Visão Geral de Segurança

Sumário

1. 1. Em resumo
2. 2. Onde seus dados são mantidos
3. 3. Criptografia
4. 4. Separação dos dados de cada negócio
5. 5. Proteção do login
6. 6. Trilha de auditoria e detecção de adulteração
7. 7. Backups e recuperação
8. 8. Pagamentos e dinheiro
9. 9. Inteligência artificial
10. 10. Acesso da nossa equipe
11. 11. Monitoramento e resposta a incidentes
12. 12. Certificações
13. 13. O que você pode fazer
14. 14. Comunicação de uma vulnerabilidade

Versão: 1.2 · Publicado em: 16 de outubro de 2026 · Em vigor: na aceitação para novos Espaços de Trabalho; para os Espaços de Trabalho que aceitaram uma Versão anterior, na data que a STAK indicar em seu aviso nos termos da cláusula 20 dos Termos de Serviço do Cliente · Texto prevalecente: Inglês (cláusula 23.9 dos Termos de Serviço do Cliente)

Emitido por: STAK Global, LLC, sociedade de responsabilidade limitada constituída no Estado de Delaware, Estados Unidos da América (número de registro 10798493), que é titular da STAK (ستاك) e dos Serviços. Contato: [email protected].

Esta Visão Geral de Segurança explica em linguagem simples como protegemos os dados do seu negócio e mantemos cópias deles, conforme a situação na Data de Vigência desta Versão. Nós a atualizamos quando isso mudar. Ela é apenas informativa. Nossos compromissos contratuais estão no Acordo de Tratamento de Dados. As expressões definidas nos Termos de Serviço do Cliente STAK têm o mesmo significado nesta Visão Geral de Segurança.

1. Em resumo

• Seus dados são criptografados enquanto trafegam e enquanto estão armazenados em nossos sistemas.
• Os dados de cada empresa são mantidos separados dos de todas as outras no próprio banco de dados.
• Fazemos Backups contínuos e mantemos cópias diárias e mensais em outro país, protegidas contra exclusão antecipada.
• Não armazenamos números de cartão, e nunca recebemos nem retemos o seu dinheiro.
• Toda alteração importante é registrada em uma trilha de auditoria que nenhum Usuário pode alterar.
• Atualmente não possuímos a certificação ISO 27001 nem um relatório SOC 2. Indicaremos isso aqui quando os obtivermos.

2. Onde seus dados são mantidos

2.1 Os Serviços são executados na infraestrutura em nuvem da Amazon Web Services na região de Frankfurt, na República Federal da Alemanha. Os Backups são copiados para uma região separada da Amazon Web Services na República da Irlanda. Essa separação significa que uma cópia dos seus dados pode ser mantida mesmo que toda a região de hospedagem principal falhe.

2.2 No futuro, podemos mover a hospedagem para outra região. Notificaremos você com pelo menos 30 dias de antecedência. Executar temporariamente os Serviços a partir dos Backups na República da Irlanda após a perda da região de hospedagem principal não é uma mudança, e informaremos você sem demora.

2.3 A STAK é prestada pela STAK Global, LLC, uma empresa constituída nos Estados Unidos da América. Nosso provedor de hospedagem e alguns de nossos prestadores de serviços também estão sujeitos à legislação dos Estados Unidos. Protegemos seus dados contra o acesso ilícito de qualquer governo conforme estabelecido na cláusula 13 do Acordo de Tratamento de Dados: divulgamos dados apenas mediante uma solicitação vinculante, informamos você, a menos que a lei o proíba, limitamos a divulgação ao mínimo e contestamos as solicitações que consideramos razoavelmente ilícitas. Seus dados são criptografados enquanto estão armazenados e enquanto trafegam.

3. Criptografia

3.1 Toda conexão com os Serviços é criptografada com TLS versão 1.2 ou posterior, e o aplicativo verifica a identidade do servidor do banco de dados em cada conexão.

3.2 Os bancos de dados, discos, arquivos, Backups e o armazenamento de segredos são criptografados em repouso com AES-256, usando chaves gerenciadas por meio do serviço de gerenciamento de chaves da Amazon ou pelo provedor de hospedagem.

