Segurança

Em resumo

• Os arquivos do seu cofre são criptografados no seu dispositivo antes do envio, e não temos nenhuma chave que os abra.
• As mensagens diretas têm criptografia de ponta a ponta. Os servidores guardam texto cifrado.
• Os arquivos do cofre já são texto cifrado quando chegam ao armazenamento. O provedor de armazenamento também documenta a criptografia em repouso dos seus objetos.
• Endereços IP e registros do serviço são mantidos por segurança e prevenção de abusos. O site não define cookies nem usa análise de tráfego.
• Se encontrar um problema de segurança, escreva para nós. As regras para relatar e o arquivo security.txt estão mais abaixo nesta página.

Seu cofre de documentos

Os arquivos do seu cofre são criptografados no seu dispositivo antes de serem enviados. As chaves ficam com você. Dependendo do que você configurar, elas ficam no seu dispositivo ou no seu próprio Chaveiro do iCloud ou Google Block Store, ou são abertas com a frase-senha do cofre, a chave de recuperação ou uma chave de acesso. Nós não temos nenhuma chave que abra os seus arquivos.

Podemos ver a conta em volta do cofre: quantos arquivos você guarda, os tamanhos criptografados e quando você os enviou. Não podemos ver o que os arquivos contêm nem como se chamam.

Se você perder todas as formas de abrir o cofre, ninguém, nem nós, consegue abrir os seus arquivos.

Ainda não foi feita uma revisão criptográfica independente do cofre.

Mensagens

As mensagens diretas são criptografadas de ponta a ponta. Nossos servidores guardam cada mensagem como texto cifrado, junto com as metades públicas das chaves de mensagem dos membros. As metades privadas ficam no seu dispositivo.

Dois limites acompanham isso. Guardamos quem escreveu para quem e quando. Um moderador lê uma mensagem somente depois que um dos dois membros a denuncia; o dispositivo do membro que denuncia então envia essa mensagem, junto com as mensagens anteriores (até dez) que esse membro escolheu incluir.

Ainda não foi feita uma revisão independente da criptografia das mensagens.

O que guardamos e o que não guardamos

O que guardamos

• Os dados da sua conta: e-mail, nome de usuário e nome.
• O que você escolhe publicar: publicações, respostas e os campos de perfil que você mostra.
• Os arquivos do seu cofre e suas mensagens diretas, guardados de forma criptografada.
• As metades públicas das suas chaves de mensagem.
• Quem escreveu para quem e quando.
• Endereços IP e registros do serviço, para segurança e para prevenir abusos.

O que não guardamos nem pedimos

• O conteúdo e os nomes dos arquivos do seu cofre em forma legível.
• A frase-senha do cofre, a chave de recuperação e as metades privadas das suas chaves de mensagem.
• Mensagens diretas legíveis, exceto uma mensagem que um membro denuncia.
• Situação de visto ou resultado de pedido como campo de perfil.
• Rastreadores de publicidade. O site não define cookies nem executa análises ou pixels de publicidade, e nenhum dado é vendido ou usado para publicidade.

O aviso de privacidade lista cada tipo de dado, o motivo de guardá-lo e por quanto tempo.

Proteção contra bots e abusos

Cadastro, login e redefinição de senha podem pedir uma verificação do Cloudflare Turnstile. Isso acontece quando um cliente falha repetidamente, quando o tráfego dele parece automatizado ou quando as falhas de login aumentam de repente em todo o serviço. Nosso servidor confirma o resultado com a Cloudflare, que recebe o token da verificação e o endereço do cliente. Se a Cloudflare não puder ser alcançada, a solicitação segue sob os outros limites.

As solicitações são limitadas por cliente. Login, páginas públicas, busca e outras rotas movimentadas têm cada uma o seu limite no nosso servidor, e as páginas públicas de perfis e artigos têm também um na borda da rede.

Um cliente que procura pontos fracos conhecidos ou envia tráfego com cara de ataque primeiro precisa provar que é uma pessoa, depois é desacelerado e, se continuar, é recusado por um tempo. Para isso, só são registradas as solicitações que acionam um desses sinais.

Quando você define uma senha no cadastro, na troca ou na redefinição, nosso servidor a confere na lista de senhas conhecidas por vazamentos de dados do Have I Been Pwned. Só os cinco primeiros caracteres de um código irreversível (um hash SHA-1) da senha são enviados. A senha e o código completo nunca saem do nosso servidor, e a solicitação não leva e-mail nem dados da conta. Uma senha encontrada em um vazamento é recusada. Se a lista não puder ser alcançada, a senha é aceita pelas regras de sempre.

Essas medidas limitam o abuso. Elas não impedem todo cliente automatizado.

Relatar um problema de segurança

O que cobre

A Talent Visa Journey opera o site público em talentvisajourney.com, o app do membro e o servidor por trás deles, incluindo seus subdomínios, como app., api. e my.talentvisajourney.com.

O cofre de documentos, os recursos de compartilhamento e o login estão no escopo e são os pontos sobre os quais mais queremos ouvir.

Como denunciar

Envie uma breve descrição do problema, os passos para reproduzi-lo e o endereço ou tela afetados para: hello@talentvisajourney.com

O mesmo contato é publicado em um arquivo padrão legível por máquina em /.well-known/security.txt

Escreva em inglês ou turco. Lemos cada relatório que chega a esse endereço.

O que pedimos a você

• Teste apenas as suas próprias contas e os seus próprios dados. Não abra, altere nem exclua documentos, perfil ou mensagens de outra pessoa.
• Não prejudique o serviço para os outros: sem testes de negação de serviço, sem varredura em massa, sem spam.
• Não use engenharia social contra o operador ou os membros.
• Dê-nos um prazo razoável para corrigir um problema antes de publicá-lo.

Independência

A Talent Visa Journey é uma comunidade independente. Não é afiliada ao GOV.UK, ao Home Office, ao USCIS nem a qualquer governo.

Onde estão seus dados e quem os trata

Os servidores e o banco de dados do app para membros funcionam na Railway, na região EU West (Amsterdã, Países Baixos). Os arquivos criptografados do cofre, os backups diários do banco de dados e os registros de exclusão ficam na Cloudflare, em armazenamento na jurisdição da UE. A Cloudflare também entrega este site e repassa o tráfego entre o app e o servidor.

O operador fica na Türkiye e todos os provedores são empresas dos Estados Unidos, então seus dados são transferidos para o exterior, e um provedor ainda pode acessá-los a partir dos Estados Unidos. Nenhum deles consegue ler os arquivos guardados no seu cofre.

A página de provedores de serviço lista cada provedor, o que ele recebe e onde. O aviso de privacidade explica em que base os dados são transferidos e por quanto tempo são guardados.