Aviso de Segurança (Trust) — Zapool

Resumo público e não confidencial das práticas de segurança. Não substitui a Política de Privacidade nem é certificação ISO/SOC. Interno detalhado: docs/lgpd/playbook-cis-incidente.md, checklist-seguranca-producao.md, docs/security.md.

1. Medidas (MVP)

• Tráfego HTTPS no domínio público
• Senhas com hash (Better Auth); segredos fora do git (GitHub Secrets / env de deploy)
• Sessões autenticadas com cookie HttpOnly quando em HTTPS
• Minimização: Mensagem efêmera (TTL 24h); Sentry Errors-only sem Contato/Mensagem/IP/e-mail
• Controle de acesso à VPS / painéis restrito à operação Alameda
• Dependabot / gates de segurança no CI (programa security do repo)
• Playbook interno de incidente (CIS) com prazos alinhados à ANPD

2. Subprocessadores relevantes à segurança

Hostinger (EUA — Boston) · banco PG · Redis · Resend · Google OAuth · Sentry EU · PostHog EU · Meta (canais) — lista completa na Política de Privacidade.

3. Incidentes

Titulares/Usuários: alameda.solutions@gmail.com
Clientes (Contato/Mensagem): aviso ao Dono em até 24h após conhecimento (DPA).

4. O que este aviso não é

Não afirmamos ISO 27001, SOC 2, pentest público contínuo ou uptime 99,9%. SLA pago: ver sla.md (99,5%).