Folhas, você está na folha06Segurança
InícioPlanosComo funcionaMódulos
Central de obra · segurança · prancha 06

O que protege a sua imobiliária quando algo dá errado.

Ninguém contrata um sistema pela ficha técnica. Contrata para não perder a base, não ver dinheiro sair sem conferência e não ficar preso. Esta folha responde aos três medos, e cada resposta abre a ficha com o lastro completo.

Cada garantia nomeia o mecanismo, diz onde ele age e guarda uma ficha técnica com o lastro. Tudo que está afirmado aqui pode ser mostrado numa tela, para quem quiser conferir linha por linha antes de assinar.

06 · Primeiro medo

Perder a base que a imobiliária levou anos para juntar.

Contrato, proprietário e histórico de cada imóvel. O que garante que isso continua existindo amanhã, mesmo se o servidor de hoje parar.

S-01Cópia de segurançaem operação

A cópia da sua base sai cifrada do servidor, e a chave que abre fica fora dele.

Todo dia, de madrugada, uma rotina fecha uma cópia cifrada da sua base e a manda para fora do servidor. A restauração já foi testada.

ver o mecanismo

A chave que abre o arquivo fica fora do servidor, com o responsável pela plataforma. Quem invadisse a máquina levaria um arquivo que não abre.

Em 11 de agosto a cópia foi aberta e restaurada num banco descartável, e as contagens bateram com a produção.

ilustração de conceitoA cópia da base sai cifrada do servidor de operação e fica guardada em um cofre separado.
ver as etapas
  1. Todo dia, de madrugada, a rotina fecha uma cópia completa da base.
  2. O arquivo é cifrado antes de sair do servidor.
  3. A cópia entra em um cofre separado, com prazo próprio de guarda.
ficha técnica
Frequência
Todo dia, de madrugada, sem depender de alguém lembrar de rodar
Cifra
O arquivo é fechado cifrado no mesmo movimento em que é gerado. Nenhuma versão aberta da sua base chega a existir no disco do servidor.
A chave que abre
Fica com o responsável pela plataforma, fora de qualquer máquina que esteja no ar. Sem ela configurada, a rotina se recusa a gerar uma cópia em texto aberto.
Onde fica
Em um cofre de nuvem separado, que não é o lugar onde a plataforma guarda os arquivos do dia a dia
Chave de acesso própria
A cópia entra no cofre com uma chave de acesso só dela, diferente da que a plataforma usa. A rotina se recusa a rodar se as duas forem iguais.
Por quanto tempo
14 dias no próprio servidor e 30 dias no cofre de fora
O caminho de volta
O procedimento de restauração é escrito e versionado, guiado passo a passo. Ele aceita o arquivo cifrado, exige a chave que está fora do servidor e pede uma confirmação digitada antes de tocar no banco.
Restauração testada
Em 11 de agosto de 2026 a cópia cifrada foi aberta e restaurada num banco descartável, e as contagens bateram com as da produção.
S-02Onde a base ficaem operação

A sua base não tem porta para a internet, e o que sai dela sai cifrado.

O banco fica num servidor no Brasil, em rede fechada: ninguém digita um endereço e chega nele.

ver o mecanismo

O tráfego anda cifrado, e o navegador recebe ordem de recusar conexão sem cifra por dois anos.

Documentos e fotos ficam cifrados na Cloudflare, e um arquivo privado só abre por link assinado de quinze minutos.

