Segurança e Confidencialidade
Seus dados de obra protegidos com infraestrutura de nível enterprise. Isolamento por empresa, criptografia de ponta e conformidade com a LGPD.
Versão 1.0 · Última atualização: 2026-05-14 · Ver histórico
Isolamento de Dados
Cada empresa acessa exclusivamente seus próprios dados. Políticas Row-Level Security (RLS) são aplicadas diretamente no banco, e testes automatizados verificam o isolamento entre organizações.
Criptografia
Dados sensíveis são protegidos com AES-256 (padrão bancário). Toda comunicação browser↔servidor usa TLS 1.3 e HSTS preload (2 anos). Backups locais também são cifrados em repouso.
Controle de Acesso
Autenticação OAuth 2.0 com PKCE. MFA (autenticação de dois fatores via TOTP) disponível para todos os usuários. Permissões granulares por papel (proprietário, administrador, gerente, membro, visualizador) com overrides por usuário.
Trilha de Auditoria
Registro automático de cada inserção, edição e exclusão nas tabelas de negócio — quem, quando e o que mudou. Retenção de 2 anos. Exportável sob demanda.
Validação de Dados
Toda entrada é validada por schemas compartilhados entre frontend e backend (Zod). API routes que recebem dados exigem autenticação, rate limiting e validação antes de qualquer escrita.
Infraestrutura
Aplicação no Vercel (Edge gru1 — São Paulo) e banco no Supabase (AWS us-east-1 — Virgínia, EUA). Escalabilidade automática, snapshots diários e monitoramento contínuo via health checks.
Monitoramento e Hardening
Monitoramento de erros em tempo real. Rate limiting distribuído. Headers de segurança rígidos (CSP deny-by-default, HSTS, X-Frame-Options, nosniff). Varredura automatizada de dependências, segredos e análise estática de segurança (OWASP Top 10) a cada alteração de código.
Conformidade LGPD
Respeitamos os direitos do titular: acesso, correção, exclusão e portabilidade. Não vendemos dados. Subprocessadores listados publicamente. DPA (Acordo de Processamento de Dados) disponível mediante solicitação.
Privacidade e Inteligência Artificial
Funcionalidades de IA do MAPRA (Voz no Canteiro, IA de Propostas, Insights e Assistente) usam a API da OpenAI (Whisper e GPT-4o) como subprocessador. Garantias contratuais da OpenAI API:
- Sem treinamento de modelos — dados enviados pela API não são utilizados para treinar modelos da OpenAI (política padrão).
- Retenção máxima de 30 dias para detecção de abuso da plataforma, conforme política da OpenAI.
- Sem dados de cobrança ou autenticação — apenas o conteúdo necessário para cada funcionalidade é enviado.
O que cada funcionalidade envia:
| Funcionalidade | Dados enviados à OpenAI |
|---|---|
| Voz no Canteiro | Áudios captados pelo usuário (Whisper) e texto resultante (GPT-4o) |
| IA de Propostas (Comparativo) | PDFs e imagens de propostas comerciais enviadas pelo usuário |
| Matching de Itens | Descrições de itens de orçamento (texto curto) |
| Análise Comparativa | Estrutura dos itens das propostas (sem dados financeiros do MAPRA) |
| Geração de Insights | Métricas agregadas da obra (sem dados pessoais) |
| Assistente do App | Pergunta do usuário e contexto da tela atual |
Autenticação
- E-mail e senha com hash Argon2id (Supabase Auth) e validação de força.
- Login com Google (OAuth 2.0 + PKCE).
- MFA (autenticação de dois fatores) TOTP disponível — cadastrável em Configurações da conta.
- Sessões JWT com renovação automática, cookies HTTPOnly, SameSite Lax.
- Proteção contra brute-force no login e reset de senha (rate limiting nativo do Supabase Auth).
Arquivos e Anexos
Documentos sensíveis (fotos de obra, NFs, contratos, comprovantes, propostas) ficam em bucket privado com acesso controlado:
- URLs assinadas com TTL curto (1 hora), renovação proativa em background.
- Downloads passam por proxy interno (
/api/files/[id]) que faz streaming — a URL assinada nunca aparece na barra do navegador e não pode ser compartilhada acidentalmente. - Compressão local antes do upload (máx. 200KB, 1920×1080, WebP). Os arquivos originais não trafegam descomprimidos.
- Portais externos (cliente, fornecedor, projetista) usam proxies dedicados com validação de token por requisição.
Modo Offline (PWA / Canteiro)
O MAPRA funciona como Progressive Web App (PWA) com cache local para uso em canteiros com internet ruim. Aspectos relevantes de privacidade:
- Dados em cache local ficam no IndexedDB do navegador, protegidos pelo sandbox do browser e isolados por origem.
- Token de sessão (JWT) é armazenado em cookie HTTPOnly e expira automaticamente. Em logout, o cache é limpo.
