Como a Orbit protege sua operação
How Orbit protects your operation
Cada item declara o status com precisão — inclusive o que ainda não está certificado.
Each item states status precisely — including what is not yet certified.
Orbit Gestão · infraestrutura Supabase sobre AWS, região sa-east-1 (São Paulo).
Orbit Gestão · Supabase infrastructure on AWS, region sa-east-1 (São Paulo).
O que é nosso, o que é da infraestrutura
What is ours, what belongs to infrastructure
Certificação da operação e certificação do data center são coisas distintas. A Orbit trata as duas com o mesmo rigor de linguagem.
Certifying the operation and certifying the data center are different things. Orbit treats both with the same precision of language.
ISO/IEC 27001 e 27701
ISO/IEC 27001 and 27701
Programa de Sistema de Gestão de Segurança da Informação e de privacidade em implementação, com consultoria independente da Templum. O certificado ainda não foi emitido. Não publicamos percentual interno de avanço.
Information Security and privacy management system program in progress, with independent consulting from Templum. The certificate has not been issued yet. We do not publish an internal completion percentage.
SOC 2 Tipo II e ISO 27001
SOC 2 Type II and ISO 27001
Cobrem a plataforma gerenciada de banco, autenticação, armazenamento e funções serverless, e os data centers AWS. Não substituem a certificação da operação da Orbit.
They cover the managed database, authentication, storage and serverless functions platform, and AWS data centers. They do not replace certification of Orbit’s own operation.
Referências públicas dos provedores: supabase.com/security · aws.amazon.com/compliance. Cópias de certificados da nuvem não são apresentados como se fossem da Orbit. A autoavaliação CSA STAR Level 1 (CAIQ) U.S. está em preenchimento — ainda não consta no registro público da CSA.
Public provider references: supabase.com/security · aws.amazon.com/compliance. Copies of cloud certificates are not presented as if they belonged to Orbit. The CSA STAR Level 1 (CAIQ) U.S. self-assessment is being completed — it is not yet in the CSA public registry.
Política de Segurança da Informação vigente
Information Security Policy in force
A PSI da Orbit Gestão está publicada. Define governança, classificação, acesso, criptografia, continuidade, subprocessadores e resposta a incidentes. A certificação ISO/IEC 27001 permanece em implementação — a política não depende do certificado para vigorar.
The Orbit Gestão ISP is published. It defines governance, classification, access, encryption, continuity, sub-processors and incident response. ISO/IEC 27001 certification remains in progress — the policy does not depend on the certificate to be in force.
- Row Level Security (RLS) em todas as tabelas de dados da aplicação, com isolamento por organização.
- Row Level Security (RLS) on every application data table, with isolation by organization.
- RBAC com papéis de plataforma (super_admin, channel_admin, org_admin, member) e privilégios granulares por módulo.
- RBAC with platform roles (super_admin, channel_admin, org_admin, member) and granular privileges per module.
- MFA disponível; MFA obrigatório nos consoles administrativos da infraestrutura e no repositório de código.
- MFA available; MFA required on infrastructure admin consoles and the code repository.
- Edge Functions com verificação de JWT por padrão; exceções inventariadas e com gate próprio (cron, webhook, endpoint público declarado).
- Edge Functions with JWT verification by default; exceptions inventoried and gated on their own (cron, webhook, declared public endpoint).
- Segredos fora do código-fonte; chaves de integração armazenadas criptografadas.
- Secrets kept out of source; integration keys stored encrypted.
- Revisão de código antes de produção; suíte de testes de contrato de segurança no CI.
- Code review before production; security contract test suite in CI.
Teste de intrusão por terceiro independente
Intrusion testing by an independent third party
O relatório completo não é público — contém detalhe que não deve circular fora de NDA. O atestado PTaaS da HOUS3 é público e atualiza o status em tempo real.
