Segurança no Spun

Onde seus dados ficam

Alemanha em primeiro lugar, com uma célula nos Estados Unidos

O Spun opera duas células de dados. eu-1 fica em Nuremberg, Alemanha, em infraestrutura da Hetzner; abriga o plano de controle e a grande maioria das organizações. us-1 fica em Manassas, Virgínia, em infraestrutura da netcup. Hoje duas organizações estão hospedadas ali; todas as outras organizações estão na Alemanha.

A localização não é deduzida de onde você por acaso estava quando se cadastrou. Nenhum país está associado a uma célula, então as novas organizações são criadas na célula da UE. Sua organização fica hospedada em exatamente uma célula, e os dados dela permanecem nessa célula até que alguém os mova deliberadamente.

As mídias (imagens, vídeo, áudio e documentos anexados) são armazenadas no Cloudflare R2 e servidas apenas por meio de URLs assinadas restritas a um único objeto, nunca a partir do endereço de um bucket público.

A retenção segue o seu plano. Cada plano informa na página de preços o seu período de histórico de mensagens (90 dias no Starter, 1 ano no Pro, ilimitado no Max), e as mensagens mais antigas que esse período são removidas; fazer upgrade amplia o período e permite importar de volta um histórico mais antigo. Dentro do seu período, os dados permanecem até que você os exclua ou até que uma configuração de retenção mais curta definida por você os remova. As ferramentas de exclusão e exportação descritas abaixo são o mecanismo para isso.

Ocultação de dados pessoais

O que é removido, e quando

A ocultação é executada no nosso servidor antes que a solicitação saia dele. Os valores detectados são substituídos por marcadores opacos, e o mapa que liga cada marcador ao valor original nunca é enviado ao navegador nem ao fornecedor.

Uma regra vale em todas as configurações: números de cartão, dados bancários e de IBAN, beneficiários, números de documentos de identidade nacionais, números de passaporte, chaves de API e tokens são removidos de tudo o que é usado para construir índices de busca. A detecção cobre dez grupos de idiomas e valida o que consegue: números de cartão e números de identidade israelenses são conferidos por dígito verificador, e não apenas por correspondência de padrão.

Um marcador pertence à única solicitação que o criou. Cada execução rotula seus marcadores com um valor aleatório, e somente os marcadores com o rótulo dessa execução são convertidos de volta em texto real; assim, um token copiado de uma sequência de respostas citadas, ou um que o modelo invente, não corresponde a nada e permanece como está, em vez de ser preenchido com o número real de alguém.

Quando um recurso de IA escreve algo que você vai enviar, os valores reais são recolocados no nosso servidor depois que o modelo responde: um rascunho de e-mail chega completo ao seu editor, porque um marcador na caixa de entrada de um cliente é um defeito. Quando ele escreve algo que você só vai ler (por exemplo, o resumo de uma conversa de e-mail), os valores não são recolocados. Os marcadores continuam visíveis, já que não se ganha nada escrevendo dados pessoais reais em uma linha que só é exibida na tela. No editor de e-mail, você pode abrir “O que a IA vê” antes de pedir qualquer coisa e ler a conversa exatamente como o fornecedor a recebe, até cada marcador e o tipo de dado que ele representa.

A ocultação reduz o que um fornecedor vê. Ela não desfaz o envio de nada que já tenha sido processado, e dizemos isso na caixa de confirmação, não em uma nota de rodapé.

Acesso

Quem pode acessar o quê

O isolamento entre organizações é imposto pelo banco de dados, e não pelo código da aplicação lembrando de filtrar. As tabelas de tenants têm políticas de segurança em nível de linha vinculadas à organização da sessão atual, então uma consulta sem esse contexto não retorna nada.

Duas funções se aplicam à sua equipe (gerente da organização e usuário da organização), além de uma função de administrador da plataforma, que a equipe do Spun tem para dar suporte. O acesso à caixa de entrada também é limitado separadamente: leitura e escrita, somente leitura ou limitado por filtro, em que um membro só vê as conversas que correspondem ao filtro definido para ele. As conversas compartilhadas com outra organização têm, além disso, sua própria função, de visualizador, passando por membro da equipe e gerente, até controle total, então compartilhar uma conversa não entrega a conta.

