BETA PROGRAM NOTICE This document applies to the Kompunik Beta Program, a free, invitation-only research pilot operated by Joss Gillet (Founder of Kompunik). This is an experimental prototype with no service guarantee.

Visão Geral de Segurança

Data de Vigência: 1 de janeiro de 2026

Última Atualização: 1 de janeiro de 2026

Na Kompunik, a segurança dos seus dados e a integridade da nossa plataforma são fundamentais para tudo o que construímos. Este documento fornece uma visão geral das medidas de segurança técnicas e organizacionais que implementamos para proteger nossos usuários, seus dados e a experiência de aprendizagem.

1. Autenticação e Controle de Acesso

Empregamos um sistema de autenticação multicamadas para garantir que apenas usuários autorizados possam acessar a plataforma e suas funcionalidades.

1.1 Framework de Autenticação

Auth.js v5 com estratégia JWT (JSON Web Token) fornece autenticação segura e sem estado
Autenticação por e-mail e senha com hash de senha usando bcrypt
Login único (SSO) via Google Workspace e Microsoft Entra ID para usuários de organizações, usando protocolos padrão da indústria OAuth 2.0 / OpenID Connect
Tokens de sessão são armazenados em cookies seguros, HttpOnly e SameSite para prevenir ataques entre sites

1.2 Autenticação Multifator (MFA)

OTP por e-mail (Senha de Uso Único): Ativado por padrão para todos os usuários de contas pessoais. Um código de verificação com tempo limitado é enviado para seu endereço de e-mail registrado durante o login.
TOTP (Senha de Uso Único Baseada em Tempo): Suporte opcional a aplicativo autenticador (ex.: Google Authenticator, Authy) para segurança reforçada, com códigos de recuperação de backup
Política de MFA da organização: Administradores de organização podem exigir MFA para todos os usuários da sua organização e configurar quais métodos de MFA são permitidos

1.3 Controle de Acesso Baseado em Funções

Quatro funções distintas com permissões graduadas: Aprendiz, Gestor, Administrador de Organização e Super Administrador
Aplicação de acesso no nível de rota no middleware garante que os usuários só possam acessar páginas e funcionalidades apropriadas à sua função
Proteção de endpoints de API com verificação de função em cada ação do servidor

1.4 Gestão de Sessão

Tokens JWT com expiração e lógica de atualização configuráveis
Atributos de cookie seguros (HttpOnly, Secure, SameSite=Lax) para prevenir sequestro de sessão e ataques CSRF
Limitação de taxa em endpoints de autenticação para prevenir ataques de força bruta (5 tentativas por 15 minutos por e-mail)

2. Criptografia de Dados

Todos os dados são criptografados tanto em trânsito quanto em repouso para proteger contra acesso não autorizado.

2.1 Criptografia em Trânsito

TLS 1.2 ou superior é aplicado em todas as conexões entre usuários e a plataforma
HTTPS é obrigatório; conexões HTTP são automaticamente redirecionadas
Cabeçalhos HTTP Strict Transport Security (HSTS) são definidos para prevenir ataques de downgrade de protocolo

2.2 Criptografia em Repouso

Criptografia AES-256 para todos os dados armazenados no MongoDB Atlas
Backups automatizados criptografados gerenciados pela infraestrutura do MongoDB Atlas
Conteúdo de mídia no DigitalOcean Spaces é criptografado em repouso usando criptografia do lado do servidor

2.3 URLs Assinadas para Conteúdo de Mídia

Faixas de áudio, vídeos, imagens e certificados são entregues por meio de URLs assinadas com tempo limitado com validade de uma (1) hora
URLs assinadas são geradas no lado do servidor e não podem ser compartilhadas ou reutilizadas após a expiração
Proteção contra hotlink valida cabeçalhos de origem e referência da solicitação

3. Privacidade e Tratamento de Dados

A privacidade está incorporada no design da plataforma, não tratada como algo secundário.

