Voltar
Segurança & Privacidade
Isolamento total de dados

Seus dados financeiros são só seus.

Cada empresa no Meu Financeiro Unificado tem seu próprio espaço isolado. Nem a nossa equipe consegue ver seus lançamentos, contas ou categorias. Você tem controle total — e a gente tem o resto.

Multi-tenant com isolamento por empresa

Toda empresa cadastrada vira um tenant separado. Cada tenant tem seu próprio banco de dados lógico — as consultas são sempre filtradas pelo seu ID de empresa (viawithTenant()), mesmo se o sistema tiver algum bug, um tenant não vê o outro.

Na prática: a Padaria do João (tenant #5) e a Loja da Maria (tenant #12) usam o mesmo sistema, mas a Padaria nunca consegue listar, editar ou mesmo saber que a Loja da Maria existe. É como se fossem dois sistemas separados que rodam na mesma infraestrutura.

Os 4 pilares da sua segurança

Senha com hash forte + JWT assinado

  • Senhas são hasheadas com bcrypt (12 rounds) — ninguém vê a senha original, nem a gente
  • Sessão usa JWT assinado (HS256) com cookie httpOnly — não dá pra roubar via JavaScript
  • Cookie de sessão só trafega em HTTPS (em produção) e expira em 30 dias
  • Validação de senha atual obrigatória pra troca de senha (anti-hijack)

Infraestrutura confiável

  • Vercel: HTTPS obrigatório, TLS 1.3, edge network global, DDoS protection nativa
  • Neon Postgres: banco gerenciado com SSL, backups automáticos diários, redundância geográfica
  • Domínio próprio (meufinanceirounificado.com.br) com SSL válido até Nov/2026 (renovação automática)
  • DNS gerenciado pela Vercel, propagação em minutos

Audit log: tudo é rastreado

  • Toda criação, edição e exclusão registra: quem fez, quando, e o antes/depois
  • Tentativas de login (sucesso e falha) são logadas com IP, user-agent e username
  • Mudanças de senha (qualquer método) são registradas com o método usado
  • Acessível pra você em /admin/auditoria — vê o que aconteceu na sua empresa

LGPD compliance total

  • Página de Termos de Uso (/termos) com 12 seções em PT-BR sem juridiquês
  • Política de Privacidade (/privacidade) detalhada — 13 seções, base legal, retenção, DPO
  • Direito de acesso, correção e exclusão garantido (art. 18 da LGPD)
  • Contato do DPO (Encarregado de Dados): contato@meufinanceirounificado.com.br

Emails transacionais via Resend (com domínio verificado)

Emails de convite, confirmação de cadastro e reset de senha são enviados pelo Resend, com nosso domínio meufinanceirounificado.com.brverificado (DKIM + SPF + DMARC). Isso garante:

  • Emails não caem no spam (assinatura DKIM validada pelos servidores de email)
  • Impossível forjar remetente (autenticação validada)
  • Tokens de reset têm 1h de expiração e são one-time use (não dá pra reusar)

Onde estamos evoluindo

Somos honestos sobre o que ainda não temos. Tudo aqui é roadmap público — se a sua empresa precisa de algum desses como pré-requisito, fala com a gente.

em desenvolvimento

Criptografia client-side de campos sensíveis

Hoje os dados ficam em texto plano no banco. Estamos implementando criptografia AES-GCM que roda no navegador antes de salvar, e só descriptografa quando você abre a tela. Camada extra além do SSL.

em desenvolvimento

Autenticação em 2 fatores (2FA / TOTP)

TOTP via apps como Google Authenticator e Authy. Você ativa por usuário — obriga um código de 6 dígitos além da senha. Importante se a sua senha vazar em outro sistema.

em desenvolvimento

Certificações formais (SOC 2 / ISO 27001)

Hoje a gente segue boas práticas mas não tem auditoria formal. Pra empresas que exigem certification, é algo que vamos buscar no plano Empresarial.

A gente cuida da infra. Mas a segurança também depende de você.

Algumas boas práticas que recomendamos pra você e sua equipe:

  • 1.Use senha única pro Meu Financeiro (não reutilize do email/GitHub/etc). Sugerimos um gerenciador de senhas (Bitwarden é grátis).
  • 2.Ative 2FA assim que lançarmos (logo logo). Pra já: troque sua senha a cada 6 meses.
  • 3.Não compartilhe sua senha por WhatsApp/email. Se precisar dar acesso a alguém, use o sistema de Convites (/admin/convites).
  • 4.Revise o audit log (/admin/auditoria) de vez em quando. Se aparecer login de IP/cidade estranha, troca a senha na hora.
  • 5.Revogue acesso de quem saiu da empresa: vai em /admin/usuarios e marca como inativo.

Achou uma vulnerabilidade? Reporta pra gente.

Se você é pesquisador de segurança e encontrou algum problema, a gente leva a sério. Reporta direto pro nosso DPO:

contato@meufinanceirounificado.com.br

Respondemos em até 48h úteis. Sem processo, sem burocracia.

Pronto pra testar com segurança total?

Criar conta grátisVer demo (admin / admin123)