Esta tradução é disponibilizada por conveniência. A versão inglesa é a versão vinculativa e prevalece em caso de conflito ou divergência de sentido. Ler a versão em inglês.
Segurança
O que fazemos hoje, não o que planeamos fazer.
Esta página descreve as medidas em vigor em 30 de outubro de 2026. A versão vinculativa é o Anexo 2 do Acordo de tratamento de dados.
01
Alojamento e dados
A aplicação funciona na Vercel. A base de dados dos clientes e a autenticação são alojadas pela Supabase na AWS, na Irlanda (UE): os dados dos clientes ficam armazenados na UE, cifrados em repouso, com segurança ao nível da linha, de modo que os registos de cada cliente só podem ser lidos pelos utilizadores desse cliente e pelo serviço que atua em seu nome. As funções da Vercel e os fornecedores de IA funcionam fora da UE, pelo que o tratamento não se limita à UE; a Política de privacidade indica todos os fornecedores e a respetiva localização.
As cópias de segurança são cifradas, feitas automaticamente pelo fornecedor com recuperação para um ponto no tempo e substituídas no prazo de 30 dias.
02
Acesso
A equipa usa contas individuais com autenticação de dois fatores, obrigatória em todos os inícios de sessão de administradores e da equipa e disponível para todos os utilizadores dos clientes. Os segredos de produção ficam apenas no armazenamento cifrado de variáveis de ambiente do fornecedor de alojamento, nunca no código. Os tokens de integração (por exemplo, do Google Analytics) são cifrados com AES-256-GCM, com uma chave guardada apenas nesse armazenamento. As palavras-passe são guardadas como hashes com salt pelo fornecedor de autenticação, nunca por nós.
03
Em trânsito
TLS 1.2 ou superior em todas as ligações. Os formulários públicos e as rotas da API têm limites de pedidos; os formulários de início de sessão, de criação de conta e de contacto estão protegidos por uma verificação anti-bots da Cloudflare, onde esta estiver ativada. As tentativas de início de sessão são limitadas por conta e por endereço.
04
Fornecedores de IA
As perguntas seguem para os fornecedores de IA ao abrigo de termos de API empresariais. A Anthropic e a OpenAI não usam os dados enviados pela API para treinar os seus modelos; quando os termos de um fornecedor ainda não estão verificados, a Política de privacidade indica-o. Não permitimos que nenhum fornecedor treine um modelo público com dados de clientes. Antes de o cliente os ver, um verificador automático confronta os rascunhos gerados com os dados do próprio cliente, e cada rascunho é identificado como gerado por IA.
05
Incidentes
Notificamos os clientes afetados no prazo de 48 horas após termos conhecimento de uma violação de dados pessoais e colaboramos nas notificações que estes façam às autoridades de controlo e aos titulares dos dados. Registamos os eventos de segurança em todas as contas; os clientes veem o seu próprio histórico de inícios de sessão e as sessões ativas no separador Segurança da sua área de cliente. O compromisso completo consta do Acordo de tratamento de dados, secção 5.
06
Certificações
Ainda não temos um relatório SOC 2 nem ISO 27001 próprio. Os nossos fornecedores de infraestrutura têm esses relatórios; a pedido, partilhamo-los mediante acordo de confidencialidade, e o Acordo de tratamento de dados (DPA) define como um cliente nos pode auditar.
07
Comunicar uma vulnerabilidade
Envie um e-mail para security@thenewmap.ai. Confirmamos a receção no prazo de 5 dias úteis. Não intentaremos ações judiciais contra investigações de boa-fé que respeitem os dados de outros clientes, não degradem o serviço e não acedam a mais do que o necessário para demonstrar o problema. Pedimos-lhe que nos dê um prazo razoável para corrigir o problema antes de o divulgar. Não temos um programa de recompensas.
Questões do departamento de compras ou do encarregado da proteção de dados: privacy@thenewmap.ai. Ver também: Política de privacidade, Acordo de tratamento de dados, Termos de serviço.
Última atualização: .