skyseatCentro de confiança
O que fazemos hoje para proteger os dados da sua empresa e o que vem pela frente, sem letra miúda. E também o que ainda não temos.
- Seus dados, na UE: hoje, na UE (a plataforma e o banco de dados dela em Helsinque, Finlândia; os computadores dos funcionários IA, na Alemanha, em piloto). Se você precisar de outro país ou região, como os EUA, podemos hospedá-los lá a pedido.
- Cada empresa, separada: ninguém vê o que é de outra empresa, e testes automáticos confirmam-no.
- Um computador para cada funcionário IA (em piloto): ele não o compartilha com ninguém.
- Credenciais num cofre: o computador do funcionário nunca as vê.
- Registro que ninguém altera: você o baixa assinado e um auditor o verifica sem depender de nós.
- Uma pessoa no comando: ela aprova o que é importante, o de maior risco é aprovado por duas, e há 3 travas que nunca se removem.
- Criptografia e cópias de segurança: em trânsito, no cofre, nas assinaturas do Registro e em cópias de segurança fora do servidor, com simulação de recuperação.
- Roteiro: SOC 2 Type I e pentest por uma empresa externa, com estado.
Baixe a folha de segurança de uma página (PDF) para encaminhar à sua equipe de TI ou segurança. Também em inglês e espanhol.
Onde estão os seus dados
A plataforma (o painel, o banco de dados e o cofre) funciona em um servidor da Hetzner em Helsinque, Finlândia. Os computadores dos funcionários IA, em piloto, em servidores da Hetzner na Alemanha. Fazemos um backup todos os dias, criptografado e guardado também fora do servidor (veja Criptografia e cópias de segurança). O que trafega entre o seu navegador e a plataforma vai sempre criptografado (HTTPS).
Precisa dos dados em outro país ou região? A UE é a localização padrão. Se a sua empresa precisar hospedá-los em outro país ou região (por exemplo, nos EUA), podemos fazer isso a pedido: combinamos com você antes de começar e deixamos por escrito. Conte para a gente o que você precisa ao pedir uma demonstração.
Para pensar, o funcionário IA usa um modelo de IA (Claude, da Anthropic) que fica nos EUA. Ele só recebe o que cada tarefa precisa, e usamos a API comercial da Anthropic, que não treina os modelos dela com o que recebe. Nós também não usamos os seus dados para treinar nenhum modelo.
Este site está hospedado na Vercel e não recebe dados da plataforma nem dos seus funcionários IA. Não tem cookies e só usa análise anônima própria (Umami, no nosso servidor).
Cada empresa, separada
- Cada empresa tem os seus funcionários, as suas tarefas, a sua Caixa de entrada, a sua memória e o seu Registro. Se alguém pedir algo de outra empresa, a plataforma responde como se não existisse.
- Um teste automático percorre todas as páginas e rotas do painel tentando ler e alterar dados de outra empresa. As rotas novas entram sozinhas nesse teste.
- Se você é uma agência, cada cliente é uma empresa à parte: um cliente não vê a agência nem os outros clientes.
- As pessoas têm o seu papel (administrar, ser responsável ou só ver), e quem só vê não pode alterar nada.
- Login único (SSO por OIDC ou SAML 2.0): a sua empresa conecta o seu provedor (Okta, Microsoft Entra ID, Google Workspace, ADFS…), verifica os seus domínios por DNS e pode tornar o SSO obrigatório para o pessoal da empresa. Quem sai do seu provedor deixa de entrar e, com a criação e remoção automáticas (SCIM 2.0), perde também na hora o acesso, as sessões e as chaves de API.
- Quem administra escolhe quanto tempo dura uma sessão do painel (a partir de 8 horas), pode encerrar as de todos de uma vez e vê e revoga cada chave de API que chega à empresa. Cada entrada fica no Registro de vocês.
- Cada pessoa pode entrar com verificação em duas etapas: um código de um app como o Google Authenticator ou o 1Password, com códigos de recuperação. A sua empresa pode torná-la obrigatória para todos, e a equipe da Skyseat sempre a usa.
Um computador para cada funcionário IA
Em piloto, cada funcionário IA trabalha no próprio computador na nuvem: um servidor só para ele, que não é compartilhado com outros funcionários nem com outras empresas. Os arquivos e o navegador dele ficam lá.
O computador se conecta à plataforma com um acesso próprio, que só serve para as tarefas dele e da sua empresa. Se você o desligar, esse acesso é anulado na hora. E quando não há trabalho, ele se desliga.
Credenciais num cofre
- As senhas e chaves dos serviços que você conecta (Microsoft 365, Google Workspace, o seu programa de faturamento, a sua loja online…) são guardadas criptografadas (AES-256-GCM) no cofre da sua empresa. A chave para abri-lo fica fora do banco de dados.
