1. Escopo
Este anexo resume medidas de segurança e incidentes publicáveis com base no código e documentação atual. Ele não substitui auditoria, DPA de fornecedores, pentest, certificação ou avaliação jurídica.
2. Controles confirmados ou materializados
| Controle | Descrição factual |
|---|---|
| Autenticação | Supabase Auth, rotas protegidas e Edge Functions com verify_jwt em fluxos sensíveis. |
| Segregação lógica | Workspaces, user_id, workspace_id, membership checks e RLS em tabelas materializadas. |
| RLS e grants | Políticas de RLS e revogação de acesso anônimo existem em áreas como recibos LGPD, lgpd_requests e outras tabelas sensíveis. |
| Tokens OAuth | Gmail, Google Calendar e Drive armazenam tokens em campos criptografados ou por RPC segura, conforme fluxo. |
| Consentimento | Banner de cookies com recibos server-side, hash de IP/User-Agent e categorias. |
| DSAR | Edge Functions data-export e data-delete existem com JWT e linguagem de exclusão conservadora. |
| Auditoria | security_audit_log, agent traces, billing audit e logs de fluxos relevantes existem em áreas do sistema. |
| Minimização de PII | Hash de IP/User-Agent em recibos e redação/scrubber de PII em componentes de segurança/observabilidade. |
| Billing governado | Energia DASTIA, ledger e webhooks Stripe possuem contratos e testes críticos no repo. |
3. Incidentes
Em caso de incidente de segurança envolvendo Dados Pessoais, a DASTIA avaliará escopo, titulares afetados, papel LGPD, medidas de contenção, necessidade de comunicação ao Cliente, titulares, ANPD ou autoridades competentes, conforme legislação aplicável.
Quando a DASTIA atua como operadora, o Cliente controlador é o principal responsável pela comunicação aos titulares e autoridades, com apoio razoável da DASTIA.
O encarregado público para assuntos de privacidade, titulares e ANPD é DASTIA SOFTWARE DE GESTÃO COM IA LTDA, CNPJ 63.340.191/0001-50, pelo canal contato@dastia.com.br.
4. Limites de claim
Este anexo não afirma SOC 2, ISO 27001, pentest anual, AES-256 universal, HSM, SIEM, SLA/SLO público, backup com prazo fechado, rotação formal de chaves ou monitoramento 24/7 sem evidência específica. Esses itens permanecem em registro interno de gaps e riscos.