Segurança

Não há cadastro público: cada usuário é convidado por um administrador da própria organização e define sua senha por um link de primeiro acesso enviado ao e-mail.

As áreas internas exigem sessão autenticada. A recuperação de senha é feita por e-mail, e o celular só é considerado confirmado após verificação por código.

Cada pessoa recebe papéis e escopos (empresa, contrato, site) definidos pela organização. As permissões por módulo e ação são verificadas no próprio banco de dados, e não apenas na tela.

Fluxos sensíveis, como aprovações de compras e reembolsos, aplicam segregação de funções: quem solicita não aprova nem paga o próprio pedido.

O Stellio é multiempresa. Todos os registros de negócio pertencem a uma organização, e políticas de acesso por linha impedem que uma organização consulte ou altere dados de outra.

Esse isolamento é coberto por testes automatizados executados a cada mudança estrutural relevante.

Alterações relevantes geram registros de auditoria que não podem ser editados ou apagados pelos usuários, com encadeamento que permite verificar a integridade da sequência.

Aceites de documentos legais também são registrados de forma imutável.

Evidências e anexos podem ficar no armazenamento corporativo da própria organização (Google Drive ou Microsoft OneDrive/SharePoint). O Stellio guarda apenas as referências necessárias.

Credenciais de integrações ficam somente no servidor, protegidas por cifragem, e nunca são entregues ao navegador ou ao aplicativo.

Integrações externas só são ativadas quando a organização decide conectá-las.

A localização é coletada apenas quando o usuário escolhe anexá-la a uma evidência, sem rastreamento em segundo plano. Notificações push usam textos genéricos, sem dados sensíveis.

Existem fluxos para atendimento de direitos do titular, incluindo anonimização.

Se você identificar uma possível vulnerabilidade, entre em contato pela página de Suporte e descreva o que observou. Pedimos que não acesse, altere ou divulgue dados de terceiros durante a análise.