Segurança de dados
Segurança de dados na mTrip
A segurança de dados na mTrip abrange hospedagem na Amazon Web Services, acesso controlado, criptografia, backups, pagamentos com cartão e exclusão de dados. Uma empresa independente testa a plataforma e os aplicativos pelo menos uma vez por ano, e a mTrip revisa suas políticas de segurança pelo menos uma vez por ano.
Certificação Cyber Essentials
Válida até 30 de outubro de 2027. Ver o certificado
Trust Center
Clientes: encontrem nossos documentos de segurança no Trust Center
O Trust Center da mTrip é o espaço destinado aos clientes da mTrip. Ele reúne as políticas e os documentos de segurança da mTrip, então comece por ali se você estiver conduzindo uma avaliação de fornecedores.
Certificação
Certificação Cyber Essentials
A mTrip Inc possui o certificado Cyber Essentials, um programa apoiado pelo governo do Reino Unido para proteção contra os ataques cibernéticos mais comuns. O IASME Consortium certificou a mTrip em 30 de outubro de 2026, e o certificado é válido até 30 de outubro de 2027. Ele abrange toda a organização. Este nível do Cyber Essentials é de autoavaliação.
O essencial
Segurança de dados em quatro pontos
Hospedagem na AWS, sem acesso da equipe aos servidores
Os clientes europeus são hospedados em Frankfurt, e os arquivos enviados ficam em Londres. Os demais clientes são hospedados na Virgínia do Norte. A equipe da mTrip não tem acesso físico à infraestrutura.
Criptografia em trânsito e em repouso
O tráfego usa TLS 1.2 ou superior. Bancos de dados, armazenamento de arquivos e backups são criptografados com AES-256, e a aplicação também criptografa os campos mais sensíveis dos viajantes.
Backups diários, com restauração testada todo ano
Os bancos de dados de produção têm backup diário, com recuperação pontual ao longo de 7 dias. Os backups são copiados para uma segunda região da AWS e protegidos contra exclusão.
Testes anuais por uma empresa independente
Uma empresa independente testa a plataforma e os aplicativos pelo menos uma vez por ano, e a mTrip revisa suas políticas de segurança pelo menos uma vez por ano.
Defesa em profundidade
Camadas de proteção, da borda ao backup
Infraestrutura
Segurança de dados: hospedagem e backups
Hospedagem
Hospedado na Amazon Web Services
AWS · Frankfurt · Londres · Norte da Virgínia
- A plataforma mTrip roda na Amazon Web Services (AWS).
- Os clientes europeus são hospedados em Frankfurt, na Alemanha, e os arquivos que enviam ficam armazenados em Londres, no Reino Unido.
- Os demais clientes são hospedados no Norte da Virgínia, nos Estados Unidos.
- A AWS possui as certificações SOC 1, SOC 2, SOC 3, ISO 27001 e PCI DSS (veja conformidade da AWS).
- Essas certificações pertencem à AWS. A equipe da mTrip não tem acesso físico à infraestrutura.
Backups
Backups diários criptografados, testados todos os anos
Diário · Recuperação de 7 dias · Segunda região da AWS
- A mTrip faz backup diário dos bancos de dados de produção, com recuperação point-in-time dos últimos 7 dias.
- Os backups são criptografados, copiados para uma segunda região da AWS e protegidos contra exclusão.
- Uma restauração é testada pelo menos uma vez por ano.
Acesso
Acesso, login e criptografia
Acesso
Acesso controlado e monitoramento
SSO · MFA · Web application firewall
- O acesso ao ambiente de produção passa por single sign-on com autenticação multifator, e a mTrip registra todas as ações administrativas.
- O tráfego público passa por um web application firewall com limitação de requisições e regras contra ataques comuns.
- A detecção de ameaças funciona continuamente na conta de produção.
Login
Login de administradores e senhas
bcrypt · Limitação de tentativas · Bloqueio após 5 tentativas
- As contas de administrador da plataforma web da mTrip fazem login com um código de uso único enviado por e-mail ou pelo single sign-on do próprio cliente. A mTrip armazena as senhas com hash bcrypt, limita as tentativas de login e bloqueia a conta após 5 tentativas malsucedidas.
Criptografia
Criptografia em trânsito e em repouso
TLS 1.2+ · AES-256 · Por campo
- O tráfego para a plataforma web da mTrip e para as APIs usa TLS 1.2 ou superior. A mTrip criptografa com AES-256 os bancos de dados, o armazenamento de arquivos e os backups em repouso.
