Política de Segurança

Esta página descreve as medidas técnicas que protegem os dados tratados neste site, e como avisar a banda caso você encontre uma falha.

O que fazemos

• Tráfego criptografado. Todo o acesso ao site e ao painel acontece por HTTPS. O cookie de sessão só trafega por conexão segura.
• Cartão fora do nosso alcance. Dados de cartão são digitados no ambiente do provedor de pagamentos. Este site nunca recebe, transmite ou armazena número de cartão.
• Segredos criptografados. Chaves de integração ficam cifradas no banco, nunca aparecem em log e nunca são versionadas.
• Senhas com hash. Senhas de acesso ao painel são guardadas com algoritmo de hash próprio para senha, não é possível recuperá-las — só redefini-las.
• Acesso por perfil. Cada pessoa do painel tem apenas as permissões do seu trabalho. Quem opera a portaria vê a validação de ingresso, não o caixa da noite nem o cadastro dos compradores.
• Links de ingresso e pedido imprevisíveis. O endereço do seu ingresso e o da sua página de pagamento usam códigos aleatórios longos — não há número sequencial que permita chegar ao pedido de outra pessoa trocando um dígito.
• QR Code sem dado pessoal. O código impresso no ingresso é um número aleatório. Ele não carrega nome, CPF nem qualquer informação sua: quem fotografar o seu ingresso não descobre nada sobre você.
• Confirmação de pagamento só pela origem. Um pagamento só é considerado pago quando o provedor confirma por canal autenticado. Voltar de uma tela de sucesso no navegador não libera ingresso.
• Trilha de auditoria. As operações relevantes do painel ficam registradas com autor, data e endereço de rede.
• Limite de tentativas. Formulários e telas de login têm limite de envios por período, para conter tentativa automatizada.
• Proteções de navegador. O site declara política de conteúdo que restringe de onde scripts podem ser carregados, e o conteúdo publicado pelo painel é higienizado antes de ir ao ar.

Encontrou uma falha?

Avise pelo e-mail de contato no rodapé deste site, com a descrição do que encontrou e como reproduzir. Pedimos que não divulgue publicamente antes de nos dar a chance de corrigir, e que não acesse, altere ou baixe dados de outras pessoas durante o teste. Não movemos ação contra quem reporta de boa-fé e respeita esses dois pontos.

Se acontecer um incidente

Se houver incidente de segurança com risco relevante aos titulares, comunicamos os afetados e a Autoridade Nacional de Proteção de Dados, informando o que aconteceu, quais dados foram atingidos e o que estamos fazendo a respeito.