The full report is not public — it contains detail that must not circulate outside an NDA. The HOUS3 PTaaS attestation is public and updates status in real time.
| ExecutorExecutor | HOUS3 Digital — teste de intrusão independente (PTaaS)HOUS3 Digital — independent intrusion test (PTaaS) |
|---|---|
| Atestado públicoPublic attestation | HOUS3-2026-0002 · verificar em hous3.com.brverify at hous3.com.br |
| EscopoScope | Aplicação web e API (white-box), inclusive a camada de autenticação da plataforma OrbitWeb application and API (white-box), including the Orbit platform authentication layer |
| Resultado materialMaterial result | Não houve vazamento de dados entre organizações nem quebra do isolamento multi-tenant (RLS/RBAC resistiram ao teste)No data leak between organizations and no break of multi-tenant isolation (RLS/RBAC held under test) |
| TratamentoRemediation | Achados de resiliência da autenticação e da configuração web foram remediados no mesmo mês, com plano formal de fechamentoAuthentication resilience and web configuration findings were remediated in the same month, with a formal closure plan |
| FrequênciaFrequency | Pentest externo mensal pela HOUS3, com reteste após remediação, somado a validação interna contínua (revisão de código, testes automatizados, inventário de endpoints)Monthly external pentest by HOUS3, with retest after remediation, plus continuous internal validation (code review, automated tests, endpoint inventory) |
Sumário executivo e relatório técnico: sob NDA, no pacote de due diligence. Não publicamos vetores, payloads nem lista de achados em página aberta.
Executive summary and technical report: under NDA, in the due-diligence pack. We do not publish vectors, payloads or a findings list on an open page.
Backup, restauração e continuidade
Backup, restore and continuity
Produção Orbit Gestão no Supabase, AWS São Paulo (sa-east-1). Point-in-Time Recovery (PITR) está ativo: as alterações do banco são gravadas no WAL a cada 2 minutos, com janela de recuperação de 7 dias. Criptografia AES-256 em repouso e TLS 1.3 em trânsito.
Orbit Gestão production on Supabase, AWS São Paulo (sa-east-1). Point-in-Time Recovery (PITR) is on: database changes are written to WAL every 2 minutes, with a 7-day recovery window. AES-256 at rest and TLS 1.3 in transit.
O que são RPO e RTO
What RPO and RTO mean
| RPO | Recovery Point Objective — quanto dado você pode perder. É o atraso máximo entre a última cópia boa e o momento da falha.how much data you can lose. It is the maximum lag between the last good copy and the moment of failure. |
|---|---|
| RTO | Recovery Time Objective — em quanto tempo o serviço volta. É o relógio do restore até a aplicação responder de novo.how long until the service is back. It is the restore clock until the application responds again. |
RPO do banco
Database RPO
2 minutos no pior caso. A Supabase arquiva o WAL nesse intervalo (ou antes, se o volume de transações encher o arquivo). Fonte: configuração PITR da conta de produção e documentação do provedor.
2 minutes in the worst case. Supabase archives WAL on that interval (or sooner if transaction volume fills the file). Source: production PITR configuration and provider documentation.
Janela PITR
PITR window
7 dias de recuperação pontual (qualquer instante dentro da janela). A janela visível no Dashboard acompanha o fuso de Brasília. É possível ampliar a retenção no add-on PITR; hoje está em 7 dias.
7 days of point-in-time recovery (any instant inside the window). The window shown in the Dashboard follows Brasília time. Retention can be extended on the PITR add-on; today it is 7 days.
RTO
RTO
Restore PITR no mesmo projeto deixa a produção inacessível enquanto corre. A duração depende do tamanho do banco — a Supabase não publica um número fixo, e nós não inventamos um. O RTO contratual de failover entra no plano de DR do SGSI depois de teste cronometrado nesse caminho.
A PITR restore on the same project makes production unavailable while it runs. Duration depends on database size — Supabase does not publish a fixed number, and we do not invent one. Contractual failover RTO enters the ISMS DR plan after a timed test on that path.
Testes periódicos de restauração completa
Periodic full restore tests
A Orbit exercita o backup de ponta a ponta restaurando o banco para um projeto Supabase novo — não sobrescreve a produção. É o teste completo de que o PITR gera um datastore utilizável, sem o downtime do restore in-place.
Orbit exercises backup end to end by restoring the database to a new Supabase project — it does not overwrite production. That is the full test that PITR produces a usable datastore, without in-place restore downtime.
| MétodoMethod | Restore to new project (PITR), no Dashboard de produçãoRestore to new project (PITR), from the production Dashboard |
|---|---|
| FrequênciaFrequency | Testes periódicos completos da cadeia de backup e restauraçãoPeriodic full tests of the backup and restore chain |
| Último ciclo documentadoLast documented cycle | 3 de julho de 2026, 00:44:57 UTC (2 de julho, 21:44:57, Brasília) — restauração3 July 2026, 00:44:57 UTC (2 July, 21:44:57, Brasília) — restore backup orbit, status COMPLETED |
| O que isso provaWhat this proves | A cópia PITR restaura com sucesso para um ambiente isolado. Não é o relógio de um failover da produção, e não substitui o RTO contratual ainda não cronometrado.The PITR copy restores successfully to an isolated environment. It is not the clock of a production failover, and it does not replace the contractual RTO that is not yet timed. |
O que o PITR não cobre
What PITR does not cover
Objetos do Storage (arquivos) não entram no backup do banco. O PostgreSQL guarda só metadados. Restaurar um ponto antigo não recupera arquivos apagados depois daquele ponto.
