1. Isolamento entre escritórios
Cada conta enxerga apenas os próprios dados. A separação é feita no banco de dados, com Row Level Security do PostgreSQL aplicada em toda tabela relevante — não é filtro de tela.
Filtro de tela é aparência de segurança: quem chama a API direto passa por cima. Regra no banco não.
2. Acesso e identidade
Autenticação gerenciada, com senha de no mínimo 8 caracteres. Convite por e-mail para entrar numa conta existente — não há como se autoincluir num escritório.
Cada usuário tem acesso individual e papel definido. O responsável pela conta concede e revoga.
3. O que fica registrado
Histórico somente-inclusão das ações relevantes: quem fez, o quê e quando. Ninguém apaga esse histórico — nem nós.
Cada documento emitido guarda o instante da emissão, o conteúdo congelado e o hash. Cada assinatura guarda data, hora, origem e método.
4. Criptografia
Todo o tráfego trafega por TLS. Os dados em repouso são cifrados pela infraestrutura do banco.
Segredos de integração e chaves de API vivem apenas em variáveis de ambiente do servidor, nunca no banco e nunca no navegador.
5. O documento emitido não muda
Ao emitir um laudo, a plataforma congela o conteúdo num registro imutável. Atualizar o modelo de cálculo depois não reescreve documento já entregue.
É o que faz o documento valer como prova: o que foi assinado é o que continua lá.
6. Os seus dados são seus
Você exporta a carteira e os documentos pela própria interface, a qualquer momento.
Não usamos conteúdo de conta para treinar modelo, não revendemos e não abrimos para terceiros.
7. O que a nossa equipe enxerga
No dia a dia, a equipe acessa apenas dados de assinatura e o necessário para suporte. Carteira, análises e documentos ficam protegidos pelas mesmas regras de isolamento.
Acesso de suporte a uma conta só acontece a pedido do Assinante, é temporário e fica registrado.
8. Terceiros
Supabase (banco, autenticação, arquivos), Vercel (hospedagem), Asaas (pagamentos), Brevo (e-mail) e a nossa base de dados públicos de CNPJ.
A lista completa, com finalidade de cada um, está na Política de Privacidade. Não usamos provedor de inteligência artificial no processamento da sua carteira.
9. Como publicamos mudanças
Toda publicação passa por compilação e verificação automáticas. Alterações de banco vão em migrações versionadas e idempotentes — que podem rodar duas vezes sem estragar nada.
As regras puras de cálculo têm testes automatizados. Número errado aqui vira número errado em documento assinado por contador: é o erro que não tem conserto.
10. Disponibilidade e backup
Alvo de 99,5% de disponibilidade mensal. Backups automáticos geridos pela infraestrutura do banco, com recuperação a ponto no tempo.
Monitoramento externo independente está no plano, e ainda não está no ar.
11. O que ainda não temos (a lista honesta)
Não temos certificação SOC 2 nem ISO 27001. Não temos teste de intrusão por empresa independente. Não temos autenticação de dois fatores no produto. Não temos SSO. Não temos exclusão de conta em autosserviço — hoje é por e-mail, com resposta em até 5 dias úteis.
Preferimos publicar esta lista a deixar você descobrir depois. Ela encolhe com o tempo, e a data de vigência no topo diz quando foi revista.
12. Encontrou uma falha?
Escreva para seguranca@enquadria.com.br. Respondemos em até 2 dias úteis.
Não tomamos nenhuma medida contra quem reporta de boa-fé e não divulga a falha antes da correção.
Contato. Geral: contato@enquadria.com.br · Privacidade: privacidade@enquadria.com.br · Segurança: seguranca@enquadria.com.br