Segurança e dados

O que a plataforma faz hoje para proteger contas, pedidos, evidências e pagamentos. Descrevemos mecanismos, não selos.

Contas e acesso

• Senhas são guardadas apenas como hash (argon2), nunca em texto.
• A sessão usa cookies httpOnly, inacessíveis a scripts da página, com token de acesso curto e renovação rotativa.
• Cada chamada à API confere o papel da pessoa (contratante, correspondente, operação, administração) no servidor.

• O contratante só acessa os próprios pedidos (ou os da sua empresa, conforme a permissão na equipe).
• Endereço e instruções ficam no pedido; não vão para URLs, páginas públicas ou ferramentas de análise.
• Cada mudança de status é registrada no histórico do pedido, com data e hora.

• Arquivos ficam em armazenamento privado. Envio e leitura usam links temporários, válidos por 5 minutos.
• O link de leitura só é emitido depois de conferir quem pede: o dono do pedido, o profissional que o assumiu ou a equipe.
• Anexos do contratante só aparecem para o profissional depois do aceite.
• O sistema confere tipos obrigatórios, geolocalização (quando o pedido tem coordenadas) e coerência de horário.
• Não há assinatura com certificado ICP-Brasil nem verificação pública por QR code.

• O pagamento é processado por um provedor de pagamento com divisão de valores. A plataforma não guarda saldo de terceiros.
• As notificações do provedor são conferidas por assinatura e processadas uma única vez, para não duplicar confirmação.
• O repasse ao correspondente só é liberado quando o pedido é concluído.

• A consulta de atendimento registra apenas serviço, cidade, UF e o resultado — sem IP, e-mail ou endereço.
• Eventos de uso enviados à ferramenta de análise não incluem nome, e-mail, telefone, CPF, endereço, coordenadas ou textos de pedidos.

Conteúdo conferido com o funcionamento do sistema em 18/10/2026.