Storage objects (files) are not included in the database backup. PostgreSQL keeps metadata only. Restoring an older point does not recover files deleted after that point.
Com PITR ligado, a granularidade do WAL (a cada 2 minutos) substitui o snapshot diário tradicional.
With PITR on, WAL granularity (every 2 minutes) replaces the traditional daily snapshot.
99,0% de disponibilidade mensal
99.0% monthly availability
O compromisso vinculante está no Termos de Uso v3.0, Anexo III, aceito na Plataforma: disponibilidade mensal mínima de 99,0%. A fórmula é (tempo do mês − indisponibilidade não programada) ÷ tempo do mês. Degradação que não impeça o uso não conta. Esta página pública não promete percentual acima do contrato.
The binding commitment is in the Terms of Use v3.0, Annex III, accepted on the Platform: minimum monthly availability of 99.0%. The formula is (time in the month − unplanned downtime) ÷ time in the month. Degradation that does not prevent use does not count. This public page does not promise a percentage above the contract.
- O que entra: impossibilidade de acesso ou de uso das funcionalidades essenciais da Plataforma, apurada pelos sistemas de monitoramento da Empresa.
- What counts: inability to access or use essential Platform features, as measured by the Company’s monitoring systems.
- O que não entra (cláusula 12.2): manutenção programada avisada com no mínimo 48 horas; manutenção emergencial de falha crítica ou vulnerabilidade; força maior, caso fortuito e ataques cibernéticos; falha de infraestrutura, conectividade, telecom ou energia; indisponibilidade ou limitação de provedores de IA; falha de dispositivo, rede ou integração do cliente; suspensões previstas nos Termos.
- What does not count (clause 12.2): scheduled maintenance announced at least 48 hours ahead; emergency maintenance for a critical failure or vulnerability; force majeure, act of God and cyber attacks; infrastructure, connectivity, telecom or power failure; unavailability or limits of AI providers; failure of the customer’s device, network or integration; suspensions provided in the Terms.
- Crédito (contratação direta): único ressarcimento por indisponibilidade, aplicado de ofício na fatura seguinte — 10% se o mês ficar entre 95,0% e 99,0%; 25% entre 90,0% e 95,0%; 50% abaixo de 90,0% (Anexo III e cláusula 24). Não há indenização adicional por lucros cessantes.
- Credit (direct contract): the only compensation for downtime, applied automatically on the next invoice — 10% if the month is between 95.0% and 99.0%; 25% between 90.0% and 95.0%; 50% below 90.0% (Annex III and clause 24). There is no extra indemnity for lost profits.
- Acesso via Canal: o crédito, quando devido, é da Empresa ao Canal. O cliente do Canal dirige pretensão comercial ao Canal, não à Orbit.
- Access via Channel: credit, when due, is from the Company to the Channel. The Channel’s customer directs commercial claims to the Channel, not to Orbit.
- Suporte: contratação direta — primeira resposta em 72 horas úteis. Via Canal — primeiro nível pelo Canal (cláusulas 5.2.4 e III.3).
- Support: direct contract — first response in 72 business hours. Via Channel — first level by the Channel (clauses 5.2.4 and III.3).
- Responsabilidade: limitada ao valor pago à Empresa nos 12 meses anteriores (cláusula 13.3), com as exceções de dolo, fraude, PI e confidencialidade.
- Liability: limited to the amount paid to the Company in the prior 12 months (clause 13.3), with exceptions for willful misconduct, fraud, IP and confidentiality.
Resposta a incidentes e art. 48 da LGPD
Incident response and LGPD art. 48
Fluxo alinhado à cláusula 10.7 dos Termos de Uso v3.0. O playbook interno (contatos, runbooks, evidência forense) permanece sob NDA.
Flow aligned with clause 10.7 of Terms of Use v3.0. The internal playbook (contacts, runbooks, forensic evidence) remains under NDA.
- Detecção e contenção. Identificação pela equipe técnica; contenção imediata (revogação de sessões/tokens, isolamento de acesso).
