Dados sensíveis exigem engenharia séria.

Infraestrutura

• Infraestrutura dedicada. Servidores próprios (bare metal) em data center na região de São Paulo, no Brasil, com acesso restrito à equipe de operações. Subprocessadores informados em avaliação de fornecedor.
• Criptografia em repouso. AES-256 para todos os artefatos biométricos e documentais.
• Criptografia em trânsito. TLS 1.3 em todos os endpoints públicos e internos.
• Isolamento por tenant. Separação lógica rigorosa entre dados de clientes diferentes.

Controle de acesso

• Autenticação multifator obrigatória para o time Thea.
• Princípio do menor privilégio em todos os sistemas.
• Logs de acesso auditáveis, retidos por 12 meses.
• Revisão trimestral de permissões.

Ciclo de desenvolvimento

• Revisão de código obrigatória em todo commit.
• Análise estática e varredura de dependências em CI.
• Testes de penetração anuais conduzidos por terceiros.
• Programa de divulgação responsável para pesquisadores de segurança.

Conformidade

A Thea opera em conformidade com a LGPD desde o primeiro dia, e nossas práticas de segurança seguem os controles usuais do mercado para tratamento de dados sensíveis.

Temos um encarregado (DPO) e um time de privacidade à disposição para apoiar avaliações de segurança, due diligence e questionários de fornecedor. Se o seu time de risco ou compliance precisar de algo que não está nesta página, escreva para [email protected].

---

Encontrou uma vulnerabilidade? Entre em contato em [email protected] com o assunto "Divulgação responsável".