Segurança e privacidade

Construído sobre o Google Cloud. Segurança em linguagem clara.

O EMPOBase está hospedado no Google Cloud. Esta página resume os controles documentados, os compromissos de privacidade e as melhorias previstas. Entre em contato conosco para obter evidências atuais e os termos aplicáveis ao seu uso do serviço.

Enviar um questionário de segurança Ver quem tem acesso aos seus dados

A criptografia gerenciada pelo cliente para toda a organização e a residência de dados fixada em uma região continuam no roteiro.

app.empobase.com TLS

Acesso e proteção

Controle documentado: Conexão criptografada

Conexões criptografadas
Controle documentado: Login verificado

Login verificado antes do acesso
Controle documentado: Verificações de acesso da organização

As ações compatíveis verificam o contexto da organização e as permissões
Controle documentado: Criptografado em repouso

Criptografia gerenciada pelo Google para os dados armazenados
Criptografia gerenciada pelo cliente para toda a organização Roteiro

Suporte previsto a chaves de criptografia controladas pelo cliente

Resumo ilustrativo dos controles, não uma verificação de segurança em tempo real.

Hospedagem: Google Cloud; Região de Singapura. A residência de dados na UE ou fixada por região está no nosso roteiro.
Criptografia: Em trânsito e em repouso; TLS em trânsito. Criptografia em repouso gerenciada pelo Google.
Isolamento: Acesso limitado por organização; O acesso aos registros de cada organização é limitado pelo login e pelas permissões.

Compromissos permanentes

Sem revenda de dados
Não usados para treinar modelos de IA
Termos de DPA mediante solicitação
Exportações compatíveis pelo nosso processo de privacidade
Informações sobre os fornecedores abaixo

Controles de segurança

Proteção para sua equipe e seus registros.

Resumo dos controles documentados, com as funcionalidades previstas indicadas separadamente. Confirme se os controles e os limites atuais atendem aos requisitos do seu programa.

Proteção das conexões

Conexões criptografadas
Proteção contra tráfego abusivo

Login

Verificações de identidade
Login verificado antes do acesso

Acesso da organização

As regras de acesso variam por módulo
Permissões verificadas para as ações compatíveis

Arquivos privados

Acesso restrito a usuários autorizados
Links com prazo de validade para downloads privados

Os registros gerais usam criptografia em repouso gerenciada pelo Google. A criptografia gerenciada pelo cliente para toda a organização continua prevista. O Cofre Confidencial de RH, que é separado, usa criptografia do lado do cliente nos fluxos compatíveis e ativados; confirme sua disponibilidade e os requisitos de recuperação.

Controles e limites

Controles de segurança em linguagem simples.

Esses controles ajudam a proteger seus registros. Eles não garantem que todas as ameaças ou ações não autorizadas sejam impedidas.

Acesso limitado por organização

O acesso aos registros de cada organização é limitado pelo login e pelas permissões.
Para arquivos privados enviados, é necessária autorização antes da emissão de um link de download com prazo de validade. As funcionalidades de compartilhamento público e publicação têm regras de acesso diferentes; revise o que ficará exposto antes de usá-las.
A equipe da EMPO pode ajudar na administração de contas e funções e pode acessar alguns documentos da organização durante o suporte. Entre em contato conosco para confirmar o escopo e os registros de atividades disponíveis.

Criptografia

As conexões do navegador usam criptografia HTTPS/TLS em trânsito.
Os registros e arquivos armazenados usam chaves de criptografia gerenciadas pelo Google.
A criptografia gerenciada pelo cliente para toda a organização continua prevista. O Cofre Confidencial de RH, que é separado, usa criptografia do lado do cliente nos fluxos compatíveis e ativados. Confirme a disponibilidade e os requisitos de acesso e recuperação. As chaves de criptografia são distintas das chaves de provedores de IA.

Identidade & sessões

O login usa os serviços de identidade do Google para os métodos compatíveis de acesso com Google e e-mail.
O login é verificado antes do acesso às ações compatíveis.
As verificações de sessão ajudam a restringir o uso não autorizado.
O login está limitado a domínios de sites aprovados.

Resiliência

A configuração documentada de recuperação do banco de dados mantém quatorze backups automáticos e sete dias de histórico de recuperação para permitir a restauração para um momento específico. Isso não garante um prazo de recuperação nem ausência de perda de dados.
O acesso às credenciais do serviço é restrito e registrado.
As proteções do navegador restringem conteúdo não confiável e a incorporação de páginas.

Privacidade

Seus dados, suas regras. Não são insumo de treinamento.

Operamos o portal. Os clientes controlam os dados que enviam, e nós os processamos para fornecer e proteger o serviço.

