Segurança e conformidade

A plataforma roda em uma infraestrutura de nuvem localizada na UE, com os dados armazenados principalmente em Frankfurt, na Alemanha. Os bancos de dados ficam em redes privadas, o acesso usa tokens de curta duração e todo o tráfego externo é criptografado com TLS 1.2+ e HSTS.

Mantemos armazenamento redundante, com backups automáticos a cada seis horas e snapshots diários de recuperação para um ponto no tempo, guardados por 30 dias.

• Dados em repouso: AES-256 no banco de dados, senhas com hash (bcrypt/argon2id) e criptografia por campo para dados sensíveis.
• Dados em trânsito: TLS 1.2 ou superior com conjuntos de cifras fortes, HSTS preload e renovação automática de certificados.
• Chaves: gerenciadas em um KMS, trocadas a cada trimestre e auditadas a cada acesso.

Aplicamos o princípio do menor privilégio e controle de acesso baseado em funções (RBAC), implementado por meio de uma tabela `user_roles` dedicada e validado no servidor com segurança em nível de linha. Contas de administrador exigem autenticação em dois fatores, e cada acesso é registrado de forma imutável.

Os acessos de quem sai da empresa são removidos em até 4 horas. Fornecedores terceiros só acessam os sistemas por meio de contas dedicadas e auditáveis.

Todo o código é revisado antes da implantação. Executamos varredura automatizada de dependências (SCA), análise estática (SAST), detecção de segredos e testes dinâmicos. Nenhuma mudança em produção vai ao ar sem um conjunto de testes automatizados, revisão manual e possibilidade de reversão imediata.

Usamos o OWASP Top 10 e o OWASP API Security Top 10 como referência e contratamos terceiros independentes para testes de invasão anuais.

Toda atividade sensível é registrada de forma centralizada por 12 meses. Anomalias disparam alertas em tempo real. Mantemos um plano documentado de resposta a incidentes, com RTO de 4 horas e RPO de 30 minutos para os serviços críticos.

Violações de dados pessoais são comunicadas à autoridade de controle em até 72 horas, nos termos do artigo 33 do RGPD, e os titulares afetados são informados sem demora injustificada.

A Workers Stay não armazena os dados completos de cartões de pagamento. Todo o tratamento de cartões acontece com a Stripe, nosso fornecedor certificado PCI DSS. Estamos no escopo do SAQ-A (o menor nível aplicável) e não tratamos CHD nem SAD em texto aberto.

Trabalhamos apenas com suboperadores que atendem a padrões de segurança equivalentes. A lista completa e atualizada está no nosso contrato de tratamento de dados (DPA). As mudanças são comunicadas aos clientes corporativos com pelo menos 30 dias de antecedência.

Convidamos pesquisadores de segurança a relatar possíveis vulnerabilidades para security@workersstay.com. Confirmamos o recebimento em até 48 horas, corrigimos conforme a prioridade CVSS e não tomaremos medidas judiciais contra relatos feitos no âmbito de uma pesquisa de boa-fé.

Clientes corporativos cuja parceria envolva o tratamento de dados pessoais (formulários de reserva, integrações com CRM, listas de funcionários hospedados conosco) recebem um DPA por escrito antes da ativação. Nosso DPA padrão segue o artigo 28 do RGPD e inclui as cláusulas contratuais-padrão da UE (módulos 2 e 3, quando aplicável) para todos os suboperadores localizados fora do EEE. Solicite uma cópia do DPA vigente em privacy@workersstay.com.

Trabalhamos com um número limitado de suboperadores avaliados com cuidado. Cada um está vinculado a um contrato escrito que impõe obrigações equivalentes de proteção de dados. Lista atual:

• Google LLC / Google Ireland Ltd: Google Workspace, Analytics, Ads, Maps (UE e EUA, cláusulas contratuais-padrão).
• Meta Platforms Ireland Ltd: Meta Pixel e CAPI (UE).
• Supabase Inc.: banco de dados da aplicação e autenticação (região UE, Frankfurt).
• Stripe Payments Europe Ltd: pagamentos com cartão (UE, PCI DSS nível 1).
• Resend, Inc.: e-mail transacional (região UE).
• Cloudflare, Inc.: DNS, WAF e entrega na borda (global, cláusulas contratuais-padrão).
• PostHog Inc.: análise de produto (região UE).

Avisamos os clientes corporativos por escrito pelo menos 30 dias antes de um suboperador ser adicionado ou substituído.

Em caso de incidente confirmado que afete dados de um cliente corporativo, avisamos o cliente afetado sem demora injustificada e, no máximo, em até 48 horas após a confirmação. O aviso inclui as categorias de dados afetadas, as consequências prováveis e as medidas tomadas para mitigá-las. Paralelamente, as violações de dados pessoais são comunicadas à autoridade de controle em até 72 horas, nos termos do artigo 33 do RGPD.

Todos os membros da equipe e prestadores de serviço estão sujeitos a obrigações de confidencialidade por escrito que continuam valendo após o fim da relação. NDAs mútuos estão disponíveis mediante solicitação antes das conversas comerciais.

Escritório de Segurança: security@workersstay.com. Proteção de dados: privacy@workersstay.com. Contato geral: contact@workersstay.com. Endereço postal: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Reino Unido.