Segurança

1. Criptografia

Todo o tráfego trafega cifrado com TLS. Os dados em repouso são cifrados no banco e no armazenamento de arquivos; a informação pessoal de assinantes e leads usa também criptografia de envelope com chaves gerenciadas em um KMS e rotação periódica. O plano Sob medida pode usar chaves próprias.

2. Acesso e autenticação

• Senhas cifradas com Argon2id e verificadas contra listas de senhas vazadas.
• Verificação em duas etapas (TOTP) opcional para todos e desativada por padrão: cada pessoa a ativa em seu perfil, com códigos de backup e chaves de segurança (WebAuthn); o administrador da empresa pode exigi-la por papel ou por usuário.
• Recuperação de senha com código de uso único enviado ao e-mail; sem SMS nem WhatsApp.
• SSO SAML/OIDC no plano Empresa; bloqueio temporário após tentativas falhas e limite de sessões.

3. Isolamento por empresa

Cada empresa vive em seu subdomínio e seus dados são separados no banco com Row Level Security por empresa. As permissões se aplicam por papel e os dados pessoais são mascarados conforme o papel.

4. Auditoria

Os logins, as mudanças de configuração, as publicações de rede e os acessos a dados pessoais ficam em um registro de auditoria imutável, encadeado com hash e verificado diariamente.

5. Backups e continuidade

Backup contínuo do banco de dados, cópias em outra conta e região com retenção imutável de até 12 meses e teste de restauração automatizado todo mês. Metas: RPO menor que 1 hora e RTO menor que 4 horas.

6. Assistente de IA e MCP

O assistente de IA aconselha e não decide: usa ferramentas somente leitura e não recebe dados pessoais. Toda gravação por MCP exige prévia e confirmação de uma pessoa.

7. Incidentes e relatos

Temos um procedimento de resposta a incidentes com severidades e tempos definidos. Se afetar dados pessoais, avisamos os clientes conforme o DPA. Para relatar uma vulnerabilidade de forma responsável escreva para soporte@ultragis.io.