Segurança

Onde seus dados ficam

A aplicação e seus bancos de dados rodam na UE, em Nuremberg, na Alemanha.

Os arquivos que você envia são armazenados no Cloudflare R2, na região Europa Ocidental da Cloudflare. Eles são entregues pela rede da Cloudflare, então um arquivo pode ser servido de um local próximo a quem o solicita.

Seus dados são separados dos de todos os outros clientes

O Fóir decide quem pode ler e escrever cada linha dentro do próprio banco de dados, usando row-level security. O lugar habitual dessa verificação é uma camada de API acima do banco, e é aí que a maioria das plataformas é mais fraca. Nossas regras são compiladas a partir de uma única especificação pelo Demesne, nosso mecanismo open source, e a row-level security é forçada em toda tabela que a especificação governa. Um teste lista todas as tabelas do nosso schema e falha em qualquer uma que tenha sido adicionada sem uma decisão registrada sobre como ela é protegida.

Uma verificação em uma camada de API cobre apenas os caminhos que alguém se lembrou de proteger. Uma regra dentro do banco de dados cobre também os caminhos de que ninguém se lembrou, incluindo código escrito depois e código que nós mesmos escrevemos. Há mais na página sobre aplicação das regras no banco de dados.

Criptografia

Em trânsito, toda conexão externa usa TLS.

Em repouso, os arquivos que você envia são criptografados pelo Cloudflare R2.

Os segredos que você guarda no Fóir, como credenciais das suas próprias integrações, são criptografados com AES-256-GCM antes de serem gravados. Listar seus segredos retorna os nomes e as datas. Não retorna os valores. O assistente e as ferramentas de agente podem guardar e listar segredos, mas não conseguem ler um de volta. Um valor só é retornado a um chamador que tenha permissão de leitura para aquele segredo, e toda leitura é registrada.

Backups e recuperação

Os bancos de dados de produção têm backup contínuo, com recuperação para um ponto no tempo. Nossas metas são no máximo uma hora de perda de dados e no máximo quatro horas para restaurar o serviço.

Também ensaiamos restaurações.

Disponibilidade

Ainda não publicamos um SLA de uptime. O status atual e os incidentes passados estão na nossa página de status, status.foir.io.

Reportar uma vulnerabilidade

Escreva para info@foir.io. Conte o que você encontrou e como reproduzir, e, por favor, nos dê a chance de corrigir antes de tornar público.

Conformidade

Não somos certificados SOC 2.

Oferecemos um Data Processing Agreement sob solicitação: escreva para info@foir.io. Todo subprocessador que usamos está listado na página de privacidade.