Segurança

Na BOTS4.me, a segurança não é apenas uma funcionalidade—é fundamental para tudo o que fazemos. O nosso negócio depende de proteger os seus dados, e é por isso que construímos a nossa plataforma com medidas de segurança abrangentes que cumprem e superam os padrões do setor para serviços de automação empresarial.

Cifrado ao Introduzir, Decifrado Apenas em Memória

Autenticação de dois fatores

Design Centrado na Privacidade

Retenção Limitada de Dados

Sem Escrita em Disco

Zero Incidentes de Segurança Mais de 2 anos em funcionamento

🔐 O Secure Quick Connect (OAuth), Explicado

A maioria dos serviços modernos (Gmail, Outlook, Google Drive, OneDrive, Dropbox, Box) suporta o «OAuth» – um padrão de segurança em que inicia sessão diretamente no site DELES, sem nunca nos dar a sua palavra-passe. Eles confirmam a sua identidade e dão-nos uma chave de permissão especial que só faz aquilo que aprovou.

Para os serviços que ainda não suportam OAuth, as suas credenciais são cifradas com RSA-2048 no momento em que as introduz. Em qualquer dos casos, tem controlo total a partir do seu painel /bots.

Funciona com 27 serviços: Gmail, Outlook, Microsoft 365, Google Drive, OneDrive, Dropbox, Box e outros

Encriptação Multicamada

Implementamos protocolos de encriptação padrão do setor, incluindo serviços de encriptação na nuvem de nível empresarial e pares de chaves RSA, para proteger os seus dados tanto em trânsito como em repouso.

Infraestrutura Isolada

Os seus processos de automação são executados em servidores dedicados e protegidos, com controlos de acesso rigorosos e monitorização de segurança abrangente para impedir acessos não autorizados.

Privacidade desde a Conceção

As informações sensíveis são encriptadas no momento do envio e permanecem encriptadas em todos os nossos sistemas. Só os processos autorizados podem aceder aos seus dados quando necessário.

Práticas Transparentes

Mantemos políticas claras de tratamento de dados e fornecemos documentação completa sobre as nossas práticas de segurança, para que saiba exatamente como a sua informação é protegida.

Secure Quick Connect (OAuth 2.0) – a Opção Mais Segura

Para os grandes fornecedores como Gmail, Outlook, Google Drive, Dropbox, OneDrive e Box, suportamos o Secure Quick Connect (OAuth 2.0), padrão do setor – o mesmo método seguro usado por milhões de aplicações em todo o mundo.

O Que É o OAuth e Porque É Melhor

Sem Armazenamento de Palavras-passe: nunca introduz a palavra-passe do seu e-mail ou do seu armazenamento na nuvem no nosso site. Em vez disso, inicia sessão diretamente na própria página de acesso segura da Google, da Microsoft ou da Dropbox.

Permissões limitadas e enumeradas: o OAuth concede-nos apenas os âmbitos específicos que o utilizador aprova no ecrã de consentimento do fornecedor. No Microsoft 365 / Outlook, isso significa âmbitos como IMAP.AccessAsUser.All, Mail.ReadWrite, MailboxSettings.ReadWrite e (para o Mail2CLOUD) o âmbito restrito Files.ReadWrite.AppFolder, que só consegue ver uma única pasta criada por nós. No Gmail, os âmbitos da API do Gmail gmail.modify (ler, etiquetar, mover para o Lixo, inserir e enviar — nunca uma eliminação definitiva), gmail.settings.basic e (para o Mail2CLOUD no Google Drive) drive.file, que só consegue ver ficheiros criados pela nossa aplicação. A justificação completa por âmbito está na nossa Política de Privacidade.

Revogação a qualquer momento: pode revogar instantaneamente o acesso do BOTS4.me a partir das definições da sua conta Google ou Microsoft, sem alterar palavras-passe nem contactar o suporte.

