Segurança e dados

Esta página indica o que o xEvolve guarda por si e onde. Não é uma certificação. O xEvolve não declara SOC 2 nem atestado semelhante.

O que é guardado

Os ficheiros que carrega ou transfere no seu Environment, no Cloudflare R2.
As credenciais de ligação, cifradas com AES-GCM, e as chaves privadas PGP, cifradas em repouso.
Utilizadores, funções, ligações, agendamentos, workflows e registo de atividade, no seu próprio esquema da base de dados Postgres da UE partilhada.
As chaves de API, apenas como hash SHA-256.

Os ficheiros que move entre duas das suas ligações vão para o destino que escolheu.

Onde está

A base de dados é o Supabase em Paris. Os ficheiros estão no Cloudflare R2 na Europa Ocidental. A inscrição direta é só para a UE em todos os planos, por isso não há região a escolher. Os espaços comprados através do Azure Marketplace são guardados na região Azure escolhida pelo comprador: Europa do Norte, Europa Ocidental ou uma região dos EUA. A lista completa de subcontratantes está em spot-suite.com.

Proteção

Os ficheiros em repouso usam AES-256. O tráfego do navegador e da API usa TLS 1.2 ou posterior. O FTPS usa TLS e o SFTP usa SSH.
Cada Environment tem o seu próprio esquema de base de dados. Os ficheiros e as entradas de auditoria ficam limitados ao seu inquilino.
Cada carregamento é verificado quanto a tipos de ficheiro perigosos e o seu hash é consultado no VirusTotal. Os carregamentos bloqueados ficam registados.
Os endereços de webhook e SMTP têm de ser anfitriões HTTPS ou SMTP públicos, não redes privadas.

Registo de auditoria

Os inícios de sessão, carregamentos, transferências, partilhas, alterações de salas de dados, alterações de chaves de API e execuções de retenção são registados com o utilizador, o IP do cliente e uma marca temporal UTC. Os admins leem o registo em Admin. As entradas de auditoria nunca são eliminadas automaticamente.

Retenção

Os ficheiros eliminados são primeiro eliminados de forma reversível e apagados definitivamente após 30 dias, salvo retenção legal. Os planos Team e superiores podem definir um período de retenção; os admins revêem e executam a limpeza a partir de uma sessão de consola. A retenção legal exige Business ou MSP.