Segurança

Segurança e infraestrutura

Última atualização: 10 de agosto de 2026 · descreve o funcionamento real do serviço

Quem sobe para uma ferramenta um documento protegido por sigilo profissional tem direito a respostas concretas, não a adjetivos. Esta página responde, uma a uma, às perguntas que um advogado criterioso faz antes de confiar o processo de um cliente a um software — inclusive as que não nos favorecem.

Ela é complementar à Política de Privacidade, que é o documento com efeito contratual. Onde as duas falarem do mesmo assunto, vale a Política.

1.Onde os documentos ficam — e em que país

Direto ao ponto, porque é a pergunta que mais se esquiva de resposta: os documentos não ficam no Brasil. São armazenados e processados nos Estados Unidos. Onde exatamente:

Arquivos e PDFs — Cloudflare R2, região ENAM (leste da América do Norte). É onde vivem os arquivos como você os enviou (janela curta) e os PDFs canônicos do pacote.
Banco de dados — Supabase (PostgreSQL sobre AWS), região us-east-2 (Ohio, EUA). Guarda cadastro, cobrança, metadados do caso e o texto extraído.
Processamento — Railway, Estados Unidos, deliberadamente colado ao banco: o preparo de um caso conversa muito com o banco, e afastar os dois somaria centenas de milissegundos por consulta. Medimos a alternativa; ela deixava o produto mais lento, não mais rápido.
Site e aplicação — Vercel (CDN global). A Vercel serve a interface e nunca recebe seus documentos: o envio vai do seu navegador direto para o armazenamento.

Como os dados saem do país, isto é uma transferência internacional nos termos da LGPD (Lei 13.709/2018), apoiada no art. 33, inciso X — transferência necessária à execução do contrato que você celebra conosco. Está dito também na Política de Privacidade, e é uma informação que você deve considerar como controlador dos dados dos seus clientes.

2.Criptografia e defesas da plataforma

Em trânsito: sempre. HTTPS/TLS em todas as pernas — seu navegador até nós, nós até o armazenamento, nós até o banco e nós até o provedor de IA. O site declara Strict-Transport-Security, então o navegador se recusa a falar com o ORDIR sem criptografia.
Em repouso: sim, pelos provedores. Tanto o Cloudflare R2 quanto o PostgreSQL gerenciado cifram os dados em disco por padrão, conforme a documentação deles. Sendo exato: essa é uma garantia do provedor, não uma camada de criptografia própria do ORDIR — nós não ciframos o documento com chave nossa antes de gravar.
Segredos (chaves de API, credenciais) vivem em variáveis de ambiente da plataforma, nunca no código.

Além da criptografia, a plataforma carrega defesas que vale nomear porque cada uma fecha um ataque conhecido:

Política de conteúdo restritiva (CSP). O navegador só executa script servido por nós. Injeção de script de terceiro não roda, mesmo que consiga entrar na página.
O ORDIR não pode ser embutido em outro site (X-Frame-Options: DENY) — fecha a porta de clickjacking, em que uma página maliciosa sobrepõe a sua e colhe cliques seus.
Câmera, microfone e localização desligados por política, e o navegador obrigado a falar com o ORDIR só por HTTPS.
Só uma lista curta de autoridades pode emitir certificado para oordir.com.br (registro CAA no DNS). Sem isso, qualquer uma das dezenas de autoridades certificadoras do mundo poderia emitir um certificado válido em nosso nome — e um atacante com esse certificado se passaria pelo ORDIR sem o seu navegador reclamar.
As respostas de DNS do ORDIR são assinadas (DNSSEC). Isso impede o envenenamento de DNS, o ataque em que alguém responde no lugar do servidor legítimo e leva você a um site falso enquanto o endereço na barra continua o certo.
Conexão com o banco de dados exige TLS — não há caminho em texto claro entre o processamento e os dados.
Limite de requisições por IP nas rotas de envio e nas rotas públicas, contra abuso e automação.
O webhook de pagamento é verificado na origem: antes de liberar qualquer conta, o ORDIR reconsulta o status direto na API do gateway. Uma notificação forjada não ativa assinatura.
Documento recebido é tratado como hostil. HTML e e-mail passam por sanitização que remove script e bloqueia qualquer busca externa — um arquivo não consegue fazer o nosso servidor visitar um endereço escolhido por quem o enviou.
ZIP genérico é recusado. Só entra o export nativo do WhatsApp. Não descompactar arquivo arbitrário é decisão deliberada, com teste automatizado que impede alguém de afrouxá-la sem perceber.
O envio vai do seu navegador direto para o armazenamento, sem passar por serviço de terceiro no caminho.

