O que protege a sua imobiliária quando algo dá errado.
Ninguém contrata um sistema pela ficha técnica. Contrata para não perder a base, não ver dinheiro sair sem conferência e não ficar preso. Esta folha responde aos três medos, e cada resposta abre a ficha com o lastro completo.
Cada garantia nomeia o mecanismo, diz onde ele age e guarda uma ficha técnica com o lastro. Tudo que está afirmado aqui pode ser mostrado numa tela, para quem quiser conferir linha por linha antes de assinar.
Perder a base que a imobiliária levou anos para juntar.
Contrato, proprietário e histórico de cada imóvel. O que garante que isso continua existindo amanhã, mesmo se o servidor de hoje parar.
A cópia da sua base sai cifrada do servidor, e a chave que abre fica fora dele.
Todo dia, de madrugada, uma rotina fecha uma cópia cifrada da sua base e a manda para fora do servidor. A restauração já foi testada.
ver o mecanismo
A chave que abre o arquivo fica fora do servidor, com o responsável pela plataforma. Quem invadisse a máquina levaria um arquivo que não abre.
Em 11 de agosto a cópia foi aberta e restaurada num banco descartável, e as contagens bateram com a produção.
ver as etapas
ficha técnica
- Todo dia, de madrugada, sem depender de alguém lembrar de rodar
- O arquivo é fechado cifrado no mesmo movimento em que é gerado. Nenhuma versão aberta da sua base chega a existir no disco do servidor.
- Fica com o responsável pela plataforma, fora de qualquer máquina que esteja no ar. Sem ela configurada, a rotina se recusa a gerar uma cópia em texto aberto.
- Em um cofre de nuvem separado, que não é o lugar onde a plataforma guarda os arquivos do dia a dia
- A cópia entra no cofre com uma chave de acesso só dela, diferente da que a plataforma usa. A rotina se recusa a rodar se as duas forem iguais.
- 14 dias no próprio servidor e 30 dias no cofre de fora
- O procedimento de restauração é escrito e versionado, guiado passo a passo. Ele aceita o arquivo cifrado, exige a chave que está fora do servidor e pede uma confirmação digitada antes de tocar no banco.
- Em 11 de agosto de 2026 a cópia cifrada foi aberta e restaurada num banco descartável, e as contagens bateram com as da produção.
A sua base não tem porta para a internet, e o que sai dela sai cifrado.
O banco fica num servidor no Brasil, em rede fechada: ninguém digita um endereço e chega nele.
ver o mecanismo
O tráfego anda cifrado, e o navegador recebe ordem de recusar conexão sem cifra por dois anos.
Documentos e fotos ficam cifrados na Cloudflare, e um arquivo privado só abre por link assinado de quinze minutos.
ver as etapas
ficha técnica
- PostgreSQL no servidor da plataforma, no Brasil, alcançável só pela rede interna dele
- Rede fechada. O banco não publica porta para a internet: só a própria plataforma fala com ele.
- Cifrado entre o navegador e a plataforma. O navegador é instruído a recusar por dois anos qualquer conexão sem cifra, e a ordem vale também para os subdomínios.
- Armazenamento de objetos da Cloudflare, cifrados em repouso com AES-256 pelo próprio provedor, sem depender de configuração nossa
- Só abre por link assinado, com validade de quinze minutos. Não existe endereço fixo de arquivo privado.
- A autorização para o navegador gravar um arquivo vale sessenta segundos, e a assinatura prende o tamanho e o tipo declarados. Se o navegador tentar enviar outra coisa, o armazenamento recusa.
- Não guardamos a sua senha, e sim um resumo criptográfico dela, do qual não se volta para a senha. O formulário de entrada gasta o mesmo tempo respondendo exista ou não o e-mail, para que ninguém descubra quem tem conta aqui testando endereços.
- Cada página do painel chega ao navegador com uma política que diz, para o próprio navegador, qual código ele tem permissão de executar. A permissão é emitida página por página, com uma senha de uso único gerada na hora, e código que não a traz não roda. É a defesa contra o ataque mais comum a painel administrativo, que é injetar um trecho de código na tela para roubar a sessão de quem está logado.
A sua base é só sua, e o problema do vizinho não chega até você.
O banco de dados de cada cliente é separado, e não há uma base grande com todo mundo dentro. Os aplicativos são os mesmos para todo cliente: o que separa uma imobiliária da outra é o banco.
ver o mecanismo
- Imobiliária A · exemploalcançada
- Imobiliária B · exemplointacta
- A sua imobiliáriaintacta
O banco da sua imobiliária é separado do de qualquer outro cliente. A falha de exemplo entra no banco A e para ali: não há por onde seguir.
ver as etapas
ficha técnica
- Um por cliente. O da sua imobiliária não guarda dado de mais ninguém.
