skyseatCentro de confiança
O que fazemos hoje para proteger os dados da tua empresa, o que vem aí, sem letra pequena. E também o que ainda não temos.
- Os teus dados, na UE: hoje, na UE (a plataforma e a sua base de dados em Helsínquia, Finlândia; os computadores dos funcionários IA, na Alemanha, em piloto). Se precisares de outro país ou região, como os EUA, podemos alojá-los lá a pedido.
- Cada empresa, separada: ninguém vê o que é de outra empresa, e testes automáticos confirmam-no.
- Um computador para cada funcionário IA (em piloto): não o partilha com ninguém.
- Credenciais num cofre: o computador do funcionário nunca as vê.
- Registo que não se mexe: descarregas-o assinado e um auditor verifica-o sem depender de nós.
- Uma pessoa no comando: aprova o importante, o de maior risco aprovam-no duas, e há 3 travões que nunca se tiram.
- Cifragem e cópias: em trânsito, no cofre, nas assinaturas do Registo e em cópias fora do servidor, com simulacro.
- Roteiro: SOC 2 Type I e pentest por uma empresa externa, com estado.
Descarregue a folha de segurança de uma página (PDF) para encaminhar à sua equipa de TI ou segurança. Também em inglês e espanhol.
Onde estão os teus dados
A plataforma (o painel, a base de dados e o cofre) funciona num servidor da Hetzner em Helsínquia, Finlândia. Os computadores dos funcionários IA, em piloto, em servidores da Hetzner na Alemanha. Fazemos uma cópia de segurança todos os dias, cifrada e guardada também fora do servidor (ver Cifragem e cópias). O que viaja entre o teu navegador e a plataforma vai sempre cifrado (HTTPS).
Precisas dos dados noutro país ou região? A UE é a localização por defeito. Se a tua empresa precisar de os alojar noutro país ou região (por exemplo, nos EUA), podemos fazê-lo a pedido: combinamos contigo antes de começar e deixamos por escrito. Diz-nos o que precisas ao pedir uma demonstração.
Para pensar, o funcionário IA usa um modelo de IA (Claude, da Anthropic) que está nos EUA. Só recebe o que cada tarefa precisa, e usamos a API comercial da Anthropic, que não treina os seus modelos com o que recebe. Nós também não usamos os teus dados para treinar nenhum modelo.
Este site está alojado na Vercel e não recebe dados da plataforma nem dos teus funcionários IA. Não tem cookies e só usa análise anónima própria (Umami, no nosso servidor).
Cada empresa, separada
- Cada empresa tem os seus funcionários, as suas tarefas, a sua Caixa de entrada, a sua memória e o seu Registo. Se alguém pedir algo de outra empresa, a plataforma responde como se não existisse.
- Um teste automático percorre todas as páginas e rotas do painel a tentar ler e alterar dados de outra empresa. As rotas novas entram sozinhas nesse teste.
- Se és uma agência, cada cliente é uma empresa à parte: um cliente não vê a agência nem os outros clientes.
- As pessoas têm o seu papel (administrar, ser responsável ou só ver), e quem só vê não pode alterar nada.
- Início de sessão único (SSO por OIDC ou SAML 2.0): a tua empresa liga o seu fornecedor (Okta, Microsoft Entra ID, Google Workspace, ADFS…), verifica os seus domínios por DNS e pode torná-lo obrigatório para a sua gente. Quem sai do teu fornecedor deixa de entrar e, com a criação e remoção automática (SCIM 2.0), perde também de imediato o acesso, as sessões e as chaves de API.
- Quem administra escolhe quanto dura uma sessão do painel (a partir de 8 horas), pode terminar as de todos de uma vez e vê e revoga cada chave de API que chega à empresa. Cada entrada fica no vosso Registo.
- Cada pessoa pode entrar com verificação em dois passos: um código de uma app como o Google Authenticator ou o 1Password, com códigos de recuperação. A tua empresa pode torná-la obrigatória para todos, e a equipa da Skyseat usa-a sempre.
Um computador para cada funcionário IA
Em piloto, cada funcionário IA trabalha no seu próprio computador na nuvem: um servidor só para ele, que não partilha com outros funcionários nem com outras empresas. Os seus ficheiros e o seu navegador ficam lá.
O computador liga-se à plataforma com um acesso próprio, que só serve para as suas tarefas e as da sua empresa. Se o despedires, esse acesso é anulado no momento. E quando não tem trabalho, desliga-se.
Credenciais num cofre
- As palavras-passe e chaves dos serviços que ligas (Microsoft 365, Google Workspace, o teu programa de faturação, a tua loja online…) são guardadas cifradas (AES-256-GCM) no cofre da tua empresa. A chave para o abrir fica fora da base de dados.
