Documento público
Política de Segurança da Informação
Versão 1.1 · em vigor desde 17 de outubro de 2026 · o MAZE OS passou a se chamar Mentor Diário; nada mudou no tratamento dos dados
1. Programa de segurança
Esta política vale para o Mentor Diário (app.mentordiario.com.br), operado pela MAZE Empreendimento Digital Ltda. (CNPJ 27.729.768/0001-57), e para todas as pessoas e sistemas que acessam seus dados.
- Responsável: Felipe Friedrich Lima, fundador da MAZE.
- Princípios: dado de cliente é isolado por conta; toda ação deixa rastro; menor acesso possível; segredos nunca ficam no código; automação nova roda primeiro em modo de simulação, sem agir.
- Revisão: pelo menos uma vez por ano e após qualquer incidente ou mudança relevante na plataforma.
2. Infraestrutura e rede
- A aplicação roda na Cloudflare, com proteção contra ataques de negação de serviço (DDoS), firewall de aplicação (WAF) e HTTPS obrigatório em todo o tráfego.
- O banco de dados fica no Supabase, região São Paulo. Ele não é acessado diretamente pelo navegador sem passar pelas regras de isolamento por cliente aplicadas no próprio banco (Row Level Security).
- Credenciais de produção ficam separadas do código, em cofres de segredos dos provedores, com acesso restrito ao administrador.
- O site público é estático e publicado com cabeçalhos de segurança: HSTS, Content Security Policy restritiva e bloqueio de incorporação em outros sites.
3. Computadores da equipe
- Os computadores da equipe usam macOS com as proteções nativas ativas: XProtect (antivírus), Gatekeeper (bloqueio de software não verificado) e atualizações automáticas de segurança.
- Bloqueio automático de tela por inatividade.
- Nenhum dado de cliente é guardado em pendrive, e-mail pessoal ou serviço não autorizado.
4. Segurança na rotina
- Autenticação multifator obrigatória para todos os usuários da plataforma, exigida também pelo banco de dados: sem o segundo fator, nenhum dado é lido.
- Senha mínima de 12 caracteres.
- Credencial de sessão de curta duração (1 hora), renovada somente para quem continua autenticado.
- Bloqueio automático de tela nos computadores e política de mesa limpa: nenhuma senha ou dado de cliente anotado em papel ou deixado à vista.
- Desligamento de alguém da equipe: acesso revogado no mesmo dia.
5. Controle de acesso e menor privilégio
- Acesso por papéis, cada um com o mínimo necessário: administrador MAZE, dono da conta, operador e leitura.
- Cada cliente enxerga apenas os dados das próprias lojas. O isolamento é garantido no banco de dados e verificado por testes que tentam acessar dados de outra conta, executados antes de cada publicação.
- Acesso de administrador a uma conta de cliente só acontece com motivo registrado e fica visível para o cliente.
- Entrada na plataforma apenas por convite de quem administra a conta.
- Dados pessoais de compradores são acessados somente quando a tarefa exige.
6. Classificação de dados e criptografia
| Classe | Exemplos | Proteção |
|---|---|---|
| Restrito | Tokens de acesso aos marketplaces, chaves de API | Criptografia adicional na aplicação (AES-GCM), chave guardada fora do banco; nunca exibidos na tela nem gravados em log |
| Confidencial | Dados pessoais de compradores, dados financeiros das lojas | Isolamento por cliente, acesso mínimo, criptografia em repouso |
| Interno | Configurações das contas, registros de auditoria | Acesso por papel |
| Público | Site institucional e políticas | Sem restrição |
- Em trânsito: todo tráfego usa TLS (HTTPS), com HSTS no site.
- Em repouso: banco e armazenamento criptografados pelo provedor (AES-256).
7. Resposta a incidentes
Responsável: Felipe Friedrich Lima. Canal para reportar: privacidade@mentordiario.com.br
- Conter: interromper as automações da loja afetada (ou de todas).
- Revogar: tokens de canais e chaves que possam ter sido expostos.
- Avisar: o vendedor afetado no mesmo dia, em linguagem simples, e a plataforma de origem dos dados (como o TikTok Shop) imediatamente após a identificação.
- Registrar: o que aconteceu, o que foi afetado e o que foi feito.
- Corrigir: eliminar a causa e criar o teste que teria evitado o problema.
- Comunicar autoridades: em caso de dado pessoal, avaliar a comunicação à ANPD e aos titulares, conforme o art. 48 da LGPD.
8. Gestão de vulnerabilidades
- Toda mudança passa por revisão de segurança do código antes de ir para produção. Achado grave bloqueia a publicação.
- Testes automatizados de permissões, isolamento entre clientes e criptografia são executados antes de cada publicação.
- Código em repositório privado. Dependências com versão fixada e revisadas antes de cada atualização.
- Vulnerabilidades encontradas são corrigidas por ordem de gravidade, e as graves têm prioridade sobre qualquer outra entrega.
- Quem encontrar uma falha pode reportá-la em privacidade@mentordiario.com.br.
9. Conexão com marketplaces
- A conexão com cada canal usa o fluxo oficial de autorização do próprio canal (OAuth), com verificação de origem da resposta.
- Pedimos ao canal apenas as permissões que o produto usa.
- O vendedor pode desconectar um canal a qualquer momento; as credenciais daquela loja são apagadas na hora.
- Nenhuma ação é executada no canal sem as travas e o registro da plataforma. Ações irreversíveis sempre pedem aprovação do vendedor.
- Nunca burlamos limites, proteções ou termos de uso dos marketplaces.
Para saber como tratamos dados pessoais, veja a Política de Privacidade.