Como tratamos segurança e dados.

Política de divulgação

Se encontrar uma vulnerabilidade em algo que operamos, diga-nos. Não iremos avançar com ações legais contra investigação de boa-fé que siga estas regras.

• Envie email para security@atalaia.review, cifrado com a nossa chave PGP se puder.
• Dê-nos um tempo razoável para corrigir antes de publicar. Procuramos responder em 3 dias úteis.
• Não aceda, altere nem guarde dados que não são seus, e pare assim que tiver demonstrado o problema.
• Sem negação de serviço, engenharia social ou testes físicos.

Damos crédito aos investigadores que o queiram, depois de o problema estar corrigido.

security.txt

Publicado em /.well-known/security.txt (RFC 9116):

Contact: mailto:security@atalaia.review
Encryption: https://atalaia.review/pgp-key.txt
Expires: 2027-10-08T00:00:00.000Z
Preferred-Languages: en, pt, es
Canonical: https://atalaia.review/.well-known/security.txt
Policy: https://atalaia.review/trust/#disclosure

Chave PGP

A nossa chave pública está em /pgp-key.txt (Ed25519, válida até outubro de 2028).

Impressão digital: 1D30 A03E AFEC 3C72 077B 2F27 346E 0437 30FF A362. Confirme-a por um segundo canal antes de confiar nela.

Privacidade

Este site só mede visitas se aceitar os cookies de análise (abaixo). Quando nos contacta, guardamos o seu nome, email e mensagem apenas para lhe responder e conduzir o trabalho, e apagamo-los quando deixam de ser necessários. Pode pedir uma cópia ou a eliminação a qualquer momento: security@atalaia.review.

Os dados de clientes dos trabalhos ficam nos sistemas do cliente sempre que possível. Quando temos de os guardar, são cifrados, o acesso é limitado às pessoas do trabalho, e são apagados no fim.

Cookies e análise

Usamos o PostHog, alojado na UE, para perceber que páginas ajudam e que perguntas as pessoas trazem, e assim saber o que escrever a seguir. Só funciona se aceitar no banner de cookies. Se rejeitar, ou se o seu browser enviar Global Privacy Control, nada é carregado.

Se aceitar, o PostHog regista as páginas que vê, os seus cliques e scroll, os menus que abre, o que pesquisa neste site, o seu país e o tipo de dispositivo, e uma gravação da sessão. Todos os campos de formulário ficam ocultos nas gravações e nunca lemos o que escreve num formulário. Continua anónimo: nunca associamos um nome ou email a uma visita.

• atalaia-consent (armazenamento local, sem validade): a sua escolha, para não voltarmos a perguntar.
• ph_* (um cookie que dura um ano, e armazenamento local): um ID de visitante anónimo e a sessão atual. Só é criado depois de aceitar.

Os eventos vão para atalaia.review/ingest e daí para o PostHog na UE. Os dados de análise são guardados durante um ano e as gravações durante 30 dias. Pode mudar de ideias a qualquer momento em Definições de cookies, também no rodapé. Rejeitar apaga os cookies do PostHog do seu browser. As fontes são servidas por este site, por isso não há mais nenhum terceiro envolvido.

Subcontratantes

Anunciaremos aqui as alterações antes de entrarem em vigor.