3.1 Alinhamento com o RGPD

Conformidade total com o Regulamento Geral de Proteção de Dados (RGPD) para todos os titulares de dados da UE
O tratamento de dados é baseado em bases legais claras: execução de contrato, interesse legítimo e consentimento explícito
Os usuários podem exercer seus direitos sobre dados (acesso, retificação, exclusão, portabilidade) a qualquer momento

3.2 Privacidade por Padrão

Os perfis de usuário são privados por padrão — nenhuma informação pessoal é visível para outros usuários, a menos que explicitamente habilitada
Perfis públicos, cartões de compartilhamento e visibilidade na comunidade são funcionalidades opcionais (opt-in)
Respostas 404 que preservam a privacidade para perfis inexistentes ou privados (sem enumeração de usuários)

3.3 Compartilhamento de Dados Baseado em Consentimento

Funcionalidades de comunidade (publicações, comentários, círculos, desafios) requerem participação ativa
Funcionalidades de comparação entre pares requerem opt-in explícito tanto da organização quanto do usuário
Configurações de visibilidade de avatar e perfil são granulares e controladas pelo usuário

3.4 Sem Rastreamento de Terceiros

Sem serviços de análise de terceiros (sem Google Analytics, Mixpanel ou similares)
Sem cookies publicitários ou tecnologias de rastreamento entre sites
Sem venda de dados para anunciantes, corretores de dados ou quaisquer terceiros
Todas as análises são calculadas internamente a partir do nosso próprio banco de dados usando dados anonimizados e agregados

3.5 Direito à Exclusão

Usuários podem solicitar a exclusão completa da conta
Os dados da conta são eliminados dentro de 30 dias após a solicitação de exclusão
Registros financeiros são retidos por 7 anos conforme exigido pela legislação francesa

4. Infraestrutura e Hospedagem

Nossa infraestrutura é projetada para confiabilidade, segurança e proteção de dados.

4.1 Banco de Dados

Banco de dados em nuvem MongoDB Atlas com backups automatizados, recuperação pontual e criptografia no nível do cluster
Infraestrutura certificada SOC 2 Tipo II
Acesso ao banco de dados restrito a contas de serviço da aplicação com permissões de menor privilégio

4.2 Armazenamento de Conteúdo

DigitalOcean Spaces (armazenamento de objetos compatível com S3) para arquivos de mídia, certificados e ativos enviados
Criptografia no lado do servidor em repouso
Acesso controlado por URLs assinadas com expiração por tempo limitado

4.3 Hospedagem da Aplicação

Aplicação Next.js com runtime Node.js
Isolamento de variáveis de ambiente garante que segredos nunca sejam expostos ao código do lado do cliente
Separação em tempo de build e runtime entre código do servidor e do cliente

4.4 Backups Automatizados

Backups do banco de dados são automatizados e criptografados pelo MongoDB Atlas
Capacidade de recuperação pontual para recuperação de desastres
Conteúdo de mídia armazenado de forma redundante no DigitalOcean Spaces com replicação integrada

5. Segurança da Aplicação

A aplicação é construída com práticas de desenvolvimento com segurança em primeiro lugar em todas as camadas.

5.1 Validação de Entrada

Todas as entradas do usuário são validadas no lado do servidor antes do processamento
Verificação de tipo estrita com TypeScript em toda a base de código
Envios de arquivos são validados quanto a tipo, tamanho e conteúdo (incluindo sanitização de SVG para remover scripts maliciosos)

5.2 Sanitização de Conteúdo

Conteúdo gerado pelo usuário (publicações, comentários da comunidade) é renderizado como texto simples usando a proteção XSS integrada do React
Conteúdo do blog (criado por administradores) é sanitizado usando sanitize-html com uma lista de permissões restrita de tags HTML seguras
Envios de SVG são processados por um sanitizador dedicado que remove scripts, manipuladores de eventos e objetos externos

5.3 Segurança do Banco de Dados

Apenas consultas parametrizadas — todas as consultas MongoDB usam filtros parametrizados, eliminando completamente vulnerabilidades de injeção
Sem uso de $where, eval() ou qualquer construção dinâmica de consultas
Operações de banco de dados são encapsuladas em funções dedicadas da camada de acesso a dados

5.4 Limitação de Taxa

Limitação de taxa é aplicada em todos os endpoints sensíveis:
- Login: 5 tentativas por 15 minutos por e-mail
- Cadastro: 5 tentativas por hora por e-mail
- Redefinição de senha: 3 tentativas por 15 minutos
- Endpoints de API: limites configuráveis por rota
- Funcionalidades assistidas por IA: orçamentos diários por usuário
Cabeçalhos de limitação de taxa (X-RateLimit-Remaining, X-RateLimit-Reset) informam aos clientes sobre sua cota restante

5.5 Cabeçalhos de Segurança

Content Security Policy (CSP): Restringe fontes de scripts, estilos, imagens e conexões a origens confiáveis
X-Content-Type-Options: nosniff para prevenir confusão de tipo MIME
X-Frame-Options: SAMEORIGIN para prevenir clickjacking
Referrer-Policy: strict-origin-when-cross-origin para limitar vazamento de referência
Permissions-Policy: Restringe acesso a APIs sensíveis do navegador

5.6 Proteção CSRF

Ações do servidor possuem proteção CSRF integrada por meio de mecanismos do framework Next.js
Atributo de cookie SameSite=Lax previne falsificação de solicitação entre sites
Rotas de API são protegidas por autenticação e verificação de função

6. Isolamento de Tenant de Organização

As organizações na plataforma operam em ambientes isolados para prevenir vazamento de dados entre tenants.

