Um ERP que guarda apuração, folha e certificado digital de dezenas de CNPJs precisa errar para o lado seguro por construção. Abaixo, o que está implementado — sem selo decorativo.
Cada empresa enxerga apenas os próprios dados, com a regra aplicada no banco (row level security) e não na tela. Consulta que escape do filtro não retorna linha — a barreira não depende do código da interface estar correto.
O certificado fica cifrado no banco, com chave fora do repositório. É usado para assinar NF-e, NFC-e, NFS-e e os eventos do eSocial e da EFD-Reinf, sempre no servidor.
SEFAZ, Prefeitura, eSocial, EFD-Reinf e SERPRO recebem por canal com TLS mútuo, usando o certificado da empresa. O eSocial e a Reinf saem por um proxy com IP fixo, exigência do próprio ambiente.
O que cada usuário vê é liberado função a função, e não por perfil genérico. Para escritórios, o provedor controla no Console o que cada cliente enxerga.
Criação e alteração ficam registradas com autor. Fechamento de período bloqueia lançamento retroativo, e a reabertura passa por solicitação e aprovação.
O tratamento está descrito na política de privacidade, com base legal por finalidade e os direitos do titular do art. 18. Dado de cliente nunca é usado em demonstração: o ambiente de demo tem base própria, fictícia.
A gente responde questionário de segurança e conversa com quem vai avaliar a arquitetura. É parte da venda, não um favor.