Propriedade dos dados: Você é dono dos dados que envia. Nós os processamos para fornecer e proteger o serviço e apoiamos pedidos de exportação por meio do nosso processo de privacidade.
Sem treinamento, sem revenda: Não vendemos nem licenciamos dados de clientes, nem usamos o conteúdo dos clientes para treinar modelos da EMPO ou de terceiros. As informações sobre os fornecedores aparecem abaixo; solicite os termos de processamento aplicáveis aos seus serviços e integrações habilitados.
Direito à exclusão: A exclusão por registro está disponível nos fluxos compatíveis. Pedidos verificados de exclusão da conta seguem nosso processo de privacidade e as obrigações de retenção aplicáveis.
Direito à exportação: As exportações compatíveis estão disponíveis no produto e por meio do nosso processo de privacidade. O formato e o escopo dependem dos dados e do plano.
Termos do DPA mediante solicitação: Os termos aplicáveis do Acordo de Processamento de Dados estão disponíveis mediante solicitação para acordos de processamento e transferência compatíveis.
Dados de beneficiários: Se você armazenar nomes, fotos, coordenadas GPS ou documentos de identidade de beneficiários, trate-os como dados sensíveis e confirme os controles de acesso, retenção e ocultação necessários para seu programa.

Fornecedores de serviços

Quem mais tem acesso aos seus dados, e por quê.

A tabela descreve os fornecedores de infraestrutura e serviços. O processamento de IA também depende do serviço habilitado e do provedor selecionado, conforme explicado abaixo. Solicite a lista atual de fornecedores e os termos de processamento aplicáveis para sua avaliação de compras.

Quem mais tem acesso aos seus dados, e por quê.
Fornecedor	Finalidade	Tipo de dados	Localização
Google Cloud	Hospedagem, banco de dados, armazenamento de arquivos e infraestrutura relacionada	Todos os dados do cliente	Região de Singapura
Provedor de identidade do Google	Login (Google + email)	Email, nome de exibição, carimbos de data/hora de login	Global
Hostinger	Registrador de domínios	Apenas registros de propriedade do domínio	UE (Lituânia)
Resend	Email transacional (recibos, autenticação, notificações)	Endereço de email, conteúdo da mensagem	EUA
Stripe	Cobrança de assinaturas (planejado — ainda não ativo)	Contato de cobrança, email, meio de pagamento	EUA · UE disponível

O Stripe está previsto, mas ainda não está ativo. As informações sobre a região de hospedagem não significam que todos os fornecedores processem dados apenas nessa região.

Provedores de IA e seus dados

As funcionalidades de IA podem enviar instruções e contexto selecionado ao Google. As chaves compatíveis de provedores configuradas pelo cliente podem direcionar as solicitações à Anthropic ou à OpenAI como alternativa. A disponibilidade depende da configuração do serviço. Revise o provedor selecionado e os termos aplicáveis antes de enviar informações sensíveis; peça-nos para confirmar as condições de processamento para seu caso de uso.

Leia sobre as configurações de IA Leia nossas orientações de privacidade

Limites atuais e planos

Melhorias previstas.

Não afirmamos possuir atestação SOC 2 nem certificação ISO 27001. Os itens abaixo identificados como previstos ou em estudo não são funcionalidades atuais nem compromissos com uma data de entrega.

Hoje

Controles fundamentais

Controles de segurança fundamentais
Controles de acesso da organização
Criptografia em trânsito e em repouso
Modelo de DPA mediante solicitação
Informações sobre os fornecedores (acima)

Previsto

Previsto — sem data garantida

Estão previstos o lançamento de aplicativos autenticadores e o suporte à recuperação.
Maior cobertura de exportação dos registros de auditoria
Melhorias na exportação e exclusão de dados
Residência de dados na UE
Kit de questionário de segurança para fornecedores

Em estudo

Em estudo — sem data garantida

SOC 2 Tipo I
Chaves de criptografia gerenciadas pelo cliente para toda a organização
Início da auditoria ISO 27001
Página de status pública

Fale conosco

Dúvidas sobre nossos controles de segurança?

Envie seu questionário de segurança para fornecedores ou solicite evidências atuais dos controles. Entre em contato conosco para acordar o escopo, os prazos e as condições de confidencialidade da avaliação.

Para relatar uma possível vulnerabilidade, use o e-mail de segurança abaixo. Inclua a página ou funcionalidade afetada e uma descrição breve. Não inclua senhas, chaves de API nem registros pessoais; pergunte como compartilhar evidências sensíveis com segurança.

Relatar uma vulnerabilidade

security@empobase.com

Escrever à equipe de segurança Solicitar DPA