Declaração de Segurança da Informação e Governança Técnica
Documentação jurídica oficial vinculante alinhada à Lei Federal nº 14.133/2021 e à Lei Geral de Proteção de Dados (Lei 13.709/2018).
1. Arquitetura de Isolamento de Tenants (Row-Level Security)
Cada Empresa Licitante cadastrada na plataforma opera sob isolamento lógico estrito via políticas de Row-Level Security (RLS) aplicadas na camada de persistência. Nenhum usuário ou tenant pode visualizar, consultar ou indexar documentos pertencentes a terceiros.
O SuperAdmin institucional possui credenciais restritas exclusivamente para governança da plataforma, suporte técnico especializado de nível 3 e monitoramento das métricas macroeconômicas do SaaS (MRR, churn e taxa de recall). O acesso a arquivos custodiados sem autorização expressa é terminantemente vedado pela arquitetura.
2. Trilha de Auditoria Imutável (Append-Only)
Todas as ações sensíveis realizadas na plataforma são registradas em estrutura append-only na tabela interna audit_events. Os registros incluem:
- Identificação unívoca do ator e credencial utilizada
- Carimbo temporal com fuso horário oficial (America/Sao_Paulo)
- Endereço IP e identificador de sessão
- Ação executada e tenant afetado
- Payload de alteração criptografado com chave assimétrica
Os registros de auditoria são mantidos por no mínimo 2 anos para fins de perícia forense e não podem ser sobrescritos ou excluídos pela interface administrativa.
3. Controle de Acesso Administrativo e Sessões de Suporte
O acesso ao cockpit administrativo (/admin) é protegido por middleware de borda com encerramento forçado de sessão após 30 minutos de inatividade.
Sessões de suporte em modo “Impersonation” ativam obrigatoriamente um banner institucional persistente no topo do painel do cliente (MODO SUPORTE ATIVO) e registram compulsoriamente a justificativa técnica na trilha de auditoria para fins de compliance e prestação de contas perante a LGPD.
4. Gestão Contínua de Vulnerabilidades e Incidentes
A infraestrutura do EditalFlash passa por rotinas automatizadas de varredura de dependências e testes de estresse em APIs. Conforme o Art. 48 da Lei nº 13.709/2018, qualquer incidente de segurança relevante que possa acarretar risco aos titulares será formalmente comunicado à Autoridade Nacional de Proteção de Dados (ANPD) e às empresas afetadas em até 72 horas.
5. Princípio da Segurança Jurídica e Não-Armazenamento de Senhas
O EditalFlash não é robô de lances e não solicita, armazena ou trafega certificados digitais e-CNPJ com chave privada ou senhas de acesso aos portais de compras públicas (Compras.gov.br, Licitanet, BBMNet, etc.). A integridade das credenciais de disputa permanece sob guarda exclusiva do licitante.