Segurança

Comunicar uma vulnerabilidade

Para onde enviar, o que incluir e o nosso compromisso de não agir contra investigação de boa-fé.

Envie as comunicações de segurança para security@afer.app. É um único endereço, lido pelas pessoas que podem resolver o problema. Escreva em linguagem simples; uma prova funcional vale mais do que uma descrição extensa. Receberá uma resposta a confirmar a receção e uma pessoa de contacto até que a questão fique encerrada. Se o e-mail não for uma opção, pode também utilizar o formulário de pedido de apoio deste sítio web.

• o que encontrou e o que alguém poderia fazer com isso
• onde se encontra: o endereço, a aplicação e a respetiva versão, a plataforma
• os passos para a reproduzir, por ordem
• capturas de ecrã, uma gravação curta, ou os pedidos e as respostas
• o nome ou pseudónimo que pretende ver creditado, ou nenhum

Se realizar investigação de boa-fé e se mantiver dentro do âmbito descrito abaixo, não intentaremos qualquer ação judicial contra si pelos testes, não pediremos a terceiros que o façam, nem o denunciaremos por esse motivo. Confirmá-lo-emos por escrito, se necessário. Boa-fé significa utilizar as suas próprias contas, obter apenas os dados necessários para demonstrar a descoberta, parar assim que tiver a prova e dar-nos tempo para a corrigir antes de a publicar.

Esse compromisso termina onde termina a investigação. Extorsão, ameaças, venda de uma descoberta, alteração ou eliminação de dados de outras pessoas e utilização de uma conta em que tenha entrado indevidamente não constituem investigação, e tratamo-las como fraude. Também não podemos falar em nome de terceiros. Se os seus testes abrangerem um serviço que não gerimos, aplicam-se as regras desse prestador. Informe-nos, ainda assim, e transmitiremos o que pudermos.

Âmbito

Que aplicações, domínios e APIs estão abrangidos, e o que está excluído.

Abrangidos: afer.app e as páginas nele disponibilizadas, a aplicação Afër para iOS e Android, a aplicação de comerciante, a aplicação de motorista e a API pública que as suporta. Se um utilizador, comerciante ou motorista comum lhe consegue aceder, queremos saber. Isto inclui as partes do sítio web que recebem dados introduzidos por si, como o formulário de pedido de apoio, o aviso de consentimento e o cookie de idioma.

• engenharia social dirigida aos nossos colaboradores, comerciantes, motoristas, estafetas ou utilizadores
• ataques físicos a escritórios, veículos, dispositivos ou pessoas
• negação de serviço, testes de carga ou qualquer ação que degrade o serviço em funcionamento
• comunicações que se limitem a resultados de ferramentas de análise automática, sem impacto demonstrado
• serviços que não gerimos, incluindo as lojas de aplicações e o nosso prestador de serviços de pagamento

Realize os testes com as suas próprias contas e os seus próprios dados. Não faça uma encomenda real, não peça uma viagem real nem marque uma inspeção para demonstrar algo, e não leve um comerciante em funcionamento a realizar trabalho que lhe custe dinheiro. Não leia as conversas, os recibos ou os registos de viagem de outra pessoa; os números de telefone mascarados permanecem mascarados. Se uma descoberta só puder ser demonstrada com dados de terceiros, pare nesse ponto e descreva-a, e criaremos consigo uma conta de teste.

Prazos de resposta

Metas de confirmação, triagem e correção.

Confirmamos a receção de cada comunicação enviada para security@afer.app no prazo de dois dias úteis e concluímos a triagem no prazo de cinco. A triagem dá-lhe três elementos: uma classificação de gravidade, uma decisão sobre se a descoberta está abrangida pelo âmbito e o nome da pessoa responsável pelo seu tratamento. Se não conseguirmos reproduzir o problema, dizemo-lo e perguntamos o que nos escapou, em vez de o encerrarmos discretamente. As comunicações duplicadas também são confirmadas, e indicamos-lhe qual a comunicação que chegou primeiro. Os prazos abaixo são metas de trabalho, e não garantias.

• crítica, como a apropriação de contas ou movimentos de dinheiro sem consentimento: contida de imediato, corrigida no prazo de sete dias
• elevada: corrigida no prazo de trinta dias
• média: corrigida no prazo de noventa dias
• baixa: corrigida numa versão regular, e indicamos-lhe qual
• qualquer meta que não vamos cumprir: informamo-lo antes de terminar, com uma nova data

Estes prazos são distintos dos que se aplicam ao apoio. O apoio procura responder a denúncias de segurança no prazo de uma hora, de dia ou de noite, a pagamentos e reembolsos no mesmo dia útil e a tudo o resto no prazo de um dia útil. Se o que encontrou está a colocar uma pessoa concreta em perigo neste momento, não aguarde na fila de segurança. Utilize o SOS na aplicação ou escreva para support@afer.app indicando que é urgente.

Segurança da conta

Verificação do telemóvel, gestão de sessões e o que nunca lhe pediremos.

A sua conta está associada ao seu número de telemóvel. O início de sessão envia um código de utilização única para esse número, e um novo dispositivo precisa de um novo código antes de ver qualquer informação. As sessões mantêm-se abertas nos dispositivos que já aprovou, pelo que convém saber quais são esses telemóveis. A eliminação da conta a partir das Definições encerra essas sessões e remove o seu perfil e os seus dados pessoais.