- Os mesmos para todo cliente. O que separa uma imobiliária da outra não é o aplicativo, e sim o banco de dados.
- Nenhum dado de outra imobiliária divide a mesma base
- Uma falha na conta de outro cliente não alcança a sua, porque os dados não estão no mesmo lugar
Ver dinheiro sair sem ninguém conferir.
Repasse ao proprietário, taxa e desconto. O que impede um valor grande de sair pela mão de uma pessoa só, e o que impede alguém de mexer no que já foi lançado.
Acima do teto que você define, quem lança um pagamento não é quem libera, com uma exceção: o administrador libera o próprio pedido.
Você define o teto nas configurações. Abaixo dele, quem lança conclui e a rotina não trava; acima, o lançamento nasce parado e espera outra pessoa autorizada. Com um administrador só, o pedido dele sai com uma assinatura.
ver o mecanismo
O lançamento parado fica fora da contabilidade, quem fez o pedido não pode aprovar, e o saldo é conferido de novo na aprovação.
A exceção é desenhada: todo administrador libera o próprio pedido depois de uma confirmação reforçada, e o registro guarda o nome dele nos dois papéis.
ver as etapas
ficha técnica
- A própria imobiliária, na tela de configurações. Não é número nosso.
- O pagamento nasce parado e não entra na contabilidade até alguém aprovar
- Quem tem papel de administração ou de operação, menos quem fez o pedido. Não é uma permissão separada: é o papel que abre a área financeira. A verificação acontece dentro da gravação no banco, não na tela.
- Todas as pessoas autorizadas recebem aviso de que existe um pagamento esperando
- Na hora de aprovar, o saldo é recalculado. Se ele caiu desde o pedido, a aprovação é recusada.
- Quem tem a permissão de liberar o próprio pedido, e todo administrador tem, aprova sozinho depois de uma confirmação reforçada. Numa imobiliária com um administrador só, o pedido dele sai com uma assinatura, e o registro guarda o nome dele nos dois papéis.
- Quem pediu, quem aprovou, o valor, a competência e a hora, ligados ao lançamento contábil
- A plataforma escritura e confere. O dinheiro sai pelo banco da imobiliária, não por dentro dela.
Mexer num lançamento antigo quebra a corrente, e o painel mostra em qual elo.
Cada movimento do seu razão é selado junto com o anterior. Mexer num lançamento antigo quebra os elos seguintes, e o painel confere a corrente inteira e aponta em qual.
ver o mecanismo
O selo embute cada lançamento dentro do seguinte por uma impressão digital criptográfica. Vale inclusive contra quem entrasse direto no banco, por fora da plataforma.
Toque em um lançamento para simular alguém mexendo nele por fora.
ver as etapas
ficha técnica
- Cada lançamento carrega uma impressão digital SHA-256 calculada junto com a do lançamento anterior. O primeiro elo abre a corrente; cada um depois dele fecha sobre o que veio antes.
- Alterar ou apagar um movimento antigo quebra todos os elos seguintes. A conferência para no primeiro elo quebrado e diz qual é e por quê.
- Não basta a corrente fechar: a conferência exige que todos os lançamentos estejam dentro dela, o que pega lançamento removido, órfão ou em ramo paralelo
- Contra adulteração feita por fora da plataforma, com acesso direto ao banco de dados. É o alvo declarado no próprio código.
- Corrigir um lançamento errado não apaga o lançamento errado. A plataforma cria um lançamento contrário, que anula o primeiro e aponta para ele, e os dois ficam à vista. É como um contador faz, pelo mesmo motivo: um livro em que dá para apagar não serve de prova de nada.
- Uma transação só é gravada se a soma dos lançamentos dela for exatamente zero. Não é aviso de tela, é a regra que impede a gravação.
- O painel do razão mostra o selo de integridade da corrente, com o total conferido
Cada pessoa da equipe alcança só a parte dela, e tudo que é sensível deixa rastro.
A permissão é por área e por pessoa. Quem cuida de atendimento não abre o financeiro, e quem cuida de contrato não aprova pagamento.
ver o mecanismo
Toda ação sensível resolve o papel e a permissão direto no banco de dados, no momento em que acontece, e não na credencial que o navegador carrega: retirar uma permissão de alguém vale na hora.
Se a plataforma não consegue confirmar quem é a pessoa, ela nega.
Este crachá entra no painel, mas o financeiro não abre para ele: hoje essas telas são só de administração. É por isso que, na prática, a segunda assinatura vem de outro administrador.
ver as etapas
ficha técnica
- Administração, operação, prestador e cliente. Cada papel já nasce com um alcance diferente.
