A Zopio projeta infraestrutura financeira empresarial em torno de limites explícitos de responsabilidade, acesso controlado, proteção de dados, visibilidade operacional e independência de provedores. Esta página resume os princípios que podemos divulgar publicamente e como clientes qualificados podem revisar informações adicionais de arquitetura e segurança durante o processo de contratação.
Os sistemas são projetados com limites de serviço claros, acesso controlado e princípios de menor privilégio. Configurações e credenciais sensíveis permanecem fora do código da aplicação e são gerenciadas por controles seguros de infraestrutura. Segurança, resiliência, observabilidade e controle de mudanças são tratados como responsabilidades de infraestrutura.
A Zopio opera as camadas de tecnologia e aplicação incluídas no serviço acordado. O cliente mantém responsabilidade pelos sistemas, usuários, regras de negócio e dados sob seu controle; bancos, adquirentes, PSPs e outras instituições financeiras mantêm responsabilidade pelos serviços regulados que fornecem. O limite exato depende de produtos, integrações, modelo de implantação e escopo comercial e pode ser documentado durante a incorporação ou a revisão de segurança.
Os sistemas da Zopio são estruturados em torno de limites explícitos de autorização e menor privilégio. O acesso administrativo e operacional é limitado ao necessário para cada função. Quando dados específicos de clientes são processados, a separação de acesso e dados é definida pelo cliente, pela conta e pelo contexto de autorização correspondente; o modelo exato de isolamento pode ser revisado para o escopo proposto.
Buscamos minimizar os dados necessários e protegê-los em trânsito e em repouso por meio de mecanismos padrão da infraestrutura e dos provedores utilizados. A retenção depende do tipo de dado, finalidade, escopo contratual e legislação aplicável. As responsabilidades de criptografia e gestão de chaves dependem da implantação e da configuração do serviço; não afirmamos modelos específicos de chaves gerenciadas pelo cliente salvo quando aplicáveis à implantação correspondente.
Registro, monitoramento, visibilidade de erros e mudanças controladas fazem parte da preparação para produção. Eventos de segurança são tratados por etapas definidas de avaliação inicial, contenção, investigação, remediação e escalonamento. Comunicações e obrigações de notificação dependem da natureza do incidente, do acordo aplicável e da legislação; não publicamos um prazo universal que possa não se aplicar a todas as implantações.
A Zopio utiliza provedores selecionados para capacidades como hospedagem, armazenamento, comunicações e operações relacionadas à segurança. Cada provedor mantém responsabilidade pelo serviço que opera e a Zopio por como esse serviço é selecionado, configurado e utilizado dentro de seu limite de serviço. Quando relevante para um processo de contratação ou revisão de segurança, dependências materiais podem ser compartilhadas sujeitas a confidencialidade e restrições contratuais.
A Zopio fornece infraestrutura tecnológica financeira e não mantém, recebe ou liquida fundos de clientes. O processamento de pagamentos e a liquidação são realizados por bancos, adquirentes e provedores de serviços de pagamento licenciados.
Clientes qualificados podem solicitar informações adicionais de segurança e arquitetura durante o processo de contratação ou a revisão técnica. Conforme o escopo e a disponibilidade, a revisão pode incluir arquitetura e limites de implantação, responsabilidade compartilhada e fluxos de dados, acesso e isolamento entre clientes, criptografia e gestão de chaves, retenção e eliminação, registro e monitoramento, gestão de incidentes, dependências materiais e evidências de segurança independentes e verificadas quando aplicáveis. Nem todos os documentos se aplicam a todos os produtos e certas informações podem exigir um NDA ou outros controles de confidencialidade.
Não publicamos certificações, permissões regulatórias, resultados de auditoria ou declarações de conformidade que não tenham sido verificadas de forma independente e não sejam aplicáveis ao serviço ou entidade correspondente. Quando houver evidência independente verificada e ela for relevante para uma revisão de cliente, poderá ser compartilhada sob controles de confidencialidade adequados.
Para dúvidas de segurança, solicitações de revisão de segurança empresarial ou divulgação responsável, utilize o formulário de contato.
