1. Princípios
Segurança desde o projeto: acesso mínimo necessário, separação entre imobiliárias, registro do que importa e falha segura (na dúvida, o sistema nega).
2. Proteção dos dados
- Criptografia em trânsito (HTTPS com HSTS) em todo o site.
- CPF e outros dados sensíveis cifrados em repouso com AES-256-GCM; busca por CPF feita por código irreversível (HMAC) separado por imobiliária.
- Segredos e chaves guardados fora do banco de dados e fora do código.
- Documentos enviados passam por validação do conteúdo real do arquivo (não apenas da extensão) antes de serem aceitos.
3. Contas e acesso
- Autenticação por provedor especializado, com proteção contra força bruta e limite de tentativas.
- Perfis de acesso (administrador, supervisor, corretor, analista) com permissões por função; o corretor vê somente a própria carteira.
- Administração da plataforma (Master) protegida por verificação em duas etapas obrigatória (TOTP) e códigos de recuperação de uso único.
- Cadastro de novas imobiliárias controlado: por convite, ou por autoatendimento quando habilitado.
4. Isolamento entre imobiliárias
Todas as consultas ao banco são filtradas pela imobiliária (tenant) autenticada. Quando habilitado na infraestrutura, o isolamento por Row Level Security no PostgreSQL funciona como segunda camada.
5. Auditoria e monitoramento
- Trilha de auditoria de ações sensíveis (como revelar um CPF ou exportar dados) que não aceita alteração nem exclusão.
- Cabeçalhos de segurança no navegador (política de conteúdo, proteção contra clickjacking, entre outros) e relatórios de violação.
- Verificação automática de dependências vulneráveis, análise estática de código e detecção de segredos no repositório.
6. Webhooks e integrações
Eventos recebidos de parceiros (como a Meta) só são aceitos com assinatura válida. Sem a chave configurada, o recebimento é recusado.
7. Resposta a incidentes
Mantemos procedimento para detectar, conter e corrigir incidentes. Quando houver risco relevante aos titulares, comunicaremos a imobiliária afetada e, quando exigido, a ANPD, nos prazos da lei.
8. Reporte de vulnerabilidades
Se encontrou uma falha, avise pelo canal “Fale com a gente” do site ou pelo contato indicado no seu contrato, com os passos para reproduzir. Pedimos boa-fé: não acesse dados de terceiros, não degrade o serviço e nos dê prazo razoável para corrigir antes de divulgar. Não tomaremos medidas contra pesquisa feita nesses termos.
9. O que cabe a você
Use senhas fortes e únicas, ative a verificação em duas etapas quando disponível, não compartilhe acessos e desligue quem saiu da equipe. A maioria dos incidentes começa em uma conta comprometida.