Segurança e Trust

1. Programa de segurança

A Fintay mantém controles proporcionais ao porte e ao risco da plataforma, com foco em proteção de contas, API keys, dados operacionais, logs e infraestrutura de dados financeiros.

2. Gestão de segredos e repositório

Segredos não devem ser versionados. Credenciais devem ser armazenadas em ambiente seguro e injetadas por variáveis de ambiente ou mecanismo equivalente no deploy.

A Fintay utiliza controles nativos de repositório, incluindo secret scanning, atualização de dependências e code scanning quando aplicável, além de ferramenta externa de segurança para verificação contínua de vulnerabilidades, dependências e exposição acidental de segredos.

3. Controles implementados

A plataforma aplica atualmente os seguintes controles:

• senhas armazenadas com hash forte e salt;
• API keys e tokens persistidos como hash quando aplicável;
• rate limiting e logs de auditoria para rotas sensíveis;
• TLS em produção e revisão periódica de configuração HTTPS;
• separação de ambientes de desenvolvimento e produção;
• monitoramento de dependências e vulnerabilidades;
• controle de acesso administrativo por papéis.

4. Controles em implantação/evolução

A Fintay mantém em roadmap ou evolução os seguintes controles, conforme prioridade, risco e maturidade operacional:

• formalização de evidências periódicas de secret scanning, dependências e code scanning;
• matriz operacional de severidade e prazos internos de correção;
• documentação recorrente de backup, restore drills e histórico de monitoramento;
• processo ampliado de gestão de fornecedores e suboperadores para clientes B2B;
• pacote de segurança e due diligence mais completo sob NDA.

5. Fornecedores e suboperadores

A Fintay utiliza fornecedores para hospedagem, pagamento, e-mail transacional, backup, desenvolvimento, segurança e monitoramento. Publicamente, a Fintay pode identificar fornecedores quando necessário para transparência com usuários, como Stripe para pagamentos.

A lista operacional completa de fornecedores e suboperadores deve permanecer em documento interno de compliance e ser compartilhada com clientes institucionais quando apropriado, preferencialmente sob NDA.

6. Incidentes

Eventos de segurança são triados conforme severidade, impacto potencial e dados envolvidos. Incidentes com dados pessoais são avaliados conforme a LGPD e orientações da ANPD, incluindo comunicação à autoridade e titulares quando aplicável.

7. Evidências para due diligence

Para auditoria e clientes institucionais, a Fintay deve manter evidências de ativação de controles, escopo de repositórios monitorados, responsáveis por alertas, severidades, SLA interno de correção, registros de triagem, backups, restore drills e histórico de monitoramento.