Sim. A organização Gringa Radar mantém um programa
de segurança da informação publicado. Este documento é a política
vigente: descreve princípios, controles, responsabilidades e o
canal de incidentes. Complementa a
Política de Privacidade
(LGPD). Não substitui contratos específicos com clientes ou
parceiros.
1. Objetivo e escopo
Proteger a confidencialidade, integridade e disponibilidade das
informações do Gringa Radar e dos usuários do painel, da extensão
de navegador e das integrações (Mercado Livre, Shopee e TikTok Shop
quando aplicável).
O programa cobre:
- produto (painel web e extensão Chrome);
- backend (banco, APIs e funções de borda);
- coleta automatizada de dados públicos de marketplace;
- contas de usuário, assinaturas e pagamentos;
- credenciais, segredos e acessos de operação.
2. Responsável
O controlador e ponto de contato de segurança da informação é
Anderson Varjão de Oliveira (Gringa Radar).
Relatos de vulnerabilidade, incidentes ou due diligence:
andersonvarjaodeoliveira1@gmail.com.
3. Princípios
- Menor privilégio — cada conta e cada serviço só acessa o necessário.
- Cofre no servidor — o navegador não guarda senhas de banco, chaves de serviço nem tokens de marketplace da operação.
- Dado real — o produto não inventa métricas; o que a API de terceiro não entrega não é fabricado.
- Defesa em profundidade — autenticação, autorização no banco, cotas e limite de taxa nas rotas sensíveis.
- Transparência honesta — este programa descreve o que fazemos de fato; não afirmamos certificações que a organização ainda não possui.
4. Controle de acesso
- Acesso ao painel e à extensão exige conta autenticada (e-mail e senha).
- Dados de um usuário ficam isolados dos demais por políticas de acesso no banco (RLS) e funções que só operam no contexto da sessão autenticada.
- Ações privilegiadas de operação (alertas em lote, métricas internas, ativação de assinatura) não são executáveis pela chave pública do aplicativo.
- Na extensão, o token da conta permanece no service worker — não é injetado na página do marketplace.
5. Proteção de dados e criptografia
- Tráfego do painel e das APIs em HTTPS.
- Segredos de produção (banco, marketplaces, pagamento, e-mail) ficam em cofres da infraestrutura (secrets do provedor de nuvem / CI), não no código-fonte nem no frontend.
- O cliente só recebe a chave pública (anon/publishable) do backend.
- Classificação prática: dados de conta e assinatura são restritos; rankings e fichas de produto de marketplace são informações públicas já expostas pelas plataformas, usadas para análise do próprio usuário.
6. Segurança da aplicação
- Cabeçalhos de segurança no painel (CSP, referrer restrito, sem frames de terceiros).
- Build de produção sem source maps.
- Funções de borda sensíveis exigem sessão válida, cota e limite de taxa.
- Webhook de pagamento revalida o evento na API do provedor; com segredo configurado, também confere a assinatura.
7. Desenvolvimento e operação
- Alterações passam por repositório versionado; segredos e arquivos
.env não entram no histórico público.
- Coleta diária roda em ambiente controlado, com credenciais só no CI.
- Revisão deste programa ocorre pelo menos anualmente, ou após incidente relevante, mudança de provedor ou nova integração de dados.
8. Fornecedores de infraestrutura
Usamos prestadores essenciais à operação (hospedagem do painel,
banco/autenticação, pagamento e e-mail transacional), sob as
respectivas obrigações de confidencialidade e segurança. Não
vendemos dados pessoais. Detalhes de tratamento pessoal estão na
Política de Privacidade.
9. Incidentes
Suspeita de incidente, vazamento ou vulnerabilidade deve ser
enviada ao e-mail da seção 2, com descrição, data aproximada e
evidência que não exponha dados de terceiros. Avaliamos, contemos
o impacto, registramos o ocorrido e comunicamos os afetados quando
a lei ou o risco exigir.
Não publique exploits nem dados de usuários em
canais abertos. Prefira o e-mail acima. Não oferecemos bug bounty
pago neste momento; agradecemos relatos responsáveis.
10. Conscientização
Quem opera o produto (desenvolvimento e suporte) segue esta política:
senhas próprias, sem compartilhar contas de produção, sem colar
segredos em tickets ou chats, e acesso a painéis administrativos
só pelo responsável.
11. Relação com privacidade
Segurança da informação e proteção de dados pessoais andam juntas.
Bases legais, direitos do titular e prazos estão na
Política de Privacidade.
Este programa cobre os controles técnicos e organizacionais que
sustentam aquele tratamento.
12. Contato