- Detection and containment. Identification by the technical team; immediate containment (session/token revocation, access isolation).
- Acionamento interno. Equipe responsável acionada em até 1 hora para incidentes classificados como críticos.
- Internal escalation. The responsible team is engaged within 1 hour for incidents classified as critical.
- Notificação ao Cliente. Comunicação ao Controlador no contato designado em até 48 horas do conhecimento do fato, com as informações disponíveis (cláusula 10.7.1). A comunicação não implica, por si, reconhecimento de culpa.
- Customer notice. Communication to the Controller at the designated contact within 48 hours of becoming aware of the fact, with the information available (clause 10.7.1). The notice does not, by itself, imply admission of fault.
- ANPD e titulares (art. 48 da LGPD). A comunicação à Autoridade e aos titulares compete ao Controlador, com o apoio da Orbit (cláusula 10.7.2). A Orbit não substitui o cliente nessa obrigação.
- ANPD and data subjects (LGPD art. 48). Notice to the Authority and to data subjects is the Controller’s duty, with Orbit support (clause 10.7.2). Orbit does not replace the customer in that obligation.
- Conteúdo. Natureza do incidente, dados potencialmente afetados, contenção e próximos passos.
- Content. Nature of the incident, data potentially affected, containment and next steps.
- Pós-incidente. Causa raiz, medidas preventivas e registro para o SGSI.
- Post-incident. Root cause, preventive measures and a record for the ISMS.
Operador, DPA e Encarregado (DPO)
Processor, DPA and Data Protection Officer
Na prestação do SaaS, a organização cliente é, em regra, a controladora dos dados que insere na Orbit (clientes, colaboradores, documentos, financeiro). A Orbit Gestão atua como operadora, nos termos da LGPD, tratando esses dados sob instrução do cliente para executar o contrato.
In the SaaS service, the customer organization is, as a rule, the controller of the data it enters in Orbit (customers, employees, documents, finance). Orbit Gestão acts as processor under the LGPD, processing that data on the customer’s instructions to perform the contract.
Encarregada (DPO)
Data Protection Officer
Nomeada nos Termos de Uso v3.0, cláusula 10.6.2, com atuação via Templum e plataforma DPOnet. Prazo de resposta a requisições: 15 dias.
Appointed in Terms of Use v3.0, clause 10.6.2, acting through Templum and the DPOnet platform. Response time for requests: 15 days.
Jennifer Dantas
DPA (acordo de tratamento)
DPA (data processing agreement)
O Anexo IV dos Termos de Uso v3.0 tem natureza de acordo de tratamento de dados e é aceito eletronicamente na Plataforma, com o corpo dos Termos. Instruções do controlador, subprocessadores, segurança, incidente e eliminação ao término já estão nesse anexo — não é minuta futura.
Annex IV of Terms of Use v3.0 is a data processing agreement and is accepted electronically on the Platform together with the Terms. Controller instructions, sub-processors, security, incidents and deletion at the end are already in that annex — it is not a future draft.
Documentos públicos correlatos: Política de Segurança da Informação · Política de Privacidade · Termos de Uso · Informações Legais. Contratos e o aceite v3.0 na Área de Conformidade da Plataforma prevalecem em caso de conflito.
Related public documents: Information Security Policy · Privacy Policy · Terms of Use · Legal Information. Contracts and the v3.0 acceptance in the Platform Compliance Area prevail in case of conflict.
White-label e consultorias (Acesso via Canal)
White-label and consultancies (Access via Channel)
A Plataforma pode ser apresentada sob a marca e o método de um Canal — consultoria autorizada a usar o Orbit como infraestrutura para prestar serviço a terceiros. Isso está na cláusula 5 dos Termos v3.0. Os Termos de uso da Plataforma vigoram mesmo quando a interface não diz “Orbit”.
The Platform may be presented under a Channel’s brand and method — a consultancy authorized to use Orbit as infrastructure to serve third parties. That is in clause 5 of Terms v3.0. The Platform Terms apply even when the interface does not say “Orbit”.
- Quem é quem. O Cliente da consultoria é Controlador dos dados da Organização. A Orbit é Operadora. O Canal é Operador quando trata dados em nome do Cliente (configuração, suporte, acompanhamento de implantação). Se o Canal definir finalidade própria, assume Controlador desse tratamento e responde sozinho por ele (cláusula 10.1.1).
