• Senhas armazenadas com argon2id — hash moderno e deliberadamente caro; nunca em texto puro.
• Tokens de recuperação de senha com hash no banco e validade de 30 minutos; convites expiram em 7 dias.
• Limite de tentativas no login (proteção contra força bruta).

• Arquitetura multi-tenant: toda consulta é vinculada à sua organização — dados de uma conta nunca aparecem em outra.
• Papéis com permissões distintas (owner, admin, editor, viewer) controlam quem vê e quem altera.
• Console administrativo da plataforma separado e restrito.

• Todo o tráfego em produção usa HTTPS/TLS, com HSTS habilitado.
• Headers de segurança em todas as rotas: X-Frame-Options, nosniff, Referrer-Policy e Permissions-Policy.

• API keys com hash argon2id — o segredo aparece uma única vez e não pode ser recuperado, só revogado.
• Rate limiting por chave, com limites por plano.
• Webhooks assinados com HMAC-SHA256 (header X-Brdco-Signature): seu sistema verifica que o evento veio mesmo da Emissa.

• Cobrança processada pela Stripe (certificada PCI-DSS nível 1). Dados de cartão nunca passam pelos nossos servidores.

• PDFs gerados expiram em 30 dias e são removidos do storage automaticamente.
• Retenção de dados cadastrais e logs conforme a Política de Privacidade (LGPD).
• Consentimento de privacidade registrado com data e hora no cadastro.

A Emissa ainda não possui certificações formais (SOC 2, ISO 27001). Somos uma empresa pequena e preferimos investir primeiro em práticas reais — as desta página — do que em selos. Quando o porte dos nossos clientes pedir auditoria independente, certificamos. Se a sua empresa tem um questionário de segurança, respondemos: contato@emissa.io.

Agradecemos divulgação responsável. Escreva para contato@emissa.io com os detalhes e passos de reprodução — respondemos rápido e damos crédito a quem reporta de boa-fé. Por favor, não teste contra dados de terceiros.