Segurança e Privacidade
O áudio da sua entrevista
nunca vive em nossos servidores.
O SubcueAI é construído nativo, criptografado em trânsito e em repouso, e deliberadamente sem estado em relação ao áudio da sua entrevista. Aqui está exatamente como.
Última atualização: 15 de maio de 2026
Manipulação de áudio
O áudio da entrevista é transcrito na nuvem — e nunca armazenado.
- Capturado localmente: o app macOS / Windows usa ScreenCaptureKit (Mac) e WASAPI loopback (Win) para capturar áudio da sua videochamada. A aplicação de desktop não precisa de extensão de navegador nem de bot de reunião.
- Transmitido para STT: o áudio é transmitido (não armazenado) para um provedor de reconhecimento de fala para transcrição em tempo real. O buffer de áudio é descartado da memória assim que o trecho de transcrição chega.
- Zero persistência no servidor: nunca escrevemos a forma de onda do áudio em disco no nosso backend. R2 / D1 / KV armazenam apenas transcrições e metadados.
- A transcrição é sua para deletar: a exclusão por registro em /dashboard/records apaga imediatamente tanto a transcrição quanto a análise de IA.
Criptografia
Trânsito + em repouso
Em trânsito
TLS 1.3
HTTPS forçado via Cloudflare. HSTS preload com max-age=63072000 (2 anos).
Em repouso
AES-256
Cloudflare R2 (currículos / descrições de vaga / binários de release) usa SSE-256 por padrão.
Autenticação
PBKDF2 + JWT
Hash de senha: PBKDF2 100.000 iterações. Tokens de sessão: JWT assinados com HMAC-SHA256.
Subprocessadores
Quem toca em seus dados
Subcue AI LLC é o controlador de dados. Os seguintes subprocessadores lidam com partes específicas dos dados do cliente sob contrato. Cada entrada lista o que eles veem e onde a infraestrutura está localizada.
| Provedor | Finalidade | Região |
|---|---|---|
| Cloudflare | Hospedagem, CDN, D1 (banco de dados), KV, R2 (armazenamento de objetos), Vectorize (embeddings) | Edge global / EUA-UE |
| OpenAI | Geração de respostas de IA (alternativa configurável) | Estados Unidos |
| Deepgram | Reconhecimento de fala (alternativo) | Estados Unidos |
| ElevenLabs | Reconhecimento de fala (tempo real) | Estados Unidos |
| xAI | Geração de respostas de IA, análise de entrevistas, otimização de currículo, voz e avatares de entrevistas simuladas (Grok) | Estados Unidos |
| Anthropic | Análise de currículo (Claude) | Estados Unidos |
| Stripe | Processamento de pagamentos, faturamento e cálculo de imposto sobre vendas (Stripe Tax) | Estados Unidos |
| Apple | Compras dentro do app da App Store (usuários iOS/macOS) | Estados Unidos |
| Resend | E-mail transacional (verificação, recibos) | Estados Unidos |
| Google Analytics | Análise web — métricas de uso anonimizadas (IP mascarado) | Estados Unidos |
Atualizações desta lista são anunciadas nas revisões dos Termos de Serviço.
Acesso e autenticação
Tokens, sessões, revogação
- Tokens de acesso JWT, TTL de 1 hora.
- Tokens de refresh armazenados em cookies HttpOnly Secure SameSite=Lax, hasheados no lado do servidor antes do armazenamento.
- Lista de revogação no lado do servidor — logout invalida tokens imediatamente em todos os dispositivos.
- Fluxos OAuth (Google / Apple) ocorrem servidor-a-servidor; tokens de acesso nunca chegam ao JavaScript do navegador.
- O app desktop usa o protocolo customizado subcue:// com troca de auth code de uso único — mesmo modelo de segurança que fluxos OAuth nativos macOS / Windows.
Cabeçalhos de segurança HTTP
O que cada resposta carrega
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload X-Frame-Options: DENY X-Content-Type-Options: nosniff Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=() Content-Security-Policy-Report-Only: ...
Conformidade
Regulamentações regionais
GDPR (UE / EEE / Reino Unido)
Processamos dados pessoais da UE sob bases legais incluindo consentimento, execução de contrato e interesses legítimos. Os direitos dos titulares (acesso, retificação, exclusão, portabilidade) são respeitados — envie sua solicitação para contact@subcueai.com.
CCPA (Califórnia)
Residentes da Califórnia têm o direito de saber, deletar e recusar venda de dados. Não vendemos dados pessoais. Envie solicitações CCPA para o mesmo endereço que GDPR.
Retenção de dados
O que guardamos, por quanto tempo
- Dados de conta: retidos enquanto sua conta estiver ativa.
- Transcrições de entrevista: retidas até você deletar o registro. Exclusão por registro disponível em /dashboard/records.
- Formas de onda de áudio: nunca persistidas.
- Exclusão de conta: todos os dados pessoais apagados em 30 dias. Estatísticas agregadas anonimizadas (ex. total de entrevistas assistidas) retidas indefinidamente.
- Eventos de telemetria: retidos por 90 dias por padrão (configurável em admin), depois purgados automaticamente por cron diário.
Divulgação responsável
Encontrou uma vulnerabilidade?
Envie um e-mail para contact@subcueai.com com assunto [SECURITY]. Comprometemo-nos a:
- Confirmar recebimento em até 48 horas.
- Fornecer atualização de triagem em até 5 dias úteis.
- Seguir uma linha do tempo de divulgação responsável de 90 dias antes de discussão pública.
- Creditar os relatores publicamente (com consentimento) após resolução do problema.
Fora do escopo: engenharia social, ataques físicos, ataques a subprocessadores terceirizados.
Dúvidas sobre esta página? Envie e-mail para contact@subcueai.com.
Veja também: Política de Privacidade · Termos de Serviço