Política de segurança

1. Criptografia

Toda comunicação com o site picpag.io, com o painel, com o checkout e com as integrações da PicPag trafega por HTTPS, com criptografia TLS. Páginas e requisições sem criptografia são redirecionadas ou recusadas.

Documentos de cadastro e dados pessoais são armazenados com criptografia em repouso e com acesso restrito às pessoas e aos sistemas que precisam deles para executar suas funções.

2. Dados de cartão

Os dados do cartão de crédito são capturados e processados por instituição parceira certificada no padrão PCI-DSS (Payment Card Industry Data Security Standard), que os converte em um código substituto (token) usado na cobrança.

• A PicPag não armazena o número completo do cartão nem o código de segurança (CVV).
• A PicPag guarda apenas informações limitadas, como bandeira e últimos dígitos, para que comprador e infoprodutor identifiquem a transação.
• O infoprodutor nunca recebe dados completos de cartão e não deve solicitá-los ao comprador por nenhum outro canal.

3. Antifraude e autenticação 3DS

Cada transação passa por análise de risco antes de ser aprovada, combinando ferramentas das instituições parceiras e regras próprias da PicPag. A análise considera sinais como dispositivo, endereço IP, histórico do comprador, quantidade de tentativas e coerência dos dados informados. Transações com risco elevado podem ser recusadas, mesmo que o cartão tenha limite.

Quando a transação é elegível, o emissor oferece suporte e a análise de risco indica, o pagamento com cartão pode passar por autenticação 3-D Secure (3DS), em que o banco do comprador confirma a identidade do titular — por exemplo, pelo aplicativo do banco — antes da aprovação.

Além das transações, a PicPag monitora o comportamento das contas, os índices de chargeback, as notificações de MED do Pix e os reembolsos, conforme a Política de PLD/FT e KYC.

4. Segurança da conta

Para proteger a sua conta na PicPag:

• use senha forte e exclusiva, que não seja usada em nenhum outro serviço;
• ative a verificação em duas etapas sempre que ela estiver disponível no painel;
• não compartilhe login e senha com equipe, coprodutores ou prestadores de serviço;
• proteja o e-mail cadastrado na PicPag com a mesma atenção, porque ele é usado para recuperar o acesso;
• acesse o painel apenas digitando o endereço https://app.picpag.io/ ou por favoritos, nunca por links recebidos em mensagens;
• encerre a sessão ao usar computadores compartilhados.

Se suspeitar de acesso indevido, troque a senha imediatamente e escreva para contato@picpag.io. A PicPag pode bloquear preventivamente saques e alterações de dados bancários enquanto confirma a sua identidade.

5. Integrações e webhooks

Quem integra a PicPag à sua área de membros, ferramenta de e-mail ou automação deve:

• guardar chaves de integração apenas no servidor, nunca no código do navegador, em repositórios públicos ou em mensagens;
• substituir a chave imediatamente se houver suspeita de vazamento;
• receber notificações (webhooks) somente em endereços HTTPS;
• validar cada notificação pelo mecanismo de verificação indicado na integração, ou confirmar o status da transação na PicPag antes de liberar o acesso;
• tratar notificações repetidas sem duplicar acessos ou reembolsos.

6. Controles internos

• Acesso mínimo necessário. Colaboradores e prestadores acessam apenas os dados e sistemas indispensáveis à sua função, com credenciais individuais.
• Registros. Acessos e operações relevantes, como alteração de dados bancários, saques e reembolsos, são registrados para auditoria.
• Confidencialidade. Colaboradores e prestadores assumem obrigação de sigilo sobre dados de clientes.
• Desenvolvimento. Alterações no sistema passam por revisão antes de entrar em produção, e dependências de software são mantidas atualizadas.
• Cópias de segurança. Os dados da plataforma têm cópias de segurança periódicas, com acesso restrito.

7. Resposta a incidentes

Diante de um incidente de segurança, a PicPag segue estas etapas:

• Identificação e triagem. Alertas, monitoramento e relatos externos são avaliados e classificados por gravidade.
• Contenção. Isolamento do componente afetado, troca de credenciais e bloqueio de acessos suspeitos.
• Correção e recuperação. Eliminação da causa, restabelecimento do serviço e verificação da integridade dos dados.
• Comunicação. Infoprodutores afetados são avisados com o que se sabe, o impacto e o que fazer. Incidentes que possam acarretar risco ou dano relevante aos titulares são comunicados à ANPD e aos titulares, no prazo e na forma da regulamentação.
• Aprendizado. Análise da causa e plano de ação para evitar a repetição.

8. Responsabilidades do infoprodutor

A segurança dos compradores também depende do infoprodutor, que deve:

• manter a página de vendas e a área de membros em HTTPS e com acesso protegido;
• coletar dados de pagamento apenas pelo checkout da PicPag;
• proteger os dados de compradores que recebe, usando-os só para entrega, suporte e finalidades permitidas pela LGPD;
• avisar a PicPag imediatamente sobre qualquer suspeita de fraude, invasão ou vazamento que envolva vendas feitas pela plataforma.

9. Como reportar uma vulnerabilidade

Se você encontrou uma possível falha de segurança na PicPag, escreva para contato@picpag.io com o assunto "Vulnerabilidade de segurança", informando:

• o endereço ou o componente afetado;
• a descrição da falha e os passos para reproduzi-la;
• o impacto possível e, se houver, evidências como capturas de tela;
• um contato para retorno.

Pedimos que, durante a pesquisa e até a correção:

• não acesse, altere, copie ou apague dados de terceiros além do mínimo necessário para demonstrar a falha;
• não realize testes que degradem o serviço, como ataques de negação de serviço, nem engenharia social contra colaboradores ou clientes;
• não divulgue a falha publicamente antes de ela ser corrigida.

Confirmamos o recebimento, mantemos você informado sobre a análise e a correção e não adotaremos medidas contra quem reportar de boa-fé e respeitar estas condições. No momento, a PicPag não mantém programa de recompensas por vulnerabilidades.