> For the complete documentation index, see [llms.txt](https://selenium-4.gitbook.io/nexus-docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://selenium-4.gitbook.io/nexus-docs/help-center/security-and-compliance/overview.md).

# Overview

Protecção de dados, auditoria, requisitos regulatórios e políticas de retenção aplicáveis à integração com o NEXUS.

## Protecção de dados

| Requisito                    | Detalhe                                                                                                                                      |
| ---------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------- |
| HTTPS / TLS                  | Obrigatório TLS 1.2 ou superior em todas as comunicações com as APIs do NEXUS.                                                               |
| Armazenamento de credenciais | `client_id` e `client_secret` geridos via variáveis de ambiente por cliente, nunca em texto plano versionado ou em documentação.             |
| Isolamento por realm         | Cada cliente/ambiente opera dentro do seu próprio `realm`, não sendo possível usar credenciais de um realm noutro.                           |
| Configuração por ambiente    | Hosts, realms e credenciais são geridos por variáveis de ambiente por cliente/ambiente (QA/PRD), nunca fixados no código ou na documentação. |

## Auditoria

* Todas as emissões de `access_token` são registadas em log estruturado persistente, sem registar o valor do token ou do `client_secret`.
* Recomenda-se que os sistemas integradores mantenham o seu próprio registo de auditoria das chamadas efectuadas (endpoint, timestamp, código de resposta), sem persistir dados sensíveis do payload.

## Requisitos regulatórios

Os domínios de serviço do NEXUS seguem o modelo funcional [BIAN](https://bian.org) v14.0.0, o que garante consistência terminológica e de responsabilidades entre domínios para efeitos de auditoria e conformidade regulatória. Requisitos regulatórios específicos por país/cliente (ex.: retenção de dados de pagamentos, KYC) são definidos ao nível do contrato de cliente e não são fixados nesta documentação técnica.

## Políticas de retenção

* Tokens de acesso (`access_token`) são de curta duração e não devem ser persistidos além do necessário para a chamada em curso.
* Dados de negócio expostos pelos domínios de serviço (ex.: posição financeira, dados de parte) devem ser retidos pelo sistema integrador de acordo com a política de retenção contratada com o cliente, não pelo NEXUS.
* Para questões específicas sobre prazos de retenção ou requisitos de conformidade do seu contrato, contacte o suporte.

Para reportar um incidente de segurança (ex.: `client_secret` comprometido), siga o procedimento em [Account & Access → Perda de acesso](/nexus-docs/help-center/account-and-access/overview.md#perda-de-acesso).