Segurança
Como tratamos o que você nos confia
O Fisconect guarda senhas de portais, certificados e documentos dos seus clientes. Aqui está o que fazemos com isso, e o que não prometemos. Sem selo e sem exagero.
Isolamento entre escritórios
- Toda tabela com dados de escritório tem o identificador da organização e uma política de segurança por linha (RLS) no PostgreSQL.
- A aplicação conecta com um papel sem privilégio de ignorar essas políticas. Sem o contexto do escritório, nenhuma linha aparece.
- Arquivos são guardados em um caminho próprio de cada escritório. Coletas e sessões de navegador do robô de um escritório não são alcançáveis por outro.
Credenciais e certificados
- Senhas da SEFAZ, certificados A1 e chaves de integração são cifrados em repouso com AES-256-GCM.
- Eles são decifrados apenas no servidor, no momento do uso. O navegador só recebe valores mascarados, inclusive em sessões de suporte.
- São usados somente para as coletas e os testes de conexão que você pede. Nunca para assinar documentos, transmitir declarações ou alterar cadastros.
- Você pode removê-los a qualquer momento. No fim do contrato, são eliminados imediatamente.
Acesso da sua equipe
- Cada pessoa cria a própria senha por um link individual de convite, de uso único.
- Papéis definem o que cada pessoa pode ver e fazer, e a tela de Atividades mostra quem mudou o quê, com o antes e o depois.
- Os registros do sistema não guardam senhas, tokens nem imagens de verificação.
Acesso da nossa equipe
- Uma sessão de suporte exige motivo, termina em até 2 horas e fica registrada em trilha de auditoria.
- Durante a sessão, um aviso fica visível na tela da conta.
- Os administradores da plataforma são obrigados a usar autenticação em dois fatores.
- Não usamos sua lista de clientes nem seus dados para fins comerciais próprios, e não os compartilhamos para esses fins.
Cópias de segurança e hospedagem
- Uma cópia do banco de dados vai todo dia para um armazenamento privado e é guardada por 30 dias.
- Os servidores e o armazenamento ficam na Hetzner, na Alemanha e na Finlândia. As conexões com a aplicação usam TLS.
Terceiros e incidentes
- O 2Captcha, serviço terceiro de resolução de verificações, nos Emirados Árabes Unidos, recebe só a imagem exibida pelo portal. Nunca CNPJ, senha, certificado ou documento fiscal.
- A lista de suboperadores está no Acordo de Tratamento de Dados. Mudanças são avisadas com 30 dias de antecedência, salvo troca urgente.
- Em incidente que afete seus dados, avisamos em até 48 horas a contar da ciência.
O que não prometemos
- Nenhum sistema é totalmente imune a falhas ou ataques.
- Hoje o serviço roda em um único servidor principal. Uma falha grave exige restaurar em outra máquina, e o sistema pode ficar fora do ar durante esse tempo. Nossa meta para a aplicação é de 99,5% de disponibilidade por mês, sem multa ou crédito, e ela não inclui os portais do governo.
- Não garantimos a disponibilidade dos portais, nem que eles aceitarão sempre o acesso automatizado. Um portal pode bloquear um IP ou restringir uma credencial.
- A guarda fiscal exigida por lei continua sendo do escritório e dos clientes. O Fisconect não é um arquivo fiscal definitivo.
Os compromissos formais estão na Autorização de Uso de Credenciais, no Acordo de Tratamento de Dados e na Política de Privacidade.
Pronto para ver funcionando?
Leia os documentos antes de contratar. Eles são curtos e dizem o mesmo que esta página.