Política de Segurança da Informação

O Achô é um comparador de preços. Ele consulta APIs oficiais de plataformas e redes de afiliados, compara as ofertas e encaminha você para a página da loja. Não vende, não processa pedidos e não intermedia pagamento de produto.

O código roda em funções gerenciadas na Vercel, sem servidor próprio: não existe rede corporativa, datacenter, VPN ou máquina exposta à internet sob nossa administração. A superfície de ataque fica em três coisas: as credenciais das plataformas, as contas administrativas e o próprio código.

Cada requisição executa numa função isolada e efêmera, sem estado compartilhado entre execuções. O isolamento, a proteção contra negação de serviço e o firewall de aplicação são da Vercel.

Todo tráfego, do navegador até nós e de nós até as plataformas, usa HTTPS com TLS.

As estações de desenvolvimento têm antivírus e firewall ativos, disco criptografado, bloqueio automático de tela e senha de acesso.

O acesso administrativo às plataformas (hospedagem, contas de API, redes de afiliados) é restrito ao responsável. Não há conta genérica nem credencial com terceiros. Usamos dois fatores onde a plataforma oferece.

Segredos nunca ficam no código. Chaves e tokens vivem em variáveis de ambiente cifradas da hospedagem. O repositório ignora arquivos de ambiente e o histórico não tem credencial. Tokens de OAuth ficam em armazenamento cifrado, nunca no disco efêmero.

• Segredo: chaves de API e tokens de plataformas. Cifrados em repouso, nunca na tela, nunca em log.
• Operacional: identificador do visitante, dados da conta, texto das buscas e ofertas devolvidas. Cifrado em repouso pelo provedor de armazenamento.
• Público: dados de produto vindos das plataformas.

O que é coletado de quem usa o Achô, e para quê, está na Política de Privacidade.

Incidente é qualquer acesso indevido, vazamento, perda de dados ou credencial comprometida. Na ordem:

1. Conter: revogar a credencial afetada e derrubar o acesso comprometido.
2. Avaliar: identificar que dado foi alcançado e por quanto tempo.
3. Notificar: as plataformas parceiras afetadas em até 48 horas da confirmação, e a autoridade quando a lei exigir.
4. Corrigir: eliminar a causa antes de restabelecer o acesso.
5. Registrar: causa, alcance e correção.

As dependências são auditadas a cada alteração relevante, e correções de segurança entram antes de qualquer publicação. Toda alteração passa por testes automáticos antes de ir ao ar, inclusive os que reprovam dado fictício apresentado como real.

Encontrou uma falha? Escreva para contato@acho.pro com a descrição e o passo a passo. Respondemos em até 5 dias úteis e não tomamos medida legal contra quem relatar de boa-fé sem explorar nem divulgar a falha antes da correção.