Segurança e LGPD
Onde ficam os dados, como protegemos, quanto tempo guardamos e como pedir o que é seu. O documento que vale é a Política de Privacidade; esta página resume.
Onde ficam os dados
A infraestrutura principal roda na AWS em São Paulo (sa-east-1). E-mail para destinatário fora do Brasil pode passar por servidores de outros países na entrega final, como em qualquer provedor.
| Quem | Para quê | Onde |
|---|---|---|
| AWS (Amazon Web Services) | envio dos e-mails (SES) e hospedagem da aplicação | sa-east-1, São Paulo |
| Asaas | pagamentos, boletos e Pix | Brasil |
| Logto, instalado pela IT Booster | login e identidade | servidor próprio, Brasil |
| eNotas / Bling | nota fiscal de serviço | Brasil |
| Cloudflare / Hostinger | DNS, proteção contra DDoS, registro de domínio | internacional / Brasil |
A IT Booster não vende, aluga nem comercializa dados pessoais.
Como protegemos
- TLS 1.2 ou superior em todas as conexões: API, painel e SMTP.
- Discos criptografados (AES-256) e backups criptografados, com teste de restauração.
- Acesso interno com o mínimo de privilégio, MFA obrigatório para a equipe e auditoria dos acessos administrativos.
- Registro das operações sensíveis: criar e apagar chave de API, mudar domínio, trocar de plano.
- Número de cartão nunca passa por nós: vai direto ao Asaas, certificado PCI-DSS.
- Incidente relevante é comunicado à ANPD e aos titulares em até 72 horas, como pede o art. 48 da LGPD.
O que o produto faz por você
- A chave de API é guardada como hash SHA-256 e aparece uma vez só, na criação. Nem a nossa equipe consegue lê-la depois.
- Chave limitada: só enviar, ou presa a um domínio. Se vazar, o estrago fica contido.
- Todo webhook vai assinado com HMAC-SHA256 no cabeçalho
x-jetsend-signature, para o seu servidor recusar evento falso. Como conferir - Só envia com remetente de domínio que você provou ser seu, por registro DNS. Ninguém manda e-mail em nome do seu domínio por outra conta.
- Cada conta tem configuration set próprio na AWS: reputação e métricas separadas das outras contas.
- Lista de bloqueio automática: quem devolveu ou reclamou de spam para de receber, e quem usou o descadastro de um clique também.
Quanto tempo guardamos
| Conteúdo do e-mail (corpo e anexos) | 30 dias após o envio |
|---|---|
| Eventos (entrega, devolução, reclamação, abertura) | 24 meses |
| Logs de acesso e segurança | 6 a 12 meses |
| Cadastro (CNPJ, contato) | enquanto a conta existir, mais 5 anos (obrigação fiscal) |
| Dados financeiros e fiscais | 5 anos após o fato gerador |
| Backups | janela de 35 dias |
Vencido o prazo, o dado é apagado ou anonimizado de forma irreversível.
Seus direitos e com quem falar
Acesso, correção, portabilidade, eliminação e os demais direitos do art. 18 da LGPD: peça ao encarregado em contato@itbooster.com.br. A resposta sai em até 15 dias úteis.
Questionário de segurança da sua empresa ou cláusula de tratamento de dados no contrato também vão para esse endereço.
Texto completo na Política de Privacidade.