A IA acelera. A engenharia protege.

Cada afirmação abaixo vem marcada com o que a sustenta. Implementado significa que existe em código e em teste, e que mostramos o arquivo em due diligence. Contratual significa que é obrigação assumida no contrato e cumprida por processo, não por controle técnico. Do provedor significa que quem cumpre é a infraestrutura que contratamos, e o que oferecemos é o repasse da garantia dela. Um fornecedor que não faz essa distinção está pedindo que você confie no slide.

Cada cliente tem seu próprio espaço lógico no Postgres, protegido por Row‑Level Security. A política não depende de o código lembrar de filtrar: o tenant da sessão entra por variável de conexão e o banco recusa a linha que não é dele. A suíte tem testes dedicados de isolamento, que tentam ler o dado do vizinho e precisam falhar para o teste passar.

O limite honesto: esses testes rodam na suíte local do time. Não há pipeline de integração contínua neste repositório, então a frase correta é “testes de isolamento existem e são executados antes de publicar”, não “rodam automaticamente a cada release”.

Ingestão de evidência, extração, edição, aprovação, geração de rascunho por LLM, revisão humana e exportação viram registros em um log append‑only: DELETE e UPDATE são bloqueados por gatilho no próprio banco, não por convenção de código — quem tentar apagar um evento recebe erro do Postgres. Os registros são encadeados por hash SHA‑256, de modo que remover ou reescrever um elo quebra a verificação da cadeia. O log é exportável sob demanda para o auditor do cliente.

O provedor primário é a Anthropic. A garantia de que o conteúdo enviado por API não é usado para treinar modelo é dela, e vale nos termos que ela publica — nós a repassamos no contrato, não a produzimos. Provedores alternativos só são acionados onde a mesma garantia se aplica.

O que é nosso e verificável: o dado do cliente sai do banco já recortado para a tarefa, e toda saída do modelo passa por validação determinística antes de virar texto — descrita em Metodologia.

A lista completa e atualizada vai anexa ao contrato. Os subprocessadores em uso hoje:

• Anthropic (Claude) — inferência de LLM.
• Supabase — Postgres gerenciado, storage de evidências e autenticação. O arquivo de evidência fica no storage do Supabase; não usamos outro provedor de objeto.
• Vercel — hospedagem da aplicação.

Não há ferramenta de telemetria de produto instalada nesta versão. Mudança de subprocessador é comunicada com 30 dias de antecedência.

• Validador determinístico · implementado. Toda saída passa por seis verificações sem LLM: número sem data point associado, data point inexistente ou fora de vigência, ano que não cabe no período, valor divergente do gravado, unidade divergente, e código fora do catálogo. Falhou uma, a saída inteira é rejeitada.
• Recusa como funcionalidade · implementado. Na aprovação há onze motivos de recusa tipados — entre eles número extraído por IA sem trecho literal do documento, trecho sem endereço de origem, e fonte que deixou de existir.
• Revisão humana · implementado. Nenhum data point extraído por IA vira citação sem aprovação de pessoa nomeada, e a aprovação fica na trilha com o ator.
• Fronteira de norma declarada · implementado. O catálogo tem vinte códigos e o validador recusa citação fora dele. O que está e o que não está coberto é listado em Metodologia.
• Model card por caso de uso · não implementado. É trabalho pendente. Até existir, não há taxa de erro publicada por caso de uso, e esta página não afirma que há.
• Plano de resposta a incidente de IA · contratual. Documentado em processo; nenhum controle técnico o impõe.

Os compromissos abaixo são obrigações de contrato e de processo. Nenhum deles é imposto por controle técnico no produto, e por isso aparecem separados dos itens implementados:

• DPA (Data Processing Agreement) em todo contrato.
• DPO nomeado, com canal público de contato.
• Base legal documentada por finalidade de tratamento.
• Retenção mínima necessária, com descarte ao fim do contrato.
• Direitos do titular (acesso, correção, portabilidade, eliminação) atendidos em até 15 dias.
• Registro de operações (art. 37) mantido e auditável.

• TLS em trânsito e AES‑256 em repouso · do provedor. Cumpridos pela infraestrutura gerenciada (Supabase, Vercel), nos termos que elas publicam.
• Controle de acesso por papel · implementado. As rotas exigem papel mínimo, e a permissão é verificada no servidor a cada requisição, não escondendo botão na tela.
• SSO (SAML), 2FA obrigatório para admin e rotação programada de credenciais · não implementados. São requisitos frequentes de comprador Enterprise e não estão prontos. Se algum deles é condição para você comprar, diga na primeira conversa — a resposta honesta hoje é uma data, não um “sim”.

Comunicação ao cliente em até 24 horas em caso de incidente que afete seus dados. Reporte à ANPD nos prazos legais. RCA (root cause analysis) escrita e compartilhada com os clientes afetados.

1. NDA bilateral.
2. MSA (Master Services Agreement).
3. DPA LGPD.
4. SOW (escopo do trabalho).
5. Política de uso responsável de IA.
6. Lista de subprocessadores atualizada.
7. A lista de limitações conhecidas desta página, por escrito e datada.

Segurança e privacidade: sac@lastrobrasil.com. Descoberta responsável de vulnerabilidade é bem‑vinda. Se você encontrar nesta página uma afirmação que o produto não sustenta, esse é o relato de segurança que mais queremos receber.