Segurança e privacidade

Uma descrição do que o Genesis7 realmente faz para proteger seus dados — não uma lista de selos. Onde houver uma certificação, dizemos de quem ela é. Onde não houver, dizemos o que existe no lugar.

O número do cartão e o código de segurança não são gravados nos nossos bancos de dados, nem aparecem em registros de auditoria ou de erro. Eles trafegam uma única vez, em memória, até o provedor de pagamento, que devolve um código de uso — é esse código que guardamos, junto da bandeira e dos quatro últimos dígitos, para você reconhecer o cartão na tela.

A certificação PCI DSS pertence ao provedor de pagamento contratado, que é quem processa a transação. A Genesis7 não afirma possuir essa certificação, e você não encontrará esse selo em nosso site.

Guardadas como hash scrypt, com sal próprio por pessoa. Ninguém na empresa — nem o administrador do sistema — consegue ler a sua senha; a redefinição gera um link temporário, nunca revela a senha antiga.

Tentativas seguidas de senha errada são contidas automaticamente. O bloqueio é amarrado à origem de quem erra, para que ninguém consiga trancar a conta de outra pessoa de propósito.

Chaves de integração com provedores de IA, chave PIX e documentos (CPF/CNPJ) são cifrados com AES-256-GCM antes de tocar o disco. Nas telas circula apenas uma versão mascarada; o valor inteiro só é revelado a quem precisa executar um pagamento, e cada revelação fica registrada na auditoria.

Cada empresa enxerga apenas os próprios dados. Essa separação é imposta em duas camadas: no código da aplicação e, por baixo dele, no próprio banco de dados, com políticas de isolamento por linha. Mesmo que uma falha escapasse da primeira camada, a segunda continua barrando o acesso.

O ambiente de execução de cada usuário roda isolado, em contêiner próprio, com espaço em disco delimitado pelo plano. Um ambiente não enxerga o outro.

Todo acesso — site, aplicativo Android, aplicativo Windows e integrações — acontece sobre TLS. Avisos de cobrança recebidos de provedores externos só são processados quando a assinatura criptográfica confere; um aviso sem assinatura válida é recusado e registrado como incidente.

Ações relevantes ficam em trilha de auditoria: quem entrou, quem alterou plano, quem lançou crédito, quem revelou um dado sensível, quem destravou uma conta. O registro serve tanto para investigar um problema quanto para responder a você sobre o próprio dado.

Você pode solicitar acesso, correção, portabilidade ou exclusão dos seus dados pessoais. Ao excluir uma conversa, os arquivos gerados por ela também são removidos do ambiente. Pedidos e dúvidas sobre tratamento de dados: privacidade@genesis7.com.br.

Avise antes de divulgar. Escreva para seguranca@genesis7.com.br com o passo a passo para reproduzir. Respondemos, corrigimos e damos o crédito a quem reportou, se assim desejar.