Ninguém mais exporta planilha.
Um pequeno programa roda no servidor da empresa, ao lado do seu ERP ou DMS. Lê só o que declara — somente leitura — e envia por um canal cifrado e autenticado nas duas pontas.
Funciona com o sistema que você já tem — ERP, DMS ou planilha. Nada muda na sua operação, e nenhuma porta é aberta na sua rede.
Decisor: as garantias de segurança · TI: a instalação completa
Lê. Não escreve.
O agente é deliberadamente pequeno e limitado. O que ele pode fazer cabe em três linhas — o que ele não pode, também.
Lê só o que as consultas compiladas no binário declaram — começando pelos lançamentos contábeis — e só o que é novo ou divergiu dos totais de controle.
Envia para o gateway do AutoController por um canal cifrado e autenticado dos dois lados (mTLS).
Roda como serviço do Windows, sob uma conta virtual própria: liga com a máquina, se recupera de quedas e registra logs sem conteúdo de dado.
Não grava nada no seu sistema e nunca recebe SQL da nuvem: a nuvem escolhe só o domínio e a janela, e o login de banco só tem SELECT no que o manifesto declara.
Não abre porta de entrada na sua rede: é o agente que sai falando com a nuvem, nunca o contrário — e sempre para dois nomes fixos, gravados no binário, que sua TI pode fixar no firewall.
Não guarda dado de negócio na máquina e não envia nada para nenhum lugar além do gateway do AutoController — nunca fala direto com o banco na nuvem.
Sete camadas entre o seu banco e a internet.
O mesmo modelo de ponta a ponta: identidade por certificado, canal mTLS e privilégio mínimo em cada elo.
Certificado por agente identidade
Cada agente recebe um certificado exclusivo, válido por 7 dias e renovado na metade da vida, provando a posse da chave atual. O anterior é revogado no primeiro uso do novo. Sem certificado válido, o gateway recusa a conexão.
mTLS nas duas pontas canal
Toda comunicação é cifrada e autenticada dos dois lados: o agente prova quem é — e o gateway também. Entre o agente e o seu banco, a conexão também é sempre cifrada.
Dois destinos fixos, por nome destino
O agente fala só com o gateway de ingestão do AutoController, em São Paulo, que atende em dois nomes — fixados no binário, não num campo editável. Sua TI pode restringir a saída do servidor a esses dois nomes, e a âncora de confiança vem no próprio binário: tráfego desviado não se autentica.
Chave presa à máquina credenciais
A chave privada do agente nasce não-exportável no TPM da máquina. Sem TPM, o agente usa uma chave de software restrita ao serviço — e declara isso ao AutoController. Com autenticação integrada do Windows, nenhuma senha é guardada.
Um tenant por empresa isolamento
No banco central, cada empresa só enxerga os próprios dados: o tenant vem do certificado, nunca do conteúdo enviado, cada registro é cifrado com a chave da empresa, e o isolamento é imposto pelo banco, não pela aplicação.
Leitura, e só a declarada privilégio
O login do agente tem SELECT só nas tabelas e colunas do manifesto, que o seu DBA aplica e audita — nunca db_datareader, nunca escrita. Do nosso lado, o gateway só executa as rotinas de gravação do staging, sem acesso direto às tabelas.
Corte imediato revogação
Certificado comprometido é revogado no servidor e perde o acesso já na requisição seguinte. Certificado vencido não renova: exige um novo enrollment.
Instalado em minutos.
Um assistente local guia os quatro passos — na máquina onde o seu sistema já roda, sem runtime nem software de terceiros.
1 · Banco de dados
Login SQL de leitura do seu ERP ou DMS, com SELECT só no que o manifesto declara (agente manifesto lista tabelas, colunas e versão para o seu DBA). A conexão é sempre cifrada.
Instalação guiada pela equipe AutoController, junto com a sua TI. Demonstração interativa do assistente local — os dados são de exemplo.
Só o que mudou. Nada se perde em silêncio.
Três pedidos, todos da nuvem. Novos: o que está acima da marca d'água, com uma sobreposição curta. Totais: contagem e somas por empresa × conta × dia, calculadas pelo próprio banco. Fechamento: o período inteiro, conferido contra o balancete antes de fechar.
Divergiu, a fatia volta inteira. Se os totais de uma fatia não batem, a fatia é reextraída completa — e um lançamento excluído vira divergência visível na conciliação, nunca some calado.
Ciclo sem mudança não grava nada. Se nada é novo e todas as fatias conferem, só os totais são registrados: o volume cresce com a sua atividade, não com a frequência dos ciclos.
Envia cru, nada é substituído. O agente não transforma dado nem guarda checkpoint: a marca d'água fica na nuvem. Cada versão entra no staging append-only, e reprocessar é rederivar a partir dele.
Cada execução, registrada.
Ciclo a ciclo: que pedido a nuvem fez, quantos lançamentos vieram, quanto tempo levou e onde ficou a marca d'água. O histórico aparece no painel — sem SSH, sem pedir log para a TI.
- Status e histórico de execuções direto no painel.
- Falha não avança a marca d'água, que fica na nuvem — o pedido seguinte cobre a mesma janela.
- Certificado de 7 dias, renovado sozinho na metade da vida; o anterior é revogado.