Segurança e divulgação de vulnerabilidades
Como o CaliMoney protege sua conta e como relatar uma vulnerabilidade de segurança
Como seus dados são protegidos
- Em trânsito: toda conexão com o CaliMoney e com o Firebase usa HTTPS (TLS).
- Em repouso: os dados ficam no Google Cloud Firestore na UE (
europe-west8), criptografados em repouso pelo Google. Com a criptografia de ponta a ponta ativada, os detalhes das suas movimentações também são criptografados no seu aparelho com uma chave que só você tem. - Controle de acesso: as regras de segurança do Firestore permitem que cada conta leia e grave só os próprios documentos. Registros exclusivos do servidor (limites de taxa, tokens de recuperação, registros de notificação, feedback) não podem ser lidos por nenhum cliente.
- Proteção da conta: autenticação de dois fatores opcional (TOTP), limites de taxa nos pontos sensíveis e bloqueio automático após 15 minutos de inatividade quando a criptografia está ativa. O desbloqueio biométrico opcional mantém a chave selada no aparelho sob uma chave de acesso que exige seu rosto, sua digital ou seu PIN.
- Recursos de IA: os pedidos aos provedores de IA usam retenção de dados zero — prompts e respostas não são guardados nem usados para treinamento.
- Atualizações: o CaliMoney é um app web. As correções de segurança chegam a todos os usuários no próximo carregamento da página, sem nada para instalar; as dependências são auditadas automaticamente a cada alteração.
Relatar uma vulnerabilidade
Se você acha que encontrou uma vulnerabilidade de segurança, escreva para support@calimoney.it com o assunto "Security" e inclua:
- uma descrição do problema e do impacto,
- os passos para reproduzi-lo (URLs, pedidos, capturas de tela),
- se você acredita que ele esteja sendo explorado ativamente.
O que esperar:
- uma confirmação de recebimento em até 5 dias úteis;
- atualizações enquanto investigamos e corrigimos;
- crédito no anúncio da correção, se você quiser.
Teste só com a sua própria conta, não acesse nem altere dados de outros usuários, evite prejudicar o serviço e dê um prazo razoável para a correção antes de divulgar publicamente. Não tomaremos medidas contra pesquisas de boa-fé que sigam estas regras.
O arquivo de contato legível por máquina está publicado em /.well-known/security.txt.
Se algo der errado
Se uma violação de dados pessoais puder colocar seus direitos em risco, notificaremos a Autoridade italiana de proteção de dados (Garante) em até 72 horas e informaremos os usuários afetados sem demora injustificada, como exige o RGPD (artigos 33–34).