- Além do papel, nove permissões nomeadas concedidas pessoa por pessoa: aprovar imóvel, editar imóvel, aprovar parceiro, ver todos os leads, administrar usuários, conceder permissão, ver o financeiro estratégico e liberar o próprio pedido de pagamento, entre outras
- Em toda ação sensível o papel e a permissão são resolvidos por consulta ao banco de dados, no ato, nunca lidos da credencial guardada no navegador. Retirar uma permissão vale na hora.
- Trocar o papel de uma pessoa vale na hora em toda ação sensível, pelo mesmo motivo. A casca do painel, que decide quais telas ela abre, só reflete a troca quando a pessoa entra de novo.
- Se a plataforma não consegue confirmar quem é a pessoa, por qualquer motivo, inclusive falha momentânea do banco de dados, ela nega. O padrão é negar, nunca permitir.
- Quem pode aprovar um repasse acima do teto é definido pelo papel: administração e operação, menos quem pediu. Essa verificação acontece na gravação; na tela, hoje, o financeiro do painel abre só para administração, então na prática a segunda assinatura é de outro administrador. A exceção de liberar o próprio pedido é uma das nove permissões nomeadas.
- 65 tipos de ação registrados com autor, alvo e hora, visíveis na tela de atividade do painel. O produto só acrescenta registro: não existe tela nem ação que edite ou apague um que já foi gravado.
- Leitura de tela não gera registro: quem abriu uma página e só olhou não deixa rastro. Entrada no sistema deixa, e de propósito: login, saída, tentativa que falhou, bloqueio por excesso e todo evento de segunda etapa ficam gravados, com o e-mail mascarado. Registramos o que muda a operação e o que dá acesso a ela, não o que alguém leu.
- A gestão concede e retira a permissão de cada pessoa no painel, a qualquer momento, e a mudança entra no registro. O encerramento da conta em si é feito pela nossa equipe.
Entregar a operação e não conseguir sair depois.
Base, documentos e domínio. O que é seu continua seu, inclusive no dia em que você quiser ir embora.
Se um dia você sair, leva a base inteira, e a gente prepara a entrega.
A pedido, entregamos a sua base completa em até dez dias úteis, sem custo e em formato aberto, que abre em qualquer sistema.
ver o mecanismo
A entrega é preparada pela nossa equipe, não por um botão no painel. O domínio do seu site é seu e continua com você.
- Imóveis e proprietários
- Inquilinos e histórico
- Contratos assinados
- Ordens de serviço
- Movimento financeiro
- planilha aberta e PDF dos contratos
- até dez dias úteis
- sem custo, inclusive no encerramento
Vão 5 de 5 conjuntos, em planilha aberta e PDF dos contratos. O que você marca muda o formato da entrega; o prazo e o custo não mudam.
ver as etapas
ficha técnica
- Cadastros de imóveis, proprietários e inquilinos, contratos, ordens de serviço e histórico financeiro em planilha, mais os PDF dos contratos assinados
- Aberto, legível por qualquer sistema. Nada em formato só nosso.
- Até dez dias úteis a partir do pedido, por escrito
- Sem custo, inclusive no encerramento
- O domínio do site é da imobiliária e continua com ela
- Preparado pela nossa equipe a pedido, não por um botão no painel
- Você pede a cópia quando quiser, não só na saída
Os dados são da sua imobiliária. Nós só operamos a plataforma.
Na lei, você é a controladora dos dados e nós somos o operador. Não vendemos e não cedemos a sua base.
ver o mecanismo
Se acontecer um incidente com dados pessoais, você é avisado em até 24 horas úteis contadas do momento em que tomamos conhecimento. O prazo está no contrato de licença, e é lá que ele vale.
A base fica na plataforma, e quem decide o que entra e o que sai dela é a sua imobiliária. Nós operamos a plataforma a serviço dela.
ver as etapas
ficha técnica
- A imobiliária é a controladora dos dados; o Habite-se é o operador. Está na cláusula de proteção de dados do contrato de licença e no acordo de tratamento anexo a ele.
- Os dados são usados para operar a plataforma para você. Não vendemos e não cedemos a sua base a terceiros.
- Aviso à imobiliária em até 24 horas úteis do momento em que tomamos conhecimento, conforme o contrato de licença
- Contratos e documentos ficam guardados por cinco anos depois do fim do contrato, conforme a nossa política, e a exclusão nesse prazo é feita pela nossa equipe
- Não temos certificação de segurança emitida por terceiro, e não usamos sigla que não corresponda a uma auditoria feita.
Os blocos acima falam da base que a sua imobiliária opera. Os dados de quem visita este site e preenche o formulário de agendamento são outra coisa, com outro responsável, e têm folha própria: o aviso de privacidade.