- O computador do funcionário nunca as vê. Quando ele precisa de algo desses serviços, pede à plataforma, que confirma que ele tem permissão para isso, faz a chamada e a registra no Registro.
- Se um funcionário IA cria uma conta em um serviço, a senha vai para o cofre. Ela nunca aparece na conversa dele nem no Registro.
- As senhas das pessoas são guardadas com scrypt: nem nós conseguimos lê-las. Ninguém escolhe a senha de outra pessoa: quem vai entrar de novo recebe um link de uso único.
Registro que não se apaga
Tudo o que os seus funcionários IA e as suas pessoas fazem fica no Registro: o que foi feito, quando, com qual conta e quem aprovou. O banco de dados não permite alterar nem apagar as linhas dele manualmente. A única coisa que as retira é o prazo de retenção do Registro, se a sua empresa o ativar (mínimo de 2 anos; por padrão não expira), e cada limpeza fica registrada.
Você pode baixar o Registro de qualquer período em PDF, CSV ou JSON para uma auditoria ou uma fiscalização. Ele vai assinado (Ed25519) e com as linhas encadeadas pelas suas impressões digitais: se alguém alterar, tirar ou acrescentar uma linha, dá para perceber. E você não precisa acreditar em nós: um auditor pode verificá-lo com um script independente, de um só arquivo, sem a skyseat e com a nossa chave pública, que está publicada. Isso prova que o arquivo não foi mexido desde que você o baixou. Ajuda você a mostrar o que foi feito e quem supervisionou; não é, por si só, um certificado de que você cumpre a lei.
Uma pessoa no comando
Você decide quanta liberdade cada funcionário IA tem: Supervisionado (pede permissão para tudo), Automático (pede permissão para o que é delicado) ou Autonomia total (não pede permissão; avisa o que faz). O que espera pelo seu OK chega à Caixa de entrada e ao celular, e, em piloto, você pode ver a tela dele ou assumir o controle quando quiser.
Em qualquer nível, inclusive em Autonomia total, há 3 travas que nunca se removem:
- Dinheiro. Um limite de gasto do mês e outro por operação: o que passar espera por uma pessoa. E as cotas do seu plano.
- Lei. Quem fala com o seu funcionário IA por telefone, e-mail ou em uma reunião sabe que é uma IA, e as instruções dele incluem o RGPD.
- Registro. Tudo fica registrado, inclusive o que foi aprovado automaticamente.
Além disso, há coisas que ele nunca faz: contornar um «prove que você é humano» (passa para você) ou fazer reembolsos e cobranças na sua loja online. E o que pedem a ele por telefone sempre espera que uma pessoa aprove.
Aprovação a quatro olhos
Para o de maior risco (pagamentos a partir de certo valor, apagar, envios para muita gente ou mudar permissões) você pode definir, por ação e por cargo, que mais uma pessoa aprove. Ele espera na Caixa de entrada por duas pessoas diferentes, nenhuma delas a que pediu a tarefa: nunca se aprova sozinho (nem com Autonomia total) nem em lote, e para recusar basta uma. Cada assinatura fica no Registro.
Criptografia e cópias de segurança
| Entre o seu navegador e a plataforma | Sempre criptografado (HTTPS). |
|---|---|
| Chaves dos serviços que você conecta | Criptografadas com AES-256-GCM no cofre da sua empresa. A chave para abri-lo está fora do banco de dados. |
| Senhas das pessoas | Guardadas com scrypt: nem nós conseguimos lê-las. |
| Registro para baixar | Assinado (Ed25519) e com as linhas encadeadas pelas suas impressões digitais. |
| Avisos no celular | Criptografados de ponta a ponta. |
| Backups | Um por dia, mais um antes de cada atualização. Saem criptografados (AES-256) para um armazenamento da Hetzner em outro data center (Falkenstein, Alemanha), que não vê nada em texto aberto. Guardamos 14 diários e 8 semanais. |
| Restauração testada | Toda semana o último backup é restaurado em um banco temporário e verificado. Em 31 de outubro de 2026 fizemos uma simulação de desastre: com o servidor perdido e só com o que está fora dele, a plataforma voltou a funcionar com os seus dados em 4 min 18 s. Pode ser repetida sempre que for preciso. Se o servidor se perdesse, você poderia perder até 24 horas de dados. |
Seus dados são seus
- Você pode baixar todos os dados da sua empresa pelo painel, e cada pessoa, os dela.
- Se você cancelar a sua empresa, em 30 dias tudo é apagado: funcionários e os computadores deles, tarefas, memória, conexões, chamadas e Registro. Até lá, você pode voltar atrás.
- Você escolhe por quanto tempo guardamos chamadas, e-mails, conversas do chat, anexos e Registro (Conta › Dados e privacidade). Por padrão, chamadas e e-mails 90 dias, e o resto não expira; o Registro, se você o encurtar, nunca abaixo de 2 anos. Cada limpeza fica no Registro. O provedor de voz apaga cada chamada assim que a guardamos.
