FAQ — Segurança e hospedagem

Esta página resume os pontos mais frequentes em matéria de segurança e hospedagem. Para uma descrição exaustiva, o Omniscol fornece, mediante solicitação (ou sob NDA, conforme o caso), os documentos oficiais:

• SECURITY_OVERVIEW.md — visão geral pública,
• SECURITY_ONE_PAGER.md — síntese para CISO,
• SECURITY_FULL.md — documentação completa (governança, infraestrutura, controles, conformidade, resposta a incidentes),
• ISO27001_MAPPING.md — mapeamento para os controles ISO 27001,
• SSI_QUESTIONNAIRE_STANDARD.md — respostas ao questionário de segurança da informação padrão.

Para qualquer questão de segurança: [email protected].

Onde estão hospedados os meus dados?

As informações legais indicam uma hospedagem na União Europeia, na AWS Paris e na Scaleway. Os compromissos precisos de redundância, cópia de segurança, retenção e disponibilidade dependem do quadro contratual aplicável à sua conta.

O Omniscol está em conformidade com o RGPD?

O Omniscol foi concebido para um uso conforme ao RGPD. Consequências práticas:

• Hospedagem exclusiva na UE (França).
• Isolamento lógico por cliente: nenhum acesso cruzado é possível entre contas.
• Nenhuma criação de perfis, nenhuma revenda de dados, nenhum uso secundário dos conteúdos da sua escola.
• Reversibilidade: exportação completa em JSON a partir de Baixar.
• Tratamento dos pedidos dos titulares dos dados de acordo com o quadro contratual e regulamentar aplicável.

O Omniscol é certificado ISO 27001?

Não é certificado até o momento, mas as práticas estão alinhadas com os princípios da norma e seguem uma abordagem baseada em riscos e continuamente revisada. O detalhe dos controles pode ser fornecido no âmbito do quadro contratual ou de segurança adequado.

Como são protegidas as senhas?

O Omniscol protege as senhas da seguinte forma:

• Pré-cálculo do hash do lado do cliente com scrypt — a sua senha em texto simples nunca chega aos servidores.
• Armazenamento no servidor sob a forma de hash com sal.
• Nenhuma senha em texto simples é jamais transmitida ou armazenada.
• Nenhum administrador Omniscol pode ler, recuperar ou obter uma senha de usuário.

Em caso de dúvida sobre o comprometimento de uma conta, a alteração da senha invalida os acessos derivados que dependem desse segredo, em particular os links de compartilhamento associados à senha de quem os criou.

As comunicações são criptografadas?

Os acessos públicos à aplicação passam por HTTPS. A configuração de exposição na rede depende da implantação escolhida e deve ser verificada no âmbito de segurança ou contratual da conta em questão.

Como funciona a autenticação?

As sessões Omniscol utilizam tokens assinados com um tempo de vida limitado; o acesso é renovado enquanto o usuário trabalha na interface.

Os links de compartilhamento e os tokens de API seguem regras separadas:

• um link de compartilhamento pode ter uma data de expiração e depende também da conta que o criou; alterar a senha dessa conta ou desativá-la invalida os acessos em questão;
• um token de API depende de uma chave criada na interface; excluir essa chave ou atingir sua data de expiração invalida os tokens associados.

Veja também Link de compartilhamento e API Omniscol.

API: chaves e tokens

O acesso à API é gerenciado a partir da interface com dois objetos visíveis:

1. Chave — criada com um rótulo e, se necessário, uma data de expiração. Essa expiração pode ser alterada mais tarde.
2. Token — gerado a partir de uma chave, com uma lista de pontos de acesso à API autorizados e uma expiração própria. Essa expiração não se altera após a geração; é preciso criar um novo token.

Boa prática: uma chave por integração, com um rótulo explícito e uma expiração adaptada à necessidade. Em caso de dúvida, exclua a chave e crie uma nova.

Veja API Omniscol.

Os meus usuários podem usar a conta da empresa deles (SSO)?

Sim, por meio de OIDC / SSO, quando a configuração está ativada na conta. O Omniscol é compatível com o Google Workspace, o Microsoft Entra ID e os provedores OIDC genéricos.

Cada usuário entra então com sua identidade empresarial e conserva os direitos configurados no Omniscol.

Que proteções existem contra tentativas de login abusivas?

• As respostas a uma autenticação com falha são deliberadamente atrasadas.
• As telas de administração se beneficiam de proteções reforçadas.
• O Omniscol não indica se o identificador existe ou não: a mensagem permanece genérica.

Ciclo de vida das contas de usuário

• Desativação sem exclusão — uma conta desativada não pode mais fazer login, mas os dados a ela associados são preservados.
• Alteração obrigatória no primeiro acesso — quando uma senha é definida manualmente, o usuário deve alterá-la no primeiro login.
• Redefinição — um administrador pode acionar uma redefinição sem conhecer a senha existente.

Segurança de rede e operação

Os documentos de segurança fornecidos mediante solicitação detalham a hospedagem, a separação de rede, as regras de acesso aos dados e os procedimentos operacionais aplicáveis à conta em questão.

Existe um registro de auditoria?

Sim, quando a opção de registros e a retenção correspondente estão ativadas para a conta. O perímetro visível depende das operações registradas e da profundidade configurada pelo Omniscol. Veja Registros de atividades (logs).

OWASP Top 10

O Omniscol aplica controles alinhados com os riscos do OWASP Top 10: controle de acesso, criptografia, validação das entradas, configuração segura, monitoramento das dependências, proteção das sessões e registro. O perímetro exato pode ser detalhado nos documentos de segurança fornecidos mediante solicitação.

Testes de segurança automatizados

Controles automatizados estão integrados no processo de desenvolvimento e de implantação do Omniscol. Seu perímetro evolui com o produto; os elementos detalhados podem ser fornecidos no âmbito de segurança adequado.

Como fazer uma cópia de segurança manual?

O botão Baixar baixa uma exportação completa da conta no formato JSON. O arquivo deve ser guardado com cuidado: contém os hashes das senhas e o conjunto dos dados pessoais.

Em caso de incidente grave, esse arquivo pode ser reenviado à equipe do Omniscol para reimportação.

Se a opção Snapshots estiver ativada na conta, você também pode automatizar a criação de pontos de cópia de segurança restauráveis. Veja Pontos de backup.

Histórico de incidentes

No levantamento mais recente (fevereiro de 2026):

• 0 violações de dados de clientes (histórico acumulado).
• 0 incidentes de segurança em 2025.

Esses números são publicados no SECURITY_ONE_PAGER.md, documento revisado trimestralmente.