• o código de utilização única enviado para o seu telemóvel, em momento algum e por nenhum motivo
• uma palavra-passe, porque a conta não a utiliza
• o número completo do seu cartão, numa conversa, por e-mail ou numa chamada
• um pagamento para libertar um reembolso, um pagamento a seu favor ou o saldo da carteira
• acesso remoto ao seu telemóvel, ou a partilha do ecrã da sua carteira

Quem lhe pedir alguma destas coisas não somos nós, independentemente do número apresentado ou do logótipo. O verdadeiro apoio contacta-o através da Ajuda na aplicação, através de support@afer.app ou em resposta a um pedido que tenha aberto no sítio web, com o código de referência que lhe foi atribuído. Se alguém lhe telefonar a dizer que é da Afër e lhe pedir o código, termine a chamada e informe-nos.

Informe-nos rapidamente se perder o telemóvel, perder o número ou vir um pagamento que não efetuou. Podemos suspender uma conta enquanto analisamos a situação, e os problemas de pagamento têm resposta no mesmo dia útil. Uma fraude confirmada reduz a zero a pontuação de confiança desse perfil e implica o encerramento da conta. A pontuação assenta na verificação, nas transações concluídas, nas avaliações, na antiguidade da conta e nas inspeções aprovadas, e o titular da conta não a pode alterar.

Segurança dos pagamentos

Como são tratados os saldos da carteira e os carregamentos por cartão, e o modelo de QR de utilização única.

A carteira é pré-paga, e todos os serviços são liquidados a partir do mesmo saldo. Trata-se de um limite deliberado: o máximo a que alguém consegue chegar através da aplicação é o montante que carregou, e não a conta bancária que está por detrás. Os carregamentos por cartão são processados pelo nosso prestador de serviços de pagamento. O dinheiro carregado só pode voltar ao cartão de onde veio, nunca para uma conta bancária nem para outro cartão, e os ganhos só são pagos na conta bancária registada de quem os ganhou, nunca numa conta que alguém lhe indique numa conversa.

O pagamento presencial ao balcão utiliza um código QR de utilização única apresentado na aplicação de comerciante. O código corresponde a um único pagamento, desse montante, e fica esgotado depois de utilizado, pelo que uma fotografia do ecrã deixa de ter qualquer valor. Ninguém que trabalhe através da Afër lhe pode pedir dinheiro fora da aplicação: onde o numerário à porta é aceite, entrega exatamente o montante que a aplicação mostra, e nada mais.

Cada pagamento gera um recibo discriminado na carteira, com a taxa indicada separadamente, pelo que é fácil detetar uma cobrança que não reconheça. Dispõe de 14 dias a contar de uma encomenda, viagem ou compra para abrir um litígio, e não existe qualquer prazo para uma denúncia de segurança nem para dinheiro que ainda estejamos a reter. Enquanto um caso estiver aberto, o montante fica retido e não é liquidado, e os reembolsos regressam ao saldo da carteira de onde saíram, normalmente poucos minutos após a decisão.

Proteção de dados

Cifragem em trânsito e em repouso, controlo de acessos e registo de auditoria.

O tráfego entre o seu dispositivo e a Afër é cifrado em trânsito, e o que detemos é cifrado no local onde está armazenado: dados da conta, registos de transações, informações do dispositivo, mensagens de apoio e a localização que recolhemos enquanto um serviço está em curso. A recolha da localização termina quando o serviço termina. Mantemos os dados pessoais fora dos endereços web e de tudo o que, de outro modo, acabaria num registo de rotina.

Dentro da Afër, o acesso é concedido em função do cargo e da necessidade. Um agente que trate do seu caso vê a encomenda, a viagem ou o anúncio a ele associado, e não os dados do seu cartão nem os casos de um colega. O acesso a sistemas que contêm dados pessoais é registado e os registos são analisados. Um colaborador que abra um registo sem motivo para o fazer é tratado como um incidente de segurança, e não como um descuido.

• exportar tudo o que nos forneceu, num ficheiro em formato de leitura automática
• eliminar a conta a partir das Definições, e com ela o perfil e os dados pessoais
• os registos de transações que a lei nos obriga a conservar mantêm-se, sem os seus dados de contacto
• os cookies de análise estatística em afer.app só são instalados depois de escolher Aceitar
• o afer_lang guarda um código de idioma de duas letras e não é utilizado para análise estatística

Uma submissão de formulário web é armazenada com um código de referência, a hora, o país aproximado de onde provém e o endereço IP, que utilizamos para prevenir abusos. Podemos colocar o Cloudflare Turnstile à frente de um formulário para distinguir pessoas de bots. Uma submissão é conservada durante o tempo necessário para tratar o seu pedido e até 24 meses após esse tratamento.

Agradecimentos

Investigadores que comunicaram vulnerabilidades de forma responsável.

Damos crédito aos investigadores que comunicam vulnerabilidades de forma responsável, com o seu consentimento e nunca sem ele. Indique-nos na sua comunicação como pretende ser identificado: um nome, um pseudónimo, uma empresa, ou nada. Pode mudar de ideias mais tarde, e retiraremos a menção. Não prometemos qualquer pagamento por uma comunicação, e não retiraremos um crédito pelo facto de uma descoberta ser embaraçosa para nós.

• o nome ou pseudónimo escolhido pelo investigador
• o mês em que a comunicação nos chegou
• o tipo de problema, descrito sem uma receita para o reproduzir

A lista é pública e começa vazia. Vai sendo preenchida à medida que as pessoas comunicam vulnerabilidades, e uma menção é publicada depois de a correção ter sido disponibilizada e de o investigador ter aceitado a redação. Se comunicou algo e não consta da lista, ou se consta e pretende ser retirado, escreva para security@afer.app e faremos a correção no prazo de um dia útil.