Segurança
Como a BeSafe protege os dados
Os controles que existem hoje na plataforma, do isolamento entre empresas ao backup, sem selo e sem promessa.
Revisado em 4 de outubro de 2026
Em uma página
A BeSafe guarda a base de colaboradores que cada empresa importa e o que acontece nas simulações. Esta página lista os controles que protegem esses dados hoje, do jeito que estão construídos. Nenhum item aqui é intenção: o que ainda não existe não aparece.
Cada empresa só enxerga os próprios dados, o e-mail e o telefone dos colaboradores ficam cifrados, a simulação nunca captura o que a pessoa digita, a equipe BeSafe só entra nos dados de uma empresa com autorização dela, e tudo o que muda fica num registro de auditoria que a aplicação não consegue alterar.
Isolamento entre empresas
Toda consulta da aplicação filtra pela empresa da sessão. Recurso de outra empresa responde como se não existisse.
No banco de dados, uma segunda barreira independente: política de segurança por linha (Row Level Security do PostgreSQL) em todas as tabelas que guardam dado de uma empresa. A aplicação conecta com um usuário de banco que não é dono das tabelas e só vê as linhas da empresa da transação. A suíte de testes roda inteira com esse usuário a cada mudança.
Dados dos colaboradores
A base pede o mínimo: nome, e-mail corporativo, área e, só se a empresa usar o canal, telefone corporativo.
E-mail e telefone são cifrados na aplicação com AES-256-GCM antes de chegar ao banco. A busca por e-mail usa um índice cego (HMAC com chave própria), então nem o banco nem um backup mostram o endereço em texto. As chaves são por ambiente e têm rotação com recifragem dos dados antigos.
Colaborador removido pela empresa é anonimizado em 30 dias. Relatórios mostram grupos de cinco pessoas ou mais e não existe ranking individual de risco. A pessoa vê o próprio histórico no portal e pode contestar um evento.
Acesso ao painel
Senhas guardadas só como hash Argon2id. Verificação em duas etapas em toda entrada: depois da senha, um código de 6 dígitos chega no e-mail da conta. O código vale 10 minutos e uma vez só, cinco erros encerram a tentativa e o reenvio tem limite. Quem tem permissão de administrar a empresa ou de ver dado individual só usa essas áreas com o e-mail confirmado.
Sessão em cookie HttpOnly e Secure, com proteção contra CSRF, limite de tentativas no login e nova confirmação de identidade (a senha ou outro código no e-mail) antes de ação sensível. O colaborador entra no portal pelo link da empresa com um código enviado ao e-mail de trabalho, sem senha.
Simulação sem captura
A página de coleta da simulação nunca envia o que foi digitado: o servidor só aceita a informação de que houve um envio, e qualquer outro campo é recusado.
O disparo só sai para domínios que a empresa provou ser dela, usa marcas fictícias, passa pelas aprovações que a empresa configurar e para na hora com o botão de parar tudo. Cliques de robô e de antivírus de e-mail são separados dos cliques de pessoas antes de contar.
Equipe BeSafe
O console da equipe é um aplicativo separado, aberto só para uma lista de endereços IP, com entrada por senha e um código de 6 dígitos mandado ao e-mail da pessoa a cada entrada. Ações críticas, como suspender uma empresa ou religar os disparos, pedem a aprovação de uma segunda pessoa.
A equipe só lê dados de uma empresa quando a própria empresa concede o acesso, com escopo, motivo e prazo. A concessão fica registrada com quem concedeu e pode ser revogada antes do fim.
Auditoria
Mudanças de configuração, de permissão e de campanha entram num registro encadeado por hash, em que cada linha depende da anterior. A leitura do dado individual de um colaborador fica num registro próprio, com o motivo. O usuário de banco da aplicação não tem permissão para alterar nem apagar nenhum dos dois.
Infraestrutura
Tráfego só por HTTPS, com HSTS. As páginas saem com política de segurança de conteúdo (CSP) com nonce por requisição.
Arquivos enviados passam por antivírus e imagens perdem os metadados (EXIF) antes de serem guardados. O rastreador de cliques roda separado e não tem acesso ao banco. Quando o verificador de golpes precisa abrir um endereço enviado por alguém, a saída passa por um proxy isolado que bloqueia a rede interna.
Backup e continuidade
Backup diário do banco e arquivamento contínuo do log de transações, cifrados antes de sair do servidor e guardados fora dele por 35 dias. Os arquivos enviados também têm cópia cifrada.
A restauração é ensaiada sozinha todo mês num banco descartável, que confere as tabelas e conta as linhas restauradas.
Inteligência artificial
O conteúdo que o colaborador cola no verificador não é guardado: fica o veredito e os sinais encontrados. Só quando a pessoa decide reportar a mensagem ao time da empresa uma cópia cifrada é guardada, por 90 dias.
A transcrição de voz do assistente roda em servidor próprio. O assistente responde dúvidas e não toma decisão sobre pessoa nenhuma.
Selos e certificações
Esta página não declara selo nem certificação. Quando houver, aparece aqui com o emissor e a data.
Conte para a gente pelo formulário de contato, sem testar além do mínimo para mostrar o problema. O contato também está no security.txt.