Segurança e seus arquivos

Não vendemos seus dados pessoais, não exibimos anúncios direcionados e não usamos cookies de publicidade nem cookies de rastreamento de terceiros. A Política de Segurança de Conteúdo (Content Security Policy) do site só permite que nossas páginas se conectem ao nosso próprio domínio (connect-src 'self').

Você não precisa de conta para usar as ferramentas. Nossas estatísticas são próprias: nunca armazenamos o seu endereço IP original; nós o transformamos em um token com hash usando um segredo que muda todos os dias. Os registros das ferramentas nunca contêm o nome nem o conteúdo dos seus arquivos, apenas a ferramenta, onde ela rodou, se funcionou, quanto tempo levou e uma faixa aproximada de tamanho.

O arquivo é lido e processado dentro do seu navegador, e você baixa o resultado pelo próprio navegador. O arquivo não é enviado a nenhum servidor. Isso vale para a maioria das ferramentas de PDF e imagem, como juntar, dividir, girar, assinar o seu próprio arquivo e comprimir imagens.

Algumas ferramentas precisam de programas que não funcionam bem no navegador, como as conversões de Office e o OCR. Nesses casos, o seu arquivo é enviado por uma conexão criptografada ao nosso serviço de conversão, que o processa e o apaga assim que o seu resultado é enviado.

Resumir PDF, Traduzir PDF e Pergunte ao seu PDF extraem o texto do seu arquivo e enviam esse texto, não o arquivo, à Anthropic por uma conexão criptografada. Os detalhes estão na seção IA. Recomendamos não usar essas ferramentas com documentos muito sensíveis.

Quando você pede que outras pessoas assinem um documento, nós o guardamos até que todos tenham assinado: o documento, os nomes e e-mails dos signatários e um registro de auditoria de cada etapa. Este recurso é exclusivo para quem tem conta. Por quanto tempo guardamos está em Retenção e exclusão.

Não existe um “certificado RGPD” oficial, e não afirmamos ter um. Mas aplicamos os seus princípios: coletamos o mínimo de dados que conseguimos, definimos um prazo para tudo o que guardamos e explicamos onde cada arquivo é processado. Entre os seus direitos estão:

• Exclusão: exclua a sua conta você mesmo na página “Minha conta”.
• Retificação: altere seu nome e idioma na página “Minha conta”; para qualquer outra coisa, envie-nos um e-mail.
• Acesso e portabilidade: peça uma cópia dos dados da sua conta em [email protected].

Aplicamos práticas das orientações da OWASP sobre segurança de aplicações web, entre elas:

• Política de Segurança de Conteúdo (CSP): scripts e conexões ficam restritos ao nosso domínio, e o site não pode ser incorporado em outros sites.
• Proteção contra SSRF: HTML para PDF e HTML para imagem aceitam apenas links http e https públicos, e verificamos o endereço IP a cada conexão e a cada redirecionamento, para que nenhuma requisição chegue à nossa rede interna.
• Renderização isolada: o navegador que renderiza as páginas web não tem acesso direto à internet; cada requisição dele passa por essa mesma verificação, e os scripts ficam desativados por padrão nos arquivos HTML enviados. As macros de arquivos do Office nunca são executadas, e cada conversão roda em um processo próprio, com limite de tempo e um teto para o que pode gravar.

O Iraque tem a Lei de Assinatura Eletrônica e Transações Eletrônicas nº 78 de 2012. As assinaturas no Safha são assinaturas eletrônicas simples: guardamos um registro de auditoria com o horário de cada etapa e uma impressão digital SHA-256 do documento original e do final. Elas não são assinaturas certificadas por uma autoridade certificadora, e não damos orientação jurídica sobre a sua validade. Se o seu documento precisa de uma assinatura com um valor jurídico específico, consulte um profissional da área jurídica.

• ISO/IEC 27001: estruturação de um sistema de gestão de segurança da informação de acordo com esse padrão, antes de uma avaliação independente.
• Um teste de intrusão independente feito por uma empresa externa.
• Autenticação em dois fatores para contas de administrador.
• Criptografia em repouso para os arquivos de solicitações de assinatura.

O Safha roda em um servidor alugado da Contabo GmbH, cuja faixa de endereços está registrada na Alemanha segundo o registro do RIPE NCC. Cada serviço roda no seu próprio contêiner Docker gerenciado com Coolify: o aplicativo do site, o serviço de conversão e um banco de dados PostgreSQL.

O tráfego do site passa pela rede da Cloudflare, cujo serviço inclui proteção automática contra ataques distribuídos de negação de serviço (DDoS). Dentro do servidor, o banco de dados fica em uma rede interna isolada da internet, e o serviço de conversão não aceita conexões de fora: só o aplicativo do site consegue acessá-lo, com um token secreto compartilhado.

• Todo o site funciona por HTTPS, e as requisições HTTP são redirecionadas para HTTPS.
• As conexões oferecem suporte a TLS 1.3.
• Enviamos um cabeçalho HSTS de dois anos (max-age=63072000; includeSubDomains), para que o seu navegador só abra o site por uma conexão criptografada.
• A conexão entre a Cloudflare e o nosso servidor também é criptografada, com um certificado TLS válido.

Guardamos pouco no servidor: contas, fluxos de trabalho, currículos salvos e estatísticas no banco de dados, e os arquivos das solicitações de assinatura no disco do servidor. Senhas e tokens dos links de assinatura são armazenados apenas como hashes (bcrypt e SHA-256). Para deixar claro: hoje não criptografamos em repouso o banco de dados nem os arquivos das solicitações de assinatura com uma chave própria; eles são protegidos pelo isolamento de rede e pelas permissões do servidor.

O Safha tem apenas duas funções: membro e administrador. O painel de administração só abre para uma conta com a função de administrador, e verificamos essa função no servidor duas vezes: ao acessar o painel e, depois, em cada página e ação dentro dele. Alterar a função de uma conta ou suspendê-la encerra as suas sessões imediatamente.

• O serviço de conversão roda com um usuário que não é root, em um sistema de arquivos somente leitura, e grava apenas em uma pasta temporária em memória.
• Ele lê os seus segredos uma única vez ao iniciar e depois abre mão dos privilégios de root; esses segredos nunca chegam aos processos de conversão.
• A chave da Anthropic fica apenas no serviço de conversão; ela nunca chega ao aplicativo do site nem ao navegador.
• A senha do banco de dados e a chave de assinatura das sessões são geradas pela plataforma de implantação; ninguém as digita à mão.

Hoje não oferecemos autenticação em dois fatores para contas de administrador, e não vamos afirmar o contrário. Até a adicionarmos, a primeira senha de administrador é gerada aleatoriamente pela plataforma de implantação, e as tentativas de login são limitadas como em qualquer conta.

As ações que chegam aos dispositivos dos usuários, como enviar notificações e publicar versões do app, são registradas com a identidade do administrador e o horário.