§ 01
LGPD-first, não LGPD-friendly
DPO indicado, base legal documentada por finalidade, registro de operações de tratamento. Direitos do titular (acesso, retificação, exclusão, portabilidade) atendidos em até 15 dias.
Postura técnica · documento vivorev · 2026.05
Segurança escrita pra ser lida — não pra constar.
Sem páginas genéricas. Aqui está exatamente como protegemos seus dados, com quais ferramentas, em qual jurisdição, e onde ainda estamos em obras. Quando algo mudar — atualizamos aqui antes de qualquer email.
LGPD · primeira classeSOC 2 Type II · em cursoISO 27001 · em curso
§ 01 · Postura
Três pilares
Dado de cliente é responsabilidade fiduciária.
Operamos como se cada registro fosse próprio. Não vendemos, não treinamos modelo terceiro, não enviamos para fora da região contratada. Acesso interno mínimo, auditado, removido na saída do colaborador no mesmo dia.
§ 02
Princípio do menor privilégio
Cada role do produto vê só o que precisa. Internamente, acesso à infra é JIT (just-in-time) com aprovação dupla — sem chaves de prod no laptop de ninguém.
§ 03
Soberania de dados
Postgres na região BR (Supabase). Edge cache só carrega payloads não-sensíveis. Sem replicação automática pra fora do Brasil sem contrato adicional escrito.
§ 02 · Arquitetura
Defesa em camadas
Cada camada com seu próprio cerco.
Database
Postgres 16 · RLS por tenant
Row Level Security ativada no DB. set_config("app.tenant_id", $, true) no início de cada transação. Sem ORM mágico — política é verificável em SQL.
Criptografia
TLS 1.3 + AES-256-GCM
Em trânsito: TLS 1.3 obrigatório, HSTS 2 anos, certificados via Let’s Encrypt rotativos. Em repouso: AES-256-GCM, chaves gerenciadas pelo provedor com rotação anual.
Runtime
Cloudflare Workers · edge isolado
Isolates V8 por requisição. Sem persistência entre invocações. Bindings escopados por ambiente. Subrequests outbound auditados em log estruturado.
Gateway
Cloudflare WAF · Bot Management
Rate limiting por IP+token, regras OWASP top-10 ativas, bot management na borda. DDoS Layer 3/4/7 incluso por padrão do provedor.
Telemetria
OTel · Sentry · CF Analytics
Cada chamada vira span. PII filtrado no client antes de chegar no Sentry. Retenção 90 dias para logs operacionais, 365 dias para audit trail.
Segredos
Bindings · sem .env em prod
Workers Secrets para tokens e chaves. Rotação trimestral programada. Acesso ao painel exige MFA + IP allowlist da operação.
§ 03 · Acesso
Identidade & sessão
Login é primeira linha de segurança.
A maioria dos vazamentos não começa na infra — começa em credencial vazada e reuso de senha. Por isso priorizamos SSO + MFA antes de qualquer outra coisa.
SSO · SAML 2.0 / OIDC
disponívelProvedores suportados: Okta, Microsoft Entra ID, Google Workspace, Auth0. Provisionamento via SCIM 2.0 (admin → admin, deactivate → revoke). Setup em horas, não semanas.
MFA obrigatório para admin
disponívelTOTP (Authy, 1Password, Google Authenticator) ativado por padrão para roles admin & manager. Recovery codes únicos, criptografados em repouso. WebAuthn/passkey em roadmap Q3.
Audit log imutável
disponívelToda mudança de estado (ticket, asset, user, role, policy) gera evento com timestamp, ator, IP, payload diff. Append-only no DB, retenção 365 dias, export CSV/JSONL.
RBAC granular · 6 roles built-in
disponívelOwner, admin, manager, agent, agent-junior, viewer. Permissões por resource (tickets, KB, CMDB, settings) e por escopo (todas, próprias, da equipe). Custom roles em roadmap.
Sessão idle timeout configurável
disponívelDefault 8 horas para agente, 1 hora para admin. Refresh token rotativo, invalidação imediata em troca de senha ou revogação SSO.
§ 04 · Operação
RPO · perda máxima de dados
1h
Backups incrementais a cada 1 hora, snapshots diários, retenção 30 dias. Restore point-in-time disponível pelo período inteiro.
RTO · tempo de restauração
4h
Da decisão de restaurar até serviço operacional. Runbook testado trimestralmente, com exercício documentado de DR.
Uptime SLA mensal
99,95%
Status page público com histórico. Crédito automático na fatura em caso de quebra. Sem letras miúdas, sem fórmula obscura.
Resposta a incidente · runbook curto
T+0
Detecção
Alerta automático (uptime, error rate, threat) ou abertura de incidente por cliente. SEV 0/1/2 classificado em 5 minutos.
T+15m
Comunicação
SEV 0/1: status page atualizado, email para owners afetados, canal dedicado. SEV 2: comunicação assíncrona via changelog.
T+1h
Mitigação
Causa raiz identificada ou contornada. Update no status a cada 30 min até resolução. Hotfix com revisão dupla quando aplicável.
T+72h
Post-mortem
Documento público para SEV 0/1: timeline, causa raiz, ações corretivas com data. Sem culpa, com responsabilidade.
§ 05 · Conformidade
Certificação · honesto
Em produto B2B, conformidade leva tempo.
A gente prefere dizer onde estamos do que pendurar selos que ainda não conquistamos. Auditorias em curso são divulgadas com data de início e prazo estimado de fechamento.
LGPD
aderenteBase legal documentada, DPO indicado, processo de DSR (direitos do titular) em 15 dias úteis. Contrato de tratamento de dados disponível sob pedido.
SOC 2 Type II
em cursoEngajamento iniciado em mar/2026 com auditor independente. Janela de observação 6 meses. Fechamento estimado: Q4 2026.
ISO 27001
em cursoGap analysis concluído. ISMS sendo formalizado. Auditoria de certificação prevista para Q1 2027 após maturação dos controles.
Marco Civil + ANPD
aderenteOperação inteira no território nacional. Atendimento a requisições da ANPD via canal único (legal@desksync.com.br) com SLA de 5 dias úteis.
§ 06 · Disclosure
Programa de disclosure responsável
Achou algo errado? A gente quer saber.
Pesquisadores de segurança são bem-vindos. Reporte qualquer suspeita de vulnerabilidade direto no canal abaixo — sem fricção, sem advogado no meio. Não acionamos legal contra disclosure de boa-fé.
Canal principal
security@desksync.com.br
Resposta inicial em 24h úteis
O que esperamos no reporte
- Descrição clara da vulnerabilidade, com passo-a-passo de reprodução.
- Impacto estimado (confidencialidade, integridade, disponibilidade).
- Sem dump de dados de outros clientes. Use sua própria conta para validar.
Chave PGP para reportes sensíveis: publicação prevista para Q3 · 2026.
último parágrafo
Qualquer dúvida sobre postura de segurança, fala com o time.
Time, contrato de tratamento, DPA, sub-processadores, certificados em curso — qualquer documento que você precise pro seu jurídico, mandamos no mesmo dia.