Seus dados protegidos.
Com evidências técnicas reais.

Os dados são processados exclusivamente para a operação do serviço. Podem ser compartilhados apenas com provedores de infraestrutura diretamente necessários à operação (hospedagem e armazenamento de backup). Nenhum dado é compartilhado com ferramentas de marketing, CRM ou qualquer terceiro não essencial à operação.

Os dados são armazenados em servidor dedicado no Brasil (Hostinger KVM — IP dedicado). O backup é enviado diariamente para armazenamento externo criptografado, garantindo cópia off-site em caso de falha do servidor principal.

Dados em trânsito são criptografados via TLS 1.3 (mínimo TLS 1.2). Toda conexão HTTP é redirecionada automaticamente para HTTPS — verificado com nota A+ pelo SSL Labs.

Backups são criptografados com GPG antes do envio para armazenamento externo. O banco de dados em produção está em servidor de acesso restrito, não exposto à internet diretamente.

A autenticação utiliza múltiplas camadas de proteção:

• Senhas armazenadas com hash Argon2id — algoritmo recomendado pelo OWASP como mais seguro disponível
• MFA obrigatório para todos os usuários via TOTP (compatível com Google Authenticator e Authy)
• Proteção brute force em 3 camadas simultâneas: Nginx, aplicação e lockout de conta após 5 tentativas
• Sessões com expiração absoluta de 24h e revogação imediata no logout
• Log de todas as tentativas de acesso com IP e timestamp

Cada usuário acessa somente os módulos e dados permitidos pelo seu perfil. A verificação ocorre no servidor — não é possível contorná-la pelo navegador. O portal do cliente é completamente isolado do ambiente interno da equipe técnica.

• Backup automático diário do banco de dados PostgreSQL
• Criptografia GPG antes do envio off-site
• Retenção de 30 dias
• RTO (Recovery Time Objective): 4 horas
• RPO (Recovery Point Objective): 24 horas
• Plano de recuperação documentado com responsáveis e passos definidos

Logs de acesso e autenticação: 6 meses. Trilha de auditoria de alterações: 12 meses. Logs de erro do servidor: 3 meses. A política completa está documentada e disponível sob solicitação.

O VMA Quality possui plano formal de resposta a incidentes com classificação por severidade (P1 a P4). O prazo máximo de comunicação ao cliente afetado é de 24 horas após a identificação do incidente. O plano inclui procedimentos de contenção, investigação e, quando aplicável, notificação à ANPD conforme LGPD.

Sim. O VMA Quality passou por auditoria técnica completa de código-fonte antes da entrada em produção, com validação por ferramentas externas independentes:

• SSL Labs: nota A+ (máximo possível)
• Mozilla Observatory: nota A
• Security Headers: nota A+ (máximo possível)
• Sucuri SiteCheck: sem malware, limpo em 9 blacklists
• Snyk: zero vulnerabilidades críticas ou altas nas dependências

O relatório técnico completo está disponível sob solicitação para clientes e parceiros.