- O computador do funcionário nunca as vê. Quando precisa de algo desses serviços, pede-o à plataforma, que confirma que tem permissão para isso, faz a chamada e regista-a no Registo.
- Se um funcionário IA cria uma conta num serviço, a palavra-passe vai para o cofre. Nunca aparece na conversa dele nem no Registo.
- As palavras-passe das pessoas são guardadas com scrypt: nem nós as conseguimos ler. Ninguém escolhe a palavra-passe de outra pessoa: quem entra de novo recebe uma ligação de uso único.
Registo que não se apaga
Tudo o que fazem os teus funcionários IA e as tuas pessoas fica no Registo: o que se fez, quando, com que conta e quem aprovou. A base de dados não deixa alterar nem apagar as suas linhas à mão. A única coisa que as retira é o prazo de conservação do Registo, se a tua empresa o ativar (mínimo 2 anos; por defeito não caduca), e cada limpeza fica registada.
Podes descarregar o Registo de qualquer período em PDF, CSV ou JSON para uma auditoria ou uma inspeção. Vai assinado (Ed25519) e com as linhas encadeadas pelas suas impressões digitais: se alguém alterar, tirar ou acrescentar uma linha, nota-se. E não tens de acreditar em nós: um auditor pode verificá-lo com um script independente, de um só ficheiro, sem a skyseat e com a nossa chave pública, que está publicada. Prova que o ficheiro não foi mexido desde que o descarregaste. Ajuda-te a mostrar o que fizeram e quem supervisionou; não é, por si só, um certificado de que cumpres a lei.
Uma pessoa no comando
Tu decides quanta liberdade tem cada funcionário IA: Supervisionado (pede permissão para tudo), Automático (pede permissão para o delicado) ou Autonomia total (não pede permissão; avisa do que faz). O que espera pelo teu OK chega à Caixa de entrada e ao telemóvel, e, em piloto, podes ver o ecrã dele ou assumir o controlo quando quiseres.
Em qualquer nível, também em Autonomia total, há 3 travões que nunca se tiram:
- Dinheiro. Um limite de gasto do mês e outro por operação: o que passar espera por uma pessoa. E as quotas do teu plano.
- Lei. Quem fala com o teu funcionário IA por telefone, email ou numa reunião sabe que é uma IA, e as instruções dele incluem o RGPD.
- Registo. Tudo fica registado, também o que foi aprovado sozinho.
Além disso, há coisas que nunca faz: contornar um «prova que és humano» (passa-to a ti) ou fazer reembolsos e cobranças na tua loja online. E o que lhe pedem por telefone espera sempre que uma pessoa o aprove.
Aprovação a quatro olhos
Para o de maior risco (pagamentos a partir de um valor, apagar, envios a muita gente ou mudar permissões) podes definir, por ação e por posto, que o aprove mais uma pessoa. Espera na Caixa de entrada por duas pessoas diferentes, nenhuma a que encomendou a tarefa: nunca se aprova sozinho (nem com Autonomia total) nem em lote, e para recusar basta uma. Cada assinatura fica no Registo.
Cifragem e cópias
| Entre o teu navegador e a plataforma | Sempre cifrado (HTTPS). |
|---|---|
| Chaves dos serviços que ligas | Cifradas com AES-256-GCM no cofre da tua empresa. A chave para o abrir está fora da base de dados. |
| Palavras-passe das pessoas | Guardadas com scrypt: nem nós as conseguimos ler. |
| Registo descarregável | Assinado (Ed25519) e com as linhas encadeadas pelas suas impressões digitais. |
| Avisos no telemóvel | Cifrados de ponta a ponta. |
| Cópias de segurança | Uma por dia, mais uma antes de cada atualização. Saem cifradas (AES-256) para um armazenamento da Hetzner noutro centro de dados (Falkenstein, Alemanha), que não vê nada em claro. Guardam-se 14 diárias e 8 semanais. |
| Restauro testado | Todas as semanas restaura-se a última cópia numa base temporária e verifica-se. A 31 de outubro de 2026 fizemos um simulacro de desastre: com o servidor perdido e só o que está fora dele, a plataforma voltou a funcionar com os seus dados em 4 min 18 s. Pode repetir-se sempre que for preciso. Se o servidor se perdesse, poderias perder até 24 horas de dados. |
Os teus dados são teus
- Podes descarregar todos os dados da tua empresa a partir do painel, e cada pessoa os seus.
- Se cancelares a tua empresa, aos 30 dias apaga-se tudo: funcionários e os seus computadores, tarefas, memória, ligações, chamadas e Registo. Até lá, podes voltar atrás.