ilustração de conceitoO que a equipe registra durante o dia entra na base, e a base fica trancada, sem porta aberta para a internet.
ver as etapas
  1. Cadastros, contratos e ordens do dia entram na base.
  2. O banco de dados fica em rede interna, sem porta aberta para a internet.
  3. O acesso acontece pela plataforma, em conexão cifrada.
ficha técnica
Banco de dados
PostgreSQL no servidor da plataforma, no Brasil, alcançável só pela rede interna dele
Rede
Rede fechada. O banco não publica porta para a internet: só a própria plataforma fala com ele.
Tráfego
Cifrado entre o navegador e a plataforma. O navegador é instruído a recusar por dois anos qualquer conexão sem cifra, e a ordem vale também para os subdomínios.
Arquivos
Armazenamento de objetos da Cloudflare, cifrados em repouso com AES-256 pelo próprio provedor, sem depender de configuração nossa
Documento privado
Só abre por link assinado, com validade de quinze minutos. Não existe endereço fixo de arquivo privado.
Envio de arquivo
A autorização para o navegador gravar um arquivo vale sessenta segundos, e a assinatura prende o tamanho e o tipo declarados. Se o navegador tentar enviar outra coisa, o armazenamento recusa.
Senha
Não guardamos a sua senha, e sim um resumo criptográfico dela, do qual não se volta para a senha. O formulário de entrada gasta o mesmo tempo respondendo exista ou não o e-mail, para que ninguém descubra quem tem conta aqui testando endereços.
Trava do navegador
Cada página do painel chega ao navegador com uma política que diz, para o próprio navegador, qual código ele tem permissão de executar. A permissão é emitida página por página, com uma senha de uso único gerada na hora, e código que não a traz não roda. É a defesa contra o ataque mais comum a painel administrativo, que é injetar um trecho de código na tela para roubar a sessão de quem está logado.
S-03Uma base por clienteem operação

A sua base é só sua, e o problema do vizinho não chega até você.

O banco de dados de cada cliente é separado, e não há uma base grande com todo mundo dentro. Os aplicativos são os mesmos para todo cliente: o que separa uma imobiliária da outra é o banco.

ver o mecanismo
onde a sua base fica guardadailustração de conceito
falha de exemplo
Os mesmos aplicativos para todo clientee um banco por cliente
  • Imobiliária A · exemploalcançada
  • Imobiliária B · exemplointacta
  • A sua imobiliáriaintacta

O banco da sua imobiliária é separado do de qualquer outro cliente. A falha de exemplo entra no banco A e para ali: não há por onde seguir.

Os nomes ao lado do seu são exemplos, não uma lista de clientes. O segundo estado mostra o que não fazemos.

ver as etapas
  1. Em cima, os aplicativos são os mesmos para todo cliente, e essa camada não muda de um estado para o outro.
  2. No estado da esquerda, cada cliente tem o próprio banco de dados, e a falha de exemplo entra no banco A e para ali.
  3. No estado da direita, um banco só guarda todo mundo, e a mesma falha alcança os três cadastros.
ficha técnica
Banco de dados
Um por cliente. O da sua imobiliária não guarda dado de mais ninguém.
Aplicativos
Os mesmos para todo cliente. O que separa uma imobiliária da outra não é o aplicativo, e sim o banco de dados.
Vizinhança
Nenhum dado de outra imobiliária divide a mesma base
O que isso evita
Uma falha na conta de outro cliente não alcança a sua, porque os dados não estão no mesmo lugar
06 · Segundo medo

Ver dinheiro sair sem ninguém conferir.

Repasse ao proprietário, taxa e desconto. O que impede um valor grande de sair pela mão de uma pessoa só, e o que impede alguém de mexer no que já foi lançado.

S-04Teto e alçadaem operação

Acima do teto que você define, quem lança um pagamento não é quem libera, com uma exceção: o administrador libera o próprio pedido.

Você define o teto nas configurações. Abaixo dele, quem lança conclui e a rotina não trava; acima, o lançamento nasce parado e espera outra pessoa autorizada. Com um administrador só, o pedido dele sai com uma assinatura.

ver o mecanismo

O lançamento parado fica fora da contabilidade, quem fez o pedido não pode aprovar, e o saldo é conferido de novo na aprovação.

