Segurança e políticas

1. Escopo e princípios

Aplica-se ao serviço Journey (agente instalado nas estações, APIs, banco de dados, painel web) e às pessoas que o operam. Princípios: coleta mínima (metadados de uso, nunca conteúdo), dados no Brasil, acesso pelo menor privilégio, tudo registrado, verificável por terceiros.

O cliente é o controlador dos dados pessoais dos seus colaboradores. A Baliza é a operadora e trata os dados somente para prestar o serviço contratado.

2. O que o agente coleta e o que nunca coleta

Coleta: aplicativo em primeiro plano, título da janela, domínio do site, volume de teclas e cliques, tempo ativo e ocioso, eventos de arquivo em pastas de trabalho (nome e caminho), bloqueio e desbloqueio da sessão, estado ligado ou desligado de microfone e câmera em aplicativos de reunião.

Nunca coleta: teclas digitadas, imagens de tela, áudio, vídeo, conteúdo de arquivos, e-mails, mensagens ou senhas. Isso é regra de código, não configuração. O contador de teclado só incrementa um número. Períodos de 10 minutos sem qualquer interação são descartados na origem.

Desde a versão 0.6.14 o agente não consulta nenhum serviço externo de geolocalização por IP. Sem GPS, a cidade é resolvida no servidor com base local.

3. Onde os dados ficam

APIs no Google Cloud Run, região de São Paulo (southamerica-east1). Banco de dados PostgreSQL no Supabase, região de São Paulo (AWS sa-east-1). Cópias lacradas das evidências no Google Cloud Storage, região de São Paulo, com retenção de 7 anos. Segredos no Google Secret Manager, com replicação restrita a São Paulo.

O painel é entregue pela Vercel e não persiste telemetria. O único fluxo que sai do país é o assistente de IA (Google Gemini), que recebe apenas números agregados e códigos no lugar de nomes de pessoas: nenhum nome de colaborador sai para a IA.

Subprocessadores: Supabase, Google Cloud, Vercel, Stripe (pagamentos), Resend (e-mail transacional), Serpro (carimbo de tempo ICP-Brasil), DigiCert (carimbo de tempo internacional).

4. Proteção em trânsito e em repouso

HTTPS com TLS em todas as camadas: agente para API de ingestão, painel para API, API para integrações. Criptografia em repouso gerenciada pelos provedores (Supabase e Google Cloud). Nenhuma credencial em código ou repositório.

5. Identidade e sessão

Login por senha ou por SSO Microsoft Entra. Segundo fator obrigatório: código de uso único enviado por e-mail (ou TOTP quando configurado). Limite de tentativas de login por usuário e por origem, com bloqueio temporário.

A sessão do painel vive em cookie HttpOnly, Secure e SameSite. O token nunca fica acessível ao JavaScript do navegador. Sessão expira em 8 horas. Chamadas com efeito exigem origem do próprio site (proteção contra CSRF). O painel envia cabeçalhos de segurança (HSTS, política de conteúdo, proibição de iframe).

6. Autorização e isolamento

Perfis: administrador global, RH e gestor, com permissões granulares por módulo. O escopo por empresa e equipe é decidido na API a cada requisição. Esconder algo do menu nunca é a única barreira: o módulo bloqueado responde erro de permissão.

Cada cliente fica isolado: esquema próprio no banco compartilhado ou ambiente dedicado (projeto, banco, painel e bucket exclusivos) no plano Enterprise. O plano de controle da plataforma tem segurança por linha e nenhum acesso anônimo.

7. Agente nas estações

Serviço Windows com runtime embarcado. Atualização automática só instala pacotes cujo hash SHA-256 confere com o manifesto publicado. Comandos remotos limitados a operações predefinidas (por exemplo, coletar logs). Cada dispositivo se autentica na API de ingestão com token próprio (nuvem Journey) ou chave de origem (ambiente dedicado).

