Esta página descreve as práticas de segurança da informação adotadas pela Waystack na operação do seu site, das suas plataformas SaaS e dos serviços prestados a clientes. Segurança, para nós, é premissa de arquitetura, não uma etapa final de projeto.
1. Princípios
- Confidencialidade: dados acessíveis apenas a quem precisa deles para trabalhar;
- Integridade: proteção contra alteração indevida de dados e sistemas;
- Disponibilidade: arquitetura distribuída e monitorada para manter os serviços no ar;
- Privilégio mínimo: cada pessoa, serviço e integração recebe somente as permissões estritamente necessárias;
- Defesa em profundidade: múltiplas camadas de proteção, para que a falha de uma não comprometa o todo.
2. Segurança da infraestrutura
- Criptografia em trânsito: todo o tráfego entre usuários e nossos sistemas usa TLS, com certificados emitidos e renovados automaticamente;
- Arquitetura serverless: sem servidores expostos para administrar, a superfície de ataque é drasticamente reduzida, sem portas abertas, sem SO desatualizado;
- Proteção de borda: nossos serviços rodam atrás de rede global com mitigação de DDoS e filtragem de tráfego malicioso na camada de rede;
- Isolamento de dados: bancos de dados segregados por domínio de negócio, um eventual comprometimento fica contido no menor escopo possível;
- Backups: dados críticos possuem rotinas de backup e procedimentos de restauração.
3. Segurança da aplicação
- Gestão de segredos: tokens, chaves de API e credenciais ficam em cofres de variáveis do ambiente de execução, nunca em código fonte ou repositório;
- Validação de entrada: todos os dados que chegam às nossas APIs passam por validação de esquema antes de qualquer processamento;
- Autenticação e autorização: APIs protegidas por tokens; integrações com terceiros usam OAuth 2.0 com escopos mínimos;
- Código versionado e revisado: todo código passa por controle de versão com histórico completo e revisão antes de produção;
- Dependências monitoradas: bibliotecas de terceiros são mantidas atualizadas e verificadas contra vulnerabilidades conhecidas.
4. Controle de acesso
- Acessos administrativos individuais e autenticados, sem credenciais compartilhadas;
- Permissões por função (privilégio mínimo) e revisadas periodicamente;
- Revogação imediata de acessos em desligamentos ou mudanças de função;
- Registro (log) de ações administrativas relevantes, com trilha de auditoria.
5. Monitoramento e resposta a incidentes
- Logs centralizados e monitoramento de saúde dos serviços em tempo real;
- Alertas automáticos para comportamentos anômalos e falhas;
- Procedimento de resposta a incidentes: contenção, investigação, correção e comunicação;
- Em incidentes com dados pessoais e risco relevante aos titulares, comunicação aos afetados e à ANPD, conforme o art. 48 da LGPD.
6. Terceiros e cadeia de fornecedores
Trabalhamos com provedores de nuvem e plataformas consolidados, que mantêm certificações e programas de segurança próprios. Integrações com marketplaces e plataformas de mídia usam exclusivamente APIs oficiais, com credenciais de escopo mínimo e revogáveis.
7. Divulgação responsável de vulnerabilidades
Encontrou uma vulnerabilidade em algum sistema da Waystack? Agradecemos o reporte responsável:
- Escreva para seguranca@waystack.com.br com descrição, passos de reprodução e impacto potencial;
- Não explore a falha além do necessário para demonstrar a falha, não acesse dados de terceiros e não realize ações destrutivas;
- Nos dê prazo razoável para correção antes de qualquer divulgação pública;
- Confirmaremos o recebimento, manteremos você informado do andamento e daremos o crédito, se desejar.
8. Contato
- Segurança: seguranca@waystack.com.br
- Privacidade (DPO): privacidade@waystack.com.br