A exceção é desenhada: todo administrador libera o próprio pedido depois de uma confirmação reforçada, e o registro guarda o nome dele nos dois papéis.

ilustração de conceitoUm repasse acima do teto que você define fica parado até alguém autorizado aprovar.
ver as etapas
  1. Alguém da equipe lança o repasse.
  2. Acima do teto configurado, ele fica parado à espera de aprovação.
  3. Quem aprova é outra pessoa autorizada, salvo o administrador, que libera o próprio pedido.
ficha técnica
Quem define o teto
A própria imobiliária, na tela de configurações. Não é número nosso.
Acima do teto
O pagamento nasce parado e não entra na contabilidade até alguém aprovar
Quem pode aprovar
Quem tem papel de administração ou de operação, menos quem fez o pedido. Não é uma permissão separada: é o papel que abre a área financeira. A verificação acontece dentro da gravação no banco, não na tela.
Quem é avisado
Todas as pessoas autorizadas recebem aviso de que existe um pagamento esperando
Saldo conferido de novo
Na hora de aprovar, o saldo é recalculado. Se ele caiu desde o pedido, a aprovação é recusada.
A exceção
Quem tem a permissão de liberar o próprio pedido, e todo administrador tem, aprova sozinho depois de uma confirmação reforçada. Numa imobiliária com um administrador só, o pedido dele sai com uma assinatura, e o registro guarda o nome dele nos dois papéis.
O que fica guardado
Quem pediu, quem aprovou, o valor, a competência e a hora, ligados ao lançamento contábil
Movimentação
A plataforma escritura e confere. O dinheiro sai pelo banco da imobiliária, não por dentro dela.
S-05O razão seladoem operação

Mexer num lançamento antigo quebra a corrente, e o painel mostra em qual elo.

Cada movimento do seu razão é selado junto com o anterior. Mexer num lançamento antigo quebra os elos seguintes, e o painel confere a corrente inteira e aponta em qual.

ver o mecanismo

O selo embute cada lançamento dentro do seguinte por uma impressão digital criptográfica. Vale inclusive contra quem entrasse direto no banco, por fora da plataforma.

o razão selado, elo por elodados de exemplo
corrente íntegraconferidos 5 de 5

Toque em um lançamento para simular alguém mexendo nele por fora.

A conferência acontece no painel do razão, e é ela que aponta o elo. A adulteração aqui é simulada para mostrar o efeito.

ver as etapas
  1. Cada lançamento é selado junto com a impressão digital do anterior.
  2. Alterar um movimento antigo faz a impressão recalculada deixar de bater com a guardada.
  3. A conferência para no primeiro elo quebrado e diz qual é, por quê e quantos elos ela conferiu antes.
ficha técnica
O selo
Cada lançamento carrega uma impressão digital SHA-256 calculada junto com a do lançamento anterior. O primeiro elo abre a corrente; cada um depois dele fecha sobre o que veio antes.
Se alguém mexer
Alterar ou apagar um movimento antigo quebra todos os elos seguintes. A conferência para no primeiro elo quebrado e diz qual é e por quê.
Também pega remoção
Não basta a corrente fechar: a conferência exige que todos os lançamentos estejam dentro dela, o que pega lançamento removido, órfão ou em ramo paralelo
Contra o que protege
Contra adulteração feita por fora da plataforma, com acesso direto ao banco de dados. É o alvo declarado no próprio código.
Corrigir não é apagar
Corrigir um lançamento errado não apaga o lançamento errado. A plataforma cria um lançamento contrário, que anula o primeiro e aponta para ele, e os dois ficam à vista. É como um contador faz, pelo mesmo motivo: um livro em que dá para apagar não serve de prova de nada.
A conta fecha ou não grava
Uma transação só é gravada se a soma dos lançamentos dela for exatamente zero. Não é aviso de tela, é a regra que impede a gravação.
Onde se vê
O painel do razão mostra o selo de integridade da corrente, com o total conferido
S-06Permissões e registroem operação

Cada pessoa da equipe alcança só a parte dela, e tudo que é sensível deixa rastro.

A permissão é por área e por pessoa. Quem cuida de atendimento não abre o financeiro, e quem cuida de contrato não aprova pagamento.

ver o mecanismo

Toda ação sensível resolve o papel e a permissão direto no banco de dados, no momento em que acontece, e não na credencial que o navegador carrega: retirar uma permissão de alguém vale na hora.

