Segurança

1. Sobre esta página

Aqui descrevemos as medidas que a Cátiva adota para proteger o painel do Lojista, o aplicativo Cátiva, os aplicativos com a marca das lojas e os dados tratados neles. O tratamento de dados pessoais está detalhado na Política de Privacidade.

2. Conexão e proteção na borda

• Todo acesso ao site, ao painel e à comunicação dos aplicativos com o servidor usa HTTPS. O servidor envia o cabeçalho HSTS, que orienta o navegador a usar só conexões criptografadas com o domínio e os subdomínios por um ano.
• O tráfego passa pela rede da Cloudflare antes de chegar ao servidor, o que filtra parte do tráfego automatizado e absorve picos de acesso anormais.
• As páginas enviam cabeçalhos que impedem que sejam exibidas dentro de sites de terceiros e que o navegador interprete arquivos com um tipo diferente do declarado.

3. Acesso e autenticação

• Login, envio e conferência de códigos, recuperação de senha e as rotas da API dos aplicativos têm limite de tentativas por período. Excedido o limite, novas tentativas são recusadas por um tempo.
• Senhas são guardadas apenas como hash bcrypt, nunca em texto. Quando a senha do Cliente é trocada, os acessos abertos em outros aparelhos são encerrados.
• Os cookies de sessão são marcados como seguros (enviados só por HTTPS), inacessíveis a scripts da página (HttpOnly) e restritos ao próprio site (SameSite). Os dados da sessão ficam no servidor.
• O celular do Cliente é confirmado no cadastro por um código enviado por WhatsApp. O login por biometria no aparelho usa um token que o servidor guarda só na forma de hash e troca a cada uso.
• No painel, o Lojista define o papel de cada pessoa da equipe: o operador de balcão tem acesso restrito às funções de atendimento.
• O painel administrativo interno da Cátiva exige segundo fator: além da senha, um código de seis dígitos enviado por e-mail. Cada pessoa da equipe tem conta individual, e mudanças de papel e de acesso ficam registradas.

4. Isolamento entre lojas

Os dados de cada loja são separados por um filtro aplicado automaticamente às consultas dos dados da loja. Uma loja não acessa clientes, pontos, prêmios ou transações de outra, inclusive quando o mesmo cliente participa das duas.

5. Cópias de segurança e continuidade

• O banco de dados é copiado diariamente para um armazenamento privado separado do servidor da aplicação.
• Cada cópia é conferida automaticamente depois de gerada: se o arquivo está completo, se todas as tabelas aparecem e se as tabelas principais têm dados. Falha na conferência gera alerta para a equipe.
• Um monitor externo espera o sinal de cópia concluída todos os dias e alerta a equipe quando ele não chega.
• Os arquivos enviados (como logotipos e fotos) ficam em armazenamento privado, sem acesso público direto.

6. Desenvolvimento e monitoramento

• Erros da aplicação são registrados numa ferramenta de monitoramento (Sentry) com dados técnicos da falha. Corpo das requisições, cookies, endereço IP e identificação do usuário não são enviados, e números longos como CPF e telefone são mascarados.
• Toda alteração de código passa por testes automatizados, formatação e análise estática antes de ser liberada para produção.
• A cada alteração, as dependências do sistema são auditadas contra vulnerabilidades publicadas (composer audit e npm audit).
• Ações administrativas relevantes ficam registradas em trilhas de auditoria.

7. Responsabilidade compartilhada

Parte da segurança depende de quem usa o serviço.

O Lojista deve usar senhas fortes e exclusivas, não compartilhar o acesso entre pessoas, revisar periodicamente quem tem acesso ao painel e com qual papel e retirar na hora o acesso de quem deixou a equipe. Também responde pelo uso do painel nos computadores e celulares da loja.

O Cliente deve manter o celular protegido com bloqueio de tela, não repassar a ninguém os códigos de acesso que recebe por WhatsApp ou e-mail (eles servem só para entrar na conta, e nem a loja nem a Cátiva pedem esses códigos) e sair da conta ao trocar de aparelho.

8. Como relatar uma vulnerabilidade

Se você encontrou uma possível falha de segurança, escreva para [email protected] com o assunto "Vulnerabilidade". Descreva o problema, os passos para reproduzi-lo e o impacto que você observou.

• Confirmamos o recebimento em até 3 dias úteis e mantemos você informado sobre a correção.
• Pedimos que não divulgue a falha publicamente antes da correção.
• Não faça testes ativos sem autorização por escrito da Cátiva: varreduras automatizadas, tentativas repetidas de senha, testes de sobrecarga, acesso a dados de outras pessoas ou de outras lojas e qualquer ação que altere ou apague dados.

9. Comunicação de incidentes

Se ocorrer um incidente de segurança com dados pessoais, a Cátiva avisa as lojas afetadas e informa o que aconteceu, quais dados foram envolvidos e as medidas tomadas. Quando a Cátiva é operadora (dados dos clientes de uma loja), apoia a loja, que é a controladora, na comunicação à ANPD e aos titulares. Quando é controladora (dados do Lojista), comunica diretamente a ANPD e os titulares. Em ambos os casos, a comunicação segue o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024, quando o incidente puder causar risco ou dano relevante.

10. Contato

Dúvidas sobre segurança podem ser enviadas para [email protected].