Segurança
Como protegemos seus dados
Segurança em Visão Geral
- 1A retenção zero de documentos minimiza a superfície de ataque
- 2Suas chaves exclusivas protegem seus dados
- 3Rotação automática de chaves após cada execução de processamento
- 4Tecnologia avançada de processamento - algoritmos proprietários, sistemas de sinal e serviços de IA de terceiros certificados SOC 2 Tipo I e Tipo II
- 5Foco na qualidade dos dados - garantindo precisão e qualidade dos dados através de validação em múltiplas camadas
- 6Todos os dados criptografados durante todo o processo
- 7Segurança de zero-knowledge - mesmo que os servidores sejam comprometidos, seus dados permanecem criptografados
- 8Você controla seus dados - armazenados em SEU Google Drive
- 9Uso apenas informativo - análise de precisão de dados, não é conselho financeiro
- 10Conforme GDPR, CCPA, FCRA, ECOA
Arquitetura de Segurança em Primeiro Lugar
Construído para privacidade e segurança
Nenhuma Retenção de Documentos
Seus documentos NÃO são armazenados em nossos servidores. Os documentos são processados em tempo real durante cada execução de processamento, e depois excluídos imediatamente. Isso elimina o maior vetor de ataque: dados de documentos armazenados. Os resultados do processamento são criptografados com suas chaves específicas do cliente e armazenados em seu Google Drive AppData.
Processamento Sem Estado
Cada solicitação API é independente. Nenhum dado de sessão persiste além da solicitação ativa. Superfície de ataque mínima.
Isolamento de Solicitação
Níveis Profissional e Empresarial usam instâncias dedicadas com isolamento de rede para evitar vazamento de dados entre clientes.
Dados em Trânsito
Criptografia HTTPS/TLS
Todas as API requisições e respostas são criptografadas com TLS 1.3. Nenhum tráfego HTTP não criptografado é aceito.
Certificados SSL
Certificados SSL válidos de autoridades certificadoras confiáveis. Renovação automática e monitoramento.
API Segurança
API chaves são transmitidas via cabeçalhos seguros. Limitação de taxa impede abuso e ataques DoS.
Autenticação & Autorização
OAuth 2.0
Google OAuth para autenticação de usuário. Nunca armazenamos senhas. Tokens OAuth criptografados com AES-256.
Sessões Seguras
Cookies de sessão com flags httpOnly e secure. Expiração de 7 dias com atualização automática. Proteção CSRF habilitada.
API Gerenciamento de Chaves
API chaves são hasheadas antes do armazenamento. Rotacione as chaves a qualquer momento a partir do painel. Chaves escopadas para permissões específicas.
Autenticação Multifator
MFA disponível para contas de nível Enterprise. 2FA de conta Google protege todos os logins OAuth.
Dados em Repouso
Arquitetura de criptografia específica do cliente
Documentos
Não armazenado em nossos servidores. Excluído imediatamente após o processamento. Retenção zero de documentos.
Resultados do Processamento
Encriptado com suas chaves específicas do cliente e armazenado em seu Google Drive AppData. Não podemos acessar seus dados encriptados sem suas OAuth permissões.
Chaves de Criptografia
Chaves específicas do cliente armazenadas em YOUR Google Drive AppData. Rotacionadas automaticamente após cada execução de processamento. Chaves antigas descartadas.
Dados da Conta
Email, nome, ID do cliente Stripe armazenados em banco de dados criptografado. Criptografia AES-256 em repouso.
OAuth Tokens
Tokens de atualização Google OAuth criptografados com AES-256 antes do armazenamento. Tokens de acesso mantidos apenas na memória durante operações de sincronização do Drive.
Logs
Logs de erros e métricas de uso não contêm conteúdo do documento. Retidos por no máximo 30 dias. Criptografado em repouso.
Segurança de Terceiros
Stripe (Processamento de Pagamentos)
Certificado PCI DSS Nível 1. Nunca vemos números de cartão de crédito. Apenas IDs de clientes Stripe armazenados.
Google (OAuth & Drive)
OAuth 2.0 com escopos mínimos (drive.file, spreadsheets, drive.appdata). Usuários podem revogar o acesso a qualquer momento via configurações da conta Google. Seus dados criptografados e chaves armazenados em YOUR Google Drive AppData.
Serviços de IA de Terceiros
Usamos algoritmos proprietários e sistemas de sinal para garantir precisão e qualidade dos dados. Serviços de IA de terceiros são certificados SOC 2 Tipo I e Tipo II, contratualmente proibidos de usar seus dados para treinamento, e processam dados de forma efêmera com criptografia em trânsito.
Controles de Acesso
Princípio do Menor Privilégio
Os funcionários têm acesso mínimo necessário para sua função. Nenhum funcionário tem acesso a documentos de clientes (eles não são armazenados).
Registro de Auditoria
Todas as ações administrativas são registradas. Os logs de acesso são revisados regularmente para identificar anomalias.
Separação de Funções
Ambientes de desenvolvimento, staging e produção isolados. Acesso à produção restrito à equipe de operações.
Monitoramento & Resposta a Incidentes
Detecção de Ameaças
Monitoramento automatizado para atividade suspeita, tentativas de login falhadas e abuso API. Alertas em tempo real para eventos de segurança.
Plano de Resposta a Incidentes
Procedimentos documentados para incidentes de segurança. Equipe de resposta em plantão 24/7 para nível Enterprise.
Notificação de Violação
Se ocorrer uma violação de dados, os usuários afetados serão notificados dentro de 72 horas. Conformidade com o GDPR e leis estaduais de notificação de violação.
Conformidade & Certificações
Conformidade com o GDPR
Acordos de processamento de dados disponíveis. Arquitetura de retenção zero simplifica a conformidade. Direito de exclusão automática (excluir conta = excluir dados).
Conformidade com o CCPA
Não vendemos informações pessoais. Residentes da Califórnia têm direitos de acessar e excluir dados.
SOC 2 Tipo II (Roteiro)
Auditoria formal em andamento para nível Enterprise. Práticas atuais alinham-se com os princípios de Segurança, Disponibilidade e Confidencialidade.
Gerenciamento de Vulnerabilidades
Atualizações Regulares
Dependências e infraestrutura corrigidas regularmente. Atualizações de segurança aplicadas dentro de 48 horas após a divulgação.
Testes de Segurança
Testes de penetração regulares e varreduras de vulnerabilidade. Auditorias de segurança de terceiros anualmente.
Divulgação Responsável
Relate vulnerabilidades de segurança a [email protected]. Reconhecemos relatórios em 24 horas e fornecemos atualizações a cada 72 horas.
Suas Responsabilidades de Segurança
Precisa de ajuda?
Precisa de Ajuda com Segurança?
Entre em contato com nossa equipe jurídica e de segurança em [email protected] para divulgações de incidentes ou perguntas de conformidade.
Respondemos em um dia útil.