Segurança na SKØØLSKILL

A segurança é uma preocupação de primeira ordem na SKØØLSKILL, não um pensamento secundário. A maioria dos nossos utilizadores são estudantes que nos confiam os seus apontamentos, hábitos de estudo e um registo crescente daquilo que acham difícil. Levamos essa responsabilidade a sério e concebemos o Serviço de modo a que a opção segura seja, por predefinição, a opção fácil.

Seguimos os princípios do menor privilégio, da defesa em profundidade e da minimização de dados: recolhemos apenas o que o Serviço necessita, limitamos quem e o que lhe pode aceder, e partimos do princípio de que qualquer controlo isolado pode falhar, colocando outros camadas por trás dele.

O SKØØLSKILL corre em servidores Linux reforçados, alojados na União Europeia. Os sistemas de produção estão isolados dos ambientes de desenvolvimento e de testes, e o acesso administrativo está restrito a um perímetro de rede protegido por um proxy de autenticação.

• As bases de dados de produção não estão expostas à Internet pública.
• Os processos em segundo plano (digitalização de apontamentos, processamento de IA, email) correm em camadas separadas, para que um pico num deles não prive os restantes de recursos.
• Os segredos e credenciais são guardados fora do controlo de código-fonte e injetados em tempo de execução.

Todo o tráfego entre o teu dispositivo e o SKØØLSKILL é encriptado com TLS 1.2+. Impomos HTTPS em todo o lado e definimos uma Content-Security-Policy estrita para limitar o que pode ser executado no teu navegador.

Os dados são encriptados em repouso, incluindo o registo da tua conta, os apontamentos que digitalizas e os ficheiros anexados guardados no nosso armazenamento de objectos. As palavras-passe nunca são guardadas em texto simples — são processadas com um algoritmo de hash moderno e com sal.

O acesso aos dados de produção está limitado a um pequeno número de pessoal autorizado e é concedido estritamente na base da necessidade de conhecer. Usamos controlos de acesso baseados em funções dentro da aplicação e segurança ao nível da linha na base de dados, para que uma conta nunca possa ler os dados de outra.

• As acções administrativas são registadas e auditáveis.
• O acesso do pessoal usa autenticação forte e é revogado prontamente quando deixa de ser necessário.
• Separamos os dados de cada conta de aprendizagem ao nível da base de dados.

Construímos sobre uma stack moderna e activamente mantida e mantemos as dependências corrigidas. As nossas práticas de desenvolvimento incluem revisão de código, verificações automatizadas e protecções contra vulnerabilidades web comuns, como cross-site scripting (XSS), cross-site request forgery (CSRF) e injecção.

A autenticação e a gestão de sessões são tratadas por um framework auditado, em vez de código artesanal, e as operações sensíveis exigem nova verificação.

O SKØØLSKILL usa IA para ler os teus apontamentos, gerar prática e dar vida ao nosso tutor, o Nova. Este tratamento acontece para te entregar o Serviço — e apenas para isso.

• Não usamos o teu conteúdo para treinar modelos de IA, nem os nossos nem os de terceiros.
• Os nossos fornecedores de IA estão contratualmente obrigados a não conservar nem treinar com os dados enviados através das suas APIs.
• Podes apagar os teus apontamentos e conteúdos a qualquer momento, e nós apagamos os dados associados.

Fazemos cópias de segurança regulares e encriptadas, para podermos recuperar de falhas de hardware ou de perdas acidentais. As cópias de segurança são conservadas por um período limitado e estão sujeitas aos mesmos controlos de acesso que os dados de produção. Testamos periodicamente a nossa capacidade de restauro a partir delas.

Monitorizamos os nossos sistemas continuamente em busca de erros, anomalias e abusos. Os erros da aplicação e os eventos relevantes para a segurança são capturados e analisados.

Se tomarmos conhecimento de um incidente de segurança que afecte os teus dados pessoais, iremos investigá-lo, contê-lo e notificar os utilizadores afectados e as autoridades competentes sempre que a lei o exija, em conformidade com a nossa Política de Privacidade.

Os pagamentos são processados pela Stripe, um fornecedor certificado PCI-DSS Nível 1. Nunca vemos nem armazenamos o número completo do teu cartão — os dados do cartão são enviados directamente para a Stripe e tokenizados. O SKØØLSKILL conserva apenas uma referência e os metadados de facturação mínimos necessários para gerir a tua subscrição.

Estamos gratos aos investigadores de segurança que ajudam a manter o SKØØLSKILL seguro. Se acreditas ter encontrado uma vulnerabilidade, envia um email para [email protected] com detalhes suficientes para a conseguirmos reproduzir.

Se agires de boa-fé ao abrigo desta política, não intentaremos qualquer acção legal contra ti pela tua investigação.

A 4cs BV está estabelecida na Bélgica e trata dados pessoais em conformidade com o Regulamento Geral sobre a Protecção de Dados da UE (RGPD). Para detalhes sobre o que recolhemos, porquê e os teus direitos, consulta a nossa Política de Privacidade. Escolhemos subcontratantes que oferecem fortes garantias de segurança e de protecção de dados.

Para questões de segurança ou para denunciar uma vulnerabilidade: