Segurança

Processo público pede prova, não promessa

Esta página diz o que a plataforma faz hoje para proteger os dados e a integridade dos atos, limitada ao que dá para conferir. Se o seu controle interno ou a sua TI quiser detalhes, fale com a gente.

Onde os dados ficam

O banco de dados, os arquivos dos processos e a autenticação ficam no Supabase, na região São Paulo (sa-east-1). Quando alguém aciona o assistente de IA, o texto necessário à sugestão vai ao provedor do modelo (Google Gemini) só para gerar a resposta; a decisão continua com o gestor.

Banco PostgreSQL e arquivos na região São Paulo
Conexões só por HTTPS, com HSTS
Senhas guardadas pelo serviço de autenticação apenas como hash, nunca em texto
Arquivos dos processos em repositório privado, nunca em link público

Quem vê o quê

Cada órgão é uma organização isolada. As regras de acesso ficam no próprio banco (Row Level Security): mesmo que uma tela falhasse, o banco não entregaria dado de outro órgão.

Isolamento por organização, conferido pelo banco a cada leitura
Papéis por pessoa: cada um edita só o que lhe compete
Propostas sigilosas até o fim do prazo de recebimento
Portal do proponente separado do ambiente interno do órgão

Integridade dos atos

Cada evento relevante entra numa trilha de auditoria encadeada por hash SHA-256: cada registro carrega o resumo do anterior. Reescrever o passado quebra a corrente, e a verificação de integridade aponta onde.

Trilha append-only: o banco recusa alterar ou apagar evento
Verificação de integridade da trilha a qualquer momento
Documento arquivado com hash SHA-256 do arquivo e versão numerada
Ato formal não se apaga: proposta, ata e decisão só mudam por novo ato motivado

Navegador e aplicação

O site e a plataforma publicam cabeçalhos de segurança que limitam o que o navegador aceita carregar e executar.

Content Security Policy restritiva no site e na plataforma
Proteção contra enquadramento (clickjacking) e contra MIME sniffing
Câmera, microfone e localização bloqueados por política
Monitoramento de erros configurado para não enviar dados pessoais

Dados pessoais (LGPD)

Tratamos só o necessário para o serviço: nome, e-mail, cargo e órgão. O conteúdo dos processos pertence ao órgão usuário, e não vendemos nem compartilhamos dados pessoais para fins comerciais.

Pedidos do titular: privacidade@kinesistech.com.br. Detalhes na Política de Privacidade.

Encontrou uma falha?

Se você identificou uma vulnerabilidade, escreva para contato@kinesistech.com.br com o assunto “Segurança”, descrevendo como reproduzir. Pedimos que não acesse dados de terceiros nem divulgue a falha antes de corrigirmos.

Sua TI quer conferir os detalhes?

Mostramos a trilha de auditoria, a verificação de integridade e o isolamento por organização numa demonstração com a sua equipe.

Agendar demonstração Política de Privacidade