Segurança

Uma instalação por consultoria

Cada consultoria roda numa instalação própria: banco de dados, autenticação e arquivos separados. Nenhum dado de uma consultoria passa pelo sistema de outra. Dentro da instalação, cada cliente da consultoria só vê o que é dele.

Quem vê o quê é decidido no banco

Toda tabela tem Row Level Security: a regra de quem pode ler ou alterar cada linha fica no próprio banco de dados, não só na tela. Um cliente pede a lista de chamados e o banco devolve apenas os da empresa dele — mesmo que alguém tente chamar a interface de dados diretamente. Temos 52 cenários automatizados só para isso, rodados a cada mudança.

Acesso só por convite

• Ninguém cria conta sozinho. Uma pessoa entra quando alguém da consultoria a convida, e o convite vale por tempo limitado.
• O time da consultoria só entra com e-mail do domínio da consultoria; o cliente, com o e-mail cadastrado pela empresa dele. A verificação compara o domínio inteiro, nunca “contém”.
• Senhas nunca passam pelo produto: ficam no serviço de autenticação, em formato irreversível. Recuperação por link de uso único.
• Tentativas de login são limitadas por e-mail e por endereço; excessos ficam registrados.

Segundo fator (2FA)

Qualquer pessoa pode ativar um aplicativo autenticador (Google Authenticator, Microsoft Authenticator, 1Password, Authy) em Meu perfil. A administração pode exigir o segundo fator de todo o time. Com o fator ativo, uma sessão que ainda não digitou o código não lê nada do banco — a exigência vale na camada de dados, não só na tela de login.

Permissões por função

Administrador, líder, analista, gestor do cliente e usuário do cliente têm alcances diferentes, e a administração ajusta conjuntos de permissões finos (quem homologa, quem lança horas, quem vê o financeiro). Ninguém altera a própria função.

Registro de tudo

Cada mudança de status, atribuição, comentário, apontamento de horas e homologação fica no histórico do item, que não pode ser editado nem apagado. Eventos de segurança (login recusado, acesso negado, exportação completa, anonimização) ficam numa trilha própria, visível à administração.

Navegador e transporte

• Tudo em HTTPS; cookies de sessão HttpOnly e Secure.
• Content-Security-Policy com nonce por requisição: só scripts do próprio sistema executam; nada de terceiros.
• Textos escritos por usuários (artigos, comentários, diagramas) são escapados ou limpos antes de virar HTML.
• Arquivos anexados ficam num armazenamento privado; cada download passa por uma URL assinada e curta.

Onde os dados ficam

Banco de dados e arquivos na Supabase (região São Paulo, AWS), criptografados em repouso e em trânsito, com backup diário. Aplicação na Vercel (região São Paulo). E-mails transacionais pela Resend. Os recursos de inteligência artificial são opcionais, desligados por padrão, e quando ligados enviam à Anthropic apenas o texto do chamado ou da história em questão — nunca a base inteira — sem uso para treinamento.

Seus dados são seus

• A administração exporta a instalação inteira (CSV e JSON, com anexos) quando quiser, sem pedir a ninguém.
• Cada pessoa baixa os próprios dados em Meu perfil e pode pedir a exclusão; a administração anonimiza o registro, mantendo o histórico do trabalho sem o nome.
• O aceite dos termos e da política de privacidade fica registrado por versão, com data.

O que ainda não temos

Não temos certificação formal (ISO 27001, SOC 2) nem um teste de invasão independente publicado. Quando houver, estará nesta página com a data. Encontrou algo? Escreva para o e-mail no rodapé — respondemos em um dia útil.