- Tudo o que um funcionário IA escreve ou diz a alguém de fora informa que é uma IA: e-mail, WhatsApp, Slack, chat de suporte, chamadas, reuniões, convites de calendário, HubSpot, Linear e Notion. Quem coloca esse aviso é a plataforma, no idioma de quem o recebe, e a sua empresa pode reescrever o texto, mas não removê-lo.
- Assinamos com você um contrato de operador (DPA): você decide para que os dados são usados e nós só os tratamos para prestar o serviço a você.
Quem mais intervém
Esses fornecedores tratam dados para prestar o serviço, com contrato e só para isso. Avisamos você no painel com 30 dias de antecedência antes de adicionar ou trocar algum.
| Hetzner | Servidores da plataforma e dos computadores, e cópias de segurança. Na UE (Finlândia e Alemanha). |
|---|---|
| Anthropic | O modelo de IA (Claude): recebe o que o funcionário precisa para cada tarefa. Nos EUA. |
| ElevenLabs | Voz e transcrição das chamadas, só se você ativar o telefone ou a voz. Nos EUA. |
| Twilio | Números de telefone e linhas, só se você ativar o telefone. Nos EUA. |
| Better Stack | Registros técnicos do servidor e monitoramento para saber se a plataforma está respondendo. Podem incluir endereços IP. Nos EUA. |
| Notificações do navegador | Entregam as notificações ao seu celular, só se você as ativar. O conteúdo vai criptografado de ponta a ponta: eles só veem para qual dispositivo vai. |
O que vai para os EUA vai com as garantias do RGPD. Cada fornecedor, com o seu país e a sua garantia, em suboperadores. Os serviços que você mesmo conecta (Google, Microsoft, Slack…) não são fornecedores nossos: são seus, com as condições deles.
Roteiro de segurança
O que queremos alcançar. Ainda não há datas confirmadas: não contratamos auditor nem fornecedor externo para nenhuma destas etapas. Quando houver, vamos publicá-las aqui.
| Status | Meta | |
|---|---|---|
| Textos legais revisados por assessoria (privacidade, termos e contrato de operador) | Em andamento | Antes de abrir para clientes |
| Teste de intrusão leve, feito de fora pela nossa equipe (31 de outubro de 2026): sem falhas exploráveis sem conta, com lacunas menores anotadas | Feito | Primeira rodada |
| Teste de intrusão (pentest) por uma empresa externa | Planejado | Data a confirmar |
| SSO com o seu provedor de identidade por OIDC (Okta, Microsoft Entra ID, Google Workspace e outros compatíveis) | Feito | Disponível (31 de outubro de 2026) |
| SSO por SAML | Feito | Disponível (31 de outubro de 2026) |
| SOC 2 Type I (relatório de um auditor independente sobre o desenho dos nossos controles) | Planejado | Data a confirmar |
| SOC 2 Type II (os controles funcionando durante um período de observação) | Depois do Type I | Data a confirmar |
| ISO 27001 e ENS (se clientes do setor público pedirem) | A começar | Data a confirmar |
Até lá, se a sua empresa precisar de um questionário de segurança, respondemos junto com você: escreva para a gente pelo painel ou peça ao agendar uma demonstração.
O que ainda não temos
- Certificações. Ainda não temos SOC 2, ISO 27001 nem ENS. Revisamos a segurança da plataforma a fundo antes de abrir e a cada função nova, e fizemos um teste de intrusão próprio, mas isso não é o mesmo que uma auditoria ou um pentest de uma empresa externa. As etapas estão no roteiro.
- Textos legais em rascunho. A privacidade, os termos e o contrato de operador estão em revisão com assessoria jurídica.
- Em piloto, algumas coisas ainda em teste. Os computadores dos funcionários, a tela ao vivo, o telefone, o e-mail próprio de cada funcionário, o WhatsApp, o Microsoft 365 e o Google Workspace ainda funcionam em modo de teste. Contamos em Novidades quando passarem a funcionar de verdade.
- LGPD (Brasil). Se a sua empresa está no Brasil, o tratamento de dados pessoais também está sujeito à Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). Nossa base é o RGPD e o contrato de operador (DPA); ainda não temos revisão jurídica específica da LGPD nem certificação. Os dados ficam na UE ou nos EUA, ou seja, fora do Brasil. Se precisar de um ajuste, fale com a gente antes de começar.
Você já é cliente e tem uma dúvida ou viu algo estranho? Escreva para a gente pelo painel, em Ajuda e suporte: respondemos em 1 dia útil. E se quiser saber se tudo está funcionando agora mesmo, veja a página de status.
Última revisão: 1 de novembro de 2026.