Como protegemos os dados do seu escritório

Processos, intimações e dados de clientes são sigilosos. Aqui está, sem exagero, o que a Mesa faz hoje e o que ainda não faz.

Cada escritório separado de verdade

Cada escritório tem o próprio banco de dados (PostgreSQL), com usuário e senha próprios, e o próprio servidor de aplicação. O banco de um escritório recusa a conexão do outro: a separação não depende de um filtro no programa.

Quem entra e o que cada um vê

• Senha com pelo menos 10 caracteres, guardada só como resumo criptográfico (scrypt), nunca em texto.
• Código de 6 dígitos por e-mail a cada entrada, com opção de lembrar o aparelho por 30 dias.
• Bloqueio por 5 minutos depois de 5 senhas erradas.
• Permissões por pessoa, conferidas no servidor: o advogado vê o que é dele; a secretaria, o dos advogados com quem trabalha; o titular, tudo.
• Registro de acesso: quem entrou, criou, alterou ou apagou o quê e quando, inclusive tentativas negadas.

Teste de invasão a cada atualização

Antes de cada versão ir ao ar, um teste automático monta escritórios de mentira e faz mais de cem tentativas de furar as regras: ler dados de outro advogado ou de outro escritório, usar sessão forjada, burlar o código por e-mail, mexer no financeiro sem permissão. Se uma única tentativa passar, a versão não é publicada.

Cópias de segurança

Todo dia é feita uma cópia completa de cada escritório, criptografada com AES-256, e guardada também fora do servidor principal. A restauração é testada.

Conexão e servidor

• Acesso só por HTTPS (TLS), com certificado renovado automaticamente.
• Banco de dados sem acesso pela internet: só os servidores da Mesa alcançam.
• Firewall no servidor, com só as portas necessárias abertas.
• Monitoramento a cada 5 minutos, com alerta por e-mail.

Seus dados são seus

A qualquer momento o escritório pode pedir a cópia completa: o banco de dados, os dados em formato aberto (JSON) e os arquivos enviados. Ao encerrar, os dados são apagados depois do prazo combinado.

O que ainda não temos

Ainda não temos certificações formais, como ISO 27001 ou SOC 2. O servidor fica num data center contratado. Quando isso mudar, esta página muda junto.