Visão geral de segurança
Como a plataforma é construída e operada, e o que não afirmamos.
Data de vigência: 2026-09-13 · Versão: 1.0.0
Certificações que não temos
Não possuímos nenhuma certificação de segurança e não passamos por nenhuma auditoria de segurança de terceiros. Dizemos isso com todas as letras em vez de deixar o resto desta página sugerir o contrário, porque um comprador descobrir isso durante a análise de fornecedores custa muito mais, para os dois lados, do que ler aqui.
Se a sua análise precisa de evidência em vez de um selo, pergunte: respondemos a perguntas específicas sobre como um controle específico funciona.
Quem alcança o quê
Um Membro só alcança os dados da própria organização. Isso é aplicado em cada requisição, contra o recurso que está sendo pedido, e não presumido a partir da página de onde a requisição veio.
Nossa própria equipe não tem acesso permanente aos dados de clientes. Uma capacidade que envolve isso, como resolver um pedido de exclusão feito por endereço de contato ou revisar a região de residência declarada de uma organização, é concedida a uma conta interna individualmente, por permissão, e não por padrão, e toda ação privilegiada da equipe é gravada na trilha de auditoria, com quem fez e quando.
Criptografia
Toda conexão com a plataforma é feita por HTTPS; uma requisição em HTTP puro é redirecionada para ele em vez de atendida. Os dados em repouso, incluindo o banco de dados e tudo o que há nele, ficam em um volume de disco criptografado.
O que fica registrado
Quem mudou o quê, e quando, fica registrado para as ações que importam para um time que opera esta plataforma: mudanças em feature flags, ambientes, lançamentos, guardrails, membros e papéis. Os registros são mantidos por 7 anos.
Quando alguém exerce o direito à exclusão, o registro em si não é apagado; apagá-lo deixaria um buraco justamente na trilha de que um programa de conformidade depende. Em vez disso, a identidade do autor naquele registro é substituída por um marcador anônimo, de modo que o registro deixa de identificar a pessoa enquanto a trilha permanece intacta.
Monitoramento
A disponibilidade é medida de fora para dentro: uma sonda externa verifica a plataforma a partir de vários pontos da rede, em intervalo fixo, de forma independente da instância que está sendo verificada, porque um monitor que vive na mesma instância que observa não consegue ver essa instância cair. Logs, métricas e traces da aplicação são coletados continuamente e mantidos na nossa plataforma de observabilidade.
Se algo der errado
Investigamos uma suspeita de incidente de segurança assim que tomamos conhecimento, e agimos para conter em vez de esperar a investigação terminar. Se confirmarmos um incidente que afete dados pessoais de clientes, avisamos os clientes afetados sem atraso indevido e em até 72 horas após tomarmos conhecimento, com o que for conhecido no momento e atualizações à medida que mais se souber, o mesmo compromisso declarado no nosso acordo de tratamento de dados.
Serviços externos
Todo serviço externo que trata dados pessoais por nossa conta está nomeado, com sua finalidade e local de tratamento, na lista de suboperadores.
Como relatar uma vulnerabilidade
Escreva para privacy@rollfuse.com com detalhes suficientes para reproduzir o que você encontrou. Confirmaremos o recebimento e não tomaremos medidas contra você por ter relatado de boa-fé.