Segurança no Espobase

• O Espobase não tem certificação SOC 2 e não está em conformidade com a HIPAA. Não assinamos Business Associate Agreements (BAA).
• Não armazene informações de saúde protegidas pela HIPAA, números de cartão de pagamento nem outros dados que exijam um fornecedor certificado: nossos Termos não permitem.

• Todo o tráfego para o site, o painel e as APIs usa HTTPS.
• Os backups são criptografados (AES-256-GCM) antes de saírem do nosso servidor.
• Senhas de banco de dados, chaves de assinatura e outros segredos são armazenados criptografados (AES-256-GCM).

• As senhas são armazenadas apenas como hashes irreversíveis (Argon2id), tanto a da sua conta do Espobase quanto as dos usuários do seu app.
• Chaves de API e tokens de acesso são armazenados apenas como hashes com chave e exibidos uma única vez, quando você os cria.
• Chaves de API secretas são recusadas quando vêm de um navegador, para que não vazem por engano pelo front end.

• A segurança em nível de linha vem ativada por padrão em toda tabela nova: nada pode ser lido com uma chave publicável até você adicionar uma regra.
• Cada projeto tem seu próprio banco de dados, isolado dos outros projetos.
• As regras de segurança são mostradas em SQL para você revisar antes de serem aplicadas, e as mudanças propostas pela IA nunca são aplicadas sem a sua aprovação.

• O banco de dados de cada projeto tem backup diário. Um backup só conta depois de ser baixado de novo, descriptografado e verificado.
• Os backups são mantidos por 1 dia (Free), 7 dias (Pro) ou 14 dias (Group) e ficam bloqueados contra exclusão por 7 dias.

• Verificação de e-mail, redefinição de senha e login com GitHub, Google ou Apple.
• Funções para os membros da organização (proprietário, administrador, desenvolvedor, leitor) e acesso apenas a projetos selecionados.
• Login único (SSO) e um log de auditoria das ações sensíveis no plano Group.
• Os tokens de acesso pessoal ficam limitados às permissões que você escolhe e sempre expiram.

• O site, o painel e as APIs são verificados de fora a cada 5 minutos: veja a página de status ao vivo.
• Só o ponto de entrada web é acessível pela internet: bancos de dados e serviços internos nunca ficam expostos.
• Recebemos um alerta automático quando um serviço cai.

Os bancos de dados dos projetos e as APIs funcionam nos Estados Unidos (Boston). Os arquivos enviados e os backups ficam no Cloudflare R2, na América do Norte. Os detalhes estão na nossa política de privacidade.

Se você acha que encontrou uma vulnerabilidade, escreva para support@espobase.com com os detalhes e os passos para reproduzi-la. Durante os testes, não acesse dados de outras pessoas nem interrompa o serviço. Vamos responder e manter você informado até a correção.