Segurança
A segurança faz parte de como o Kanera é construído, operado e documentado, especialmente para equipes que escolhem entre implantação hospedada e auto-hospedada.
Eficaz 20 de agosto de 2026 · Versão 2
O Hosted Kanera foi projetado com controles em camadas de segurança de aplicativos, infraestrutura, monitoramento, gerenciamento de acesso e revisão operacional.
Kanera auto-hospedado dá à sua equipe controle sobre o ambiente de execução. Esse controle também significa que sua organização é responsável pelo fortalecimento da implantação, aplicação de patches, backups, exposição da rede e monitoramento.
Os controles abaixo descrevem a implementação atual do Kanera revisada em 20 de agosto de 2026. Eles não são uma representação de que o Kanera possui uma certificação de segurança independente ou opinião de auditoria. Atualizamos esta seção quando os controles ou a arquitetura mudam materialmente.
Os proprietários do espaço de trabalho controlam quais usuários são convidados, qual acesso eles recebem e qual conteúdo é colocado no Kanera.
Kanera não deve ser usado para armazenar dados altamente regulamentados, a menos que sua organização tenha revisado a implantação, configuração, termos contratuais e requisitos legais para esse uso.
Para o Kanera hospedado, nossos compromissos contratuais de segurança, notificação de incidentes, subprocessador, assistência, auditoria e exclusão estão definidos no Adendo de Processamento de Dados. Notificamos os clientes afetados sobre uma violação confirmada de dados pessoais sem demora injustificada e fornecemos informações razoavelmente disponíveis para apoiar sua resposta.
Enviar vulnerabilidades suspeitas por e-mail para [email protected]; não use uma questão pública. Inclua o componente, versão, URL, endpoint ou modo de implantação afetado; etapas de reprodução ou uma prova mínima de conceito; impacto provável; solicitações, registros ou capturas de tela relevantes com segredos removidos; e seus dados de contato preferidos e se deseja crédito público. Nosso objetivo é receber um relatório dentro de 3 dias úteis e fornecer uma avaliação inicial ou solicitação de mais informações dentro de 10 dias úteis. Estas são metas, não garantias.
No escopo estão autenticação e autorização, isolamento de locatário, acesso a quadro privada, segredos armazenados e vazamento de token, uploads e manipulação de arquivos, APIs, OAuth, MCP, webhooks, recursos em tempo real, limites de cobrança e implantação auto-hospedada padrão. Engenharia social, spam, descobertas que dependem apenas de configurações de desenvolvimento intencionalmente fracas e testes de negação de serviço em produção sem permissão por escrito estão fora do escopo.
Atualmente, não publicamos uma chave PGP e o e-mail comum não é um canal de relatórios criptografado de ponta a ponta. Não envie credenciais ativas ou dados pessoais. Pergunte no primeiro e-mail se você precisa que organizemos uma troca mais segura de evidências confidenciais.
Se você agir de boa fé, testar apenas contas, dados e sistemas que você possui ou tiver permissão explícita para testar, permanecer dentro do escopo acima, evitar violações de privacidade e interrupção de serviço, acessar apenas os dados mínimos necessários para demonstrar o problema, interromper e relatar se encontrar dados de outra pessoa, não reter ou divulgar esses dados e cumprir a lei aplicável, trataremos a pesquisa como autorizada para os fins de nossa política e não iniciaremos ações legais contra você pela pesquisa em si. Isto não é permissão para testar sistemas ou infraestruturas de terceiros fora do nosso controle, usar engenharia social ou ataques físicos, ou exigir pagamento.
Por favor, dê-nos uma oportunidade razoável para investigar e remediar antes da divulgação pública. Trabalharemos com você em um cronograma de divulgação com base na gravidade, nos usuários afetados, na disponibilidade de correções e nas necessidades de implantação, e pretendemos mantê-lo informado sobre marcos significativos. Se você acredita que a divulgação urgente é necessária, explique o risco a [email protected] para que possamos coordenar.
Exclua dados de teste e evidências confidenciais quando não forem mais necessários. Se você acessar involuntariamente dados pessoais, credenciais ou conteúdo de cliente, interrompa os testes, não copie ou compartilhe e informe-nos o que foi acessado para que possamos responder adequadamente.
A versão 2 entra em vigor em 20 de agosto de 2026. Ela distingue a revisão da implementação da certificação independente e vincula o incidente contratual e os compromissos de segurança no DPA. A versão 1 entrou em vigor em 16 de julho de 2026.