Segurança & Confiança

Para quem tem pressa

Criptografia em trânsito e em repouso, senhas com hash bcrypt, segredos sensíveis (chaves BYOK e tokens do Search Console) criptografados no banco, limitação de taxa em endpoints sensíveis e isolamento de dados por Organização. Pagamentos processados pela Stripe (PCI-DSS Nível 1) — nunca vemos o número do seu cartão.

Proteção de dados

Em trânsito: toda comunicação com a plataforma usa HTTPS/TLS;
Senhas: armazenadas com hash bcrypt — nunca em texto plano, nunca reversível;
Sessões: criptografadas no servidor;
Chaves de API próprias (BYOK) e tokens de integração com o Search Console: armazenados de forma criptografada no banco de dados, não em texto claro;
Formulários: protegidos contra falsificação de requisição (CSRF) em toda a plataforma;
Backups: regulares, com acesso restrito à equipe de infraestrutura.

Controle de acesso

Isolamento por Organização: cada usuário só acessa os projetos, palavras-chave e relatórios da própria Organização.
Login e recuperação de senha: protegidos por limitação de taxa (rate limiting) contra tentativas automatizadas;
Endpoints de custo sensível (pesquisa de palavras-chave, sincronização com o Search Console, auditorias, sugestões por IA): limitados por taxa para conter abuso e uso indevido de chaves de API compartilhadas;

Pagamentos

Todo processamento de cartão de crédito é feito pela Stripe, certificada PCI-DSS Nível 1 — o mais alto nível de conformidade para processamento de pagamentos. o VeroRank não armazena número de cartão, CVV ou dados sensíveis de pagamento; guardamos apenas o token da assinatura e o histórico de cobrança (valor, data, status).

Subprocessadores

A lista completa de fornecedores com acesso a dados, incluindo jurisdição de cada um, está no nosso DPA (seção 06). Em resumo: Google (login, Search Console, Gemini, PageSpeed), OpenAI (ChatGPT), Stripe (pagamentos), DataForSEO e Serper (dados de busca), e um provedor de e-mail transacional.

Retenção e eliminação

Os prazos de retenção por tipo de dado — conta, projetos, resultados de IA, auditorias, logs, pagamentos — estão detalhados na Política de Privacidade (seção 05). Ao excluir sua conta, seus dados pessoais são removidos do ambiente ativo; cópias de segurança residuais seguem os ciclos normais de rotação de backup.

Certificações

Sem certificação formal no momento o VeroRank ainda não possui certificações formais como SOC 2 ou ISO 27001. Os controles descritos nesta página são práticas que já aplicamos em produção — não uma auditoria de terceiros. Se sua due diligence exigir certificação formal, fale com a gente em lgpd@verorank.com.br antes de assumir que temos.

Reportar uma vulnerabilidade

Se você identificou uma vulnerabilidade de segurança na plataforma, avise a gente diretamente em lgpd@verorank.com.br antes de divulgar publicamente. Descreva os passos para reproduzir o problema — respondemos o mais rápido possível e priorizamos a correção conforme a gravidade.