Política de Segurança da Informação

Última atualização: 19 de setembro de 2026 · English version below

1. Escopo e responsável

Esta política vale para a plataforma YourHub Creators (app.yourhubcreators.com), sua API, o site institucional e os dados de creators, lojistas e das integrações com marketplaces (como o TikTok Shop). O responsável pela política é o CTO; ela é revisada ao menos uma vez por ano e sempre que a forma de tratamento dos dados mudar.

2. Infraestrutura e rede

• Servidor dedicado em nuvem no Brasil (Vultr, São Paulo), atrás da Cloudflare (WAF, proteção contra DDoS e terminação TLS).
• Apenas as portas 80/443 ficam expostas à internet. O acesso administrativo (SSH) é somente por chave, com senha desabilitada e limitação de tentativas (fail2ban).
• Banco de dados e cache respondem apenas localmente, nunca à internet.
• Atualizações de segurança do sistema operacional são aplicadas automaticamente.

3. Controle de acesso

• Perfis de acesso na aplicação: administrador, lojista e creator. Cada usuário enxerga somente os próprios dados.
• Acesso à produção restrito a engenheiros nomeados, por chave SSH individual, seguindo o princípio do privilégio mínimo.
• Tokens de API emitidos por usuário (Laravel Sanctum), com escopo definido e revogáveis a qualquer momento; desativar uma conta revoga todos os seus tokens.
• Contas de nuvem, DNS e hospedagem protegidas com autenticação em dois fatores.

4. Classificação e criptografia de dados

• Público: conteúdo do site. Interno: métricas e configurações. Confidencial: dados pessoais, credenciais e tokens de integração.
• Todo o tráfego usa TLS 1.2 ou superior (Cloudflare + Let's Encrypt).
• Senhas armazenadas com hash (bcrypt); tokens de API armazenados com hash (SHA-256); tokens OAuth de marketplaces (por exemplo, TikTok Shop) armazenados criptografados (AES-256-CBC) e nunca enviados ao navegador.
• Backups criptografados, com retenção limitada a 30 dias.

5. Estações de trabalho

Os equipamentos da equipe usam antivírus com proteção em tempo real e atualização automática, disco criptografado, bloqueio automático de tela, senhas fortes gerenciadas por gerenciador de senhas e nenhuma conta compartilhada.

6. Gestão de vulnerabilidades

Dependências monitoradas com composer audit e npm audit e corrigidas; regras gerenciadas do WAF da Cloudflare ativas; alterações de código revisadas antes de ir ao ar. Vulnerabilidades críticas são corrigidas em até 48 horas.

7. Resposta a incidentes

Procedimento: detecção → contenção → erradicação → recuperação → análise pós-incidente. O responsável é o CTO. Qualquer suspeita pode ser reportada em [email protected]. Em caso de violação confirmada, os lojistas, creators e parceiros afetados (incluindo o TikTok Shop) são notificados em até 72 horas, com escopo, dados envolvidos, impacto e medidas adotadas, seguidos de relatório escrito.

8. Integrações com marketplaces

• Lemos apenas o que é necessário para mostrar os produtos aos creators e atribuir vendas: informações da loja, catálogo e pedidos. Não alteramos anúncios do lojista.
• O lojista pode desautorizar a integração a qualquer momento; ao fazer isso, ou ao término da relação contratual, os dados obtidos da integração (tokens, produtos, pedidos e dados de clientes) são excluídos em até 30 dias.

9. Direitos dos titulares e proteção de dados

Seguimos a LGPD (Lei 13.709/2018). Pedidos de acesso, correção, exportação ou exclusão de dados são atendidos em até 15 dias pelo e-mail [email protected]. Veja também a Política de Privacidade.

Information Security Policy (English)

Scope. This policy covers the YourHub Creators platform, its API, the marketing site and the data of creators, merchants and marketplace integrations (such as TikTok Shop). Owner: CTO. Reviewed at least annually.

Infrastructure. Dedicated cloud server in Brazil (Vultr, São Paulo) behind Cloudflare (WAF, DDoS protection, TLS termination). Only ports 80/443 are exposed; SSH is key-only with password login disabled and fail2ban; database and cache listen on localhost only; OS security updates are automatic.

Access control. Role-based access (admin / merchant / creator); each user only sees their own data. Production access limited to named engineers via individual SSH keys (least privilege). Per-user, scoped, revocable API tokens. MFA on cloud, DNS and hosting accounts.

Data classification and encryption. Public / Internal / Confidential (personal data, credentials, integration tokens). TLS 1.2+ everywhere. Passwords hashed (bcrypt), API tokens hashed (SHA-256), marketplace OAuth tokens encrypted at rest (AES-256-CBC) and never sent to the browser. Encrypted backups, 30-day retention.

Endpoints. Real-time antivirus with automatic updates, full-disk encryption, automatic screen lock, strong passwords in a password manager, no shared accounts.

Vulnerability management. composer audit / npm audit, Cloudflare WAF managed rules, code review before deploy; critical issues fixed within 48 hours.

Incident response. Detection → containment → eradication → recovery → post-mortem. Owner: CTO. Report to [email protected]. Affected merchants, creators and partners (including TikTok Shop) are notified within 72 hours of a confirmed breach, followed by a written report.

Marketplace integrations and retention. We only read shop, catalog and order information needed to show products to creators and attribute sales; we never modify listings. When a merchant de-authorizes the app or the contract ends, all integration data (tokens, products, orders, customer data) is deleted within 30 days, and backups expire within 30 days.

Data subject rights. Under the Brazilian LGPD (Law 13.709/2018), access, correction, export and deletion requests are answered within 15 days via [email protected]. Data Protection Officer contact: [email protected].