6.1 Isolamento de Dados

Todas as consultas de banco de dados para dados de organização incluem o identificador da organização como filtro obrigatório
Usuários só podem acessar dados pertencentes à sua própria organização
Acesso a dados entre organizações é prevenido no nível de consulta do banco de dados

6.2 Controle de Acesso

Portões de função no middleware garantem que os usuários só possam acessar rotas apropriadas para sua organização e função
Administradores de organização só podem gerenciar usuários e configurações dentro de sua própria organização
A visibilidade do gestor é limitada às suas equipes atribuídas (gestores veem apenas os aprendizes de sua equipe)

6.3 Isolamento de Marca

A personalização visual da organização (logotipos, nomes de exibição) é limitada por organização
A marca personalizada não afeta outras organizações ou a experiência global da plataforma
Ativos de marca enviados são armazenados em caminhos específicos da organização

6.4 Isolamento de Comunidade

Os espaços de comunidade da organização são completamente separados da comunidade global
Publicações, círculos, desafios e salas de prática criados em um espaço de organização são visíveis apenas para membros daquela organização
Funcionalidades de comunidade da organização podem ser habilitadas ou desabilitadas pelo administrador da organização

6.5 Gestão de Contratos e Licenças

Termos de contrato e alocações de licenças são gerenciados por organização
Atribuições de licenças são validadas contra limites de contrato com operações atômicas de banco de dados para prevenir alocação excessiva
Alterações de licenças acionam modificações de acesso apropriadas (períodos de carência, atualizações de matrícula)

7. Moderação de Conteúdo

O conteúdo da comunidade é moderado por meio de um pipeline abrangente de seis camadas para manter um ambiente seguro e respeitoso.

7.1 Pipeline de Moderação

Limitação de taxa: Previne postagens rápidas e spam
Sanitização de HTML: Remove qualquer marcação HTML e potenciais vetores XSS da entrada do usuário
Normalização de texto: Normaliza o texto para detectar técnicas de evasão (homóglifos, l33t speak, caracteres de largura zero)
Correspondência com lista de bloqueio: Verifica o conteúdo contra listas de bloqueio específicas por idioma de termos proibidos
Classificação por IA: O conteúdo é analisado pela API de Moderação da OpenAI para discurso de ódio, violência, assédio e outras categorias de conteúdo prejudicial
Revisão humana: Conteúdo sinalizado é direcionado para a fila de moderação do administrador para revisão manual

7.2 Sinalização Automatizada

Conteúdo que aciona limites de lista de bloqueio ou classificação de IA é automaticamente retido para revisão
Os usuários recebem feedback claro quando seu conteúdo requer modificações

7.3 Denúncia e Revisão

Todos os usuários podem denunciar conteúdo ou comportamento por meio de denúncia estruturada com categorias de motivo predefinidas
Denúncias são rastreadas e escaladas quando múltiplas denúncias são recebidas para o mesmo conteúdo
Administradores têm acesso a uma fila de moderação dedicada com ferramentas de filtragem e ação

7.4 Design Fail-Open

Se o serviço de moderação por IA estiver temporariamente indisponível, o conteúdo é permitido para evitar interrupção do serviço
A moderação automatizada é complementada por denúncias da comunidade para capturar qualquer conteúdo que contorne as verificações automatizadas

8. Segurança de Pagamentos

As transações financeiras são tratadas com os mais altos padrões de segurança por meio de nossa parceria com o Stripe.

