Saltar para o conteúdo

Confiança

Como mantemos a Route Royal segura

Os seus clientes, negócios e documentos estão na Route Royal, por isso protegê-los faz parte do produto. É assim que o fazemos, e eis o que ainda não afirmamos.

Fale connosco sobre segurançaComunicar uma vulnerabilidade

  1. Um pedido da sua equipa

  2. HTTPSEncriptado pelo caminho
  3. Sessão iniciadaSabemos quem está a pedir
  4. A sua organizaçãoDados dela, de mais ninguém
  5. PermissõesTem permissão para isto?
  6. ValidadoCada campo verificado
  7. Os seus dadosPermitido

Verificado em cada paragem e depois deixado passar.

Onde estamos

Fiéis às normas, honestos quanto às certificações

Seguimos os referenciais abaixo porque são boas práticas. A Route Royal não tem certificação ISO 27001 e não foi alvo de uma auditoria SOC 2. Quando isso mudar, esta página dirá.

  • ISO/IEC 27001

    As nossas políticas e controlos de segurança seguem a ISO 27001 e o seu Anexo A: risco, acesso, fornecedores, operações, incidentes e continuidade.

    Seguido, não certificado

  • SOC 2

    Trabalhamos segundo os Trust Services Criteria de segurança, disponibilidade e confidencialidade.

    Seguido, não certificado

  • RGPD

    Tratamos dados pessoais como deve fazer um subcontratante: apenas mediante as suas instruções, ao abrigo de um acordo de tratamento de dados e respeitando os direitos das pessoas a quem dizem respeito.

    Seguido, não certificado

  • OWASP Top 10

    Desenvolvemos a plataforma e a sua API para as proteger dos riscos mais comuns das aplicações web.

    Seguido, não certificado

Princípios

Seis princípios por trás de cada decisão

  1. 01

    Privilégio mínimo

    Pessoas, serviços e IA recebem apenas o acesso de que a sua tarefa precisa, e perdem-no quando a tarefa termina.

  2. 02

    Defesa em profundidade

    Nenhum controlo funciona sozinho. Encriptação, permissões, validação e monitorização reforçam-se mutuamente.

  3. 03

    Seguro por predefinição

    A definição segura é aquela com que começa: HTTPS em todo o lado, chaves guardadas apenas como hashes e alterações da IA que aguardam por si.

  4. 04

    Privacidade desde a conceção

    Os dados de cada organização são mantidos separados, e recolhemos apenas o que o serviço precisa para funcionar.

  5. 05

    As pessoas decidem

    O Q prepara o trabalho, mas nada muda até que a pessoa que o pediu o confirme.

  6. 06

    Transparência

    Dizemos o que fazemos e o que não fazemos, e avisamos rapidamente quando algo corre mal.

Na prática

Como protegemos a plataforma

Os controlos por trás desses princípios, área a área.

Nesta página
  1. Infraestrutura
  2. Encriptação
  3. Segurança da aplicação
  4. A nossa equipa
  5. Desenvolver e alterar a Route Royal
  6. Monitorização e resposta
  7. A IA e os seus dados

Infraestrutura

  • A Route Royal funciona em fornecedores de nuvem consolidados, cujos centros de dados têm certificação ISO 27001 e cujos serviços são auditados segundo o SOC 2 Type II.
  • A segurança física dos centros de dados, do controlo de entradas à monitorização permanente, é assegurada por esses fornecedores e abrangida pelas suas auditorias.
  • A nossa base de dados funciona num serviço gerido, com cópias de segurança automáticas.
  • A produção é mantida separada do desenvolvimento e dos testes, e os nossos serviços são executados por utilizadores sem privilégios.

Encriptação

  • Todas as ligações à Route Royal usam HTTPS, e os navegadores são instruídos a nunca se ligarem de outra forma (HSTS).
  • Os dados são encriptados em repouso pelos nossos fornecedores de base de dados e de armazenamento.
  • As credenciais que nos fornece para serviços ligados, como o seu token da Sumsub, são encriptadas antes de serem guardadas.

Segurança da aplicação

  • Os dados de cada organização são mantidos separados. Cada pedido é verificado face à organização a que se destina e às permissões de quem o faz.
  • As chaves de API são guardadas apenas como hashes, com um prefixo curto para as poder distinguir. As chaves publicáveis são só de leitura; as chaves secretas ficam no seu servidor.
  • Os webhooks são assinados com um segredo próprio de cada subscrição (HMAC-SHA256), para que possa verificar que vieram de nós.
  • Cada pedido é validado, a API tem limites de taxa e os navegadores recebem cabeçalhos de segurança rigorosos, incluindo uma política de segurança de conteúdo.

Experimente: o que guardamos de uma chave

O que guardamos

Prefixo
sk_demo_…
Hash SHA-256

Calculado no seu navegador, por isso nada do que escreve sai desta página. Um hash não pode ser convertido de volta na chave, por isso nem nós a conseguimos ler.

