Princípios
A segurança é desenhada em três camadas: a infraestrutura onde correm os dados, o software que os processa, e as pessoas que têm acesso a qualquer um deles. Tratamos cada camada com a mesma atenção.
Trabalhamos por três regras simples. Cifrar tudo. Conceder o mínimo de acesso necessário. Registar tudo o que importa para que, em caso de dúvida, exista resposta.
Infraestrutura
A QuintaGo corre em infraestrutura europeia operada por fornecedores cloud de primeira linha (UE/EEE), com certificações reconhecidas — ISO 27001, SOC 2 e equivalentes. As redes são segmentadas, o tráfego administrativo é isolado, e o acesso a sistemas de produção é feito exclusivamente por canais autenticados e auditados.
Encriptação
Todos os dados são cifrados em trânsito com TLS 1.2 ou superior e em repouso com AES-256. As chaves são geridas por serviços dedicados de gestão de chaves, com rotação periódica e separação entre ambientes.
Segredos aplicacionais (chaves de API, tokens de integração, credenciais de WhatsApp) são guardados em cofres dedicados e nunca em código, repositórios ou logs.
Autenticação
As contas são autenticadas por e-mail e senha forte, com autenticação em dois fatores disponível em todos os planos e exigida em contas administrativas. As sessões expiram automaticamente após períodos de inatividade configuráveis.
Para equipas que utilizam um fornecedor de identidade próprio, oferecemos SSO via SAML/OIDC nos planos adequados, com aprovisionamento e desaprovisionamento de utilizadores.
Permissões e acesso de equipa
Cada quinta define a sua própria estrutura de equipa. As permissões seguem o princípio do menor privilégio — cada colaborador vê e altera apenas aquilo de que precisa.
- Funções
- Administrador, comercial, operações e visualizador, com permissões granulares por área.
- Visibilidade de leads
- Restrita por quinta, por equipa ou por dono do lead, conforme configurado.
- Auditoria
- Registo de quem viu, alterou ou enviou cada item — disponível ao administrador.
- Saída de colaboradores
- Revogação imediata de sessões e tokens a partir do painel de administração.
Acesso interno
A equipa da QuintaGo não consulta dados de clientes de forma rotineira. Acessos pontuais — para suporte técnico, investigação de incidentes ou cumprimento de obrigações legais — são autorizados nominalmente, registados e limitados ao estritamente necessário.
Todos os colaboradores assinam acordos de confidencialidade e seguem formação em proteção de dados e práticas de segurança.
Backups e continuidade
Os dados são copiados automaticamente várias vezes por dia, com cópias cifradas armazenadas em regiões distintas dentro da UE. Os procedimentos de restauro são testados regularmente.
- RPO objetivo
- Até 1 hora — perda máxima de dados em cenário de desastre.
- RTO objetivo
- Até 4 horas — tempo máximo para restaurar o serviço.
- Retenção de backups
- 30 dias para restauro pontual; backups operacionais até 90 dias.
Monitorização
A plataforma é monitorizada 24/7. Métricas de desempenho, registos de aplicação e eventos de segurança são recolhidos em tempo real, com alertas automáticos para a equipa de plantão.
O estado público está disponível em status.quintago.com, com histórico transparente de incidentes e janelas de manutenção.
Resposta a incidentes
Existe um plano formal de resposta a incidentes. Em caso de violação de dados pessoais com risco para os titulares, notificamos a CNPD em 72 horas e os clientes afetados sem demora injustificada, com a informação prevista no artigo 33.º e 34.º do RGPD.
Fornecedores e subprocessadores
Trabalhamos com um conjunto pequeno e cuidadosamente avaliado de fornecedores — alojamento, base de dados, e-mail transacional, mensagens, pagamentos. Todos atuam ao abrigo de contratos de tratamento de dados e seguem padrões de segurança equivalentes aos nossos. A lista atualizada está disponível em privacidade@quintago.com.
Conformidade
A QuintaGo está em conformidade com o RGPD e a Lei n.º 58/2019. A nossa Política de Privacidade descreve em detalhe a base legal de cada tratamento, retenção e os direitos dos titulares.
Acolhemos auditorias de clientes empresariais ao abrigo de NDA e respondemos a questionários de segurança no âmbito de processos de procurement.
O seu papel
A segurança é uma responsabilidade partilhada. Cuidamos da plataforma; pedimos-lhe que cuide do que está do seu lado.
- Ative autenticação em dois fatores em todas as contas administrativas.
- Atribua a cada colaborador apenas a função estritamente necessária.
- Remova acessos imediatamente quando alguém deixar a equipa.
- Evite partilhar credenciais por mensagem, e-mail ou ficheiros não cifrados.
Reportar uma vulnerabilidade
Se descobriu uma vulnerabilidade na plataforma, agradecemos que nos contacte primeiro, antes de divulgação pública. Tratamos cada relato com seriedade, comunicamos o estado e creditamos publicamente quem o desejar.
seguranca@quintago.com — chave PGP disponível mediante pedido.