As perguntas que o dono faz antes de entregar a operação.
As mesmas respostas dos blocos acima, na ordem em que a dúvida aparece na conversa. Cada pergunta abre no toque, com a resposta direta primeiro. Sem número que não medimos e sem promessa de data.
Perguntas de diligência
S-09respondidasOnde ficam os meus dados?
Banco em servidor no Brasil, dentro de uma rede fechada, sem porta para a internet. Arquivos em nuvem cifrada com AES-256, e link privado que vence em quinze minutos.
ver a resposta completa
O banco de dados fica em um servidor no Brasil, dentro de uma rede fechada, sem porta publicada para a internet: só a própria plataforma fala com ele. Todo o tráfego entre o navegador da sua equipe e a plataforma anda cifrado, e o navegador recebe ordem de recusar por dois anos qualquer conexão sem cifra. Os documentos e as fotos ficam em armazenamento de objetos da Cloudflare, cifrados em repouso com AES-256 pelo próprio provedor, e um arquivo privado só abre por um link assinado com validade de quinze minutos.
Quem da minha equipe vê o quê?
Permissão por área e por pessoa, resolvida no banco em toda ação sensível. Tirou uma permissão de alguém, valeu na hora.
ver a resposta completa
A permissão é concedida por área e por pessoa, não por um interruptor de sim ou não: quem cuida de atendimento não abre o financeiro. Quando a decisão importa, a plataforma não confia na credencial guardada no navegador: toda ação sensível resolve o papel e a permissão direto no banco de dados, no ato, e por isso retirar uma permissão de alguém vale na hora, não na próxima vez que a pessoa entrar. Quando ela não consegue confirmar quem é a pessoa, nega. As ações sensíveis ficam registradas com autor, alvo e hora, e o produto só acrescenta registro: nenhuma tela edita ou apaga um que já foi gravado.
Com que frequência existe uma cópia da minha base?
Todo dia, de madrugada, o arquivo sai cifrado do servidor e vai para um cofre separado, com chave de acesso própria.
ver a resposta completa
Todo dia, de madrugada, uma rotina no próprio servidor tira uma cópia completa da sua base e fecha o arquivo cifrado antes que ele saia dali. A chave que abre não fica lá: ela fica com o responsável pela plataforma, fora de qualquer máquina que esteja no ar, então quem levasse o servidor levaria um arquivo que não abre. A cópia vai para um cofre separado, com uma chave de acesso só dela, diferente da que a plataforma usa no dia a dia, e a rotina se recusa a rodar se as duas forem iguais. Ficam guardadas por 30 dias no cofre e por 14 dias no próprio servidor. Para o caminho de volta existe um procedimento de restauração escrito e versionado, que aceita o arquivo cifrado e não roda sem a chave de fora. E a qualquer momento você pede e recebe uma cópia da sua base em formato aberto.
E se alguém mexer no financeiro por trás do sistema?
Cada lançamento é selado junto com o anterior. Mexer num movimento antigo quebra a corrente, e o painel mostra em qual elo.
ver a resposta completa
Cada movimento do seu razão é selado junto com o anterior por uma impressão digital criptográfica. Não é modo de dizer: é um cálculo que embute o lançamento anterior dentro do seguinte, feito lançamento a lançamento. O efeito prático é que alterar ou apagar um movimento antigo quebra todos os elos seguintes de uma vez, e o painel tem um selo que confere a corrente inteira e aponta exatamente em qual lançamento ela quebrou. Isso vale inclusive contra alguém que entrasse direto no banco de dados, por fora da plataforma. É a defesa que sobra depois que todas as outras já foram passadas.
O que acontece se eu quiser sair?
Base completa em formato aberto, em até dez dias úteis, sem custo. O domínio do site é seu.
ver a resposta completa
A base é da sua imobiliária. A pedido, entregamos a base completa em formato aberto, planilhas dos cadastros e PDF dos contratos assinados, em até dez dias úteis, sem custo, e o seu domínio continua com você. A entrega é preparada pela nossa equipe a pedido, e não por um botão no painel.
E se o Habite-se deixar de existir?
A mesma resposta: a base sai a pedido, em formato aberto, a qualquer momento, inclusive no encerramento.
ver a resposta completa
Respondemos com o que está escrito, não com promessa: a sua base é entregue a pedido em formato aberto a qualquer momento, inclusive no encerramento, e o domínio do site é seu. Não mantemos o código em custódia com um terceiro, e não vamos dizer que mantemos.
Confira de perto antes de decidir.
Os planos dizem o que entra em cada degrau e o que a implantação inclui, com o preço publicado. O que estiver faltando aqui, a gente responde por escrito.