De quem são os dados do seu restaurante, e o que os protege mesmo

«Os meus dados estão seguros?» são na verdade três perguntas: alguém de fora consegue vê-los, consigo recuperá-los, e alguém consegue provar o que lhes aconteceu. Têm respostas diferentes e merecem ser separadas.

Outro restaurante consegue vê-los?

Este é o ponto que mais importa em software partilhado, e não deve depender de os programadores se lembrarem de filtrar cada consulta.

Cada registo leva a identidade do restaurante a que pertence, e esse filtro aplica-se na camada da base de dados em cada leitura — não é acrescentado à mão em cada consulta. Uma cláusula em falta num relatório não pode vazar as encomendas de outro restaurante, porque a restrição não está no relatório.

Por cima está o próprio acesso. O token de um colaborador leva o restaurante a que pertence, e um pedido que chega sem um restaurante identificável é recusado em vez de ser servido à sorte.

Alguém de dentro consegue ver o que não devia?

Esse é outro problema, e responde-se com perfis. Nove níveis de função decidem o que cada ecrã mostra; um gerente de loja fica limitado à sua loja pelo sistema e não por uma instrução; um operador de caixa nunca vê salários.

Por baixo estão as defesas habituais: palavras-passe guardadas como hash, não em texto. Conta bloqueada após cinco tentativas falhadas. Sessões longas que rodam em vez de viverem para sempre e que se podem revogar por dispositivo. Limites de pedidos no acesso, na reposição de palavra-passe, nos pagamentos e nas encomendas, para que nenhum script possa martelar.

Nada disto é exótico. É o mínimo — e a razão de o listar é que «levamos a segurança a sério» não responde a nenhuma pergunta.

Alguém consegue provar o que aconteceu?

Dois registos correm por baixo de tudo: um diário de atividade do que o pessoal fez, e uma pista de auditoria do que mudou — com valores antes e depois, o utilizador e a hora.

É a parte que se subestima até fazer falta. Lançamentos contabilizados são estornados em vez de editados, precisamente para que a história continue legível. Um sistema em que os números do mês passado podem mudar em silêncio é um sistema incapaz de responder com honestidade, por muito seguro que seja.

Consegue tirar os seus dados?

Aqui está o teste honesto da propriedade, e não é uma cláusula de contrato — é um botão.

A carta, os clientes, as encomendas, o stock e os livros são seus. Os relatórios exportam para folha de cálculo e PDF, e os dados de base são exportáveis em vez de ficarem presos. A pergunta certa a qualquer fornecedor não é «os meus dados são vossos» — todos dizem que não. É: «mostrem-me a exportação.»

Faça uma segunda já que está: o que acontece a esses dados se deixar de pagar? Um período só de leitura é razoável. A eliminação imediata não é, e convém saber a que está a aceder.

Pedidos de privacidade, do pessoal e de desconhecidos

Na prática aparecem duas obrigações: um colaborador que pergunta o que está guardado sobre si ou pede que seja apagado, e uma pessoa do público que faz o mesmo pedido através do seu site. Ambos são registados como pedidos com um estado, para poderem ser acompanhados até ao fim em vez de viverem na caixa de correio de alguém. Os consentimentos dos colaboradores para tratamento, marketing e análises ficam com data e podem ser retirados.

Se se aplicam a si depende de onde opera. O mecanismo existir significa que a resposta é um processo, não um susto.

Cópias de segurança, ditas com honestidade

As cópias são trabalho do alojador, não uma função que configura. O que deve estabelecer antes de assinar com quem quer que seja — nós incluídos — são três coisas: com que frequência são feitas, durante quanto tempo se guardam, e se alguma vez se testou uma restauro. A terceira é a pergunta que quase ninguém faz e a única que prova as duas primeiras.

As cinco perguntas que vale a pena fazer a qualquer fornecedor

1. Como é que os meus dados estão separados dos dos outros clientes — tecnicamente, não em princípio?
2. Mostrem-me a exportação. Toda, não um relatório-resumo.
3. O que acontece aos meus dados se deixar de pagar, e durante quanto tempo?
4. Conseguem mostrar-me quem mudou um preço no mês passado?
5. Quando foi a última vez que testaram restaurar uma cópia de segurança?

Um fornecedor que responde às cinco com clareza é um fornecedor a quem pode pedir contas depois. Isso, muito mais do que um selo numa página de marketing, é o que «seguro» significa na prática.