Segurança & Proteção de Dados
A Abbiamo processa pedidos, entregas e pagamentos de marcas enterprise. Os dados sob nossa responsabilidade são criptografados em repouso, mascarados por padrão — inclusive para a nossa própria equipe de engenharia — e todo acesso a dado sensível exige aprovação e gera registro de auditoria.
AES-256
Criptografia em repouso
Chaves gerenciadas em serviço dedicado (KMS). TLS 1.2+ em todas as conexões.
4 níveis
Classificação de dados pessoais
Todas as colunas com dados pessoais do banco principal catalogadas por criticidade.
0
Pedidos perdidos na migração
A troca para a infraestrutura criptografada foi feita em produção, com janela de poucos minutos.
Proteção em camadas
A proteção dos dados combina duas barreiras distintas: uma contra acesso externo indevido, outra que se aplica também à equipe interna.
01 · Criptografia em repouso
Os volumes de armazenamento do banco principal são criptografados com AES-256, com chaves mantidas em serviço gerenciado de custódia (KMS). Mídias físicas, backups e snapshots não são legíveis sem acesso à chave.
A migração do banco de produção para a infraestrutura criptografada foi realizada sem interrupção da operação — janela de poucos minutos e nenhum pedido perdido.
02 · Mascaramento de dados pessoais
No trabalho diário, a equipe de engenharia visualiza um identificador no lugar de CPF, telefone, nome e endereço. A aplicação funciona normalmente; o dado original permanece protegido e disponível apenas mediante autorização.
São os dados do consumidor final — o cliente do nosso cliente. O princípio do mínimo acesso é aplicado tecnicamente, não apenas por política interna.
A pergunta que toda avaliação de fornecedor faz
O risco habitual
Em muitas empresas, qualquer pessoa com acesso ao banco de dados visualiza a base completa de clientes em claro — e pode copiá-la ou levá-la ao sair, sem registro de quem consultou o quê.
Na Abbiamo
O que um colaborador visualiza é mascarado. O acesso ao dado em claro exige aprovação, tem prazo de expiração e fica registrado. A proteção não depende de confiança: é uma barreira técnica que se aplica também à equipe interna.
Quando o acesso é necessário
Quando um engenheiro precisa do dado em claro para resolver um problema real, o acesso segue um fluxo formal, em quatro etapas.
01 · Solicitação
Pedido com justificativa
O engenheiro solicita acesso ao dado em claro, com motivo registrado. Sem solicitação, apenas o dado mascarado é visível.
02 · Aprovação
Liberação com prazo
Um responsável aprova a solicitação. O acesso tem validade limitada e expira automaticamente.
03 · Monitoramento
Análise em tempo real
Cada consulta é analisada por um sistema automatizado, que sinaliza operações sobre dados pessoais.
04 · Registro
Trilha permanente
Quem solicitou, quem aprovou, o que foi consultado e quando — registrado de forma auditável.
Se a sua auditoria precisar reconstituir um acesso meses depois, o registro estará disponível: quem solicitou, quem aprovou, o que foi consultado e quando.
Processo, não evento
Identidade por serviço
O token interno compartilhado está sendo substituído por identidades individuais (AWS IAM), verificadas a cada chamada entre serviços. Uma credencial comprometida pode ser revogada isoladamente, sem afetar os demais serviços.
Migração em andamento, serviço a serviço
Verificação contínua
Cada entrega de código passa por revisão automatizada de arquitetura e de código, complementada por testes de intrusão sob demanda. Toda correção identificada passa por revisão humana antes de ser publicada.
Ativo no ciclo de desenvolvimento
Gestão de credenciais
Credenciais administrativas são rotacionadas e os segredos de aplicação são gerenciados fora do repositório. O desligamento de um colaborador não deixa credenciais válidas para trás.
Em produção
Questionários de segurança
Os dados são criptografados em repouso?
Sim. AES-256 com chaves gerenciadas (KMS) no banco principal; TLS 1.2+ em trânsito.
Como o acesso a dados pessoais é controlado?
Os dados pessoais são mascarados por padrão. O acesso ao dado em claro exige aprovação, tem prazo de validade e gera registro de quem consultou o quê.
Um colaborador consegue extrair a base de clientes?
Não em claro. O que a equipe visualiza no trabalho diário é mascarado, e todo acesso a dado sensível é registrado.
O princípio do mínimo acesso (LGPD) é aplicado?
Sim. Os dados pessoais são classificados em 4 níveis de criticidade, e cada pessoa e sistema acessa apenas o necessário para a sua função. Encarregado (DPO) designado.
Precisa de mais detalhes — evidências, arquitetura, fluxos de dados? Fale com o time de segurança e respondemos o questionário completo.
LGPD
A Abbiamo trata dados pessoais do consumidor final — nome, endereço, telefone, CPF — em nome dos seus clientes. Esse tratamento conta com Encarregado (DPO) designado, política de privacidade pública e canal direto para titulares, com resposta dentro do prazo legal.
O catálogo de dados pessoais, classificado em 4 níveis de criticidade, é o que sustenta o princípio do mínimo acesso na prática: cada pessoa e sistema acessa apenas o dado necessário para a sua função.
Programa de segurança
Segurança na Abbiamo é um programa permanente, com equipe e orçamento dedicados. Este é o retrato fiel de onde estamos.
Em andamento
Planejado
Publicamos o que está entregue e distinguimos com clareza o que está em construção. É o mesmo padrão de resposta que aplicamos aos questionários de segurança.
Abbiamo em números
Operação real, em produção, todo dia. Não é piloto. É infraestrutura.
50+
marcas enterprise atendidas
7
verticais em produção
600+
transportadoras integradas
99.9%
uptime contratual
Descreva o que a sua área de segurança precisa avaliar. Respondemos questionários completos em 1 dia útil.
