Segurança que o TI consegue conferir.
Cada item abaixo é um controle do produto, descrito do jeito que um revisor de TI pergunta. Quando a exigência da empresa vai além, o modelo de hospedagem acompanha.
Os controles que já existem.
Banco em São Paulo, restauração de sete dias
Banco de dados gerenciado em nuvem, na região de São Paulo, com restauração a qualquer instante da última semana — não só ao backup da madrugada. E, todo dia, uma cópia do banco, cifrada antes de sair, e dos arquivos vai para outro fornecedor de nuvem, também em São Paulo, com retenção travada: ninguém encurta o prazo, nem nós.
Cada obra, um projeto isolado
Toda requisição passa por um guarda único, que confronta a obra com o vínculo de quem pede. A cada publicação, um teste com duas contas tenta ler e mudar os dados de uma pela outra. E o próprio banco, com segurança por linha, só entrega as linhas das obras liberadas, mesmo que uma consulta esqueça o filtro.
Permissão por módulo, dinheiro à parte
Leitura ou edição módulo a módulo, com perfis prontos no convite; custo interno e preço contratual como duas permissões independentes; quem dá acesso só concede o que tem. O fiscal pode ver preço sem ver custo, e o parceiro recebe só os módulos de que precisa.
As obras são da empresa
Só o titular e os administradores da empresa criam obra, dentro das vagas do contrato, e quem administra a empresa enxerga todas as obras dela. A titularidade de uma obra só passa a alguém da mesma empresa, que aceita com a própria passkey.
Nenhuma senha para vazar
A entrada é por link ou código de seis dígitos enviado ao e-mail, válido por 15 minutos e de uso único, com limite de pedidos e de tentativas. Ela só se completa no navegador que a pediu, então o filtro de e-mail que abre o link para conferi-lo não gasta a entrada. O e-mail da plataforma sai pela Amazon Web Services (Amazon SES), em São Paulo, autenticado por SPF, DKIM e DMARC e com TLS exigido até o servidor de quem recebe: o link não trafega em texto aberto. Entrar de um aparelho novo gera aviso por e-mail.
Passkey no que é sensível
Custo interno e o módulo Custos pedem a passkey do aparelho, por biometria ou PIN, e ficam liberados por oito horas. Emitir RDO, fechar medição, mudar tarifa, gerir membros e gerar links de portal pedem a passkey na hora. Ela só funciona no endereço do app, o que resiste a página falsa. Sem ela, a pessoa trabalha no resto, e o e-mail sozinho não cria uma passkey que valha.
Regras de entrada da empresa
O titular e os administradores escolhem quem pode ser convidado — os domínios da empresa e os parceiros — e o tempo máximo de sessão; o titular decide se a passkey é pedida só no que é sensível ou já para abrir a obra, com 14 dias para cada pessoa cadastrar a sua. Quem não foi convidado pode pedir acesso pelo link da empresa, e um administrador decide. Cada regra nasce desligada e vale em toda obra da empresa. A entrada pela conta corporativa, no Microsoft 365 ou no Google Workspace, está pronta e o titular a liga: quem entra por ela herda o segundo fator e as regras de acesso da empresa.
Tráfego cifrado, navegador blindado
HTTPS obrigatório com HSTS em todos os endereços, política de segurança de conteúdo com nonce por requisição, e o app se recusa a abrir dentro de página de terceiros. Suporte declarado: Chrome e Edge a partir da versão 111, Firefox 127 e Safari 16.4.
Testada contra ataques a cada versão
Cada versão é publicada antes num ambiente de homologação, separado da produção, e passa por testes de invasão automatizados e pela análise do código contra vulnerabilidades conhecidas. Um achado novo grave segura a versão: só a aprovada chega à sua obra. O app tem nota A+ no Mozilla Observatory e no Qualys SSL Labs, avaliações públicas que qualquer pessoa repete pelo endereço app.macalister.app.
Quem mudou o quê, e quem leu o financeiro
Mudança de papel e de permissão fica registrada com o autor, o antes e o depois, e cada mudança de estado da obra — paralisada, concluída, reaberta — entra num histórico que só recebe linhas. Abrir o orçamento, o contrato ou o Boletim de Medição e exportar de Custos também deixa linha, com quem, quando e de onde, para quem administra a obra consultar.
Sessões à vista, saída na hora
Cada pessoa vê onde a conta está aberta, com navegador, data e IP, e encerra uma sessão ou todas as outras. Quem sai da equipe é desligado com a passkey de quem administra: o acesso cai na tela seguinte, as sessões em até cinco minutos e os celulares de campo dela são revogados na mesma tela.
Recuperar o acesso sem atalho
Perdeu a passkey: quem administra a empresa da conta aprova a nova, e os administradores são avisados. Perdeu o e-mail: o chamado de acesso avisa o endereço antigo e espera no mínimo 24 horas antes de o novo valer.
