Como protegemos seus dados
Atualizado em 15 de outubro de 2026
Guardar a credencial de acesso ao MTR da sua empresa é uma responsabilidade que levamos a sério. Esta página explica, sem rodeios, o que fazemos para proteger esses dados — e também os limites honestos do que é possível.
Modelo de responsabilidade compartilhada
Segurança é uma via de mão dupla: nós protegemos a plataforma; você protege o acesso à sua conta. Fazemos a nossa parte com as medidas abaixo, e contamos com você para usar uma senha forte e não compartilhar seu acesso.
Credenciais cifradas, com chave por empresa
- A senha do MTR é cifrada em repouso com AES-256-GCM. O banco nunca guarda a senha em texto puro.
- Cada empresa tem a sua própria chave (envelope encryption): a chave que abre os dados de uma empresa não abre os de outra. As chaves ficam, por sua vez, cifradas por uma chave-mestra guardada fora do banco.
- A senha nunca é exibida de volta na tela, nunca é enviada ao navegador e nunca aparece em logs.
O ponto honesto sobre acesso
A plataforma faz login no INEA no seu lugar, todos os dias. Para isso, o sistema precisa, no momento do acesso, usar a sua credencial. Portanto, seria desonesto prometer que “é tecnicamente impossível acessá-la”. O que garantimos é diferente e verificável: a credencial é usada só pela automação, apenas para importar os seus dados, e cada uso é registrado numa trilha de auditoria com data, hora e contexto. Não há tela nem caminho pelo qual uma pessoa a leia em texto puro.
Isolamento entre empresas
Toda consulta ao banco é filtrada pela identidade da sua empresa. Uma empresa não enxerga, baixa ou exporta dados de outra — nem por engano de URL.
Tráfego e infraestrutura
- Todo o tráfego é por HTTPS, com HSTS (o navegador é instruído a nunca usar conexão insegura).
- Cabeçalhos de segurança contra clickjacking e detecção indevida de conteúdo.
- Limitação de tentativas de login para conter ataques de força bruta, com registro de tentativas suspeitas.
Auditoria
Registramos eventos sensíveis — logins, uso de credencial, cadastro e alteração de acessos — de forma que seja possível reconstruir quem fez o quê e quando. Esses registros nunca contêm o segredo em si.
Prestadores que nos apoiam
Operamos sobre provedores reconhecidos, sob contrato, listados na Política de Privacidade:
- Vercel — hospedagem da aplicação.
- Supabase — banco de dados e arquivos.
- Resend — envio de e-mails transacionais e alertas.
- Stripe — processamento de pagamentos da assinatura.
- OpenAI — leitura automática de certificados do PEAT, quando ligada pela empresa (sem uso dos dados para treinar modelos).
O que estamos evoluindo
Segurança é contínua. Estamos evoluindo para guardar a chave-mestra em um cofre gerenciado dedicado (KMS), formalizar o plano de resposta a incidentes e, conforme crescermos, buscar certificações de mercado. Somos transparentes sobre onde estamos.
Fale com a gente
Encontrou algo ou tem uma dúvida de segurança? Escreva para privacidade@down2earth.com.