Segurança

O que fazemos para proteger os seus exames e os dados dos seus candidatos. Se você precisar de mais detalhes para uma avaliação de segurança, envie um e-mail para [email protected] e responderemos ao seu questionário.

Hospedagem e rede

• A aplicação, o banco de dados e os arquivos são executados em um servidor dedicado da OVHcloud nos Estados Unidos.
• Todo o tráfego passa pela Cloudflare, que oferece proteção contra DDoS e um firewall de aplicações web.
• Todas as conexões usam HTTPS (TLS). Os navegadores são instruídos a usar somente HTTPS (HSTS), e os cookies de login são marcados como Secure e HttpOnly.

Contas e login

• As senhas nunca são armazenadas em formato legível: as senhas das contas passam por hash com PBKDF2-SHA256, um salt aleatório e 600.000 iterações; as senhas de candidatos e de fiscais passam por hash da mesma forma.
• Após repetidas tentativas de login malsucedidas, novas tentativas para aquela conta são recusadas por 15 minutos.
• Professores e fiscais veem a senha de um candidato somente no momento em que ela é criada ou redefinida, para imprimi-la ou enviá-la; ela não pode ser consultada depois.
• As organizações podem permitir que a equipe entre com o Google em vez de usar uma senha.

Acesso aos dados

• As provas, os exames e os candidatos de cada organização são separados por conta. Os membros da equipe convidados por uma organização só acessam os exames e as disciplinas aos quais foram designados; os fiscais só veem as salas do seu exame.
• As capturas de tela do monitoramento, as respostas enviadas pelos candidatos e as fotos dos candidatos são servidas somente a pessoas conectadas que aplicam aquele exame, nunca por um link público, e não são armazenadas em cache pela Cloudflare nem pelo navegador.
• O acesso ao servidor de produção e ao banco de dados é restrito à equipe de operações da TEX Vietnam JSC e protegido por chaves SSH.

Integridade dos exames

• Cada candidato pode receber uma versão embaralhada da prova. O Serviço detecta quando um segundo dispositivo entra com o mesmo candidato e quando um candidato sai da janela do exame, e mostra isso aos fiscais ao vivo.
• Monitoramento de tela opcional, verificação facial (desativada por padrão) e configuração do Safe Exam Browser.
• Para salas em que a perda da conexão com a internet não é aceitável, o servidor de exames offline executa o exame na sua rede local.

Minimização e retenção de dados

• Os alertas de monitoramento e as capturas de tela são excluídos automaticamente 90 dias após a data do exame.
• As respostas dos candidatos nunca são enviadas a provedores de IA, e não usamos o conteúdo dos clientes para treinar modelos de IA.
• Não armazenamos dados de cartões de pagamento: os pagamentos são processados pela Paddle, nossa revendedora oficial (merchant of record).

Backups e recuperação

• É feito backup diário do banco de dados, e os backups são mantidos por 14 dias, armazenados separadamente do servidor de aplicação. As restaurações são testadas.

Incidentes

Se descobrirmos uma violação que afete dados pessoais, notificaremos as organizações afetadas sem demora injustificada e, em qualquer caso, em até 48 horas, conforme previsto no nosso DPA, e as autoridades, quando exigido.

Como relatar uma vulnerabilidade

Se você acredita ter encontrado um problema de segurança, envie os detalhes por e-mail para [email protected]. Dê-nos um prazo razoável para corrigi-lo antes de divulgá-lo e não acesse dados de outros clientes nem interrompa exames durante os seus testes. Confirmaremos o recebimento do seu relato em até 3 dias úteis.