Segurança que você consegue ligar, ver e auditar.
Descrevemos só medidas que existem no produto, com o caminho para conferir. E dizemos também o que ainda não temos: certificação não se promete, se publica.
Acesso à conta
- Autenticação em dois fatores (2FA) por aplicativo autenticador, com códigos de recuperação, em todos os planos, inclusive no Gratuito.
- Senhas com no mínimo 8 caracteres, guardadas apenas como hash: ninguém do Prazeo consegue lê-las.
- Limite de tentativas de login, de verificação do 2FA e de recuperação de senha, contra ataques de força bruta.
- Sessões com validade e encerramento pelo próprio usuário.
Perfis e permissões
Cada pessoa tem um perfil (Titular, Administrador, Advogado(a), Estagiário(a), Financeiro ou Somente leitura) e cada tela, ação e exportação confere a permissão no servidor, não só escondendo botões.
- Processos com visibilidade restrita aparecem só para a equipe autorizada; nas listas de outros módulos, o título fica mascarado.
- Documentos financeiros (recibos e comprovantes) ficam restritos a quem tem acesso ao financeiro.
- A exclusão definitiva da lixeira é exclusiva do titular e dos administradores.
Trilha de auditoria
Toda criação, alteração e exclusão fica registrada com quem fez, quando, de onde e o antes e depois, inclusive as feitas pela API e pelos processos automáticos. A trilha está em todos os planos.
Isolamento entre escritórios
Cada registro pertence a um escritório, e toda consulta é filtrada pelo escritório da sessão no servidor. Um identificador vindo do navegador nunca é aceito sem a conferência de que pertence ao seu escritório.
Credenciais e integrações
- Credenciais de meios de pagamento, WhatsApp e nota fiscal são guardadas cifradas (AES-256-GCM).
- Webhooks são assinados com HMAC-SHA256 e carimbo de tempo, para você validar a origem.
- Chaves de API têm escopos: cada integração recebe só as permissões de que precisa.
- Downloads de arquivos passam por conferência de escritório e de permissão a cada pedido.
Disponibilidade e continuidade
- Página de status pública, com histórico de incidentes.
- Agenda e próximos prazos disponíveis offline no navegador.
- Problema de pagamento nunca bloqueia o acesso: a conta passa a somente leitura, e prazos, publicações e documentos continuam visíveis e exportáveis por 90 dias.
O que ainda não temos
O Prazeo ainda não tem certificações independentes como ISO/IEC 27001 ou relatório SOC 2. Quando tivermos, publicaremos aqui com o escopo e o relatório, não antes. Também ainda não temos login único corporativo (SSO via SAML ou OIDC): cada pessoa entra com e-mail e senha, e pode ligar o 2FA. Para departamentos jurídicos, o plano Corporativo inclui contrato de tratamento de dados (DPA).
Encontrou uma vulnerabilidade?
Escreva para suporte@prazeo.com.br com o assunto “Segurança”. Respondemos, investigamos e combinamos a divulgação com você. Não acione dados de outros clientes nos testes. Veja também a política de privacidade.
Ligue o 2FA no primeiro dia.