A nossa equipa

  • A equipa só acede aos sistemas de produção e aos dados de clientes quando a sua função o exige, e o acesso é revisto e retirado quando deixa de ser necessário.
  • As contas da equipa estão protegidas por autenticação multifator.
  • Todos os membros da equipa assinam um acordo de confidencialidade e recebem formação em segurança quando entram.
  • Só consultamos os seus dados quando nos pede para o fazer no âmbito do suporte, ou quando temos de o fazer para manter o serviço seguro ou cumprir a lei.

Desenvolver e alterar a Route Royal

  • As alterações são revistas e testadas antes de chegarem à produção.
  • Cada compilação verifica as nossas dependências quanto a vulnerabilidades conhecidas e analisa o código, e é interrompida perante resultados críticos. Uma verificação semanal deteta novos alertas de segurança.
  • Não copiamos dados de clientes para ambientes de desenvolvimento ou de testes.

Monitorização e resposta

  • Os nossos serviços são rastreados e medidos, e a equipa é alertada quando algo parece errado.
  • Cada início de sessão fica no histórico de inícios de sessão da pessoa, e as alterações de início de sessão único, sincronização de diretório e marcações ficam no registo de auditoria da sua organização.
  • Quando ocorre um incidente, contemo-lo, corrigimos a causa e analisamos o que aprendemos. Se afetar os seus dados, informamo-lo sem demora injustificada, com o que sabemos, para que possa cumprir as suas próprias obrigações.

A IA e os seus dados

  • O Q trabalha como a pessoa que pergunta, dentro das suas permissões, e cada alteração que faz aguarda a confirmação dessa pessoa.
  • O Claude e o ChatGPT, ligados via MCP, têm apenas as permissões da pessoa que os ligou, e só chegam aos dados de um cliente através de uma autorização de serviço ativa.

Experimente: o Q preparou uma alteração

Mover 3 negócios de Proposta para Ganho

Do seu lado

Segurança que controla

A segurança é partilhada. Estas são as definições que a sua própria organização decide.

Segurança e conformidade

Autenticação de dois fatores, início de sessão único e sincronização de diretório, funções, autorizações de serviço e o registo de auditoria.

IA e Q

O que o Q pode fazer e como o Claude e o ChatGPT se ligam, dentro das permissões de cada pessoa.

Programadores

Chaves publicáveis e secretas, chaves de API com âmbito definido e webhooks assinados para os seus próprios desenvolvimentos.

Divulgação responsável

Encontrou uma vulnerabilidade?

Escreva-nos para security@routeroyal.com. Indique o que encontrou, como o reproduzir e o que pode afetar. Respondemos, mantemo-lo a par enquanto corrigimos o problema e, se quiser, damos-lhe o devido crédito.

security@routeroyal.com

Durante a sua análise, pedimos-lhe que

  • teste apenas com a sua própria conta e os seus próprios dados
  • nunca leia, altere ou elimine dados de terceiros
  • não degrade o serviço, não envie spam nem tente enganar a nossa equipa
  • nos dê um prazo razoável para corrigir o problema antes de o divulgar

Perguntas

O que as equipas de segurança nos perguntam

A Route Royal tem certificação ISO 27001 ou SOC 2?

Ainda não. Seguimos a ISO 27001 e os Trust Services Criteria do SOC 2, mas não temos nenhum certificado nem relatório de auditoria para partilhar. Os nossos fornecedores de alojamento e de base de dados são, eles próprios, certificados e auditados.

Onde estão alojados os nossos dados?

Em fornecedores de nuvem consolidados, cujos centros de dados têm certificação ISO 27001 e são auditados segundo o SOC 2. As empresas que tratam os seus dados constam da nossa lista de subcontratantes, e podemos analisá-las consigo numa revisão de segurança.

Podem preencher o nosso questionário de segurança?

Sim. Envie-o para security@routeroyal.com e respondemos, ou apresentamos os nossos controlos à sua equipa numa chamada.

O que acontece se houver um incidente de segurança?

Contemo-lo, corrigimos a causa e analisamos o que aconteceu. Se afetar os seus dados, informamo-lo sem demora injustificada, com o que soubermos até então, para que possa cumprir as suas próprias obrigações, como o prazo de 72 horas que o RGPD prevê para notificar a autoridade de controlo.

Como protegemos a nossa própria organização?

Ative a autenticação de dois fatores, ligue o início de sessão único e a sincronização de diretório, atribua a cada pessoa a função de que o seu trabalho precisa e consulte o registo de auditoria. A página Segurança e conformidade mostra como.

Documentos

A documentação que o sustenta

Traga-nos as suas perguntas

Pergunte-nos tudo sobre segurança

Está a avaliar a Route Royal para a sua empresa ou encontrou algo que devemos corrigir? Cada caso tem o seu caminho, e ambos chegam diretamente a nós.

Avaliações de segurança

Está a fazer uma revisão de segurança?

O seu questionário

  1. Onde estão alojados os nossos dados?
  2. Quem pode ver os nossos dados?
  3. O que acontece num incidente?
  1. Respondemos
  2. Ou apresentamos os nossos controlos à sua equipa numa chamada
Fale connosco sobre segurança

Envie-nos o seu questionário