Padrão do setor: o OAuth 2.0 é utilizado por milhares de aplicações de confiança e é o método de autenticação recomendado pela Google, pela Microsoft e por outros grandes fornecedores.

Como funciona o início de sessão com OAuth

Clique em «Ligar com OAuth»

É redirecionado para o acesso seguro do fornecedor

Aprove as permissões no respetivo site

Um token seguro é enviado para o BOTS4.me

O token é cifrado e guardado com segurança

OAuth versus palavra-passe: a escolha é sua

Damos-lhe a escolha entre OAuth (recomendado para os fornecedores suportados) e as palavras-passe de aplicação/chaves de API tradicionais. Ambos são seguros – o OAuth apenas elimina por completo o armazenamento de palavras-passe. Para os serviços que não suportam OAuth, as suas credenciais são protegidas com cifragem RSA-2048.

Ou Não Ligar Nada: Reencaminhar para Nós

O Mail2ERP, o Supplier2ERP, o Pay2ERP e o Mail2KNOW também funcionam sem qualquer ligação à caixa de correio: adicione a BOTS4.me Mailbox à aplicação no seu painel BOTS (um clique, sem palavra-passe) e reencaminhe e-mails para o endereço da aplicação, por exemplo mail2erp@bots4.me. Só aceitamos correio reencaminhado a partir do endereço da sua conta ou dos endereços que indicar em “Reencaminhar para nós” no Controlo da aplicação (no Mail2KNOW: “Quem pode ensinar e perguntar”). Antes de qualquer coisa ser escrita no seu ERP, verificamos se o e-mail vem mesmo desse endereço – quando isso não pode ser verificado, confirma-o com um clique. O mesmo e-mail reencaminhado duas vezes é processado apenas uma vez. O seu e-mail é eliminado da nossa caixa de correio logo após o processamento, no máximo 7 dias depois se não puder ser processado, e tudo o que não conseguirmos associar a uma conta é eliminado ao fim de 14 dias.

O que nunca fazemos com o acesso concedido através de OAuth

Nunca utilizamos o conteúdo dos seus e-mails, os seus contactos, os anexos nem quaisquer dados de utilizador da Google ou da Microsoft para criar, treinar ou melhorar modelos de IA/ML generalizados ou de terceiros. Os modelos são ajustados apenas com os dados da sua própria conta.
Nunca vendemos os seus dados, nem os partilhamos com redes publicitárias, nem os utilizamos para apresentar anúncios direcionados.
Nunca lemos e-mails nem abrimos anexos para revisão humana, exceto quando for estritamente necessário para disponibilizar uma funcionalidade que ativou ou quando solicitar expressamente assistência técnica sobre uma mensagem específica.
Nunca eliminamos permanentemente e-mails, ficheiros ou pastas que não tenhamos criado – a menos que ative uma função de limpeza que faz exatamente isso («Limpeza automática» e «Limpar a pasta Enviados» do AutoSPAM, «Limpeza de e-mails antigos com o AutoSPAM» do Mail2CLOUD).
Nunca transferimos tokens OAuth para qualquer entidade externa à nossa infraestrutura, exceto para o fornecedor emissor (Microsoft ou Google) quando os trocamos ou renovamos.
Cumprimos a Google API Services User Data Policy, incluindo os requisitos de utilização limitada (Limited Use).

Como protegemos os dados da sua empresa

Quando confia ao BOTS4.me o acesso ao seu ERP e aos seus sistemas de e-mail, assumimos essa responsabilidade com seriedade. A nossa arquitetura de segurança foi concebida especificamente para os desafios únicos da automatização de processos empresariais:

Transmissão segura de dados

Todas as ligações entre os seus sistemas e a nossa plataforma estão protegidas:

A cifra TLS moderna garante que todos os dados em trânsito estão protegidos contra interceções

Armazenamento separado das chaves – a chave privada existe apenas nos nossos servidores de processamento, num ficheiro cifrado, nunca no servidor web