Suporte só com autorização
A nossa equipe só acessa o conteúdo das obras de dois modos, ambos registrados. No suporte, o titular ou um administrador autoriza a leitura de uma obra por 24 horas, 3 ou 7 dias, com a passkey; na emergência, o acesso dura 4 horas, com motivo escrito e aviso por e-mail ao titular, aos administradores e ao dono da obra, que pode encerrá-lo — e o titular pode desligar a emergência de vez. É só leitura, sem custos nem preços: a obra mostra a faixa enquanto vale, e cada tela aberta fica no registro dela. O outro é o acesso direto ao banco, restrito à administração: o próprio banco registra cada conexão, quem abre declara antes o nome e o motivo, e a empresa consulta o registro em Configurações.
Links sem login, com escopo
Os links que vão para o campo e para fora da empresa são tokens que só abrem o que se destinam: o do apontamento vale o dia — o da conservação, a semana —, o da RNC 48 horas, e os da fiscalização e do contratante valem até a empresa revogá-los, destinatário por destinatário, e pedem identificação por código para registrar.
IA opcional, que não treina com a sua obra
O titular liga ou desliga as funções de IA da empresa. Ligadas, elas recebem só o necessário à tarefa — o texto de planejamento, com os nomes trocados por marcadores, e, na comparação das revisões do projeto, o recorte da região alterada da prancha, sem o carimbo —, por um provedor contratado que não usa esse conteúdo para treinar modelos. Cada pedido fica registrado por 12 meses para a empresa consultar, e o texto que ela escreve entra marcado como sugestão até alguém da equipe revisá-lo.
LGPD e porta de saída
A construtora é a controladora dos dados e nós, os operadores — com a lista de fornecedores pública na Política de Privacidade. Os dados são da empresa e saem pela tela, módulo a módulo, em Excel, CSV e PDF; as fotos e os anexos da obra, num arquivo por período; e, quando o titular pedir, todos os dados da empresa de uma vez, em formato aberto, com o dicionário de cada tabela.
Da nuvem gerenciada à instância exclusiva.
O código é um só nos três modelos. Muda onde ele roda, quem opera e o que o seu TI controla.
Nuvem gerenciada
O modelo padrão: isolamento lógico por obra, atualização contínua e nada para o TI instalar, corrigir ou manter.
Instância dedicada
Banco, arquivos e endereço exclusivos da empresa, operados por nós no mesmo código e no mesmo ritmo de atualização. Definida com o seu TI antes da assinatura: a região dos dados, a lista de IPs liberados e a retenção.
Na infraestrutura da empresa
Na nuvem ou no servidor da própria empresa, quando o compliance exige os dados dentro de casa. Avaliado caso a caso, porque o produto precisa alcançar o campo: o WhatsApp, os apps no 4G e os portais da fiscalização, do contratante e do freteiro têm de continuar acessíveis de fora.
Quando algo dá errado.
- Erro de dados
- O banco volta a qualquer instante dos últimos sete dias. Um lançamento apagado por engano é recuperado a partir do minuto anterior a ele.
- Perda do fornecedor do banco
- A volta sai da cópia diária em outro fornecedor de nuvem, em São Paulo. O plano de continuidade foi ensaiado em 31/10/2026: com o banco do fornecedor tratado como perdido, a cópia foi restaurada fora dele e a plataforma, num ambiente à parte da produção, voltou a responder sobre ela em 20 minutos.
- Depois de uma restauração
- Toda sessão, link, convite e aparelho pareado de antes do incidente precisa ser emitido ou liberado de novo: o que foi revogado depois do instante restaurado não volta a valer.
- Arquivos
- Fotos, anexos e pranchas ficam num armazenamento privado em São Paulo, e o RDO e o Boletim de Medição citam cada arquivo pelo SHA-256. A foto do RDO emitido só aparece na tela depois de o navegador conferir que ela bate com o código citado: a troca de um arquivo não passa despercebida.
- Tempo de restauração
- A meta de tempo de restauração (RTO) é fixada no contrato de cada cliente.
- Incidente com dados pessoais
- Com risco relevante, a empresa contratante é avisada sem demora e apoiada na comunicação à ANPD e aos titulares, como diz a Política de Privacidade.
Achou uma falha? Fale direto.
Escreva para seguranca@macalister.app com o assunto [SECURITY], a descrição, os passos para reproduzir e o impacto que você estima. Pedimos que a falha não seja divulgada antes da correção.
- 48 h
- confirmação do recebimento
- 7 dias
- plano de correção, falha crítica
- 14 dias
- plano de correção, demais
Contato também publicado em /.well-known/security.txt, no formato da RFC 9116.
O seu TI pergunta, a engenharia responde.
Mande o questionário de segurança da empresa: respondemos item a item, com os controles, a hospedagem e as evidências de cada um.
Enviar o questionário