Central de Confiança
Como a Benaia.ai protege os dados dos seus clientes
Esta página é mantida pela Benaia.ai para responder às perguntas mais comuns de segurança, privacidade e conformidade sobre a plataforma. Ela descreve controles implementados e não constitui certificação ou verificação independente.
Segurança da plataforma
Criptografia
Dados em trânsito protegidos por TLS 1.3. Dados em repouso criptografados com AES-256 na infraestrutura de banco de dados gerenciada.
Autenticação
MFA obrigatório para administradores e, para os demais usuários, quando a organização exigir (com período de carência). SSO via SAML 2.0 no plano Enterprise. Sessões com expiração automática.
Controle de acesso
RBAC por função (Administrador, Analista de Compliance, Auditor, Visualizador, Membro). Row Level Security aplicada nas tabelas de dados de clientes.
Logs de auditoria
Registro de acessos, alterações e exclusões com hash SHA-256 por entrada, com exportação para análise externa.
Infraestrutura
Aplicação executada na Cloudflare (rede global). Banco de dados, autenticação e armazenamento no Supabase, hospedado na AWS us-east-1, com backups automáticos feitos pela infraestrutura gerenciada.
Gestão de vulnerabilidades
Dependências monitoradas de forma contínua. Programa de divulgação responsável disponível em security@benaia.ai.
Responsabilidade compartilhada: controles de plataforma são operados pela Benaia.ai e por seus provedores de infraestrutura; configuração de usuários, papéis e políticas internas é responsabilidade do cliente.
Prova de integridade
A plataforma calcula um hash SHA-256 para evidências e documentos de governança. O hash indica que o conteúdo não foi alterado desde o registro; ele não comprova autoria nem a data de existência do documento perante terceiros. Recursos com essa finalidade não estão disponíveis hoje e são listados abaixo de forma explícita.
| Recurso | Situação | Descrição |
|---|---|---|
| Hash SHA-256 por evidência | Disponível | Cada evidência registrada a partir de 19/10/2026 recebe uma impressão digital SHA-256 — com ou sem arquivo. Qualquer alteração no conteúdo invalida o hash. Evidências registradas antes de 19/10/2026 receberam o hash calculado retroativamente, com a data do cálculo indicada. |
| Verificador público de hash | Disponível | Qualquer auditor pode verificar um documento em /verify, sem autenticação. |
| Ancoragem externa via TSA (RFC 3161) | Não disponível | Carimbo do tempo de autoridade confiável, que evidencia a existência do documento em uma data específica. |
| Assinatura digital com chave pública | Não disponível | Prova de autoria vinculada a identidade verificável do usuário ou da organização. |
| Cadeia de custódia auditável | Não disponível | Trilha completa de cada acesso, aprovação e transferência da evidência. |
Verificador público de integridade: /verify
Subprocessadores de dados
A Benaia.ai utiliza os seguintes subprocessadores para operar a plataforma. Clientes Enterprise são notificados com 30 dias de antecedência sobre alterações nesta lista.
| Fornecedor | Finalidade | País/Região | Mecanismo de transferência |
|---|---|---|---|
| Supabase | Banco de dados, autenticação, storage e funções de servidor | EUA (AWS us-east-1) | SCCs (Standard Contractual Clauses) |
| Cloudflare | Hospedagem, execução do servidor da aplicação e CDN | EUA / CDN global | SCCs |
| Anthropic | Processamento das análises de IA da plataforma | EUA | SCCs |
| PostHog | Análise de uso do produto | União Europeia | SCCs |
| Resend | Envio de emails transacionais | EUA | SCCs |
| Asaas | Processamento de pagamentos (PIX, boleto e cartão) | Brasil | Tratamento no Brasil (LGPD) |
Última atualização: outubro de 2026 · Notificação de alterações: dpo@benaia.ai
Retenção e exclusão de dados
| Tipo de dado | Retenção ativa | Após cancelamento | Exclusão definitiva |
|---|---|---|---|
| Dados de usuários (perfil, email) | Enquanto conta ativa | 30 dias | 60 dias após cancelamento |
| Dados de governança (riscos, assessments) | Enquanto conta ativa | 90 dias | 90 dias após cancelamento |
| Logs de auditoria | 12 meses | 12 meses | Após período de retenção |
| Backups de banco de dados | Conforme infraestrutura gerenciada | Não retidos | Expiração automática |
| Dados de pagamento | Conforme processador | Conforme processador | Conforme processador |
Portabilidade e exclusão: clientes podem solicitar exportação completa dos dados ou exclusão antecipada via dpo@benaia.ai. Prazo de resposta: até 15 dias úteis.
Certificações e prontidão
Preparação para ISO/IEC 27001
Em planejamentoGestão de segurança da informação.
SOC 2
Em planejamentoControles de segurança, disponibilidade e confidencialidade.
Nenhum certificado foi emitido até o momento. Certificados emitidos serão publicados aqui com número de registro e escopo de auditoria.
Metodologia de avaliação
Cada framework é avaliado por áreas. Publicamos o peso de cada área na nota final e a nota mínima de aprovação (70%). Os pesos detalhados por item e os parâmetros antifraude são restritos para preservar a integridade da avaliação. Toda pontuação é calculada no servidor.
Referenciais suportados
A plataforma mapeia controles para estes referenciais. Só as normas ISO marcadas como "norma certificável por organismo acreditado" podem ser certificadas, e somente por organismo acreditado; os demais são leis, regulamentos ou guias de governança suportados pela plataforma, não certificações da Benaia.
LGPD
Lei
EU AI Act
Regulamento
ISO/IEC 42001
Norma certificável por organismo acreditado
NIST AI RMF
Guia de governança (não certificável)
GDPR
GDPR: requisitos relacionados a IA
Regulamento
ISO/IEC 27001
ISO/IEC 27001: Anexo A
Norma certificável por organismo acreditado
ISO/IEC 27701
ISO/IEC 27701: recorte de 5 requisitos
Norma certificável por organismo acreditado
ISO/IEC 38507
Guia de governança (não certificável)
LGPD art. 20
LGPD art. 20: decisões automatizadas
Lei
PL 2338/2023
PL 2338/2023: requisitos-chave (projeto de lei em tramitação)
Projeto de lei em tramitação
Contato
Incidentes de segurança
security@benaia.aiDivulgação responsável de vulnerabilidades. Resposta em até 48h.
Encarregado de dados (DPO)
dpo@benaia.aiSolicitações de titulares LGPD/GDPR. Resposta em até 15 dias úteis.