Segurança

Seguimos práticas de segurança orientadas pelas normas ISO/IEC 27001 e SOC 2, mas não possuímos certificação vigente (veja abaixo). O programa é de responsabilidade da nossa liderança de engenharia, é revisado pelo menos anualmente e se aplica a todos os funcionários, prestadores de serviços e suboperadores que acessam dados dos clientes.

• Em trânsito: TLS 1.2 ou superior para todas as conexões com o Serviço. O HSTS está ativado no site público.
• Em repouso: AES-256 no armazenamento gerenciado de bancos de dados e de objetos.
• Segredos: As chaves de API e credenciais são armazenadas em um repositório gerenciado de segredos e rotacionadas de acordo com um cronograma documentado.

• Controle de acesso baseado em funções, com configurações padrão de privilégio mínimo.
• Autenticação multifator obrigatória para todo acesso administrativo a sistemas de produção e repositórios de código-fonte.
• O acesso ao ambiente de produção é limitado a um pequeno grupo de engenheiros com necessidade de negócio documentada e é registrado em logs.
• Suporte a SSO (Google) para contas de clientes; SAML/SCIM disponíveis no plano Agency.

• Hospedagem na rede de borda da Cloudflare, com proteção contra DDoS e firewall de aplicações web.
• Postgres gerenciado na Supabase (região da UE), com backups automatizados e recuperação para um ponto no tempo.
• Segmentação de rede entre as camadas pública, de aplicação e de dados.
• Logs centralizados e monitoramento contínuo de atividades anômalas.

• Todas as alterações passam por revisão de código e testes automatizados antes do merge.
• A verificação de dependências, a análise estática e a detecção de segredos são executadas a cada commit.
• Os deploys em produção são auditáveis e reversíveis.
• Os engenheiros recebem treinamento anual em desenvolvimento seguro e privacidade.

• Os backups do banco de dados são realizados continuamente e mantidos por pelo menos 7 dias; os snapshots diários são mantidos por 30 dias.
• Os procedimentos de recuperação são testados anualmente, com objetivos de RTO e RPO documentados.
• A infraestrutura crítica opera em múltiplas regiões ou zonas de disponibilidade para garantir resiliência.

Mantemos um plano documentado de resposta a incidentes que abrange detecção, contenção, erradicação, recuperação e análise pós-incidente. Os clientes afetados são notificados sobre violações confirmadas de dados pessoais sem demora indevida e em até 72 horas, conforme exigido por nossa DPA.

Convidamos pesquisadores de segurança a relatar suspeitas de vulnerabilidades para security@citations.io. Siga as orientações da nossa Política de Uso Aceitável - não tomaremos medidas legais contra pesquisas de boa-fé que sigam essas orientações e daremos crédito aos pesquisadores (com sua permissão) assim que uma correção for disponibilizada.

Leis de privacidade

O Serviço foi projetado para ajudar os clientes a cumprir o GDPR do Reino Unido, o GDPR da UE e a Lei de Privacidade do Consumidor da Califórnia (conforme alterada pela CPRA). Consulte nossa Política de Privacidade e DPA.

SOC 2 / ISO 27001

O SOC 2 Tipo II está no nosso roteiro de conformidade. Embora ainda não tenhamos a certificação, os controles subjacentes descritos acima já estão implementados. Clientes com acordo de confidencialidade (NDA) podem solicitar nosso questionário de segurança atual e uma visão geral da arquitetura.

• Escolha senhas fortes e exclusivas e ative a autenticação multifator (MFA) na sua conta.
• Gerencie prontamente o acesso da sua equipe quando alguém entrar ou sair.
• Trate chaves de API e credenciais de integração como informações secretas.
• Comunique qualquer suspeita de comprometimento da conta a security@citations.io imediatamente.