3.Quem consegue acessar seus documentos

Você. Os casos são isolados por conta; a separação entre clientes é aplicada na camada da aplicação, e o banco tem row level security habilitada como camada adicional.
Ninguém da operação. Não existe equipe de suporte, terceirizado ou prestador com acesso aos seus documentos. Nenhum atendente abre um caso para "dar uma olhada": o suporte se resolve por metadados — status, etapa, mensagem de erro —, não por leitura de peça.
Acesso administrativo: restrito à direção, e fora da rotina. Seria mais confortável escrever "ninguém tem acesso", e é o que se lê por aí. Não é verdade em nenhum sistema que alguém opera — quem mantém a plataforma tem, por definição, capacidade administrativa sobre ela, e um fornecedor que afirme o contrário está simplificando. O que se pode afirmar com precisão é o tamanho e a forma desse acesso: ele é restrito à direção da empresa, sob dever de confidencialidade, não é exercido na operação do dia a dia e se justifica apenas em investigação de falha — tipicamente uma que você mesmo reporte.
Autenticação. Você entra com e-mail e senha ou com sua conta Google. Senha nova exige no mínimo 10 caracteres, com minúscula, maiúscula e número — não exigimos símbolo de propósito: comprimento protege mais que regra de composição pesada, e é no comprimento que somos exigentes. E toda troca de senha dispara um aviso por e-mail ao titular da conta — se alguém trocar a sua, você fica sabendo. Hoje não oferecemos segundo fator (2FA) nativo — enquanto isso não existe, entrar com o Google é a opção mais segura, porque a sua conta passa a herdar o segundo fator que você já tem lá.

4.Quais inteligências artificiais recebem os documentos

As chamadas passam pelo OpenRouter, roteadas para modelos da família Gemini (Google), sempre em rotas sob Zero Data Retention: o provedor processa e não retém o conteúdo, nem o usa para treinar modelos.
O ZDR não é uma configuração feita uma vez e esquecida — é imposto pela aplicação em cada requisição. Rotas mais baratas que não oferecem ZDR ficam de fora, e isso é intencional.
O que a IA vê é derivado, nunca o original. Ela recebe o texto extraído e, quando o texto não basta, uma imagem gerada para leitura. O PDF canônico — o documento que compõe o seu pacote — nunca é enviado para o modelo.
A IA não protocola nada. Ela sugere classificação e ordem; a revisão e a decisão de exportar são suas.

5.Por quanto tempo guardamos

A retenção tem duas camadas, e a divisão é deliberada: o material mais sensível tem a janela mais curta. Os arquivos como você os enviou e as imagens de pré-visualização são apagados em até 7 dias, para todo mundo, com ou sem assinatura. O pacote derivado (PDFs canônicos e texto) fica enquanto a assinatura estiver ativa, para você reabrir e reexportar o caso. Você pode excluir um caso na hora, pela ação de excluir no acervo.

Existe backup, e ele tem prazo. O banco de dados é copiado diariamente, cifrado com AES-256 e guardado em armazenamento dedicado — separado do que serve a aplicação —, com retenção de até 30 dias. Serve para uma coisa só: restaurar o serviço se algo der errado.

E há uma consequência que preferimos dizer a esconder: uma cópia de segurança é um arquivo cifrado único, que não dá para editar por dentro. Quando você exclui um caso, ele sai na hora dos sistemas em operação — mas pode sobreviver até 30 dias dentro de um backup, que então expira sozinho. Se uma restauração acontecer, as exclusões pendentes são reaplicadas antes de o serviço voltar ao ar: restaurar não desfaz um direito que você já exerceu.

A regra completa, com os prazos de cada tipo de dado, está na seção 5 da Política de Privacidade.

6.Registros de operação e diagnóstico

Para operar o serviço registramos o que aconteceu — mas o registro guarda a forma da operação, não o conteúdo dela. Um registro típico de chamada de IA diz "modelo X, 2 mensagens, 8 mil caracteres, respondeu erro 429 em 12 segundos". Não diz o que estava escrito no documento.

O painel de erros que usamos para monitorar a plataforma recebe metadados técnicos e mensagens de erro — não recebe texto de documento, e há teste automatizado que quebra a build se algum caminho novo tentar enviá-lo.
Para diagnóstico de qualidade, o pacote completo enviado à IA é gravado no nosso próprio banco — o mesmo Supabase da seção 1, sob a nossa purga automática —, e não em ferramenta de terceiro.
Alerta, não descoberta por acaso. O painel de erros tem regras de alerta ativas que avisam a operação no momento em que algo novo quebra — e a cadeia inteira, do erro ao aviso chegando a um humano, foi testada de ponta a ponta. A disponibilidade do site e da API é vigiada por checagem externa a cada 5 minutos, e o backup diário confirma cada execução em um monitor próprio: se deixar de rodar, isso também vira alerta — não silêncio.

