Segurança & LGPD

Arquitetura zero-trust, criptografia end-to-end e conformidade total com a Lei Geral de Proteção de Dados (LGPD).

Isolamento Multi-Tenant (RLS)

Todos os dados são isolados em nível de banco de dados via Row Level Security (RLS) no PostgreSQL (Supabase). Nenhuma query pode acessar dados de outro tenant — mesmo em caso de bug na aplicação.

-- Exemplo de política RLS

CREATE POLICY "tenant_isolation" ON audit_transactions

USING (tenant_id = auth.jwt()->>'tenant_id');

  • Política aplicada em todas as 50+ tabelas de dados
  • Auditoria periódica de políticas RLS (ver runbook ops)
  • Testes automatizados de cross-tenant isolation em CI/CD

Criptografia

Em trânsito
TLS 1.3 em todas as conexões. HSTS ativado. Certificados gerenciados pela Cloudflare.
At rest (dados)
AES-256 no nível do storage (Supabase/AWS). Chaves rotacionadas anualmente.
Certificados digitais
Arquivos .pfx (certificados A1) são criptografados com chave por-tenant antes do armazenamento.
Tokens de acesso
Tokens bancários (Pluggy) são armazenados no vault Supabase Vault, nunca em colunas de tabela.
Backups
Backups diários criptografados com chave separada, retidos por 30 dias.

Conformidade LGPD

O Audit.me foi projetado para conformidade com a LGPD (Lei 13.709/2018):

Base legal de tratamento

Dados tratados com base em execução de contrato (Art. 7º, V) e legítimo interesse para prevenção de fraude (Art. 7º, IX).

Consentimento granular

Cada fonte conectada requer consentimento explícito. Revogação imediata disponível em Configurações → Privacidade.

Portabilidade

Exporte todos os dados do tenant em JSON/CSV via Configurações → Exportar Dados. Entrega em até 72 horas.

Direito ao esquecimento

Exclusão completa do tenant em 30 dias após cancelamento. Backups anonimizados são mantidos por 90 dias por obrigação legal.

DPO

Encarregado de Proteção de Dados: dpo@audit.me

Trilha de Auditoria

Toda ação no sistema é registrada na tabela audit_logs com imutabilidade garantida:

  • Usuário, timestamp, IP e ação registrados para cada operação
  • Logs são append-only — nenhum registro pode ser alterado ou excluído
  • Retenção mínima de 5 anos (configurável para 10 anos em Enterprise)
  • Exportação disponível para auditores externos em formato JSON assinado

Certificações — Roadmap

SOC 2 Type I
Em progressoQ3 2026
ISO 27001
PlanejadoQ1 2027
LGPD Compliance Certificate (ANPD)
DisponívelConcluído
PCI DSS SAQ A
Em progressoQ4 2026

Relatório de segurança completo disponível para Enterprise sob NDA. Contato: security@audit.me