Abordagem de segurança
A Sytance aplica salvaguardas técnicas e organizativas ao serviço alojado, ao ciclo de desenvolvimento de software e às operações de suporte. Os controlos são selecionados e revistos em função das informações tratadas, da arquitetura do serviço, das ameaças credíveis e do potencial impacto nos clientes.
Esta página é uma descrição pública geral, não um relatório de auditoria, certificação, resultado de teste de intrusão ou anexo contratual de segurança. Requisitos específicos dos clientes relativos a segurança, garantias, localização de dados ou notificações têm de ser acordados através do processo comercial aplicável.
Identidade e acesso
- O acesso baseia-se em contas individuais de utilizador e permissões atribuídas por função.
- Os administradores dos clientes gerem os membros e a atribuição de funções na respetiva organização e nos respetivos espaços de trabalho.
- Os pedidos de acesso ao Conteúdo do Cliente são verificados de acordo com as regras de acesso ao nível do cliente, do espaço de trabalho e do objeto.
- As sessões autenticadas utilizam cookies HTTP-only definidos pelo servidor e proteções contra pedidos entre sites no ambiente de produção.
- O acesso de suporte administrativo autorizado limita-se ao ambiente do cliente em causa e é registado.
Separação entre clientes e proteção de dados
- Os controlos da aplicação e da base de dados ajudam a manter separados os registos de diferentes clientes.
- O tráfego de navegador e API em produção é protegido em trânsito através de HTTPS no limite público do serviço.
- Os ficheiros e conteúdos multimédia dos clientes são disponibilizados através de rotas autenticadas, e não por ligações públicas sem restrições.
- Algumas pré-visualizações e transferências utilizam ligações de acesso com validade limitada.
- Os campos conhecidos de credenciais, tokens, cookies e segredos são excluídos dos registos normais da aplicação ou aí ocultados.
- O acesso aos dados limita-se à funcionalidade do serviço, instrução do cliente, necessidade de suporte ou responsabilidade operacional que o exija.
Desenvolvimento seguro e gestão de alterações
- Temos em conta os requisitos e a arquitetura de segurança ao conceber e rever as funcionalidades pertinentes.
- A revisão de código e as verificações automatizadas ajudam a identificar defeitos antes da implementação.
- As alterações são disponibilizadas através de práticas controladas de compilação e implementação, com separação entre as atividades de desenvolvimento e a operação em produção.
- As dependências e vulnerabilidades comunicadas são avaliadas em função da sua pertinência, explorabilidade, exposição e potencial impacto no Serviço.
Monitorização e resposta a incidentes
Os eventos de autenticação, permissões, administração, aplicação e infraestrutura relevantes para a segurança são registados ou monitorizados, quando adequado, para apoiar a deteção, investigação e prestação de contas.
A autenticação e alguns pontos de acesso públicos utilizam limites de pedidos e controlos de prevenção de utilização abusiva. Os incidentes suspeitos são avaliados através de um processo que abrange triagem, contenção, investigação, correção, recuperação e lições aprendidas.
Se um incidente exigir uma notificação a clientes ou entidades reguladoras, efetuá-la-emos em conformidade com a lei aplicável e o acordo pertinente com o cliente.
Se suspeitar que uma conta foi comprometida, contacte support@sytance.com; se suspeitar de uma vulnerabilidade ou exposição de dados, contacte security@sytance.com. Indique a conta ou o ativo afetado, a hora e o comportamento observado, mas não envie palavras-passe, tokens de sessão ou ficheiros de clientes desnecessários. Poderemos indicar um método seguro para a troca de evidências adicionais.
Quando tratarmos dados pessoais afetados por conta de um Cliente, as notificações e a cooperação relativas ao incidente seguem o Anexo A dos Termos de Serviço. A notificação inicial não é adiada até todos os factos estarem apurados; as informações subsequentes são fornecidas à medida que a investigação avança.
Tratamento assistido por IA
As ações assistidas por IA são executadas em fluxos de trabalho autenticados do produto. O serviço envia as instruções e o contexto do espaço de trabalho pertinentes para a função solicitada, e o resultado continua sujeito à revisão do cliente.
Gestão de vulnerabilidades
As potenciais vulnerabilidades podem ser identificadas através de verificações de desenvolvimento, monitorização operacional, informações sobre dependências, comunicações de clientes ou investigadores e avaliações de segurança direcionadas. As conclusões são validadas e priorizadas com base em fatores de risco que incluem gravidade, explorabilidade, exposição, dados e utilizadores afetados, evidências de exploração ativa e medidas de mitigação disponíveis.
Investigadores externos podem comunicar uma vulnerabilidade suspeita através do nosso processo de divulgação coordenada. A política define a investigação autorizada, os requisitos de comunicação, os prazos de resposta previstos, a salvaguarda jurídica e a coordenação da divulgação.
Questões e pedidos de informação sobre segurança
Os clientes e potenciais clientes podem colocar questões de segurança ou solicitar informações de suporte através de hello@sytance.com ou do contacto comercial habitual. Os pedidos devem ser proporcionais às suas necessidades. Os clientes existentes devem utilizar support@sytance.com para comunicar suspeitas de comprometimento de conta ou problemas de segurança que afetem o serviço.
Comunique em privado uma vulnerabilidade suspeita para security@sytance.com, de acordo com a Política de Divulgação de Vulnerabilidades.
As informações de segurança podem ser partilhadas ao abrigo de condições proporcionais de confidencialidade e acesso, para evitar a exposição de outros clientes ou de detalhes técnicos exploráveis. Um pedido de garantias não autoriza testes de intrusão. Os direitos contratuais de auditoria e os poderes legais das entidades reguladoras continuam a ser regidos pelo acordo aplicável e pela lei.
