Política de Segurança da Informação

Última atualização: 14 de agosto de 2026 · Aplica-se ao Praxis (Métricas Caplace), operado por CANO DOS SANTOS LTDA

Este documento descreve como protegemos os dados confiados ao Praxis. Ele descreve o que está implementado hoje — não intenções. Cada controle abaixo existe no sistema em funcionamento.

1. Quem responde

O encarregado pelo tratamento de dados (DPO) é Aleff Santos, sócio da CANO DOS SANTOS LTDA. Contato para assuntos de segurança e privacidade, incluindo comunicação de vulnerabilidade: privacidade@caplace.com.br.

Se você encontrar uma falha de segurança no Praxis, escreva para esse endereço. Pedimos que não a divulgue publicamente antes de nos dar oportunidade de corrigir.

2. Controle de acesso

Senhas. Nunca guardamos a sua senha. O que fica gravado é um resumo criptográfico PBKDF2-HMAC-SHA256, com 200.000 iterações e sal individual de 16 bytes por usuário. A comparação é feita em tempo constante. Não temos como descobrir a sua senha, nem para lhe informar.

Sessão. O acesso é mantido por um cookie assinado criptograficamente, marcado como httpOnly (inacessível ao JavaScript da página), SameSite=Lax e Secure, com validade de 2 dias.

Revogação imediata. Trocar a senha, desativar ou excluir um usuário derruba na hora todas as sessões abertas daquela pessoa, em qualquer aparelho — quem troca a própria senha continua conectado só no navegador em que trocou. Não é preciso esperar o prazo do cookie vencer.

Proteção contra tentativa e erro. Cinco senhas erradas do mesmo usuário bloqueiam novas tentativas por 15 minutos; vinte tentativas erradas vindas do mesmo endereço de rede bloqueiam qualquer login. A contagem fica no banco de dados, não na memória do servidor, para que reiniciar o sistema não zere o bloqueio.

Perfis. Existem dois: equipe da Caplace e cliente. Na dúvida sobre um perfil, o sistema concede o menor privilégio.

3. Isolamento entre clientes

O Praxis atende vários lojistas na mesma instalação. Toda consulta ao banco de dados é filtrada pelo cliente, e essa decisão é tomada sempre no servidor, a partir da sessão autenticada — nunca a partir de um parâmetro que venha do navegador.

Um usuário com perfil de cliente fica preso ao próprio vínculo. Alterar o identificador na barra de endereços não muda nada: o valor recebido é descartado. Usuário sem vínculo tem o acesso negado, nunca liberado por omissão.

Todas as consultas usam parâmetros vinculados, o que elimina a classe de ataque conhecida como injeção de SQL.

4. Classificação dos dados

Nem todo dado precisa da mesma proteção, e tratar tudo igual acaba protegendo mal o que mais importa. O Praxis trabalha com quatro níveis, e o nível determina o tratamento.

Dado pessoal de comprador não aparece nesta tabela porque não é guardado. Ele é descartado na entrada, antes de qualquer gravação — ver o item 6. A forma mais segura de proteger um dado é não tê-lo.

Regra para o que não se encaixar: na dúvida, trate no nível mais alto entre os candidatos. Reclassificar para baixo depois é barato; descobrir que algo foi tratado abaixo do que merecia, não.

5. Cifra dos dados

Em trânsito. Todo o tráfego entre o seu navegador e o Praxis é cifrado com HTTPS, obrigatório em todas as rotas. O site declara HSTS com validade de dois anos, o que instrui o navegador a nunca tentar uma conexão sem cifra com este domínio.

Em repouso — as suas credenciais de marketplace. Quando você autoriza o Praxis a ler a sua conta no Mercado Livre, no Bling ou em outro marketplace, recebemos uma chave de acesso. Ela é guardada cifrada com AES-256-GCM, com número único de uso sorteado a cada gravação e selo de integridade. A chave que abre essa cifra vive fora do banco de dados.

Na prática: quem obtivesse uma cópia do nosso banco de dados não conseguiria usar a sua conta de marketplace.

Somente leitura. As autorizações que pedimos permitem ler os seus pedidos e o seu financeiro. O Praxis não altera anúncio, não muda preço e não responde comprador.

6. Dados dos seus compradores

Os pedidos que chegam dos marketplaces vêm com nome, CPF, endereço, telefone e e-mail do comprador. O Praxis descarta todos esses campos no momento da importação, antes de gravar qualquer coisa, por lista branca: campo que não esteja expressamente autorizado não é gravado. Só permanece o que tem função financeira.

No lugar da identificação do comprador guardamos um código pseudonimizado — um resumo HMAC-SHA256 calculado com chave secreta, do qual retemos 24 caracteres. Ele serve para uma coisa só: reconhecer que dois pedidos vieram do mesmo comprador, para medir recompra. Não é reversível e não identifica ninguém.

Isso significa que a sua base de compradores não fica exposta a um vazamento nosso: ela não está aqui. Detalhes em nossa Política de Privacidade.

Por isso o dado pessoal de comprador não recebe nível de classificação no item 4: não há o que classificar quando não há o que guardar.

7. Cópia de segurança

Todo dia, automaticamente:

• O banco inteiro é lido, comprimido e cifrado com AES-256-GCM, com chave derivada por PBKDF2-SHA256 com 600.000 iterações e sal próprio por arquivo
• O arquivo gerado é relido e conferido na mesma execução — cópia que nunca foi aberta não é cópia
• É gravado em dois destinos independentes, em fornecedores diferentes, e a rotina roda fora da plataforma que hospeda o sistema: perder o acesso a uma conta não leva junto o que protege contra perder aquela conta

Cópias diárias são mantidas por 90 dias; a cópia do primeiro dia de cada mês, por 5 anos. Não guardamos indefinidamente de propósito: prazo de descarte é parte do compromisso de privacidade.

