Segurança na Klyck

1. Resumo

2. Onde ficam os dados

A Klyck roda em provedores de nuvem gerenciados. Cada um guarda ou processa uma parte dos dados:

Outros serviços recebem só o necessário, quando o recurso é usado: Google (login com Google, mapas e a busca ao vivo), Microsoft (o e-mail conectado, quando a pessoa conecta a caixa), CNPJá e Direct Data (consultas cadastrais e financeiras — recebem o CNPJ consultado), Resend (e-mails de convite), Asaas (cobrança), Cloudflare Turnstile (proteção contra robôs no canal do titular) e Logo.dev (logos das empresas).

O que sai do Brasil é o que a Klyra usa pra responder (a Anthropic, nos Estados Unidos) e o que os outros serviços acima recebem quando o recurso é usado: é uma transferência internacional de dados, tratada na Política de Privacidade.

3. Criptografia

• Em trânsito. Todo acesso à Klyck usa TLS 1.2 ou superior. O site manda o cabeçalho HSTS: por um ano, o navegador só aceita falar com a Klyck por conexão cifrada.
• Entre os servidores e o banco. A conexão é cifrada e o servidor confere o certificado do banco antes de mandar qualquer dado — ninguém consegue se passar pelo banco no meio do caminho.
• Em repouso. Os provedores guardam os dados cifrados com AES-256: o Neon e o Supabase.
• Autorizações de e-mail conectado. O acesso à caixa conectada fica guardado cifrado com AES-256-GCM, e a chave mora só no servidor.
• Chaves e senhas de serviço. Ficam só no servidor, nunca no código nem no navegador. A publicação é barrada se uma chave secreta aparecer no site.

4. Login e permissões

• Como se entra. Com e-mail e senha — a senha é guardada só como hash, nunca como texto — ou com a conta Google. Contas novas só existem por convite de um time.
• Verificação em duas etapas. Cada pessoa pode ligar, em Configurações, o código de 6 dígitos de um app autenticador (Google Authenticator, Microsoft Authenticator, 1Password e outros). O dono do time pode exigir de todos. Quem ligou só entra com o código — e o servidor recusa a sessão sem o segundo fator, não só a tela.
• Perfis por time. Dono, administrador, membro e leitor. O leitor acompanha o pipeline e abre as empresas, sem mudar nada; o membro trabalha o pipeline; o administrador também cuida das pessoas do time; o dono responde pelo time.
• Isolamento entre clientes. Cada time só enxerga os próprios dados. A regra é aplicada no próprio banco (Row Level Security) e conferida de novo pelo servidor em toda chamada.
• Equipe da Klyck. O painel interno é restrito à administração da Klyck, e as mudanças de cota feitas por ele ficam registradas, com quem fez e quando.
• Contra abuso. Limite de tentativas no login e tetos diários por time nas consultas que têm custo.

5. Registros e trilha de consultas

• Registro de acesso. Data, hora e endereço IP de cada acesso à plataforma, guardados por 6 meses, sob sigilo, como manda o Marco Civil da Internet (Lei nº 12.965/2014, art. 15).
• Trilha de consultas. O dono ou administrador do time baixa, em planilha (CSV), quem do time consultou qual empresa, quando, que tipo de consulta foi e de qual crédito saiu. Só quem administra o time baixa, e cada download fica registrado no histórico do time.
• Registro de uso. As buscas e o que foi feito a partir delas ficam guardados por 90 dias, para suporte e melhoria do serviço, e depois são apagados automaticamente.

6. Cópias de segurança e recuperação

• Banco principal (Neon). Histórico contínuo: dá para restaurar o banco como ele estava em qualquer momento dentro da janela de restauração do plano contratado.
• Banco de contas (Supabase). Cópia automática diária, feita pelo provedor e guardada por 7 dias. Banco cifrado em repouso e com conexões cifradas.
• Base de empresas. Antes de cada atualização mensal com os dados da Receita Federal, a Klyck guarda uma cópia completa da base. A atualização só começa depois dessa cópia.
• Ensaio de restauração. Ao menos 1 vez por trimestre, a Klyck restaura a cópia da base de empresas num ambiente separado da produção e confere se voltou completa. O último ensaio foi em 18/10/2026.

7. Como mudamos a plataforma

• Homologação antes da produção. Toda mudança passa primeiro por um ambiente de homologação.
• Testes automáticos. Mais de 200 conjuntos de testes rodam antes de cada publicação — incluindo testes que quebram o código de propósito para provar que cada teste pega o erro que promete pegar.
• Banco. Mudanças no banco são revisadas, aplicadas dentro de transação (deu erro, nada muda) e conferidas na hora.
• Código de terceiros. As bibliotecas do app ficam fixadas em versão e são servidas pelo próprio site. Os únicos scripts de fora são os do Google (mapa e login com Google) e, no canal do titular, a proteção anti-robô da Cloudflare.
• Cabeçalhos de segurança. HSTS, proteção contra enquadramento da página (X-Frame-Options), bloqueio de adivinhação de tipo de arquivo, política de referência e de permissões do navegador, e a política de conteúdo (CSP) em monitoramento.

8. Incidentes

Se um incidente de segurança puder causar risco ou dano relevante, a Klyck avisa os clientes afetados e a Autoridade Nacional de Proteção de Dados (ANPD) no prazo da regulamentação (LGPD, art. 48), preserva os registros e explica o que aconteceu e o que foi feito.

9. Suporte

Pelo “Reportar problema”, dentro da plataforma, ou pelo e-mail contato@klyckleads.com.br. Atendimento em dias úteis, das 9h às 18h (horário de Brasília). Prazo para a primeira resposta:

10. Reportar uma falha de segurança

Achou uma falha? Escreva para contato@klyckleads.com.br com o assunto “Segurança”, dizendo onde está e como reproduzir. Respondemos em até 2 dias úteis e avisamos quando estiver corrigida.

Pedimos que você não acesse nem altere dados de outras pessoas, não tire a plataforma do ar e não divulgue a falha antes da correção.

11. Proteção de dados (LGPD)

• Política de Privacidade: o que coletamos, para quê, por quanto tempo e com quem compartilhamos.
• Direitos do titular: pedidos de acesso, correção ou exclusão pelo canal do titular.
• Encarregado (DPO): Pedro Miranda — contato@klyckleads.com.br.
• Dados do time: o time pode pedir a exportação ou a exclusão dos próprios dados pelo mesmo e-mail.