🏠 Lar
Construa Esperança
Ajude cada família a ter um lugar para chamar de lar — financiado por OseloHelp.com, nossa organização sem fins lucrativos isenta de impostos.
Segurança e seus dados
Como a TimTim.Live mantém parceiros, compradores e os dados deles seguros. Tudo nesta página é como funciona hoje.
Chaves e login
- Mostramos uma chave secreta só uma vez. Guardamos só uma cópia embaralhada (um hash SHA-256), então nem nós conseguimos lê-la.
- Chaves de teste e chaves live são separadas. Chaves de teste só veem eventos de exemplo e nunca tocam em dinheiro de verdade.
- Uma chave de site só funciona nos sites que você listar para ela.
- Você entra com um link de uso único enviado para o seu e-mail. Não existe senha de parceiro para roubar.
- Cada pessoa da sua equipe tem o próprio login e só o acesso de que o trabalho dela precisa.
Travas extras para grandes parceiros
- OAuth 2.0: troque seu ID de cliente e seu segredo por um token que dura uma hora.
- Travas por endereço de servidor: uma chave só funciona a partir dos servidores que você listar.
- Travas por certificado (mTLS) em api.timtim.live: uma chave só funciona com o seu próprio certificado TLS.
Dados no caminho
- Todo endereço da TimTim.Live usa HTTPS. Os navegadores são avisados para nunca usar HTTP simples com a gente.
Mensagens que enviamos para você
- Todo webhook é assinado com HMAC-SHA256 e com a hora em que foi enviado. Recuse qualquer coisa com mais de cinco minutos.
- Os segredos dos seus webhooks são guardados criptografados (AES-256-GCM).
- Nunca enviamos mensagens para endereços de rede privados ou internos, e nunca seguimos redirecionamentos.
Compradores e pagamentos
- Nunca damos aos parceiros o nome, e-mail, endereço, telefone ou dados do cartão de um comprador.
- Pagamentos com cartão acontecem na própria página de pagamento segura da Stripe. Números de cartão nunca chegam aos servidores da TimTim.Live.
- Os links de compra são assinados, então ninguém consegue falsificar um link para ficar com o seu crédito.
Onde os dados ficam
- Nosso servidor principal fica na França, em Lauterbourg (Contabo).
- Estes serviços tratam dados para nós: Stripe (pagamentos), Cloudflare (proteção da rede), Contabo (servidores), Oracle Cloud (servidor reserva) e Resend (e-mail).
Por quanto tempo guardamos as coisas
- Histórico de entregas de webhooks: 30 dias.
- Tokens OAuth encerrados: um dia, depois apagados.
- Verificações de status: 90 dias.
- O uso da API é contado por dia. Nunca guardamos suas chaves nem o que você envia nessas contagens.
De olho em problemas
- Verificamos cada parte pública a cada minuto pela internet. Você pode ver os resultados na nossa página de status.
- Nossa equipe recebe um alerta se o site parar de responder.
- Aprovar parceiros e enviar dinheiro exige um funcionário identificado pelo nome com essa permissão. Não existe senha compartilhada para isso.
O que ainda não temos
- Ainda não temos um relatório SOC 2 nem um certificado ISO 27001.
- Nenhuma empresa de fora testou nossa segurança ainda (um teste de invasão).
- Não temos um programa pago de recompensa por bugs.
- Vamos atualizar esta página quando qualquer uma dessas coisas mudar.
Se algo der errado
- Se uma chave pode ter vazado, desligue-a no seu painel. Ela para de funcionar na hora. Depois crie uma nova.
- Achou um problema de segurança? Escreva para [email protected]. Uma pessoa de verdade lê cada relato.
- Por favor, não teste com dados de outras pessoas e nos dê tempo para corrigir um problema antes de contar sobre ele.
