Sobre a segurança

A Datanomik se conecta às instituições financeiras em seu nome, por isso tratamos cada credencial e cada dado financeiro como altamente sensíveis. Esta página descreve os controles que os protegem.

Infraestrutura

• A plataforma roda na Amazon Web Services (AWS), na região US East (N. Virginia).
• Os serviços da aplicação e os bancos de dados rodam em redes privadas, sem acesso direto pela internet. Apenas os load balancers que atendem a API e o dashboard são públicos.
• Um Web Application Firewall (WAF) filtra o tráfego para os endpoints públicos.
• Os bancos de dados de produção rodam em modo Multi-AZ, com failover automático para uma segunda zona de disponibilidade.

Criptografia

Em trânsito

• Todos os endpoints públicos (api.datanomik.com e dashboard.datanomik.com) aceitam somente HTTPS, com TLS 1.2 ou superior (TLS 1.3 suportado).
• As conexões entre nossos serviços e os bancos de dados também são criptografadas com TLS.

Em repouso

• Todos os bancos de dados são criptografados em repouso com AES-256, usando chaves gerenciadas pelo AWS Key Management Service (KMS).
• As credenciais das instituições (usuários, senhas, tokens, certificados) recebem uma camada extra de proteção. Cada uma é criptografada no nível da aplicação, antes de chegar ao banco de dados, usando envelope encryption com AWS KMS e AES-256. Somente os serviços que precisam se conectar à instituição têm permissão, via IAM, para usar a chave de descriptografia.

Credenciais das instituições

• Para manter um link sincronizado automaticamente, a Datanomik armazena as credenciais do link, sempre criptografadas como descrito acima.
• Os links de Open Finance Brasil usam o fluxo oficial de consentimento. O titular da conta autoriza o acesso diretamente na própria instituição, e a Datanomik nunca recebe a senha bancária. O consentimento pode ser revogado na instituição a qualquer momento.
• Quando você atualiza as credenciais de um link (PUT /v1/links/{id}), as anteriores são substituídas.

Acesso à API

• Cada requisição é autenticada com chaves de API via HTTPS (veja Autenticação).
• O secretPassword é um segredo de 64 caracteres gerado aleatoriamente. Ele é exibido apenas uma vez, quando a chave é criada. A Datanomik armazena apenas um hash Argon2 dele, portanto não é possível recuperá-lo: se você perdê-lo, crie uma nova chave.
• Você pode restringir o acesso à API aos seus próprios servidores com uma lista de IPs autorizados (Dashboard → Configurações → Desenvolvedores → Lista de IPs autorizados). Requisições de qualquer outro endereço recebem 403 IP_NOT_ALLOWED.
• Uma chave de API pode ser limitada a uma vista do espaço de trabalho, para que veja apenas as empresas e contas dessa vista.

🚧

Mantenha suas chaves em segredo

Nunca publique suas chaves de API em repositórios públicos nem as use em código que roda no lado do cliente (navegadores ou aplicativos móveis). Chame a API da Datanomik somente a partir do seu backend.

Acesso ao dashboard

• As senhas são armazenadas como hashes Argon2 e devem seguir uma política de senhas (tamanho mínimo, combinação de tipos de caracteres, expiração periódica), que cada espaço de trabalho pode tornar mais rígida.
• As contas são bloqueadas temporariamente após repetidas tentativas de login sem sucesso.
• A autenticação multifator (MFA) com um aplicativo autenticador (TOTP) pode ser exigida para todo o espaço de trabalho ou ativada por usuário.
• O login único (SSO) com Google ou Microsoft está disponível, para que o acesso siga as políticas de identidade da sua empresa.
• O acesso dentro de um espaço de trabalho é controlado por perfis e vistas: cada usuário vê apenas os módulos e as empresas que tem permissão para ver.

Segregação de dados

Os dados de cada cliente são isolados logicamente: cada registro pertence a um cliente, e cada requisição à API e cada sessão do dashboard ficam limitadas ao espaço de trabalho (e à vista) para o qual foram autorizadas.

Exclusão de dados

• Quando você exclui um link (DELETE /v1/links/{id}), ele é imediatamente marcado como excluído e deixa de ser retornado pela API.
• Pouco depois, um processo em segundo plano exclui permanentemente as credenciais, contas, saldos, transações e arquivos de extrato do link.
• Os backups criptografados dos bancos de dados são mantidos por um período limitado para recuperação de desastres e depois expiram.

Testes de segurança

A plataforma da Datanomik passa por um teste de intrusão independente todos os anos; o mais recente foi realizado em 2026. Os achados são acompanhados e corrigidos de acordo com sua severidade.

Como reportar um problema de segurança

Se você acredita ter encontrado uma vulnerabilidade de segurança, escreva para [email protected] com os detalhes. Por favor, não a divulgue publicamente até que tenhamos tido a oportunidade de corrigi-la.