Centro de Confiança

🔒 Visão Geral de Segurança

Como protegemos os seus documentos e dados em cada camada.

• Cloudflare Pages + Workers (implementado na edge, sem servidor de origem)
• Todos os dados encriptados em trânsito (TLS 1.3) e em repouso
• Tokens CSPRNG de 256 bits, com hash SHA-256 (nunca armazenados em bruto)
• Trilha de auditoria encadeada por hash, deteção de adulteração automática
• Azure Key Vault HSM (FIPS 140-2 Nível 2) para chaves de assinatura de documentos certificadas AATL
• Autenticação JWT + JWKS com chaves de API com âmbito por produto
• Limitação de taxa (IP + utilizador), CORS, limites de tamanho do corpo
• 5 âncoras de verificação independentes por envelope

🕵 Privacidade & Tratamento de Dados

O que recolhemos, para quê e como tratamos os dados.

• Email, nome, IP e agente de utilizador do signatário registados como evidência
• Funcionalidades opcionais (foto, GPS, áudio, vídeo) são opt-in e requerem consentimento
• Dados de evidência armazenados em cofres WORM selados, imutáveis após selagem
• Sem análise de terceiros nem rastreamento nas páginas de assinatura
• Resumos processados via Cloudflare Workers AI (sem chamadas a serviços externos)
• As páginas de assinatura não definem cookies nem utilizam fingerprinting
• Política de privacidade: sign.abundera.ai/privacy/

📅 Retenção & Eliminação

Por quanto tempo guardamos os documentos e como funciona a eliminação.

• Starter: retenção WORM de até 3 anos
• Professional: retenção WORM de até 7 anos
• Business: configurável até 99 anos
• Armazenamento WORM (Write Once Read Many), pacotes de evidências imutáveis após selagem
• Cron automatizado de retenção elimina pacotes expirados
• Envelopes arquivados excluídos por defeito, recuperáveis antes da eliminação
• Envelopes de demonstração: 90 dias de retenção em cofre WORM separado

🌐 Subprocessadores

Serviços de terceiros que tratam dados em nosso nome.

• Cloudflare, alojamento, CDN, base de dados D1, armazenamento KV, armazenamento de objetos R2, Workers AI
• ZeptoMail (Zoho), entrega de email transacional (principal)
• Resend, entrega de email transacional (alternativa)
• Twilio, entrega de OTP por SMS
• DigiCert + SwissSign, autoridades de carimbo de tempo RFC 3161 (SSL.com como fallback terciário)
• Veriff, verificação de identidade por documento (opcional)
• Azure Key Vault, chaves de assinatura de documentos certificadas AATL com suporte HSM
• GitHub, ancoragem de evidências (commit público)

⚡ Disponibilidade & Resposta a Incidentes

Como mantemos o serviço em funcionamento e gerimos incidentes.

• Implementado na rede global de edge da Cloudflare (300+ cidades)
• Plano Business: SLA de 99,9%
• Endpoint de saúde: /api/v1/health (verifica D1, KV, R2)
• Comutação automática entre fornecedores de email (ZeptoMail → Resend)
• Fila de reenvio de email com reentrega automática (até 3 tentativas)
• Redundância dupla de TSA RFC 3161 (DigiCert + SwissSign, SSL.com como fallback terciário)
• Degradação controlada, âncoras opcionais falham de forma independente

⚖ Jurídico & Conformidade

Quadro regulatório e normas jurídicas que suportamos.

• Conforme com o ESIGN Act (15 U.S.C. § 7001)
• Conforme com UETA (Uniform Electronic Transactions Act)
• Assinaturas digitais PAdES-LTA, certificadas AATL, com suporte HSM (ETSI EN 319 142)
• Carimbos de tempo fidedignos RFC 3161 (norma IETF)
• Declaração do Guardião de Registos pronta para tribunal (FRE 803(6), 901(b)(9), 902(11), 902(14))
• Armazenamento WORM para imutabilidade das evidências
• Consentimento ESIGN específico por estado para NY, CA, TX, IL, WA, com divulgações suplementares e avisos de exclusão de tipos de documentos além da conformidade federal
• Termos de serviço: abundera.ai/terms

💡 Propriedade Intelectual

Patente Pendente (USPTO). 10 invenções proprietárias cobrindo selagem de evidências, validação de cerimónia, pontuação de signatários e verificação criptográfica do lado do cliente. Proteção de segredo comercial para algoritmos de pontuação, limiares de validação e modelos de consentimento. Depósito internacional PCT planeado.

• Pedido de Patente Provisória nos EUA depositado em março de 2026
• 10 invenções independentes, 166 reivindicações no total
• Cobre selagem de evidências em múltiplas infraestruturas e validação de dupla linha temporal
• Segredos comerciais mantidos para algoritmos e limiares de pontuação
• Depósito internacional PCT planeado para UE, Reino Unido, Canadá, Austrália e Japão

📨 Contacto de Segurança / Reportar Vulnerabilidade

Encontrou um problema de segurança? Levamos a divulgação responsável a sério.

Contacto de segurança: security@abundera.ai

Suporte geral: support@abundera.ai