O que protegemos, e como.

Onde ficam seus dados

Os dados do app são armazenados em Frankfurt, na Alemanha, pela Supabase. O monitoramento de erros (Sentry) também é hospedado em Frankfurt.

Alguns sub-operadores ficam fora da União Europeia: Vercel (hospedagem do app, computação em Frankfurt, empresa dos Estados Unidos), Resend (e-mails) e Anthropic (assistente). Essas transferências são cobertas pelo EU-US Data Privacy Framework ou pelas Cláusulas Contratuais Padrão da Comissão Europeia.

A lista completa, com o papel de cada um, está na página Sub-operadores.

O que o Hokku acessa na sua loja

O Hokku pede à Shopify apenas os acessos de que suas funcionalidades precisam: produtos, estoque, descontos, carrinho, tema, arquivos, pedidos, frete, mercados.

• Os pedidos servem para medir seus resultados: lemos o valor e o número do pedido.
• O Hokku não armazena nenhum dado de contato dos seus clientes: nem nome, nem e-mail, nem endereço.
• As visitas são vinculadas a um identificador aleatório, nunca associado a um nome.

Toda comunicação é verificada

• Todas as conexões usam HTTPS. Os navegadores são instruídos a nunca voltar para HTTP durante um ano.
• Cada mensagem que a Shopify envia ao Hokku é verificada por uma assinatura. Uma mensagem com assinatura inválida é recusada.
• As requisições vindas da sua loja são verificadas da mesma forma.
• No seu admin Shopify, o app abre com um token de sessão emitido pela Shopify, com validade limitada.

Tecnicamente: HSTS max-age 31536000 · assinaturas HMAC SHA-256 comparadas em tempo constante · cabeçalhos nosniff, Referrer-Policy e Permissions-Policy, CSP estrita no App Proxy.

Por quanto tempo guardamos seus dados

• Quando você desinstala o Hokku, suas sessões são apagadas na hora.
• Cerca de 48 horas depois, a Shopify solicita a eliminação dos dados da sua loja: tokens de acesso, tickets de suporte e conversas são apagados, e os números de pedido são anonimizados.
• Sua configuração é guardada por 60 dias, caso você volte, e depois é apagada.
• Conversas com o assistente: 30 dias.
• Tickets de suporte: 12 meses. O endereço de resposta: 90 dias.
• Dados apagados podem permanecer nas cópias de segurança por até 7 dias.
• As cópias dos e-mails que enviamos ficam 30 dias no nosso provedor de e-mail, mais 7 dias em cópias de segurança.
• Uma solicitação de acesso a dados feita por um dos seus clientes é respondida em até 30 dias.

Os detalhes estão na nossa política de privacidade e no nosso acordo de tratamento de dados.

Cópias de segurança e logs

• Fazemos uma cópia de segurança do banco de dados todos os dias. Cada cópia é guardada por 7 dias.
• A Supabase declara: “All customer data is encrypted at rest with AES-256 and in transit via TLS.” (supabase.com/security)
• O monitoramento de erros não registra nenhum dado pessoal, nenhum endereço IP nem conteúdo de requisições.
• Os logs do servidor são guardados por 1 dia; os do banco de dados, por 7 dias.

Nosso código é monitorado

• Cada alteração é analisada para detectar uma senha ou chave esquecida no código.
• As bibliotecas que usamos são verificadas continuamente em bases de vulnerabilidades conhecidas.
• As correções de segurança dessas bibliotecas são propostas automaticamente.
• O acesso às contas de administração é restrito e protegido por autenticação forte.

Tecnicamente: verificações automáticas a cada alteração do código, em todo o histórico, e monitoramento contínuo das vulnerabilidades conhecidas.

Reportar uma vulnerabilidade

Escreva para support@gethokku.com. Para uma vulnerabilidade grave, coloque “[URGENT]” no assunto: essas mensagens são lidas todos os dias.

• Confirmação de recebimento em até 5 dias úteis.
• Primeira avaliação em até 14 dias.
• Atualização sobre o andamento pelo menos uma vez por mês.
• Buscamos lançar uma correção em até 90 dias e, depois, combinar com você a data de publicação.
• Uma pesquisa feita de boa-fé, dentro desta política, não levará a nenhuma ação judicial da nossa parte.