Segurança

Segurança e confiança

A Devx constrói produtos que lidam com dados de empresas — inclusive financeiros. Esta página descreve, sem exageros, como protegemos esses dados hoje, quem nos ajuda a operar e como reportar uma falha.

Ainda não temos certificações formais (como SOC 2 ou ISO 27001). Quando tivermos, elas aparecerão aqui.

Produtos cobertos por esta página

FinSight AI

O que fazemos

Infraestrutura e rede
- Todo o tráfego passa pela Cloudflare: DNS, rede de entrega, firewall de aplicação e mitigação de ataques de negação de serviço (DDoS).
- O servidor de origem não aceita conexões diretas da internet: o site chega até ele por um túnel de saída.
- Conexões sempre por HTTPS (TLS 1.2 ou superior), com HSTS.
- Hospedagem e banco de dados no Brasil.
Dados e criptografia
- Dados criptografados em trânsito (HTTPS) e em repouso no banco de dados gerenciado.
- Senhas guardadas apenas como hash forte; chaves de API guardadas só como hash.
- Credenciais de integrações, como contas de pagamento, criptografadas no banco.
- Cada empresa cliente vê apenas os próprios dados: o isolamento entre empresas é testado automaticamente.
Acesso e operação
- Painéis administrativos com acesso restrito e verificação em duas etapas.
- Controle de acesso por funções e trilha de auditoria das ações administrativas.
- O site acessa o banco com um usuário de privilégios mínimos.
- Limite de tentativas e bloqueio automático de robôs que procuram falhas conhecidas.
Desenvolvimento seguro
- Toda mudança passa por checagem de tipos e testes automatizados antes de ir para produção.
- Varredura automática de segredos no código publicado.
- Ambientes de homologação e produção separados; só versões numeradas vão para produção.
- O servidor se recusa a iniciar em produção com configuração de segurança fraca.
Backups e continuidade
- Backups diários do banco de dados, com teste de restauração.
- Monitoramento contínuo e página de status pública.
- Se um produto for descontinuado, avisamos com antecedência e oferecemos a exportação dos dados.
Privacidade (LGPD)
- Coletamos o mínimo necessário e explicamos cada uso na Política de Privacidade.
- Exportação e exclusão de dados disponíveis; pedidos de titulares pelo canal de privacidade.
- No FinSight AI, dados pessoais (CPF, CNPJ, e-mail, telefone, cartão) são mascarados antes de qualquer envio a provedores de IA.
- Sem cookies de publicidade; análise de uso só com consentimento, quando aplicável.

Suboperadores

Empresas que tratam dados em nosso nome para operar o site e os produtos acima. Gateways de pagamento que a empresa cliente conecta com a própria conta no FinSight AI não são suboperadores da Devx: o contrato é direto entre a empresa e o gateway. Mudanças nesta lista são publicadas aqui.

Empresa	Finalidade	Dados tratados	Local	Onde é usado
Hostinger	Servidor de hospedagem (VPS) e e-mail do site	Dados processados pela aplicação e mensagens de e-mail	Brasil	Site e FinSight AI
Supabase	Banco de dados gerenciado	Dados de contas e conteúdo dos produtos	Brasil (São Paulo)	Site e FinSight AI
Cloudflare	DNS, rede de entrega, firewall e verificação anti-robô	Endereço IP e dados técnicos das requisições	Global	Site e FinSight AI
Google	Login com Google, IA (Gemini) e análise de uso com consentimento	Dados de login; textos enviados à IA, com dados pessoais mascarados; dados de navegação	Global	FinSight AI
GitHub	Login com GitHub	Dados de login	Estados Unidos	FinSight AI
OpenAI	IA, quando habilitada	Textos enviados à IA, com dados pessoais mascarados	Estados Unidos	FinSight AI
Mercado Pago	Cobrança das assinaturas da plataforma	Dados de pagamento e de cobrança	Brasil	FinSight AI
Asaas	Cobrança das assinaturas (cartão e Pix Automático)	Dados de pagamento e de cobrança	Brasil	FinSight AI
Pluggy	Conexão com bancos via Open Finance	Dados bancários autorizados pelo cliente	Brasil	FinSight AI
Focus NFe	Emissão de nota fiscal de serviço, quando usada	Dados da nota fiscal	Brasil	FinSight AI
Meta (WhatsApp Business)	Lembretes de cobrança por WhatsApp, quando ativados	Nome, telefone e dados da cobrança	Global	FinSight AI

Reportar uma falha de segurança

Encontrou uma vulnerabilidade? Escreva para o e-mail abaixo com os passos para reproduzir. Pedimos que:

não acesse, altere ou apague dados de outras pessoas;
não faça testes de negação de serviço (DDoS), spam ou engenharia social;
nos dê um prazo razoável para corrigir antes de divulgar.