3.3 Os arquivos dos seus empregados e os prontuários clínicos são criptografados adicionalmente dentro do aplicativo com chaves separadas, e as chaves para conexão com Provedores de Serviços de Pagamento e outros provedores são mantidas em um armazenamento de segredos separado, criptografado com uma chave separada.

4. Separação dos dados de cada negócio

4.1 Cada registro dos dados de uma empresa no banco de dados traz o identificador do Negócio a que pertence. O próprio banco de dados aplica regras de segurança em nível de linha que impedem o aplicativo de ler ou gravar os registros de outro Negócio. Trata-se de uma camada de proteção independente, abaixo das verificações do próprio aplicativo.

4.2 A conta de banco de dados que o aplicativo usa não tem permissão para contornar essas regras.

5. Proteção do login

5.1 Você pode fazer login com:

• um código de verificação enviado por WhatsApp para um número verificado;
• uma passkey, usando reconhecimento facial ou de impressão digital;
• uma conta do Google, Apple ou Microsoft.

Um aplicativo autenticador pode ser usado como segunda etapa após o login. Não usamos senhas.

5.2 Você pode exigir o login em duas etapas para funções específicas, e os Proprietários e Administradores são alertados quando alguém altera seus métodos de verificação. Cada pessoa é alertada quando a sua própria Conta é usada a partir de um novo dispositivo. Nos Planos que os incluem, você também pode definir um tempo limite de inatividade da sessão, e os Proprietários são alertados quando alguém faz login a partir de um novo dispositivo.

5.3 Cada Membro da Equipe recebe uma função e permissões definidas, e o acesso dele pode ser limitado a determinadas Filiais. A equipe que usa Dispositivos compartilhados utiliza um número de identificação pessoal (PIN) de seis dígitos, e o login com ele é bloqueado após cinco tentativas erradas.

6. Trilha de auditoria e detecção de adulteração

6.1 Toda alteração importante é registrada em uma trilha de auditoria, com quem a fez, quando, de onde e de qual endereço IP. Nenhum Usuário pode alterar ou excluir essa trilha, exceto que o atendimento de uma solicitação de exclusão dos dados de um Cliente Final remove a identidade dessa pessoa das entradas, mantendo o que foi feito, por quem e quando. A trilha é excluída junto com os Dados do Cliente ao término do Contrato conforme os Termos.

6.2 Os lançamentos contábeis são encadeados de forma a revelar qualquer alteração posterior, e você pode verificar a integridade deles na página de Segurança.

7. Backups e recuperação

7.1 Fazemos Backups contínuos dos bancos de dados, que permitem restaurá-los a qualquer momento dos últimos 35 dias. Também fazemos:

• Backups diários, mantidos por 35 dias;
• Backups mensais, mantidos por 12 meses;
• um Backup lógico do banco de dados (um dump do banco de dados) a cada noite, mantido por 35 dias em armazenamento bloqueado.

7.2 Os Backups diários e mensais são copiados para a Irlanda. A política dos cofres de backup em Frankfurt e na Irlanda impede que qualquer pessoa, inclusive a nossa própria equipe, exclua um Backup antes do fim do seu prazo de retenção ou altere esse prazo. Os cofres também são bloqueados no modo de conformidade (compliance mode) do provedor de hospedagem, projetado para que ninguém, inclusive quem eventualmente assuma o controle de uma de nossas contas no provedor de hospedagem, possa excluir um Backup nos seus primeiros 35 dias.

7.3 Todos os meses testamos a restauração do banco de dados a partir dos Backups. Nosso objetivo é perder no máximo 15 minutos de dados se um banco de dados falhar, e no máximo 24 horas se toda a região de hospedagem for perdida, em linha com os objetivos de recuperação do Acordo de Nível de Serviço.

7.4 Mantemos os Backups para restaurar o serviço, e não como arquivo para você. Por isso, exporte seus dados regularmente na página de Plano e faturamento ou em cada Aplicativo.

8. Pagamentos e dinheiro

8.1 Os Serviços são projetados para que os números de cartão não passem pelos nossos sistemas nem sejam armazenados neles: o pagamento ocorre nas próprias páginas dos Provedores de Serviços de Pagamento ou em seus terminais e aplicativos certificados de aceitação de cartões. As telas dos Serviços não contêm nenhum campo para números de cartão ou seus códigos de segurança, e você pode solicitar, na página de Segurança, que os campos de texto sejam verificados em busca de números de cartão inseridos por engano.

