PII fiscal exige padrão de banco. Implementamos.

Cert A1 ICP-Brasil

AES-256-GCM. Chave derivada via HKDF-SHA256 per-tenant. Master key em GCP KMS/AWS KMS (não compartilhada com DB).

PII (CPF, CNPJ, nomes, endereços)

AES-256-GCM at-rest no Postgres via pgcrypto + camada de aplicação.

TOTP secret

Encrypted at-rest. Verificação backup codes XXXX-XXXX consumo único.

Backups

Backblaze B2 Object Lock Compliance (WORM) — não editáveis nem por nós por 5 anos.

TLS 1.3

Mínimo. HSTS preload pendente.

RFB/eSocial

XMLDSig com cert ICP-Brasil A1 + TLS mútuo onde aplicável.

Asaas webhooks

HMAC-SHA256 + timing-safe equal comparison.

Multi-tenant by construction

RLS Postgres + JWT tenant_id custom claim + withTenant() guard em código + fuzzing tests CI.

2FA TOTP RFC 6238

Obrigatório pra owner. Backup codes 8x. Lockout 5 fails / 5min → 30min.

Super-admin TOTP triple-log

Toda ação destrutiva exige TOTP fresh + audit cross-tenant + email notify owner.

Impersonate transparente

Banner amarelo persistente + TTL 1h + notify owner por email + audit triple.

audit_log append-only

Trigger antitamper. 5 anos retenção LGPD. Export CSV/JSON self-service.

platform_audit_events

Cross-tenant log das ações de super-admin. Acesso restrito.

Sentry com PII redaction

beforeSend hook remove CPF/CNPJ/nomes. Replay com mask all text + block all media.

Status page público

health/db, health/crons, health/backup, health/legal-watcher reportados em /status.

Fundamento legal

Art. 7º X (cumprimento de obrigação legal) — processamento de PII fiscal é obrigação RFB.

DSAR self-service

Export ZIP completo dos seus dados em /configuracoes/conta. Em ≤72h SLA.

Direito ao esquecimento

Anonimização preservando audit (LGPD Art. 16). Tenant cancelado/suspended → confirm typed name + TOTP + reason.

DPO contactável

Email DPO em /dpo. Resposta em ≤72h.

RTO 30min, RPO 5min

PITR Supabase 7 dias + backup B2 diário 5 anos. Runbook em /trust.

DR drills mensais

Documentados em platform_audit + reportados em /status.

Status page público

Self-hosted Upptime monitor. Histórico 90d. Incident timeline com severidade.