Suas contas e seus dados continuam sendo seus
Um parceiro de crescimento vê orçamentos, resultados e pipelines de clientes. Esse acesso deve ser restrito, registrado e fácil de revogar. O serviço opera de forma distribuída e criptografada em mais de 125 países, e os controles abaixo estão incorporados à FOCUSADS.si. Descrevemos o que eles fazem, e não os fornecedores e versões por trás deles, para que esta página não sirva de mapa para atacantes.
Três regras que orientam o nosso design
A titularidade continua sendo sua
Contas de publicidade, pixels, analytics e CRM continuam no seu nome. Trabalhamos com o acesso de usuário ou de parceiro que você concede e pode remover a qualquer momento. Nunca pedimos senhas.
Privilégio mínimo, sempre
A equipe vê apenas o que a sua função exige. Os clientes veem apenas o próprio espaço de trabalho. Toda ação sensível deixa um registro de auditoria que não pode ser editado depois.
Evidências acima de afirmações
Os números reportados trazem a plataforma de origem, a conta, o período, a moeda e o momento da coleta, para que você possa conferi-los no painel nativo.
Controles no produto
Autenticação de dois fatores obrigatória
Toda conta de cliente e de equipe precisa cadastrar um app autenticador (Google Authenticator ou qualquer app TOTP) antes que o painel ou o console de operações seja aberto.
- QR code e chave manual no cadastro, confirmados com um primeiro código.
- Códigos de recuperação de uso único, armazenados apenas como hashes.
- Os eventos de login e de MFA são gravados no registro de auditoria.
Isolamento de clientes em duas camadas
Cada espaço de trabalho de cliente é separado no código da aplicação e novamente dentro da própria camada de dados, de modo que uma verificação esquecida no código ainda assim não consegue retornar registros de outro cliente.
- Cada requisição é executada em um escopo que fixa o espaço de trabalho e a função.
- Autorização no servidor em toda leitura e gravação; o navegador nunca é considerado confiável para definir funções.
- Testes automatizados tentam acessar relatórios, investimentos, tarefas, faturas e planos de mídia de outros clientes.
Acesso delegado às plataformas
Solicitamos acesso por meio de vínculos de conta de administrador do Google Ads, acesso de parceiro no Meta Business, funções de conta no LinkedIn e recursos equivalentes das plataformas. Você pode ver e revogar cada permissão nas configurações da plataforma.
- Sem logins compartilhados, sem coleta de senhas.
- O status de acesso é exibido por conta no seu painel.
Registro de auditoria somente de inclusão
Logins, alterações de MFA, mudanças de função e de acesso, eventos de cobrança, publicação de relatórios e exportações de dados são registrados. O banco de dados rejeita edições ou exclusões de registros de auditoria.
- Os endereços IP são pseudonimizados antes do armazenamento.
- Segredos e tokens nunca são gravados em logs.
Transporte criptografado e cabeçalhos rigorosos
Todo o tráfego usa TLS com HSTS. A aplicação envia uma política de segurança de conteúdo, proteção contra frames, uma política de referrer rigorosa e uma política de permissões restritiva.
- Os cookies de sessão são HttpOnly, Secure e SameSite=Lax.
- Os endpoints de login e de formulários têm limite de requisições.
Pagamentos com cartão fora dos nossos sistemas
O checkout, as faturas e o portal de cobrança funcionam com um provedor de pagamentos certificado PCI DSS. Os números de cartão nunca chegam aos nossos servidores. O status de pagamento só muda com eventos assinados e verificados, cada um processado uma única vez.
- Eventos repetidos não têm efeito.
- O investimento em mídia não é cobrado pela FOCUSADS, a menos que o seu formulário de pedido diga isso.
Ingestão de dados assinada
As evidências de desempenho entram na plataforma apenas por meio de requisições assinadas criptograficamente, com prazo limitado e de uso único, para que os dados coletados não possam ser falsificados nem reenviados.
- Requisições atrasadas ou repetidas são rejeitadas.
- As correções são armazenadas como revisões; as versões publicadas dos relatórios não podem ser alteradas.
Distribuído e criptografado em mais de 125 países
O serviço é entregue a partir de uma rede distribuída que abrange mais de 125 países, com criptografia em trânsito e em repouso. Os ambientes de produção e de teste são totalmente separados, e os ambientes de teste nunca são indexados.
- Os segredos ficam em um armazenamento gerenciado de segredos, separado por ambiente, nunca no código-fonte.
- Varreduras de dependências, segredos e código são executadas a cada alteração.
Tratamento de dados em resumo
- Controlador dos dados
- THEFOCUS LTD para contatos pelo site e contas; você, o cliente, para os dados do seu espaço de trabalho.
- Legislação aplicável
- UK GDPR, Data Protection Act 2018 e PECR.
- Dados de categoria especial
- Não aceitos. Dados de saúde ou outros dados sensíveis não devem ser enviados nem usados para segmentação.
- Notificação de violação
- Os clientes são notificados sem demora injustificada, em até 48 horas após tomarmos conhecimento.
- Retenção
- Registros de auditoria por 24 meses; registros de clientes pela duração do contrato mais 6 anos; contatos não convertidos por 24 meses.
- Suboperadores
- Listados por categoria na página de Suboperadores: infraestrutura e hospedagem, pagamentos, e-mail e analytics (somente com consentimento). A lista nominal está disponível para os clientes no painel e mediante solicitação.
Encontrou uma vulnerabilidade?
Reporte pelo formulário de contato e escolha “Relatório de segurança”. Inclua a URL afetada, os passos para reproduzir e o impacto. Por favor, não acesse dados que não são seus nem interrompa o serviço. Confirmamos o recebimento dos relatórios em até dois dias úteis no Reino Unido e mantemos você informado até que a correção seja publicada.
Enviar um relatório de segurançaO que não afirmamos
- Hoje não temos certificação ISO 27001 nem SOC 2. Se isso mudar, esta página informará, com os detalhes do certificado.
- Não somos parceiro oficial das plataformas de publicidade citadas neste site, a menos que uma página indique o programa específico.
- Nenhum controle de segurança elimina todo o risco. Descrevemos o que está implementado e como respondemos quando algo dá errado.
Vocês precisam das senhas das nossas contas de publicidade? Não. Solicitamos acesso pelo próprio sistema de permissões de cada plataforma, por exemplo um vínculo com uma conta de administrador do Google Ads ou acesso de parceiro no Meta Business. Você aprova na plataforma e pode remover a qualquer momento.
Outro cliente pode ver nossos dados? Não. Os espaços de trabalho são isolados no código da aplicação e novamente na camada de dados, e testamos automaticamente tentativas de acesso entre clientes.
A autenticação de dois fatores é opcional? Não. Toda conta de cliente e de equipe precisa configurar um app autenticador antes de acessar o painel ou o console de operações.
Onde nossos dados ficam hospedados? Em uma rede distribuída e criptografada que abrange mais de 125 países. As transferências para fora do Reino Unido se baseiam em salvaguardas reconhecidas, descritas no aviso de privacidade e na página de Suboperadores.
Precisa de uma revisão de segurança antes de assinar?
Equipes de grandes empresas podem solicitar as respostas ao nosso questionário de segurança e o aditivo de tratamento de dados durante a qualificação.