Segurança da Informação
Última atualização: 19/out/2026
Este documento descreve as medidas técnicas e organizacionais que a Tangerin AI adota para proteger os dados processados pela plataforma. Nossa abordagem é baseada em risco: as medidas descritas aqui não são exaustivas e evoluem conforme a maturidade da empresa e do produto.
1. Nossa abordagem
Seguimos boas práticas de mercado inspiradas em referências reconhecidas do setor, como a família ISO 27001 e o NIST 800-53, e princípios de security by design, com segurança considerada desde a concepção de cada funcionalidade, não como camada adicionada posteriormente.
A Tangerin AI é uma empresa em crescimento. Não afirmamos possuir certificações formais próprias (como ISO 27001 ou SOC 2) neste momento. Quando obtivermos, publicaremos aqui. Os subprocessadores de infraestrutura que utilizamos (Seção 9) possuem certificações próprias, que cobrem a infraestrutura deles, não a operação da Tangerin AI.
2. Gestão de acesso e autenticação
- Isolamento multi-tenant por Row Level Security (RLS) no banco de dados: cada organização só acessa seus próprios dados, reforçado no nível do banco, não apenas na aplicação.
- Autenticação do agente por chave de API exclusiva por organização, rotacionável a qualquer momento pelo administrador.
- Princípio do menor privilégio para acesso interno de colaboradores da Tangerin AI aos dados de clientes, restrito a quem precisa para prestar suporte ou manutenção.
- Log de auditoria de todas as ações administrativas realizadas na plataforma, com autor, ação e horário.
3. Criptografia
- Em trânsito: toda comunicação entre agente, painel web e API é feita via HTTPS/TLS 1.2 ou superior.
- Em repouso: dados armazenados de forma criptografada na infraestrutura do banco de dados.
- Senhas: nunca armazenadas em texto claro; gerenciadas com hash (bcrypt) pelo provedor de autenticação.
- Pagamentos: ocorrem em páginas hospedadas pelo Asaas e pela Stripe; dados de cartão não passam pelos nossos servidores.
4. Segurança de rede e infraestrutura
A plataforma é hospedada em infraestrutura gerenciada (Vercel para aplicação web/CDN, Supabase para banco de dados e autenticação), que fornece isolamento de rede, proteção contra DDoS na borda e atualização contínua de sistemas subjacentes. Não operamos servidores físicos próprios.
5. Segurança no ciclo de desenvolvimento
- Verificação de tipos, testes automatizados e lint bloqueiam a integração de código com problemas conhecidos antes de qualquer deploy em produção.
- Revisão de código em mudanças relevantes antes da publicação.
- Mantemos um registro interno de vulnerabilidades identificadas (internas ou reportadas por terceiros) e seu histórico de correção.
- Ambientes de desenvolvimento e produção são segregados; credenciais de produção não são usadas em ambiente de teste.
6. Continuidade e recuperação de desastres
Utilizamos provedores de infraestrutura com garantias próprias de disponibilidade e recuperação de desastres. O banco de dados possui rotina de backup automático gerenciado pelo subprocessador, permitindo restauração em caso de perda de dados. Ainda não publicamos um RTO/RPO formal. É um item em nosso roadmap de maturidade de segurança.
7. Resposta a incidentes de segurança
Em caso de incidente de segurança, a Tangerin AI segue as regras abaixo, as mesmas da Política de Privacidade e da página LGPD:
- Como operadora (dados tratados pela plataforma em nome da organização contratante): ao tomar ciência de um incidente de segurança que afete dados pessoais da organização, a Tangerin AI avisa a organização contratante, que é a controladora, em até 72 horas, com as informações disponíveis sobre a natureza dos dados afetados, os titulares envolvidos e as medidas adotadas; adota medidas de contenção e remediação; e apoia a organização na avaliação do risco e nas comunicações à ANPD e aos titulares, que cabem a ela como controladora.
- Como controladora (dados de quem visita o site, faz o diagnóstico gratuito, se cadastra, contrata e usa a conta ou pede acesso a um Trust Center): quando o incidente puder acarretar risco ou dano relevante aos titulares, a Tangerin AI comunica a ANPD e os titulares afetados em até 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, conforme o art. 48 da LGPD e a Resolução CD/ANPD n.º 15/2024.
Suspeita de incidente ou vulnerabilidade? Escreva para seguranca@tangerinai.com.
8. Divulgação responsável de vulnerabilidades
Se você é um pesquisador de segurança e identificou uma vulnerabilidade em nossos sistemas, temos um canal e um processo dedicados: veja nossa Política de Divulgação Responsável de Vulnerabilidades.
9. Subprocessadores e certificações de terceiros
Utilizamos os seguintes subprocessadores essenciais à operação do serviço:
| Empresa | Para quê | Sede | Onde o dado fica | Certificação (do fornecedor) |
|---|---|---|---|---|
| Supabase, Inc. | Banco de dados, autenticação e armazenamento de arquivos (evidências de compliance) | EUA | Brasil, São Paulo (sa-east-1) | SOC 2 Type II |
| Vercel, Inc. | Hospedagem da aplicação web e do site, CDN e medição de audiência e desempenho (Web Analytics e Speed Insights) | EUA | Aplicação em São Paulo (gru1); páginas entregues pela rede global da Vercel | SOC 2 Type II |
| Resend, Inc. | Envio dos e-mails da plataforma (conta, avisos, alertas e relatórios) | EUA | Envio por São Paulo; e-mails guardados nos EUA | SOC 2 Type II |
| Asaas Gestão Financeira S.A. | Pagamentos no Brasil (cartão, Pix e boleto). Recebe razão social, CNPJ, e-mail, endereço e celular de cobrança | Brasil | n/d | PCI DSS nível 1 |
| Stripe, Inc. | Pagamentos fora do Brasil (cartão, em dólar). Recebe nome, e-mail e endereço de cobrança | EUA | EUA | PCI DSS nível 1 e SOC 2 Type II |
| Google LLC | Google Analytics: medição de audiência do site institucional (não do console) | EUA | EUA | n/d |
| Apple Inc. | iCloud Mail: caixas de e-mail de contato da Tangerin AI (privacidade@, seguranca@, contato@, suporte@ e vendas@), que guardam as mensagens recebidas | EUA | n/d | n/d |
n/d: informação não publicada pelo fornecedor ou ainda não conferida pela Tangerin AI. As certificações são do fornecedor e cobrem a infraestrutura dele, não a operação da Tangerin AI.
O site institucional também exibe selos de avaliação carregados dos sites SourceForge e SaaSHub, que recebem o endereço IP de quem visita (Política de Privacidade, seção 11). Eles não recebem dados da plataforma.
Caso adicionemos novos subprocessadores essenciais, notificaremos os administradores das organizações contratantes com pelo menos 15 dias de antecedência, conforme também descrito na nossa Política de Privacidade.