Segurança

• Todas as conexões — com o site, com a plataforma e com as integrações — usam HTTPS (TLS).
• Credenciais de integração e certificados digitais ficam guardados cifrados com AES-256-GCM, nunca em texto aberto.
• Nenhuma senha de banco é armazenada: o consentimento Open Finance é dado no ambiente do próprio banco.

Cada empresa contratante tem um ambiente exclusivo na plataforma — que pode reunir as empresas do mesmo grupo dela —, com os dados separados no próprio banco de dados (PostgreSQL com Row-Level Security): o banco filtra as linhas pelo ambiente da sessão, e um ambiente nunca enxerga dados de outro. É uma camada de proteção que não depende só do código da aplicação.

Dentro do ambiente, cada usuário vê as empresas daquele ambiente conforme o seu perfil. As empresas do grupo HWH usam um ambiente próprio, separado do das demais contratantes.

• Sem cadastro self-service — a contratação é feita mediante contrato, e o acesso é criado pela HWH depois da contratação, no ambiente da empresa.
• Perfis — administrador, operador e leitura: cada um vê e faz só o que o perfil permite.
• Sessões revogáveis — um administrador pode encerrar sessões ativas a qualquer momento.
• Limite de tentativas de login — contra tentativas repetidas de adivinhar senhas.

Cada alteração em lançamento gera um registro de quem fez, o quê e quando, e cada baixa por conciliação registra quem conciliou e quando. A trilha é imutável: os registros não são editados nem apagados.

Cópia de segurança diária, guardada por 14 dias, para recuperar os dados em caso de falha. Depois desse prazo, cada cópia expira.

• O site e a plataforma rodam em servidor dedicado (VPS) da Hetzner Online GmbH, com data center em Hillsboro, Oregon, Estados Unidos — veja a transferência internacional na Política de Privacidade.
• O acesso administrativo ao servidor é restrito por chave SSH.

A conexão é feita pela Pluggy, plataforma de Open Finance que conecta a HWH Tesouraria às instituições financeiras participantes do Open Finance Brasil. A Pluggy Brasil Instituição de Pagamento LTDA (CNPJ 37.943.755/0001-30) se apresenta como instituição autorizada pelo Banco Central do Brasil como Iniciadora de Transação de Pagamento (ITP) e é quem coleta e gerencia o consentimento no Open Finance Brasil. A HWH é cliente da Pluggy, não participante do Open Finance. Pedimos só o que a gestão financeira precisa:

• Somente leitura — dados cadastrais, contas, saldos, transações, cartões de crédito e faturas e operações de crédito da empresa que deu o consentimento.
• A plataforma não inicia pagamentos e não movimenta dinheiro.
• Os dados recebidos entram só no ambiente exclusivo da empresa que deu o consentimento.
• O compartilhamento vale pelo prazo e para a finalidade informados na tela de consentimento do banco e pode ser revogado a qualquer momento.

Encontrou uma vulnerabilidade ou suspeita de incidente? Escreva para o encarregado, João Vitor Amato: atendimento@tremed.com.br.

O que enviar

• descrição do problema e passos para reproduzir;
• data e hora em que foi observado;
• possível impacto (prints ajudam).

O que esperar

Confirmamos o recebimento em até 2 dias úteis e mantemos você informado até a correção.

Boa-fé

Pedimos que não acesse, altere ou apague dados de terceiros além do mínimo para demonstrar o problema, que não prejudique o serviço e que não divulgue a falha antes da correção. Não há programa de recompensa. Os mesmos contatos estão em /.well-known/security.txt.

1. 1

   Conter

   Isolar o problema, encerrar sessões e trocar credenciais afetadas e bloquear o acesso indevido.

2. 2

   Avaliar

   Entender o que aconteceu, quais dados e quais titulares foram afetados e qual o risco para eles.

3. 3

   Comunicar

   Avisar sem demora as empresas contratantes afetadas, que são as controladoras dos seus dados, e apoiá-las na comunicação aos titulares e à ANPD quando o incidente puder causar risco ou dano relevante (art. 48 da LGPD). Quando a HWH é a controladora, ela mesma faz essa comunicação, no prazo e na forma da regulamentação da ANPD. Parceiros afetados, como a Pluggy, também são avisados.

4. 4

   Corrigir e registrar

   Eliminar a causa, restaurar o serviço (a partir do backup, se preciso) e registrar o incidente e as medidas tomadas.