Segurança

Cada registro sensível tem a sua chave de dados, embrulhada pela chave-mestra no módulo de chaves. Decifrar um registro não abre nenhum outro.

A decifragem privilegiada só acontece num serviço separado, com perfil próprio na nuvem; a aplicação que atende a API não tem esse direito.

Toda decifragem privilegiada entra numa trilha só de acréscimo, com cadeia de hash. Um auditor com a série detecta buraco no meio, reordenação e bifurcação.

ECDSA P-256 no módulo de chaves; a chave privada nunca sai. A política da chave dá o direito de assinar só ao serviço que emite recibos, e o de ler a pública à aplicação. A pública é publicada como JWKS.

A presença viva vem de um componente certificado da AWS, declarado no recibo com a versão. O opt-out do uso de dados para treino de IA, a política da chave e as permissões foram conferidos no console da nuvem e registrados com data.

Segurança por linha real no Postgres, com um papel de aplicação que não pode contorná-la. Uma consulta sem cliente não devolve nada.

Chaves de API por cliente e por escopo. Sessões do painel com MFA por aplicativo e códigos de recuperação, semente cifrada em repouso, login com endurecimento e limite de tentativas. SSO com Google, opcional por cliente, entrada com passkey e lista de IPs do painel e da API, definida pelo administrador.

O console de operação da Hummand tem sessão curta e MFA delegado ao acesso da borda.

Apagar é a única operação irreversível: tem escopo próprio, que nenhuma integração recebe por padrão. Na prática, quem apaga é a sessão do painel, a pedido do titular.

Três níveis, do mais estreito ao mais amplo: analista, supervisor e administrador. A autorização é por piso: cada rota de sessão declara o nível mínimo que a abre, e uma suíte de testes lê o roteador para provar que nenhuma ficou sem piso declarado.

O mínimo de dois administradores é trava na saída e aviso na entrada. No ar desde 2026-09-14. Desde 2026-09-28, as rotas de escrita do painel também têm piso por nível, e um administrador não altera nem remove outro: entre pares não há hierarquia, e um administrador comprometido sai pela Hummand, com registro na trilha.

Desde 2026-10-19, o perfil Auditor, que lê o que o supervisor lê e não escreve, e a revisão periódica de acessos.

O console interno não tem níveis, por decisão: ele existe para atender e depurar, e o controle dele é o registro. Toda visualização de dado de cliente pelo console deixa registro atribuível a uma pessoa, não só as alterações.

Abrir o conteúdo cifrado de um ato exige motivo declarado, e o cliente lê no painel dele quem abriu, quando e por quê, inclusive quando quem abriu foi a Hummand.

Apagar um registro é destruir a sua chave de dados: o texto cifrado fica irrecuperável. Por pedido, pelo ato ou pela referência do cliente, ou por prazo de retenção, com uma varredura a cada seis horas.

Veredito e CPF cifrados: 90 dias. Evidência de consentimento e trilha de eventos: cinco anos. Imagens e biometria: nunca retidas depois do ato; a foto de referência fica cifrada só enquanto o ato está aberto, até 30 dias. É invariante do produto, não configuração.

O cliente pode guardar a parte cifrada de um tipo por mais tempo, até 20 anos, só com base legal declarada, e preservar um ato em disputa.

TLS automático, transporte estrito com subdomínios incluídos e pedido de pré-carga nos navegadores, proteção contra sniffing de tipo e resposta da API sem cache por padrão. Acesso com credenciais só para o painel, o túnel, o console e a fila de revisão. Cada release aplica a migração antes do app novo, com backup antes.

Servidor e banco na Hetzner, em Helsinque, Finlândia. Backups no Cloudflare R2, com jurisdição UE, cifrados com chave que só a Hummand tem, e a restauração é ensaiada, não presumida. Presença viva, comparação facial, módulo de chaves e segredos de operação na AWS, região us-east-1, nos Estados Unidos. Telemetria de operação no Grafana Cloud, região São Paulo. Borda e sites na rede global da Cloudflare. O mecanismo de transferência de cada fornecedor está descrito no registro de tratamento, que o cliente recebe na contratação.

Por acordo em contrato, a operação pode ser inteiramente nacional: servidor, banco, backups, chaves e a própria presença viva, porque o componente também roda em região brasileira. A instalação de hoje é a descrita acima; a residência nacional é dimensionada por contrato. Uma fonte nacional de presença viva segue no plano, com rótulo arquitetura-alvo até entrar no catálogo.

mTLS do cliente, por camadas: a origem só aceita a borda desde 2026-09-24, e o vínculo entre certificado e contrato está no código desde a 0.17.0, desligado até a borda autenticar a origem com certificado próprio. A proteção do caminho segue na borda em frente à API e no limite de requisições em três camadas, por chave, por cliente e por IP, com contagem compartilhada no banco. mTLS entre serviços internos fica para depois.

Fonte nacional de presença viva segue como arquitetura-alvo. O que já entrou muda de rótulo aqui, com data, e não fica pendurado: os níveis dentro do cliente entraram em 2026-09-14 e a linha acima virou disponível.

Achou algo? Escreva para [email protected] com o assunto "Divulgação responsável". O endereço também está em /.well-known/security.txt.

Dado pessoal só sai para autoridade mediante ordem escrita de quem tem competência legal para pedi-lo, no menor escopo que a ordem sustenta, com parecer jurídico antes e registro depois, e o cliente é comunicado salvo vedação legal. Dado biométrico não existe em repouso, e essa é a resposta a qualquer pedido dele. Conteúdo do titular, só com ordem judicial que identifique o registro; a decifragem passa pelo ponto único e fica visível ao cliente no painel dele. Para requisição sem ordem judicial, a ordem judicial é a regra. Canal: [email protected].

Contagem publicada aqui, por ano, a partir de zero. 2026, até 2026-10-08: nenhuma ordem recebida.

Por obrigação legal (Marco Civil da Internet, art. 15), que fixa o mínimo de seis meses, a Hummand guarda por 190 dias, contados do acesso, o registro de cada acesso às páginas e à API: data e hora, endereço IP, o protocolo da conexão e, nas páginas, a primeira parte do endereço. Nada mais: nem o navegador, nem o conteúdo, nem o endereço completo. É um registro separado e restrito, fora do banco, dos backups, do recibo e da telemetria, que seguem sem IP; o das páginas fica em armazenamento na União Europeia, o da API no servidor de origem. Apagamento automático ao fim do prazo.

A porta lógica de origem entra no registro quando a rede a informa: nas páginas desde 2026-09-26 e na API desde a 0.20.0; quando não vem, o campo fica vazio, e isso fica declarado. Esses registros só saem para autoridade mediante ordem, pela regra de 7.0. No ar desde 2026-09-25.