- A aplicação também criptografa os campos mais sensíveis do viajante, como e-mail, telefone, data de nascimento e localizadores de reserva.
Pessoas
Pessoas, dispositivos e revisões de acesso
Pessoas
Conscientização e confidencialidade da equipe
Política assinada
- Os colaboradores assinam a política de segurança cibernética da mTrip.
- Ela abrange dados confidenciais, dados de clientes, dispositivos pessoais, segurança de e-mail, senhas e transferências de dados.
- Todos que têm acesso aos sistemas da mTrip a seguem, incluindo fornecedores e parceiros, e as violações resultam em medidas disciplinares.
Dispositivos
Segurança dos dispositivos
Firewall do macOS · Proteção contra malware · Bloqueio em 15 minutos
- A equipe da mTrip trabalha em notebooks Mac.
- O firewall do macOS fica ativado, a proteção nativa da Apple contra malware (XProtect e Gatekeeper) fica ativada, e todo dispositivo é bloqueado com senha após 15 minutos de inatividade ou menos.
Controle de acesso
Acesso por função e revisões de acesso
Privilégio mínimo · Revisões a cada 6 meses · Revisão de administradores duas vezes por ano
- A mTrip concede acessos com base no princípio do privilégio mínimo.
- O TI e o gestor de quem solicita aprovam todo pedido de acesso, e cada conta é individual, com credenciais próprias.
- O acesso é revogado quando a pessoa deixa a empresa, e a mTrip revisa os acessos pelo menos a cada seis meses.
- As contas de administrador são revisadas duas vezes por ano, e os administradores usam uma conta separada para tarefas administrativas.
- A autenticação multifator é obrigatória para todos os usuários dos serviços em nuvem da mTrip (Google Workspace, AWS, Asana e Pipedrive).
Garantia
Testes, lançamentos e resposta a incidentes
Garantia
Testes independentes e revisão de políticas
Empresa independente · Pelo menos uma vez por ano
- Uma empresa independente testa a plataforma e os aplicativos pelo menos uma vez por ano. A mTrip revisa suas políticas de segurança pelo menos uma vez por ano.
Segurança dos lançamentos
Análises de vulnerabilidade antes do lançamento
OWASP Testing Guide · OWASP Top Ten
- A política de segurança de aplicações web da mTrip exige uma avaliação de segurança antes de uma versão nova ou de grande porte entrar no ar, com base no OWASP Testing Guide.
- As versões menores passam, no mínimo, por uma varredura automatizada dos riscos do OWASP Top Ten. A mTrip corrige imediatamente os problemas de alto risco, ou limita a exposição antes do lançamento, e programa a correção dos de risco médio.
Gestão de mudanças
Desenvolvimento seguro e gestão de mudanças
Controle de mudanças · Terraform · CI/CD
- As mudanças passam por um processo documentado de controle de mudanças e por controle de versão. A mTrip define sua infraestrutura como código com Terraform, e a aplicação roda em contêineres que a mTrip reconstrói e reimplanta por um pipeline de CI/CD a cada lançamento.
Resposta a incidentes
Resposta a incidentes e como reportar um incidente
Equipe de resposta · Procedimento escrito
- A mTrip tem um procedimento escrito de gestão e resposta a incidentes, com uma equipe de resposta a incidentes.
- Ele abrange comunicação, contenção, coleta de evidências, recuperação e uma revisão posterior.
- Para reportar uma suspeita de incidente de segurança, envie um e-mail para [email protected].
- A mensagem avisa a equipe de suporte e se torna o primeiro registro do incidente.
- Quando um incidente afeta clientes, a mTrip os informa.
Dados
Continuidade, exclusão de dados e pagamentos com cartão
Continuidade
Continuidade de negócios e recuperação de desastres
Plano de continuidade · Plano de recuperação
- A mTrip mantém um plano de continuidade de negócios e um plano de recuperação de desastres.
- Todos os colaboradores trabalham remotamente, então não é preciso transferir um escritório, e os sistemas críticos da mTrip funcionam na nuvem.
Exclusão de dados
Exclusão de dados ao fim do contrato
Procedimento de desligamento do cliente
- Quando um contrato termina, a mTrip exclui os dados do cliente conforme o procedimento de desligamento de clientes.
