Onde o documento fica, quem consegue abrir e por quanto tempo ele é retido.

Uma credencial não abre a porta da outra

O token do prestador declara a plateia “portal” e o token da empresa não a declara. Cada guard exige a sua: token de prestador apresentado na área da empresa recebe 401, e o inverso também. O portal é o único lugar do sistema cuja identidade não pertence a organização nenhuma, e é justamente por isso que ele precisa de um cofre separado.

Senha guardada só como hash

A senha nunca é armazenada em claro: o que fica no banco é o hash bcrypt com fator de custo 12. O login devolve exatamente a mesma mensagem para e-mail inexistente e para senha errada, e gasta o mesmo tempo nos dois casos — sem isso, o tempo de resposta diria quais e-mails existem na base.

O JWT não é lido pelo JavaScript da página

A sessão vive em cookie httpOnly gravado por server action, e toda chamada autenticada sai do servidor. O token não está acessível ao script da página, então uma falha de XSS não se converte em sequestro de sessão.

Duração curta, renovação antes da tela

O token de acesso da empresa vale 15 minutos e é renovado por um de atualização de 7 dias, antes de a página renderizar. O portal usa token de 72 horas sem renovação: expirado, o prestador volta ao login. Sair apaga o cookie.

Revalidação a cada requisição, e o escopo vem do banco

O identificador da organização que a aplicação usa é lido do registro do usuário a cada requisição, nunca do conteúdo do token — token forjado com outra organização continua enxergando o escopo real. Usuário desativado, organização encerrada ou vínculo de prestador revogado derrubam a sessão na requisição seguinte, sem esperar o token expirar. A tela que revoga o vínculo ainda não está no ar; a verificação, sim.

Na aplicação: o escopo é aplicado por último

Todo acesso a dado recebe o identificador da organização vindo da sessão, nunca do corpo ou da consulta — nenhum campo de entrada aceita esse valor. E ele é injetado no filtro depois de qualquer filtro de quem chamou, de modo que nenhum parâmetro consegue sobrescrevê-lo.

No banco: a chave estrangeira carrega a organização junto

As referências entre tabelas são compostas por identificador e organização. Isso torna referência cruzada impossível no nível do banco: um defeito de aplicação falha com violação de chave estrangeira em vez de entregar o dossiê alheio.

Recurso alheio responde “não encontrado”, nunca “sem permissão”

Dizer “existe, mas você não pode ver” já entrega a informação de que existe. A resposta é 404 em todo o sistema, inclusive no portal do prestador, onde documento de outro dossiê some em vez de ser negado.

A entrada é hostil por definição, e é tratada assim

Parte dos arquivos vem de um terceiro, pelo portal. A validação é por assinatura de arquivo — os primeiros bytes do conteúdo —, e não por extensão nem pelo tipo declarado, que vêm ambos do cliente. São aceitos PDF, PNG, JPEG e XML, com teto de 20 MB; arquivo de texto declarado como PDF é recusado.

A varredura de antivírus está no fluxo e o motor não está ligado

Todo documento nasce com a varredura marcada como pendente, e o download é barrado se ela apontar arquivo infectado. O motor que executa a varredura ainda não foi acoplado — a marca existe, a verificação não. É pendência declarada, e não uma peça que a página finge estar rodando.

Resumo na entrada, e substituir nunca sobrescreve

O SHA-256 é calculado no momento da ingestão e gravado com o documento. Substituir cria uma versão nova, com número próprio: o objeto anterior continua existindo e continua verificável, de modo que um dossiê montado em março segue reproduzível em setembro.

Sem bucket público, sem link permanente

A chave de cada objeto começa pelo identificador da organização, o que permite política de acesso por prefixo e torna qualquer vazamento rastreável pelo caminho. Cada download é uma URL assinada válida por 5 minutos, emitida depois de o escopo do pedido ser verificado. Não existe endereço público de arquivo.

Criptografia no armazenamento é obrigatória em produção

O serviço de armazenamento se recusa a subir em produção sem criptografia configurada — não é aviso em log, é falha de inicialização. Em desenvolvimento ela fica desligada porque o servidor local usado nos testes não a implementa.

Bloqueio de retenção para processo em curso

Documento pode ser marcado com bloqueio de retenção, e a marca exige motivo por escrito — o número da reclamatória, por exemplo. Enquanto o bloqueio existir, nenhuma rotina de expurgo o alcança, e a regra é restrição do banco, não convenção de código: registro com bloqueio e data de expurgo ao mesmo tempo é recusado na gravação.

Dois serviços previstos ainda não têm provedor

A consulta cadastral de CNPJ e a assinatura eletrônica estão no desenho do produto e não estão contratadas nem implementadas. Quando forem, entram nesta lista antes de entrarem no código — subprocessador que aparece em produção antes de aparecer na página é exatamente o que uma lista de subprocessadores existe para impedir.

Ainda não há encarregado nomeado publicamente

O art. 41 da LGPD pede a indicação de um encarregado, com identidade e canal divulgados. Não há pessoa nomeada hoje. Enquanto não houver, o canal para exercer direitos de titular é o de contato desta página, com resposta por escrito — e quando houver, o nome e o endereço aparecem aqui.

A contratante é a controladora dos dados do prestador dela

Quem decide contratar, quais documentos exigir e por quanto tempo mantê-los é a empresa contratante. O Lastro trata esses dados por conta dela e conforme a finalidade declarada: documentar a relação contratual. Ainda não existe um contrato de tratamento de dados publicado que formalize essa posição, e ele é pré-requisito conhecido para o jurídico do cliente liberar a compra.

O que este site coleta de você é outra coisa, e é curto

Visitando estas páginas, o único dado que sai daqui é o que você digita no formulário de contato: nome, e-mail e a faixa aproximada de prestadores. O diagnóstico gratuito roda no seu navegador e não transmite resposta nenhuma. O aviso de privacidade detalha os dois casos.

O aviso de privacidade deste site fica em Privacidade, e as perguntas mais frequentes sobre dado e retenção estão respondidas na central de perguntas.