Segurança da conta, dos dados e das sessões

1. Autenticação em dois fatores (2FA/MFA)

A plataforma oferece autenticação de múltiplos fatores baseada em aplicativo autenticador (TOTP), que gera um código de seis dígitos válido por poucos segundos a cada novo login. Recomendamos fortemente a ativação para todas as contas, e ela é obrigatória para operações sensíveis, como alterar o e-mail cadastrado, gerar novas chaves de API ou solicitar saques para destinos não utilizados anteriormente.

A ativação leva cerca de dois minutos: nas configurações de segurança da conta, escaneie o código QR com o aplicativo de sua preferência e confirme o primeiro código gerado. Guarde o código de recuperação impresso ou anotado em local seguro — ele é a única forma de reaver o acesso caso você perca o dispositivo. O 2FA não é obrigatório para consultar o painel, mas é a medida individual que mais reduz o risco de acesso indevido.

2. Criptografia de dados

Todos os dados trafegam por conexões criptografadas com TLS, e nenhum acesso à plataforma acontece por canais sem cifragem. Em repouso, informações sensíveis — documentos de identificação, dados bancários e chaves — são armazenadas criptografadas nos sistemas responsáveis, com chaves gerenciadas separadamente das bases de dados.

A criptografia cobre três áreas principais: os dados de cadastro e KYC (documentos e fotos enviadas na verificação), os dados de sessão e autenticação, e os registros de operações. O acesso interno a qualquer uma dessas áreas é restrito por função: apenas profissionais especificamente autorizados do time de conformidade e suporte podem visualizar dados de identificação, sempre com registro de auditoria.

3. Proteção contra fraudes e phishing

Nossos domínios oficiais são limitados e publicados nesta página e no rodapé do site. Todas as mensagens da RendaMax Prime são enviadas do domínio oficial e nunca pedem senha, código 2FA ou transferência para conta de terceiros. Para facilitar a conferência, você pode configurar nas configurações da conta um código de segurança pessoal que nossos atendentes informam no início de cada contato ativo — se a pessoa que ligar não souber o código, desligue e nos avise.

Não solicitamos instalção de programas de acesso remoto, não pedimos depósitos em contas de pessoa física e não fazemos cobranças antecipadas para "liberar" saques. Se receber uma mensagem suspeita em nosso nome, não clique em links, encaminhe para [email protected] e consulte o aviso sobre golpes.

4. Notificações de entrada

A cada login de dispositivo não reconhecido, você recebe imediatamente uma notificação por e-mail com data, hora, tipo de dispositivo e localização aproximada. O mesmo vale para eventos sensíveis: alteração de senha, troca de e-mail, criação ou modificação de chaves de API e solicitações de saque.

Se receber um alerta de acesso que não foi você, utilize o botão "não fui eu" disponível na própria notificação ou acesse a gestão de sessões para encerrar todas as conexões ativas e redefinir a senha. Em caso de persistência, nosso time de segurança bloqueia a conta preventivamente e conduz uma verificação de identidade antes da reabertura.

5. Gestão de dispositivos e sessões

No painel de segurança da conta você vê a lista de sessões ativas: navegador ou aplicativo, data do último acesso e endereço de IP. Qualquer sessão pode ser encerrada individualmente, e a opção "encerrar todas as outras sessões" desconecta todos os dispositivos de uma vez — útil se você perdeu um celular ou usou um computador público por engano.

Sessões expiram automaticamente após um período de inatividade, e depois de alterar a senha todos os access tokens existentes são invalidados. Recomendamos revisar a lista de dispositivos periodicamente e deslogar em computadores compartilhados. Login por SMS não é oferecido como fator único justamente por ser mais vulnerável a intercetação de linha.

6. Recuperação de conta

Perdeu o acesso ao e-mail ou ao dispositivo com o autenticador? A recuperação passa obrigatoriamente por verificação de identidade: você será solicitado a enviar um documento oficial com foto e uma selfie atual, e o time de suporte confere as informações antes de restabelecer o acesso. O processo existe para garantir que apenas o titular reobtenha a conta — por isso ninguém da RendaMax Prime pode "agilizar" a recuperação pulando essa checagem.

Após a recuperação, todas as sessões são encerradas, a senha e o 2FA devem ser reconfigurados e você recebe um resumo da atividade recente para conferir se algo estranho aconteceu enquanto o acesso estava indisponível.

7. Permissões de chaves de API

As integrações com corretoras funcionam por chaves de API com escopo definido por você: permissão apenas de leitura (consultar saldo e histórico), permissão de negociação (executar ordens conforme a estratégia configurada) e permissão de saque, que mantém desabilitada por padrão e só deve ser ativada se você tiver necessidade específica.

Cada chave tem apelido, data de criação e último uso visíveis no painel, e pode ser revogada a qualquer momento com efeito imediato. A boa prática que seguimos e recomendamos: uma chave por finalidade, permissão mínima necessária e rotação periódica. Nunca compartilhe suas chaves — nosso time nunca as solicita.

8. Histórico de auditoria

Cada evento relevante da conta gera um registro imutável: logins (bem-sucedidos e falhos), conexões e desconexões de integrações, alterações de estratégia e de configurações, solicitações de saque e contatos com o suporte. Esse histórico fica disponível para você no painel, com data, hora e detalhes do evento.

Além da consulta individual, o histórico serve para investigações: em qualquer reclamação de movimentação não reconhecida, a auditoria é a primeira fonte consultada. Registros são mantidos pelo prazo mínimo previsto nas normas aplicáveis e não podem ser apagados por usuários ou atendentes.

9. Suporte em incidentes

Suspeita de acesso indevido, mensagem suspeita ou movimentação que não reconhece? O canal é o e-mail [email protected] com o assunto "Incidente de segurança". O atendimento funciona atendimento em português, 24 horas por dia, 7 dias por semana, e incidentes de segurança têm prioridade na fila.

O fluxo esperado: (1) confirmação de recebimento em até uma hora útil; (2) bloqueio preventivo da conta quando houver indício de risco, para proteger os fundos; (3) verificação de identidade do titular; (4) investigação com base no histórico de auditoria; (5) conclusão comunicada por escrito, com as medidas adotadas. Durante o processo, você é informado de cada etapa — sem caixa-preta.