- Em vigor desde
- 28 de setembro de 2026
Esta versão em português é fornecida por conveniência. A versão em espanhol é a que se aplica.
Como protegemos os dados das empresas e das pessoas que usam o XEN. Este resumo é a versão pública. A documentação completa (Declaração de Aplicabilidade, programa de testes de segurança, plano de certificação e diagramas de fluxo de dados) é entregue a clientes e avaliadores sob acordo de confidencialidade, por meio de security@xeneural.com.
Registro de alterações
| Data | Alteração |
|---|
| Novembro de 2025 | Primeira versão |
| 28 de setembro de 2026 | Login corporativo, registro de acessos visível para o administrador, objetivos de recuperação, programa de testes de segurança, calendário de certificação, administração da plataforma e e-mail autenticado |
O essencial
- Os seus dados são seus. Nós os usamos somente para lhe prestar o Serviço. Não treinamos modelos de inteligência artificial com eles e proibimos isso por contrato aos nossos fornecedores.
- Criptografia em trânsito e em repouso. TLS 1.2 ou superior em trânsito e AES-256 em repouso, em bancos de dados, arquivos e cópias de backup.
- Cada empresa, isolada. Os dados de cada cliente estão segregados logicamente e cada requisição é validada no servidor contra a organização do usuário; os identificadores enviados pelo navegador não são usados para autorizar.
- Acesso corporativo e permissões detalhadas. Login corporativo SAML ou OIDC, exclusivo por empresa se o cliente assim escolher, com autenticação multifator obrigatória; papéis por módulo, ação e unidade; privilégio mínimo.
- Aviso de incidentes em 24 horas. Procedimento documentado, com notificação aos clientes afetados em no máximo 24 horas desde que temos conhecimento razoável do incidente e um relatório completo em 10 dias úteis.
- Um sistema de gestão em operação. Sistema de gestão de segurança da informação em conformidade com a ISO/IEC 27001:2022, com políticas, registros, auditoria interna e análise crítica pela direção. O processo de certificação foi iniciado em outubro de 2026.
Segurança do produto
| Controle | O que fazemos |
|---|
| Autenticação | Identidade verificada no servidor em cada requisição; login corporativo SAML ou OIDC (Google Workspace e Microsoft Entra ID), exclusivo por empresa se o cliente assim escolher, com autenticação multifator obrigatória; senhas guardadas criptografadas pelo nosso provedor de identidade e nunca legíveis pela Xeneural; segundo fator TOTP com códigos de recuperação |
| Autorização | Papéis por módulo, ação e unidade; os administradores do cliente gerenciam os seus usuários e permissões; os acessos de suporte requerem autorização do cliente e ficam registrados |
| Segregação entre clientes | Identificador de organização validado no servidor em cada operação; as consultas são limitadas por design à organização ativa |
| Integridade dos dados | Validação de esquemas, impressões SHA-256 de cada documento, assinatura eletrônica com cadeia verificável e carimbo de tempo, sanitização de entradas |
| Perímetro do aplicativo | Cabeçalhos de segurança estritos (CSP, HSTS, isolamento de origem), limites de taxa globais e por conta, proteção contra automação abusiva em formulários públicos |
| Assistente XENI | Contexto limitado à empresa ativa e às permissões do usuário; nenhuma ação de escrita sem confirmação humana; conteúdo gerado identificado como tal; o administrador pode desativar o XENI para toda a empresa; fornecedor de modelo sem treinamento sobre dados de clientes |
Segurança dos dados
| Controle | O que fazemos |
|---|
| Criptografia em trânsito | TLS 1.2 ou superior em todas as conexões: navegador, aplicativos móveis e integrações |
| Criptografia em repouso | AES-256 em bancos de dados, armazenamento de arquivos e cópias de backup; segredos de integração criptografados com chave própria e rotação programada |
| Localização | Hospedagem em centros de dados de fornecedores certificados nos Estados Unidos; entrega e proteção do tráfego em uma rede de borda global; transferências comunicadas à autoridade peruana e cobertas por cláusulas contratuais-tipo para clientes europeus |
| Cópias e recuperação | Banco de dados com cópia contínua e restauração a um ponto no tempo (RPO de 5 minutos, RTO de 4 horas); documentos com réplica diária; restauração de teste a cada trimestre com ata e exercício anual de recuperação de desastres |
