Pular para o conteúdo

Segurança levada a sério, explicada sem rodeios.

O Ordo guarda o trabalho da sua empresa: pedidos de clientes, contratos, alertas de produção. Por isso, cada decisão de arquitetura começa por quem pode ver o quê — e por deixar registrado quem fez o quê.

Isolamento entre empresas

  • Escopo por workspace aplicado em todas as consultas, com políticas de acesso e testes automatizados de isolamento.
  • Tokens de API escopados por workspace; um login para várias empresas sem misturar dados.
  • Tarefas confidenciais: só quem participa lê o conteúdo, nem o administrador.

Acesso e identidade

  • Senhas e tokens guardados apenas como hash.
  • Entrar com Google via OpenID Connect com os escopos mínimos: openid, email e profile.
  • Cloudflare Turnstile e limite de tentativas nas telas de acesso, cadastro e recuperação.
  • Sessões revogáveis e domínios do Google Workspace restringíveis por empresa.

Auditoria

  • Cada mudança registra quem agiu — pessoa, integração, agente de IA ou sistema —, o que mudou e quando.
  • Ações de agentes aparecem como “agente em nome de” uma pessoa.
  • Guarda de 7 a 365 dias conforme o plano, ou sob medida no Enterprise.

Dados em trânsito e em repouso

  • HTTPS com HSTS em todo o serviço.
  • Anexos servidos por links temporários assinados.
  • Webhooks de saída assinados para o destino validar a origem.
  • Widget e extensão removem tokens, e-mails, CPF, CNPJ e cartões dos textos técnicos e cobrem senhas nas capturas.

Inteligência artificial responsável

  • Nenhum conteúdo de cliente é usado para treinar modelos.
  • O Ordo não envia dados a provedores de IA por conta própria.
  • O servidor MCP não tem ferramenta de exclusão e marca ações sensíveis.

Onde roda

  • Na nuvem do Ordo ou na sua infraestrutura (self-hosted), com o mesmo código.
  • MariaDB, PostgreSQL ou SQLite; e-mail de entrada pelo Amazon SES ou Postfix.
  • Cópias de segurança e monitoramento de erros com remoção de dados sensíveis.

Privacidade e conformidade

LGPD

Operador dos dados do cliente, encarregado nomeado, registros de acesso pelo Marco Civil da Internet.

GDPR e UK GDPR

Acordo de Tratamento de Dados, cláusulas-padrão para transferências e apoio a pedidos de titulares.

CCPA/CPRA

Prestador de serviço: não vendemos nem compartilhamos dados pessoais; respeitamos o Global Privacy Control.

Google e Chrome Web Store

Conformidade com a Política de Dados do Usuário dos Serviços de API do Google e com a política de Uso Limitado.

Documentos para o seu jurídico

Pedir DPA assinado

Encontrou uma vulnerabilidade?

Agradecemos a divulgação responsável. Escreva para [email protected] com os passos para reproduzir. Respondemos o mais rápido possível e não tomaremos medidas contra pesquisas de boa-fé que respeitem os dados dos clientes.