- Who is who. The consultancy’s Customer is Controller of the Organization’s data. Orbit is Processor. The Channel is Processor when it processes data on the Customer’s behalf (configuration, support, implementation follow-up). If the Channel defines its own purpose, it becomes Controller of that processing and is solely responsible for it (clause 10.1.1).
- Acesso do Canal à Organização. O Cliente concorda que o Canal acessa os dados só para configurar agentes com o método da consultoria, prestar suporte e acompanhar o uso. É vedado ao Canal exportar, comercializar, treinar modelos ou usar os dados para outra finalidade (cláusula 5.3).
- Channel access to the Organization. The Customer agrees the Channel accesses data only to configure agents with the consultancy’s method, provide support and follow usage. The Channel may not export, sell, train models or use the data for another purpose (clause 5.3).
- Isolamento. Organizações continuam isoladas entre si no banco. A exceção expressa é o acesso do Canal à Organização do seu Cliente, na forma da cláusula 5.3 — não o acesso de um cliente a outro.
- Isolation. Organizations remain isolated from each other in the database. The express exception is the Channel’s access to its Customer’s Organization under clause 5.3 — not one customer accessing another.
- Comercial e suporte. Preço, SLA prometido pelo Canal e suporte de primeiro nível são do contrato Cliente–Canal. A Orbit não é parte nessa relação e não responde pela consultoria. Demandas do cliente do Canal vão ao Canal; a Orbit presta suporte técnico ao Canal (cláusula 5.2).
- Commercial and support. Price, SLA promised by the Channel and first-level support are in the Customer–Channel contract. Orbit is not a party to that relationship and is not liable for the consultancy. Claims from the Channel’s customer go to the Channel; Orbit provides technical support to the Channel (clause 5.2).
- Licença. A Organização do Cliente via Canal depende da licença do Canal com a Orbit. Se essa licença cair, aplica-se o regime de continuidade da cláusula 16.3 (a Orbit pode, sem obrigação, assumir a Organização em contratação direta).
- License. The Customer’s Organization via Channel depends on the Channel’s license with Orbit. If that license ends, the continuity regime in clause 16.3 applies (Orbit may, without obligation, take over the Organization on a direct contract).
- Metodologia. O método e os conteúdos do Canal configurados na Organização continuam do Canal; o Conteúdo do Cliente continua do Cliente (cláusulas 9.3 e 9.6).
- Methodology. The Channel’s method and content configured in the Organization remain the Channel’s; Customer Content remains the Customer’s (clauses 9.3 and 9.6).
Quem trata dados, onde, e em que base
Who processes data, where, and on what basis
Lista do Anexo IV dos Termos de Uso v3.0. Não vendemos dados. Inclusão de subprocessador essencial ou de nova jurisdição é comunicada com antecedência mínima de 30 dias (IV.4.1).
List from Annex IV of Terms of Use v3.0. We do not sell data. Adding an essential sub-processor or a new jurisdiction is communicated at least 30 days in advance (IV.4.1).
Essenciais (permanentes)
Essential (permanent)
| SubprocessadorSub-processor | FinalidadePurpose | Local do tratamentoProcessing location |
|---|---|---|
| Supabase | Banco, autenticação, arquivos e funções (infra AWS sa-east-1)Database, authentication, files and functions (AWS sa-east-1 infra) | Brasil — sa-east-1Brazil — sa-east-1 |
| Cloudflare | CDN, DNS e proteção de bordaCDN, DNS and edge protection | Roteamento global; conteúdo hospedado no BrasilGlobal routing; content hosted in Brazil |
| OpenAI | Processamento das interações com os agentes de IAProcessing of interactions with AI agents | Estados UnidosUnited States |
| Evolumeet | Captura, gravação e transcrição de reuniõesMeeting capture, recording and transcription | Estados UnidosUnited States |
| ElevenLabs | Síntese e reconhecimento de voz nos agentes conversacionaisSpeech synthesis and recognition in conversational agents | Estados UnidosUnited States |
| Twilio | Mensagens por WhatsApp e SMSWhatsApp and SMS messaging | Estados UnidosUnited States |
| Resend | E-mail transacionalTransactional email | Estados UnidosUnited States |
| MailerSend | E-mail transacional e institucionalTransactional and institutional email | Estados UnidosUnited States |
| Stripe | Pagamentos e assinaturas (contratação direta)Payments and subscriptions (direct contract) | Estados UnidosUnited States |