Se a plataforma não consegue confirmar quem é a pessoa, ela nega.

a mesma mesa, três crachásdados de exemplo
Repasse ao proprietárioProprietário · exemplocompetência 07/2026
R$ 12.400,00teto configurado: R$ 5.000,00

Este crachá entra no painel, mas o financeiro não abre para ele: hoje essas telas são só de administração. É por isso que, na prática, a segunda assinatura vem de outro administrador.

Só o crachá de administração abre as telas do financeiro hoje. A plataforma escritura e confere: o dinheiro sai pelo banco da imobiliária, não por dentro dela.

ver as etapas
  1. O crachá de operação entra no painel, mas o financeiro não abre para ele: hoje essas telas são só de administração.
  2. Com um crachá de administração, o repasse acima do teto nasce parado e não entra na contabilidade.
  3. A segunda assinatura vem do outro administrador, e o registro guarda quem pediu, quem aprovou e a hora.
  4. Todo administrador pode liberar o próprio pedido, depois de uma confirmação reforçada, e aí o registro mostra o mesmo nome nos dois papéis.
  5. Concluído o lançamento, ele entra no razão selado junto com o anterior, que é o bloco S-05 desta folha.
ficha técnica
Papéis
Administração, operação, prestador e cliente. Cada papel já nasce com um alcance diferente.
Permissão fina
Além do papel, nove permissões nomeadas concedidas pessoa por pessoa: aprovar imóvel, editar imóvel, aprovar parceiro, ver todos os leads, administrar usuários, conceder permissão, ver o financeiro estratégico e liberar o próprio pedido de pagamento, entre outras
Conferido no banco, não na credencial
Em toda ação sensível o papel e a permissão são resolvidos por consulta ao banco de dados, no ato, nunca lidos da credencial guardada no navegador. Retirar uma permissão vale na hora.
Troca de papel
Trocar o papel de uma pessoa vale na hora em toda ação sensível, pelo mesmo motivo. A casca do painel, que decide quais telas ela abre, só reflete a troca quando a pessoa entra de novo.
Porta fechada por padrão
Se a plataforma não consegue confirmar quem é a pessoa, por qualquer motivo, inclusive falha momentânea do banco de dados, ela nega. O padrão é negar, nunca permitir.
Ligação com a segunda assinatura
Quem pode aprovar um repasse acima do teto é definido pelo papel: administração e operação, menos quem pediu. Essa verificação acontece na gravação; na tela, hoje, o financeiro do painel abre só para administração, então na prática a segunda assinatura é de outro administrador. A exceção de liberar o próprio pedido é uma das nove permissões nomeadas.
Registro de atividade
65 tipos de ação registrados com autor, alvo e hora, visíveis na tela de atividade do painel. O produto só acrescenta registro: não existe tela nem ação que edite ou apague um que já foi gravado.
O que não é registrado
Leitura de tela não gera registro: quem abriu uma página e só olhou não deixa rastro. Entrada no sistema deixa, e de propósito: login, saída, tentativa que falhou, bloqueio por excesso e todo evento de segunda etapa ficam gravados, com o e-mail mascarado. Registramos o que muda a operação e o que dá acesso a ela, não o que alguém leu.
Concessão e retirada
A gestão concede e retira a permissão de cada pessoa no painel, a qualquer momento, e a mudança entra no registro. O encerramento da conta em si é feito pela nossa equipe.
06 · Terceiro medo

Entregar a operação e não conseguir sair depois.

Base, documentos e domínio. O que é seu continua seu, inclusive no dia em que você quiser ir embora.

S-07Saídapor contrato

Se um dia você sair, leva a base inteira, e a gente prepara a entrega.

A pedido, entregamos a sua base completa em até dez dias úteis, sem custo e em formato aberto, que abre em qualquer sistema.

ver o mecanismo

A entrega é preparada pela nossa equipe, não por um botão no painel. O domínio do seu site é seu e continua com você.

o que vai dentro quando você pede a sua baseilustração de conceito
  • Imóveis e proprietários
  • Inquilinos e histórico
  • Contratos assinados
  • Ordens de serviço
  • Movimento financeiro
formato
planilha aberta e PDF dos contratos
prazo
até dez dias úteis
custo
sem custo, inclusive no encerramento

Vão 5 de 5 conjuntos, em planilha aberta e PDF dos contratos. O que você marca muda o formato da entrega; o prazo e o custo não mudam.