Assinatura digital do instalador com certificado EV: certificado adquirido, emissão em andamento pela autoridade certificadora. Até lá o instalador é verificado por hash SHA-256 publicado.

8. Registro e auditoria

Toda chamada autenticada à API gera um registro: quem, o quê, alvo, origem e horário. O cliente consulta a trilha no painel, em Gestão, Auditoria, com filtros por período, pessoa, alvo e rota, e exporta em CSV. Também ficam visíveis o que a IA classificou, os selos de integridade, as permissões vigentes e cada acesso de suporte. Retenção da trilha: 400 dias.

9. Integridade das evidências

Todo registro bruto entra em lotes com hash encadeado ao anterior. Um selo diário recebe carimbo de tempo de terceiros: DigiCert (RFC 3161), OpenTimestamps (blockchain do Bitcoin) e, nos planos pagos, ICP-Brasil emitido pelo Serpro. Uma cópia lacrada vai para armazenamento com retenção de 7 anos. O verificador é aberto: um perito recomputa tudo sem depender da Baliza nem do cliente.

10. Desenvolvimento e mudanças

Código versionado em repositórios privados com integração contínua: build, verificação de dependências com vulnerabilidade conhecida (falha em severidade alta ou crítica) e varredura de segredos a cada alteração. Segredos vivem apenas no cofre do provedor. Alertas de segurança do banco chegam por e-mail ao operador.

Ainda não temos teste de intrusão de terceiro nem certificação ISO 27001 ou SOC 2. Um teste de intrusão externo está em avaliação. Este é o único item desta política que descreve uma intenção, e está marcado como tal.

11. Continuidade

Backups diários automáticos do banco pelo provedor, com 7 dias de retenção. Serviços sem estado, redeployáveis a partir do código. Meta de disponibilidade mensal de 99,5% para o painel e para a ingestão, medida pelos provedores. SLA contratual com créditos só no plano Enterprise.

12. Revisão

Esta política é revisada a cada mudança relevante de arquitetura e ao menos uma vez por ano. Dúvidas e solicitações: contato@balizahub.com.

1. Perfis

Administrador global: vê e configura tudo no ambiente do cliente. RH: abonos, horas extras e calendário dentro do escopo. Gestor: vê apenas as empresas e equipes atribuídas a ele. Permissões adicionais por módulo (capacidade, software, mapa, lançar abono, lançar hora extra) são concedidas individualmente.

2. Concessão e remoção

Só um administrador global do cliente concede, altera ou remove acessos, pela tela Gestão, Acesso. Cada concessão fica registrada com data. A remoção é imediata: a próxima requisição já é negada, porque as permissões são lidas do banco a cada chamada, não do token.

Desligamentos vindos da integração com o sistema de RH desativam o colaborador automaticamente.

3. Autenticação

Senha com segundo fator por e-mail obrigatório, ou SSO Microsoft Entra do cliente, que aplica as políticas de MFA do próprio cliente. Tentativas excessivas bloqueiam o usuário por 15 minutos.

4. Acesso da equipe da Baliza ao ambiente do cliente

Ninguém da Baliza entra no ambiente de um cliente sem autorização registrada. O cliente abre uma janela de suporte na tela Configuração, Acesso de suporte, com prazo e motivo. Cada entrada do operador fica registrada com data, hora e IP, e o cliente recebe um e-mail no momento do acesso. A janela pode ser encerrada a qualquer momento.

Acesso administrativo à infraestrutura (nuvem e banco) é restrito à conta da Baliza, com segundo fator, e é usado apenas para operação e suporte.

5. Revisão periódica

O cliente revisa os acessos na aba Permissões da Auditoria, que lista quem tem qual perfil e qual permissão, com data de concessão. Recomendamos revisão trimestral. A Baliza revisa suas próprias credenciais de infraestrutura a cada troca de pessoa e ao menos uma vez por ano.