Opcionais (só se o Cliente habilitar)
Optional (only if the Customer enables them)
| IntegraçãoIntegration | FinalidadePurpose | Local do tratamentoProcessing location |
|---|---|---|
| Autenticação federada, agenda e integração publicitáriaFederated authentication, calendar and ads integration | Estados UnidosUnited States | |
| Meta | WhatsApp Business e integração publicitáriaWhatsApp Business and ads integration | Estados UnidosUnited States |
| Autenticação e divulgação de vagasAuthentication and job posting | Estados UnidosUnited States | |
| Perplexity, Firecrawl e Apify | Pesquisa de mercado e enriquecimento de dados públicosMarket research and public-data enrichment | Estados UnidosUnited States |
| Instituições financeirasFinancial institutions | Conciliação e importação de extratosReconciliation and statement import | BrasilBrazil |
| Provedores de documentos fiscaisTax document providers | Emissão de notas fiscaisInvoice issuance | BrasilBrazil |
IA, treinamento e transferência internacional
AI, training and international transfer
O Conteúdo do Cliente não é usado para treinar, ajustar ou aperfeiçoar modelos da Orbit ou de terceiros (cláusula 6.6 e IV.2.3). Os provedores de IA são contratados em modalidades que vedam essa utilização. Banco e arquivos permanecem no Brasil; inferência de IA, gravação, mensageria, e-mail e pagamento ocorrem, no todo ou em parte, nos EUA (IV.5) — transferência com cláusulas contratuais (LGPD, art. 33).
Customer Content is not used to train, fine-tune or improve Orbit or third-party models (clause 6.6 and IV.2.3). AI providers are contracted under terms that forbid that use. Database and files stay in Brazil; AI inference, recording, messaging, email and payment occur, in whole or in part, in the US (IV.5) — transfer with contractual clauses (LGPD, art. 33).
Integração Google habilitada pelo Cliente segue Uso Limitado da Política de Privacidade. O Cliente, como Controlador, informa os titulares da transferência (IV.5.3).
Google integration enabled by the Customer follows Limited Use under the Privacy Policy. The Customer, as Controller, informs data subjects of the transfer (IV.5.3).
Retenção, portabilidade e descarte
Retention, portability and disposal
Fonte: cláusulas 15 e Anexo II.5 dos Termos de Uso v3.0.
Source: clauses 15 and Annex II.5 of the Terms of Use v3.0.
- Durante a vigência: Conteúdo do Cliente disponível na Organização. Gravações de reunião (arquivo de mídia): 90 dias da data da reunião; transcrições e análises permanecem enquanto o acesso vigorar. A Empresa notifica 7 dias antes da eliminação programada de gravações.
- During the term: Customer Content available in the Organization. Meeting recordings (media file): 90 days from the meeting date; transcripts and analyses remain while access is in force. The Company notifies 7 days before scheduled deletion of recordings.
- Após o encerramento (15.3): 30 dias de acesso restrito, só leitura, para exportar em formato aberto; em seguida 60 dias arquivado, recuperável a pedido; depois eliminação ou anonimização, salvo obrigação legal. No Acesso via Canal, esses prazos contam da comunicação do encerramento; a exportação é feita direto ao Cliente, sem depender do Canal.
- After termination (15.3): 30 days of restricted read-only access to export in an open format; then 60 days archived, recoverable on request; then deletion or anonymization, unless a legal duty applies. In Access via Channel, those periods run from notice of termination; export goes directly to the Customer, without depending on the Channel.
- Registros de acesso: 6 meses, na forma do art. 15 do Marco Civil da Internet (cláusula 11.4).
- Access logs: 6 months, under art. 15 of the Brazilian Internet Civil Framework (clause 11.4).
- Direitos do titular: requisições sobre o Conteúdo do Cliente vão ao Controlador. Sobre dados de que a Empresa é Controladora — à Encarregada, em 15 dias.
- Data-subject rights: requests about Customer Content go to the Controller. About data for which the Company is Controller — to the DPO, within 15 days.
Trilha de auditoria, segregação e matriz de acessos
Audit trail, segregation and access matrix
Controles implementados no módulo financeiro da plataforma — não são uma promessa futura. A matriz efetiva de cada cliente é a que o administrador da organização configura.
Controls implemented in the platform finance module — not a future promise. Each customer’s effective matrix is the one the organization administrator configures.