7.O que ainda não temos

Esta é a seção que costuma faltar nas páginas de segurança, e é a que dá sentido às outras — uma página que só lista virtudes não é auditável. O ORDIR é um produto novo, operado por uma equipe pequena. Cada lacuna abaixo vem com o que existe no lugar dela.

Não temos certificação ISO 27001 nem SOC 2. Nenhum auditor independente examinou nossos controles. No lugar: esta página descreve a arquitetura em detalhe verificável, e respondemos por escrito a questionário de segurança de escritório que precise avaliar por conta própria. Já respondemos, item a item, as 261 perguntas do CAIQ v4.0.3 — o questionário da Cloud Security Alliance que departamentos de compliance usam para avaliar fornecedor de nuvem —, inclusive as perguntas em que a resposta é "não". Autoavaliação não é auditoria, e não vamos chamar de auditoria; mas é um mapa conferível, e está à disposição de quem pedir.
O que dá para conferir agora, por você: a configuração de cabeçalhos HTTP do ordir.com.br tem nota A+ no Mozilla Observatory e no securityheaders.com. Sendo exato sobre o que isso significa: é uma nota sobre como o navegador é instruído a tratar o site — não avalia autenticação, tratamento de dado nem o servidor. É verificável em dois cliques, e é por isso que está aqui.
Não temos teste de intrusão (pentest) por terceiro. No lugar: endurecimento próprio e revisão de segurança a cada mudança relevante — as defesas da seção 2 são o resultado disso. Não é equivalente a um pentest, e não vamos fingir que é.
Não temos segundo fator de autenticação nativo. No lugar: login com Google, que traz o segundo fator da sua conta Google junto — hoje é a forma mais segura de entrar, e recomendamos usá-la.
Não temos SLA contratual de disponibilidade. O serviço é prestado em regime de melhor esforço. No lugar: a honestidade que está nos Termos — não conte com o ORDIR como último recurso na véspera de um prazo. É a recomendação que protege você, não a que nos favorece.

Se o seu escritório exige fornecedor com auditoria independente por uma regra de compliance, hoje o ORDIR não atende esse requisito — e é melhor você saber por esta página do que descobrir depois.

8.Incidentes de segurança

Se houver incidente de segurança envolvendo o conteúdo dos seus casos, comunicamos você em prazo razoável, com o que aconteceu e o que foi afetado. Como você é o controlador dos dados dos seus clientes, cabe a você avaliar a comunicação à ANPD e aos titulares — e nós fornecemos as informações necessárias para essa avaliação.

9.Se uma autoridade pedir o seu caso

É a pergunta que quase nenhum fornecedor responde antes de ser perguntado, e ela merece resposta escrita. Se chegar ofício, requisição ou ordem judicial pedindo material de um caso seu, três coisas valem.

Conteúdo de documento não sai por ofício administrativo simples. Exigimos ordem judicial específica e fundamentada — os arquivos aqui são instrumento de trabalho de advogado, protegidos pelo art. 7º, II, do Estatuto da Advocacia. Confirmar que alguém é cliente já é entregar dado, então nem isso fazemos no primeiro contato.
Avisamos você, salvo quando a lei expressamente proibir, e a tempo de você se manifestar. A decisão sobre esse material é sua antes de ser nossa. Havendo vedação legal ao aviso, registramos qual é e por quanto tempo dura — e comunicamos assim que ela cessar.
Quando entendermos que a requisição é ilegal, genérica ou desproporcional, podemos impugná-la judicialmente, inclusive em caráter liminar. É uma faculdade que exercemos conforme o caso — não um compromisso de litigar sempre.

Os dois primeiros itens são compromisso contratual, e estão na cláusula 6 dos Termos de Uso. O terceiro é prática declarada, não obrigação — e é honesto dizer a diferença.

Vale saber também o que não conseguimos entregar, mesmo querendo: os arquivos como você os enviou vivem 7 dias; passado o prazo, foram apagados e não há cópia. E não temos chave de nada que você tenha cifrado por conta própria.

10.Subprocessadores

Todos os terceiros que tocam dados estão nomeados, um a um, com link para a política de cada um, na seção 6 da Política de Privacidade. Não vendemos seus dados nem os expomos a outros usuários.

11.Contrato de tratamento de dados (DPA) e contato

Os compromissos do ORDIR como operador — tratamento sob instrução, confidencialidade, ZDR, vedação de uso secundário indevido — já valem como cláusula contratual na cláusula 6 dos Termos de Uso. Se o seu escritório precisa de um DPA assinado em separado, peça pelo e-mail abaixo que emitimos.

Dúvidas de segurança, privacidade ou due diligence: contato@ordir.com.br. Perguntas concretas recebem respostas concretas — foi essa a régua desta página.