PCI DSS Nível 1
Os dados do cartão nunca passam pelos seus servidores.
Meta
Segurança
Seguro por padrão. Confiável sem surpresas.
Os dados de cartão nunca passam pelos seus servidores, toda ação fica registrada e cada avaliação de conformidade nesta página mostra o status real. Aqui, segurança é uma configuração que você não consegue desligar.
Feito como infraestrutura
3-D Secure 2
Baseado em risco, só quando aumenta a aprovação.
MetaSOC 2 Tipo II
Auditoria em andamento; relatório disponível sob solicitação quando for emitido.
Em andamentoLeis globais de privacidade
GDPR, UK GDPR, LGPD, CCPA/CPRA, PIPEDA, APPI, PIPA, PIPL, DPDP, PDPL e outras, com residência de dados por região.
Meta
Como ler as etiquetas de status
- Meta
- Um padrão que estamos buscando atender. Ainda sem avaliação; nenhum selo é exibido.
- Em andamento
- Uma auditoria está em curso. O relatório é compartilhado sob pedido quando for emitido.
- Ativo
- Em produção hoje e verificável no seu painel.
Princípios
Seis princípios. Sem exceções.
Os mesmos controles valem para uma loja fazendo a primeira venda e para uma grande empresa. Nenhum deles faz parte de um plano pago.
Tokenização e SparkVault
Os números de cartão são trocados por tokens na borda e guardados no SparkVault, isolado de todos os outros sistemas. Seus sistemas só veem o token.
Criptografia em trânsito e em repouso
TLS 1.2 ou superior em toda conexão, AES-256 para dados armazenados e chaves rotacionadas em um calendário que você pode conferir no relatório de confiança.
Controle de acesso e registro de auditoria
Acesso por função, chaves de acesso (passkeys) e SSO para sua equipe, e um registro imutável de cada ação feita na sua conta.
Monitoramento de fraude
Regras de velocidade, sinais do dispositivo e dados de rede analisam cada pagamento; você vê o motivo de cada bloqueio.
Resposta a incidentes
Um processo documentado, responsáveis definidos e aviso aos clientes dentro dos prazos que a lei estabelece — ou antes.
Residência de dados UE/BR
Os dados pessoais de clientes da UE e do Brasil podem ficar na própria região, com a escolha registrada por conta.
Jurídico
Os documentos, em linguagem simples.
Política de privacidade
Rascunho — texto jurídico final em revisão
Esta política vai descrever quais dados pessoais a plataforma coleta dos lojistas e dos clientes deles, por que são coletados, por quanto tempo são guardados e com quem são compartilhados. Os dados de cartão são tokenizados na borda e nunca ficam armazenados com os lojistas.
Ela vai detalhar os direitos garantidos pelo GDPR, pela LGPD e por leis equivalentes — acesso, correção, exclusão, portabilidade e oposição — e como exercê-los pelo painel ou por e-mail.
Ela também vai indicar as opções de residência de dados para clientes da UE e do Brasil e os suboperadores de que a plataforma depende, com aviso antes de qualquer mudança.
Última atualização: pendente
Termos de serviço
Rascunho — texto jurídico final em revisão
Os termos vão reger a conta do lojista: quem pode abrir uma, quais negócios e produtos ficam de fora e as obrigações sobre informações corretas, chargebacks e reembolsos.
Eles vão descrever as tarifas com referência aos preços acordados com cada lojista, o calendário de liquidação que o lojista escolher e as situações em que valores podem ser retidos ou uma reserva pode ser aplicada.
Eles vão estabelecer como qualquer uma das partes pode encerrar o contrato, o que acontece com os saldos pendentes e qual lei e qual foro se aplicam em cada mercado.
Última atualização: pendente
Licenças de código aberto
Rascunho — texto jurídico final em revisão
Este site é construído com software de código aberto. Os projetos abaixo são usados sob as respectivas licenças; os direitos autorais continuam com os autores.
Logos das formas de pagamento
Os ícones de formas de pagamento deste site vêm do Payment Icons, da Shopify / Active Merchant (github.com/activemerchant/payment_icons, tag v1.7.69), usados sob a Licença MIT. Copyright 2015 Shopify Inc. Os arquivos foram renomeados para os ids de forma de pagamento deste site e os ids dos elementos receberam um prefixo, para que vários ícones possam dividir a mesma página; nenhuma arte foi alterada.
Os logos e as marcas nominativas exibidos — Visa, Mastercard, Pix, iDEAL, Bancontact, BLIK, TWINT, MB WAY, Boleto, OXXO, SPEI, UPI, Elo, Hipercard e outros — continuam sendo marcas dos respectivos titulares e aparecem apenas para identificar as formas de pagamento aceitas.
Origem e licençaFontes
As fontes Geist e Geist Mono são usadas sob a SIL Open Font License 1.1.
Última atualização: pendente
Divulgação responsável
Informe uma vulnerabilidade.
Se você acredita ter encontrado um problema de segurança na plataforma, nos SDKs ou neste site, escreva para nós antes de escrever sobre ele. Lemos todos os relatos.
Os prazos de resposta são provisórios até a política ser publicada.
O que incluir
- 01O endpoint, a página ou a versão do SDK afetada
- 02Os passos para reproduzir, ou uma prova de conceito
- 03O impacto que você acredita que o problema tem
- 04Como você gostaria de receber o crédito, se quiser
O que você pode esperar
- —Confirmação de recebimento em até dois dias úteis
- —Um contato definido durante todo o relato
- —Nenhuma ação judicial por pesquisa de boa-fé
Dúvidas sobre segurança? Fale com a gente.
Questionários de segurança, acordos de tratamento de dados e relatórios de auditoria sob pedido.