Segurança & Compliance

    Seus dados hospedados no Brasil, sob LGPD, com a operação que enterprise pede.

    PopFlow foi construído desde o dia zero pensando em quem precisa demonstrar conformidade ao jurídico, ao compliance e ao TI. Sem promessa vaga — auditoria, criptografia e isolamento como padrão.

    LGPD nativaServidores no BrasilCriptografia AES-256Backup diárioSOC 2 (em processo)
    Os pilares

    Segurança em camadas

    Cada camada protege um aspecto diferente — controle de acesso, criptografia em trânsito e em repouso, isolamento de dados, auditoria, disponibilidade e privacidade.

    Controle de acesso

    Quem entra, com qual papel, vendo o quê. Papéis nativos (Owner/Admin/Editor/Leitor) e categorias restritas.

    • SSO Google Workspace (todos os planos)
    • SSO SAML/Azure AD (Business+)
    • MFA opcional por usuário
    • Permissões granulares por categoria

    Criptografia

    Dados criptografados em trânsito (TLS 1.3) e em repouso (AES-256). Chaves gerenciadas pelo AWS KMS.

    • TLS 1.3 em todas as conexões
    • AES-256 em repouso (banco + S3)
    • Chaves rotacionadas anualmente
    • Hashing bcrypt para senhas

    Isolamento de dados

    Cada organização vive isolada. Multi-tenant real, sem chance de vazamento entre clientes.

    • Schema por organização no banco
    • Base vetorial isolada (Joana)
    • Anexos em buckets segregados
    • Ambiente dedicado no Enterprise

    Auditoria

    Toda ação fica logada — quem fez, quando, em qual recurso. Exportável para SIEM.

    • Log de alterações em POPs
    • Logins e tentativas falhadas
    • Mudanças de permissão
    • Retenção de 12 meses (Enterprise: 7 anos)

    Disponibilidade & backup

    Backup diário automático com retenção de 30 dias. SLA de 99,9% nos planos Business+ em diante.

    • Snapshots diários do banco
    • Replicação multi-AZ no AWS BR
    • RTO: 4h · RPO: 24h
    • Status page pública

    Privacidade & LGPD

    DPO designado, contratos de tratamento de dados pré-aprovados, exportação completa a qualquer momento.

    • Operador LGPD documentado
    • DPA disponível por contrato
    • Direito ao esquecimento (delete real)
    • Exportação total em 1 clique
    Auditoria

    Log imutável de toda ação.

    Cada criação, edição, deleção, mudança de permissão e login fica registrado com timestamp, autor e contexto. Exportável em CSV/JSON ou direto pro seu SIEM via webhook.

    • Imutável — admin não consegue apagar log retroativamente.
    • Webhook para SIEM — Datadog, Sumo Logic, Splunk.
    • Retenção 12 meses nos planos pagos · 7 anos no Enterprise.
    Audit log · últimos eventos
    14:32
    POP cancelamento.md editado
    Camila L. · de v2.0 → v2.1
    edit
    14:28
    Rafael Souza promovido para Admin
    por Matheus P.
    perm
    14:15
    POP onboarding.md criado
    por Camila L. · categoria RH
    create
    13:58
    juliana@grupodpg.com.br autenticado
    IP 187.42.x.x · BR · OK
    13:42
    3 tentativas falhas
    ana@grupodpg.com.br · bloqueio temporário
    13:30
    FAQ reembolso.md editado
    Rafael S. · diff: 12 linhas
    edit
    Criptografia

    Em trânsito e em repouso, sem atalhos.

    Conexão entre você e o servidor: TLS 1.3. Dados no banco e nos buckets: AES-256. Chaves gerenciadas pelo AWS KMS, com rotação anual. Senhas: bcrypt com salt único.

    • TLS 1.3 obrigatório · HSTS habilitado · HTTP redirecionado.
    • AES-256 no banco PostgreSQL e nos buckets S3.
    • AWS KMS com rotação anual de chaves.
    • bcrypt com fator 12 · senhas nunca trafegam ou ficam em log.
    Fluxo de criptografia
    Seu navegadorVocê digitando ou lendo POP
    TLS 1.3
    Servidor PopFlow (AWS SP)Validação + roteamento
    TLS 1.3
    Banco + S3 (Brasil)Dados criptografados em repouso
    AES-256
    Disponibilidade

    Backup diário, multi-AZ no Brasil.

    Banco com snapshots diários, retenção 30 dias. Replicação síncrona entre availability zones do AWS São Paulo. Status page pública pra você acompanhar incidentes em tempo real.

    • Multi-AZ no AWS São Paulo — sa-east-1a + sa-east-1b.
    • Backup diário com retenção 30 dias · 90 dias no Enterprise.
    • SLA 99,9% nos planos Business+ · 99,95% no Enterprise.
    • Status page pública em status.popflow.com.br.
    SLA · últimos 90 dias
    Uptime real
    99.97%
    90 dias · 22min total
    SLA garantido
    99.9%
    Business+ em diante
    RTO
    4h
    tempo até voltar ao ar
    RPO
    24h
    perda máxima de dados
    Certificações

    Em conformidade com o que importa

    LGPDLei 13.709/2018 · operador documentado
    SOC 2 Type IIEm processo · auditoria 2026
    Hospedagem AWS BRRegião sa-east-1 (São Paulo)
    DPA pré-aprovadoContrato de tratamento de dados
    FAQ

    Perguntas de compliance e TI

    Em servidores AWS na região sa-east-1 (São Paulo, Brasil). Não há transferência internacional sem autorização explícita do cliente. No plano Enterprise oferecemos ambiente dedicado com isolamento físico.
    Não. Contratos com fornecedores de IA (OpenAI, Anthropic) incluem cláusula de no-training. Seus POPs não viram dado de treino de modelo público. Embeddings ficam em base vetorial isolada por organização.
    Sim. DPO designado e disponível em dpo@popflow.com.br. Respondemos solicitações LGPD (direito de acesso, correção, exclusão, portabilidade) em até 15 dias úteis.
    Sim, no plano Enterprise. Ambiente dedicado em VPC isolada, com SLA 99,95%, retenção de auditoria de 7 anos e CSM dedicado para resposta a incidentes.
    Em Configurações → Exportar dados você baixa tudo em ZIP: POPs em Markdown + anexos + JSON estrutural. Sem fricção, sem cobrança. Após cancelar, dados ficam em retenção legal por 30 dias e depois são deletados em definitivo.
    Pentest externo anual com relatório executivo disponível mediante NDA. Programa de bug bounty privado para pesquisadores credenciados. Vulnerabilidades críticas: corrigidas em até 48h e comunicadas via status page.
    Sim, nos planos Business+ em diante: SLA 99,9% de uptime mensal, com créditos automáticos no faturamento se descumprido. Enterprise: SLA 99,95% com penalidade contratual proporcional.
    DPA e relatório de segurança

    Precisa de due diligence?

    Enviamos DPA pré-aprovado, sumário de pentest e relatório de segurança em até 1 dia útil. Sem fricção pra você passar pela aprovação interna.

    Solicitar documentação Falar com o DPO