- Login único SAML 2.0
- Login com Google e Microsoft
- Hash bcrypt, política de senhas rígida
- Bloqueio por conta e por IP
- Sair de todos os dispositivos
Central de segurança da Mentornity
Os dados do seu programa, protegidos em cada camada.
A Mentornity opera programas de mentoria e coaching para empresas, universidades, aceleradoras e comunidades. É assim que protegemos as pessoas que participam deles: onde os dados ficam, quem pode acessá-los, como são criptografados, monitorados e recuperados, e a política por trás de cada controle.
- 3zonas de disponibilidade para o banco de dados
- 24/7monitoramento externo do serviço
- 30 diasde retenção central de logs
- 7 diasde histórico de snapshots criptografados
- AES-256criptografia de discos, snapshots e backups
- 15políticas de segurança publicadas
Arquitetura
Uma região, uma rede privada, em camadas da borda para dentro.
Cada requisição chega à Mentornity pela Cloudflare e por uma camada de borda reforçada que encerra o TLS. A aplicação e o banco de dados ficam atrás dela, em uma rede privada em Frankfurt, e o banco de dados é replicado em três zonas de disponibilidade.
Defesa em profundidade
Quatro camadas, cada uma forte por si só.
- RedeCloudflare na frente, uma camada de borda reforçada e uma VPC privada com security groups que negam tudo por padrão. O banco de dados nunca é acessível pela internet.
- IdentidadeSSO SAML, login com Google e Microsoft, senhas bcrypt com uma política rígida, bloqueio após falhas repetidas e revogação de todas as sessões quando você pedir.
- AplicaçãoAutorização no servidor em cada requisição, isolamento por programa, visibilidade por campo das respostas dos membros, texto formatado higienizado e uma Content Security Policy baseada em nonce.
- DadosDiscos, snapshots e backups criptografados, segredos em um repositório de parâmetros criptografado, replicação em três zonas e logs que nunca guardam senhas nem tokens.
Resiliência
Um dia de proteção, todos os dias.
Os dados são replicados continuamente, gravados toda noite em um backup fora do servidor e recebem um snapshot toda manhã, enquanto uma sonda externa verifica o serviço o tempo todo.
0dado perdido quando um nó do banco falha: a replicação assume automaticamente
≤ 24 hponto de recuperação para uma restauração completa a partir do backup noturno
7 diasde snapshots criptografados de cada servidor e disco de dados
Controles
O que está em vigor hoje.
Um resumo dos controles técnicos em produção. Cada cartão leva à política que o descreve por completo.
- Verificação no servidor em cada rota
- Isolamento de dados por programa
- Visibilidade das respostas por campo
- Acesso administrativo por papéis
- Chaves de API restritas e com limite de uso
- Só TLS 1.2 e 1.3, HSTS
- Discos criptografados (AES-256)
- Snapshots e backups criptografados
- Segredos em um cofre criptografado
- SPF e DKIM nos e-mails enviados
- VPC AWS dedicada em Frankfurt
- Security groups que negam por padrão
- Acesso reforçado aos metadados da instância
- Infraestrutura como código
- Verificação automática de exposição a cada mudança
- Logs e alarmes do CloudWatch
- Trilha de auditoria do AWS CloudTrail
- Sonda externa do tipo dead man’s switch
- Verificação de validade de certificados
- Aviso de reinício de contêineres
- Atualizações de segurança diárias do sistema
- Janela de manutenção mensal
- govulncheck e auditorias de pacotes
- Ambientes de execução com suporte
- Achados acompanhados até o fim com testes
Políticas
Nossas políticas de segurança.
15 políticas descrevem como a Mentornity é operada, do controle de acesso e da criptografia à resposta a incidentes e à recuperação. Compartilhe-as com a sua revisão de segurança; um Acordo de Processamento de Dados está disponível para todos os clientes.
Governança e privacidade
Política de segurança da informação
O programa completo: escopo, princípios, papéis e como todas as outras políticas deste site se encaixam.
Leia a política →Política de proteção de dados e privacidade
Onde os dados ficam, quem os controla, o que é coletado e como são devolvidos ou excluídos.
Leia a política →Política de gestão de riscos de fornecedores e da cadeia de suprimentos
Como os fornecedores são escolhidos e revisados, e a lista completa de suboperadores.
Leia a política →Política de IA e uso de dados
Como a Mentornity AI e o conector MCP usam os dados dos programas, e o que nunca fazem com eles.
Leia a política →Política de divulgação responsável
Como relatar uma vulnerabilidade, o que nos comprometemos a fazer em troca e as regras de participação.
Leia a política →Proteção de dados
Política de controle de acesso
Como usuários, administradores, engenheiros e máquinas são autenticados e o que cada um pode acessar.
Leia a política →Política de criptografia e gestão de chaves
TLS em tudo, discos, snapshots e backups criptografados, e segredos guardados em um cofre gerenciado.
