O Adapty é a camada de infraestrutura de assinaturas de milhares de apps móveis e processa bilhões de dólares em transações de assinatura em nome dos nossos clientes.
Essa posição implica uma obrigação clara: os dados que você e os seus usuários nos confiam precisam ser tratados com cuidado, auditados por pessoas que não trabalham para nós e protegidos por controles que não dependam pessoalmente de ninguém.
Esta página descreve como fazemos isso.
Certificações
SOC 2 Type II
Uma firma independente de contadores públicos certificados (CPA) examina os nossos controles de segurança, disponibilidade e confidencialidade e emite um relatório de atestação SOC 2 Type II que abrange a efetividade operacional desses controles durante o período coberto pelo relatório. O relatório vigente está disponível para clientes e potenciais clientes mediante acordo de confidencialidade (NDA). Você pode solicitá-lo à equipe responsável pela sua conta ou pelo endereço [email protected].
Regulamentações de privacidade
O Adapty trata dados de usuários finais estritamente na qualidade de operador de dados, agindo somente de acordo com as instruções documentadas dos nossos clientes, nos termos do nosso Acordo de Tratamento de Dados. As nossas práticas de tratamento são concebidas para atender aos requisitos de:
- GDPR (UE e Reino Unido);
- LGPD (Brasil).
Caso a sua jurisdição tenha requisitos específicos não listados acima, entre em contato conosco — normalmente conseguimos atendê-los.
Como protegemos os dados
Criptografia
Todos os dados dos clientes são criptografados em trânsito (TLS 1.2+) e em repouso, com algoritmos de criptografia padrão do setor.
Rede e infraestrutura
A produção é executada em ambientes reforçados, segundo padrões do setor, com segmentação de rede entre os serviços, tráfego de entrada e de saída restrito e acesso com privilégio mínimo para o pequeno grupo de engenheiros que efetivamente têm acesso à produção. O acesso à produção exige autenticação multifator e é registrado em log.
Monitoramento contínuo
Os logs da nossa infraestrutura e dos nossos aplicativos são agregados de forma centralizada, anomalias acionam alertas automáticos e um engenheiro de plantão fica disponível 24 horas por dia, 7 dias por semana, para responder a incidentes.
Desenvolvimento seguro
Toda alteração de código passa por revisão por pares, análise estática automatizada e verificações de segurança no CI antes de poder chegar à produção. As dependências são monitoradas e corrigidas em um cronograma definido, e mantemos um pipeline de implantação claro que registra quem implantou o quê e quando.
Práticas operacionais
Pessoas
Todos os colaboradores concluem um treinamento de conscientização em segurança na contratação e anualmente. O MFA é obrigatório em todos os sistemas da empresa que oferecem suporte a ele. O acesso aos dados dos clientes é restrito, registrado em log e revisado regularmente.
Fornecedores
Todo terceiro do qual dependemos para infraestrutura, tratamento de dados ou segurança passa por uma avaliação documentada antes de ser contratado e é reavaliado periodicamente. Os fornecedores críticos são obrigados a possuir certificações equivalentes (normalmente SOC 2 Type II ou ISO 27001).
Resiliência
Realizamos backups criptografados em um cronograma definido, mantemos redundância em todos os nossos serviços críticos e testamos os nossos procedimentos de recuperação de desastres, para que a recuperação seja algo que de fato ensaiamos, e não algo que pretendemos resolver sob pressão.
Resposta a incidentes
Mantemos um plano documentado de resposta a incidentes com níveis de gravidade definidos, protocolos de comunicação e análise pós-incidente.
Como relatar uma vulnerabilidade
Se você acredita ter encontrado um problema de segurança no Adapty, envie um e-mail para [email protected]. Investigamos todos os relatos confiáveis, trabalhamos com quem relatou o problema na sua correção e damos crédito aos pesquisadores que seguem a divulgação responsável (a menos que prefiram permanecer anônimos).
Para avaliações de segurança Enterprise
Clientes Enterprise e potenciais clientes podem solicitar os seguintes documentos pelo endereço [email protected]:
- Relatório SOC 2 Type II vigente (mediante NDA);
- Questionário de segurança preenchido (CAIQ, SIG ou no seu próprio formato);
- Resumo da Política de Segurança da Informação;
- Resumo do teste de intrusão.
