Segurança 101 - em construção

Os dados da plataforma são armazenados e processados na União Europeia.

• Base de dados e ficheiros: PostgreSQL gerido, alojado na região UE Oeste (Irlanda).
• Aplicação: servida a partir de uma rede de distribuição global; o servidor mais próximo do utilizador responde ao pedido, sem guardar dados de clientes.
• Quando um subcontratante possa tratar dados fora da UE, isso é indicado na secção de subcontratantes.

• Em trânsito: todo o tráfego é servido por HTTPS (TLS).
• Em repouso: a base de dados e o armazenamento de ficheiros são cifrados pelo fornecedor de infraestrutura.

• A separação entre clientes é imposta na própria base de dados, através de Row Level Security, e não apenas no código da aplicação. Está ativa em todas as tabelas da plataforma.
• Cada perfil (Legislador, Centro de Valorização, Produtor e Desenvolvedor) só pode ler e escrever os dados correspondentes ao seu papel e às fases do processo que lhe cabem.
• A validação pública de certificados e do Passaporte Digital do Produto devolve apenas os campos públicos do lote certificado, sem abrir o restante registo a leitura anónima.

• Durante a fase piloto, o acesso aos portais é fechado e feito apenas por convite: só entram emails previamente autorizados.
• O Portal do Parceiro usa códigos de acesso de utilização única enviados por email.
• Os privilégios de administração estão guardados numa tabela protegida e nunca em dados editáveis pelo utilizador.
• Em desenvolvimento: autenticação multifator (2FA) para quando a plataforma abrir a clientes externos.

• Os relatórios PPGRCD e os certificados em PDF são gerados no navegador do utilizador, sem envio dos documentos para serviços externos de conversão.
• As exportações CSV são protegidas contra injeção de fórmulas em folhas de cálculo.
• Fazemos análises de segurança periódicas à plataforma e às suas dependências, e corrigimos as falhas encontradas.

• Lovable Cloud — alojamento da aplicação, base de dados, autenticação e armazenamento (dados na UE).
• Google Maps Platform — mapas e geolocalização de obras e operadores.
• Google — início de sessão com conta Google, quando o utilizador o escolhe.

O Transformar é operado a partir de Portugal e trata dados pessoais de acordo com o RGPD. Para clientes empresariais, disponibilizamos um Acordo de Tratamento de Dados (DPA), em que o cliente é o responsável pelo tratamento e o Transformar atua como subcontratante. Pode pedi-lo para privacidade@rcdtransformar.com.

Em caso de incidente que envolva dados pessoais, notificamos os clientes afetados sem demora injustificada e apoiamo-los no cumprimento das suas próprias obrigações de notificação previstas no artigo 33.º do RGPD.

Agradecemos reportes de investigadores de segurança e não tomaremos medidas legais contra quem atue de boa-fé, evite violar a privacidade ou degradar o serviço, e nos dê tempo razoável para corrigir antes de divulgar publicamente.

Envie para privacidade@rcdtransformar.com com o assunto começado por "Vulnerabilidade de segurança", indicando a página ou funcionalidade afetada, os passos para reproduzir e o impacto conhecido. Não inclua palavras-passe nem dados pessoais de terceiros.