Segurança e privacidade
O que a SuyPay faz para proteger os seus dados, os dos seus clientes e os cartões, e o que fica com você. A política de privacidade e os termos de uso dizem o mesmo em linguagem de contrato.
Cartões
O número do cartão nunca passa pelo seu site, pelo painel nem pela API da SuyPay. Ele entra e sai só pelo cofre de cartões, um sistema à parte, com banco e chaves próprios, que segue o PCI DSS.
navegador do cliente ── quadro do cofre ──► token tok_… (o número entra aqui)
API da SuyPay ── pedido assinado ─────────► cofre ──► conta (o número sai só aqui)
| Como é feito | |
|---|---|
| Criptografia | AES-256-GCM, com uma chave de dados por empresa e modo. Cada cartão fica preso à empresa e ao próprio id: copiado para outro lugar, não abre. |
| Chave mestra | Protege as chaves de dados e só abre com duas metades guardadas por pessoas diferentes. Nenhuma metade sozinha diz nada. Pode ser trocada sem recifrar os cartões. |
| CVV | Apagado na primeira aprovação ou uma hora depois de digitado, o que vier primeiro. |
| O que você vê | Bandeira, 6 primeiros e 4 últimos dígitos, validade e uma impressão digital (HMAC com chave) para achar cartões repetidos. |
| Saída do número | Só para a API da conta de pagamento, numa lista fechada de endereços https, sem seguir redirecionamentos. Se a conta devolver o número na resposta, o cofre o apaga antes de responder. |
| API ↔ cofre | Cada pedido e cada resposta são assinados (Ed25519) e valem uma vez só, por 5 minutos. |
| Trilha | Todo acesso a cartão fica registrado por 400 dias: quem, o quê, de onde e se deu certo. Nunca o cartão. |
| Campos no navegador | Página isolada, com CSP de nonce. Os tokens têm limite por IP e por chave. Em Só nos seus sites você trava os campos aos seus domínios. |
Com isso, o seu site fica no SAQ A, o nível mais simples do PCI DSS: você só mostra o quadro.
Chaves e segredos
- Chaves das contas conectadas, segredos de webhook, credenciais de integrações e o que as contas devolvem para cobrar um cartão de novo são guardados com AES-256-GCM, cada valor preso à própria linha. Nada disso volta pela API: aparecem só os últimos caracteres.
- Chaves de API da SuyPay são guardadas só como resumo (SHA-256). Se você perder uma, crie outra; ninguém consegue lê-la de volta.
- Chaves "só cobranças" criam cobranças e veem só as delas. Use em bots, plugins e sistemas de terceiros. Cobrar cartão salvo sem o cliente presente exige chave completa.
- Limite de uso: cada chave tem um limite de requisições por segundo; quem passa recebe
429.
Avisos
- O que a SuyPay manda para você vem com o cabeçalho
SuyPay-Signature, um HMAC-SHA256 com o segredo do endereço e a hora do envio. Confira antes de confiar (Webhooks). - O que as contas mandam para a SuyPay chega num endereço com um token só daquela conta, e a SuyPay sempre lê a cobrança de volta na API da conta antes de mudar qualquer coisa. Um aviso falso não marca nada como pago.
Painel e equipe
- Login pelo GitHub. A sessão fica num cookie
HttpOnly,SecureeSameSite=Lax. - Cada pessoa tem um cargo, e cada rota da API diz qual permissão exige. Uma rota nova fica fechada até alguém decidir quem pode usá-la.
- Apps de terceiros entram por OAuth, com permissões e modos que você escolhe e tira quando quiser.
Dados dos clientes
- A SuyPay guarda só o que a cobrança precisa: nome, CPF ou CNPJ, e-mail, celular e endereço quando a conta pede, mais a origem da venda (UTMs) e o IP de quem pagou pela página da SuyPay.
- Para os dados dos seus clientes, você é o controlador e a SuyPay é a operadora (LGPD). Conte aos seus clientes, na sua política, que a venda passa pela SuyPay e pelas contas de pagamento, e quais ferramentas de anúncio você liga.
- Para a Meta e o TikTok, e-mail, celular e id do cliente vão como resumo SHA-256, como eles pedem.
O que fica com você
- Guarde as chaves de API só no seu servidor e revogue na hora qualquer uma exposta.
- Confira a assinatura dos webhooks.
- Trave os campos de cartão aos seus domínios.
- Dê a cada pessoa da equipe só o cargo que ela precisa.
Encontrou uma falha?
Escreva para seguranca@suypay.com antes de divulgar, com os passos para reproduzir. Não processamos quem testa de boa-fé, sem acessar dados de outras pessoas e sem prejudicar o serviço.