As conversas de suporte com o Spun, e os tickets abertos a partir de uma caixa de entrada, ficam visíveis para o proprietário da conta e para os membros que o proprietário autorizar. Um membro de uma caixa de entrada compartilhada só vê o chat de “Suporte Humano” quando o compartilhamento dele inclui essa permissão, e o servidor recusa a solicitação quando não inclui, em vez de apenas esconder a aba.

A identidade vem do Firebase, e para por aí. A participação, a organização ativa e a função são resolvidas a partir do banco de dados a cada solicitação; nada no token é considerado confiável para afirmá-las.

Algumas coisas pertencem a uma pessoa, e não à organização. As metas pessoais e as reflexões escritas sobre elas são o caso mais claro: as políticas de segurança em nível de linha delas são vinculadas ao membro, além da organização, então um gerente, um colega de equipe ou um colega de uma caixa de entrada compartilhada não pode lê-las, mesmo dentro da mesma conta, e isso é imposto pelo banco de dados, e não pela interface escolhendo o que mostrar. Nossas próprias ferramentas administrativas veem contagens, nunca o texto. Uma exportação no nível da organização omite completamente o conteúdo das reflexões, e somente a exportação pessoal da própria pessoa o inclui. Excluir uma reflexão também oculta as cópias dela que ficaram no Spun Chat dessa pessoa, para que as palavras não sobrevivam em um segundo lugar.

Proxy próprio

O que é o Proxy próprio, e o que ele pode ver

Cada sessão vinculada do WhatsApp chega ao WhatsApp a partir de algum endereço de internet. O Spun nunca vincula um número diretamente a partir do data center do gateway. Antes que o QR code seja exibido, você confirma o país onde normalmente usa o WhatsApp, e uma nova conexão sem Proxy próprio passa então a usar uma de duas rotas gerenciadas. Onde o gateway de WhatsApp tem uma conexão regional nesse país, a sessão passa por ela (exibida como uma “Conexão Spun”); isso faz parte do serviço de gateway que já consta na nossa lista de suboperadores. Onde não tem, a sessão passa por um endereço de internet residencial nesse país, fornecido pela rede de proxy indicada na mesma lista (exibida como uma “Conexão temporária”). O Spun registra o país confirmado, que não pode ser editado depois da vinculação. Nas conexões temporárias, ele verifica periodicamente se a conexão realmente sai desse país e pausa novas conexões se uma verificação mostrar o contrário. Se nenhuma das duas rotas estiver disponível para o seu país, nenhum QR é exibido e o Proxy próprio é oferecido no lugar.

O Proxy próprio é a alternativa opcional: seu canal de WhatsApp se conecta por meio de um endereço IP que você controla. Você executa um pequeno programa de túnel em um computador, ou em um Spun Box (um pequeno roteador seu, configurado com o mesmo programa), nas suas próprias instalações, e a sessão de WhatsApp do seu canal sai para o WhatsApp a partir dali. Tudo o que vem a seguir também se aplica ao Spun Box; a senha do roteador é enviada apenas ao roteador, pela sua rede local durante a configuração, e nunca ao Spun.

Qualquer que seja a rota, só a própria sessão do WhatsApp passa por ela. As mídias (fotos, vídeos, mensagens de voz e documentos) são baixadas e enviadas diretamente entre o gateway de WhatsApp e o WhatsApp, nunca pelo seu computador, por uma Conexão Spun ou por uma conexão temporária.

O caminho é este: o gateway de WhatsApp se conecta a uma porta em um servidor de retransmissão do Spun, o servidor de retransmissão encaminha essa conexão por um túnel TLS que o seu computador abriu de dentro para fora, e o seu computador faz a conexão final com o WhatsApp. Como o túnel é aberto de dentro para fora, nada precisa ficar exposto na sua rede: nenhum redirecionamento de portas, nenhuma regra de firewall para conexões de entrada.