O procedimento de restauração é automatizado, confere sozinho o resultado ao final comparando contagens e somas, e já foi usado em produção — não é um plano no papel.

8. Com quem os dados são compartilhados

Não vendemos dados e não os cedemos para publicidade. Usamos os serviços abaixo para operar:

A infraestrutura fica em provedores nos Estados Unidos. O tratamento dessa transferência está descrito na Política de Privacidade.

9. Como mudanças chegam ao sistema

• O código-fonte fica em repositório privado, com histórico completo
• Nenhuma senha, chave ou credencial fica no código: todas vivem em variáveis de ambiente, fora do repositório
• Toda alteração na estrutura do banco é um arquivo de migração versionado e registrado — não se altera o banco pelo console
• Os cálculos existem em duas implementações independentes, e uma prova automatizada falha se elas divergirem em um centavo
• As dependências da rotina que manipula segredos são fixadas em versão exata, para que uma publicação adulterada de um pacote não passe a rodar com acesso a eles

10. Gestão de vulnerabilidades

O sistema é construído sobre bibliotecas de terceiros. Falha descoberta em qualquer uma delas é falha nossa até ser corrigida, e por isso a descoberta não pode depender de alguém ler a notícia por acaso.

Como uma vulnerabilidade chega até nós

• Alertas automáticos de dependência, ligados no repositório: avisam assim que uma falha conhecida é publicada em alguma biblioteca que usamos
• Auditoria semanal automatizada, toda segunda-feira, que confere o conjunto inteiro de dependências de Python e do painel web. Achado de severidade alta interrompe a execução e dispara aviso — auditoria que passa em silêncio não serve
• Comunicação externa, por privacidade@caplace.com.br, aberta a clientes e a pesquisadores de segurança

Prazo de correção

Quando a correção não estiver disponível dentro do prazo, aplicamos mitigação — desligar o caminho afetado, restringir acesso ou trocar a biblioteca — e o prazo passa a contar para a solução definitiva.

Risco aceito é decisão registrada

Nem toda falha publicada numa biblioteca alcança este sistema. Quando avaliamos que não alcança, isso vira uma linha escrita, com o motivo específico e uma data de revisão — não um silêncio.

Passada a data, o item volta a ser tratado como pendente mesmo que nada tenha mudado, porque o que muda não é a falha: é o sistema em volta dela. E quando um item aceito deixa de aparecer, ele tem de sair do registro — item esquecido lá dentro acabaria acobertando um aviso novo do mesmo componente.

A conferência é automática e falha nos três casos: achado novo, prazo vencido e item já corrigido que ficou para trás.

Limites, ditos com clareza

Não fazemos análise estática de código, não mantemos inventário formal de componentes (SBOM) e nunca contratamos teste de invasão por terceiro independente. A verificação que temos é de dependências, não do nosso próprio código, e a revisão do código é feita por quem o escreve. Um comprador que precise de garantia independente deve considerar isso.

11. Resposta a incidentes

Nenhum sistema é inviolável. O que segue é o que acontece quando algo dá errado.

Quem responde

Aleff Santos é o ponto único: recebe a comunicação, decide a severidade, executa a contenção e assina o aviso aos clientes e à autoridade. Somos uma empresa pequena e não há plantão em turnos — dizer o contrário só produziria uma expectativa que não se cumpre.

Como comunicar

Por privacidade@caplace.com.br, a qualquer hora. Se puder, diga o que observou, quando, e o que já foi possível ver — mesmo sem certeza. Suspeita comunicada cedo vale mais que certeza comunicada tarde, e não há penalidade por alarme falso.

Isso vale tanto para clientes quanto para pesquisadores de segurança que encontrem uma falha. Pedimos que não a divulguem publicamente antes de nos dar oportunidade de corrigir.

Severidade

O que é feito, nesta ordem

• Conter. As ações disponíveis de imediato: derrubar todas as sessões abertas de um usuário, desativar o acesso, revogar a autorização de marketplace, trocar a chave que cifra as credenciais (o que exige que os lojistas autorizem de novo) e restaurar a cópia do dia anterior
• Apurar. Determinar o que foi alcançado, por qual caminho e desde quando
• Comunicar. Avisar os clientes afetados no prazo da tabela acima, dizendo o que aconteceu, quais dados foram alcançados, o que já foi feito e o que recomendamos que você faça
• Corrigir. Fechar a causa, não só o sintoma
• Registrar. Anotar o que houve e o que mudou, para que a mesma falha não volte por outro caminho

Autoridade e titulares

Em incidente que possa acarretar risco ou dano relevante, comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, na forma do art. 48 da Lei 13.709/2018 e no prazo fixado pela regulamentação vigente da ANPD.

Como descrito no item 6, não guardamos dado que identifique compradores finais — o que reduz, mas não elimina, o alcance possível de um incidente.

12. O que pedimos de você

Boa parte da segurança de uma conta está do lado de quem a usa. Pedimos que você use uma senha exclusiva do Praxis, não a compartilhe entre pessoas da sua equipe — cada uma pode ter o próprio acesso — e nos avise em privacidade@caplace.com.br assim que suspeitar de uso indevido. Trocar a senha (em Minha senha) derruba na hora as sessões abertas nos outros aparelhos e navegadores.

13. Mudanças nesta política

Alterações relevantes serão comunicadas por e-mail aos clientes. A data no topo desta página indica a última revisão.