O Sunset Docs foi concebido para reduzir cópias desnecessárias de documentos e limitar o tempo durante o qual os ficheiros ativos ficam disponíveis. Esta página descreve os controlos que utilizamos e os seus limites práticos. Não constitui uma certificação nem uma garantia de que todas as ameaças possam ser evitadas.
1. Responsabilidade partilhada
O Sunset Docs protege o serviço e os dados que trata. Os clientes continuam a ser responsáveis por ter um fundamento lícito para recolher cada documento, escolher uma data de eliminação adequada, controlar quem é membro do espaço de trabalho e proteger as cópias transferidas ou guardadas fora do serviço.
A utilização do Sunset Docs não torna, por si só, o cliente conforme com o RGPD nem com qualquer outro requisito legal ou setorial.
2. Contas e acesso ao espaço de trabalho
Cada pedido de acesso a um documento é verificado face à pertença do utilizador com sessão iniciada ao espaço de trabalho. Os proprietários do espaço de trabalho controlam o acesso dos membros e as permissões de transferência de originais. A verificação em dois passos está disponível para todas as contas e passa a ser exigida no início de sessão depois de ativada.
As palavras-passe são protegidas com hash Argon2id. As sessões expiram ao fim de sete dias e usam cookies Secure e SameSite, proteção contra CSRF e revogação no servidor. A reposição da palavra-passe revoga as sessões existentes.
3. Cifragem e armazenamento
Os originais dos documentos, as pré-visualizações e as cópias geradas são cifrados pela aplicação com AES-256-GCM antes de serem armazenados. Cada documento tem a sua própria chave de dados, que é encapsulada separadamente com a chave mestra do serviço.
Os objetos cifrados ativos ficam em infraestrutura privada da Hetzner e são replicados num bucket privado do Cloudflare R2. Não são usados URL públicos de objetos e os caminhos de armazenamento não contêm nomes de ficheiros dos clientes. O TLS protege os dados em trânsito.
4. Receção de ficheiros e deteção de malware
Os ficheiros suportados são verificados pelo conteúdo, colocados em quarentena e analisados antes de ficarem disponíveis. Os ficheiros protegidos por palavra-passe, danificados, não suportados ou suspeitos são rejeitados. A aplicação web não disponibiliza ficheiros em quarentena.
A análise de malware e a validação reduzem o risco, mas não detetam todos os ficheiros nocivos. Uma análise sem problemas não prova que um ficheiro seja seguro ou autêntico.
5. Limites do visualizador e das transferências
O modo só de visualização envia imagens geradas das páginas em vez do ficheiro original. Os pedidos de páginas, de impressão e de originais usam autorizações assinadas de curta duração e cabeçalhos de cache restritivos. As marcas de água do visualizador identificam o utilizador com sessão iniciada e a hora.
Quem consegue ver um documento pode sempre fotografar ou capturar o ecrã. A impressão cria outra cópia: os proprietários do espaço de trabalho escolhem se as cópias impressas levam marca de água e cada impressão fica registada no registo de atividade. Os proprietários do espaço de trabalho podem, em separado, permitir a transferência de originais.
6. Eliminação programada e manual
Cada documento tem uma data de eliminação. A eliminação programada, ou a eliminação manual autorizada, remove do armazenamento local e do R2 os originais ativos, as pré-visualizações, os ficheiros de impressão temporários, as chaves encapsuladas, os nomes de ficheiros, os dados do remetente e outros metadados sensíveis.
Fica um registo mínimo sem conteúdo durante 12 meses. Esse registo indica que a eliminação ocorreu, mas não guarda o documento, o nome do ficheiro nem a identidade do remetente.
7. Cópias de segurança e recuperação
As cópias de segurança cifradas da base de dados estão isoladas do acesso normal da aplicação e expiram no prazo de 30 dias. Se dados eliminados permanecerem como resíduo numa cópia de segurança protegida, não são restaurados para acesso normal do cliente e expiram com essa cópia.
O ciclo de vida dos objetos no R2 é um limite de segurança. A tarefa de eliminação da aplicação é responsável por cumprir a data de eliminação exata de cada documento.
8. Controlos operacionais
A aplicação funciona atrás de um proxy inverso, o armazenamento dos documentos fica fora da raiz web pública e as ações relevantes sobre documentos ficam registadas. O acesso à produção está restrito às pessoas que dele precisam para operar ou proteger o serviço e que estão sujeitas a deveres de confidencialidade.
Os e-mails transacionais não contêm documentos anexados, nomes de ficheiros, pré-visualizações, a identidade do remetente nem ligações que deem acesso a documentos. O e-mail de documentos recebido é tratado diretamente pelo Sunset Docs e os anexos são removidos do processamento de correio após a receção.
9. Incidentes de segurança
Investigamos suspeitas de incidentes, contemos os problemas confirmados, preservamos as provas necessárias para a investigação e notificamos os clientes afetados sem demora injustificada quando estejam em causa dados pessoais de clientes. Se ainda não dispusermos de todos os pormenores, fornecemos a informação por fases.
10. Limites fora do Sunset Docs
A receção por e-mail não consegue remover cópias que já estejam na pasta Enviados do remetente, num servidor de correio, numa cópia de segurança ou noutro sistema externo. Eliminar um documento do Sunset Docs não elimina as cópias que um cliente ou outra pessoa tenha transferido, impresso, fotografado ou guardado noutro local.
11. Comunicar uma vulnerabilidade
Envie as comunicações de segurança para [email protected]. Não inclua documentos pessoais nem informações de clientes. Não aceda a dados que não sejam seus, não perturbe o serviço e não recorra a engenharia social. Se encontrar dados de clientes, pare e comunique apenas a informação mínima de que precisamos para investigar.