Segurança do PayToMe: como protegemos seus dados

A segurança do PayToMe parte de uma ideia simples: o dado mais seguro é o que nunca coletamos. Esta página descreve o que fazemos hoje para proteger quem visita este site, como contas e pagamentos são tratados e como relatar um problema. O PayToMe está em beta público. Dizemos isso onde uma proteção ainda não existe.

Segurança do PayToMe: o que já existe hoje

Conexões criptografadas

O site é servido por HTTPS. Também enviamos o cabeçalho HTTP Strict Transport Security (HSTS), que diz aos navegadores para usar HTTPS nas próximas visitas ao site.

Proteções rígidas no navegador

Enviamos uma Content Security Policy (CSP) rígida e outros cabeçalhos de segurança. Uma CSP limita quais scripts, estilos e conexões uma página pode usar, o que reduz o estrago caso alguém tentasse injetar código malicioso. O site não carrega scripts de terceiros.

Sem cookies e sem rastreadores

O site não define cookies e não usa ferramentas de análise nem rastreadores de publicidade. Não há script de rastreamento que possa vazar, ser vendido ou ser mal usado.

Os dados dos geradores ficam no seu navegador

As ferramentas grátis, como o gerador de faturas e a calculadora de multa por atraso, rodam no seu navegador. O que você digita nelas, incluindo nomes de clientes, itens e valores, não é enviado aos nossos servidores. Veja todas na página de ferramentas.

Dados da newsletter

A newsletter é opcional. Se você entrar nela, armazenamos seu endereço de e-mail, o horário da inscrição e a página em que você se inscreveu. O site é hospedado na Cloudflare, que também mantém o banco de dados com as inscrições da newsletter. Os e-mails são enviados pela Resend. Essas duas empresas processam dados em nosso nome. O que armazenamos e por quê está descrito na política de privacidade.

Para limitar o abuso do formulário da newsletter, guardamos um hash com sal do endereço IP em vez do endereço original.

Login

As pessoas têm contas em app.paytome.si. Você entra com uma passkey, uma carteira digital ou um código enviado ao seu endereço de e-mail. Com uma passkey, não há senha para adivinhar nem para roubar por phishing. Nunca pedimos a você, por e-mail, uma passkey, uma frase de recuperação da carteira nem um código de login, então trate como suspeita qualquer mensagem que peça isso.

Pagamentos

Os pagamentos são processados pelo Stripe. O PayToMe não armazena números de cartão. Os planos pagos são assinaturas cobradas pelo Stripe, e você pode cancelar a qualquer momento.

IA segura

A assistente Via prepara faturas e pergunta antes de enviar. Os totais são calculados pelo motor de faturas do PayToMe, não pelo modelo de IA. A Via está no ar em beta.

O que está em desenvolvimento

Estes itens estão em desenvolvimento e ainda não estão no ar.

• O app para celular. Está em desenvolvimento, e esta página será ampliada para cobri-lo quando ele entrar no ar.

Não vamos afirmar uma certificação, como SOC 2 ou PCI DSS, até que a tenhamos.

Como relatar uma vulnerabilidade

Aceitamos com prazer relatos de pesquisadores de segurança e de qualquer pessoa que perceba algo estranho. Nossos dados de contato seguem a RFC 9116, o padrão para um arquivo security.txt, e estão publicados em /.well-known/security.txt.

Para relatar um problema, escreva para security@paytome.si com:

1. Uma descrição do problema e do seu impacto.
2. Os passos para reproduzi-lo, ou uma prova de conceito.
3. O endereço da página ou o componente afetado.
4. Como podemos falar com você, se quiser uma resposta.

Regras básicas

• Teste apenas com seus próprios dados e sessões. Não acesse, altere nem exclua dados de outras pessoas.
• Não faça testes de negação de serviço nem envie spam pelo formulário da newsletter.
• Dê a nós um tempo razoável para corrigir o problema antes de divulgar os detalhes publicamente.
• Não use engenharia social contra ninguém.

Se você seguir essas regras, trataremos seu relato como feito de boa-fé. Leremos todos os relatos e trabalharemos nos problemas confirmados.

Ainda sem programa de recompensas

No momento, o PayToMe não tem um programa de recompensas por falhas (bug bounty), então não podemos oferecer pagamento pelos relatos. Podemos oferecer agradecimentos e, com a sua permissão, crédito depois que o problema for corrigido. Se começarmos um programa, esta página vai informar.

O que você pode fazer

• Use um navegador atual, para que ele aplique as proteções que enviamos.
• Se receber um e-mail que diz ser do PayToMe e pede senha ou dados de pagamento, não responda. Encaminhe-o para security@paytome.si.
• Lembre-se de que os geradores mantêm seus dados no navegador, então limpar os dados do site ou fechar a aba os apaga.

Dúvidas

Para qualquer assunto não coberto aqui, veja a página de contato ou conheça nossa abordagem na página sobre nós.