Autenticação de API através de protocolos padrão do setor e tokens seguros

Proteção de dados decifrados sem escrita em disco

A nossa prática de segurança mais rigorosa – mesmo durante o processamento, NUNCA guardamos nada em formato decifrado em disco:

Processamento apenas em memória – todas as operações ocorrem exclusivamente na RAM e os dados decifrados existem apenas durante o processamento ativo (de segundos a minutos)

Sem ficheiros temporários por cifrar – as caches e os registos são guardados cifrados, e nada decifrado permanece se um servidor perder alimentação

Retenção limitada – os registos são eliminados automaticamente após 90 dias; os restantes dados de trabalho seguem o nosso calendário de retenção e depois são eliminados automaticamente

Cifrado em repouso – os seus dados são SEMPRE armazenados cifrados e nunca são escritos em disco em texto simples

Remoção imediata a pedido do cliente, mediante verificação, incluindo as cópias de segurança

Arquitetura de cifra RSA-2048

Como protegemos as suas credenciais com cifragem de chave pública:

Cifra instantânea – quando guarda credenciais em /bots, estas são imediatamente cifradas com a nossa chave pública; apenas os servidores de processamento detêm a chave privada

Armazenamento separado de chaves – as chaves de cifra são guardadas separadamente dos dados cifrados, em localizações seguras distintas

Fluxo de processamento – os dados são decifrados apenas em memória, processados e, depois, os resultados são novamente cifrados

Decifrado apenas em memória – as suas credenciais são cifradas no momento em que as introduz e decifradas apenas em memória, apenas nos nossos servidores de processamento isolados, durante os segundos de que um bot precisa delas

Controlo de acesso e autenticação

Várias camadas de segurança protegem o acesso aos seus sistemas:

Secure Quick Connect (OAuth 2.0) sempre que o serviço o suporta – Gmail, Outlook, Microsoft 365, Google Drive, OneDrive, Dropbox, Box e outros. A sua palavra-passe NUNCA chega aos nossos servidores. Para sistemas legados: credenciais cifradas com RSA-2048.

Autenticação de dois fatores para cada conta de utilizador, e obrigatória para todos os nossos acessos administrativos

Sistema de proteção de desenvolvimento próprio contra os vetores de ataque mais comuns

Registo completo da atividade para monitorização de segurança e auditorias

Comparação de padrões de segurança

Veja como as nossas medidas de segurança se comparam com as dos serviços de automatização habituais:

← Deslize horizontalmente para ver todas as colunas →

Funcionalidade de segurança	Serviços básicos	Padrão do setor	BOTS4.me
Cifra de dados	SSL básico	TLS + cifra do armazenamento	Cifrado ao Introduzir, Decifrado Apenas em Memória
Autenticação	Apenas palavra-passe	2FA opcional	2FA para cada utilizador
Retenção de dados	Indefinida	90-180 dias	Eliminação automática
Método de processamento	Armazenamento padrão	Armazenamento cifrado	Processamento sem escrita em disco
Monitorização dos acessos	Registos básicos	Acompanhamento da atividade	Auditoria completa
Infraestrutura	Servidores partilhados	Isolamento virtual	Servidores dedicados (Premium) / processos isolados (Standard)
Recuperação de desastres	Nenhuma	Cópias de segurança diárias	Cópias de segurança externas cifradas + transferência automática

Privacidade de dados e conformidade

Concebemos a nossa plataforma com a privacidade no seu núcleo, assegurando que os dados da sua empresa são tratados com o máximo cuidado e em conformidade com as melhores práticas de proteção de dados:

Recolha mínima de dados: só tratamos os dados necessários para as suas necessidades específicas de automatização – nada mais.
Tratamento de dados transparente: documentação clara sobre a que dados acedemos, como são processados e quando são eliminados.
Controlo do utilizador: mantém o controlo total sobre os seus dados, podendo solicitar a sua eliminação imediata a qualquer momento.
Envio de formulários cifrado: as informações sensíveis introduzidas durante a integração são cifradas de imediato ao serem submetidas.
Gestão de chaves separada: as chaves de cifra são guardadas separadamente dos dados cifrados para maior segurança.
Sem armazenamento desnecessário: não guardamos nenhum dado de que não necessitemos ativamente para os seus processos de automatização.