8.1 Conformidade PCI-DSS

Todo o processamento de pagamento é realizado pelo Stripe, que possui certificação PCI-DSS Nível 1 (o mais alto nível de certificação de segurança de pagamento)
A Kompunik nunca recebe, processa ou armazena números de cartão de crédito, CVVs ou detalhes completos de cartão de pagamento em seus servidores
Os dados do cartão de pagamento são inseridos diretamente nos elementos de pagamento seguros do Stripe

8.2 Segurança de Webhooks

Eventos de webhook do Stripe são verificados usando validação de assinatura criptográfica antes do processamento
A deduplicação de ID de evento previne processamento duplicado do mesmo evento de pagamento
O endpoint de webhook é limitado por taxa para prevenir abuso

8.3 Processamento Idempotente

A ativação de pagamento é idempotente — processar o mesmo evento várias vezes produz o mesmo resultado sem cobranças ou ativações duplicadas
Registros de transação fornecem uma trilha de auditoria completa de todas as atividades de pagamento

9. Conformidade e Padrões

9.1 Conformidade Atual

Alinhamento com RGPD para todos os titulares de dados da UE, incluindo bases legais documentadas, direitos dos titulares de dados e acordos de processamento de dados com subprocessadores
Meta de resposta a incidentes de 48 horas para incidentes de segurança — nos comprometemos a investigar e iniciar a remediação dentro de 48 horas após a detecção do incidente
Revisões internas regulares de segurança de código, dependências e configuração de infraestrutura
Auditoria de dependências por meio de varredura automatizada de vulnerabilidades de pacotes de terceiros

9.2 Notas de Transparência

Acreditamos em ser transparentes sobre nossa postura atual de segurança e nosso roteiro de melhorias:

Certificações SOC 2 e ISO 27001 estão planejadas para uma fase futura à medida que a organização cresce
Limitação de taxa atualmente usa armazenamento em memória (adequado para implantações de instância única); migração para limitação de taxa distribuída baseada em Redis está planejada para ambientes de produção multi-instância
Testes de segurança são atualmente realizados por meio de revisões internas; engajamento de uma empresa externa de teste de penetração está planejado
Infraestrutura de registro de auditoria está em desenvolvimento para fornecer trilhas de atividade abrangentes para conformidade e fins forenses

10. Divulgação Responsável

Se você descobrir uma vulnerabilidade de segurança na plataforma Kompunik, encorajamos que você a reporte de forma responsável.

10.1 Como Reportar

Envie relatórios de vulnerabilidade para compliance@kompunik.org com:

Uma descrição detalhada da vulnerabilidade
Passos para reproduzir o problema
O impacto potencial da vulnerabilidade
Qualquer remediação sugerida, se aplicável

10.2 Nosso Compromisso

Confirmaremos o recebimento do seu relatório dentro de 48 horas
Investigaremos e forneceremos uma avaliação inicial dentro de 5 dias úteis
Manteremos você informado sobre nosso progresso na resolução da vulnerabilidade
Não tomaremos ação legal contra pesquisadores que reportem vulnerabilidades de boa-fé e sigam práticas de divulgação responsável

10.3 Escopo

Esta política de divulgação responsável cobre a aplicação web Kompunik e suas APIs associadas. Serviços de terceiros (Stripe, MongoDB Atlas, DigitalOcean) possuem seus próprios canais de reporte de segurança.

11. Fale Conosco

Se você tiver dúvidas sobre nossas práticas de segurança ou quiser reportar uma preocupação de segurança, entre em contato conosco:

Joss Gillet (Founder of Kompunik) Avignon, França

Consultas de segurança e relatórios de vulnerabilidade: compliance@kompunik.org
Consultas sobre privacidade: compliance@kompunik.org
Suporte geral: contact@kompunik.org

Esta Visão Geral de Segurança está em vigor a partir de 1 de janeiro de 2026.

Beta-Specific Terms

Experimental Nature

This platform is an experimental prototype. Features may change, be removed, or malfunction without notice. No guarantee of availability, uptime, or performance is provided.

Data Handling

Data collected during the beta may be deleted at the end of the beta period. While we take reasonable care to protect your data, no guarantees are made regarding data persistence or backup.

Feedback Usage

Any feedback, suggestions, or ideas you provide during the beta may be used to improve the product without compensation or attribution.

No Financial Compensation

Participation in the beta is voluntary and unpaid. No financial compensation, credits, or refunds are applicable.

Limitation of Liability

Joss Gillet (Founder of Kompunik) shall not be liable for any direct, indirect, incidental, or consequential damages arising from your use of this beta platform. Use is entirely at your own risk.

Confidentiality (Optional)

You may encounter features or content that are not yet publicly available. While not legally binding, we kindly ask that you treat unreleased features with discretion.

No Commercial Relationship

This beta does not constitute a commercial service, contract, or subscription. No invoices will be issued, and no service-level agreements apply.

Segurança e Proteção de Dados