Segurança de verificar — não de acreditar.
Isolamento por linha em toda tabela, PII cifrada em repouso e dados que não saem do Brasil. Ao lado, o controle mais importante na forma em que ele existe de verdade: um teste.
# saída ilustrativa — a suíte real roda a cada mudança de código
# última execução da suíte: 28/07/2026
Isolado por linha.Row-Level Security em toda tabela, por organização: a consulta de um grupo não alcança o dado de outro — nem por bug de aplicação.
Cifrado em repouso.CPF e data de nascimento em AES-256-GCM, com envelope KEK/DEK e segredos derivados com Argon2id. Decifra só no servidor.
No Brasil.Produção e backups em sa-east-1 (São Paulo). Nada sai do país — e a telemetria nunca recebe dado pessoal.
Um CPF, quatro observadores.
O mesmo dado existe numa forma diferente para cada sistema que o toca. Escolha o observador.
Cifrado com AES-256-GCM e envelope KEK/DEK: quem copia o disco leva ruído, não dado.
Tudo deixa rastro. Ninguém apaga o rastro.
trilha append-only
Cada ação — de pessoa, de agente ou de IA — registrada com identidade, objeto e instante. Imutável por desenho.
RoPA · retenção 5 anos
O registro de operações de tratamento exigido pela LGPD, retido por 5 anos e pronto para o seu jurídico.
acesso é evento
Ler um dado pessoal também registra: quem decifrou, quando e para qual ação.
Defesa em camadas — não bala de prata.
Do upload de um documento à resposta do especialista, seis controles independentes. Nenhum promete 100%; cada um cobre a falha do anterior.
Só o texto sobrevive
Todo arquivo vira texto canônico antes de indexar: macros, scripts e conteúdo ativo são descartados na conversão.
Sanitização formal
Normalização de caracteres, limite de tamanho e rejeição de padrões de injeção de comando na entrada.
Documento é dado, nunca instrução
O conteúdo entra no prompt como dado estruturado, separado das instruções do sistema — não dá ordens ao modelo.
PII redigida antes do modelo
O modelo analisa números e texto de negócio — nunca o dado pessoal por trás deles.
Números conferidos na saída
Validação determinística: cada valor citado é conferido contra a contabilidade antes de chegar a você.
Revisor + circuit breaker
Um revisor de IA avalia cada resposta; padrão anômalo interrompe a sessão e vira evento de segurança retido por 5 anos.
O isolamento entre organizações é testado de forma adversarial a cada mudança de código — a suíte no topo desta página.
Feita para o seu jurídico dizer sim.
Direitos do titular
Acesso, correção e eliminação (DSAR) atendidos em processo formal, com prazo e registro em trilha.
Consentimento de gravação
Reunião só grava depois do consentimento registrado de cada participante — sem ele, não há áudio nem export.
Subprocessadores
Infraestrutura AWS (São Paulo), modelos Anthropic, transcrição Deepgram. Lista completa disponível na avaliação técnica.
Encarregado publicado
Canal direto para titulares de dados e para a ANPD:
Anderson Souza dos Santos
dpo@autocontroller.ai
E na origem, nada muda.
Quem lê o seu ERP ou DMS é um agente que roda no seu servidor, em modo somente leitura: credenciais cifradas, zero escritas, checkpoint após falha.