Leia a política →Política de segurança de infraestrutura e rede
Uma rede AWS dedicada em Frankfurt, um único ponto de entrada reforçado e um banco de dados que ninguém alcança pela internet.
Leia a política →Operações e resiliência
Política de gestão de logs e monitoramento
Quais logs existem, o que há neles, por quanto tempo são guardados e quem os acompanha.
Leia a política →Política de gestão de vulnerabilidades e patches
Atualizações de segurança diárias do sistema operacional, uma janela de manutenção mensal e varredura de dependências até zero problemas conhecidos.
Leia a política →Política de resposta a incidentes
Da detecção à notificação e à análise pós-incidente: fases, papéis e prazos.
Leia a política →Política de backup e recuperação
Replicação em três zonas de disponibilidade, snapshots diários, backups noturnos fora do servidor e restaurações documentadas.
Leia a política →Política de continuidade de negócios
Manter o serviço e a equipe funcionando diante de interrupções de fornecedores, de infraestrutura ou de pessoas.
Leia a política →Engenharia segura
Política de desenvolvimento seguro e gestão de mudanças
Cada mudança é um pull request revisado que passa por verificações automáticas antes de um deploy automático e reversível.
Leia a política →Controles OWASP Top 10
Como a plataforma trata cada um dos dez riscos de segurança mais críticos para aplicações web.
Leia a política →Suboperadores
Quem mais lida com os dados.
Os fornecedores que tratam dados dos programas, para quê e onde. As integrações opcionais são ativadas pela organização ou pelo participante. Política de gestão de riscos de fornecedores
| Fornecedor | Finalidade | Localização dos dados |
|---|---|---|
| Amazon Web Services | Hospedagem, banco de dados, armazenamento de arquivos, backups, logs, e-mails transacionais (SES) | UE (Frankfurt) |
| Cloudflare | DNS, CDN, proteção DDoS, verificação contra bots em formulários públicos, roteamento de e-mails recebidos | Rede de borda global |
| Stripe | Cobrança de assinaturas e pagamentos com cartão (só contatos de cobrança) | UE e EUA |
| Opcional: login com Google, sincronização com o Google Agenda | Conforme a conta Google do participante | |
| Microsoft | Opcional: login com Microsoft, sincronização com a agenda do Outlook | Conforme a conta Microsoft do participante |
| Zoom | Opcional: links de reunião do Zoom | Conforme a conta Zoom da organização |
| Anthropic | Opcional: assistente de IA da Mentornity, com a chave de API da própria organização | EUA |
Perguntas sobre segurança, respondidas
Onde os dados da Mentornity ficam armazenados?
Todos os dados de produção são armazenados e tratados na União Europeia, na região eu-central-1 da AWS em Frankfurt, na Alemanha, em três zonas de disponibilidade. Backups e logs ficam na mesma região.
Os dados são criptografados?
Sim. Toda conexão é só HTTPS com TLS 1.2 ou 1.3 e HSTS. Discos dos servidores, volumes do banco de dados, snapshots e backups são criptografados em repouso com AES-256, e as senhas são guardadas só como hashes bcrypt.
A Mentornity tem login único (SSO)?
Sim. As organizações podem usar o login único SAML 2.0 com o próprio provedor de identidade, e os participantes também podem entrar com Google ou Microsoft.
A Mentornity está em conformidade com o GDPR?
A Mentornity trata os dados dos programas como operadora, conforme as instruções da organização cliente, hospeda esses dados na UE e oferece a todos os clientes um Acordo de Processamento de Dados nos termos do artigo 28 do GDPR.
Como é feito o backup dos dados?
O banco de dados é replicado continuamente em três zonas de disponibilidade, copiado toda noite para um armazenamento criptografado separado, e cada servidor e volume de dados recebe um snapshot diário com sete dias de histórico.
Quais suboperadores a Mentornity usa?
Amazon Web Services para hospedagem, armazenamento e e-mail, Cloudflare para DNS, CDN e proteção DDoS, e Stripe para cobrança. Google, Microsoft, Zoom e Anthropic só são usados quando uma organização ou um participante ativa a integração correspondente.
A Mentornity AI é treinada com os nossos dados?
Não. O assistente de IA é ativado por programa, roda nos modelos Claude da Anthropic com a chave de API da própria organização, e a Anthropic não treina seus modelos com dados enviados pela sua API comercial.
Como relato um problema de segurança ou peço um questionário de segurança?
Envie um e-mail para privacy@mentornity.com. Confirmamos o recebimento de relatos de vulnerabilidade em até três dias úteis; questionários de segurança e pedidos de DPA vão para o mesmo endereço.
Encontrou uma vulnerabilidade? Precisa de respostas para o seu questionário de segurança?
Recebemos com prazer relatos de pesquisadores e revisões da sua equipe de segurança. Confirmamos o recebimento de cada relato em até três dias úteis. Leia a política de divulgação responsável.
privacy@mentornity.com Relatos de segurança, questionários e pedidos de DPA