Segurança

Seu arquivo de dados nunca sai do seu navegador.

A analise roda em DuckDB compilado para WebAssembly, no seu computador. O servidor recebe nomes de coluna, tipos e um agregado que voce escolhe enviar — nunca uma linha.

Nosso operador nao ve quem voce e.

O acesso operacional usa uma role sem permissao nas tabelas de identidade — por GRANT do banco, nao por politica que alguem pode mudar.

Ler o conteudo de uma sessao exige motivo registrado, e voce pode ver quem leu.

ler_conteudo_sessao() exige motivo de no minimo 20 caracteres e grava em acesso_conteudo_log. meus_acessos() mostra a voce.

Se sua empresa contratar, ela nao ve sua deliberacao.

O agregado organizacional exige minimo de 5 pessoas por recorte, e 9 temas sao vedados mesmo com k suficiente.

So oferecemos provedor de IA com contrato de tratamento de dados.

O banco RECUSA a escrita de provedor oferecido sem DPA — trigger trg_provedor_exige_dpa, nao verificacao posterior.

Seu conteudo nao e usado para treinar modelo de ninguem.

Registramos a clausula de proibicao de treino em cada DPA. Sem ela, o DPA nao e aceito no sistema.

Voce escolhe qual provedor pensa junto com voce.

9 provedores disponiveis com sua propria chave. Marcado como preferido, ele vem antes do nosso padrao.

Credenciais sao cifradas com chave que nao vive no nosso banco.

AES-256-GCM. A chave mestra existe na maquina do operador e numa variavel de runtime — nunca no banco. Comprometer o banco nao da credencial.

Mantemos copia do banco fora do provedor de hospedagem.

pg_dump periodico para armazenamento independente da conta Supabase.

Se nosso provedor de IA cair, trocamos para outro.

resolver_provider() com ordem de preferencia e verificacao de saude por componente.

Voce leva seu dado quando quiser, sem pedir.

Export em CSV, Parquet, JSON ou SQL, gerado no seu navegador. Nao ha limite nem aprovacao.

Voce apaga tudo, e apagamos de verdade.

anonimizar_referencias_pessoais() percorre todas as tabelas que tocam dado pessoal, incluindo filas e logs.

Se houver incidente com seu dado, avisamos voce.

Protocolo de resposta com prazo definido no D177.

Testamos nossos planos de contingencia periodicamente.

Fire drills registrados com data e resultado.

Tratamos o GDPR como padrão a alcançar, não só a LGPD como piso legal mínimo.

Adotamos por decisão própria os critérios de gatilho de avaliação de risco do art. 35 do GDPR como requisito interno — mesmo onde o art. 38 da LGPD deixa a exigência de RIPD a critério discricionário da ANPD, e não como autoavaliação obrigatória da empresa. RIPD interna em docs/compliance/ripd-polic.md.