Respondemos o mais rápido possível e não tomaremos medidas legais contra quem agir de boa-fé dentro dessas regras. Ainda não temos programa de recompensas. O mesmo contato está no nosso security.txt.

Segurança e confiança

Ainda não temos certificações formais (como SOC 2 ou ISO 27001). Quando tivermos, elas aparecerão aqui.

Produtos cobertos por esta página

FinSight AI

O que fazemos

Infraestrutura e rede

Todo o tráfego passa pela Cloudflare: DNS, rede de entrega, firewall de aplicação e mitigação de ataques de negação de serviço (DDoS).
O servidor de origem não aceita conexões diretas da internet: o site chega até ele por um túnel de saída.
Conexões sempre por HTTPS (TLS 1.2 ou superior), com HSTS.
Hospedagem e banco de dados no Brasil.

Dados e criptografia

Dados criptografados em trânsito (HTTPS) e em repouso no banco de dados gerenciado.
Senhas guardadas apenas como hash forte; chaves de API guardadas só como hash.
Credenciais de integrações, como contas de pagamento, criptografadas no banco.
Cada empresa cliente vê apenas os próprios dados: o isolamento entre empresas é testado automaticamente.

Acesso e operação

Painéis administrativos com acesso restrito e verificação em duas etapas.
Controle de acesso por funções e trilha de auditoria das ações administrativas.
O site acessa o banco com um usuário de privilégios mínimos.
Limite de tentativas e bloqueio automático de robôs que procuram falhas conhecidas.

Desenvolvimento seguro

Toda mudança passa por checagem de tipos e testes automatizados antes de ir para produção.
Varredura automática de segredos no código publicado.
Ambientes de homologação e produção separados; só versões numeradas vão para produção.
O servidor se recusa a iniciar em produção com configuração de segurança fraca.

Backups e continuidade

Backups diários do banco de dados, com teste de restauração.
Monitoramento contínuo e página de status pública.
Se um produto for descontinuado, avisamos com antecedência e oferecemos a exportação dos dados.

Privacidade (LGPD)

Coletamos o mínimo necessário e explicamos cada uso na Política de Privacidade.
Exportação e exclusão de dados disponíveis; pedidos de titulares pelo canal de privacidade.
No FinSight AI, dados pessoais (CPF, CNPJ, e-mail, telefone, cartão) são mascarados antes de qualquer envio a provedores de IA.
Sem cookies de publicidade; análise de uso só com consentimento, quando aplicável.

Suboperadores

Empresa	Finalidade	Dados tratados	Local	Onde é usado
Hostinger	Servidor de hospedagem (VPS) e e-mail do site	Dados processados pela aplicação e mensagens de e-mail	Brasil	Site e FinSight AI
Supabase	Banco de dados gerenciado	Dados de contas e conteúdo dos produtos	Brasil (São Paulo)	Site e FinSight AI
Cloudflare	DNS, rede de entrega, firewall e verificação anti-robô	Endereço IP e dados técnicos das requisições	Global	Site e FinSight AI
Google	Login com Google, IA (Gemini) e análise de uso com consentimento	Dados de login; textos enviados à IA, com dados pessoais mascarados; dados de navegação	Global	FinSight AI
GitHub	Login com GitHub	Dados de login	Estados Unidos	FinSight AI
OpenAI	IA, quando habilitada	Textos enviados à IA, com dados pessoais mascarados	Estados Unidos	FinSight AI
Mercado Pago	Cobrança das assinaturas da plataforma	Dados de pagamento e de cobrança	Brasil	FinSight AI
Asaas	Cobrança das assinaturas (cartão e Pix Automático)	Dados de pagamento e de cobrança	Brasil	FinSight AI
Pluggy	Conexão com bancos via Open Finance	Dados bancários autorizados pelo cliente	Brasil	FinSight AI
Focus NFe	Emissão de nota fiscal de serviço, quando usada	Dados da nota fiscal	Brasil	FinSight AI
Meta (WhatsApp Business)	Lembretes de cobrança por WhatsApp, quando ativados	Nome, telefone e dados da cobrança	Global	FinSight AI

Reportar uma falha de segurança

Encontrou uma vulnerabilidade? Escreva para o e-mail abaixo com os passos para reproduzir. Pedimos que:

não acesse, altere ou apague dados de outras pessoas;
não faça testes de negação de serviço (DDoS), spam ou engenharia social;
nos dê um prazo razoável para corrigir antes de divulgar.