Segurança no AstraFlow

1. Alcance das informações

Esta página apresenta controles encontrados no código e suas limitações. Não representa teste de invasão, certificação ou garantia de segurança absoluta. A configuração de produção e os acessos operacionais precisam ser verificados pelo responsável. O site institucional não recebe credenciais do aplicativo nem se conecta ao banco de usuários.

2. Autenticação e proteção de contas

O aplicativo usa Supabase Auth e cadastro condicionado a convite, além de verificações de sessão em rotas protegidas. A sessão persistente permite continuar conectado e renovar tokens. Convites não substituem proteção de credenciais nem verificação de identidade. Use senha exclusiva, bloqueio de tela e dispositivos atualizados; encerre a sessão ao usar equipamento compartilhado.

3. Controle e isolamento de dados

O repositório contém políticas de Row Level Security (RLS) com regras vinculadas ao usuário, inclusive para o Cofre, e verificações de autenticação em funções. Isso demonstra intenção de isolamento entre contas, mas não prova implantação correta de todas as regras. Funções com privilégios administrativos podem ultrapassar RLS; acessos de operação precisam de controles próprios, registro e revisão.

4. Armazenamento e comunicação

Integrações utilizam endpoints HTTPS. O código mantém conteúdo no Supabase e pode guardar cópias locais no Android para uso offline. HTTPS protege o transporte quando corretamente estabelecido, mas não implica criptografia ponta a ponta nem impossibilidade de acesso pelo operador. Políticas de backup, restauração, retenção e limpeza por dispositivo ainda exigem confirmação operacional.

5. Limitações do Cofre Digital

O Cofre contém bloqueio local por senha mestra. O código examinado grava dados de credenciais sem demonstrar cifragem dos campos antes do armazenamento; o nome de um campo não comprova criptografia. O verificador da senha mestra protege a interface, mas não cifra os registros.

Não considere esse recurso uma solução com criptografia ponta a ponta ou isolamento absoluto da equipe de operação. A arquitetura precisa de revisão específica para proteção de segredos, inclusive em cópias offline. Não há certificação ISO/SOC 2 nem auditoria independente confirmada.

6. Credenciais e integrações

Google Calendar usa OAuth e guarda tokens na integração; desconectar no aplicativo e revogar na Conta Google são passos diferentes. Os escopos e o vínculo da autorização precisam de revisão técnica adicional. Chaves dos provedores de IA são lidas por funções do app, e não foram adicionadas ao institucional. A existência desses controles não comprova ausência de falhas ou exposição em todo o ambiente. Consulte a descrição de Google Calendar e IA.

7. Boas práticas

• Não compartilhe senhas, tokens ou códigos de convite.
• Revise ações propostas pela IA antes de confirmar.
• Desconecte integrações desnecessárias e revogue permissões no fornecedor.
• Confira a sincronização antes de limpar dados locais.
• Evite conteúdo sensível desnecessário em chats e notas.
• Confira o domínio antes de informar credenciais e mantenha cópias de materiais importantes.

8. Comunicação de vulnerabilidades

Relate problemas a suporte@astraflow.com.br, com descrição, ambiente afetado e passos mínimos para reprodução. Não inclua dados de terceiros nem segredos. Evite testes destrutivos, acesso não autorizado ou divulgação de informações pessoais. Não há programa de recompensa ou prazo de resposta garantido nesta página.

9. Incidentes e atendimento

Suspeitas de comprometimento devem ser encaminhadas ao suporte. O responsável deve avaliar riscos, conter o incidente e realizar as comunicações a titulares e autoridades quando exigidas, nos termos legais aplicáveis. A formalização do plano de resposta e da cadeia de responsáveis é uma pendência operacional. Questões de privacidade: contato@astraflow.com.br.