Compliance & Transparência

• Isolamento por loja: cada loja só enxerga seus próprios dados (Row-Level Security no banco PostgreSQL).
• Acesso por papel (RBAC): permissões granulares por cargo e por recurso, ajustáveis pela loja, seguindo o princípio do menor privilégio.
• Criptografia: dados em trânsito por TLS (HTTPS obrigatório); senhas com hash forte (bcrypt); chaves sensíveis cifradas (AES-256-GCM).
• Documentos privados: arquivos em bucket fechado (Cloudflare R2), acessíveis só por links assinados temporários (presigned URLs com expiração curta).

Buscamos seguir boas práticas de segurança reconhecidas, como as recomendações do OWASP para desenvolvimento seguro e do NIST para gestão de riscos. Realizamos revisões periódicas de dependências e verificações automatizadas de vulnerabilidades.

Toda operação relevante (criação, alteração e exclusão de registros financeiros e cadastrais) é gravada com autor, data/hora e detalhes — uma trilha imutável que dá rastreabilidade e apoia a prestação de contas ao fim de cada gestão.

O Sigma Horus é software e não retém valores. As cobranças aos membros são liquidadas diretamente na conta da loja, pelo Gateway que ela própria conecta. Essa separação evita conflito de interesse e mantém o controle do caixa com a loja.

Para que não reste dúvida sobre o que é cobrado e quando:

• Teste de 10 dias gratuito no plano Oficina — nada é debitado durante o período.
• Planos por faixa de membros: Oficina R$ 80/mês, Loja R$ 110/mês, Potência R$ 170/mês.
• Anual no cartão: 10% de desconto, com renovação automática. Mensal no cartão: recorrente.
• Anual no boleto: 5% de desconto, pago de uma vez, com acesso liberado após a confirmação do pagamento e sem renovação automática.
• Upgrade: imediato, com cobrança proporcional. Downgrade: só no fim do período já contratado.
• Sem reembolso de valores já pagos do período vigente após a contratação.

Detalhes completos nos Termos de Uso.

Tratamos dados pessoais conforme a Lei nº 13.709/2018 (LGPD). Detalhes sobre bases legais, direitos do titular, retenção e contato do Encarregado estão na página de Privacidade & LGPD.

Contrato de Tratamento de Dados (DPA): o Sigma Horus disponibiliza às lojas contratantes um DPA que formaliza a relação operador-controladora, estabelecendo finalidades, instruções, medidas de segurança e responsabilidades (art. 39 LGPD). Solicite pelo e-mail compliance@sigmahorus.com.br.

Mantemos um programa de compliance fundamentado na integridade, transparência e respeito às leis aplicáveis, incluindo:

• Código de Conduta e Ética próprio, que orienta a atuação da equipe e o relacionamento com clientes e fornecedores.
• Prevenção à corrupção e suborno, repudiando práticas ilícitas na relação com o poder público e privado, em linha com a Lei nº 12.846/2013 (Lei Anticorrupção).
• Confidencialidade e proteção de dados como diretrizes contratuais em todos os acordos com suboperadores e parceiros.
• Due diligence na seleção de suboperadores e prestadores de serviço que tratam dados em nome da plataforma.

Mantemos backups periódicos do banco de dados e empregamos infraestrutura gerenciada com redundância (Vercel + Railway + Cloudflare R2). Buscamos comunicar com antecedência mínima de 48 horas úteis as manutenções programadas que possam afetar o uso, exceto em emergências de segurança.

Incidentes de segurança, vulnerabilidades, desvios éticos ou condutas em desacordo com nossas práticas podem ser comunicados de forma confidencial em compliance@sigmahorus.com.br. Apuramos todas as comunicações com confidencialidade e sem retaliação a quem reporta de boa-fé (proteção ao denunciante).

Comprometemo-nos a acusar recebimento em até 48 horas úteis e a conduzir a apuração com a diligência adequada à gravidade do reporte.

• Conceder a cada usuário apenas as permissões necessárias ao seu cargo.
• Revisar periodicamente quem tem acesso e remover usuários inativos.
• Usar senhas fortes e não compartilhar credenciais.
• Conferir os dados bancários e fiscais antes de emitir cobranças.
• Manter os dados dos membros atualizados e com base legal adequada.
• Comunicar o Encarregado (DPO) em caso de incidente envolvendo dados de membros.