Segurança e proteção de dados
Como cuidamos dos dados da sua academia e dos seus alunos, quem participa do serviço e como nos avisar se você encontrar uma falha.
Como protegemos os dados da sua academia
Criptografia em trânsito
Tudo o que trafega entre o seu navegador ou o app e os nossos servidores é criptografado com TLS (HTTPS). Além disso, enviamos o cabeçalho HSTS, que obriga o navegador a usar sempre HTTPS conosco durante um ano.
Criptografia dos dados sensíveis
Os dados de categoria especial das fichas regulatórias de saúde (como origem étnica, identidade de gênero, deficiência ou operadora de saúde) são armazenados criptografados. As credenciais dos gateways de pagamento e das integrações de cada unidade também são armazenadas criptografadas, e as chaves privadas dos certificados são protegidas por uma senha reforçada com um segredo do servidor que não está no banco de dados.
Cada academia, isolada das demais
Cada pessoa trabalha com um perfil vinculado a uma empresa e a uma unidade, e as permissões e as consultas ficam limitadas a esse âmbito. Uma academia não vê os dados de outra e, dentro de uma academia, cada função só vê o que a sua unidade permite.
Backups criptografados e testados
Fazemos um backup diário dos bancos de dados. Cada backup é criptografado (AES-256) antes de sair do servidor e armazenado em um armazenamento criptografado; os backups são mantidos por 15 dias. Para ter certeza de que realmente funcionam, realizamos um teste de restauração que sobe um backup em um ambiente separado e verifica se os dados estão lá.
Códigos QR de acesso de uso único
O QR que o aluno mostra na catraca é gerado de forma aleatória, é de uso único e é renovado assim que abre uma porta. Se não for usado, expira em 24 horas e é substituído por outro. Não existe uma chave fixa que possa ser copiada ou encaminhada.
Registro de auditoria
As ações relevantes ficam registradas com quem as realizou e por qual canal (painel, app ou assistente), para que seja possível verificar o que aconteceu e quando.
Proteção das contas
Senhas
As novas senhas devem ter pelo menos 8 caracteres (e no máximo 72). Nunca são armazenadas em texto simples.
Limite de tentativas de acesso
Se alguém errar a senha repetidamente, o acesso é bloqueado por um tempo. O bloqueio é removido sozinho e não deixa a conta inutilizável.
Verificação em duas etapas (2FA)
Disponível com qualquer app de códigos (Google Authenticator, Authy e similares), com códigos de recuperação caso você perca o celular. É obrigatória para os administradores da plataforma e para a equipe das unidades que decidirem exigi-la; quem a ativa por conta própria não pode mais ignorá-la ao entrar. Se você marcar um dispositivo como confiável, ela não será pedida novamente por 7 dias.
Expiração da sessão
As sessões do painel expiram em 7 dias e é preciso entrar novamente. Você pode ver e encerrar suas sessões ativas.
Onde ficam os dados
Os servidores e os bancos de dados da plataforma estão na Amazon Web Services, em um data center na Espanha (União Europeia). O assistente LAIA funciona com modelos de IA executados em servidores da União Europeia. Mais detalhes sobre o tratamento de dados na política de privacidade.
Fornecedores que tratam dados (suboperadores)
Estes são os fornecedores que tratam dados da sua academia para que o serviço funcione. Eles só usam os dados seguindo as nossas instruções.
| Fornecedor | Para quê | Onde |
|---|---|---|
| Amazon Web Services (AWS) | Servidores e bancos de dados, armazenamento de arquivos e backups, envio de e-mails (Amazon SES) e de SMS (Amazon SNS) | Servidores e bancos de dados na Espanha (UE) |
| Cloudflare | Hospedagem e reprodução dos vídeos do conteúdo digital, e proteção do site e dos seus formulários | Rede global |
| Expo (650 Industries) | Envio de notificações push para o app | Fornecedor internacional |
| Google (Firebase) | Notificações push no Android e configuração remota do app | Fornecedor internacional |
| Apple | Notificações push no iPhone e no iPad | Fornecedor internacional |
| Sentry (Functional Software) | Relatórios de erros do app | Fornecedor internacional |
| Stripe, Redsys, Cybersource, Worldline, Wompi, ePayco e Azul | Cobranças com cartão e pagamentos pelo app, com o gateway de pagamento que cada academia conecta | Conforme o gateway |
| Meta (WhatsApp) | Mensagens por WhatsApp, quando a academia conecta o seu número | Fornecedor internacional |
| Anthropic, OpenAI e outros modelos de IA | Funcionamento do assistente LAIA, executado em servidores localizados na União Europeia | UE |
| TypeSafe AI | Decisões de apoio da IA (classificar mensagens e ocorrências, estimar o risco de cancelamento); sempre que possível, sem nome, e-mail nem telefone | EUA |
| Agencia Tributaria (Verifactu) | Envio dos registros de faturamento exigidos pela legislação espanhola | Espanha |
Se a academia ativar integrações com outros serviços (balanças de bioimpedância, software de gestão), os dados são compartilhados com eles porque a academia assim decide. Quando um fornecedor está fora do Espaço Econômico Europeu, a transferência se ampara no Quadro de Privacidade de Dados UE-EUA ou nas cláusulas contratuais padrão da Comissão Europeia.
Contrato de operador de dados (DPA)
Se a sua academia precisar assinar conosco um contrato de operador de dados, enviamos o documento quando você pedir, escrevendo para info@fitmewise.com.
Política de divulgação de vulnerabilidades
Se você acha que encontrou uma falha de segurança na Fitmewise, queremos saber. Obrigado por nos avisar de forma responsável.
Como informar
Escreva para info@fitmewise.com. Os dados de contato também estão em /.well-known/security.txt.
O que incluir no aviso
- O que você encontrou e onde (endereço web, tela ou endpoint).
- Os passos para reproduzir, com uma prova de conceito, se tiver.
- Qual impacto você acredita que tem e quais dados poderiam ser afetados.
- Seu contato, caso precisemos de mais informações (você pode escrever de forma anônima, mas assim não poderemos responder).
O que está dentro do escopo
- fitmewise.com
- o Dashboard (o painel de gestão da academia)
- a API da Fitmewise
- os apps móveis da Fitmewise e os de cada academia
O que fica de fora
- Ataques de negação de serviço (DoS/DDoS) ou testes de carga.
- Engenharia social contra a equipe, as academias ou os alunos (phishing, ligações etc.).
- Ataques físicos contra escritórios, equipamentos ou instalações.
- Envio de spam ou de mensagens em massa por meio dos nossos formulários ou canais.
Boa-fé
Se você agir de boa-fé, não acessar mais dados do que o necessário para demonstrar a falha, não os modificar nem destruir, não afetar o serviço e nos der um prazo razoável para corrigi-la antes de torná-la pública, não tomaremos medidas legais contra você por essa investigação.
Prazos de resposta
Confirmamos o recebimento em no máximo 5 dias úteis e mantemos você informado sobre o andamento da correção.
Recompensas
Não temos um programa de recompensas financeiras (bug bounty): não pagamos pelos avisos, embora agradeçamos muito o esforço.