Segurança e controle de acesso
Papéis definidos por workspace, login por provedor de identidade e dados isolados por tenant.
Acesso por papel
Cada pessoa recebe um papel dentro do workspace, e o que ela pode ver ou fazer segue esse papel.
- Owner, admin, member e billing admin
- Convites e revogações controlados pelo workspace
- Platform owner separado dos papéis do tenant
Autenticação
O login usa Authorization Code com PKCE em um provedor de identidade. A sessão do navegador fica em cookie criptografado e HTTP-only.
- Fluxo OIDC com PKCE
- Validação de emissor, público e nonce
- Sessão criptografada e HTTP-only
Isolamento por workspace
Cada requisição de produto carrega o tenant ativo, e a API resolve a participação da pessoa naquele tenant antes de responder.
- Registros vinculados a um tenant
- Participação verificada a cada requisição
- Sem acesso entre workspaces
Rastreabilidade
Mudanças em catálogo, estado comercial do tenant e billing geram registro de auditoria.
- Trilha de auditoria das operações
- Acesso à auditoria restrito ao platform owner
- Histórico mantido como registro de negócio
Segredos e retenção
Segredos de provedores de pagamento ficam criptografados, e a rotina de retenção atua nas tabelas operacionais, não na trilha de auditoria.
- Segredos criptografados, não em JSON público
- Rotina de retenção para tabelas operacionais
- Trilha de auditoria preservada
Perguntas
O Spotren tem certificação SOC 2 ou ISO 27001?
Não. Nenhuma certificação é publicada hoje.
Existe backup dos dados?
A operação mantém procedimentos documentados de backup e restauração.
Quem pode consultar a auditoria?
O acesso à auditoria é restrito ao platform owner.
Avalie a segurança com o time
Abra o aplicativo para conhecer o produto ou use o contato para tratar de requisitos específicos.
Abrir o aplicativo