Funcionamento sem IA

Algumas organizações não têm autorização para processar dados de negócio com IA — bancos e seguradoras por política interna, organismos públicos por regras de contratação e fornecedores vinculados por contrato com o seu cliente. A maior parte da nossa automatização foi construída com base em regras muito antes de lhe ser atribuída IA, e continua a funcionar assim.

Cinco bots não contêm IA alguma: AutoERP, AutoCASH, AutoSTOCK, AutoPURCHASE e Mail2CLOUD. Não existe interruptor, porque não há nada para desativar.
Quatro bots têm um interruptor de Modo de IA: AutoSPAM, Mail2ERP, Pay2ERP e Supplier2ERP. Com o valor Desativado, não é invocado nenhum modelo de linguagem nem é enviado conteúdo a qualquer fornecedor de IA. Estes bots continuam a utilizar correspondência estatística, que é executada nos nossos próprios servidores e nunca envia os seus dados a terceiros.
Três bots não conseguem funcionar sem IA: o ClientFACTORY, o Mail2KNOW e o AutoGEO geram texto escrito. Dizemo-lo aqui em vez de deixar que o descubra depois de comprar.
Desativado significa desativado: definir o Modo de IA como Desativado tem efeito na execução seguinte e prevalece sobre qualquer outra definição, incluindo o Modo Demo.
Evidência para o seu processo: a pedido, enviaremos um relatório gerado a partir da sua própria instalação, com o modo de IA resolvido de cada bot da sua conta.

Modo Demo — o seu interruptor de segurança

O Modo Demo é um controlo de segurança integrado que lhe permite verificar exatamente o que o bot faria antes de ativar a automatização completa. Está ativado por predefinição em todas as contas novas, garantindo um ponto de partida seguro.

Seguro por predefinição — o Modo Demo está ATIVADO em todas as contas novas. Não é escrito nenhum dado no seu ERP nem nos seus sistemas na nuvem até que o permita expressamente.

Prova antes de automatizar — cada aplicação tem de concluir pelo menos uma execução de demonstração e enviar-lhe por e-mail um relatório de exatamente o que TERIA feito, antes de o Modo Demo poder ser desativado. A primeira execução é sempre uma demonstração — nunca é escrito nada sem o seu consentimento informado. Mais sobre o Modo Demo →

Segurança com um clique — pode voltar a ativar o Modo Demo a qualquer momento a partir do separador Control no seu painel /bots, com efeito imediato. A desativação do Modo Demo só é desbloqueada depois do relatório da sua primeira execução de demonstração — de modo que as escritas reais nunca podem ser ativadas por acidente.

Pré-visualização não destrutiva — com o Modo Demo ATIVADO, o sistema continua a monitorizar, analisar e enviar relatórios, mas não escreve nenhuma alteração. Pode ver exatamente o que aconteceria, sem qualquer risco.

Sempre disponível — mesmo com o acesso total configurado, o Modo Demo dá-lhe um interruptor de segurança para evitar alterações indesejadas a qualquer momento. Ideal para testes, auditorias ou a integração de novos membros da equipa.

