Segurança

• A entrada é feita com email e senha. A senha é guardada apenas pelo provedor de autenticação, em formato que não permite recuperar o texto original — nós nunca a vemos, não a registramos em log e não a enviamos a ninguém.
• O endereço de email precisa ser confirmado por um link antes de a conta poder ser usada, e o link é de uso único.
• Há limite de tentativas de entrada por endereço de email e por origem da requisição, e limite de reenvio dos emails de confirmação, para conter tentativa de adivinhação e uso do formulário como disparador de mensagens.
• As sessões trafegam exclusivamente por conexão HTTPS, e os cookies de sessão são marcados como seguros na origem publicada.
• As páginas do painel são servidas sem cache, para que conteúdo autenticado não fique guardado em intermediários.

A separação entre empresas não depende apenas da interface: ela é aplicada no próprio banco de dados, por regras de acesso por linha, e verificada de novo no servidor a cada operação.

Na aceitação em produção testamos ativamente o cenário adversarial: com a sessão de uma conta, tentamos ler pedidos, respostas, notas, histórico, arquivos e a página de outra conta, e tentamos alterar a situação de um pedido alheio. Todas as tentativas foram negadas, tanto pelas rotas autenticadas quanto no acesso direto ao banco.

• As fotos ficam em repositório privado: não existe endereço público que abra o arquivo, e a tentativa de acesso direto é recusada.
• A visualização usa links temporários e assinados, válidos por poucos minutos e emitidos apenas para a conta dona do pedido.
• As imagens são reprocessadas no servidor antes de serem guardadas, o que remove metadados embutidos no arquivo, incluindo coordenadas de GPS.
• Só são aceitas imagens JPG, PNG ou WebP, com conferência do conteúdo real do arquivo além da extensão, e com limites de tamanho e quantidade.

• Tudo que chega do navegador é validado no servidor por esquema, com limites de tamanho — o formulário público inclusive.
• Operações que alteram dados exigem que a requisição venha do próprio site, o que barra tentativas de acionamento a partir de outra origem.
• O envio de um pedido é idempotente: uma reenvio do mesmo formulário não cria uma segunda solicitação.
• Mudanças de situação de um pedido passam por uma única operação transacional que registra o histórico junto, e não podem ser gravadas por caminhos alternativos.
• Há limite de envios por página em uma janela de tempo, aplicado de forma compartilhada e não por processo isolado.

As páginas públicas de solicitação de orçamento não carregam o Meta Pixel nem widgets externos. A medição publicitária fica restrita ao fluxo comercial do Reqelo e depende de consentimento. As fontes são servidas pelo próprio domínio.

Nem a tela de assinatura, dentro do painel, carrega componente do meio de pagamento: ao assinar, você é levado à página de pagamento do Asaas, onde os dados do cartão são digitados, para que esses dados não passem pelos nossos servidores.

As credenciais privilegiadas do serviço são usadas apenas no servidor e foram verificadas como ausentes de todo o código enviado ao navegador.

Preferimos ser precisos a soar impressionantes:

• Não possuímos certificações como ISO 27001, SOC 2 ou PCI DSS, e não estamos em processo de certificação. No caso dos pagamentos, é o provedor que trata os dados do cartão, e a conformidade dele deve ser consultada na documentação pública do próprio provedor.
• Não temos equipe de segurança dedicada nem monitoramento 24 horas.
• Não oferecemos garantia de disponibilidade nem de inviolabilidade. Nenhum sistema é imune.
• Dependemos da segurança dos nossos fornecedores de infraestrutura, listados em Suboperadores.

Mantemos um plano interno com etapas de detecção, contenção, preservação de evidências, avaliação de risco, comunicação e revisão posterior. Havendo risco ou dano relevante aos titulares, comunicamos a Autoridade Nacional de Proteção de Dados e os afetados na forma da Resolução CD/ANPD nº 15/2024.

Encontrou algo que parece uma vulnerabilidade? Queremos saber. Descreva o que observou, como reproduzir e o impacto que imagina, e responderemos assim que possível.

Pedimos que você não acesse, altere ou divulgue dados de outras pessoas ao investigar, e que aguarde nossa resposta antes de tornar o assunto público. Não mantemos programa de recompensa financeira.

• Suporte: reqelo.suporte@hotmail.com
• Privacidade e proteção de dados: reqelo.suporte@hotmail.com
• Reporte de falhas de segurança: reqelo.suporte@hotmail.com
• Assuntos comerciais: reqelo.suporte@hotmail.com