Segurança

Essa é a proteção mais importante de um sistema que atende várias empresas ao mesmo tempo, e é onde a maioria vacila: deixa o isolamento por conta do programa. Se o programador esquecer um filtro numa tela, o dado de um cliente aparece para outro.

No Instinto Vendedor ERP o isolamento é aplicado dentro do próprio banco de dados, por uma regra que acompanha cada tabela e verifica, a cada consulta, se aquele dado pertence à empresa de quem está pedindo. Todas as tabelas com dado de loja têm essa trava ligada, e ela é conferida a cada consulta — não uma vez no login.

Essa trava foi atacada de propósito por uma revisão de segurança em agosto de 2026, que encontrou cinco caminhos por onde ela podia ser contornada. Os cinco foram fechados. É por isso que ela está descrita aqui com essa firmeza: não é opinião de quem escreveu o código.

Na prática: mesmo que um erro de programação esquecesse um filtro, o banco recusaria a consulta. A porta é trancada por dentro.

• Senhas de login nunca são guardadas de forma legível — apenas o resultado de um cálculo criptográfico irreversível. Nem nós conseguimos ver a sua senha.
• O PIN das operações bancárias usa criptografia com sal próprio e bloqueia por 30 minutos após 5 tentativas erradas.
• As chaves de integração (conta de recebimento, emissor fiscal, código de segurança do contribuinte) ficam em áreas do banco que nenhum usuário alcança — só o servidor. Esses segredos nunca são enviados ao navegador.
• Toda a comunicação é criptografada (HTTPS obrigatório, com política que impede acesso sem criptografia por um ano).

Você pode exigir uma segunda prova além da senha para entrar na sua loja: um código de 6 números que só aparece no seu celular e muda a cada 30 segundos. É opcional, e você liga em Conta → Verificação em duas etapas.

O detalhe que importa: a exigência mora no banco de dados, não na tela. Em muitos sistemas o segundo fator é só uma tela a mais depois da senha — quem souber conversar direto com o servidor passa por baixo dela. Aqui, enquanto o código não é confirmado, o banco não devolve nenhum dado da sua loja: nem pelas telas, nem falando direto com o servidor de dados.

Ao ligar, você recebe 10 códigos de recuperação para imprimir e guardar. Perdeu o celular, entra com um deles. Cada um serve uma vez só, e guardamos apenas o resultado de um cálculo irreversível — nem nós conseguimos ler os seus códigos.

O sistema mantém um registro de auditoria: quem fez, o que fez e quando. Venda cancelada, acesso criado ou removido, cliente bloqueado, movimentação bancária — tudo fica registrado.

Esse registro é imutável: o sistema não oferece nenhuma forma de alterar ou apagar uma linha do histórico, nem para o administrador da loja. Se alguém da sua equipe fizer algo indevido, o rastro continua lá.

• Tentativas de login são limitadas por origem — quem tenta adivinhar senha em massa é barrado.
• Cadastros novos também têm limite, o que impede criação automatizada de contas.
• Operações bancárias têm limite próprio, mais restrito.
• Aumento de limite de transferência só passa a valer depois de 24 horas — se alguém invadir a conta, não consegue elevar o limite e esvaziar na hora.

O sistema recebe avisos automáticos de parceiros (confirmação de pagamento, por exemplo). Cada um desses canais exige um segredo compartilhado, conferido com comparação resistente a ataques de tempo. Sem o segredo correto, a requisição é recusada — e, se o segredo não estiver configurado, o canal fica fechado em vez de aberto.

Confirmações de pagamento também são tratadas uma única vez: se o mesmo aviso chegar duas vezes, o valor não é contado em dobro.

O sistema envia cabeçalhos de segurança que instruem o navegador a proteger você: exigência de conexão criptografada por um ano, bloqueio de exibição do sistema dentro de sites de terceiros (defesa contra golpe de clique disfarçado), impedimento de interpretação indevida de arquivos e controle do que é enviado ao sair do sistema.

Erros de sistema são monitorados de forma automática, com um filtro próprio que remove dados pessoais antes do envio: CPF, CNPJ, e-mail, senhas e chaves são mascarados. Quem investiga o erro vê o problema técnico, não os dados do seu cliente.

O banco de dados — vendas, estoque, financeiro, cadastros — é copiado todo dia, e as cópias recentes ficam guardadas. Isso cobre o que nenhuma trava cobre: falha de infraestrutura e exclusão acidental de registros.

Sendo exato, porque aqui exatidão importa mais que impressão: arquivos enviados por você (comprovantes anexados a uma conta, a logo da loja) ainda não entram nessa cópia automática — é uma limitação do serviço de armazenamento, e nós copiamos esses arquivos por uma rotina à parte. Se você apagar um comprovante pela tela, ele não volta. Guarde o original de comprovantes que sejam prova de pagamento.

O que fazemos se houver um incidente de segurança com risco para você e para os seus clientes está na Política de Privacidade — comunicação aos afetados e à Autoridade Nacional de Proteção de Dados, como manda a lei.

Que dado é coletado, para que serve, com quem é compartilhado e como pedir exclusão está na Política de Privacidade.