/ TRUST CENTER

Postura de segurança, arquitetura e conformidade

Como tratamos dados, quais headers protegem suas requests, quais terceiros processam informação e qual é o nosso roadmap de certificações.

Última atualização: 11 de maio de 2026 · Próxima auditoria interna: novembro/2026

/ SECURITY POSTURE

Headers ativos em produção

Todos os 10 headers abaixo são aplicados a todas as respostas HTTP em www.cyberatlas.com.br. Verificáveis com curl -sI https://www.cyberatlas.com.br/.

Strict-Transport-Security

max-age=63072000; includeSubDomains; preload

HSTS preload — força HTTPS em qualquer subdomínio por 2 anos. Domínio inscrito na lista preload do Chrome/Firefox/Safari.

Content-Security-Policy

default-src 'self'; connect-src 'self' https://*.supabase.co wss://*.supabase.co https://api.supabase.com; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; img-src 'self' data: blob: https:; font-src 'self' data: https://fonts.gstatic.com; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'none'; upgrade-insecure-requests; manifest-src 'self'; worker-src 'self' blob:

CSP estrita — bloqueia inline scripts não autorizados, restringe connect-src ao Supabase, fontes apenas via fonts.gstatic.com. frame-ancestors 'none' bloqueia clickjacking.

X-Frame-Options

DENY

Reforço legacy de frame-ancestors. Sem iframe embedding em nenhum contexto.

X-Content-Type-Options

nosniff

Browser respeita Content-Type declarado pelo servidor — sem MIME sniffing.

Referrer-Policy

strict-origin-when-cross-origin

Não vaza path de URL para domínios externos (apenas origin).

Permissions-Policy

geolocation=(), microphone=(), camera=(), payment=(), usb=(), magnetometer=(), gyroscope=(), accelerometer=(), interest-cohort=()

Bloqueia APIs sensíveis (câmera, microfone, geolocalização, pagamento, USB, sensores).

Cross-Origin-Opener-Policy

same-origin

Isola browsing context — defesa contra cross-origin window attacks (Spectre).

Cross-Origin-Resource-Policy

same-origin

Bloqueia inclusão cross-origin de recursos da CyberAtlas.

X-Permitted-Cross-Domain-Policies

none

Bloqueia cross-domain policy files (Adobe Flash legacy attack surface).

X-DNS-Prefetch-Control

off

Desativa pre-resolução DNS automática — reduz fingerprint de navegação.

/ ARQUITETURA

Como a plataforma protege dados

Multi-tenant single-DB

Toda tabela raiz tem coluna organization_id. Nenhum query escapa do tenant — RLS canônica via função user_org_ids() SECURITY DEFINER STABLE garante isolamento mesmo quando código aplicação tem bug. Cross-tenant leak é arquiteturalmente impossível.

RBAC permission-level

Autorização não usa role = 'admin' hardcoded — usa has_permission(user, permission_key). Cada role agrupa N permissions; permissions são auditáveis e versionadas.

Audit imutável

Tabela audit_log sem policies de UPDATE ou DELETE — só INSERT. Retenção mínima de 7 anos. Eventos críticos (login, MFA, mudança de role, export, deleção) são registrados com payload JSON e timestamp servidor.

Sealed surfaces

Engines críticas (scoring-engine, maturity engine, asm-score, asm-maturity-mapping) são marcadas como sealed — mudanças exigem audit override e re-validação completa. Garante reprodutibilidade dos scores ao longo de releases.

/ SUBPROCESSORS

Terceiros que processam dados

Lista pública dos vendors que tratam dados de clientes em nome da CyberAtlas. Cada um tem DPA (Data Processing Agreement) acessível abaixo. Mudanças nesta lista são notificadas com 30 dias de antecedência.

Fornecedor	Finalidade	Localização	DPA
Supabase Inc.	PostgreSQL + Auth + Edge Functions + Storage	US (multi-region)	supabase.com/dpa
Vercel Inc.	Hospedagem frontend + CDN + serverless edge	US/Global (gru1 SP para BR)	vercel.com/legal/dpa
Resend Inc.	E-mail transacional	US	resend.com/legal/dpa
Hostinger International Ltd.	Mailbox contato@ (caixa empresarial)	EU/Global	suporte@hostinger.com

/ ROADMAP DE CERTIFICAÇÕES

Conformidade e certificações

LGPD compliance

Ativo

Política de Privacidade + DPO designado + canal de comunicação ativo (dpo@cyberatlas.com.br).

Pentest anual externo

Ativo

Relatório executivo disponível sob NDA mediante solicitação comercial.

SOC 2 Type 1

Em andamento

Q3/2026 target via Vanta ou Drata — coverage Security/Availability/Confidentiality.

ISO/IEC 27001

Planejado

Planned 2027 após estabilização do escopo SOC 2.

Continue a conversa

Se sua equipe de procurement, GRC ou jurídico precisa de detalhes adicionais — relatório executivo do pentest, DPA assinado, ou diligência específica — fale conosco.

Solicitar relatório de pentest (sob NDA) Falar com nosso DPO

Última auditoria interna: 11 de maio de 2026 · Próxima auditoria: novembro/2026 · Responsável: dpo@cyberatlas.com.br