Feito para o revisor corporativo de InfoSec.

Row-Level Security (RLS) em todas as tabelas de todos os schemas de tenants. As policies de RLS comparam organization_id com a claim do JWT do chamador via current_user_org_id(); nas rotas que rodam sob o papel restrito de banco de dados, leituras e escritas cross-tenant são bloqueadas pelo próprio banco, e toda query no servidor é adicionalmente filtrada por organization_id — verificado por um CI lint de escopo por organização em todos os schemas de tenants. O cliente browser com chave anônima retorna zero linhas de qualquer schema multi-tenant. Novas tabelas exigem RLS na mesma migration (guardrail de CI).

PROVA →RLS com JWT via current_user_org_id() · SELECT anônimo revogado · CI lint de escopo por organização

Várias proteções independentes. Wrapper de cliente com escopo no nível da aplicação (orgId é invariante do construtor). Grep de CI (check-learning-scope.ts) faz o build falhar se qualquer arquivo fora de lib/learning/ tocar o schema. RLS estrito no nível do DB com FORCE ROW LEVEL SECURITY e política via session-var. O código de aplicação chega ao SDK da Anthropic por um único ponto de passagem (lib/intelligence/llm/anthropic.ts, com lib/anthropic.ts como shim de retrocompatibilidade), e check-anthropic-choke.ts faz o build falhar em qualquer import fora de uma allowlist curta e comentada; check-no-training.ts garante que não há headers de fine-tuning. Sem treinamento agrupado. Sem queries cross-tenant. Nunca.

PROVA →lib/learning/client.ts · scripts/ci/check-learning-scope.ts · learning schema FORCE RLS

Todos os dados em repouso são criptografados pelo Supabase (AES-256). Todo o transporte é TLS 1.2+, com HSTS preload. CSP com nonce por requisição (sem scripts unsafe-inline). Campos financeiros sensíveis (custo de BOM, sourcing, lead time) e refresh tokens OAuth de integrações externas recebem uma camada adicional de criptografia AES-256-GCM em nível de aplicação em repouso. As chaves são gerenciadas por criptografia de envelope no GCP KMS com rotação a cada 90 dias; toda escrita nova passa pelo KMS e as linhas anteriores ao corte estão sendo reembrulhadas por um job de backfill. Nenhum dado de cliente na edge da Vercel além de páginas públicas de marketing em cache na CDN.

PROVA →Vercel (US primário) · Supabase (US East) · TLS 1.2+ em todos os pontos

Todos os dados de clientes são processados e armazenados em uma única região dos EUA — Supabase e Vercel, ambos em us-east-2. Não oferecemos atualmente residência de dados na UE nem em outras regiões.

PROVA →Apenas EUA hoje · Supabase + Vercel us-east-2