Segurança da plataforma

Última atualização : 18/10/2026 — A segurança dos seus dados escolares é a nossa prioridade. Esta página detalha as medidas técnicas e organizacionais que aplicamos.

1. Cifragem dos dados

Todas as comunicações entre o seu navegador e os nossos servidores estão protegidas pelo protocolo TLS 1.3, o padrão atual de cifragem da Internet.

• TLS 1.3 em todas as ligações HTTP (HSTS ativado, redirecionamento HTTPS forçado)
• Certificados SSL renovados automaticamente (Let's Encrypt)
• Dados em repouso cifrados ao nível do sistema de ficheiros e das cópias de segurança
• Cookies de sessão marcados HttpOnly e Secure

2. Autenticação e palavras-passe

Nenhuma palavra-passe é alguma vez armazenada em texto simples. Aplicamos as boas práticas da OWASP em matéria de autenticação.

• Hash BCrypt com custo adaptativo (12 rondas) em todas as palavras-passe
• JWT assinados para as sessões autenticadas (expiração curta + tokens de atualização)
• Política de complexidade mínima aplicada no registo
• Bloqueio temporário da conta após várias tentativas falhadas
• Redefinição de palavra-passe por ligação de utilização única, válida 1 hora

3. Alojamento e conformidade

Os nossos servidores são operados por um alojador europeu certificado, garantindo a conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD).

• Localização: centros de dados situados em França
• Certificações do alojador: ISO 27001, SOC 2 Type II, ISO 27017 (cloud), ISO 27018 (PII)
• Conformidade com o RGPD: registo das atividades de tratamento, subcontratantes identificados, DPO contactável
• Isolamento de rede: VLAN privadas, firewall de aplicações (WAF), proteção anti-DDoS

4. Isolamento multi-instituição

Cada instituição dispõe de um espaço rigorosamente compartimentado. Os seus dados são invisíveis para os outros clientes da plataforma.

• Filtro etablissementId aplicado automaticamente a 100 % dos pedidos
• Validação do lado do servidor das autorizações em cada chamada à API (modelo zero-trust)
• Testes automatizados de não regressão sobre as fugas laterais
• Sem partilha de configuração, horários ou listas entre instituições

5. Rastreabilidade e registo de auditoria

Todas as ações sensíveis são registadas e podem ser consultadas pelos administradores. Isto permite-lhe responder às perguntas «quem fez o quê, e quando?».

• Ligações, desligamentos, falhas de autenticação
• Criação, modificação, eliminação de utilizadores
• Geração, edição, publicação, eliminação de horários
• Exportações de dados, alterações de configuração
• Conservação dos registos: 13 meses no mínimo

6. Cópias de segurança e continuidade

Os seus dados são copiados várias vezes por dia. Em caso de incidente técnico, garantimos um restauro rápido.

• Cópias incrementais a cada 6 horas
• Cópias completas diárias, conservadas 30 dias
• Replicação geográfica em 2 centros de dados distintos
• Testes de restauro trimestrais documentados
• RPO (perda máxima aceitável): 6 horas · RTO (tempo de recuperação): 4 horas

7. Notificação de incidente

Em caso de incidente de segurança que afete os seus dados, comprometemo-nos a:

• Notificar no prazo de 24 horas os administradores das instituições em causa
• Detalhar a natureza do incidente, os dados afetados, as medidas corretivas
• Notificar as autoridades competentes (RGPD: no prazo de 72 h)
• Publicar uma análise post-mortem pública no prazo de 30 dias para os incidentes graves

8. Boas práticas do lado da instituição

A segurança é uma responsabilidade partilhada. Aqui estão as recomendações que lhe pedimos que aplique:

• Palavras-passe fortes e únicas para cada utilizador (gestor de palavras-passe recomendado)
• Desativar imediatamente as contas dos utilizadores que abandonam a instituição
• Reservar o papel Admin a um número restrito de pessoas de confiança
• Nunca partilhar credenciais — crie uma conta por utilizador
• Comunicar imediatamente qualquer atividade suspeita para security@yaplanning.com