Trilha de auditoria
Audit trail
Toda inserção, alteração e exclusão nas entidades financeiras cobertas (contas a pagar e a receber, parcelas, fornecedores, plano de contas, centros de custo, transferências bancárias) gera registro automático: quem, quando, o quê, valores anteriores e posteriores. Usuários da aplicação não conseguem gravar, editar ou apagar essa trilha — a escrita ocorre só por trigger no banco; políticas de RLS bloqueiam INSERT/UPDATE/DELETE diretos.
Every insert, change and delete on covered finance entities (payables and receivables, installments, vendors, chart of accounts, cost centers, bank transfers) creates an automatic record: who, when, what, prior and later values. Application users cannot write, edit or delete that trail — writes happen only via a database trigger; RLS policies block direct INSERT/UPDATE/DELETE.
Fechamento de período
Period close
Snapshots mensais com totais e hash de integridade. Depois de fechado, o snapshot não pode ser alterado nem excluído pelo usuário autenticado (UPDATE/DELETE bloqueados por política).
Monthly snapshots with totals and an integrity hash. After close, the snapshot cannot be changed or deleted by an authenticated user (UPDATE/DELETE blocked by policy).
Segregação de funções
Segregation of duties
Privilégios distintos para visualizar, lançar, editar, aprovar e dar baixa. Quem lança não precisa ser quem aprova; quem aprova não precisa ser quem concilia o banco. Alçadas de aprovação são configuráveis. A segregação efetiva depende de o administrador não acumular todos os privilégios na mesma pessoa.
Distinct privileges to view, post, edit, approve and settle. The person who posts need not be the person who approves; the person who approves need not be the person who reconciles the bank. Approval thresholds are configurable. Effective segregation depends on the administrator not stacking every privilege on the same person.
| Família de privilégioPrivilege family | O que separaWhat it separates |
|---|---|
| VisualizarView | Dashboard, contas a pagar, contas a receber, DRE, fluxo de caixa, orçamento, conciliação — cada um com privilégio próprioDashboard, payables, receivables, P&L, cash flow, budget, reconciliation — each with its own privilege |
| Lançar / editar / excluirPost / edit / delete | Criar e alterar títulos, separado da aprovação e da baixa bancáriaCreate and change entries, separate from approval and bank settlement |
| AprovarApprove | Aprovar pagamentos, contas a receber e versões de orçamento, segundo alçadaApprove payments, receivables and budget versions, by threshold |
| Baixar / conciliarSettle / reconcile | Registrar pagamento ou recebimento no banco; executar conciliação; transferências internasRecord a payment or receipt at the bank; run reconciliation; internal transfers |
| ConfigurarConfigure | Regras de aprovação, fornecedores, plano de contas, escopos por centro de custo / conta / fornecedor / cliente, integrações ERP, NFS-e / NF-eApproval rules, vendors, chart of accounts, scopes by cost center / account / vendor / customer, ERP integrations, NFS-e / NF-e |
A trilha é append-only na camada da aplicação. Administradores de infraestrutura com credencial de serviço do banco podem, como em qualquer SaaS, operar o datastore — esse acesso é restrito, MFA e registrado. Não descrevemos isso como WORM criptográfico tipo gravador fiscal.
The trail is append-only at the application layer. Infrastructure administrators with a database service credential can, as in any SaaS, operate the datastore — that access is restricted, MFA-protected and logged. We do not describe this as cryptographic WORM like a fiscal recorder.
CSA STAR Level 1 (CAIQ) U.S.
CSA STAR Level 1 (CAIQ) U.S.
Autoavaliação de segurança em nuvem em preenchimento, com submissão prevista ao registro público da Cloud Security Alliance nos EUA. Não é certificado emitido nem listagem já publicada — o questionário CAIQ ainda não foi submetido.
Cloud security self-assessment being completed, with submission planned to the Cloud Security Alliance public registry in the United States. It is not an issued certificate and not a listing already published — the CAIQ questionnaire has not been submitted yet.
O que é o Level 1
What Level 1 is
O STAR Level 1 da CSA é uma autoavaliação (Consensus Assessments Initiative Questionnaire — CAIQ), não uma auditoria de terceira parte. A Orbit está preenchendo o questionário para submeter ao registro público da CSA nos Estados Unidos. Enquanto a listagem não estiver publicada, este item permanece em implementação.
CSA STAR Level 1 is a self-assessment (Consensus Assessments Initiative Questionnaire — CAIQ), not a third-party audit. Orbit is completing the questionnaire for submission to the CSA public registry in the United States. Until the listing is published, this item remains in progress.
