O que fazemos para proteger sua conta e seus apps, e o que ainda não temos. Cada ponto foi verificado no nosso código ou nos nossos textos legais em 3 de novembro de 2026. Para dados pessoais, a política de privacidade continua sendo a referência.
O que chega até nós
- Recebemos o endereço do seu site, não o código-fonte.
- Um app carrega seu site diretamente. As páginas que seus usuários abrem e o que eles digitam não passam pelos nossos servidores.
- Os dados do cartão ficam na Stripe e nunca chegam aos nossos servidores.
Quem acessa seus dados
- A segurança em nível de linha (RLS) está ativa em todas as tabelas do nosso banco de dados. Uma conta conectada só acessa os próprios projetos, builds e conexões.
- Nossas funções de servidor verificam quem chama e de quem é o projeto.
- Os arquivos de build e as chaves de assinatura ficam em armazenamento privado. Um link de download só é entregue à conta dona do build.
- Imagens e páginas legais feitas para serem públicas, como o ícone do seu app, ficam em armazenamento público.
- Cada build Android roda em um contêiner próprio, removido ao final do build.
- Nossos servidores só aceitam chaves SSH, nunca uma senha.
Criptografia
- Todo o tráfego para saastostore.com usa HTTPS, com HSTS.
- A chave de assinatura do seu app é criptografada com AES-256-GCM, com uma chave derivada para a sua conta.
- A senha dela é filtrada dos nossos registros e chega até você somente por e-mail.
- O build de teste é assinado com uma chave descartável que não guardamos.
- Se você nos deixar publicar por você, as credenciais que você nos confia são criptografadas com AES-256-GCM e descriptografadas somente para a publicação.
Login e sessões
- O login usa o Supabase Auth: não guardamos as senhas nós mesmos.
- Sair fecha somente este navegador. Sair de todos os lugares, na página da conta, fecha todas as sessões.
- Uma sessão fechada não pode mais alterar seus projetos, mesmo antes de o token expirar.
Agentes de IA
Um agente de IA se conecta pelo conector MCP, depois que você o aprova em uma página de consentimento.
- Ele pode verificar uma URL, criar seu app e iniciar um build. Um build iniciado por ele conta no seu plano como qualquer outro build.
- Ele não pode pagar, publicar, excluir nem alterar suas conexões. Só pode preparar um link de pagamento, que você mesmo abre.
- Esses limites são aplicados nas nossas funções de servidor e de novo no banco de dados, não só no conector.
- Sair de todos os lugares também desconecta os agentes.
Pagamentos
Os pagamentos passam pela Stripe, cuja plataforma tem certificação PCI-DSS Nível 1. Essa certificação é da Stripe, não nossa. Guardamos os registros de pagamento para a contabilidade, nunca os dados do cartão.
Suboperadores
Os principais fornecedores que tratam dados para o SaasToStore:
| Fornecedor | Uso | Localização |
|---|---|---|
| Supabase | Banco de dados, login, armazenamento de arquivos, funções de servidor | União Europeia |
| Ionos | Servidores de build, e-mails de login | Alemanha |
| Cloudflare | Hospedagem e entrega do site | Rede mundial |
| GitHub | Builds iOS e desktop | Estados Unidos |
| Stripe | Pagamentos | Estados Unidos |
| Resend | E-mails transacionais | Estados Unidos |
| Anthropic | Textos com IA e assistente de configuração | Estados Unidos |
| Google Gemini | Imagens com IA | Estados Unidos |
| Browserless | Capturas do seu site | Estados Unidos |
| Google Firebase | Notificações dos apps | Estados Unidos |
| PWABuilder (Microsoft) | Pacotes do Windows | Estados Unidos |
As transferências para fora da União Europeia se baseiam nas cláusulas contratuais padrão da Comissão Europeia e, quando o fornecedor é certificado, no Data Privacy Framework UE-EUA.
GDPR e seus direitos
- O SaasToStore é operado pela Méga Joule, na França, controladora dos dados.
- Você pode pedir acesso, correção, exclusão ou exportação dos seus dados em hello@saastostore.com. Respondemos em até 30 dias.
- Você também pode reclamar à CNIL, a autoridade francesa de proteção de dados.
- Não vendemos seus dados nem os usamos para treinar modelos de IA.
- Se uma violação colocar seus direitos em risco, avisamos a autoridade em até 72 horas, e você sem demora injustificada.
Excluir sua conta
Abra Conta, escolha Excluir minha conta, digite seu e-mail para confirmar e escolha Excluir definitivamente. A exclusão é recusada enquanto houver um build em andamento.
- Seus projetos, builds, arquivos e chaves de assinatura são excluídos. Todos os dados pessoais são apagados em até 30 dias, exceto o que a lei nos obriga a guardar.
- Os registros de pagamento são guardados por 10 anos, como exige a lei contábil francesa, sem vínculo com a sua conta.
- Um app já publicado continua no store, e não podemos mais gerar as atualizações dele.
Relatar um problema de segurança
Escreva para hello@saastostore.com com os passos para reproduzir o problema. Lemos cada relato. Não temos um programa de bug bounty pago.