Política de Segurança

1. Enquadramento

A segurança é um princípio estruturante do GuestFlow Pro, aplicado ao ciclo de vida do software, à infraestrutura contratada a fornecedores certificados (Supabase, Stripe, Twilio, Cloudflare) e às operações internas de SPIDERGENEROSITY UNIPESSOAL LDA.

2. Criptografia

• Em trânsito: todo o tráfego é servido sobre HTTPS com TLS 1.2 ou superior; HSTS ativo, certificados geridos por Cloudflare.
• Em repouso: base de dados PostgreSQL cifrada com AES-256; ficheiros em storage cifrados; segredos protegidos em cofre com rotação.
• Palavras-passe: nunca armazenadas em claro; hashing forte via fornecedor de autenticação (Supabase Auth).

3. Controlo de acessos e RLS

• Isolamento multi-tenant através de Row Level Security aplicada em todas as tabelas de dados de negócio, com predicado organization_id = auth.uid().
• Modelo de papéis (owner, admin, manager, staff) e funções SECURITY DEFINER auditadas.
• Chaves de serviço mantidas apenas em ambiente de servidor, nunca expostas ao navegador.
• Aplicação do princípio do menor privilégio e revisão periódica de acessos internos.

4. Autenticação

• Autenticação por email e palavra-passe através do Supabase Auth.
• Renovação segura de sessão com rotating refresh tokens.
• Fluxos de recuperação de palavra-passe com tokens de utilização única.
• Convites com validade limitada para novos membros de equipa.

5. Backups e recuperação

• Backups automáticos diários da base de dados.
• Retenção mínima de 7 dias, com point-in-time recovery nos planos aplicáveis do fornecedor de infraestrutura.
• Testes periódicos de restauro registados no back office de Super Admin (SLA máximo de 90 dias entre testes).
• Objetivos-alvo: RPO ≤ 24 horas; RTO ≤ 8 horas para incidentes major.

6. Logs e auditoria

• Registo imutável (audit log) de ações privilegiadas: gestão de utilizadores, alterações de plano, reembolsos, exportações, apagamentos.
• Logs aplicacionais e de webhooks Stripe/Twilio conservados por 12 meses.
• Registos de comunicações SMS/WhatsApp/email para fins de prova de entrega.

7. Monitorização

• Health endpoint público em /api/public/health e painel interno de estado.
• Alertas automáticos para falhas de webhook Stripe, falhas de envio SMS e indisponibilidade do serviço.
• Notificações operacionais para o contacto de plantão do Prestador.

8. Gestão de incidentes

• Procedimento formal de resposta a incidentes com classificação de severidade.
• Notificação ao Cliente em regra até 48 horas após conhecimento de incidente com impacto em dados pessoais, nos termos do DPA.
• Notificação à CNPD em 72 horas quando aplicável (art. 33.º RGPD).
• Análise post-mortem e adoção de medidas corretivas.

9. Segurança operacional

• Ciclo de desenvolvimento com revisão de código, testes automatizados e linters de segurança.
• Análise de dependências e correção de vulnerabilidades conhecidas.
• Ambientes segregados (desenvolvimento, staging, produção) com dados sintéticos em ambientes não produtivos.

10. Divulgação responsável

Vulnerabilidades podem ser reportadas de forma confidencial para support@guestflowpro.app, com o assunto "Security Disclosure". Comprometemo-nos a acusar receção em 3 dias úteis e a manter o reportante informado da evolução da análise.