Segurança e dados

Como protegemos pagamentos, dados pessoais e a integridade financeira da plataforma.

A KineoPass leva segurança a sério em três frentes: pagamentos (parceiros regulados + escrow), dados pessoais (LGPD + criptografia), e integridade da plataforma (auditoria contínua).

Todas as cobranças são processadas pelo Asaas, instituição de pagamento regulada pelo Banco Central do Brasil. A KineoPass não armazena número de cartão — esse dado fica em sistemas certificados PCI-DSS do Asaas.

Escrow segregado

Dinheiro das inscrições fica em conta de garantia segregada no Asaas, separada do capital operacional da KineoPass. Em caso extremo (falência hipotética da KineoPass), o dinheiro permanece com Asaas e é restituído aos atletas pela ordem das transações.

Detalhe em Onde fica o dinheiro até o evento.

Antifraude

Cartões passam por antifraude do Asaas (algoritmo + análise) antes de aprovar. Compras suspeitas são marcadas pra revisão — pode levar até 5 minutos.

Webhook autenticado

Comunicação entre Asaas e KineoPass usa autenticação por token assinado. Não há canal aberto pra forjar confirmação de pagamento.

Dados pessoais

Criptografia

Em trânsito: todo tráfego usa TLS 1.3 (HTTPS obrigatório, sem fallback pra HTTP).
Em repouso: banco de dados criptografado (AES-256). Senhas guardadas com hash bcrypt — nem a Kineo nem ninguém recupera senha original.
Backups: criptografados, retenção de 30 dias.

Acesso interno

Acesso aos dados de produção é restrito a um grupo pequeno de engenheiros, com autenticação multi-fator obrigatória.
Logs de acesso são auditáveis.
Sem acesso "ao banco vivo" pra time de suporte — eles trabalham via interfaces auditáveis.

LGPD

Política completa em /privacy. Resumo em Como tratamos seus dados.

Direitos garantidos:

Acesso aos dados que mantemos sobre você.
Correção de dados incorretos.
Exclusão dos seus dados (respeitando obrigações legais de retenção).
Portabilidade (formato estruturado).
Revogação de consentimento.

Integridade da plataforma

Monitoramento

Logs centralizados com alertas pra eventos anômalos.
Métricas de produto acompanhadas em tempo real (latência, taxa de erro, anomalias financeiras).
Webhook delivery monitorado — qualquer falha de processamento gera alarme.

Backups e disaster recovery

Backup diário automatizado do banco de dados.
Restauração testada periodicamente.
Plano de continuidade definido pra incidentes (incluindo perda total de uma região cloud).

Atualizações de segurança

Dependências auditadas semanalmente.
Patches críticos aplicados em até 24h.
Penetration testing periódico por consultoria externa.

Notificação de incidente

Em caso de incidente de segurança que afete seus dados:

Notificamos você direto (e-mail cadastrado) em até 72 horas do conhecimento do incidente.
Comunicamos à ANPD (Autoridade Nacional de Proteção de Dados) conforme exigência LGPD.
Detalhamos o que aconteceu, o que pode ter sido afetado, e as medidas tomadas.

Reportar vulnerabilidade

Encontrou problema técnico de segurança? Mande pra contato@kineopass.com.br com assunto "Vulnerabilidade — <descrição>".

Reportagens de boa fé são bem-vindas. Não fazemos bug bounty financeiro no MVP, mas reconhecemos publicamente quem nos ajudou.

Pequenas equipes não significam pouco rigor. O time da KineoPass é compacto, mas a segurança é prioridade desde o dia um. Tudo aqui está vivo em produção e auditável.