Segurança e cifragem
A nossa abordagem à segurança é documentada, verificável e transparente.
Cobertura MITRE ATT&CK Mobile
As nossas funcionalidades assentam em múltiplas verificações de segurança mapeadas para o framework MITRE ATT&CK Mobile, uma base pública que descreve as técnicas de ataque dirigidas aos telemóveis.
Modelo de ameaças
A Trasimène visa ameaças documentadas no framework MITRE ATT&CK Mobile: phishing e quishing, aplicações maliciosas, interceção de rede (MITM), fugas de dados e spyware. O âmbito exato das deteções depende das capacidades oferecidas por cada plataforma (Android, iOS): documentamos o que a aplicação consegue, e não consegue, detetar, sem prometer 100% de proteção.
Conformidade com normas
OWASP Mobile Top 10, OWASP MASTG, NIST SP 800-63B, RGPD e ISO 25010 orientam as nossas escolhas. O servidor e o site estão cobertos por testes automatizados: mais de 1 700 testes para o site e mais de 300 ficheiros de testes para o servidor em outubro de 2026. A nossa política de divulgação responsável é pública (security.txt): cada comunicação recebe uma confirmação de receção e uma resposta. O que terceiros verificaram está reunido na página Provas e transparência.
Cifragem
AES-256-GCM para o cofre, TLS 1.2 e 1.3 para as comunicações entre a aplicação, o site e os nossos servidores, WireGuard para a VPN. As chaves de cifragem do cofre são armazenadas no Secret Manager do Google Cloud, uma chave por conta.
Gestão de chaves e segredos
As chaves de cifragem do cofre (uma por conta, gerada aleatoriamente) e os segredos de infraestrutura são armazenados no Google Cloud Secret Manager, cifrados em repouso pela Google e replicados automaticamente para se manterem disponíveis. O acesso aos mesmos está restrito, através das permissões IAM do Google Cloud, aos serviços da Trasimène e às pessoas autorizadas, e cada leitura de uma chave do cofre é registada; nenhuma chave é enviada para o telemóvel. O conteúdo do cofre é cifrado com AES-256-GCM; não armazenamos quaisquer dados de cartão bancário.
Residência dos dados
O site, a API e os dados (contas, resultados, cofre cifrado) estão alojados no Google Cloud, região europe-west1 (Bélgica, UE). Os servidores da VPN são máquinas alugadas ao Google Cloud em 19 países, 5 dos quais na UE, instaladas e administradas pela Trasimène. Nenhum dado é vendido. Os prestadores e as transferências para fora da UE são detalhados na nossa política de privacidade.
Privacidade
Nenhum dado é vendido e a aplicação não apresenta publicidade. A Trasimène recolhe os dados de que o serviço precisa. A aplicação envia também medições de utilização ao Firebase Analytics e ao PostHog, que pode desativar nas definições da aplicação («Análise de utilização»), e relatórios de erros à Sentry e ao Firebase Crashlytics. Se o aceitar ao criar a sua conta no Android ou em trasimene.com, a criação da conta e uma subscrição são comunicadas à Meta, ao TikTok, ao Snapchat, ao LinkedIn e ao Google Analytics para medir as nossas campanhas; sem o seu consentimento, nada é enviado, e nunca nada parte de um iPhone. Os pormenores e a forma de retirar o seu consentimento constam da nossa política de privacidade.
Divulgação responsável
Encontrou uma vulnerabilidade? Escreva-nos para contact@trasimene.com. Os nossos prazos de resposta, o nosso compromisso para com os investigadores de boa-fé e os nossos agradecimentos estão publicados na página Provas e transparência, indicada pelo nosso ficheiro security.txt (/.well-known/security.txt).