Segurança, privacidade e RGPD
O que protege o seu correio, de quem, e o que fica de fora.
Cifragem em trânsito
Cada porta a que os programas de correio se ligam exige cifragem. Um programa configurado sem cifragem não se autentica: o servidor recusa a palavra-passe antes de a receber.
- Versões aceites: TLS 1.2 e TLS 1.3. As versões anteriores são recusadas.
- IMAP: porta 993 com TLS, ou 143 com STARTTLS. POP3: porta 995 com TLS, ou 110 com STARTTLS.
- Envio (SMTP): porta 465 com TLS, ou 587 com STARTTLS obrigatório. A autenticação só é oferecida no canal já cifrado.
- Entre servidores de correio (porta 25): STARTTLS sempre que o outro servidor o ofereça, com as mesmas versões de TLS.
Cifragem em repouso, uma chave por caixa
Cada caixa tem o seu próprio par de chaves, guardado cifrado e independente da palavra-passe da pessoa: mudar ou repor uma palavra-passe não torna o correio ilegível.
Uma cópia da base de dados, um disco ou um arquivo de cópia de segurança, por si só, não abrem nenhuma caixa.
| Quem dispõe de… | Lê o correio? |
|---|---|
| uma cópia da base de dados, apenas | Não |
| os discos ou os arquivos de cópia de segurança, apenas | Não |
| as credenciais de uma pessoa | Sim, dessa caixa |
O que o fornecedor vê
O que vemos
- O estado do sistema e os registos do sistema.
- Os mesmos dados de administração que você vê: pessoas, caixas, quotas, resultados de entrega.
O que não fazemos
- Usar o conteúdo do seu correio para publicidade ou para fins próprios.
- Treinar sistemas com o seu correio, à parte o filtro antispam do seu domínio.
- Guardar assunto e texto das mensagens no registo de entregas.
- Colocar no site cookies, píxeis ou scripts de terceiros.
Separação entre clientes
A fronteira entre uma organização e outra é imposta pela base de dados, com políticas de segurança ao nível da linha, e vigiada por testes automáticos.
- Quem administra o seu domínio vê pessoas, caixas e quotas, não o conteúdo das caixas.
- Para ler a caixa de outra pessoa é precisa uma delegação, que fica registada.
Acesso
- Segundo fator disponível no webmail e no painel, com um código temporal.
- Palavras-passe com pelo menos 12 caracteres, diferentes das três últimas.
- Sessões web que expiram após 30 minutos de inatividade e, em qualquer caso, ao fim de 10 horas.
- Uma palavra-passe de aplicação por dispositivo, revogável uma a uma: se perder o telemóvel, as outras continuam a funcionar.
- O remetente tem de coincidir com a caixa autenticada, salvo delegação de envio.
Antispam e antivírus
Cada mensagem passa pelo filtro antispam rspamd e pelo antivírus ClamAV, em duas instâncias: se uma não responder, trabalha a outra. Uma mensagem com vírus é recusada. Se o filtro não responder, o correio não passa sem verificação: é adiado e o servidor remetente volta a tentar.
Limites de envio impedem que uma caixa comprometida envie spam em seu nome durante horas.
Cópias de segurança
Uma cópia por dia e por cliente, cifrada e assinada, guardada fora das instalações durante sete dias. A chave que decifra as cópias não está no sistema.
Quando uma caixa é removida
A chave é apagada juntamente com a caixa: as mensagens tornam-se ilegíveis para sempre, também nas cópias de segurança. O painel pede um consentimento explícito antes de avançar. Para conservar o correio de quem deixa a organização, suspende-se a caixa: a suspensão não apaga nada.
Onde estão os dados
Caixas e cópias de segurança estão em servidores na Alemanha e na Finlândia, na União Europeia.
RGPD: papéis e acordo de tratamento de dados
No serviço pago, a sua organização é responsável pelo tratamento dos dados nas suas caixas; nós somos subcontratantes e tratamo-los por conta dela, segundo as suas instruções (art. 28.º do RGPD).
O acordo de tratamento de dados (DPA) está disponível mediante pedido para privacy@mailpod.app, antes da subscrição.
- Subcontratante ulterior para os dados das caixas: Hetzner Online GmbH, Alemanha, que aloja a infraestrutura. É a mesma lista da página de privacidade.