6. Cada um vê só o seu

Todo usuário do painel enxerga na Auditoria o próprio histórico de consultas e ações. Só o administrador global vê o histórico de todos.

1. O que é incidente

Acesso não autorizado a dados, vazamento, alteração ou perda indevida de dados, indisponibilidade prolongada do serviço, comprometimento de credenciais ou de infraestrutura, e falha de agente que interrompa a captura em escala.

2. Detecção

Sinais monitorados: alertas de segurança do banco (verificação automática, digest por e-mail ao operador), trilha de auditoria da API, diagnóstico de autenticação da ingestão, alerta de estações sem comunicação, logs dos serviços na nuvem e comunicação de clientes ou colaboradores.

3. Tratamento

Etapas: confirmar e classificar (baixo, médio, alto, crítico), conter (revogar credencial, encerrar sessão, bloquear origem, desligar integração), erradicar a causa, recuperar (redeploy, restauração de backup quando necessário) e registrar tudo com horários.

Responsável: o operador da plataforma da Baliza, com suporte do desenvolvimento. Segredos comprometidos são rotacionados no cofre e os serviços são reimplantados.

4. Comunicação ao cliente

Incidente que afete dados de um cliente é comunicado ao contato administrativo do cliente em até 48 horas após a confirmação, com o que aconteceu, quais dados e pessoas foram afetados, o que foi feito e o que o cliente precisa fazer. Atualizações seguem até o encerramento e um relatório final é enviado.

Como operadora, a Baliza apoia o cliente (controlador) na comunicação à ANPD e aos titulares quando exigido pela LGPD (art. 48).

5. Lições aprendidas

Todo incidente médio ou superior gera um registro com causa raiz e ações preventivas, e a documentação técnica é atualizada. Exemplo real: em agosto de 2026 um pacote de agente publicado sem runtime embarcado interrompeu a captura em parte das estações; o processo de build passou a impedir esse tipo de publicação.

6. Contato

Para reportar um incidente ou vulnerabilidade: contato@balizahub.com. Relatos de boa-fé de pesquisadores são bem-vindos e não geram ação legal.

1. Registros brutos

Minuto a minuto, eventos de foco, arquivo e sistema: 30 dias no período de teste, 90 dias nos planos Standard, Growth e Premium, 1 ano no Enterprise. Extensão sob contrato. A exclusão é automática, em lotes, todos os dias.

2. Agregados e relatórios

Consolidações diárias, competências fechadas, rankings e relatórios mensais em PDF ficam disponíveis enquanto a conta existir. Um relatório mensal é gerado antes da exclusão do bruto correspondente, para que o histórico executivo nunca se perca.

3. Evidências lacradas

Selos de integridade, carimbos de tempo e cópias lacradas ficam guardados por 7 anos em armazenamento com retenção configurada, cobrindo o prazo prescricional trabalhista. Kits de perícia gerados ficam registrados na Auditoria.

4. Localização

Pontos de localização: 90 dias. Estadias encerradas (onde a pessoa esteve): 1 ano. Ambos com exclusão automática.

5. Trilha de auditoria e logs

Trilha de acesso da API: 400 dias. Códigos de segundo fator: 2 dias. Logs dos serviços na nuvem: conforme o provedor, até 30 dias. Backups do banco: 7 dias.

6. Encerramento da conta

Ao cancelar, o acesso segue até o fim do período pago. O cliente exporta o que quiser (CSV, PDF, pacotes probatórios) pelo próprio painel. Após o encerramento os dados são eliminados em até 30 dias, exceto o que a lei obrigar a manter e as evidências lacradas, que seguem a retenção de 7 anos por interesse legítimo de defesa.

7. Direitos dos titulares

Pedidos de acesso, correção ou eliminação de colaboradores são atendidos pelo cliente (controlador) com apoio da Baliza em até 15 dias. A página Privacidade e LGPD do painel e o pacote para o DPO explicam o que é coletado, a base legal e os prazos.