Segurança dos dados no ControlBid

1. Uma empresa nunca vê os dados de outra

O isolamento entre empresas é feito por regras de segurança do próprio banco de dados (Row Level Security), ligadas em todas as tabelas. Mesmo que uma tela tivesse um erro, o banco recusaria entregar dados de outra empresa.

Dentro da empresa, o administrador aprova quem entra e define o papel de cada pessoa.

2. Criptografia

• O site e a plataforma são servidos por HTTPS (TLS), e o navegador é instruído a usar só HTTPS nas visitas seguintes (HSTS). A comunicação com o banco de dados e com os fornecedores também é sempre criptografada.
• O banco de dados e os arquivos ficam em infraestrutura com criptografia em repouso do provedor.
• Os arquivos enviados (anexos, documentos, logotipos) ficam em armazenamento privado. Só usuários autorizados da empresa conseguem baixá-los.

3. Senhas, login e chaves

• A senha é guardada cifrada pelo provedor de login. Ninguém do ControlBid tem acesso a ela, e a recuperação é sempre por link enviado ao e-mail cadastrado.
• O cadastro só é ativado depois da confirmação do e-mail.
• Chaves de acesso privilegiado do sistema ficam apenas nos servidores, nunca no navegador ou no código do site.
• Credenciais de automações internas são guardadas apenas em forma de hash, não em texto.

4. Proteções no navegador

• Política de segurança de conteúdo (CSP) que só permite carregar scripts de origens conhecidas.
• O site não pode ser embutido em páginas de terceiros (proteção contra clickjacking).
• Permissões de câmera, microfone, localização e pagamento do navegador ficam desligadas.
• Proteção contra ataques de negação de serviço pela rede da Cloudflare.

5. Pagamentos

O pagamento é feito no ambiente da ValidaPay. O número do cartão, a validade e o código de segurança são digitados lá e nunca passam pelos servidores do ControlBid. Guardamos só o plano, a situação e o histórico das cobranças.

6. Inteligência artificial

Para as funções de IA, enviamos ao provedor (Google Gemini) apenas o conteúdo necessário para aquela tarefa. Não usamos os dados das empresas para treinar modelos. Cada uso de IA fica registrado (função, quantidade e custo), sem guardar o conteúdo enviado nesse registro.

7. Operação e acesso interno

• O acesso administrativo à plataforma é restrito a poucas pessoas da equipe, e as ações administrativas sensíveis ficam registradas.
• Mudanças no sistema passam por testes automáticos antes de ir ao ar, inclusive testes que verificam o isolamento entre empresas e as regras de segurança do site.
• Os fornecedores de infraestrutura são empresas reconhecidas no mercado, listadas na Política de Privacidade.

8. Se algo acontecer

Em caso de incidente, agimos para conter o problema, avaliamos o impacto, corrigimos a causa e avisamos as empresas afetadas em até 48 horas depois de confirmado. Quando houver risco relevante aos titulares, comunicamos também a ANPD e os titulares, como manda a regulamentação.

9. O que a sua empresa pode fazer

• Use uma senha forte e exclusiva para o ControlBid.
• Dê a cada pessoa o próprio acesso; não compartilhe login.
• Remova o acesso de quem sair da empresa.
• Desconfie de e-mail pedindo senha: o ControlBid nunca pede senha por e-mail ou WhatsApp.

10. Encontrou uma falha?

Se você encontrar uma possível vulnerabilidade, avise pelo WhatsApp (22) 99829-0506 antes de divulgar. Agradecemos e respondemos o mais rápido possível. Não acesse, altere ou baixe dados de outras pessoas ao testar.