Segurança e dados

O Selo roda em ambiente próprio, com conta de nuvem, credenciais e chaves (KMS) separadas, rede com saída liberada apenas para o KMS e para o webhook do cliente, e acesso humano nominal, mínimo e auditado. Nenhum segredo é compartilhado com o cliente além do material do contrato de integração: chaves públicas e mTLS.

O banco de metadados guarda sessões, laudos, auditoria e pseudônimos, nunca mídia, e tem backup. O armazenamento da mídia guarda as imagens cifradas e não tem backup.

Destruir significa apagar a chave da sessão no KMS, apagar o objeto no armazenamento e registrar o evento na auditoria. A primeira etapa é a que garante o resultado: sem a chave, o objeto não pode mais ser lido, mesmo por quem tenha acesso total ao armazenamento. A expiração automática do armazenamento, em 72 horas, é uma segunda camada.

Nenhuma rota, fila, exportação ou log entrega mídia, e toda rota tem esquema de resposta fechado. Um teste de contrato roda o leitor do cliente contra o servidor real para conferir que o que sai é o que está documentado.

A mídia é cifrada com uma chave por sessão, protegida por uma chave-mestra no KMS. A API de sessão exige mTLS. O console de revisão fica em origem separada e exige segundo fator. O laudo é assinado com Ed25519, com identificador de chave para rotação, data, identificador único e idempotência.

Antes da análise a imagem é recodificada, e EXIF, GPS e número de série da câmera são removidos. O formato é validado pelos bytes do arquivo, não pela extensão.

O Selo não tem campo de sexo ou gênero em esquema, tabela, evento, log ou mensagem. O leitor de documentos mascara o campo de sexo na leitura. Gênero, aparência e divergência de nome não são motivo, critério ou campo de recusa. Isso é verificado por teste automatizado.

A trilha de auditoria só aceita inclusão, sem alteração nem exclusão, e é guardada por um ano. Toda destruição gera um evento. A leitura da trilha também é registrada. Logs e métricas passam por uma verificação automática que impede a entrada de dados pessoais.

A tabela mostra o estado de cada marco em outubro de 2026. O que depende de laboratório, contrato ou auditoria externa está indicado como tal, e nenhum item é apresentado como garantido.

O Selo é construído com teste antes do código. Cada regra de negócio e requisito tem um identificador, e a compilação falha se uma regra não tiver teste que a cite. A cobertura de ramos do domínio é de 100%. Uma suíte separada verifica o que mais importa: que a mídia não pode ser lida depois que a chave é apagada, que a aprovação destrói na mesma transação do laudo, que a hora 72 destrói sem decisão, que o campo de sexo não existe e que nada além do laudo sai do serviço.

Os componentes reais (banco, armazenamento, cache) rodam a mesma suíte dos substitutos usados nos testes, em contêineres temporários.

Escreva para contato@lassotech.com.br com “Segurança” no assunto. Respondemos em até dois dias úteis, informamos o andamento e damos o crédito público se você quiser. Pedimos divulgação coordenada, com prazo para corrigir antes de publicar. Ainda não há programa de recompensa.