Pular para o conteúdo principal

Segurança e conformidade

O Coda Cloud publica no portal um Trust Center (/trust) com o estado dos controles de segurança, a disponibilidade da plataforma e os documentos que a sua equipe de compras ou de segurança costuma pedir. Nada aparece como implementado ou certificado sem evidência.

O que o Trust Center mostra​

  • Visão de segurança: isolamento por microVM, imagens assinadas, WAF, auditoria encadeada, criptografia, backup com restauração testada, MFA e LGPD. Uma prática só aparece enquanto o controle estiver implementado e com evidência recente; se a evidência atrasar, ela sai da página até a próxima coleta.
  • Status: o estado dos componentes da página de status e a disponibilidade recente, com link para a página completa.
  • Certificações e conformidade: o estado de cada programa (ISO/IEC 27001:2022, SOC 2 Type I e Type II), como "em preparação" ou "auditoria agendada". O selo de certificado só aparece com o certificado vigente anexado; vencida a validade, ele sai sozinho.
  • Subprocessadores: o resumo da lista e o link para /legal/subprocessadores.
  • Documentos: o DPA (acordo de tratamento de dados) para download e o pedido do pacote de evidências sob NDA.
  • Divulgação responsável: como relatar uma vulnerabilidade.

Subprocessadores​

A lista pública em /legal/subprocessadores mostra cada subprocessador com finalidade, dados tratados, país e mecanismo de transferência. Toda inclusão ou troca é anunciada com pelo menos 30 dias de antecedência:

  • Owners e Admins de todas as organizações recebem o aviso, que é obrigatório e não pode ser desligado nas preferências;
  • a página mostra a mudança como "A partir de" a data;
  • o feed Atom /legal/subprocessadores/feed.xml recebe a entrada;
  • quem não tem conta pode assinar os avisos por e-mail na mesma página, com confirmação por link e descadastro em um clique.

Owners e Admins podem registrar uma objeção a uma mudança anunciada. A objeção abre um chamado de suporte com o anúncio no contexto.

Pacote de evidências sob NDA​

O pacote reúne, para a due diligence do seu time:

  • a Declaração de Aplicabilidade (SoA);
  • as evidências compartilháveis mais recentes de cada controle (por exemplo, o resumo dos testes de restauração);
  • as políticas aprovadas.
  1. Em Trust Center > Documentos, um Owner ou Admin da organização pede o pacote informando a empresa e a finalidade, e aceita a versão vigente do NDA. O aceite registra a versão, a data, o IP e o navegador.
  2. Conforme o plano, o pedido é aprovado na hora, com acesso por 30 dias, ou fica aguardando a equipe de conformidade.
  3. Com o pedido aprovado, o pacote é baixado em Configurações da organização > Pacote de segurança (NDA).

Cada download é nominal: o manifesto traz a organização e o pedido. Ele é assinado, e cada download fica na auditoria da organização. Acesso vencido ou revogado não baixa mais.

Conferir a assinatura do pacote​

O pacote traz manifest.json, manifest.sig e um LEIAME.txt. Para conferir fora da plataforma:

  1. Baixe a chave pública em /trust/evidence-signing-key.pem e salve o bloco da versão indicada no LEIAME.txt como chave.pem.

  2. Confira a assinatura:

    openssl dgst -sha256 -verify chave.pem -signature manifest.sig manifest.json

    A saída esperada é Verified OK.

  3. Compare o SHA-256 de cada arquivo com o campo files[].sha256 do manifesto.

Divulgação responsável de vulnerabilidades​

A política em /trust/divulgacao-responsavel descreve o escopo, o que está fora dele, o porto seguro para pesquisa de boa-fé e os prazos de resposta: confirmação em até 3 dias úteis e avaliação em até 10. O relato é feito pelo formulário de denúncia, escolhendo Vulnerabilidade (veja Denúncia de abuso). O arquivo /.well-known/security.txt (RFC 9116) aponta para o mesmo canal.