| Retenção e exclusão | Prazos publicados na Política de Privacidade; exportação em formatos abertos; exclusão certificada após o término; conservação legal de comprovantes e registros contábeis em arquivo com verificação de integridade |
| Registro de acessos e atividade | Quem fez o quê e quando, incluídos os logins e os acessos de suporte, visível para o administrador do cliente; conservação de 24 meses; revisão trimestral |
Segurança da operação
| Controle | O que fazemos |
|---|
| Desenvolvimento seguro | Testes automatizados, alertas de dependências vulneráveis, análise de dependências com quarentena e verificação de assinaturas, programa de testes de segurança internos classificados por nível de impacto, gestão de vulnerabilidades com prazos por severidade, implantação por fluxo de trabalho após os testes |
| Fornecedores | Somente fornecedores com ISO/IEC 27001 ou SOC 2, acordo de tratamento de dados ou condições equivalentes e notificação de incidentes; lista pública de suboperadores com 30 dias de aviso diante de mudanças |
| Pessoal e equipamentos | Acordos de confidencialidade, formação registrada, equipamentos com acesso a informações da empresa com criptografia de disco, bloqueio automático e atualizações em dia; acesso à produção somente para pessoal autorizado |
| Administração da plataforma | Console interno separado do aplicativo: cada ação exige a sessão verificada de uma conta ativa da equipe, cada pessoa acessa apenas as seções atribuídas e a desativação de uma conta tem efeito imediato; cada acesso da equipe aos dados de uma empresa fica no registro de atividade dessa empresa, visível para o seu administrador |
| E-mail | Os e-mails de xeneural.com são assinados com DKIM e autorizados com SPF; o DMARC está em política de quarentena com relatórios diários e passa a rejeição em 26 de outubro de 2026 |
| Continuidade | Objetivos de recuperação publicados no Acordo de Nível de Serviço; plano de continuidade com restauração de teste trimestral e exercício anual |
| Verificação | Programa contínuo de testes de segurança internos; teste de intrusão externo com a auditoria de etapa 2 da certificação (janeiro de 2027) e anual depois disso; auditoria interna e análise crítica pela direção anuais; os resumos executivos são compartilhados com clientes sob confidencialidade |
Gestão de incidentes
- Detecção por monitoramento, por aviso de um cliente ou de um fornecedor, ou por um pesquisador de segurança.
- Contenção imediata e registro com responsável e hora.
- Notificação aos clientes afetados dentro das 24 horas seguintes ao momento em que temos conhecimento razoável do incidente; as informações são completadas por fases.
- Notificação à Autoridade Nacional de Proteção de Dados Pessoais do Peru dentro do prazo legal quando corresponder, e assistência ao cliente para as suas próprias notificações.
- Relatório posterior com causa raiz, impacto, medidas e prazos, em no máximo 10 dias úteis.
Certificações e estado
| Marco | Estado |
|---|
| ISO/IEC 27001:2022 | Sistema de gestão documentado e em operação. Processo de certificação iniciado em outubro de 2026: auditoria de etapa 1 em dezembro de 2026 e de etapa 2 em janeiro de 2027 |
| Fornecedores de infraestrutura | Possuem ISO/IEC 27001 ou SOC 2; a lista, com a finalidade e a localização de cada um, está na página de suboperadores |
Roteiro
| Melhoria | Data |
|---|
| Certificado ISO/IEC 27001 emitido por organismo acreditado | Após a auditoria de etapa 2 (janeiro de 2027) |
| Teste de intrusão externo por um terceiro independente | Com a auditoria de etapa 2 (janeiro de 2027) |
| Criptografia por campo com chave gerenciada pelo cliente | Evolução prevista sobre o banco de dados atual |
Reporte de vulnerabilidades
Se você encontrar uma vulnerabilidade, escreva-nos em security@xeneural.com. A nossa Política de Divulgação Responsável explica o escopo, os prazos de resposta e o compromisso de não empreender ações legais contra quem pesquisar de boa-fé. Os dados de contato também estão em xeneural.com/.well-known/security.txt.
Em vigor desde 28 de setembro de 2026. As versões anteriores são conservadas e fornecidas mediante pedido a legal@xeneural.com.
