Segurança

Os dados ficam armazenados em data centers no Brasil, em provedores de nuvem com certificação ISO 27001 e SOC 2. A escolha por hospedagem nacional é deliberada: além de cumprir a LGPD com mais facilidade, dá menos latência pra seus clientes.

Toda comunicação entre o seu navegador e nossos servidores acontece sob TLS 1.3. Dados sensíveis em repouso (senhas, tokens de pagamento, conteúdo de mensagens) são criptografados com AES-256. Senhas nunca são armazenadas em texto puro — passamos por hashing com algoritmos modernos (argon2id).

Acesso aos bancos de dados de produção é restrito a um número limitado de pessoas do time técnico, com autenticação multifator obrigatória. Toda ação de staff (visualização, edição, exportação) é registrada em log de auditoria imutável por 7 anos.

Backups completos diários, com retenção de 30 dias. Restauração testada periodicamente. Em caso de incidente, conseguimos restaurar dados de qualquer ponto nos últimos 30 dias com uma operação assistida.

O Tapoint cumpre integralmente a Lei Geral de Proteção de Dados (Lei 13.709/2018). Você, como controlador dos dados dos seus clientes, é responsável pelo uso — nós somos operadores. Para garantir conformidade:

• Coletamos só o necessário pro serviço funcionar.
• Pedimos consentimento explícito quando exigido.
• Permitimos exportação total dos dados em CSV ou JSON, a qualquer momento.
• Após cancelamento, os dados são apagados em até 30 dias.
• Mantemos contrato de Operador (Art. 39, LGPD) disponível pra clientes que solicitarem.

O Encarregado pelo Tratamento de Dados Pessoais do Tapoint pode ser contatado em dpo@tapoint.com.br. Respondemos em até 15 dias úteis, conforme exige a LGPD.

Se você acha que encontrou uma falha de segurança, escreva pra seguranca@tapoint.com.br com detalhes técnicos. Não exploraremos a falha em produção e te respondemos em até 48 horas. Não temos programa de bug bounty público ainda, mas reconhecemos publicamente quem reporta de boa-fé.

Em caso de incidente que afete dados pessoais, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, conforme o Art. 48 da LGPD. Histórico público de incidentes operacionais fica em /status.