Segurança e confidencialidade

A Maera lida com documentos que definem a identidade legal e financeira de nossos clientes: passaportes, documentos de constituição, EIN, contratos e extratos bancários. Tratamos cada arquivo com o mesmo critério que usaríamos com o nosso: acesso mínimo, criptografia por padrão e rastreabilidade de cada ação.

Os documentos sensíveis do Vault são criptografados com AES-256-GCM. A chave é derivada da frase de acesso do cliente com Argon2id e nunca sai do navegador de forma reutilizável: as chaves criptográficas são geradas como não extraíveis. Em trânsito, todo o tráfego usa TLS 1.2+. Em repouso, o banco de dados e o armazenamento de arquivos são criptografados pelo provedor de infraestrutura.

Cada registro é protegido no nível do banco de dados com Row Level Security: a consulta de um cliente só pode retornar linhas que lhe pertencem, mesmo que a aplicação tenha um erro. Os portais de parceiros operam em um plano de dados separado e só veem os clientes que eles mesmos gerenciam.

Não publicamos URLs permanentes de documentos. Cada visualização ou download gera um link assinado de curta duração, vinculado ao usuário que o solicitou, e expira automaticamente.

O acesso interno é por função e por necessidade operacional. Um membro da equipe só vê a informação necessária para concluir o serviço contratado. As ações administrativas são registradas com usuário, data e hora.

Login com e-mail e senha ou provedor social, senhas armazenadas com hash, sessões com expiração e logout em todos os dispositivos disponível no perfil. Recomendamos ativar a verificação no provedor de e-mail associado.

Executamos varreduras automatizadas de segurança e dependências na plataforma de forma contínua e revisamos os achados antes de cada deploy relevante. Se detectarmos um incidente que afete dados pessoais, notificaremos os clientes afetados por e-mail com o que sabemos, o impacto estimado e as ações tomadas.

Conservamos os documentos enquanto existir a relação de serviço e durante o período exigido por obrigações fiscais e de registro. O cliente pode solicitar a eliminação da sua conta e arquivos escrevendo para support@maera.com; processamos a solicitação dentro de 30 dias, exceto pela informação que devemos conservar por lei.

Não vendemos dados. Não usamos documentos de clientes para treinar modelos de terceiros. Não compartilhamos informações com terceiros, exceto os provedores necessários para prestar o serviço ou quando exigido por uma autoridade competente.

Escreva para support@maera.com com os passos para reproduzi-la. Não acesse dados de terceiros, não execute testes de negação de serviço e nos dê um prazo razoável para corrigir antes de publicar. Agradecemos e damos crédito a quem reportar de boa fé.

Este documento descreve controles vigentes e pode ser atualizado à medida que a plataforma evolui. Não constitui uma certificação nem uma garantia de que qualquer sistema seja invulnerável.