Segurança

Toda consulta ao banco é filtrada pela organização de quem está pedindo, e essa organização vem da identidade verificada — do login ou da conta de mensageria vinculada —, nunca de um parâmetro enviado pela tela. Não existe endpoint que aceite "me mostre os dados da organização X".

Dentro da organização há um segundo nível: cada pessoa alcança apenas as empresas liberadas para ela. Pedir um recurso fora dessa carteira responde exatamente como se ele não existisse — a diferença entre "não existe" e "existe e você não pode" já é informação, e nós não a entregamos.

Senhas são guardadas com scrypt, algoritmo deliberadamente lento e custoso em memória, e a comparação é feita em tempo constante para não vazar informação pelo relógio. A senha em texto não existe em lugar nenhum — nem em log, nem em backup.

A sessão do painel usa cookie inacessível a JavaScript, o que impede que uma falha de script vire roubo de sessão. Ela expira após 12 horas sem uso, com teto absoluto de 7 dias mesmo em uso contínuo, e pode ser revogada a qualquer momento. Trocar a senha derruba todas as sessões abertas.

Tentativas de login têm limite por conta e por origem. Errar a senha de alguém repetidas vezes bloqueia aquela conta temporariamente — sem afetar mais ninguém.

Antes de emitir, o documento é congelado com uma impressão digital criptográfica. A emissão acontece a partir desse congelado, e a impressão é reconferida no caminho. Se alguma coisa mudar entre a prévia e a assinatura, a emissão para em vez de produzir um documento diferente do que foi aprovado.

O escritório define, por tipo de documento e por empresa, o que precisa de aprovação antes de sair. O que precisa fica parado até alguém decidir, e pedido vencido nunca emite.

Toda emissão e todo acesso a documento deixam registro em uma trilha que só recebe acréscimo — não há caminho no sistema que altere ou apague um registro de auditoria.

A folha não sai daqui. O modelo recebe a empresa da conversa, quantas pessoas estão ativas nela e quais cargos existem — o bastante para ele entender "o da cozinha" sem que nome nenhum precise sair. Quem resolve a que pessoa um pedido se refere é o nosso servidor, não ele. Documentos emitidos e base de dados não são enviados.

A exceção é o que você mesmo escreve: se você digita "advertir o José", esse nome vai junto da sua mensagem, porque a mensagem vai inteira. O que não acontece é a lista de funcionários viajar sem ninguém ter pedido.

A mensagem do usuário vai delimitada como dado, e não como instrução — é o que impede que alguém escreva um comando na conversa e o modelo o obedeça.

Seus dados não treinam modelo nenhum.

O modelo escolhe entre coisas que já existem, e a escolha passa por um portão no servidor antes de virar ação: versão do contrato, ferramenta registrada, argumentos válidos, papel autorizado, confiança suficiente. Autorização nunca é decidida pelo modelo — ele pode escolher uma ferramenta e ainda assim ela não rodar.

Quase todas as ferramentas do assistente são de consulta. Hoje 2 alteram cadastro — cargo e dados de registro — e só existem para a organização que ligou essa permissão; nas demais, o modelo nem enxerga que elas existem. Onde estão ligadas, não executam sozinhas: a alteração é mostrada antes, uma pessoa confirma, e a mudança fica na trilha de auditoria. Criar, excluir e conceder acesso seguem fora do alcance do assistente, e um teste reprova se essa lista mudar sem alguém decidir.

O texto jurídico entregue sai literal do material que o escritório aprovou, conferido por igualdade de string — não é uma instrução no prompt pedindo para não parafrasear. O que o assistente não pode responder vira encaminhamento ao escritório, e a recusa acontece no servidor.

Cada requisição carrega um identificador de correlação, o que permite reconstruir um incidente de ponta a ponta. Nos registros, a organização aparece embaralhada, nunca pelo identificador real, e o conteúdo das mensagens não é registrado. Investigar não deveria exigir ler a conversa de ninguém.

Só conversamos em conversa privada. Cada entrega recebida é verificada por segredo compartilhado com a plataforma, e processada uma única vez mesmo que chegue repetida — o que impede que uma reentrega gere dois documentos.

Nada é revelado antes de a conta ser vinculada. O código de ativação é de uso único, tem validade, e é guardado apenas como resumo criptográfico.

Teste que passa não prova que protege. Por isso, além da suíte comum, mantemos um catálogo de 120 invariantes: uma ferramenta quebra cada regra de propósito, uma de cada vez — remove o filtro de organização, aceita a sessão revogada, emite o pedido vencido — e exige que algum teste reprove. Regra que sobrevive à própria quebra está sem cobertura real, e isso aparece como falha.

É a diferença entre "temos testes" e "sabemos o que os testes seguram". Nenhuma alteração chega a produção sem essa verificação passar.

Não há expurgo automático por prazo: exclusão e exportação são feitas por solicitação, por pessoas. Não temos certificação externa. Não oferecemos ainda autenticação em dois fatores no painel, nem gestão de chave pelo cliente.

Está aqui porque fornecedor que só lista o que faz obriga você a descobrir o resto na implantação — e porque nada disto é segredo: um questionário de segurança perguntaria em quinze minutos.

Escreva para [email protected] com o que você observou e como reproduzir. Respondemos, corrigimos e informamos quem foi afetado, se alguém foi. Não processamos quem reporta de boa-fé.

Para detalhes de tratamento de dados pessoais, veja a Política de Privacidade.