1. Nossos compromissos
- Conexões somente por HTTPS (TLS 1.2 ou superior), com HSTS.
- Rede de distribuição com mitigação de DDoS na borda (AWS Shield Standard).
- Política de segurança de conteúdo (CSP) estrita, sem scripts de terceiros antes do seu consentimento.
- Dados pessoais armazenados na AWS (região de Ohio, Estados Unidos), criptografados em repouso, com acesso mínimo necessário.
- Contas com verificação de e-mail, senha forte e proteção contra tentativas abusivas.
- Monitoramento e registros de segurança com retenção limitada.
2. Como reportar uma vulnerabilidade
Encontrou uma falha? Escreva para contato@innotecnica.com.br com o assunto “Vulnerabilidade”, incluindo:
- a URL ou o componente afetado;
- os passos para reproduzir e o impacto observado;
- uma forma de contato para darmos retorno.
Os dados de contato também estão no arquivo padrão /.well-known/security.txt (RFC 9116).
3. Escopo
Dentro do escopo: o site institucional em innotecnica.com.br.
Fora do escopo: ataques de negação de serviço, engenharia social, testes físicos, spam, relatórios automáticos sem prova de impacto, e serviços de terceiros que não controlamos.
4. Porto seguro
Não tomaremos medidas legais contra pesquisas feitas de boa-fé que respeitem esta política: sem acessar, alterar ou excluir dados de terceiros além do mínimo necessário para demonstrar a falha, sem interromper o serviço e mantendo a confidencialidade até a correção.
5. Prazos de resposta
- Confirmação de recebimento: até 5 dias úteis.
- Avaliação inicial e classificação de severidade: até 10 dias úteis.
- Atualizações até a correção, com crédito público se você quiser.
No momento, não mantemos programa de recompensas (bug bounty).
6. Incidentes com clientes
Clientes com contrato ativo devem usar o canal de suporte combinado. Em incidentes que envolvam dados pessoais, seguimos a Resolução CD/ANPD nº 15/2024 sobre comunicação de incidentes de segurança.