Segurança e subprocessadores
O que um CISO ou um comprador deve ser capaz de verificar antes de nos confiar seu inventário: onde nossos servidores são executados, quem mais vê seus dados passarem, o que protege a plataforma e para quem escrever se você encontrar uma falha nela.
Hospedagem e localização
A aplicação, a sua base de dados, o seu motor de busca e o nosso servidor de correio funcionam em servidores operados pela OVHcloud (OVH SAS), uma empresa francesa, em centros de dados localizados em França.
O site e o aplicativo são atendidos pela Cloudflare, que atua como proxy reverso: entrega de páginas, proteção contra ataques de negação de serviço e filtragem de tráfego malicioso. Como qualquer proxy reverso, o Cloudflare vê a passagem dos endereços IP, cabeçalhos e conteúdo das solicitações. A Cloudflare, Inc. é uma empresa americana com rede mundial, portanto tratamos esse fluxo como uma transferência fora da União Europeia, coberta pelas salvaguardas listadas abaixo.
Nossos subprocessadores
Aqui está a lista completa dos fornecedores que processam dados pessoais em nosso nome. Também aparece em nosso política de privacidade.
| Subprocessador | Função | Dados envolvidos | País | Salvaguardas de transferência |
|---|---|---|---|---|
| OVHcloud (OVH SAS) | Alojamento dos servidores, da base de dados e do servidor de correio | Todos os dados do serviço: contas, inventários, alertas, casos, registros, e-mails enviados | França | Não aplicável: hospedado na França |
| Cloudflare, Inc. | Proxy reverso, entrega de páginas (CDN) e proteção contra ataques, na frente do site e da aplicação | Endereços IP, cabeçalhos e conteúdo das solicitações que passam | Estados Unidos | Certificação sob a UE-EUA. Quadro de privacidade de dados e cláusulas contratuais padrão da Comissão Europeia |
| PostHog, Inc. | Medição de audiência do site e do aplicativo | Visualizações de páginas, cliques, informações técnicas do navegador, endereço IP. Apenas com o seu consentimento: um identificador persistente, gravação da sessão (entrada digitada mascarada) e, no aplicativo, o identificador da sua conta, e-mail, nome, função, idioma e plano | Empresa americana; dados hospedados na UE (Frankfurt) | Contrato de processamento de dados (DPA) e cláusulas contratuais padrão |
| IA Mistral | Assistente “Vigie” e recursos de IA | Mensagens enviadas ao assistente e o contexto técnico necessário para responder (componentes, alertas, CVEs, datas de fim de vida), apenas quando utilizar estas funcionalidades | França; hospedado na UE | Não aplicável: processado na União Europeia |
| Paddle (Paddle.com Mercado Limitado) | Revendedor oficial (Merchant of Record): pagamento, faturamento e impostos de assinaturas | Nome, email, morada de faturação, número de contribuinte, forma de pagamento (inserido com Paddle, nunca connosco) | Reino Unido | Decisão de adequação da Comissão Europeia para o Reino Unido ou cláusulas contratuais padrão |
Os e-mails (alertas, resumos, mensagens de serviço) são enviados do nosso próprio servidor de e-mail, hospedado pelo OVHcloud: nenhum provedor de entrega de e-mail está envolvido. Eles são assinados por DKIM e nosso domínio publica registros SPF e DMARC.
As notificações que você configura para suas próprias ferramentas (Slack, Microsoft Teams, webhooks) vão para os destinos que você escolher: esses serviços são seus, não de nossos subprocessadores.
Não usamos seus dados para treinar um modelo. De acordo com os termos da Mistral AI, os dados enviados ao seu API pago também não são usados para treinar seus modelos; ele é mantido por 30 dias para detecção de abuso.
Medidas em vigor
Esta lista contém apenas medidas que funcionam hoje. O que não está nele, não reivindicamos.
Contas e autenticação
- Senhas com hash com bcrypt, nunca armazenadas em texto simples.
- Autenticação de dois fatores com códigos baseados em tempo (TOTP, RFC 6238), disponíveis em todas as contas, com códigos de recuperação de uso único. Ativá-lo fecha as outras sessões abertas.
- OpenID Connect single sign-on (SSO) no plano Business, com verificação dos domínios da organização.
- Tokens de acesso válidos por 15 minutos, renovados com tokens de sessão de uso único válidos por 7 dias, transportados em cookies HttpOnly e Secure.
- Alterar ou redefinir uma senha fecha todas as sessões da conta.
- As tentativas têm taxa limitada em solicitações de inscrição, login, autenticação de dois fatores e redefinição de senha, com alerta para nossa equipe quando o limite for excedido.
Aplicação e API
- Na aplicação: uma rigorosa política de segurança de conteúdo (CSP) com nonce renovado a cada solicitação; exibição dentro de frames de terceiros bloqueados; Cabeçalhos HSTS, X-Content-Type-Options, Referrer-Policy e Permissions-Policy.
- No site: cabeçalhos X-Frame-Options, X-Content-Type-Options e Referrer-Policy.
- Chaves API armazenadas apenas como hashes, revogáveis e restringíveis a famílias específicas de dados.
