Trust Center
Segurança de dados no Portal do Cliente
O Portal do Cliente processa documentos contábeis, fiscais e estratégicos de empresas em recuperação judicial. Sabemos que a confiança está nesses dados — abaixo detalhamos os controles que mantemos para proteger o sigilo profissional (Art. 34 da Lei 8.906/94) e a conformidade com a LGPD (Lei 13.709/2018).
Controles técnicos
- Criptografia em trânsito e em repouso.HTTPS obrigatório via Vercel Edge Network, com HSTS de 2 anos, preload e Content Security Policy com nonce por requisição. Banco de dados Supabase com criptografia em repouso mantida pela infraestrutura do provedor. Buckets de upload privados, com acesso por URL assinada de curta duração e validação de tipo, tamanho e estrutura do arquivo no envio; a verificação de malware está em implantação, com bloqueio automático de qualquer arquivo sinalizado como infectado.
- Autenticação reforçada.Supabase Auth com senhas hasheadas via bcrypt, sessão rotativa e autenticação em dois fatores (TOTP) disponível para clientes e administradores. A exigência de segundo fator para administradores está em implantação.
- Segregação por Row-Level Security (RLS).Todas as tabelas de dados de cliente têm políticas de Row-Level Security no Postgres, aplicadas às consultas feitas com a sessão do usuário e que isolam um cliente do outro. Operações administrativas e de pipeline usam credencial de serviço, controlada por verificação de papel, vínculo por cliente e autenticação em dois fatores na aplicação.
- Classificação por IA com revisão humana (HITL).O modelo generativo que pré-classifica documentos nunca toma decisões automáticas sobre arquivamento final — toda entrega depende de confirmação do cliente e da equipe.
- Relatórios personalizados.Nos relatórios sob medida (Tese Central), os dados permanecem no servidor e o navegador recebe apenas o conteúdo autorizado para a sessão. Uma verificação automática executada no build impede que esses dados sejam incluídos em arquivos estáticos.
- Logs de auditoria e limitação de taxa.Eventos sensíveis (login, upload, confirmação, download) ficam registrados em tabelas de auditoria administrativa e financeira, além de monitoramento de erros via Sentry. Limitação de taxa (Upstash, com fallback local) nas interfaces expostas, incluindo APIs autenticadas e o formulário público de diagnóstico.
- Avaliações de segurança independentes.O Portal do Cliente é submetido a avaliações de segurança independentes, incluindo testes de invasão (pentest) e revisão de código, com achados tratados e documentados internamente.
Governança LGPD
- Encarregado de Proteção de Dados (DPO).Contato direto: dpo@carreracampos.com.br.
- Registro de Operações (ROPA).Mantemos inventário atualizado dos tratamentos de dados pessoais e sub-processadores em
docs/ROPA.md. Disponibilizamos a titulares mediante requisição. - Resposta a incidentes.Runbook documentado para notificação à ANPD em até 3 dias úteis (Res. ANPD 15/2024) e comunicação a titulares afetados.
- Retenção e descarte.Documentos de diagnóstico retidos pelo prazo regulatório (10 anos fiscais e 5 anos civis aplicáveis). Descarte seguro mediante solicitação do titular, respeitados deveres legais.
Reporte de vulnerabilidades
Encontrou um problema de segurança no portal ou nos sistemas do escritório? Escreva para seguranca@carreracampos.com.br com o máximo de detalhes. Compromisso de primeira resposta: 2 dias úteis. Agradecemos a divulgação responsável e coordenada.
Documentos e links relacionados
Atualizado em 2026-09-11. OAB/RS 13.568.