Preparado pela nossa equipe a pedido, não por um botão no painel.

ver as etapas
  1. Você pede a sua base por escrito, durante o contrato ou na saída.
  2. A nossa equipe prepara os conjuntos em formato aberto e os contratos em PDF.
  3. A entrega sai em até dez dias úteis, sem custo.
ficha técnica
O que sai
Cadastros de imóveis, proprietários e inquilinos, contratos, ordens de serviço e histórico financeiro em planilha, mais os PDF dos contratos assinados
Formato
Aberto, legível por qualquer sistema. Nada em formato só nosso.
Prazo
Até dez dias úteis a partir do pedido, por escrito
Custo
Sem custo, inclusive no encerramento
Domínio
O domínio do site é da imobiliária e continua com ela
Como é feito
Preparado pela nossa equipe a pedido, não por um botão no painel
Enquanto o contrato corre
Você pede a cópia quando quiser, não só na saída
S-08Uso dos dadospor contrato

Os dados são da sua imobiliária. Nós só operamos a plataforma.

Na lei, você é a controladora dos dados e nós somos o operador. Não vendemos e não cedemos a sua base.

ver o mecanismo

Se acontecer um incidente com dados pessoais, você é avisado em até 24 horas úteis contadas do momento em que tomamos conhecimento. O prazo está no contrato de licença, e é lá que ele vale.

de quem é a base, do começo ao fimilustração de conceito
na plataformacom a sua imobiliária
controladora: A sua imobiliáriaoperador: Habite-se

A base fica na plataforma, e quem decide o que entra e o que sai dela é a sua imobiliária. Nós operamos a plataforma a serviço dela.

Os dois papéis são os que a LGPD nomeia, e eles não trocam de lado em nenhuma das três paradas.

ver as etapas
  1. Durante o contrato, a base fica na plataforma e a decisão é da imobiliária.
  2. Na saída, a base completa é entregue em formato aberto, em até dez dias úteis.
  3. Depois, a base está com a imobiliária, e a guarda legal dos documentos segue por cinco anos.
ficha técnica
Papéis
A imobiliária é a controladora dos dados; o Habite-se é o operador. Está na cláusula de proteção de dados do contrato de licença e no acordo de tratamento anexo a ele.
Uso
Os dados são usados para operar a plataforma para você. Não vendemos e não cedemos a sua base a terceiros.
Incidente
Aviso à imobiliária em até 24 horas úteis do momento em que tomamos conhecimento, conforme o contrato de licença
Guarda de documentos
Contratos e documentos ficam guardados por cinco anos depois do fim do contrato, conforme a nossa política, e a exclusão nesse prazo é feita pela nossa equipe
Certificação
Não temos certificação de segurança emitida por terceiro, e não usamos sigla que não corresponda a uma auditoria feita.

Os blocos acima falam da base que a sua imobiliária opera. Os dados de quem visita este site e preenche o formulário de agendamento são outra coisa, com outro responsável, e têm folha própria: o aviso de privacidade.

06 · Diligência

As perguntas que o dono faz antes de entregar a operação.

As mesmas respostas dos blocos acima, na ordem em que a dúvida aparece na conversa. Cada pergunta abre no toque, com a resposta direta primeiro. Sem número que não medimos e sem promessa de data.

Perguntas de diligência

S-09
respondidas
Onde ficam os meus dados?

Banco em servidor no Brasil, dentro de uma rede fechada, sem porta para a internet. Arquivos em nuvem cifrada com AES-256, e link privado que vence em quinze minutos.

ver a resposta completa

O banco de dados fica em um servidor no Brasil, dentro de uma rede fechada, sem porta publicada para a internet: só a própria plataforma fala com ele. Todo o tráfego entre o navegador da sua equipe e a plataforma anda cifrado, e o navegador recebe ordem de recusar por dois anos qualquer conexão sem cifra. Os documentos e as fotos ficam em armazenamento de objetos da Cloudflare, cifrados em repouso com AES-256 pelo próprio provedor, e um arquivo privado só abre por um link assinado com validade de quinze minutos.