- Segredos de conexão SSO criptografados no banco de dados.
Infraestrutura
- O banco de dados, o cache e o mecanismo de busca escutam apenas na interface local do servidor: eles não podem ser acessados pela Internet. O API só pode ser acessado através do servidor web frontal.
- Os serviços são divididos em redes Docker separadas. Os contêineres de aplicativos e sites são executados sem privilégios de root, sem recursos do Linux e com escalonamento de privilégios desabilitado; o contêiner do aplicativo é executado em um sistema de arquivos somente leitura.
Rastreabilidade
- Registro de auditoria de ações confidenciais: logins, alterações de senha, grupos e permissões, configuração SSO, alterações de inventário, ações de administração. Conservado por 30 dias (Free), 90 dias (Team), 1 ano (Pro) ou 5 anos (Business); os administradores da organização podem consultá-lo nos planos Pro e Business.
Cadeia de fornecimento de software
- Produzimos uma lista de materiais do software (SBOM) no formato CycloneDX a partir das imagens efetivamente implantadas: pacotes de sistema, bibliotecas e dependências, com suas versões exatas. Você pode nos solicitar para avaliação do seu fornecedor.
Relatando uma vulnerabilidade
Você acha que encontrou uma falha no TechWatchAlert? Escreva para seguranç[email protected]. Este endereço também é publicado no formato padrão security.txt (RFC 9116), em o site bem como em o aplicativo.
Escopo
- No escopo: o site techwatchalert.com e o aplicativo e seu API em app.techwatchalert.com.
- Fora do escopo: serviços de nossos subprocessadores (relatá-los ao fornecedor em questão), ataques de negação de serviço, engenharia social e relatórios de ferramentas automatizadas sem impacto comprovado.
Regras de teste
- Teste com suas próprias contas. Não acesse nem modifique os dados de outros usuários e guarde apenas o que a demonstração exigir.
- Testes automatizados ou intrusivos (scans, fuzzing, injeção) de nossa infraestrutura requerem autorização prévia por escrito, conforme previsto em Artigo 12.3 dos Termos de Uso: escreva para nós antes de executá-los.
- Dê-nos tempo para corrigir o problema antes de qualquer publicação e vamos combinar a data juntos.
O que um relatório útil contém
- a página, endereço ou endpoint API em questão;
- as etapas de reprodução, com as solicitações e respostas relevantes;
- o impacto que você conseguiu demonstrar;
- como voltar para você.
Com o que nos comprometemos
Reconhecemos cada denúncia, mantemos você informado sobre seu tratamento até que seja corrigido e concordamos com você sobre a data de publicação. Não tomamos nenhuma medida legal contra quem agiu de boa fé e dentro destas regras, conforme previsto em Artigo 12.2 dos Termos de Uso.
TechWatchAlert em sua avaliação NIS2
Se a sua organização estiver sujeita à diretiva NIS2, a TechWatchAlert é um dos seus fornecedores: o Artigo 21.2.d pede que você leve em consideração a segurança da sua cadeia de fornecimento. Esta página reúne o que uma avaliação desse tipo costuma pedir a um fornecedor. Para um questionário ou acordo de processamento de dados (DPA), escreva para nós.
O TechWatchAlert também fornece ferramentas para parte das suas próprias obrigações: monitoramento que inclui CERT-FR e EUVD, registro de riscos aceitos, prazos de remediação, fornecedores, incidentes. O que a oferta cobre e o que não cobre.
Perguntas frequentes
Os meus dados saem da União Europeia?
Os dados do serviço estão hospedados na França, com OVHcloud. Três subprocessadores estão estabelecidos fora da União Europeia: Cloudflare, que vê a passagem do tráfego da web, e PostHog, que mede a audiência, são americanos; Paddle, que cuida do faturamento, é britânico. Cada uma destas transferências está coberta por uma salvaguarda prevista no RGPD, apresentada na tabela de subprocessadores.
Você usa meus dados para treinar uma IA?
Quando utiliza o assistente Vigie, a sua pergunta e o contexto técnico relevante vão para o API pago da Mistral AI, alojado na União Europeia. De acordo com os termos da Mistral AI, esses dados não são utilizados para treinar seus modelos e são mantidos por 30 dias para detecção de abusos.
A medição de audiência espera pelo seu consentimento?
Parcialmente. Sem o seu consentimento, o PostHog mede o tráfego sem cookies ou armazenamento no seu navegador, sem gravação de sessão e sem vincular nada à sua conta. Com o seu consentimento, ele configura cookies, registra sessões com campos digitados mascarados e, no aplicativo, vincula eventos à sua conta.
Podemos assinar um acordo de processamento de dados (DPA)?
Sim, mediante solicitação do plano Team, e vem assinado com o plano Business. Peça por isso, com seu próprio modelo, se tiver um; caso contrário, nós fornecemos o nosso.
Como faço para relatar uma vulnerabilidade?
Escreva para [email protected], seguindo a seção “Relatando uma vulnerabilidade” desta página: escopo, regras de teste e o que um relatório útil contém.