Trust & Segurança

Dados em trânsito e em repouso protegidos com algoritmos modernos. Segredos isolados em cofres gerenciados.

• TLS 1.2+ obrigatório— Todo tráfego HTTPS-only via Vercel Edge. HSTS habilitado.
• AES-256-GCM em repouso— O Supabase encripta os volumes do banco nativamente; credenciais de integração, tokens OAuth e certificados de cliente (.pfx/.p12) com senha usam AES-256-GCM em coluna. A chave vive só em variável de ambiente, e um drift detector alerta se ela faltar em algum ambiente.
• Segredos em cofre gerenciado— Vercel Environment Variables encriptadas. Sem segredos em código ou logs.
• Gestão de chaves— Chaves de criptografia de disco gerenciadas pelos provedores de infra (Supabase, Vercel). A chave da aplicação fica em variável de ambiente, nunca no banco; a rotação é manual.
• HMAC SHA-256 em webhooks— Webhooks e eventos entrantes exigem assinatura HMAC SHA-256, comparada em tempo constante. Webhooks saintes são assinados com HMAC SHA-256; a assinatura v2 leva timestamp para o receptor recusar replay (janela de 5 minutos). O secret pode ser regenerado por integração.

Autenticação forte, autorização granular e isolamento entre tenants verificáveis em audit log.

• MFA (TOTP)— TOTP (RFC 6238) disponível para todos os usuários em Configurações. Obrigatório para todos os papéis internos (owner, developer, support, sales) e para o administrador de cada empresa (tenant_admin); quem tem fator cadastrado precisa verificá-lo para acessar a plataforma.
• RBAC granular— Seis papéis: quatro internos (owner, developer, support, sales) e dois por tenant (tenant_admin, tenant_user). Cada um com escopo de acesso definido.
• Separation of duties— No transport DEV→QAS→PRD, quem aprova precisa ser diferente de quem solicitou, regra aplicada pela API. Convite e revogação de papéis internos são exclusivos de owners.
• Row-Level Security— Isolamento multi-tenant aplicado no banco via Supabase RLS. Cada tenant só vê seus próprios dados.
• Audit log— Ações sensíveis (mudança de papel, bloqueio de tenant, transport, configurações de IA e de retenção, entre outras) gravadas com ator, tenant, alvo e timestamp. Só o servidor escreve na tabela.
• Revisão de acesso trimestral— Revisão trimestral definida na política de segurança; a primeira revisão registrada ainda está pendente.

Stack em provedores certificados SOC 2 / ISO 27001, com proteções na camada da aplicação. Backups automáticos e monitoramento automatizado contínuo.

• Vercel (SOC2 Type 2 + ISO 27001)— Hosting + edge network global. DDoS mitigation incluído.
• Supabase (SOC2 Type 2)— Postgres gerenciado com encryption-at-rest e backups diários. Point-in-time recovery (PITR) não está habilitado.
• Backup diário independente + restore testado— Backups gerenciados pelo Supabase e uma cópia independente (pg_dump) do banco central feita todo dia fora do Supabase, no Vercel Blob (as 7 mais recentes; a de domingo fica também em retenção longa, as 16 mais recentes). O banco de cada célula fica só nos backups do Supabase. Restore exercitado em 2026-06-15; restore a partir do snapshot validado em 2026-09-17.
• Sentry para erros + Audit log— Erros agregados no Sentry, com alertas automáticos e verificações agendadas de saúde em produção.
• Plano de resposta a incidentes— Plano documentado com severidades, comunicação e post-mortem. Registro de incidentes com alerta automático do prazo de comunicação à ANPD.
• Proteção contra SSRF— Requisições de saída para URLs informadas pelo cliente resolvem o DNS e bloqueiam endereços privados, loopback, link-local e de metadata de nuvem antes de conectar.
• Rate limit— Endpoints públicos (webhooks, eventos, contato, recuperação de senha) limitados por hash de IP; ações de IA e de admin limitadas por usuário.
• Validação de entrada— Rotas de escrita validam o corpo da requisição com schemas zod antes de tocar o banco.

Coletamos o mínimo necessário, isolamos por tenant, retemos pelo tempo necessário, deletamos sob solicitação.

• Isolamento por tenant— Cada empresa cliente tem seus dados isolados via RLS. Sem cross-tenant leakage.
• Mascaramento de dados pessoais antes da IA— Campos que o catálogo classifica como dados pessoais são mascarados e padrões como CPF, CNPJ, e-mail, telefone, IBAN e cartão são detectados no texto de mensagens, erros e perguntas enviado à IA; valor de campo sem classificação vai só como forma mascarada. A detecção por padrão reduz o risco, mas não é infalível. Anotação, busca de fonte e curadoria do catálogo enviam nomes e descrições de campos sem esse mascaramento.
• DSR · Direito ao esquecimento— DSR export por tenant em ZIP com manifest legal; deleção atende solicitação com audit log granular. Disponível em produção.
• RoPA (Record of Processing Activities)— Rascunho v0.1 mantido no repositório: dado, finalidade, base legal e retenção por operação de tratamento, com revisão trimestral prevista.
• Política de retenção— Limpeza automática: audit log 36 meses, logs técnicos e de uso de IA 12 meses, incidentes de atendimento resolvidos 24 meses, leads 24 meses, erros de aplicação 90 dias. Mensagens das integrações com prazos definidos pela Lefia por empresa e integração, a partir de 23/12/2026 e 30 dias depois do aviso a cada empresa (padrão: conteúdo 90 dias em DEV/QAS e 180 em PRD; mensagem 180 dias e 13 meses; registro de identidade — o registro mínimo do documento — 13 meses e 5 anos, contado da última vez em que a origem enviou o documento; totais da conciliação 13 meses e 5 anos, contados da chegada; o registro de uma integração da qual outra depende, ou que é cadastro da conciliação, fica enquanto essa ligação existir). O que não tem prazo próprio fica enquanto a conta da empresa existir.

Status declarado honestamente. Atualizamos esta seção conforme certificações progridem.

• LGPD (Lei Geral de Proteção de Dados)— LGPD-ready. DPO designado (pessoa jurídica, dpo@lefia.ai), RoPA e modelo de DPA mantidos, exportação e exclusão de dados (DSR) em produção, registro de incidentes com prazo ANPD. Política de privacidade e termos em revisão jurídica.
• SOC 2 Type 1— Planejado. Ainda sem auditoria contratada.
• SOC 2 Type 2— Planejado, depois do Type 1.
• ISO 27001— Em avaliação conforme demanda de mercado.