Segurança

Segurança é um requisito de projeto da AISAC Academy, não uma etapa posterior. Esta página descreve, de forma transparente, as medidas técnicas e organizacionais que adotamos para proteger a plataforma e os dados dos nossos usuários, e como pesquisadores de segurança podem reportar vulnerabilidades. Ela complementa a nossa Política de Privacidade e os Termos de Uso.

1. Infraestrutura e Hospedagem

• A aplicação é executada na infraestrutura da Vercel e os dados são armazenados na Supabase (PostgreSQL gerenciado, autenticação e armazenamento de arquivos), ambos com data centers nos Estados Unidos e certificações de segurança próprias (SOC 2 Tipo II).
• Criptografia em trânsito: todo o tráfego usa HTTPS com TLS 1.2 ou superior. Conexões HTTP são redirecionadas e o cabeçalho HSTS com preload está ativo.
• Criptografia em repouso: bancos de dados, backups e arquivos são criptografados em repouso pelos provedores (AES-256).
• Backups: o banco de dados possui backups automáticos mantidos pelo provedor.
• Infraestrutura como código: configuração de banco (migrations versionadas), de deploy e de segurança vive no repositório e passa por revisão.

2. Autenticação e Sessões

• A autenticação é operada pelo Supabase Auth. Senhas são armazenadas exclusivamente como hash bcrypt; nunca em texto claro e nunca registradas em logs.
• Login com Google via OAuth 2.0 / OpenID Connect, com os escopos mínimos (openid, e-mail, perfil). Não armazenamos tokens de acesso do Google.
• Link mágico por e-mail e fluxos de confirmação e redefinição de senha com tokens de uso único e expiração curta.
• Sessões são mantidas em cookies HttpOnly, Secure e SameSite e renovadas no servidor a cada requisição.
• Limitação de taxa nos fluxos sensíveis: 5 tentativas de login a cada 15 minutos e 3 registros por hora por origem, com resposta 429 e bloqueio progressivo.
• Eventos de autenticação (login, logout, alteração de senha, mudança de papel) são registrados em trilha de auditoria sem dados pessoais desnecessários.

3. Controle de Acesso e Isolamento

• A plataforma é multi-escola: cada Escola (tenant) tem seus dados isolados. O acesso a cursos, alunos e configurações é restrito por papéis (proprietário, administrador, instrutor e aluno) definidos centralmente.
• Todas as tabelas da aplicação possuem Row-Level Security (RLS) no PostgreSQL: mesmo em caso de falha na camada de aplicação, o banco impede que um usuário leia dados de outra Escola.
• Chaves com privilégio elevado existem apenas no servidor e nunca são expostas ao navegador. A aplicação segue o princípio do menor privilégio por módulo e por papel.
• A ordem de verificação em toda rota protegida é fixa: autenticação → autorização → validação de entrada → lógica de negócio.

4. Proteção de Dados

• Credenciais de integrações de terceiros configuradas por Criadores são criptografadas na aplicação com AES-256-GCM antes de serem gravadas no banco.
• Não armazenamos números de cartão. Pagamentos são processados pela Stripe (PCI DSS Nível 1); a plataforma guarda apenas identificadores de transação e os quatro últimos dígitos.
• Logs são estruturados e não contêm dados pessoais (e-mails, senhas, tokens ou conteúdo de mensagens); usuários são referenciados por identificador interno.
• Dados enviados a provedores de IA limitam-se ao conteúdo das aulas e às perguntas feitas ao tutor; e-mail, senha e dados de pagamento nunca são enviados.
• Prazos de retenção e eliminação segura estão descritos na seção 8 da Política de Privacidade.

5. Segurança da Aplicação

• Cabeçalhos de segurança em todas as respostas: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (DENY), Referrer-Policy e Permissions-Policy.
• Validação de entrada com esquemas tipados em toda fronteira externa (formulários, APIs, webhooks), com limites de tamanho.
• Conteúdo HTML enviado por usuários (aulas, comentários) é sanitizado antes de ser renderizado, mitigando XSS.
• Consultas ao banco são parametrizadas; não há concatenação de SQL.
• Webhooks de terceiros são verificados por assinatura antes de qualquer processamento.
• Dependências são auditadas regularmente (SCA) com versões fixadas por lockfile; segredos vivem apenas em variáveis de ambiente e nunca são versionados no código.
• Mudanças passam por lint, verificação de tipos e build automatizados (CI) antes do deploy.

6. Acesso por Assistentes de IA (MCP)

Alunos podem autorizar assistentes de IA compatíveis a acessar o conteúdo dos cursos em que estão matriculados por meio do protocolo MCP. Esse acesso usa OAuth 2.1 com PKCE, tokens de acesso de curta duração (1 hora) e refresh tokens revogáveis, limitados às matrículas ativas do usuário e sujeitos a limitação de taxa. A autorização pode ser revogada a qualquer momento e é cancelada automaticamente quando a matrícula termina.

7. Monitoramento e Resposta a Incidentes

• Logs estruturados e alertas de erro em produção.
• Plano de resposta a incidentes com etapas de contenção, erradicação, recuperação e lições aprendidas.
• Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os usuários afetados nos prazos e na forma previstos no art. 48 da LGPD e na regulamentação da ANPD, e, quando aplicável, no art. 33 do GDPR.

8. Divulgação Responsável de Vulnerabilidades

Valorizamos o trabalho de pesquisadores de segurança. Se você identificar uma vulnerabilidade na AISAC Academy, pedimos que a reporte de forma responsável.

Como reportar: envie um e-mail para contact@aisac.global com o assunto "Security" contendo a descrição da vulnerabilidade, os passos para reprodução, o impacto potencial e, se possível, uma prova de conceito. Não inclua dados pessoais de outros usuários no relatório.

Regras de engajamento:

• Não acesse, modifique ou exclua dados que não sejam seus; use contas de teste criadas por você.
• Não realize ataques de negação de serviço, força bruta em larga escala, spam ou engenharia social contra usuários ou colaboradores.
• Não explore a vulnerabilidade além do necessário para demonstrá-la.
• Dê-nos tempo razoável para corrigir o problema antes de qualquer divulgação pública.

Nosso compromisso:

• Confirmaremos o recebimento do seu relatório em até 5 (cinco) dias úteis.
• Manteremos você informado sobre o andamento da correção e, com sua autorização, daremos crédito público pela descoberta.
• Não tomaremos medidas legais contra pesquisadores que ajam de boa-fé e dentro destas regras.

Fora do escopo: serviços de terceiros (Vercel, Supabase, Stripe, Google, Resend etc.), que possuem programas próprios; ataques de negação de serviço; engenharia social; segurança física; relatórios gerados exclusivamente por scanners automatizados sem prova de impacto.

9. Limitações e Roadmap

Em nome da transparência: a AISAC Academy ainda não possui certificação própria SOC 2 ou ISO 27001 (dependemos das certificações dos provedores listados acima), e a autenticação em dois fatores (2FA) para contas de usuário está no roadmap. Esta página será atualizada conforme essas medidas forem implementadas.

10. Contato

• Relatos de segurança: contact@aisac.global (assunto "Security")
• Privacidade e proteção de dados (DPO): dpo@aisac.global
• Endereço postal: Av. Cristóvão Colombo, 2144, Sala 408, 3º andar — Floresta, Porto Alegre/RS, CEP 90560-001, Brasil