Pagamentos com cartão
Os pagamentos com cartão ficam com um provedor PCI DSS
PCI Booking · Conferma · Somente token
- Os números dos cartões são inseridos diretamente no formulário seguro da PCI Booking, provedor certificado PCI DSS. A mTrip guarda apenas um token e o número mascarado do cartão (primeiros seis e últimos quatro dígitos).
- A mTrip nunca armazena números completos de cartão nem códigos de segurança.
- Os cartões virtuais emitidos pela Conferma podem ser exibidos aos viajantes no aplicativo.
- A Conferma fornece as imagens dos cartões, e a mTrip não armazena os dados do cartão.
Perguntas frequentes das equipes de segurança
Perguntas frequentes
Hospedagem e certificação
O que a mTrip faz pela segurança dos dados?
A mTrip hospeda a plataforma na Amazon Web Services, criptografa o tráfego e os dados armazenados, controla e registra o acesso administrativo, faz backup diário dos bancos de dados de produção e mantém os números de cartão com um provedor certificado PCI DSS. Uma empresa independente testa a plataforma e os aplicativos pelo menos uma vez por ano.
Onde a mTrip hospeda os dados dos clientes?
Na Amazon Web Services. Os clientes europeus são hospedados em Frankfurt, na Alemanha, e os arquivos enviados ficam armazenados em Londres, no Reino Unido. Os demais clientes são hospedados na Virgínia do Norte, nos Estados Unidos.
Quais certificações se aplicam?
A mTrip Inc possui o certificado Cyber Essentials, emitido pelo IASME Consortium em 30 de outubro de 2026 e válido até 30 de outubro de 2027, que abrange toda a organização (autoavaliação). A AWS possui as certificações SOC 1, SOC 2, SOC 3, ISO 27001 e PCI DSS para a infraestrutura em que a mTrip opera. A PCI Booking, provedor certificado PCI DSS, processa os números de cartão. No Trust Center, os clientes da mTrip encontram as políticas e os documentos de segurança da mTrip.
Proteção de dados
Os dados são criptografados?
Sim. O tráfego para a plataforma e suas APIs usa TLS 1.2 ou superior. A mTrip criptografa com AES-256 os bancos de dados, o armazenamento de arquivos e os backups em repouso, e o aplicativo também criptografa e-mail, telefone, data de nascimento e localizadores de reserva.
A mTrip armazena números de cartão de crédito?
Não. Os números de cartão são inseridos diretamente no formulário seguro da PCI Booking, provedor certificado PCI DSS. A mTrip mantém apenas um token e o número do cartão mascarado, e nunca armazena números completos de cartão nem códigos de segurança.
Com que frequência são feitos os backups, e as restaurações são testadas?
A mTrip faz backup diário dos bancos de dados de produção, com recuperação para qualquer ponto no tempo dos últimos 7 dias. Os backups são criptografados, copiados para uma segunda região da AWS e protegidos contra exclusão. A mTrip testa uma restauração pelo menos uma vez por ano.
O que acontece com os nossos dados quando o contrato termina?
A mTrip exclui os dados do cliente conforme o procedimento de encerramento de clientes.
Acesso, testes e resposta
Como os administradores fazem login na plataforma web da mTrip?
Com um código de uso único enviado por e-mail ou pelo single sign-on do próprio cliente. A mTrip bloqueia a conta após 5 tentativas de login malsucedidas.
A mTrip é testada por uma empresa independente?
Sim. Uma empresa independente testa a plataforma e os aplicativos pelo menos uma vez por ano, e a mTrip revisa suas políticas de segurança pelo menos uma vez por ano.
Como comunico um incidente de segurança à mTrip?
Envie um e-mail para [email protected]. A mensagem avisa a equipe de suporte e passa a ser o primeiro registro do incidente.
A mTrip tem um plano de resposta a incidentes e um plano de recuperação de desastres?
Sim. A mTrip tem um procedimento escrito de gestão e resposta a incidentes, com uma equipe de resposta a incidentes, além de um plano de continuidade de negócios e um plano de recuperação de desastres.
Confira os detalhes e fale com a equipe.
O Trust Center é voltado aos clientes da mTrip e reúne as políticas e os documentos de segurança da mTrip. Para qualquer outra dúvida, pergunte durante uma demonstração. Veja também a política de privacidade.