Segurança

1. Visão geral

O Walkie processa áudio operacional sensível — conversas internas do estabelecimento contratante. Levamos isso a sério: a arquitetura assume tenant-isolation por padrão, criptografia ponta-a-ponta em trânsito, retenção curta do áudio bruto e auditoria de acesso.

2. Criptografia

• Em trânsito: TLS 1.2+ entre o cliente (browser/capture-client desktop) e a API; entre a API e os subprocessadores; entre a API e o banco.
• Em repouso: banco de dados Postgres com criptografia de disco gerenciada pelo provedor; arquivos de áudio criptografados no Supabase Storage.
• Senhas: armazenadas com bcrypt (custo configurável) em formato versionado $sha2b$ que permite migração futura sem invalidar contas.
• Tokens de sessão: JWT HS256 em cookie HttpOnly, SameSite=Lax, Secure em produção. A senha trocada revoga automaticamente tokens emitidos antes da troca (claim password_changed_at).
• API keys do capture-client: prefixadas (wkk_) e armazenadas em hash; valor original aparece uma única vez na ativação do tenant.

3. Isolamento multi-tenant

Cada conta cria um tenant com identificador próprio. Todas as queries do backend recebem o tenant_id do JWT validado e filtram por escopo, impedindo cross-tenant. Auditorias periódicas verificam endpoints recém-criados.

4. Retenção e exclusão

• Áudio bruto: 30 dias após a captura, então excluído automaticamente. Os transcripts e insights permanecem indexados.
• Backups: snapshots diários do banco com retenção de 7 dias, criptografados pelo provedor.
• Encerramento de conta: dados operacionais excluídos em até 30 dias, ressalvada obrigação legal de guarda.
• Solicitação LGPD: direito de eliminação processado em até 15 dias úteis pelo canal walkieappcontato@gmail.com.

5. Subprocessadores

Lista oficial de operadores que processam dados em nosso nome. Mudanças materiais são comunicadas com 15 dias de antecedência.

• Vercel Inc. (EUA) — hospedagem do frontend.
• Fly.io / Fly, Inc. (EUA, regiões disponíveis em SP) — hospedagem do backend FastAPI.
• Supabase Inc. (EUA, region opcional) — banco Postgres gerenciado e armazenamento de áudio.
• OpenAI, L.L.C. (EUA) — transcrição via Whisper e geração de embeddings. Configurado para não reter dados para treinamento.
• Anthropic PBC (EUA) — análise via Claude para classificação de insights, resumos e respostas no chat.

Transferências internacionais amparadas pelo art. 33 da LGPD.

6. Controle de acesso interno

• Acesso a produção restrito a operadores autorizados, com MFA exigido nos provedores que suportam.
• Logs de acesso administrativo retidos por 90 dias.
• Princípio do menor privilégio aplicado a chaves de API de terceiros.
• Segredos rotacionáveis sem downtime via variáveis de ambiente no provedor.

7. Disponibilidade e backup

• Backups diários do banco com retenção de 7 dias.
• Restauração testada periodicamente em ambiente de homologação.
• Monitoramento de latência e erro em endpoints críticos.

8. Resposta a incidentes

Em caso de incidente de segurança com risco relevante aos titulares, seguimos o art. 48 da LGPD: comunicação à ANPD e aos afetados em prazo razoável, descrição da natureza dos dados, medidas técnicas adotadas e riscos relacionados.

9. Reportar vulnerabilidade

Encontrou uma falha de segurança? Reporte de forma responsável para walkieappcontato@gmail.com com o assunto [security]. Pedimos:

• Não explorar a falha além do necessário para demonstrá-la;
• Não acessar dados de outros tenants;
• Não tornar a falha pública antes da correção;
• Aguardar resposta em até 5 dias úteis e prazo de correção razoável.

Reconhecemos publicamente quem reportar de boa-fé seguindo o processo acima.

10. Conformidade

Estamos em conformidade contínua com a LGPD (Lei nº 13.709/2018). Não possuímos, no momento, certificações ISO 27001 ou SOC 2 — o roadmap inclui essa formalização à medida que o produto amadurece.

11. Histórico de alterações

Esta página é versionada. Alterações materiais serão registradas no cabeçalho de "última atualização".