- Dados de autenticação não são persistidos em localStorage (para evitar vazamento entre abas e contexto de hidratação SSR).
- Mutações criadas offline ficam em fila local até reconectar. Apenas requisições autenticadas conseguem sincronizar.
Backups e Recuperação
- Snapshots diários no Supabase — retidos por 7 dias (padrão Pro).
- Backup local automático executado 2 vezes por dia, cifrado com AES-256 em repouso e retido por 90 dias em armazenamento separado da infraestrutura primária.
- Drill trimestral — a cada 3 meses executamos um exercício de restauração completa em ambiente paralelo para validar a integridade dos backups.
- Exportação on-demand — clientes que precisam manter arquivo morto de longo prazo (compliance fiscal de 5+ anos) podem solicitar exportação estruturada dos seus dados a qualquer momento.
Resposta a Incidentes
Em caso de incidente de segurança que afete dados pessoais, nos comprometemos a notificar os clientes e a ANPD em até 3 dias úteis, conforme Resolução CD/ANPD nº 15/2024. Nossa equipe possui procedimentos internos para identificação, contenção, erradicação e comunicação de incidentes. Vulnerabilidades de segurança podem ser reportadas por contato@mapra.com.br ou via security.txt.
Retenção de Dados
| Tipo de dado | Período de retenção |
|---|---|
| Dados de conta ativa | Enquanto a conta estiver ativa |
| Dados após exclusão de conta | Excluídos definitivamente em até 30 dias |
| Trilha de auditoria (audit log) | 2 anos |
| Snapshots automáticos do banco (Supabase) | 7 dias |
| Backup local cifrado (operacional, 2x/dia) | 90 dias |
| Logs de requisição (Vercel) e erros (Sentry) | 30 dias |
Após o período de retenção, os dados são excluídos de forma permanente. Obrigações fiscais de longo prazo (5+ anos) são de responsabilidade do controlador (cliente) — disponibilizamos exportação para arquivo morto sob demanda.
Hardening Contínuo no Pipeline
Cada alteração de código passa por varredura automatizada de dependências e segredos, análise estática de segurança (OWASP Top 10) e testes automatizados que validam o isolamento entre organizações. Realizamos exercícios periódicos de restauração de backup para garantir que a recuperação funciona na prática. O detalhamento das medidas técnicas e organizacionais está disponível no Acordo de Processamento de Dados (DPA) mediante solicitação.
Disponibilidade
Nosso compromisso é manter alta disponibilidade da plataforma. Utilizamos infraestrutura com escalabilidade automática, monitoramento contínuo via Sentry e health checks automáticos que verificam DB, Auth e Realtime periodicamente. Em caso de indisponibilidade do banco, o middleware faz fail-open com timeout curto para preservar navegação em modo degradado em vez de propagar erro 504.
Subprocessadores
Serviços terceiros utilizados para operar a plataforma. A transferência internacional de dados é regida pelas cláusulas-padrão contratuais conforme Resolução CD/ANPD nº 19/2024.
Lista atualizada em 2026-05-14 (v1.0). Mudanças são publicadas no changelog de segurança.
| Serviço | Finalidade | Localização |
|---|---|---|
| Supabase | Banco de dados, autenticação e armazenamento de arquivos | AWS us-east-1 (Virgínia, EUA) |
| Vercel | Hospedagem do aplicativo e CDN | Edge Network global (request servido em gru1 / São Paulo) |
| OpenAI | Reconhecimento de voz (Whisper) e processamento de linguagem (GPT-4o) | EUA |
| Asaas | Processamento de pagamentos da assinatura (PIX, Boleto, Cartão) | Brasil |
| Resend | Envio de e-mails transacionais (convites, recuperação de senha, notificações) | EUA |
| Sentry | Monitoramento de erros e performance | EUA |
| Upstash | Rate limiting distribuído (proteção contra abuso de APIs) | Global (edge) |
| Open-Meteo | Previsão do tempo para o canteiro de obra | União Europeia |
| OpenStreetMap (Nominatim) | Geocodificação reversa do ponto eletrônico (RH) | União Europeia |
Direitos do Titular (LGPD)
Conforme a Lei Geral de Proteção de Dados, você tem direito a:
- Acesso — solicitar cópia dos seus dados pessoais
- Correção — corrigir dados incompletos ou desatualizados
- Exclusão — solicitar a remoção dos seus dados
- Portabilidade — receber seus dados em formato estruturado (CSV / JSON)
Para exercer seus direitos, entre em contato pelo email contato@mapra.com.br. Prazo de atendimento: até 15 dias úteis.
Precisa de um Acordo de Processamento de Dados (DPA)?
Disponibilizamos modelo de DPA pré-preenchido para organizações com requisitos regulatórios específicos (jurídico, saúde, financeiro).
Solicitar DPA