1. Abordagem de segurança
A DIRI AI usa controles baseados em risco destinados a proteger a confidencialidade, a integridade e a disponibilidade. A segurança é compartilhada: a DIRI AI protege o serviço e a infraestrutura configurada; os clientes protegem seus usuários, dispositivos, credenciais, escolhas de conteúdo e decisões dos administradores.
Esta visão geral descreve o desenho dos controles. Ela não afirma que a DIRI AI possua certificação ISO 27001, SOC 2 ou PCI DSS, cobertura de testes de intrusão nem serviço ininterrupto. As certificações dos provedores não se tornam certificações da DIRI AI.
2. Controles de identidade, acesso e inquilinos
Os controles incluem:
- identidades de usuário únicas e cookies de sessão de produção protegidos;
- autorização no servidor, baseada em papéis e limitada a cada inquilino;
- convites, papéis e remoção de membros geridos pelo administrador;
- acesso de privilégio mínimo aos sistemas de produção e às contas de provedores;
- ambientes e configurações de produção e de não produção segregados;
- limites de taxa e controles contra abuso; e
- registros de auditoria dos eventos de administração e de assinatura relevantes para a segurança.
A DIRI AI testa o acesso entre inquilinos, revisa privilégios e verifica os controles de recuperação de contas. A autenticação multifator deve ser ativada nas contas de provedores e privilegiadas e disponibilizada aos clientes quando houver suporte.
3. Proteção de dados
O tráfego suportado usa TLS em trânsito. Os provedores gerenciados criptografam os dados armazenados em repouso com seus controles padrão, e as informações sobre provedores e transferências constam da Lista de suboperadores. Os segredos devem ser mantidos fora do código-fonte e dos logs comuns. A digitação do cartão de pagamento é delegada ao provedor de pagamentos, de modo que a DIRI AI não precisa do número completo do cartão.
O armazenamento de gravações de voz vem desativado por padrão. A telemetria deve ser higienizada e o Conteúdo do Cliente deve ser excluído dos logs de rotina quando viável. A depuração em produção deve ser limitada no tempo, autorizada e registrada.
4. Segurança de aplicações
A DIRI AI usa revisão de mudanças, testes automatizados, verificações de dependências e de segredos, controles de entrada confiável e callbacks assinados de provedores para proteger as alterações do aplicativo e as integrações externas.
O acesso de provedores, o cadastro e a cobrança são protegidos pelos controles aplicáveis de acesso, jurídicos, de cobrança e de segurança. Esses controles não são enfraquecidos apenas para disponibilizar um recurso.
5. Monitoramento e resposta a incidentes
O serviço usa telemetria higienizada de erros do aplicativo, métricas operacionais, logs de auditoria e eventos de provedores. A DIRI AI revisa a cobertura do monitoramento, as cotas, a entrega de alertas e a responsabilidade operacional após mudanças relevantes. Métricas internas não são análises de marketing.
Incidentes suspeitos são triados, contidos, investigados, corrigidos e documentados conforme a Política de segurança e notificação de incidentes. As obrigações relativas a violações de dados pessoais são avaliadas separadamente dos eventos comuns de disponibilidade.
6. Disponibilidade, backups e recuperação
A arquitetura usa provedores gerenciados de hospedagem, banco de dados, cache e filas e armazenamento de objetos. A DIRI AI testa a configuração de backup, restauração, nova tentativa de filas e ciclo de vida dos dados. Nenhum objetivo de tempo de recuperação ou de ponto de recuperação é prometido nos planos padrão até que seja formalmente medido e contratado.
Os planos padrão não têm SLA percentual de disponibilidade. Isso não limita os direitos imperativos do consumidor em matéria de conformidade e de remédios.
7. Risco de provedores
Os provedores são avaliados quanto a finalidade, acesso, termos contratuais, informações de segurança, locais de tratamento, mecanismo de transferência, retenção e exclusão. Apenas os dados mínimos necessários são enviados. A Lista de suboperadores identifica os provedores usados nas funções cobertas.
8. Responsabilidades do cliente
Os clientes devem:
- usar credenciais fortes e únicas e autenticação multifator quando disponível;
- manter dispositivos, navegadores e integrações atualizados;
- conceder os papéis mínimos, revisar a participação e remover prontamente quem sai;
- evitar o envio de dados sensíveis desnecessários ou de dados de clientes reais;
- verificar as exportações antes do encerramento da conta e proteger os arquivos baixados;
- configurar retenção lícita e avisos aos colaboradores; e
- relatar prontamente qualquer suspeita de comprometimento sem divulgar publicamente detalhes exploráveis.
9. Relato de vulnerabilidades
Envie um relato conciso a security@diriai.com com a rota afetada, os passos de reprodução, o impacto e uma prova segura. Não acesse dados de outro cliente, não interrompa o serviço, não use engenharia social, não extraia dados nem exija pagamento. Pare os testes depois de confirmar o problema e conceda tempo razoável para a investigação.
Não existe programa público de recompensa por bugs nem programa amplo de porto seguro, a menos que seja publicado separadamente. Relatos de boa-fé serão tratados com responsabilidade, mas esta visão geral não autoriza condutas que seriam ilícitas de outro modo.
10. Contato e versão
Relatos de segurança: security@diriai.com. Incidentes de privacidade: privacy@diriai.com. Versão: 1.2.0. Data: 30 de agosto de 2026.