Segurança e conformidade
Cada número tem origem, data e assinatura.
O valor de um levantamento está na capacidade de defendê-lo. Por isso a segurança no CALMO não é um acessório: é a forma como a prova é produzida, guardada e entregue.
Corrente de custódia
- Origemsomente leitura
- ColetaSHA-256 na origem
- Base únicavalidação = origem
- Levantamentomemória rastreável
- EntregaICP-Brasil + 5 TSAs
- Guardaimutável · 10 anos · BR, EUA ou MC
Isolamento por cliente
Nada é compartilhado entre clientes: nem armazenamento, nem banco, nem chaves.
- Cada cliente tem ambiente lógico, áreas de armazenamento, banco e chaves de criptografia próprios.
- O banco não tem acesso público; o acesso técnico é feito por túnel gerenciado, sem portas abertas à internet.
- Toda consulta é feita pela equipe CALMO a pedido de pessoa autorizada e fica restrita ao cliente e às empresas (CNPJ) a que essa pessoa tem acesso.
- Atendimento só a pessoas autorizadas: cada empresa define quem pode solicitar consultas e relatórios e o que cada pessoa pode receber.
- Credenciais ficam em cofre de segredos — nunca em repositório, relatório ou e-mail. Os acessos concedidos no ambiente do cliente são revertidos ao final do projeto.
Cadeia de custódia
Prova de integridade desde a origem, não só no destino.
- Termo de coleta assinado pelo cliente: escopo, fontes, datas, responsáveis e autorização.
- SHA-256 calculado na origem de cada pacote e de cada arquivo, conferido no destino; divergência implica reenvio.
- Manifestos arquivo a arquivo e contagem de registros por tabela, que servem de base à validação.
- Log de custódia: quem, quando, de onde, para onde e com qual hash. O original nunca é alterado.
Guarda imutável de 10 anos
Qualquer questionamento futuro pode ser respondido com a mesma base, na mesma versão.
- Armazenamento com bloqueio de objetos em modo de conformidade por 10 anos: nem o administrador da conta consegue alterar ou excluir.
- Versionamento, criptografia com chave gerenciada e bloqueio de acesso público.
- Data de retenção registrada por lote de coleta e teste de exclusão negada documentado como evidência.
Carimbo de tempo
Prova de que o conteúdo existia, exatamente assim, naquela data.
- Carimbo de tempo RFC 3161 emitido por 5 autoridades internacionais independentes — FreeTSA, DigiCert, Sectigo, GlobalSign e SSL.com — sobre o hash de cada entrega.
- Redundância deliberada: a prova de data não depende de um único emissor e continua verificável mesmo que um deles deixe de operar.
- O hash de cada entrega fica registrado na guarda, permitindo verificar a integridade a qualquer momento.
Assinatura ICP-Brasil
Entregas verificáveis por terceiros, sem depender do CALMO.
- Relatórios e pacotes em PDF/A assinados digitalmente (PAdES) com certificado ICP-Brasil.
- Assinatura verificável no validador oficial do ITI; carimbos de tempo verificáveis com as cadeias públicas de cada autoridade.
- Responsabilidade técnica conjunta: o laudo é assinado pela equipe CALMO e pelo especialista do parceiro.
LGPD
Os dados pertencem ao cliente. Tratamos apenas o necessário para executar o serviço contratado.
- Tratamento restrito à execução do serviço, sob os termos de confidencialidade e proteção de dados firmados — em contrato único, assinado com certificado ICP-Brasil.
- Dados pessoais sensíveis, sigilo e segredo de justiça identificados já no diagnóstico e tratados com restrições específicas.
- Registro de cada consulta à Central de Dados: usuário, empresa, período e resultado.
- Dados exportáveis a qualquer tempo; ao fim do contrato, os originais seguem apenas na guarda contratada.
Para os dados tratados neste site, veja a Política de Privacidade.
Jurisdição da guarda
Guarda física dos dados na jurisdição que o cliente escolher.
No momento da contratação, o cliente define onde o acervo, a base única e a guarda imutável ficam fisicamente armazenados. A escolha consta do contrato e não muda sem a sua autorização.
- BrasilNuvem em São Paulo, sob a legislação brasileira e a LGPD.
- Estados UnidosNuvem nos Estados Unidos, para grupos com operação ou exigências internacionais.
- MônacoDatacenter soberano dentro do Principado de Mônaco.
As condições de cada jurisdição são apresentadas na proposta.
Precisa apresentar a metodologia ao seu cliente ou ao seu DPO?
Enviamos a documentação técnica de custódia e segurança aos parceiros credenciados.