Políticas de Segurança da Informação

1. Princípios e Governança de Segurança

O Tarefaí projeta suas soluções sob o conceito de Security by Design (Segurança desde a Concepção) e Security by Default (Segurança por Padrão). Toda funcionalidade, rota de API e armazenamento é concebido visando:

• Confidencialidade: Garantir que os dados da sua empresa só possam ser acessados por usuários expressamente autorizados.
• Integridade: Assegurar que os registros de execução de processos, evidências e checklists não possam ser adulterados indevidamente.
• Disponibilidade: Manter a infraestrutura operacional estável, resiliente e acessível durante a rotina de trabalho das equipes.
• Rastreabilidade (Não-repúdio): Registrar eventos críticos de forma auditável e transparente para fins de conformidade.

2. Isolamento de Dados e Arquitetura Multi-Tenant

A plataforma opera em ambiente com estrito isolamento lógico entre organizações (multi-tenancy):

• Cada requisição a recursos operacionais (tarefas, processos, colaboradores, templates, histórico) valida compulsoriamente a identificação e o vínculo da organização do usuário solicitante.
• É estritamente vedada a consulta direta a recursos de banco de dados sem a filtragem pelo identificador do tenant correspondente, prevenindo vulnerabilidades de Broken Object Level Authorization (BOLA/IDOR).
• Controles de escopo garantem que colaboradores de uma unidade ou organização não tenham qualquer visibilidade sobre dados, tarefas ou equipes de terceiros.

3. Autenticação e Controle de Acessos

O Tarefaí implementa múltiplos fatores e métodos seguros de autenticação projetados para o ambiente operacional:

4. Criptografia em Trânsito e em Repouso

Aplicamos criptografia de padrão internacional em todas as camadas da aplicação:

• Em Trânsito: Todo o tráfego entre os navegadores/dispositivos móveis e os servidores do Tarefaí é obrigatoriamente criptografado via TLS (HTTPS) com certificados digitais atualizados e cifras criptográficas de alta segurança.
• Em Repouso: Bancos de dados, backups e mídias de armazenamento em nuvem contam com criptografia AES-256 nativa, resguardando os dados gravados contra acessos físicos não autorizados.
• Segredos e Chaves: Chaves de API, variáveis de ambiente sensíveis e certificados nunca são versionados em código-fonte, sendo gerenciados de forma isolada nos serviços de infraestrutura.

5. Trilhas de Auditoria e Integridade Operacional

Garantir a veracidade da execução é fundamental para operações de saúde, alimentação, indústria, varejo e serviços:

• Todas as conclusões de tarefas, conferências de itens e assinaturas registram carimbos de data/hora (timestamp) confiáveis e a identidade do operador responsável.
• Evidências anexadas (como fotografias ou anotações) são atreladas ao registro histórico imutável daquela execução, prevenindo exclusão retroativa ou adulteração.
• Ações administrativas críticas (alterações cadastrais de colaboradores, exclusão de modelos ou permissões de gestores) geram registros internos de log para fins de governança e auditoria.

6. Resiliência, Backups e Continuidade de Negócio

Para assegurar que a sua operação não pare:

• Rotinas de Backup: Cópias de segurança completas e incrementais dos bancos de dados são geradas periodicamente de forma automática, com retenção distribuída geograficamente.
• Testes de Recuperação: Procedimentos de restauração são verificados regularmente para garantir o cumprimento dos objetivos de tempo de recuperação (RTO) e ponto de recuperação (RPO).
• Alta Disponibilidade: A infraestrutura utiliza serviços em nuvem escaláveis com balanceamento de carga e tolerância a falhas de instâncias individuais.

7. Proteção de Infraestrutura e Redes

A camada de rede e aplicação conta com controles de proteção perimetral:

• Mitigação de ataques de negação de serviço distribuída (DDoS);
• Mecanismos de Rate Limiting para prevenir abuso de rotas de login, envio de formulários e pesquisas automatizadas;
• Políticas de cabeçalhos de segurança HTTP (como Content-Security-Policy, HSTS, X-Content-Type-Options e Referrer-Policy);
• Validação estrita de esquemas de entrada de dados para eliminação de vetores de injeção de código (SQL Injection, XSS e CSRF).

8. Gestão de Vulnerabilidades e Incidentes

Mantemos um ciclo contínuo de monitoramento de segurança:

• Análise de Dependências: Ferramentas automatizadas analisam bibliotecas e pacotes externos em busca de vulnerabilidades conhecidas (CVEs), com aplicação ágil de patches de correção.
• Resposta a Incidentes: Dispomos de protocolo interno documentado para detecção, contenção, mitigação e comunicação célere em caso de qualquer incidente de segurança relevante.

9. Responsabilidades do Usuário e da Organização

A segurança da informação é um esforço compartilhado entre o Tarefaí e os seus clientes:

• Colaboradores devem manter o sigilo de seus PINs e senhas individuais, não compartilhando credenciais com outros membros da equipe;
• Gestores devem revogar imediatamente o acesso de colaboradores desligados ou transferidos de função;
• Aparelhos compartilhados em turnos de trabalho devem utilizar mecanismos de bloqueio de tela e encerramento de sessão ao término de cada jornada;
• Sempre acesse o sistema através de navegadores atualizados e do domínio oficial tarefai.com.br.

10. Canal de Reporte de Vulnerabilidades e Contato

Incentivamos o reporte responsável de potenciais vulnerabilidades ou comportamentos inesperados na plataforma por pesquisadores de segurança, clientes e parceiros.