a vulnerabilidade antes de sua razoável resolução;
• não realizar ataques destrutivos, negação de serviço nem acesso a dados de terceiros;
• não usar a vulnerabilidade para fins ilícitos ou lucrativos;
• fornecer passos claros para reproduzir o achado;
• respeitar a legalidade aplicável e as condições do Serviço.

A AppByte responderá razoavelmente aos relatos recebidos e reconhecerá publicamente a colaboração quando a pessoa relatora autorizar.