O que é público e o que vai sob NDA
What is public and what goes under NDA
Um comitê de segurança não deveria receber um PDF de produto. A tabela é o mapa honesto do pacote. O Termos de Uso v3.0, aceito na Plataforma, prevalece sobre qualquer resumo desta página.
A security committee should not receive a product PDF. The table is the honest map of the pack. Terms of Use v3.0, accepted on the Platform, prevails over any summary on this page.
| Artefato pedido em due diligenceArtifact requested in due diligence | Situação hojeStatus today | Como entregamosHow we deliver | |
|---|---|---|---|
| Certificado ISO/IEC 27001 da OrbitOrbit ISO/IEC 27001 certificate | Não emitido — SGSI em implementação com a TemplumNot issued — ISMS in progress with Templum | Quando o certificado for emitidoWhen the certificate is issued | Em cursoIn progress |
| SOC 2 Tipo II da OrbitOrbit SOC 2 Type II | Não possuímos. SOC 2 Tipo II e ISO 27001 cobrem a infraestrutura (Supabase / AWS)We do not hold one. SOC 2 Type II and ISO 27001 cover the infrastructure (Supabase / AWS) | Não reivindicar como certificação nossaDo not claim it as our certification | Em cursoIn progress |
| Política de Segurança da Informação aprovadaApproved Information Security Policy | Vigente — política públicaIn force — public policy | Documento públicoPublic document | PúblicoPublic |
| Atestado PTaaS (HOUS3)PTaaS attestation (HOUS3) | Vigente — HOUS3-2026-0002; o badge nesta página lê o status em tempo real. Relatório técnico completo sob NDAIn force — HOUS3-2026-0002; the badge on this page reads status in real time. Full technical report under NDA | Página de verificaçãoVerification page | PúblicoPublic |
| Política de backup e continuidadeBackup and continuity policy | PITR ativo (WAL 2 min, 7 dias, São Paulo); restore completo periódico para projeto novo — último ciclo documentado: jul/2026, COMPLETEDPITR on (WAL 2 min, 7 days, São Paulo); periodic full restore to a new project — last documented cycle: Jul/2026, COMPLETED | RTO de failover in-place ainda não cronometradoIn-place failover RTO not yet timed | PúblicoPublic |
| SLA de disponibilidade e suporteAvailability and support SLA | 99,0% mensal (Anexo III dos Termos v3.0); crédito na contratação direta; status em /status99.0% monthly (Annex III of Terms v3.0); credit on direct contracts; status at /status | Página pública /statusPublic /status page | PúblicoPublic |
| Plano de resposta a incidentesIncident response plan | Cliente em até 48 h (cláusula 10.7); ANPD compete ao controlador, com apoio da OrbitCustomer within 48 h (clause 10.7); ANPD notice is the controller’s duty, with Orbit support | Playbook interno sob NDAInternal playbook under NDA | Sob NDAUnder NDA |
| Contrato de tratamento (DPA)Data processing agreement (DPA) | Anexo IV dos Termos de Uso v3.0 — aceite eletrônico na PlataformaAnnex IV of Terms of Use v3.0 — electronic acceptance on the Platform | Documento vinculante já aceitoBinding document already accepted | ContratoContract |
| Lista de subprocessadoresSub-processor list | Anexo IV (essenciais e opcionais), nesta páginaAnnex IV (essential and optional), on this page | Atualização com aviso de 30 dias se essencial/nova jurisdição30-day notice if essential or a new jurisdiction | PúblicoPublic |
| Política de retenção e descarteRetention and disposal policy | 30 dias só leitura + 60 arquivado (cláusula 15.3); gravações 90 dias (Anexo II.5)30 days read-only + 60 archived (clause 15.3); recordings 90 days (Annex II.5) | Termos v3.0Terms v3.0 | PúblicoPublic |
| Trilha de auditoria financeiraFinancial audit trail | Controles no produto, descritos abaixoIn-product controls, described below | Evidência de configuração da org sob NDAOrg configuration evidence under NDA | PúblicoPublic |
| CSA STAR Level 1 (CAIQ) U.S.CSA STAR Level 1 (CAIQ) U.S. | Em preenchimento — autoavaliação CAIQ; submissão prevista ao registro público da Cloud Security Alliance nos EUA. Ainda não está no registro.In progress — CAIQ self-assessment; submission planned to the Cloud Security Alliance public registry in the U.S. Not yet listed. | Não reivindicar como STAR publicadoDo not claim it as a published STAR listing | Em cursoIn progress |