Segurança da infraestrutura

A nossa infraestrutura técnica é construída com a segurança como requisito fundamental:

Infraestrutura na nuvem de nível empresarial com configurações de segurança de grau institucional

Atualizações de segurança regulares e gestão proativa de vulnerabilidades

Ambientes de processamento isolados para as tarefas de automatização de cada cliente

Monitorização de segurança automatizada para detetar e prevenir atividades suspeitas

Práticas de desenvolvimento seguro com revisão de código e testes de segurança

Procedimentos regulares de cópia de segurança com armazenamento cifrado e recuperação segura

Arquitetura de servidores e isolamento

Implementámos uma atribuição inteligente de servidores para otimizar tanto a segurança como o desempenho:

Clientes Enterprise/Premium – servidores dedicados e isolados, com recursos exclusivos para as suas necessidades, sem partilha com outros clientes, isolamento completo

Clientes Standard – servidores de “pool” com uma atribuição harmonizada de recursos, isolamento entre clientes (cada cliente é executado como um processo isolado) e os mesmos padrões de cifra e segurança

Todos os planos incluem – cifra no momento da introdução, armazenamento apenas cifrado, decifra apenas em memória (os dados nunca são escritos em disco em texto simples), limpeza automática de dados segundo um calendário de retenção fixo e monitorização com alertas automáticos

Continuidade do negócio — Contingency

Se um servidor falhar, a sua automatização não fica à nossa espera:

Cópias de segurança externas cifradas – os seus dados são cifrados com AES-256 antes de saírem do nosso servidor. O armazenamento das cópias só vê dados cifrados e a chave nunca sai dos nossos servidores. Cada cópia é relida byte a byte após o envio.

Restauro testado todas as semanas – todas as semanas, outro servidor descarrega e decifra a cópia mais recente para provar que pode mesmo ser restaurada.

Transferência automática – os nossos servidores confirmam a cada minuto que continuam responsáveis pela sua conta. Se o servidor que executa a sua automatização deixar de responder, outro servidor do nosso cluster assume a sua conta a partir da cópia mais recente. O servidor avariado é bloqueado, pelo que a sua conta nunca é executada duas vezes. Quando o servidor original volta a estar operacional, a sua conta regressa automaticamente durante a noite.

A sua caixa de correio é a fila – o e-mail que chega durante uma falha aguarda na sua caixa de entrada e é processado após a transferência. Os dados já escritos no seu ERP permanecem lá.

← Deslize horizontalmente para ver todas as colunas →

Contingency	Enterprise & Business	Outros planos pagos
Cópia de segurança cifrada	De hora a hora, tokens de início de sessão a cada alteração	Diária
De volta online após uma falha do servidor	Em cerca de 10 minutos	Em cerca de 2 horas
Histórico de processamento perdido, no máximo	1 hora	24 horas

Atualmente, os nossos servidores funcionam num único centro de dados, com as cópias de segurança num fornecedor separado; estão a ser adicionados mais servidores e localizações.

“Trabalhamos com o BOTS4.me há mais de dois anos, processando milhares de e-mails e transações. Em todo esse tempo, não sofremos um único incidente de segurança nem uma interrupção do serviço. O seu compromisso com a proteção de dados e com um serviço fiável tem sido constante desde o primeiro dia.”

Miroslav Petras

Diretor-geral, IMP Kontakt

💼 Startup em crescimento, padrões profissionais

Somos uma startup em crescimento, empenhada em práticas de segurança de nível profissional. Embora estejamos a trabalhar para obter certificações formais (SOC 2, ISO 27001), já construímos a nossa plataforma em torno das práticas de segurança essenciais que essas normas destacam. O nosso processamento desencriptado sem escrita em disco, a eliminação automática de dados e a abordagem Secure Quick Connect (OAuth) demonstram o nosso compromisso com a proteção dos seus dados desde o primeiro dia.

Construído sobre uma base de confiança

Compreendemos que a automatização exige acesso a sistemas empresariais críticos. É por isso que investimos fortemente em infraestrutura e práticas de segurança que protegem os seus dados, permitindo ao mesmo tempo uma automatização poderosa. Vamos conversar sobre como as nossas medidas de segurança se alinham com os requisitos da sua empresa.

Se ainda tiver dúvidas, pergunte-nos.