- Tu escolhes quanto tempo guardamos chamadas, emails, conversas do chat, anexos e Registo (Conta › Dados e privacidade). Por defeito, chamadas e emails 90 dias, e o resto não caduca; o Registo, se o encurtares, nunca abaixo de 2 anos. Cada limpeza fica no Registo. O fornecedor de voz apaga cada chamada assim que a guardamos.
- Tudo o que um funcionário IA escreve ou diz a alguém de fora diz que é uma IA: email, WhatsApp, Slack, chat de suporte, chamadas, reuniões, convites de calendário, HubSpot, Linear e Notion. Quem o põe é a plataforma, no idioma de quem o recebe, e a tua empresa pode reescrever o texto mas não o tirar.
- Assinamos contigo um contrato de subcontratante: tu decides para que se usam os dados e nós só os tratamos para te prestar o serviço.
Quem mais intervém
Estes fornecedores tratam dados para prestar o serviço, com contrato e só para isso. Avisamos-te no painel com 30 dias de antecedência antes de acrescentar ou mudar algum.
| Hetzner | Servidores da plataforma e dos computadores, e cópias de segurança. Na UE (Finlândia e Alemanha). |
|---|---|
| Anthropic | O modelo de IA (Claude): recebe o que o funcionário precisa para cada tarefa. Nos EUA. |
| ElevenLabs | Voz e transcrição das chamadas, só se ativares o telefone ou a voz. Nos EUA. |
| Twilio | Números de telefone e linhas, só se ativares o telefone. Nos EUA. |
| Better Stack | Registos técnicos do servidor e vigilância de que a plataforma responde. Podem incluir endereços IP. Nos EUA. |
| Notificações do navegador | Entregam as notificações ao teu telemóvel, só se as ativares. O conteúdo vai cifrado de ponta a ponta: só veem a que dispositivo vai. |
O que vai para os EUA vai com as garantias do RGPD. Cada fornecedor, com o seu país e a sua garantia, em subcontratantes ulteriores. Os serviços que ligas tu (Google, Microsoft, Slack…) não são fornecedores nossos: são teus, com as suas condições.
Roteiro de segurança
O que queremos alcançar. Ainda não há datas confirmadas: não contratámos auditor nem fornecedor externo para nenhum destes passos. Quando as houver, publicamo-las aqui.
| Estado | Alvo | |
|---|---|---|
| Textos legais revistos por assessoria (privacidade, termos e contrato de subcontratante) | Em curso | Antes de abrir a clientes |
| Teste de intrusão ligeiro a partir de fora, feito pela nossa equipa (31 de outubro de 2026): sem falhas exploráveis sem conta, com lacunas menores anotadas | Feito | Primeira ronda |
| Teste de intrusão (pentest) por uma empresa externa | Planeado | Data por confirmar |
| SSO com o teu fornecedor de identidade por OIDC (Okta, Microsoft Entra ID, Google Workspace e outros compatíveis) | Feito | Disponível (31 de outubro de 2026) |
| SSO por SAML | Feito | Disponível (31 de outubro de 2026) |
| SOC 2 Type I (relatório de um auditor independente sobre o desenho dos nossos controlos) | Planeado | Data por confirmar |
| SOC 2 Type II (os controlos a funcionar durante um período de observação) | Depois do Type I | Data por confirmar |
| ISO 27001 e ENS (se clientes do setor público o pedirem) | Por começar | Data por confirmar |
Até lá, se a tua empresa precisar de um questionário de segurança, respondemos contigo: escreve-nos a partir do painel ou pede-o ao marcar uma demonstração.
O que ainda não temos
- Certificações. Ainda não temos SOC 2, ISO 27001 nem ENS. Revemos a segurança da plataforma a fundo antes de abrir e a cada função nova, e fizemos um teste de intrusão próprio, mas não é o mesmo que uma auditoria ou um pentest de uma empresa externa. Os passos estão no roteiro.
- Textos legais em rascunho. A privacidade, os termos e o contrato de subcontratante estão em revisão com assessoria jurídica.
- Em piloto, algumas coisas ainda em teste. Os computadores dos funcionários, o ecrã em direto, o telefone, o email próprio de cada funcionário, o WhatsApp, o Microsoft 365 e o Google Workspace ainda funcionam em modo de teste. Contamos em Novidades quando funcionarem a sério. O que funciona hoje e o que não, peça a peça.
Já és cliente e tens uma dúvida ou viste algo estranho? Escreve-nos a partir do painel, em Ajuda e suporte: respondemos-te em 1 dia útil. E se quiseres saber se tudo funciona agora mesmo, vê a página de estado.
Última revisão: 1 de novembro de 2026.