Security Whitepaper

Segurança e privacidade na Hober

Como protegemos os dados que nossos clientes nos confiam. Cada compromisso abaixo corresponde a um controle concreto já implementado na plataforma — não a uma aspiração. Quando um recurso ainda não existe, dizemos isso claramente mais adiante.

Isolamento entre inquilinos (tenants)

Os dados de cada inquilino são isolados na camada de banco de dados com Row-Level Security (RLS) do PostgreSQL, e as tabelas com dados sensíveis rodam em modo FORCE — de modo que nem o próprio papel de banco de dados da aplicação consegue ler entre inquilinos. O acesso é restrito por requisição a um único inquilino por meio de uma variável de sessão definida dentro de cada transação; a chave de API de um inquilino nunca alcança os assinantes, canais ou credenciais de outro.

Criptografia

Os dados são criptografados em trânsito (TLS) e em repouso. Segredos e credenciais são protegidos com criptografia de envelope apoiada pelo Google Cloud KMS: cada credencial é selada com sua própria chave de dados AES‑256‑GCM, que por sua vez é envolvida por uma chave do KMS e nunca é armazenada em texto puro. Chaves distintas separam credenciais de canal, segredos de duplo fator e tokens OAuth. Um despejo do banco de dados, por si só, não revela nenhum segredo utilizável.

Seus direitos sobre os dados (GDPR / CCPA / LGPD)

• Acesso e portabilidade — um portal de autoatendimento permite que um assinante (ou um cliente em seu nome) solicite uma cópia de seus dados. A portabilidade no nível da conta — exportação completa e saída garantida — é um compromisso por escrito: veja nossa Política de Portabilidade de Dados.
• Direito à eliminação — as solicitações de exclusão se propagam pelos registros do assinante e anonimizam os registros históricos de entrega; as exclusões são irreversíveis e auditadas.
• Consentimento, aplicado no envio — cada mensagem é verificada contra o consentimento do destinatário antes da entrega; um consentimento retirado suprime a entrega automaticamente.
• Registro de consentimento imutável — cada mudança de consentimento é registrada em um livro somente‑anexação (append‑only).

Consulte nosso Adendo de Tratamento de Dados, a lista de subprocessadores e a central de preferências.

Retenção de dados

Os registros de entrega são mantidos por 90 dias e depois anonimizados. Os registros de auditoria de exclusão são mantidos por 7 anos como evidência de conformidade. Os dados pessoais são mantidos até que a eliminação seja solicitada.

Autenticação e proteção de contas

• Autenticação multifator (TOTP) para os usuários de clientes e para o nosso próprio console de equipe/operador.
• Sessões assinadas com RS256 (RSA) e tokens de curta duração.
• Bloqueio de conta após tentativas repetidas de login ou MFA malsucedidas.
• Redefinição de senha e login com OAuth 2.0.

Acesso com privilégio mínimo

• Papéis de banco de dados por binário: cada serviço roda com seu próprio papel de banco de dados de escopo restrito, sem capacidade de alterar o esquema em tempo de execução.
• Controle de acesso baseado em papéis dentro de cada inquilino.
• Nosso plano de operador interno é separado do acesso a dados de clientes, exige MFA e grava em seu próprio registro de auditoria.

Testes e gestão de vulnerabilidades

• Uma suíte de segurança automatizada roda contra o staging antes de qualquer versão ser promovida para produção — verificando a criptografia em repouso, os limites de acesso e que nenhum segredo vaze para registros ou filas.
• Varredura de imagens de contêiner a cada build (uma vulnerabilidade crítica interrompe o build) mais atualizações automáticas de dependências.
• Análise estática e linting validam cada mudança.
• Uma suíte dedicada de testes de penetração exercita caminhos de ataque de autenticação, sessão e isolamento de tenants antes de cada lançamento, e um papel de teste permanente de privilégio mínimo apoia avaliações de segurança externas.

Infraestrutura e subprocessadores

A Hober roda no Google Cloud (Cloud Run, Cloud SQL, Cloud KMS, Pub/Sub), com os dados armazenados nos Estados Unidos (região us‑central1). Usamos um conjunto pequeno e divulgado de subprocessadores — consulte a lista de subprocessadores e seu histórico de alterações.

Notificação de violações

Comprometemo‑nos a notificar os controladores afetados sobre uma violação de dados pessoais em até 72 horas (GDPR) / 2 dias úteis para violações de alto risco (LGPD).

Certificações e roadmap

Acreditamos em ser francos sobre onde estamos. A Hober atualmente não possui certificações SOC 2, ISO 27001 ou HIPAA. Uma auditoria SOC 2 Tipo I e a residência de dados na UE (europe‑west1) estão em nosso roadmap, e atualizaremos esta página quando se concretizarem — não as afirmaremos antes de serem reais.

Mapa de controles

Relatar uma vulnerabilidade

Encontrou um problema de segurança? Queremos saber. Escreva para security@hober.io com os detalhes e os passos para reproduzir. Confirmaremos seu relato e o manteremos informado sobre a correção. Pedimos que nos dê um prazo razoável para remediar antes de qualquer divulgação pública.

Nosso security.txt legível por máquinas está em /.well-known/security.txt.

No escopo: as propriedades web da Hober (hober.io e seus subdomínios), o painel, a API pública e os SDKs publicados.

Fora do escopo: testes de negação de serviço ou volumétricos, engenharia social ou phishing contra a equipe ou clientes da Hober, ataques físicos, e achados que exijam um dispositivo já comprometido ou credenciais roubadas.

Porto seguro: não iniciaremos nem apoiaremos ações legais contra pesquisa de segurança de boa-fé que permaneça no escopo, evite violações de privacidade e interrupções do serviço, e conceda um prazo razoável de remediação antes da divulgação pública. Atualmente não temos um programa de recompensas pago — dizemos isso claramente em vez de sugerir o contrário.