Segurança e compliance
Segurança é uma propriedade de como um sistema é construído e operado.
A Protocore constrói a camada de software para sistemas de pagamentos, IA e blockchain. Esta página explica com clareza como tratamos os dados, como o software é operado e onde fica a linha regulada — sem selos para exibir, apenas a postura com a qual construímos.
Dados e privacidade
Coletamos o que um fluxo precisa, e nada além disso.
Os sistemas que construímos seguem o princípio da minimização de dados: cada fluxo captura apenas os campos necessários para cumprir sua função, mantidos somente pelo tempo necessário. Quando hospedamos, hospedamos na UE — a produção roda na AWS eu-central-1, em Frankfurt — e construímos em alinhamento com as práticas da GDPR: base legal para o que é tratado, atendimento a solicitações de acesso e exclusão e dados pessoais fora de logs e análises por padrão.
- 01Minimização de dados por padrão
- 02Hospedagem na UE — AWS eu-central-1 (Frankfurt)
- 03Tratamento alinhado à GDPR: base legal, acesso, exclusão
- 04Dados pessoais fora de logs e análises
Como é operado
Acesso com privilégio mínimo e ações privilegiadas que exigem justificativa.
O software que entregamos é instrumentado desde o primeiro commit — logs, métricas e traces — para que o que acontece em produção seja visível, não presumido. O acesso segue o princípio do menor privilégio: cada ator, humano ou serviço, recebe a permissão mais restrita que lhe permite fazer seu trabalho. Ações sensíveis de operadores pedem uma justificativa antes de serem executadas e deixam uma trilha de auditoria de quem fez o quê, quando e por quê. Esse é o modelo por trás do Protocore Center, nosso console de operação — a mesma postura que incorporamos a cada sistema.
- 01Instrumentado por padrão — logs, métricas, traces
- 02Privilégio mínimo para cada ator, humano ou serviço
- 03Ações privilegiadas com justificativa obrigatória
- 04Trilha de auditoria de quem fez o quê, quando e por quê
Separação de responsabilidades
Nós construímos o software. A linha regulada fica com a licença.
Um produto de pagamento reúne duas coisas: a autorização regulatória para custodiar ou movimentar dinheiro e o software que instrui, concilia e exibe essa movimentação. A Protocore constrói o software. A atividade regulada — custodiar recursos, emitir contas, movimentar dinheiro — fica com a licença do próprio operador ou de um parceiro licenciado: um banco, uma IME ou uma instituição de pagamento. Construímos os fluxos para se encaixar nos trilhos regulados que você trouxer; não somos, e nenhum software é, substituto dessa autorização.
- 01A Protocore constrói o software, não a licença
- 02A atividade regulada fica com o operador ou com um parceiro licenciado
- 03Dados de cartão tratados de modo que nunca passem pelos seus servidores
- 04Autenticação forte do cliente integrada ao fluxo de pagamento
Práticas
Os hábitos por trás de um sistema em que você pode confiar.
Práticas concretas que incorporamos — descritas como mecanismos, não como selos.
Dados de cartão fora dos seus servidores
Os dados do cartão são tratados pelo trilho de pagamento e tokenizados, de modo que os números reais dos cartões nunca passam pela infraestrutura do operador.
Autenticação forte do cliente
A SCA está integrada aos fluxos de pagamento e de login — um segundo fator quando o trilho ou o risco exigem, e não um remendo posterior.
Criptografia em trânsito
O tráfego trafega por TLS de ponta a ponta; segredos e credenciais ficam em cofres gerenciados e em roles de instância, nunca no código-fonte.
Isolamento por tenant
Quando um mesmo sistema atende vários operadores, os dados de cada tenant são separados por controle de acesso, de modo que um tenant nunca possa ler os de outro.
Divulgação responsável
Encontrou algo? Fale com a gente.
Se você acredita ter encontrado uma falha de segurança em um sistema da Protocore, envie um e-mail e trabalharemos nisso junto com você. Buscamos confirmar o recebimento rapidamente, manter você informado durante a correção e dar o devido crédito, se desejar, após a resolução. Pedimos um prazo razoável para corrigir antes de qualquer divulgação pública e que você não acesse nem altere dados que não sejam seus durante os testes.
Envie um e-mail para security@protocore.io com o que você encontrou e como reproduzir.
Confirmamos o recebimento e começamos a analisar, geralmente em até alguns dias úteis.
Corrigimos e mantemos você informado sobre o andamento até a resolução.
Com a sua autorização, damos o crédito a você depois que o problema for resolvido.
Perguntas
As dúvidas de segurança que mais recebemos.
Descrevemos nossa segurança como práticas, não como selos. A Protocore constrói a camada de software; onde um esquema regulado se aplica — o tratamento de cartões, por exemplo —, o perímetro certificado fica com o trilho de pagamento ou com o parceiro licenciado do operador, e construímos para que os dados de cartão nunca passem pelos seus servidores. Se uma atestação específica for importante para o seu programa, conte para nós e mapearemos quem é responsável por quê.
Na UE. A produção roda na AWS eu-central-1 (Frankfurt). Construímos em alinhamento com as práticas da GDPR — minimização de dados, base legal para o tratamento e atendimento a solicitações de acesso e exclusão.
A licença. A Protocore constrói o software que instrui e concilia a movimentação de dinheiro; custodiar ou movimentar recursos fica com a sua própria licença ou com um parceiro licenciado — um banco, uma IME ou uma instituição de pagamento. Nenhum software substitui essa autorização.
Privilégio mínimo para cada ator e ações privilegiadas que exigem justificativa e deixam trilha de auditoria. Tudo é instrumentado, então quem fez o quê é um registro, e não uma reconstituição.
Envie um e-mail para security@protocore.io. Confirmamos rapidamente, mantemos você informado durante a correção e damos o crédito, se desejar, depois da resolução.
Tem uma dúvida de segurança que não abordamos?
Conte o que você precisa ver. Responderemos com detalhes — arquitetura, fluxos de dados e quem fica com cada linha.