Como cuidamos dos documentos da sua empresa

Quem vê o quê

• Três papéis. Administrador vê tudo; consultor vê as empresas que atende; cliente vê só a própria empresa, consulta e envia documentos.
• Conferido no servidor, em cada pedido. A permissão não depende de esconder botão na tela: cada consulta, download, pacote .zip e kit em PDF passa pela checagem da empresa.
• O que não é seu não aparece. Pedir um registro de outra empresa devolve "não encontrado", sem revelar que ele existe.
• Função nova nasce fechada. Se uma função nova esquecer de declarar a permissão, ela fica bloqueada para quem não é administrador até ser revisada.

Senha e sessão

• Senhas guardadas com scrypt, com sal próprio. Nem nós conseguimos ler a sua senha.
• Sessão em cookie protegido (HttpOnly, Secure, SameSite), que vence em 12 horas ou em 2 horas sem uso.
• Depois de tentativas erradas, o login é bloqueado por 15 minutos para aquele e-mail naquele endereço, e para o endereço que insiste em vários e-mails.
• Troca de senha, mudança de papel ou desativação derrubam as sessões abertas na hora.

Trilha de auditoria

O sistema registra quem fez cada ação relevante e quando: cadastro e edição de empresa, envio e troca de documento, geração de pacote, login e tentativas recusadas.

O que o sistema não guarda

• Certificado digital: não guardamos. A autorização de acesso ao e-CAC, quando necessária, é feita pela própria empresa.
• Senha de portal de compras: não guardamos. O sistema não entra no portal nem dá lance.
• Captcha: não contornamos. A emissão de certidões abre a página oficial e quem resolve o captcha é a pessoa.

Inteligência artificial

A leitura do edital funciona por regras, sem IA. Se a sua empresa ligar a IA, ela recebe o texto do edital (documento público) para completar o resumo e responder perguntas. A chave do fornecedor de IA fica só no servidor, nunca na tela, e cada afirmação da IA é conferida contra a página citada.

Infraestrutura e cópias

• HTTPS em todas as páginas, com certificado renovado automaticamente.
• O serviço roda com um usuário de sistema sem privilégio, e as pastas de dados só são acessíveis a ele.
• Cópia de segurança diária do banco de dados, conferida e guardada com retenção.
• Proteção contra pedidos vindos de outros sites e contra abertura do sistema dentro de outra página.

Incidente de segurança

Se acontecer um incidente que possa trazer risco ou dano relevante, comunicamos a empresa afetada e a Autoridade Nacional de Proteção de Dados, como manda o art. 48 da LGPD.

Contato

Dúvida ou suspeita de problema de segurança: contato@raengenhariaespecial.com.br.