Central de Confiança

Identidade e acesso

• SSO via SAML 2.0 / OIDC (Enterprise e Private)
• MFA obrigatório em todos os planos
• RBAC granular por unidade e módulo
• Sessões com expiração configurável

Dados em repouso e em trânsito

• TLS 1.3 em todas as conexões
• AES-256 em repouso (AWS KMS)
• BYO-KMS disponível no Private
• Backups criptografados com retenção de 30 dias

IA e modelos de linguagem

• Prompts versionados e auditáveis
• Sem uso de dados de clientes para treino de modelos
• Processamento em regiões configuráveis
• Resposta humana obrigatória em decisões materiais

Trilha de auditoria

• Log append-only com hash encadeado
• Exportação estruturada em minutos
• Registro de todas as ações materiais do usuário
• Retenção mínima de cinco anos

Resposta a incidente

• Plano de resposta documentado
• Notificação a clientes em 48 horas
• Comunicação à ANPD quando aplicável (art. 48 LGPD)
• Histórico público de incidentes

Desenvolvimento seguro

• SAST e DAST em CI/CD
• Pentests anuais por terceiro independente
• Dependency scanning automatizado
• Política de divulgação responsável (security.txt)

LGPD

Lei 13.709/2018 — Base legal de tudo que fazemos

Art. 11 (tratamentos sensíveis), Art. 46 (segurança), Art. 48 (incidentes)

ISO 27001 / 27701

SGSI e gestão de privacidade

Mapeamento de controles no módulo Certificações & Frameworks

ISO 27799

Segurança da informação em saúde

Controles específicos para PHI (Protected Health Information)

NIST CSF 2.0

Framework de cibersegurança

Funções: Identificar, Proteger, Detectar, Responder, Recuperar

CIS Controls v8

Controles críticos de segurança

IG1, IG2, IG3 mapeados por porte da operação

HIPAA / GDPR

Operações internacionais

Suporte a clientes com operações nos EUA ou na UE