8.2 Seu dinheiro é liquidado diretamente do Provedor de Serviços de Pagamento para a sua conta bancária. Nunca o recebemos nem o retemos.

8.3 Alterar a conta bancária registrada na STAK para receber liquidações exige uma etapa adicional de verificação e só entra em vigor após 48 horas. Os Proprietários são alertados imediatamente para que possam cancelar a alteração.

9. Inteligência artificial

9.1 Os dados são enviados ao provedor de IA apenas quando um Usuário solicita um Recurso de IA, envia um documento para que um deles o leia, como um recibo, ou quando uma automação que um Usuário configurou executa uma etapa de IA, e apenas os dados necessários para essa solicitação ou etapa são enviados.

9.2 Seus dados não são usados para treinar modelos de inteligência artificial. Os Recursos de IA alteram um registro apenas após a sua confirmação expressa, ou por meio de uma automação que um Usuário autorizado tenha configurado e ativado.

10. Acesso da nossa equipe

O acesso ao Ambiente de Produção é restrito a um número limitado de integrantes da equipe nomeados e exige autenticação multifator, e o início de cada sessão de acesso é registrado. O acesso administrativo aos servidores ocorre apenas por meio do serviço de gerenciamento de sistemas da Amazon, sem login direto nos servidores.

Só acessamos seus dados nestes casos:

• para prestar o suporte que você solicitar;
• para operar, manter e restaurar os Serviços;
• para investigar um Incidente de Segurança ou uma suspeita de violação da Política de Uso Aceitável;
• quando a lei o exigir.

11. Monitoramento e resposta a incidentes

11.1 Monitoramos a infraestrutura em nuvem automaticamente 24 horas por dia, com alertas imediatos para a nossa equipe. Cada ação administrativa na infraestrutura em nuvem é registrada, e ameaças e permissões excessivas são detectadas automaticamente.

11.2 Se uma Violação de Dados Pessoais afetar seus dados, nós o notificamos sem demora injustificada: em até 24 horas após tomarmos conhecimento dela, quando viável, e em qualquer caso em até 48 horas. Informamos o que aconteceu e o que fizemos a respeito.

12. Certificações

Atualmente não possuímos a certificação ISO 27001 nem um relatório SOC 2. Também não possuímos a certificação PCI DSS, porque os Serviços são projetados para que os dados de cartão não passem pelos nossos sistemas: eles são processados nas próprias páginas dos Provedores de Serviços de Pagamento ou em seus terminais e aplicativos certificados. Os Provedores de Serviços de Pagamento que você conecta aos Serviços possuem suas próprias certificações. Listaremos aqui qualquer certificação que obtivermos no futuro.

Se você aceita pagamentos com cartão por meio de suas páginas da STAK, o comprador é direcionado à página do seu próprio Provedor de Serviços de Pagamento, ou você usa os terminais e aplicativos certificados dele, de modo que as páginas da STAK nunca coletam dados de cartões. Verifique com seu Provedor de Serviços de Pagamento as suas próprias obrigações PCI DSS; uma empresa que usa esse tipo de redirecionamento costuma preencher o questionário de autoavaliação mais curto (SAQ A). A STAK não afirma ter a certificação PCI DSS.

13. O que você pode fazer

• Ative o login em duas etapas para Proprietários e Administradores.
• Conceda a cada Membro da Equipe apenas as permissões de que o trabalho dele precisa e remova imediatamente o acesso de quem sair.
• Exporte seus dados regularmente, pelo menos uma vez por mês.
• Mantenha os Dispositivos de ponto de venda conectados até que as vendas registradas offline terminem de sincronizar, antes de apagar ou encerrar a sessão em qualquer Dispositivo.
• Mantenha os sistemas e navegadores dos seus dispositivos atualizados.
• Informe-nos imediatamente sobre qualquer atividade suspeita.

14. Comunicação de uma vulnerabilidade

Se você descobrir uma vulnerabilidade de segurança, envie um e-mail para [email protected]. Tratamos as comunicações de forma confidencial. Autorizamos testes de segurança de boa-fé dentro dos limites da cláusula 10 da Política de Uso Aceitável, e não apresentamos queixa nem reclamação contra quem se mantiver dentro desses limites e nos comunicar a vulnerabilidade sem demora.