Documentos de aviação executiva valem milhões. Cada camada da nossa stack foi escolhida pra que nem nós consigamos adulterar seu contrato sem deixar rastro verificável.
Todo PDF, imagem e documento confidencial é criptografado pelo Supabase Storage com AES-256 antes de tocar o disco. Chaves rotacionadas pelo provedor. Storage paths obfuscados via HMAC — adivinhar URL fica matematicamente inviável mesmo se RLS falhar.
Cada contrato gerado tem hash SHA-256 calculado e exibido pro broker. Você pode rodar shasum -a 256 contrato.pdf no seu terminal e comparar — se bater, o conteúdo é exatamente o que enviamos. Hash é registrado em audit log imutável.
Plataforma de assinatura própria (Documenso self-hosted). Atende padrões eIDAS (UE), ESIGN Act (EUA), Medida Provisória 2.200-2/2001 (Brasil), Electronic Transactions Act (SG/AU/NZ), PIPEDA (CA). Certificado de assinatura PKCS#12 + audit trail completo embutido no PDF.
Toda ação (upload, view, fill, sign, hash mismatch) gera registro em tabela com triggers PostgreSQL bloqueando UPDATE e DELETE. Nem o admin do banco consegue alterar histórico. Backup adicional 7 anos pra retenção LGPD.
Cada PDF / Word enviado passa por scan de malware antes de chegar ao Storage. Arquivos infectados são bloqueados e o broker é notificado com a assinatura do vírus. Fallback gracioso se scanner indisponível (audit registra status).
Postgres aplica isolamento por broker_id em cada SELECT/INSERT/UPDATE. Mesmo se a aplicação for comprometida, broker A nunca vê dados de broker B. Triggers cross-broker bloqueiam tentativas de escalar privilégio em vinculações de contato/contrato.
Cada contrato assinado gera audit_trail_url do Documenso (datas, IPs, signers, hashes). O broker compartilha esse link diretamente com a contraparte — controle total sobre quem vê o quê. Sem endpoints públicos que aumentem surface de ataque.
Documentos do cofre SafeDoc (specs de aeronave, logs, fotos internas) recebem 4 camadas de watermark (nome+ID+IP+timestamp em cada página) antes de serem servidos. Screenshot mostra quem vazou.
Quando contraparte abre, preenche, assina ou recusa — o broker é notificado em tempo real via Supabase Realtime + Sentry. Hash mismatch em registro de assinatura externa dispara alerta destacado.
Plataforma de assinatura roda em VPS própria (Hetzner, Frankfurt). Supabase para banco de dados (criptografia at-rest + backups diários). Zero dependência de DocuSign/Adobe/HelloSign — seus contratos NUNCA passam pela infra de competidores.