Política de Segurança da Informação

1.Escopo e responsabilidades

A HARPIA é operada por TOKAIA APP DESENVOLVIMENTO DE SOFTWARE SOB ENCOMENDA LTDA, CNPJ 69.514.845/0001-00, com equipe técnica reduzida e um único ambiente de produção. O responsável técnico responde também como encarregado de dados (DPO): harpiamultplataforma@gmail.com. Cabe a ele conceder e revogar acessos, aplicar atualizações e conduzir a resposta a incidentes.

2.Classificação dos dados

Crítico

Senhas e tokens de acesso. Senhas nunca são guardadas nem exibidas em texto legível.

Sensível

CPF e CNPJ de usuários e de clientes, documentos de verificação de prefeituras e dados dos responsáveis por obras públicas. Acessíveis apenas à conta ou à equipe dona do dado e aos administradores da plataforma.

Interno

Orçamentos, composições próprias, preços, BDI e arquivos enviados, visíveis somente à conta ou à equipe.

3.Criptografia

• Em trânsito: todo acesso ao site e à API é por HTTPS com TLS; requisições em HTTP são redirecionadas para HTTPS.
• Senhas: guardadas apenas como hash bcrypt, com salt aleatório por usuário.
• Pagamentos: os dados do cartão são digitados nos campos do Mercado Pago e não passam pelos servidores da HARPIA.
• Convites de equipe: o link de convite é guardado só como hash e deixa de valer em 7 dias.

4.Controle de acesso

• Conta individual por pessoa, com e-mail confirmado por código no cadastro. A senha precisa ter pelo menos 8 caracteres, com letra maiúscula, minúscula, número e símbolo. Também é possível entrar com a conta Google, desde que o e-mail dela esteja verificado.
• Limite de tentativas de login por endereço e por conta, e de envio de códigos por e-mail. O envio de código no cadastro, o "esqueci minha senha" e o pedido de proposta passam pela verificação anti-robô da Cloudflare (Turnstile).
• A sessão expira em 7 dias; depois disso é preciso entrar de novo.
• Trocar ou redefinir a senha encerra na hora as sessões abertas em outros aparelhos e nos plugins. No perfil também dá para sair de todos os aparelhos de uma vez.
• A troca do e-mail da conta pede a senha atual e só vale depois de confirmada com um código enviado ao novo endereço; o endereço antigo recebe um aviso da mudança.
• Isolamento por conta e por equipe: todas as consultas ao banco são filtradas pelo dono do orçamento ou pela equipe, de modo que uma conta não alcança dados de outra.
• Documentos de verificação só podem ser abertos pelo próprio usuário e pelos administradores.
• Perfil administrativo separado do perfil de usuário, concedido apenas a quem opera a plataforma.
• Acesso ao servidor somente por chave SSH, restrito aos responsáveis técnicos.

5.Infraestrutura e rede

• Servidor dedicado (VPS) da Hostinger em Campinas/SP, Brasil.
• Firewall ativo, permitindo apenas as portas de administração e web (22, 80 e 443).
• Banco de dados e aplicação escutam somente dentro do servidor; o único ponto de entrada externo é o proxy reverso com TLS.
• As páginas do site são entregues pela Vercel; os dados ficam no servidor acima.
• O site responde com cabeçalhos de segurança: HTTPS obrigatório (HSTS), proibição de ser aberto dentro de outros sites e política de conteúdo que limita de onde a página carrega scripts e frames.

6.Cópias de segurança

• Cópia completa do banco de dados todo dia, de madrugada, e antes de cada atualização da plataforma. Ela fica no servidor por 14 dias, com acesso só dos responsáveis técnicos.
• Uma cópia diária dos dados das contas e dos orçamentos sai do servidor e fica guardada cifrada em outro provedor por 30 dias, quando é apagada automaticamente. A senha que abre essa cópia não fica junto dela.
• Se a cópia diária falhar, os responsáveis técnicos são avisados por e-mail.
• A restauração a partir dessas cópias foi testada em outubro de 2026, com conferência tabela por tabela.

7.Plugins

Os plugins para Revit e ArchiCAD se comunicam com a API apenas por HTTPS e enviam os dados do modelo quando você manda. Para o login automático, o token de acesso fica gravado na sua pasta de usuário do Windows e a senha é protegida pela criptografia do próprio Windows (DPAPI). Os registros de erro que os plugins gravam no seu computador não incluem a senha. Use os plugins em computadores de sua confiança e saia da conta ao usar uma máquina compartilhada.

8.Gestão de vulnerabilidades

Atualizações de segurança do sistema operacional instaladas automaticamente; dependências da aplicação com versões fixadas e revisadas a cada publicação; mudanças revisadas e cobertas por testes automatizados durante o desenvolvimento; e registro de erros no servidor.

9.Resposta a incidentes

Ao identificar ou suspeitar de incidente que envolva dados pessoais:

1. Conter: revogar as credenciais afetadas e interromper o acesso indevido.
2. Apurar: identificar a origem, os dados envolvidos e o período de exposição.
3. Comunicar: informar os usuários afetados pelo e-mail cadastrado, com o que ocorreu, quais dados foram atingidos e as medidas tomadas; e a ANPD quando a LGPD exigir.
4. Corrigir: aplicar a correção e registrar o que foi aprendido.

10.Retenção e descarte

Registros de acesso do servidor web são guardados por até 14 dias, os do sistema por até 7 dias e o registro de alterações do banco de dados por 30 dias. As cópias de segurança ficam 14 dias no servidor e 30 dias fora dele, e são apagadas automaticamente. Dados de usuário seguem os prazos da Política de Privacidade.