Quem da minha equipe vê o quê?

Permissão por área e por pessoa, resolvida no banco em toda ação sensível. Tirou uma permissão de alguém, valeu na hora.

ver a resposta completa

A permissão é concedida por área e por pessoa, não por um interruptor de sim ou não: quem cuida de atendimento não abre o financeiro. Quando a decisão importa, a plataforma não confia na credencial guardada no navegador: toda ação sensível resolve o papel e a permissão direto no banco de dados, no ato, e por isso retirar uma permissão de alguém vale na hora, não na próxima vez que a pessoa entrar. Quando ela não consegue confirmar quem é a pessoa, nega. As ações sensíveis ficam registradas com autor, alvo e hora, e o produto só acrescenta registro: nenhuma tela edita ou apaga um que já foi gravado.

Com que frequência existe uma cópia da minha base?

Todo dia, de madrugada, o arquivo sai cifrado do servidor e vai para um cofre separado, com chave de acesso própria.

ver a resposta completa

Todo dia, de madrugada, uma rotina no próprio servidor tira uma cópia completa da sua base e fecha o arquivo cifrado antes que ele saia dali. A chave que abre não fica lá: ela fica com o responsável pela plataforma, fora de qualquer máquina que esteja no ar, então quem levasse o servidor levaria um arquivo que não abre. A cópia vai para um cofre separado, com uma chave de acesso só dela, diferente da que a plataforma usa no dia a dia, e a rotina se recusa a rodar se as duas forem iguais. Ficam guardadas por 30 dias no cofre e por 14 dias no próprio servidor. Para o caminho de volta existe um procedimento de restauração escrito e versionado, que aceita o arquivo cifrado e não roda sem a chave de fora. E a qualquer momento você pede e recebe uma cópia da sua base em formato aberto.

E se alguém mexer no financeiro por trás do sistema?

Cada lançamento é selado junto com o anterior. Mexer num movimento antigo quebra a corrente, e o painel mostra em qual elo.

ver a resposta completa

Cada movimento do seu razão é selado junto com o anterior por uma impressão digital criptográfica. Não é modo de dizer: é um cálculo que embute o lançamento anterior dentro do seguinte, feito lançamento a lançamento. O efeito prático é que alterar ou apagar um movimento antigo quebra todos os elos seguintes de uma vez, e o painel tem um selo que confere a corrente inteira e aponta exatamente em qual lançamento ela quebrou. Isso vale inclusive contra alguém que entrasse direto no banco de dados, por fora da plataforma. É a defesa que sobra depois que todas as outras já foram passadas.

O que acontece se eu quiser sair?

Base completa em formato aberto, em até dez dias úteis, sem custo. O domínio do site é seu.

ver a resposta completa

A base é da sua imobiliária. A pedido, entregamos a base completa em formato aberto, planilhas dos cadastros e PDF dos contratos assinados, em até dez dias úteis, sem custo, e o seu domínio continua com você. A entrega é preparada pela nossa equipe a pedido, e não por um botão no painel.

E se o Habite-se deixar de existir?

A mesma resposta: a base sai a pedido, em formato aberto, a qualquer momento, inclusive no encerramento.

ver a resposta completa

Respondemos com o que está escrito, não com promessa: a sua base é entregue a pedido em formato aberto a qualquer momento, inclusive no encerramento, e o domínio do site é seu. Não mantemos o código em custódia com um terceiro, e não vamos dizer que mantemos.

Confira de perto antes de decidir.

Os planos dizem o que entra em cada degrau e o que a implantação inclui, com o preço publicado. O que estiver faltando aqui, a gente responde por escrito.

Ver os planos
HABITE-SEo sistema operacional da imobiliária
ObraPlataforma Habite-se
Folha06
Escala1:1
Emitido porHabite-se