Para que os gerentes possam ver por que um canal caiu, o programa do Proxy próprio também informa em qual rede o computador está: o tipo de conexão, o nome da rede Wi-Fi quando o sistema operacional permite lê-lo, uma impressão digital unidirecional do endereço de hardware do roteador (o endereço em si não é armazenado) e o endereço público de internet. O Spun registra um evento somente quando a rede muda e o mostra aos gerentes da organização no “Histórico de Proxy”, nas configurações. Quando um gerente executa uma verificação de conexão, ou a vinculação falha, o Spun também abre uma conexão de teste a partir desse computador para o próprio site do Spun e para o WhatsApp Web, e registra apenas o resultado e o nome de qualquer produto de filtragem que tenha respondido no lugar do site. Quando um filtro responde no lugar do WhatsApp Web, o Spun também guarda a cadeia de certificados públicos do filtro (apenas certificados, nunca uma chave) para poder pedir ao seu fornecedor de WhatsApp que confie nesse filtro, e avisa a própria equipe uma vez; o gerente vê na tela que a equipe foi avisada. Quando o produto de filtragem é um que o Spun reconhece, o Spun pode permitir automaticamente essa inspeção para o computador, para que a verificação de país possa ser aprovada; um gerente pode desativar isso a qualquer momento na “Verificação de conexão segura” do computador, nas configurações. O programa não coleta redes salvas, listas de redes próximas nem os endereços do próprio computador, e os celulares não informam nenhum nome de rede. Quando o Proxy próprio falha, o Spun também coleta diagnósticos de falha para o suporte: os dados de conexão do computador (status, endereço de saída e resultados dos testes) e o log do próprio programa agente, mantidos por 30 dias e vistos somente pela equipe de suporte do Spun.

Os servidores de retransmissão funcionam em Nuremberg e Manassas, e é usado o mais próximo do seu computador ou roteador. As verificações de integridade consultam cada configuração continuamente e a marcam como instável e, depois, como offline quando ela para de responder; quando o que está fora do ar é o próprio servidor de retransmissão, isso é diferenciado do seu computador estar fora do ar, para que você não receba um alarme falso. O Spun nunca muda uma linha entre o Proxy próprio e a conexão gerenciada por conta própria: uma organização no Proxy próprio permanece nele, a linha dela espera em vez de recorrer a outra rota quando todos os computadores estão offline, e o último computador que mantém uma sessão vinculada não pode ser removido até que outro assuma ou o WhatsApp seja desconectado.

Fornecedores

Quem mais lida com os seus dados

34 suboperadores, publicados em uma única lista com o que cada um faz, o que pode ver e onde opera. As categorias:

Uma dessas categorias merece destaque porque envia dados de contato para fora do Spun: Enriquecimento de contatos. Quando uma organização ativa esse recurso, um usuário pode pedir um perfil profissional público para um contato salvo de cada vez. Só saem do Spun o nome desse contato, o número de telefone dele e o país do número, nunca o conteúdo das mensagens e nunca uma lista dos seus contatos. A resposta bruta do fornecedor é excluída em até sete dias, apenas os campos profissionais de uma lista permitida são mantidos, e um gerente pode excluir a qualquer momento tudo o que o fornecedor retornou sobre um contato. Um número atribuído nos Estados Unidos é um sinal de elegibilidade para o recurso, não uma prova de onde alguém mora.

O Spun nunca consulta o WhatsApp para buscar o número de uma pessoa. Ele registra apenas os identificadores que chegam com o tráfego normal de mensagens, e um chat sem número funciona como qualquer outro.

Contratos

Acordo de Processamento de Dados

Para os dados dos seus clientes, você é o controlador e o Spun é o operador. Um Acordo de Processamento de Dados (DPA) está disponível mediante solicitação e abrange a lista de suboperadores acima, as transferências internacionais e os dois limites indicados nesta página: que o compromisso de residência se aplica aos dados armazenados pelo Spun, e não às cópias próprias do gateway de WhatsApp ou da Meta, e que as conversas entre duas organizações ficam hospedadas de forma centralizada na Alemanha.