Segurança

Cada medida nesta página é um compromisso, não uma aspiração. As medidas ainda não implementadas são listadas explicitamente com a sua data de entrega comprometida. Quando uma medida é diferida (por exemplo, testes de penetração externos), o diferimento é nomeado e o gatilho de melhoria é especificado.

Esta página é o anexo de medidas técnicas e organizativas da Adenda de Tratamento de Dados por referência, e faz parte da documentação de controlo operacional referida na Política de Privacidade.

2.1 Em trânsito

• HTTPS imposto em todos os subdomínios.
• HSTS ativo: max-age=31536000; includeSubDomains; preload (1 ano, cobertura total de subdomínios, pronto para preload).
• TLS 1.3 preferido; TLS 1.2 mínimo (predefinição do edge da Cloudflare).

2.2 Em repouso

• Cloudflare D1, KV e R2 — cifrados em repouso por predefinição da Cloudflare.
• Cloudflare Pages — recursos estáticos cifrados em repouso no edge.

3.1 Autenticação de utilizador (plataforma SaaS)

• Magic links sem palavra-passe — sem palavras-passe armazenadas, sem risco de reutilização de palavra-passe, sem superfície de recuperação de palavra-passe.
• Tokens de magic link — duração máxima de 15 minutos, uso único.
• Tokens de sessão — duração renovável de 7 dias, regenerados a cada utilização.
• Autenticação multifator — comprometida para o 3.º trimestre de 2026 (TOTP via apps autenticadoras padrão como Google Authenticator, Authy, 1Password). Padrão de implementação: biblioteca NPM otpauth, coluna adicional totp_secret na tabela de utilizadores, endpoints de inscrição /api/auth/mfa/enroll e /api/auth/mfa/verify. Inscrição voluntária primeiro, obrigatória para o tier Enterprise no lançamento completo.

3.2 Acesso do lado do operador

• A MFA é imposta na conta Cloudflare do operador, com chave de segurança de hardware como segundo fator primário.
• É usado um gestor de palavras-passe com credenciais únicas para todas as interfaces administrativas.
• É usado um perfil de browser isolado para operações administrativas.

• Atualizações de dependências — CVEs críticos corrigidos em 30 dias; revisão de rotina trimestral.
• Avisos de segurança — monitorizados via NPM audit e GitHub security advisories.
• Testes de penetração — planeados no primeiro contrato enterprise; o pentest externo (3–8 mil euros) é um diferimento defensável com o melhor esforço, conscientemente aceite nesta fase. O compromisso aumenta para anual assim que o primeiro cliente enterprise assinar.
• Bug bounty — nenhum nesta fase. Isto é típico para SaaS B2B pré-receita e será revisto à escala.

6.1 Deteção

• Logs da Cloudflare revistos no mínimo semanalmente.
• Alertas automáticos sobre picos na taxa de erros 5xx (Cloudflare Analytics).
• Revisão manual sobre anomalias reportadas por utilizadores.

6.2 Cronologia de notificação

72 horas à autoridade e aos clientes afetados a partir do conhecimento, ao abrigo dos artigos 33.º e 34.º do RGPD. Os clientes SaaS são notificados no prazo de 48 horas ao abrigo da Adenda de Tratamento de Dados (Secção 10 da DPA).

6.3 Reportar um problema de segurança

Se acredita ter descoberto uma vulnerabilidade de segurança na plataforma DiagnosticMind, envie email para contact@diagnosticmind.eu com o assunto Security disclosure. Por favor não divulgue publicamente o problema até este ter sido triado e reconhecido.

Não existe programa formal de bug bounty nesta fase. Os relatórios são reconhecidos no prazo de 5 dias úteis.

Os sub-processadores que tratam Dados Pessoais estão listados na página da Política de Privacidade (Secção 4) e na página da Adenda de Tratamento de Dados (Secção 7). Cada um está sujeito a uma DPA escrita com obrigações de segurança não menos protetoras do que as aqui documentadas.

O conjunto atual de sub-processadores (Cloudflare, Anthropic, Resend) é selecionado em parte pela maturidade da sua postura de segurança e conformidade, incluindo relatórios SOC 2 Type II, certificação ISO 27001 e certificação DPF onde aplicável. As referências à DPA pública e à documentação de segurança de cada fornecedor estão na página da Política de Privacidade.

Para total transparência:

• Testes de penetração externos ainda não conduzidos; comprometidos no primeiro contrato enterprise. Revisão interna e análise de dependências são os controlos atuais.
• Autenticação multifator para utilizadores SaaS ainda não implementada; comprometida para o 3.º trimestre de 2026.
• Programa de bug bounty — ainda não estabelecido.
• Certificação formal SOC 2 / ISO 27001 — não perseguida nesta fase. A postura de segurança da plataforma apoia-se nas certificações dos seus sub-processadores mais os controlos documentados acima.

Estes residuais são aceites conscientemente, não ocultados.